חוק הפרטיות - תיקון מספר 13- בתוקף אוגוסט 2025 - מידע וחמרי רקע ליועץ -חלק ב

מסלול ייעוץ מקוון לציות לחוק הגנת הפרטיות ותיקון מס' 13

המסמך הבא מציג מתווה מקיף לייעוץ מקוון שנועד לסייע לחברות מכל סקטור לעמוד בדרישות חוק הגנת הפרטיות, התשמ"א-1981, ובדגש על תיקון מס' 13 ("אכיפה מנהלית"). המסלול מתוכנן להתבצע במלואו באופן דיגיטלי, תוך התבססות על שיתוף פעולה הדוק עם נציגי החברה ומילוי טפסים מקוונים באופן אמין ומדויק.

שלב 1: איסוף נתונים והבנת הארגון

זהו שלב הבסיס, שבו אנו לומדים להכיר את החברה ואת האופן שבו היא מעבדת מידע אישי.

• טופס הערכה ראשונית: החברה תמלא שאלון מקוון מפורט הכולל שאלות על:

  • פעילות עסקית: מהם תחומי הפעילות העיקריים של החברה.

  • סוגי מאגרי המידע: אילו מאגרים קיימים (לקוחות, עובדים, ספקים, מועמדים לעבודה וכו').

  • היקף המידע: כמה רשומות קיימות בכל מאגר.

  • סוגי המידע: איזה סוגי מידע נשמרים (שם, ת.ז., טלפון, מידע רפואי, ביומטרי וכו').

  • מערכות מידע: שימוש במערכות ERP, CRM, אתר אינטרנט, אפליקציה ועוד.

  • העברת מידע: האם ואיך מועבר מידע לגורמי צד שלישי (ספקי שירות, חברות בנות).

  • אבטחת מידע קיימת: האם קיימים נהלי אבטחה כלשהם.

• שיחת וידאו ראשונית: נקיים שיחת וידאו עם נציג/ים מהחברה (מנכ"ל, מנהל IT, יועמ"ש) כדי להבהיר נקודות לא ברורות בטופס ולהתאים את תהליך הייעוץ לצרכים הייחודיים של החברה.

שלב 2: מיפוי ובניית תוכנית פעולה

לאחר ניתוח המידע, נבנה תמונה מפורטת של מצב הציות הנוכחי ונגדיר את הפערים.

• הערכת סיכונים ורמת סיווג: על בסיס הנתונים שנאספו, נקבע את רמת הרגישות של מאגרי המידע ואת רמת האבטחה הנדרשת על פי תקנות אבטחת מידע (בסיסית, בינונית או גבוהה).

• הכנת דו"ח פערי ציות (Gap Analysis): נפיק דו"ח מפורט שיצביע על כל הפערים הקיימים בין המצב הנוכחי של החברה לבין דרישות החוק ותקנותיו, תוך ציון הדרישות הרלוונטיות לחברה באופן ספציפי.

• בניית תוכנית פעולה מותאמת אישית: נכין מסמך ממוקד המפרט את הפעולות הנדרשות מהחברה, מלוות בלוחות זמנים והקצאת אחריות ברורה.

שלב 3: יישום והטמעת דרישות החוק

שלב זה מתמקד במתן הכלים הנדרשים לחברה לצורך יישום התוכנית שגובשה.

• יצירת מסמכים ונהלים נדרשים: נספק תבניות מוכנות להתאמה אישית על ידי החברה, כגון:

  • רישום מאגר מידע: הנחיות וסיוע בהגשת הבקשה לרשם מאגרי המידע.

  • נהלי אבטחת מידע: תבניות לנהלי אבטחת מידע (גישה למאגרים, הרשאות, ניטור, התמודדות עם אירועי אבטחה).

  • הסכמות למאגר מידע: תבניות למסמכי הסכמה מעודכנים על פי דרישות החוק (למשל, באתר האינטרנט או במסגרת חוזי עובדים).

  • מדיניות פרטיות: תבניות לעדכון או יצירת מדיניות פרטיות באתר החברה ובמסמכים רלוונטיים נוספים.

• הדרכה מקוונת: נקיים הדרכה מקוונת (וובינר) לנציגי החברה (מנהלים, צוותי שיווק, משאבי אנוש) על חובותיהם, על משמעות התיקון לחוק ועל הנהלים החדשים שהוטמעו.

שלב 4: בקרת יישום ותחזוקה שוטפת

שלב הסיום נועד לוודא שהתהליך אכן בוצע כהלכה וכי החברה מוכנה להתמודד עם שינויים עתידיים.

• בדיקת יישום עצמית: החברה תמלא טופס אימות מקוון, המאשר כי כל הנקודות בתוכנית הפעולה יושמו. במידת הצורך, נבקש דוגמאות או צילומי מסך ליישום (למשל, עמוד מדיניות פרטיות מעודכן באתר).

• דו"ח סיכום והמלצות להמשך: נפיק דו"ח סופי המסכם את תהליך הייעוץ, מאשר כי החברה עומדת כעת בדרישות החוק ומספק המלצות לתחזוקה שוטפת (לדוגמה, עדכון נהלים אחת לשנה, הדרכה לעובדים חדשים).

• זמינות לשאלות: נספק ערוץ תקשורת פתוח (מייל או מערכת צ'אט) למשך תקופה מוגדרת לאחר סיום התהליך, לצורך מענה על שאלות נוספות שעשויות לעלות.

חשוב להדגיש: מסלול זה מסתמך באופן מוחלט על שקיפות ודיוק במילוי הטפסים המקוונים על ידי החברה. כל טעות או חוסר דיוק עלולים להוביל להכוונה שגויה ולפערים בציות לחוק. הייעוץ אינו כולל סריקות או בדיקות חדירות לרשת המחשוב, אלא מתבסס על הצהרות החברה ועל תיאור מצב הקיים כפי שהוצג.

 חוברת היעוץ המלאה כולל טפסים

חוברת ייעוץ מלאה: ציות לחוק הגנת הפרטיות

החוברת הבאה מרחיבה את מתווה הייעוץ שהוצג קודם לכן וכוללת את הטפסים המומלצים לשימוש במסלול ייעוץ מקוון. החוברת נועדה לשמש כמדריך שלם לחברה ולסייע לה לעמוד בדרישות חוק הגנת הפרטיות ותיקון מס' 13.

חלק א': טופס הערכה ראשונית למאגרי מידע

טופס זה נועד לאיסוף הנתונים הראשוני והבסיסי ביותר אודות פעילות החברה וטיפול במידע אישי. מילוי מדויק של הטופס הוא קריטי להמשך התהליך.

שם החברה: [יש למלא] שם נציג החברה: [יש למלא] תפקיד: [יש למלא] דוא"ל: [יש למלא] טלפון: [יש למלא] תאריך מילוי: [יש למלא]

פרטי מאגרי המידע

1. האם לחברה מאגרי מידע המכילים פרטים אישיים?

• [ ] כן

• [ ] לא (במקרה זה, יש לוודא שאין כלל שמירת מידע אישי ואין צורך בהמשך התהליך)

2. סוגי מאגרי המידע הקיימים (ניתן לסמן יותר מאחת):

• [ ] מאגר לקוחות

• [ ] מאגר עובדים (כולל עובדי עבר ומאגר מועמדים)

• [ ] מאגר ספקים

• [ ] מאגר שיווקי/ניוזלטר

• [ ] מאגר המנוהל על ידי צד שלישי (לדוגמה, מערכות CRM חיצוניות)

• [ ] אחר (יש לפרט: [יש למלא])

3. מידע על כל מאגר (יש למלא עבור כל מאגר בנפרד):

שם המאגר	מספר רשומות (הערכה)	סוג המידע הנשמר (לדוגמה: שם, ת.ז., טלפון, מידע פיננסי, מידע רפואי)	היכן המידע נשמר (לדוגמה: שרת מקומי, ענן, מערכת CRM)
[יש למלא]	[יש למלא]	[יש למלא]	[יש למלא]
[יש למלא]	[יש למלא]	[יש למלא]	[יש למלא]
[יש למלא]	[יש למלא]	[יש למלא]	[יש למלא]

ייצוא אל Sheets

מדיניות ואבטחת מידע קיימת

4. האם קיימת מדיניות פרטיות מעודכנת באתר האינטרנט של החברה?

• [ ] כן

• [ ] לא

5. האם מוצגות בקשות להסכמה מפורשת לאיסוף ושמירת מידע אישי?

• [ ] כן (לדוגמה: בקופסאות סימון)

• [ ] לא

6. האם יש לחברה נהלי אבטחת מידע בכתב?

• [ ] כן

• [ ] לא

7. האם החברה משתפת מידע אישי עם צדדים שלישיים?

• [ ] כן (יש לפרט עם מי: [יש למלא])

• [ ] לא

8. האם מתבצעות בדיקות אבטחת מידע תקופתיות?

• [ ] כן

• [ ] לא

חלק ב': דוגמה לדו"ח פערי ציות (Gap Analysis)

זהו דו"ח פנימי המופק על ידי היועץ לאחר ניתוח טופס ההערכה הראשונית, ונועד להגדיר את הפעולות הנדרשות מהחברה.

שם החברה: [שם החברה] תאריך הדו"ח: [תאריך] מצב נוכחי: [תיאור המצב כפי שעלה מהטופס] הפערים שנמצאו בהשוואה לחוק:

1. רישום מאגרים: [לדוגמה: "לא קיים רישום של מאגר הלקוחות ברשם מאגרי המידע"].

2. אבטחת מידע: [לדוגמה: "לא קיימים נהלים כתובים המגדירים הרשאות גישה למאגרים"].

3. הסכמה וגילוי: [לדוגמה: "הסכמה לקבלת דיוור שיווקי אינה מפורשת אלא כלולה בתקנון כללי"].

4. מדיניות פרטיות: [לדוגמה: "מדיניות הפרטיות הקיימת אינה כוללת פירוט על זכויות המידע של נושאי המידע"].

חלק ג': תוכנית פעולה ואימות יישום

טופס זה הוא מסמך ביצועי שיופעל על ידי החברה על בסיס דו"ח הפערים, ויאפשר מעקב אחר השלמת כל המשימות.

שם החברה: [שם החברה] תאריך תחילת יישום: [יש למלא] תאריך סיום מתוכנן: [יש למלא]

פעולה נדרשת (על בסיס דו"ח הפערים)	אחריות (מנהל IT, יועמ"ש, וכו')	מועד סיום מתוכנן	סטטוס (בוצע/בתהליך/לא בוצע)
הגשת בקשה לרישום מאגר המידע הראשי ברשם מאגרי המידע.	[יש למלא]	[יש למלא]	[ ] בוצע
יצירת נוהל אבטחת מידע כתוב ואישורו על ידי הנהלה.	[יש למלא]	[יש למלא]	[ ] בוצע
עדכון טפסי יצירת קשר באתר האינטרנט כך שיכללו הסכמה מפורשת.	[יש למלא]	[יש למלא]	[ ] בוצע
עדכון מדיניות הפרטיות ופרסומה באתר.	[יש למלא]	[יש למלא]	[ ] בוצע
קיום הדרכה לעובדים על נהלי אבטחת מידע חדשים.	[יש למלא]	[יש למלא]	[ ] בוצע
יצירת תבניות לטיפול בבקשות של נושאי מידע (למשל, בקשה לעיון).	[יש למלא]	[יש למלא]	[ ] בוצע
[הוספת שורות נוספות לפי הצורך]

ייצוא אל Sheets

הצהרת יישום

אני, הח"מ, מצהיר כי כל הפעולות המפורטות בתוכנית הפעולה לעיל בוצעו במלואן ובאופן מדויק. שם מלא: [יש למלא] תפקיד: [יש למלא] תאריך: [יש למלא]

חלק ד': דו"ח סיכום והמלצות

מסמך זה מסכם את תהליך הייעוץ ומספק המלצות להמשך.

סיכום תהליך הייעוץ: [תיאור קצר של התהליך שהחברה עברה, מרישום מאגרים ועד הדרכות]

אישור ציות: על בסיס הנתונים שהוצגו לנו ומילוי תוכנית הפעולה, החברה [שם החברה] עומדת בדרישות העיקריות של חוק הגנת הפרטיות ותיקון מס' 13.

המלצות להמשך:

• תחזוקה שוטפת: יש לבחון את נהלי אבטחת המידע אחת לשנה ולעדכנם בהתאם לצורך.

• הדרכה עובדים: יש לכלול את נושא פרטיות המידע כחלק מההדרכה לעובדים חדשים.

• מעקב רגולטורי: יש להתעדכן בהנחיות חדשות של הרשות להגנת הפרטיות.

ספק הייעוץ: [יש למלא] תאריך הדו"ח: [יש למלא]

 רשימת נהלי אבטחת מידע ופרטיות מידע

רשימת נהלי אבטחת מידע ופרטיות מידע מומלצים

נהלים אלו מהווים בסיס חיוני לניהול מאגרי מידע בהתאם לדרישות החוק ולהבטחת ציות מלא. רשימה זו כוללת נהלים נדרשים (כגון על פי תקנות אבטחת מידע) ונהלים מומלצים, המחולקים לפי נושאים.

1. מדיניות כללית וארגונית

• נוהל מדיניות אבטחת מידע: מסמך עליון המגדיר את עקרונות אבטחת המידע בחברה, את המטרות וההתחייבות לציות לחוק.

• נוהל מינוי ממונה על אבטחת מידע: מגדיר את תפקידיו ואחריותו של הממונה על אבטחת המידע בחברה.

• נוהל ניהול סיכונים: מתווה את תהליך זיהוי, הערכה וטיפול בסיכונים הקשורים לאבטחת מידע.

2. נהלים טכניים

• נוהל ניהול הרשאות והזדהות (בקרת גישה): קובע כיצד ניתנות הרשאות גישה למאגרי המידע, על בסיס עיקרון הצורך לדעת (Need to Know). כולל הנחיות ליצירת סיסמאות חזקות וניהול משתמשים.

• נוהל ניטור ורישום פעולות (Logging): מפרט את הכללים לתיעוד פעולות שמתבצעות על מאגרי המידע, מי ביצע אותן ומתי, לצורך בקרות וחקירת אירועים.

• נוהל ניהול גיבויים ושחזור מידע: מגדיר את תדירות הגיבויים, את אופן ביצועם, ואת תהליך שחזור הנתונים במקרה של אובדן.

• נוהל הצפנה: קובע מתי יש להשתמש בהצפנה (לדוגמה, בהעברת מידע רגיש או בגיבויים) ומהם תקני ההצפנה הנדרשים.

• נוהל עדכוני תוכנה ואבטחה: מפרט את תהליך ההתקנה והמעקב אחר עדכוני אבטחה למערכות ההפעלה והתוכנות השונות.

3. נהלים אנושיים והדרכה

• נוהל הדרכת עובדים והעלאת מודעות: מסמך שמגדיר את תכנית ההדרכה לעובדים בנושאי אבטחת מידע ופרטיות, ובמיוחד לעובדים חדשים.

• נוהל טיפול בפניות עובדים ומשתמשים: מתווה את הדרך לקבל ולטפל בבקשות של נושאי המידע לעיון, תיקון או מחיקת מידע.

• נוהל התחייבות עובדים לסודיות: מסמך המוגש לחתימת כל עובד, המפרט את התחייבותו לשמירה על סודיות המידע אליו הוא נחשף.

4. נהלים תפעוליים וטיפול באירועים

• נוהל טיפול באירועי אבטחה (Incident Response): מגדיר את התהליך המלא לזיהוי, הכלה, חקירה ודיווח על אירוע אבטחה (לדוגמה: דליפת מידע, מתקפת סייבר).

• נוהל מחזור חיי מידע: מתאר את הטיפול במידע אישי מרגע איסופו ועד למחיקתו, כולל מדיניות שמירה ומחיקה.

• נוהל עבודה עם ספקים חיצוניים: קובע כיצד לבחור ספקים חיצוניים המקבלים גישה למידע, ומהם הסעיפים הנדרשים בהסכם עימם (לדוגמה, התחייבות לאבטחה).

• נוהל בדיקות תקופתיות: מפרט את לוח הזמנים והתחומים לבדיקות פנימיות וחיצוניות של מערכות האבטחה (לדוגמה: בדיקות חדירות).

 טפסים מקוונים

בהיעדר גישה ליצירת טפסים אינטראקטיביים ישירות, הנה דוגמאות לטפסים מקוונים שניתן להכין באמצעות כלים שונים (כמו Google Forms, Microsoft Forms, Typeform וכדומה) כדי לתמוך במתווה הייעוץ המלא.

1. טופס הערכה ראשונית למאגרי מידע

מטרה: איסוף נתונים על פעילות החברה וטיפול במידע אישי. פלטפורמה מומלצת: Google Forms / Microsoft Forms.

שדות הטופס:

• פרטי החברה והממלא:

  • שם החברה (שדה חובה)

  • שם הממלא (שדה חובה)

  • תפקיד הממלא (שדה חובה)

  • דוא"ל ליצירת קשר (שדה חובה)

  • טלפון ליצירת קשר

• שאלות על מאגרי המידע:

  • שאלה 1: האם לחברה מאגרי מידע המכילים פרטים אישיים (שמות, מספרי תעודת זהות, פרטי קשר, מידע רפואי וכו')?

    • אפשרויות: כן / לא (במקרה של "לא", יופיע אישור על כך).

  • שאלה 2 (מותנית ב"כן"): אילו סוגי מאגרי מידע קיימים בחברה? (תיבות סימון מרובות)

    • אפשרויות: לקוחות, עובדים, ספקים, מועמדים לעבודה, שיווק/ניוזלטר, אחר.

    • במקרה של "אחר", יופיע שדה טקסט חופשי.

  • שאלה 3 (מותנית ב"כן"): יש לפרט עבור כל מאגר: שם המאגר, כמות רשומות משוערת, סוג המידע הנשמר והיכן הוא נשמר. (שאלות טקסט חופשי או טבלת מילוי)

• שאלות על מדיניות ואבטחה קיימת:

  • שאלה 4: האם קיימת מדיניות פרטיות מעודכנת באתר החברה? (כן/לא)

  • שאלה 5: האם מוצגות בקשות להסכמה מפורשת לאיסוף ושמירת מידע? (כן/לא, עם שדה טקסט להסבר)

  • שאלה 6: האם יש לחברה נהלי אבטחת מידע בכתב? (כן/לא)

  • שאלה 7: האם החברה משתפת מידע אישי עם צדדים שלישיים? (כן/לא, עם שדה טקסט לפרטים).

  • שאלה 8: האם מתבצעות בדיקות אבטחה תקופתיות? (כן/לא).

2. טופס אימות יישום תוכנית הפעולה

מטרה: אימות שכל הפעולות הנדרשות בוצעו על ידי החברה. פלטפורמה מומלצת: Google Forms / Microsoft Forms.

שדות הטופס:

• פרטי החברה והממלא:

  • שם החברה (שדה חובה)

  • שם הממלא (שדה חובה)

  • תאריך מילוי (שדה חובה)

• רשימת משימות לאישור:

  • שאלה: אנא אשר כי כל אחת מהפעולות הבאות הושלמה: (תיבות סימון, כאשר כל תיבה מייצגת פעולה ספציפית).

    • [ ] הגשת בקשה לרישום מאגר המידע.

    • [ ] יצירת נוהלי אבטחת מידע כתובים.

    • [ ] עדכון מדיניות הפרטיות באתר החברה.

    • [ ] עדכון טפסי יצירת קשר עם הסכמה מפורשת.

    • [ ] קיום הדרכה לעובדים.

    • [ ] יצירת נוהל לטיפול בבקשות של נושאי מידע.

  • שדה העלאת קבצים: אופציה להעלאת קבצים רלוונטיים (כגון נוהלי אבטחה, צילום מסך של מדיניות פרטיות מעודכנת).

• הצהרה ואישור:

  • שאלה: אני הח"מ מצהיר כי כל הפעולות לעיל בוצעו במלואן ובאופן מדויק.

    • תיבת סימון: "אני מאשר/ת את ההצהרה" (שדה חובה).

  • חתימה דיגיטלית: ניתן להוסיף שדה לחתימה דיגיטלית או שדה טקסט למילוי שם מלא כתחליף.

 מה עוד חסר לצורך שלמות המענה לתיקון 13 לחוק הפרטיות

התוכנית שהוצגה עד כה מהווה בסיס מצוין לציות, אך כדי להגיע לשלמות מלאה ביישום דרישות תיקון מס' 13 לחוק הגנת הפרטיות, יש צורך להתייחס למספר היבטים נוספים, המשלבים בין ההיבט המשפטי, הטכנולוגי והארגוני.

הנה הדגשים החסרים לצורך מתן מענה שלם:

1. מסמכים משפטיים ומשפטיים-טכנולוגיים

• הסכם התקשרות עם קבלני משנה ומנהלי מערכות חיצוניים (DPA): תיקון 13 מדגיש את אחריות החברה גם על מידע הנשמר אצל צדדים שלישיים. לכן, יש צורך בטופס הסכם ייעודי לעיבוד מידע (Data Processing Agreement) המגן על החברה ומחייב את הספקים לעמוד בדרישות החוק. זהו מסמך קריטי שנדרש בחלק גדול מהמקרים.

• נוהל טיפול בפניות של נושאי מידע (Data Subject Rights): החוק מעניק לאנשים זכות לעיין, לתקן או למחוק מידע אישי. נדרש נוהל מפורט שיגדיר כיצד החברה מטפלת בבקשות אלו, מי אחראי על הטיפול, ובאיזה לוח זמנים.

2. היבטים טכנולוגיים מעבר לנהלים

• סקירת אבטחת מידע טכנית (Penetration Test): בעוד הנהלים מפרטים את המדיניות, יש לוודא שהמערכות הטכנולוגיות עומדות בה. בדיקת חדירות מקצועית יכולה לאשר את חוזק ההגנות של החברה בפועל.

• כלי ניהול פרטיות (Privacy Management Tools): לחברות גדולות במיוחד, מומלץ לשקול שימוש בכלים ייעודיים לניהול פרטיות, כגון כלים לניהול הסכמות, מיפוי אוטומטי של מאגרי מידע, וניהול בקשות של נושאי מידע.

• נוהל דיווח על אירוע אבטחה (Data Breach): תיקון 13 מחייב דיווח על אירועי אבטחה חמורים לרשות להגנת הפרטיות. נדרש נוהל שיגדיר במפורש מתי, כיצד ובאיזה פורמט יש לדווח על אירוע שכזה.

3. הכנה ומוכנות לאכיפה

• מוכנות לביקורת (Audit Readiness): החברה צריכה להיות מוכנה לביקורת של הרשות להגנת הפרטיות בכל רגע נתון. המשמעות היא שהמסמכים, הנהלים וההוכחות ליישום (לדוגמה, דוחות הדרכה, רישומי לוגים) צריכים להיות מסודרים, מתועדים וזמינים באופן מיידי.

• הערכת סיכונים תקופתית (DPIA - Data Protection Impact Assessment): במקרים של שינויים במערכות מידע או הטמעת טכנולוגיות חדשות, מומלץ לבצע הערכת סיכונים ייעודית שתבחן את ההשלכות של השינוי על פרטיות המידע.

4. תפקידים ואחריות

• מינוי ממונה הגנת פרטיות (DPO): למרות שהמינוי אינו חובה לכל חברה, מומלץ למנות גורם בעל ידע וסמכות שיהיה אחראי על יישום ופיקוח מתמשך על מדיניות הפרטיות בחברה.

• ייעוץ משפטי מקצועי: לבסוף, יש להדגיש כי המתווה והטפסים שהוצגו הם כלים ניהוליים וארגוניים. לצורך יישום מלא ומדויק של החוק, במיוחד בכל הנוגע למסמכים משפטיים והתמודדות עם אכיפה, יש צורך בליווי של עורך דין מומחה לתחום.

 איזה סעיפים בחוק יש לשים לב אליהם במיוחד

החוק להגנת הפרטיות הוא מקיף, אך ישנם מספר סעיפים מרכזיים המהווים את ליבת הציות, ועליהם יש לשים דגש מיוחד, במיוחד לאור תיקון מס' 13.

הנה רשימת הסעיפים המרכזיים שהמענה לתיקון 13 מחייב התייחסות יסודית אליהם:

1. הגדרות ומהות מאגר המידע

• סעיף 2: מהותה של פגיעה בפרטיות: זהו סעיף היסוד של החוק, המגדיר מהי פגיעה בפרטיות. הבנת סעיף זה קריטית להבנת כל ההשלכות של איסוף ושימוש במידע אישי.

• סעיף 8: רישום מאגר מידע: סעיף זה קובע את החובה לרשום מאגר מידע מסוים אצל רשם מאגרי המידע. אי רישום של מאגר שהיה צריך להירשם מהווה עבירה חמורה.

2. אבטחת מידע

• סעיף 17: חובת שמירת סודיות: סעיף זה מטיל חובה על בעל מאגר מידע ומנהליו לשמור בסוד על המידע הקיים בו.

• סעיף 17א: אבטחת מידע: זהו אחד הסעיפים החשובים ביותר. הוא מחייב בעל מאגר מידע להפעיל אמצעי אבטחת מידע כדי למנוע את החדירה אליו, שימוש בו או שיבוש הכללים. תקנות אבטחת המידע (שמכוח סעיף זה) מפרטות את האמצעים הנדרשים בפועל. תיקון 13 הגביר את יכולת האכיפה המנהלית בנושא זה.

3. זכויות נושא המידע

• סעיף 13: זכות עיון: מקנה לכל אדם את הזכות לעיין במידע אישי השמור עליו במאגר.

• סעיף 14: זכות תיקון ומחיקה: קובע את זכותו של אדם לבקש לתקן מידע שאינו נכון או למחוק מידע שאינו נחוץ. חובת החברה היא להחזיק במנגנון יעיל וזמין שיאפשר מימוש זכויות אלו.

4. שימוש במידע והעברתו

• סעיף 8ג: שימוש במידע למטרות שונות: סעיף זה אוסר על שימוש במידע למטרות אחרות מאלו שלשמן נמסר, ללא הסכמה מפורשת.

• סעיף 11ב: העברת מידע לצדדים שלישיים: סעיף זה מסדיר את התנאים להעברת מידע אישי ממאגר מידע אחד למאגר אחר. תיקון 13 הגביר את האחריות של החברה גם על מידע שהועבר לספקים וקבלני משנה.

5. ענישה ואכיפה (הלב של תיקון 13)

• סעיפים 44-46א': עבירות והטלת קנסות מנהליים: סעיפים אלו מפרטים את העבירות על החוק ואת הסנקציות הניתנות להטלה. תיקון 13 הרחיב משמעותית את כוחה של הרשות להגנת הפרטיות להטיל קנסות כבדים (עד 3.2 מיליון ש"ח) על חברות שלא ימלאו אחר הוראות החוק, גם ללא הליך פלילי.

לסיכום: המענה לתיקון 13 אינו מתמקד רק בבניית נהלי אבטחה, אלא ביישום כלל הסעיפים שהוזכרו לעיל. דרישות הרישום, שמירה על זכויות נושאי המידע והטיפול בבקשותיהם, יחד עם אמצעי האבטחה, כולם נבדקים בקפדנות על ידי הרשות. אי עמידה בהם עלולה להוביל לקנסות מנהליים גבוהים, שהם הסיכון המרכזי שתיקון 13 נועד להגביר.

חשוב להדגיש שוב, כי מידע זה אינו מהווה ייעוץ משפטי, ויש להיוועץ בעורך דין מומחה לצורך הבנה ויישום מלא של דרישות החוק.

 האם יש התאמה ל gdpr

בהחלט. יש התאמה משמעותית בין חוק הגנת הפרטיות הישראלי, ובמיוחד לאחר תיקון מס' 13, לבין תקנות ה-GDPR (General Data Protection Regulation) של האיחוד האירופי, אך אין מדובר בחפיפה מלאה.

שני החוקים שואבים מאותם עקרונות יסוד של הגנה על פרטיות המידע האישי, אך ה-GDPR נחשב למחמיר ומפורט יותר.

נקודות הדמיון העיקריות:

• עקרונות ליבה: שני החוקים מבוססים על עקרונות יסוד דומים, כמו שקיפות, מזעור נתונים (Data Minimization), הגבלת מטרה ומתן אפשרות למשתמשים לשלוט במידע שלהם.

• זכויות נושא המידע: גם החוק הישראלי וגם ה-GDPR מעניקים לאנשים זכויות דומות, כגון זכות עיון במידע, זכות לתיקון המידע, וזכות למחיקתו ("הזכות להישכח").

• חובת אבטחת מידע: שני החוקים מטילים חובה על ארגונים ליישם אמצעי אבטחה מתאימים כדי להגן על המידע מפני פגיעה, אובדן או דליפה.

• אחריותיות (Accountability): שני החוקים דורשים מארגונים לתעד את פעולות עיבוד המידע שלהם ולהיות מסוגלים להוכיח שהם עומדים בדרישות החוק.

הבדלים מרכזיים שיש לשים לב אליהם:

• היקף תחולה (Extraterritoriality): ה-GDPR הוא בעל היקף תחולה רחב יותר משמעותית. הוא חל על כל חברה בעולם המעבדת מידע של אזרחי האיחוד האירופי, גם אם היא לא נמצאת פיזית באירופה. החוק הישראלי, לעומת זאת, מתמקד בעיקר בחברות ישראליות ובמאגרים המנוהלים בישראל.

• דרישות ספציפיות: ה-GDPR כולל דרישות מפורטות ומחמירות יותר במקרים מסוימים, כגון מינוי חובה של DPO (Data Protection Officer) בתנאים מסוימים, ביצוע DPIA (הערכת השפעה על פרטיות) בפרויקטים בעלי סיכון גבוה, והדרישה לבסיס חוקי מובהק לכל פעולת עיבוד מידע.

• קנסות וסנקציות: הקנסות ב-GDPR גבוהים משמעותית, ויכולים להגיע עד ל-20 מיליון אירו או 4% מהמחזור השנתי הגלובלי של החברה, הגבוה מביניהם. אמנם תיקון מס' 13 העלה באופן ניכר את הקנסות המנהליים בישראל, אך הם עדיין נמוכים יותר.

לסיכום, חברה שתעמוד באופן מלא בדרישות ה-GDPR תהיה בדרך כלל במצב טוב מאוד גם מבחינת עמידה בדרישות החוק הישראלי. מסיבה זו, ארגונים בינלאומיים רבים מאמצים את ה-GDPR כסטנדרט הגלובלי שלהם. עם זאת, חשוב לבחון כל חוק באופן עצמאי כדי לוודא עמידה מלאה בדרישות הייחודיות של כל רגולציה.

 האם יש צורך להוסיף עוד משהו לעניין מילוי דרישות תיקון 13

You've already received a comprehensive set of guidance, from the core legal principles to the practical forms and procedures. To truly complete the compliance picture for Amendment 13, the last missing piece is a focus on continuous, real-world application, and not just the initial setup.

Here's what you need to add for a truly complete approach:

1. Proof of Continuous Compliance and a Culture of Privacy

• Training Documentation: Maintaining records of employee training sessions on data privacy and security is critical. It's not enough to just create a training plan; you need to prove it was implemented. This includes attendance sheets, presentation materials, and signed acknowledgements.

• Internal Audit and Review: Compliance is not a one-time project. You need to establish a schedule for regular internal audits to check that the procedures you've put in place are being followed. This ensures ongoing adherence and helps identify new risks.

2. Tools for Incident Response and Data Subject Requests

• Incident Response Log: Have a dedicated, centralized system (a spreadsheet or a specific software) to document any security incident, no matter how minor. This log should record the date, nature of the incident, actions taken, and the outcome. This is vital evidence in case of a regulatory audit.

• Data Subject Request Mechanism: Create a clear, documented process for handling requests from individuals to access, correct, or delete their data. This includes a dedicated email address or an online form, a tracking system for requests, and defined response times.

3. Final Legal and Professional Vetting

• External Legal Review: While the framework is solid, it's essential to have a qualified attorney specializing in privacy law review all your documents, procedures, and implementation to ensure they meet legal standards. An AI cannot provide legal advice; a lawyer's professional review is the final and most important step.

• Technical Security Audit: The procedures on paper must be reflected in your technical reality. A final penetration test or a professional security audit by an external firm will validate that your systems are, in fact, secure as required by the regulations.

 תרגם לעברית

כדי להשלים באופן מלא את תמונת הציות לתיקון 13, הדבר האחרון שחסר הוא התמקדות ביישום מתמשך בשטח, ולא רק בהקמה הראשונית של התהליכים.

להלן תוספות הכרחיות לגישה שלמה באמת:

1. תיעוד ציות מתמשך ויצירת תרבות פרטיות

• תיעוד הדרכות: יש לתעד את הדרכות העובדים בנושאי אבטחת מידע ופרטיות. לא מספיק רק ליצור תוכנית הדרכה; יש להוכיח שהיא יושמה. התיעוד כולל רישומי נוכחות, חומרי הדרכה והצהרות חתומות.

• ביקורת וסקירה פנימית: ציות אינו פרויקט חד-פעמי. יש לקבוע לוח זמנים לביקורות פנימיות קבועות כדי לוודא שהנהלים שהוטמעו אכן מיושמים. כך מבטיחים עמידה מתמדת בדרישות ומזהים סיכונים חדשים.

2. כלים לטיפול באירועים ובקשות של נושאי מידע

• יומן אירועי אבטחה: יש להחזיק במערכת ייעודית (גיליון אלקטרוני או תוכנה ייעודית) לתיעוד כל אירוע אבטחה, קטן ככל שיהיה. היומן צריך לכלול את תאריך האירוע, מהותו, הפעולות שננקטו והתוצאות. יומן זה הוא ראיה חיונית במקרה של ביקורת רגולטורית.

• מנגנון לטיפול בבקשות של נושאי מידע: יש ליצור תהליך ברור ומתועד לטיפול בבקשות של אנשים פרטיים לעיון, תיקון או מחיקת המידע שלהם. התהליך כולל כתובת דוא"ל ייעודית או טופס מקוון, מערכת מעקב אחר הבקשות וזמני תגובה מוגדרים.

3. אימות סופי על ידי גורמים מקצועיים

• בדיקה משפטית חיצונית: למרות שהמסגרת שהוצגה היא איתנה, חיוני שעורך דין מוסמך המתמחה בדיני פרטיות יסקור את כל המסמכים, הנהלים והיישום בפועל כדי לוודא עמידה בתקנים המשפטיים. יש לזכור כי בינה מלאכותית אינה יכולה לספק ייעוץ משפטי; סקירה מקצועית של עורך דין היא הצעד הסופי והחשוב ביותר.

• ביקורת אבטחה טכנית: הנהלים על הנייר חייבים להיות מגובים במציאות הטכנולוגית. מבחן חדירה (Penetration Test) או ביקורת אבטחה מקצועית על ידי חברה חיצונית תאשר שמערכות המחשוב שלך מאובטחות כנדרש בתקנות.

 האם אפשרי ואיך , למחשב חלק מנושאים אלה

כן, בהחלט אפשרי למחשב ולבצע אוטומציה של חלק ניכר מהנושאים הקשורים למילוי דרישות החוק. אוטומציה מפחיתה שגיאות אנוש, מייעלת תהליכים ומסייעת לשמור על רמת ציות גבוהה באופן עקבי.

נושאים שניתן למחשב

האוטומציה מתמקדת בעיקר במשימות רוטיניות וטכניות, ומתבצעת באמצעות כלים ייעודיים ופלטפורמות תוכנה.

1. מיפוי וגילוי מידע (Data Discovery and Mapping)

• מהות: כלי תוכנה יכולים לסרוק את כל מערכות המידע של החברה (שרתים, מסדי נתונים, שירותי ענן) כדי לזהות אוטומטית היכן מאוחסן מידע אישי. הם מסווגים את המידע לפי רגישותו (לדוגמה: שם, תעודת זהות, מספר כרטיס אשראי).

• איך: באמצעות פלטפורמות GRC (Governance, Risk and Compliance) וכלים ייעודיים לניהול נתונים.

2. ניהול בקשות של נושאי מידע (Data Subject Rights)

• מהות: פלטפורמות ייעודיות יכולות לנהל את התהליך כולו: קבלת בקשות של אנשים (למשל, בקשה לעיון או מחיקה), תיעודן, שליחת אישורים אוטומטיים וניהול התקשורת מולם. המערכת יכולה לעקוב אחר מועדים חוקיים ולספק תזכורות.

• איך: שימוש במערכות Privacy Management ייעודיות המשתלבות עם מערכות ה-IT הקיימות.

3. ניהול הסכמות (Consent Management)

• מהות: באתר האינטרנט ובאפליקציות, ניתן להשתמש בכלים אוטומטיים לניהול באנרים של קבצי Cookie, המבקשים הסכמה של המשתמש. כלים אלה שומרים תיעוד מפורט של כל הסכמה וסירוב, ומאפשרים למשתמשים לשנות את העדפותיהם בקלות.

• איך: באמצעות פלטפורמות CMP (Consent Management Platform).

4. ניטור אבטחת מידע

• מהות: מערכות ניטור יכולות לזהות באופן אוטומטי פעולות חשודות או ניסיונות גישה לא מורשים למאגרי מידע ולשלוח התראות מיידיות לממונה על אבטחת המידע. הן גם מתעדות את כל הפעולות במערכת לצורך ביקורת עתידית.

• איך: שימוש במערכות SIEM (Security Information and Event Management) וכלים לניטור לוגים.

נושאים הדורשים מומחיות אנושית

למרות האוטומציה, ישנם תחומי ליבה הדורשים שיקול דעת אנושי ומומחיות מקצועית, ולא ניתן למחשבם באופן מלא.

• פרשנות משפטית וקבלת החלטות אסטרטגיות: קביעת המדיניות הראשונית, הערכת סיכונים משפטיים ופרשנות חוקית של הדרישות מחייבים מעורבות של עורך דין מומחה בתחום.

• כתיבת נהלים ומדיניות: יצירת מסמכים כמו מדיניות פרטיות או נהלי אבטחת מידע דורשת הבנה מעמיקה של הפעילות העסקית והתאמה אישית של הדרישות המשפטיות.

• הכשרה והטמעת תרבות ארגונית: בעוד שמערכות יכולות להעביר הדרכות, יצירת תרבות של מודעות לפרטיות והעברת המסרים בצורה אפקטיבית לעובדים הם תהליכים אנושיים במהותם.

לסיכום: המחשוב והאוטומציה הם כלים רבי עוצמה שמייעלים משמעותית את תהליך הציות ומפחיתים סיכון. עם זאת, הם משרתים ככלי תומך בקבלת ההחלטות האנושית, ולא כמחליף שלה.

 האם אפשר להקים מערכת שלמה בעזרת ai שתכסה כל האספקטים הנדרשים בתיקון 13 כולל תיזמון אוטומטי. של דרישות וכל תיעוד נדרש

זוהי שאלה מצוינת ומייצגת את האתגרים וההזדמנויות של העולם הטכנולוגי כיום.

התשובה הקצרה היא שכרגע לא ניתן להקים מערכת בינה מלאכותית (AI) אוטונומית לחלוטין שתכסה את כל היבטי הציות לתיקון 13 ללא פיקוח ואישור אנושי. עם זאת, ניתן בהחלט לבנות מערכת היברידית וחכמה המשלבת AI ומומחיות אנושית, שתבצע את רוב העבודה ותפחית משמעותית את העומס.

מה ה-AI יכול לעשות במערכת כזו?

AI מצטיין במשימות חוזרות ונשנות, ניתוח נתונים ותזמונים. הוא יכול להיות עמוד התווך של מערכת הציות.

• מיפוי נתונים אוטומטי: המערכת יכולה לסרוק את כל מערכות המידע של החברה (שרתים, שירותי ענן, מאגרי נתונים) כדי לזהות ולסווג מידע אישי. היא יכולה למפות היכן הנתונים נמצאים, מי ניגש אליהם וכיצד הם מעובדים.

• ניטור רציף: AI יכול לנתח יומני פעילות (logs) בזמן אמת, לזהות חריגות, ניסיונות גישה חשודים ואירועי אבטחה פוטנציאליים ולשלוח התראות מיידיות לגורם האחראי.

• אוטומציה של בקשות נושאי מידע: המערכת יכולה לנהל את מחזור החיים של בקשות לעיון או למחיקת מידע. היא יכולה לאשר קבלת בקשה, לנתב אותה לטיפול, לעקוב אחר מועדים חוקיים ולשלוח תזכורות אוטומטיות.

• תיזמון ותיעוד אוטומטי: מערכת כזו יכולה לתזמן אוטומטית משימות כמו ביקורות פנים, עדכון נהלים או הדרכות לעובדים, ולשמור את כל התיעוד הנדרש (דוחות, מסמכים, אישורים) במקום מרכזי וזמין לביקורת רגולטורית.

• יצירת טיוטות מסמכים: על בסיס מידע שסונן וסווג, AI יכול לייצר טיוטות ראשוניות של מסמכים כמו מדיניות פרטיות או הסכמי התקשרות עם ספקים.

איפה עדיין נדרש המגע האנושי?

ההיבטים המורכבים ביותר של הציות מחייבים שיקול דעת אנושי, מומחיות משפטית ולקיחת אחריות.

• פרשנות משפטית וקבלת החלטות: בינה מלאכותית אינה יכולה לתת ייעוץ משפטי. עורך דין הוא זה שצריך לפרש את החוק, להעריך את הסיכונים המשפטיים ולקבוע את האסטרטגיה של הארגון.

• הערכת סיכונים: בעוד AI יכול לזהות סיכונים טכניים, ההחלטה על מידת החשיפה והסכמת הארגון לקחת על עצמו סיכון מסוים היא החלטה ניהולית אנושית.

• אחריות ופיקוח: האחריות המשפטית והפלילית על אי-ציות חלה על הארגון ועל נושאי המשרה בו, ולא על האלגוריתם. אדם חייב להיות הגורם המפקח שאחראי על הפעלת המערכת ועל ההחלטות שהתקבלו.

• כתיבת תוכן סופי: יצירת נהלים ומדיניות שהם מותאמים באופן מדויק לצרכים העסקיים של החברה ומשקפים את התרבות הארגונית, מחייבת עבודת עריכה וכתיבה אנושית.

המודל ההיברידי המושלם

המערכת האידיאלית לציות לתיקון 13 היא שילוב של השניים:

1. מערכת AI מרכזית: שתטפל בניטור, בתיעוד, בתיזמון ובאוטומציה של משימות טכניות.

2. מומחים אנושיים: עורך דין, ממונה הגנת פרטיות (DPO) ומנהל אבטחת מידע (CISO) שישתמשו במידע שסופק על ידי ה-AI כדי לקבל החלטות מבוססות, לאשר מסמכים ולקחת אחריות.

לכן, במקום לשאוף למערכת אוטונומית לחלוטין, מומלץ לבנות מערכת משותפת שבה ה-AI הוא כלי עזר חיוני, יעיל ומפחית סיכון, ומומחים אנושיים משמשים כבקרים הסופיים.

 איזה ידע חייב ממונה פרטיות

ממונה על הגנת פרטיות (המכונה לעיתים קרובות גם קצין פרטיות או DPO) הוא תפקיד מפתח בארגון, הדורש שילוב נדיר של ידע מתחומי משפט, טכנולוגיה, ניהול ותקשורת.

כדי למלא את תפקידו בהצלחה, ממונה פרטיות חייב לשלוט במספר תחומי ידע מרכזיים:

1. ידע משפטי

• חוק הגנת הפרטיות הישראלי: הכרה מעמיקה בחוק, בתקנות שהותקנו מכוחו (ובפרט תקנות אבטחת מידע), ובדרישות תיקון מס' 13.

• רגולציות בינלאומיות: הבנה של רגולציות דומות ומשפיעות בעולם, במיוחד GDPR, כיוון שחברות ישראליות רבות מעבדות מידע של אזרחי האיחוד האירופי.

• הנחיות הרשות להגנת הפרטיות: היכרות עם כללי האצבע, ההנחיות והפרסומים העדכניים של הרשות להגנת הפרטיות בישראל.

2. ידע טכנולוגי ואבטחת מידע

• עקרונות אבטחת מידע: הבנה של מושגים בסיסיים כמו הצפנה, בקרת גישה, הגנה על הרשת, וזיהוי פגיעויות.

• מערכות מידע: ידע על האופן שבו מאגרי המידע והמערכות בארגון פועלים בפועל, כולל שימוש בטכנולוגיות ענן, מערכות CRM, ושרתים מקומיים.

• ניהול סיכוני סייבר: יכולת להעריך סיכונים טכנולוגיים פוטנציאליים ולהבין את ההשפעה שלהם על פרטיות המידע.

3. ידע ארגוני ותפעולי

• מיפוי נתונים: היכולת למפות ולתעד את כל מאגרי המידע בארגון, להבין מהם תהליכי עיבוד המידע (איסוף, שימוש, אחסון, מחיקה) ומי אחראי על כל שלב.

• בניית נהלים: ידע וניסיון בכתיבת והטמעת נהלים ברורים ומפורטים, כולל נהלי אבטחת מידע, מדיניות פרטיות ונהלי טיפול בפניות של נושאי מידע.

• ניהול אירועים: ידע וניסיון בניהול אירועי אבטחה, כולל תהליך הדיווח לרשויות והתקשורת עם הלקוחות במקרה של דליפת מידע.

4. כישורים רכים

• תקשורת בין-אישית: יכולת לתקשר באופן אפקטיבי עם גורמים שונים בארגון (הנהלה, יועצים משפטיים, צוותי IT ושיווק), ולגשר בין פערים משפטיים וטכנולוגיים.

• הדרכה והסברה: יכולת לפתח ולהעביר תכנים הדרכתיים לעובדים, ולהעלות את המודעות לנושאי פרטיות בחברה.

• פתרון בעיות: יכולת לנתח בעיות מורכבות, להעריך סיכונים ולפתח פתרונות יצירתיים המותאמים לצרכי הארגון.

ממונה הפרטיות משמש למעשה כגורם המקשר בין דרישות החוק לבין היישום הטכני והארגוני בשטח. לכן, שילוב הידע בכל התחומים הללו הוא קריטי להצלחתו בתפקיד.

 האם ממונה פרטיות יכול להיות במקביל גם אחראי על אבטחת מידע בלי לפגוע בדרישות החוק

הצגת תהליך החשיבה

זוהי שאלה מצוינת ומהותית, שכן היא נוגעת לליבת התפקידים בארגון הנוגעים לפרטיות.

התשובה הקצרה היא שמומלץ מאוד להפריד בין התפקידים, וקיימים מקרים שבהם הדבר אף עלול להוות ניגוד עניינים הפוגע בדרישות החוק.

ניגוד העניינים המובנה

בעוד ששני התפקידים עוסקים בהגנה על מידע, הם עושים זאת מנקודות מבט שונות:

• אחראי אבטחת מידע (CISO): מטרתו היא להגן על נכסי המידע של הארגון. הוא אחראי ליישום אמצעים טכנולוגיים שימנעו פריצות, דליפות או אובדן מידע, תוך התחשבות ביעילות תפעולית ובעלות.

• ממונה הגנת פרטיות (DPO): מטרתו היא להגן על הזכויות של נושאי המידע (האנשים). הוא אחראי לוודא שהמידע נאסף, נשמר ומשמש רק למטרות מוגדרות, תוך שמירה על עקרונות כמו מזעור נתונים, שקיפות, והיענות לבקשות של נושאי מידע.

הניגוד מתעורר כאשר החלטה שמתאימה לאבטחת מידע אינה תמיד טובה לפרטיות, ולהיפך. לדוגמה:

• ממונה האבטחה עשוי לדרוש לשמור מידע לזמן ארוך יותר לצורך ביקורות או גיבויים, בעוד שממונה הפרטיות ידרוש למחוק אותו כדי לעמוד בעקרון "מזעור הנתונים" וזכויות המחיקה.

• ממונה האבטחה עשוי להטמיע כלי ניטור נרחבים על עובדים, ואילו ממונה הפרטיות יצטרך לוודא שהניטור אינו פוגע יתר על המידה בזכויות הפרט של העובדים.

עמדת הרשות להגנת הפרטיות

על פי הנחיות הרשות להגנת הפרטיות, יש לוודא כי לממונה על הגנת הפרטיות אין ניגוד עניינים עם תפקידיו האחרים. הדבר נובע מהצורך בעצמאות מוסדית ומקצועית של הממונה, שתאפשר לו לפעול לטובת הגנת הפרטיות גם כאשר הדבר מתנגש עם יעדים עסקיים או טכנולוגיים אחרים.

הרשות מציינת במפורש כי ה-DPO אינו יכול לשמש גם כממונה על אבטחת מידע, בין היתר משום שתפקידו של ה-DPO הוא רחב יותר וכולל הנחיה מקצועית של ממונה אבטחת המידע לגבי האופן שבו יש ליישם את דרישות האבטחה כדי לשרת את מטרות הגנת הפרטיות.

מתי ניתן בכל זאת לשלב?

במקרים נדירים, בעיקר בארגונים קטנים מאוד עם מאגרי מידע מוגבלים ומיעוט משאבים, ייתכן ששני התפקידים יבוצעו על ידי אותו אדם. אולם, גם במקרים אלה חובה:

• לנהל את ניגוד העניינים: על הארגון להגדיר בכתב נוהל ברור שמפרט כיצד יטופל ניגוד עניינים פוטנציאלי כאשר הוא עולה.

• לדווח לדרג בכיר: האדם שמחזיק בשני התפקידים חייב להיות כפוף ישירות לדרג הניהולי הבכיר ביותר בארגון (מנכ"ל או דירקטוריון), ולוודא שהחלטות בנושאים רגישים מתועדות ומאושרות על ידי דרג זה.

לסיכום: על פי המלצת הרשות ופרקטיקות מקובלות בעולם, יש להפריד בין תפקידי הממונה על הגנת הפרטיות והאחראי על אבטחת המידע. הפרדה זו מבטיחה פיקוח עצמאי ואפקטיבי על פרטיות המידע ומפחיתה משמעותית את הסיכון לניגודי עניינים.

 האם יש סיכוי לקיים קורסים לממונים על פרטיות והאם יהיו מספיק תלמידים

הצגת תהליך החשיבה

בהחלט. לא רק שיש סיכוי לקיים קורסים לממונים על פרטיות, אלא כבר קיימת דרישה משמעותית והולכת וגוברת לתפקיד זה, והשוק מגיב בהתאם. מספר גורמים תורמים לכך שיהיו מספיק תלמידים ויותר מכך.

הביקוש הגובר לממונים על פרטיות

• דרישות רגולטוריות בינלאומיות: תקנות ה-GDPR של האיחוד האירופי מחייבות, במקרים רבים, מינוי של DPO (ממונה על הגנת פרטיות). מכיוון שחברות ישראליות רבות מקיימות קשרים עסקיים עם אירופה או מעבדות מידע של אזרחים אירופיים, נוצר צורך דחוף בממונה מוסמך שיבטיח עמידה בתקנות אלו.

• תיקון 13 לחוק הגנת הפרטיות: התיקון מעצים את סמכויות האכיפה של הרשות להגנת הפרטיות ומטיל קנסות כבדים על הפרות. הדבר יוצר צורך למנות גורם מקצועי שיהיה אחראי לוודא ציות ולמנוע סנקציות.

• המורכבות של התפקיד: כפי שהוסבר קודם, תפקיד הממונה על הפרטיות דורש שילוב נדיר של ידע משפטי, טכנולוגי וארגוני. ידע זה אינו נלמד במלואו במסלול אקדמי אחד, ולכן הכשרה ייעודית היא הדרך הטובה ביותר לרכוש אותו.

• המודעות הציבורית: ככל שהציבור הופך מודע יותר לזכויותיו בנושא פרטיות המידע, כך גובר הלחץ על חברות לאמץ סטנדרטים גבוהים יותר של הגנה.

קהל היעד לקורסים והיצע הקיים

קהל היעד לקורסים מסוג זה הוא רחב ומגוון, והוא כולל:

• עורכי דין המעוניינים להתמחות בתחום מתפתח.

• מנהלי אבטחת מידע (CISO) המבקשים להרחיב את הידע שלהם להגנת הפרטיות.

• מנהלי IT, ביקורת פנים וניהול סיכונים.

• מנהלים בארגונים שמופקדים על תחום הפרטיות באופן זמני או קבוע.

בפועל, השוק כבר מגיב לביקוש הקיים. בדיקה מהירה מראה כי כבר קיימים מספר קורסים וסדנאות לממונים על פרטיות (DPO) המופעלים על ידי מוסדות אקדמיים ומכללות מובילות בישראל, בהן הטכניון, אוניברסיטת בר אילן, ג'ון ברייס, ואף קורסים בחסות הרשות להגנת הפרטיות בשיתוף עם מוסדות כמו אוניברסיטת תל אביב והאוניברסיטה העברית.

תוכניות לימודים אלו משקפות את הדרישות המגוונות של התפקיד ומשלבות הרצאות מפי מומחים מתחומי המשפט, הטכנולוגיה והאכיפה.

לסיכום: בהחלט יש סיכוי ואף צורך ברור בקורסים לממונים על פרטיות. העלייה בדרישות החוק והרגולציה, יחד עם המורכבות הייחודית של התפקיד, יוצרות שוק יציב עם קהל תלמידים מגוון ורחב. הקמה של קורס כזה, המציע ידע מקצועי ועדכני, נראית כהזדמנות בעלת פוטנציאל רב.

 תכנית קורס?

תכנית קורס להכשרת ממונה על הגנת פרטיות (DPO)

מטרת הקורס: להכשיר אנשי מקצוע בעלי ידע וכלים מעשיים לניהול, יישום ופיקוח על תוכנית ציות לחוקי הגנת הפרטיות בארגון, תוך הבנת האתגרים המשפטיים, הטכנולוגיים והארגוניים.

קהל יעד: עורכי דין, מנהלי אבטחת מידע, מנהלי IT, מנהלי סיכונים וציות, ומנהלים בכירים המעוניינים להתמחות בתחום מתפתח זה.

מבנה הקורס: 15 מפגשים (כ-60 שעות אקדמיות), הכוללים הרצאות פרונטליות, סדנאות מעשיות, ניתוח אירועים ודיונים.

מודול 1: יסודות הגנת הפרטיות ועקרונות הליבה (2 מפגשים)

• היכרות עם תחום הפרטיות: מהי פרטיות בעידן הדיגיטלי? ההיסטוריה והפילוסופיה של הגנת המידע.

• עקרונות הגנת המידע: עקרון המטרה, מזעור הנתונים, שקיפות, דיוק הנתונים, הגבלת השימוש והאחריותיות (Accountability).

• הגדרות בסיסיות: מהו "מידע אישי", "מאגר מידע", "עיבוד מידע" ו"נושא מידע".

מודול 2: המסגרת החוקית בישראל (4 מפגשים)

• חוק הגנת הפרטיות, התשמ"א-1981: סעיפי החוק המרכזיים וחובת רישום מאגרי מידע.

• תקנות אבטחת מידע: הבנת דרישות התקנות, סיווג מאגרי מידע (בסיסי, בינוני, גבוה) והטמעת האמצעים הנדרשים.

• תיקון מס' 13 לחוק ("אכיפה מנהלית"): השפעת התיקון על הארגון, סמכויות הרשות להגנת הפרטיות והטלת קנסות מנהליים.

• זכויות נושא המידע: הזכות לעיון, לתיקון ולמחיקה. יצירת נוהל מעשי לטיפול בבקשות.

מודול 3: אבטחת מידע וטכנולוגיה (3 מפגשים)

• הפער בין אבטחה לפרטיות: הבנת הניגודים והאיזונים בין דרישות אבטחת מידע קלאסיות לבין הגנת הפרטיות.

• אמצעי הגנה טכנולוגיים: בקרת גישה, הצפנה, גיבויים, ניטור מערכות, והגנה על רשתות.

• שיתוף מידע עם צדדים שלישיים: דרישות חוקיות וחוזיות בעבודה עם קבלני משנה, ספקים ושירותי ענן (DPA).

• ניהול סיכוני סייבר: הערכת סיכונים טכנולוגיים והשפעתם על פרטיות המידע.

מודול 4: יישום וניהול תכנית פרטיות (4 מפגשים)

• תפקידי הממונה על הגנת הפרטיות: אחריות וסמכויות הממונה בארגון.

• בניית תוכנית ציות: מיפוי נתונים, הערכת סיכונים (PIA/DPIA), וכתיבת מדיניות פרטיות ונהלים פנימיים.

• טיפול באירועי אבטחה: נוהל תגובה לדליפת מידע, חובת דיווח לרשויות ותקשורת עם לקוחות.

• הדרכה והטמעה ארגונית: פיתוח תוכנית הדרכה לעובדים ויצירת תרבות ארגונית התומכת בפרטיות.

מודול 5: פרטיות גלובלית ומבט לעתיד (2 מפגשים)

• סקירה של רגולציות בינלאומיות: התמקדות ב-GDPR של האיחוד האירופי ודרישותיו המרכזיות.

• העברת מידע לחו"ל: תנאים והסכמים להעברת מידע בין מדינות.

• התפתחויות עתידיות: רגולציה של בינה מלאכותית (AI) והשפעות טכנולוגיות מתפתחות על הפרטיות.

תוצר הסיום: בסיום הקורס, התלמידים ייגשו למבחן מסכם או יגישו פרויקט גמר הכולל בניית תוכנית ציות והערכת סיכונים עבור ארגון לדוגמה.

 האם אפשרי קורס מקוון או אף קורס מוקלט

בהחלט, קורס מקוון או קורס מוקלט הם אפשריים מאוד ואף מומלצים להכשרת ממונה פרטיות. למעשה, פורמט זה מתאים במיוחד לסוג ההכשרה הנדרש, וזו כיום הדרך הנפוצה ביותר להכשרה בתחום.

יתרונות הקורס המקוון / מוקלט

• גמישות מרבית: למועמדים לתפקיד הממונה על פרטיות יש לרוב תפקידים תובעניים בארגון. קורס מקוון מאפשר להם ללמוד בזמן ובקצב שנוח להם, בלי להתחייב ללוח זמנים פיזי קשיח.

• הנגשה ארצית: פורמט מקוון מבטל את הצורך בנסיעות ומנגיש את הקורס למשתתפים מכל רחבי הארץ, כולל מפריפריה גיאוגרפית.

• מודולריות ועדכון: ניתן לבנות את הקורס במודולים קצרים ונוחים לעיכול. בנוסף, קל ומהיר יותר לעדכן תכנים בקורס מוקלט בהתאם לשינויים בחוק או בהנחיות הרגולטוריות, מה שחיוני בתחום דינמי כמו פרטיות.

• חיסכון במשאבים: קורס מקוון חוסך עלויות של השכרת כיתות, חומרי לימוד פיזיים וזמן נסיעה.

כיצד לבנות קורס מקוון אפקטיבי

כדי שהקורס יהיה יעיל ולא יאבד מהאיכות של למידה פרונטלית, חשוב לתכנן אותו בקפידה:

• שילוב בין תיאוריה למעשה: הקורס צריך לשלב הרצאות תיאורטיות עם דוגמאות, תרגילים וסימולציות שידמו מצבים אמיתיים מהשטח.

• פלטפורמה אינטראקטיבית: יש להשתמש בפלטפורמה שתאפשר שאלות ותשובות, דיונים בין המשתתפים ואפשרות להעלאת שאלות למרצים באופן אסינכרוני.

• מפגשי לייב משלימים: מומלץ לשלב, בנוסף לחומר המוקלט, גם מפגשי זום או ובינרים חיים תקופתיים. מפגשים אלו יכולים לשמש לסיכום מודולים, מענה לשאלות מורכבות או דיון על עדכונים אחרונים בתחום.

• פרויקט גמר: פרויקט מעשי, שבו התלמיד בונה תוכנית ציות לארגון לדוגמה, חיוני להפיכת הידע התיאורטי לידע יישומי.

השילוב הנכון של תכנים איכותיים, פלטפורמה טכנולוגית מתאימה ותמיכה אנושית, יכול להפוך קורס מקוון למצוין לא פחות מקורס פרונטלי.

 האם קיימים קורסים מקוונים כאלה? יוטיוב? חפשי לצפייה?

כן, בהחלט קיימים משאבים מקוונים לממונים על פרטיות. עם זאת, יש להבחין בין מספר סוגים של תוכן כדי להבין מהו הפורמט המתאים ביותר לצורך ההכשרה המקצועית:

קורסים מקוונים רשמיים

מרבית הקורסים המקיפים והסדורים בנושא מוצעים במסגרת לימודים רשמית ומחייבים תשלום. קורסים אלה מועברים על ידי מוסדות לימוד אקדמיים (כמו אוניברסיטאות ומכללות) או חברות הדרכה מקצועיות. היתרון שלהם הוא שהם מספקים:

• תוכנית לימודים מסודרת המכסה את כל האספקטים הנדרשים (משפטי, טכנולוגי וארגוני).

• הסמכה או תעודה מקצועית בסיום הקורס, שהיא קריטית להוכחת הידע והכישורים.

• מפגשים אינטראקטיביים עם מרצים מומחים ואנשי מקצוע מהתחום.

משאבי צפייה חופשית ביוטיוב וברשת

בפלטפורמות כמו יוטיוב, תוכל למצוא מגוון רחב של תכנים, אך הם לרוב אינם מסודרים כקורס מלא. משאבים אלה מצוינים לצורך היכרות ראשונית, העמקת ידע בנושא ספציפי או התעדכנות:

• הרצאות מכנסים מקצועיים: עורכי דין או מומחי אבטחת מידע רבים מעלים לרשת הרצאות שנתנו בכנסים, ובהן הם מתמקדים בנושאים ספציפיים (לדוגמה, "התמודדות עם דליפת מידע" או "דרישות GDPR לחברות ישראליות").

• סדרת סרטוני הסבר: תוכל למצוא ערוצי יוטיוב של מומחים שמסבירים מושגים מרכזיים בחוק הגנת הפרטיות בסדרת סרטונים קצרה.

• תוכן רשמי: לעיתים, הרשות להגנת הפרטיות עצמה מעלה לערוץ היוטיוב שלה הרצאות, ובינרים או סרטוני הדרכה, המהווים מקור מידע רשמי וחשוב.

לסיכום: אם מטרתך היא לרכוש ידע בסיסי או להעמיק בנושאים מסוימים, ניתן בהחלט להסתמך על תכנים חופשיים. אך אם ברצונך לקבל הכשרה מקצועית ומקיפה, עם הסמכה רשמית שתשמש אותך בתפקיד, מומלץ להירשם לאחד הקורסים המקוונים המסודרים שמוצעים על ידי מוסדות מוכרים.