רוב בעלי העסקים שאני מדבר איתם בטוחים שחוק הגנת הפרטיות נוגע לחברות גדולות עם מחלקת משפט. הוא נוגע גם אליהם, והם לא יודעים את זה משתי סיבות: הם לא חושבים על רשימת הלקוחות שלהם כעל מאגר מידע, ואף אחד לא שלח להם מכתב. תיקון 13 נכנס לתוקף באוגוסט 2025, מדיניות אי האכיפה על מינוי ממונה הסתיימה באוקטובר של אותה שנה, והכלים שהרשות קיבלה הם משמעותיים.
מאגר מידע הוא לא מה שאתם מדמיינים
אוסף של פרטים מזוהים על אנשים, שנשמר באופן שיטתי, הוא מאגר מידע. גיליון עם שמות וטלפונים של לקוחות הוא מאגר. רשימת עובדים עם מספרי חשבון בנק היא מאגר. טופס יצירת קשר באתר שמצטבר לתיבת דואר הוא מאגר. אין כאן סף של מספר עובדים ואין פטור לעסק קטן.
שאלת הרישום במרשם היא שאלה נפרדת, ותיקון 13 דווקא צמצם את חובת הרישום. אבל צמצום חובת הרישום לא מבטל שום חובה אחרת. מאגר שאינו חייב ברישום עדיין כפוף לכל יתר ההוראות, וזו הנקודה שהכי הרבה אנשים מפספסים.
למה זה עניין של מאזן ולא של משפט
מה שהופך את זה לסיכון עסקי מדיד הוא אופן החישוב. העיצום הכספי נגזר מגודל המאגר ולא ממספר האנשים שנפגעו בפועל. כלומר עסק יכול לספוג עיצום גם כשאף לקוח לא התלונן ואף אחד לא ניזוק, פשוט משום שהמאגר גדול והחובה לא קוימה.
לצד זה יש רצפות מינימום, יש הפחתות למי שהפסיק את ההפרה מיוזמתו ודיווח עליה, ויש תקרה של חמישה אחוזים מהמחזור השנתי, עם תקרות ייעודיות לעסק קטן וזעיר. המשמעות המעשית: טיפול יזום זול בסדר גודל מטיפול אחרי, וזה אחד המקרים הבודדים שבהם אפשר לכמת את זה מראש.
שלוש הנחות נפוצות שאינן נכונות
- ›"אנחנו קטנים מדי בשביל שזה יחול". החוק לא מגדיר סף של גודל עסק. הוא מדבר על מי שמנהל מאגר מידע, ועל זה בלבד.
- ›"המאגר שלנו לא רשום, אז הוא לא בתמונה". ההפך. תיקון 13 צמצם את חובת הרישום ולא את החובות, וכל ההוראות ממשיכות לחול על מאגר שאינו חייב ברישום.
- ›"יש לנו מדיניות פרטיות באתר, אז אנחנו מסודרים". מדיניות היא קיום של חובת היידוע. עמדת הרשות היא שעמידה בחובה הזאת היא דרישת המינימום, ואין בה כדי להבטיח שההסכמה שקיבלתם תקפה.
ממונה הגנת פרטיות: כנראה שאתם לא חייבים
כאן דווקא יש בשורה טובה, ורוב מי שמוכר את הנושא לא ממהר להגיד אותה. חובת מינוי ממונה חלה על ארבע קבוצות מוגדרות: גוף ציבורי וכל מי שמעבד מידע עבורו, מי שעיסוקו העיקרי הוא מסירת מידע לאחר בהיקף של מעל עשרת אלפים איש, מי שעוסק בניטור שוטף ושיטתי של בני אדם, ומי שמעבד מידע בעל רגישות מיוחדת בהיקף ניכר.
עסק קטן ממוצע אינו נופל לאף אחת מהן, ואין סיבה שישלם על ממונה. אבל שתי הקבוצות האחרונות מפתיעות לפעמים: ספק תוכנה שמאחסן מידע עבור גוף ציבורי חייב בממונה משלו, וההיקף של מי שמעבד מידע עבור אחרים נבחן במצטבר על פני כל לקוחותיו ולא לקוח לקוח. ספק קטן שמשרת הרבה לקוחות קטנים יכול למצוא את עצמו חייב בלי שאף לקוח בודד היה מקים את החובה.
השורה התחתונה למאזן
רוב העסקים הקטנים לא צריכים ממונה, וכן צריכים לסדר ארבעה דברים. הפער בין השניים הוא בדיוק המקום שבו נמכר לעסקים שירות שהם לא זקוקים לו, במקום טיפול במה שכן חל עליהם.
ארבעה דברים שכן חלים, וכדאי לסגור פעם אחת
- ›מה אתם אומרים למי שמוסר לכם פרטים. החוק דורש לומר אם החובה למסור מעוגנת בדין או שהמסירה תלויה ברצון, לאיזו מטרה המידע מבוקש, ולמי הוא יימסר. השורה השלישית היא זו שנופלת כמעט תמיד.
- ›למי המידע באמת עובר. כל כלי מדידה, מערכת דיוור, שירות תמיכה או טופס שנשלח למערכת חיצונית הוא מסירה לגורם שלישי, וצריך גם לומר את זה וגם להסדיר אותו בהסכם.
- ›איזו רמת אבטחה חלה עליכם. היא נקבעת לפי סוג המידע והיקפו, לא לפי תחושה, ויש שני חריגים שמורידים מאגרים מסוימים לרמה הבסיסית.
- ›מה קורה כשמשהו משתבש. חובת הדיווח על אירוע אבטחה חמור היא מיידית, ואי דיווח הוא הפרה נפרדת בפני עצמה.
מאיפה מתחילים, בלי לשרוף תקציב
הצעד הראשון אינו לשכור אף אחד. הוא לשבת חצי שעה ולכתוב רשימה אחת: איפה יושבים אצלכם פרטים של אנשים. גיליונות, מערכת ניהול, תיבת דואר, מערכת דיוור, ענן, ומי מחוץ לארגון יש לו סיסמה לאחד מהם. ברוב העסקים הרשימה ארוכה מהצפוי, והיא כבר עונה על מחצית מהשאלות.
רק אחריה שווה לבדוק אם חובת המינוי בכלל חלה עליכם, כי לשאלה הזאת יש תשובה מוגדרת שנגזרת מארבע הקבוצות ולא מגודל העסק. יש בדיקה קצרה שעושה בדיוק את זה, והיא רצה בדפדפן בלי לשלוח את התשובות לשום מקום.
ואם התשובה היא שאתם לא חייבים, זו תשובה טובה. היא חוסכת לכם ריטיינר חודשי ומשאירה אתכם עם ארבעה דברים לסדר, שרובם עבודה של פעם אחת ולא הוצאה קבועה.
