המאמר מיועד לבעלי עסקים שמחזיקים מידע על לקוחות, מטפסי פנייה ועד היסטוריית הזמנות. הוא מציג את עיקרי המסגרת החוקית בישראל, כולל תיקון 13 לחוק הגנת הפרטיות, ושש נקודות לבדיקה בעסק. בסופו תוכלו למפות את המידע שאתם מחזיקים, ולדעת אילו נושאים לבדוק עם יועץ.
רשימת לקוחות, טפסי פנייה מהאתר, היסטוריית הזמנות, הקלטות שיחות — כל אלה הם מידע אישי. עסק שמחזיק מידע כזה אחראי לשמור עליו, להשתמש בו רק למטרות שלשמן נאסף, ולהגן עליו מפני דליפה. זו חובה חוקית, וגם עניין של אמון: לקוח שהמידע שלו דלף לא שוכח את זה.
המאמר מציג את המסגרת הכללית בישראל ונקודות מעשיות לבדיקה בעסק.
המאמר אינו ייעוץ משפטי. החובות תלויות בסוג העסק, בסוג המידע ובהיקף שלו. לבחינת החובות של העסק שלכם כדאי לפנות לעורך דין המתמחה בדיני פרטיות, ולעיין בהנחיות של הרשות להגנת הפרטיות.
המסגרת בקצרה
החוק המרכזי הוא חוק הגנת הפרטיות, התשמ"א-1981, ולצידו תקנות, ובהן תקנות אבטחת מידע משנת 2017. בשנת 2024 אישרה הכנסת את תיקון מס' 13 לחוק, שלפי מסמכי הרשות להגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025. לפי הסברי הרשות, התיקון:
- עדכן והרחיב הגדרות בחוק, ובהן "מידע אישי", והוסיף הגדרות כמו "מידע בעל רגישות מיוחדת".
- הרחיב את סמכויות האכיפה של הרשות, כולל הטלת עיצומים כספיים.
- הוסיף חובה למנות ממונה על הגנת הפרטיות בגופים מסוימים, בעיקר גופים ציבוריים ומי שעיסוקו העיקרי כולל עיבוד מידע בהיקף ניכר או ניטור שיטתי.
הפרטים, החריגים וההשלכות על כל עסק מפורטים במסמכי הרשות, שמופיעים בסוף המאמר.
נקודות לבדיקה בעסק
1. מיפוי: איזה מידע נאסף, ולמה
- אילו פרטים נאספים בטפסים באתר, בטלפון, בקופה ובאירועים?
- לכל פרט: למה הוא נחוץ? פרט שאין לו שימוש — אפשר להפסיק לאסוף.
- היכן המידע נשמר: CRM, תיבת דוא"ל, גיליונות, מערכת הזמנות, ספק חיצוני?
המיפוי הזה הוא הבסיס לכל השאר. קשה להגן על מידע שלא יודעים איפה הוא נמצא. על ההבדל בין רשומות לקוחות לנתוני מדידה באתר ראו נתונים עסקיים מול נתוני מדידה.
2. שקיפות כלפי הלקוח
- האם מדיניות הפרטיות באתר מתארת בפועל את מה שנאסף ואת השימוש בו?
- בטופס: האם ברור לשם מה ממלאים, ומה יקרה בפרטים?
- הסכמה לדיוור שיווקי: האם היא נפרדת ומפורשת, ואפשר לבטל אותה בקלות?
3. גישה
- מי בעסק ניגש לכל מאגר, ולמה הוא צריך את הגישה?
- האם לכל אדם יש משתמש אישי, ולא סיסמה משותפת?
- האם ספקים חיצוניים ניגשים למידע, ובאיזה היקף? מה נקבע בהסכם איתם?
- מה קורה עם הגישה כשעובד או ספק מסיים לעבוד?
עקרונות דומים לבקרת גישה בחשבונות Google מתוארים במאמר על אבטחת חשבונות ובקרת גישה.
4. אבטחה בסיסית
- אימות דו־שלבי בכל מערכת שמחזיקה מידע על לקוחות.
- עדכוני תוכנה במערכות ובאתר.
- גיבויים, כולל בדיקה שאפשר לשחזר מהם. ראו גיבוי, שמירה ומחיקה של נתונים.
- הימנעות משליחת קבצים עם פרטי לקוחות בדוא"ל או בהודעות, כשיש חלופה מאובטחת יותר.
- הצפנה של מכשירים ניידים שמכילים מידע.
5. שמירה ומחיקה
- כמה זמן נשמר כל סוג מידע? חלק מהמידע חייב להישמר לפי דין, למשל מסמכים חשבונאיים, וחלק אין סיבה לשמור.
- האם יש נוהל למחיקה של מידע שאין בו צורך?
- האם יודעים לטפל בבקשה של לקוח לעיין במידע שלו או לתקן אותו?
6. אירוע אבטחה
- מי מחליט ומטפל כשיש חשד לדליפה?
- איך מזהים מה דלף?
- למי צריך לדווח? חובות הדיווח נקבעות בדין ובתקנות, וכדאי לברר אותן מראש עם יועץ משפטי ולא ביום האירוע.
דוגמה בדיונית: סטודיו קטן גילה במיפוי שפניות מהאתר נשמרות בשלושה מקומות: בתיבת הדוא"ל, בגיליון משותף ובאפליקציית הודעות. ההחלטה הייתה שהטופס יזין רק את ה-CRM, הגיליון נמחק אחרי העברת הנתונים, והגישה ל-CRM ניתנה רק לשני אנשים.
רשימת בדיקה
- קיים מיפוי של המידע האישי שהעסק אוסף, היכן הוא נשמר ולמה.
- מדיניות הפרטיות באתר תואמת למה שקורה בפועל.
- הסכמה לדיוור נפרדת, מפורשת וניתנת לביטול.
- לכל אדם יש משתמש אישי והרשאה לפי הצורך.
- הוגדרו תקופות שמירה ונוהל מחיקה.
- יש נוהל לאירוע אבטחה, כולל מי מחליט ומי מדווח.
- נבחנה, עם יועץ, תחולת תיקון 13 על העסק.
הצעד הבא
התחילו במיפוי: רשימה של כל מקום שבו נשמר מידע על לקוחות, מה נשמר בו ולמה. המיפוי הוא הבסיס לבדיקה עם יועץ משפטי, ולכל שאר הנקודות במאמר. לליווי בסידור הנתונים אפשר להיעזר בעמוד ניהול נתונים.
מקורות
שאלות ותשובות
IBASTOM.CO.IL
הנקודות במאמר מספיקות כדי לעמוד בחוק?
לא. הן עוזרות לסדר את התמונה: איזה מידע יש, איפה, מי ניגש אליו ואיך הוא מאובטח. מה חל על העסק שלכם, ובאיזה היקף, תלוי בפעילות ובסוג המידע, ובודקים אותו מול עורך דין שמתמחה בפרטיות.
מה הצעד הראשון בעסק שלא עשה כלום בנושא?
מיפוי: רשימה של כל מקום שבו נשמר מידע על לקוחות, מה נשמר שם ולמה. בלי המיפוי אי אפשר לדעת מה לאבטח, מה למחוק ומה לכתוב במדיניות הפרטיות.
עובד שלח קובץ לקוחות לכתובת לא נכונה. מה עושים?
פועלים לפי נוהל אירוע אבטחה: מתעדים מה נשלח, למי ומתי, מבקשים מהנמען למחוק, ובודקים מול יועץ אם חלה חובת דיווח. כדאי שהנוהל ייכתב מראש, כי בזמן אירוע אין זמן לחשוב מאפס.
מי צריך גישה למידע על לקוחות?
רק מי שצריך אותו לעבודה, ורק לחלק שהוא צריך. הרשאות אישיות לכל עובד, ולא משתמש משותף, מאפשרות לדעת מי ניגש ולבטל גישה כשמישהו עוזב.
מדיניות פרטיות מתבנית מוכנה מספיקה?
לא אם היא לא מתארת את מה שהעסק עושה בפועל. מדיניות שמבטיחה דבר אחד, כשהעסק עושה אחר, יוצרת בעיה בעצמה. כותבים אותה אחרי המיפוי, ומעדכנים כשמוסיפים כלי או ספק.
