מחקר עומק לגבי תיקון 13 בחוק הפרטיות - יעוץ מקוון לחברות חלק א 2
- מאיר פלג
- Aug 8
- 28 min read
מחקר עומק לגבי תיקון 13 בחוק הפרטיות - יעוץ מקוון לחברות
ChatGPT יצר מאמר זה
כמובן. הנה סקירה מקיפה ומעמיקה של תיקון מס' 13 לחוק הגנת הפרטיות (ישראל), עם דגש על ההיבטים הקריטיים, הדרישות הארגוניות וייעוץ מקוון לחברות. המקורות מצוטטים כדי להתבסס על מידע עדכני ומדויק:
רקע כללי ומועד תחילה
התיקון אושר בכנסת ב־5 באוגוסט 2024, .Government of IsraelHerzoglaw | Israeli Law FirmEBN
נכנס לתוקף באוגוסט 2025—רוב המקורות מציינים את התאריך 14 באוגוסט 2025 המכון הישראלי למדיניות טכנולוגיהkpmg.co.ilayr.co.ilisoc.org.il
עיקרי השינויים המרכזיים
1. הרחבת הגדרות והצהרת מטרות
המונח “מידע” הוחלף ל־“מידע אישי”, והוא כולל כל נתון שקשור לפרט בזיהוי, ישיר או עקיף, כולל מקום, מזהה ביומטרי ועוד Herzoglaw | Israeli Law FirmGoldfarb Gross SeligmanNational Law Review
“מידע רגיש במיוחד” כולל כעת קטגוריות כמו נתוני בריאות, גנטיים, ביומטריים, מיקום, העדפות פוליטיות, דת, שכר ועוד. Herzoglaw | Israeli Law FirmGoldfarb Gross SeligmanNational Law Review
2. צמצום חובת רישום מאגרי מידע
חובת הרישום תמשיך לחול רק על גופים ציבוריים או “סוחרי מידע” שמחזיקים במידע על מעל 10,000 אנשים למטרות מכירה או מסחר Herzoglaw | Israeli Law FirmGoldfarb Gross Seligman
במקום הרישום — חובה לדווח למשרדי הפרטיות על מאגר שלא חייב ברישום אך מכיל מידע רגיש במיוחד על יותר מ–100,000 אנשים Herzoglaw | Israeli Law Firm
3. חובת מינוי ממונה הגנת הפרטיות
חובה למנות ממונה בפרטיות (Privacy Protection Officer) ארגוניים במקרים הבאים:
גופים ציבוריים (למעט סייבור).
Database controllers מסוג סוחרי מידע (מעל 10,000 אנשים).
גופים שמבצעים ניטור שיטתי של אנשים (למשל, חברות תקשורת, ביטוח, בתי חולים או סניפי בנק) kpmg.co.ilBarneaGoldfarb Gross Seligman
הממונה חייב להיות בעל ידע מקצועי, לא להחזיק תפקיד אחר שעלול לעורר ניגוד עניינים, ולדווח ישירות למנכ"ל. ניתן למנות מי שאינו עובד פנימי (outsourced) kpmg.co.ilBarnea
4. הרחבת סמכויות אכיפה ופיצוי
הרשות להגנת הפרטיות (PPA) מקבלת סמכויות חקירה נרחבות: הפסקת עיבוד, צווים, קנסות, אכיפה פלילית kpmg.co.ilBarneaEBN
בתי משפט יכולים לפסוק פיצויים גם ללא הוכחת נזק עד 10,000 ש"ח למקרה הפרה של זכויות פרטי, כגון אי מימוש זכות לתיקון או עיון Herzoglaw | Israeli Law Firmkpmg.co.ilEBN
5. חוות דעת מקדמית (בלעדי)
נקבע מנגנון לבקשת חוות דעת מראש מהרשות, בנוגע לעמידה בדרישות החוק Herzoglaw | Israeli Law FirmPearl Cohen
המלצות יישום למען חברות וייעוץ מקוון
• מיפוי והיערכות מערכתית
לזהות את כל מאגרי המידע, לסווגם — האם הם רגישים? האם מעל למספרי סף לרישום או לדיווח? Herzoglaw | Israeli Law FirmBarnea
עדכן את נוסחי הודעות פרטיות והתנאי שימוש כולל התייחסות למידע רגיש במיוחד ולזכויות הנושאים (עיון, תיקון, משמעויות סירוב).
• מינוי ממונה פרטיות מתאים
אם הארגון חייב בכך — לגייס מי שיש לו את הכישורים, או הסכמה עם שירות חיצוני.
לספק לו סמכויות ראויות, משאבים, ודיווח ישיר למנכ"ל.
• ניהול סיכונים וזכויות
לבנות תכנית ניטור של נהלים, התנהלות מול בקשות נושאים, סקר פערים לעמידה בחוק.
• פנייה לרשות מראש
לקבל חוות דעת מקדמית — כלי להשגת ודאות משפטית ולמזעור סיכונים עתידיים Pearl Cohen
סיכום טבלת עיקרי תיקון 13
תחום | שינוי משמעותי |
הגדרות | הרחבה של "מידע אישי" ו"מידע רגיש במיוחד" |
חובת רישום | מוגבלת וספציפית — מיקוד רק לגופים ציבוריים וסוחרי מידע |
דיווח לרשות | חובה על מאגרי מידע רגיש במיוחד עם כמות גדולה |
ממונה פרטיות | חובה במקרים מוגדרים — כולל גופים ציבוריים ועסקים גדולים |
סמכויות אכיפה | אמצעי פיקוח נרחבים כולל קנסות, צווים ופיצויים |
זכויות פרטים | פיצוי ללא הוכחת נזק — הרחבה מהותית |
חוות דעת מראש | מנגנון חדש לבקשת הגדרת עמידות בחוק מראש |
אם תרצה, אפשר להעמיק בנושאים מסוימים, לדון בתרחישים מעשיים לחברות, תהליכי אימות טכנולוגיים, או בניית מערך רציף לבקרה וציות.
Sources
You said:
בתרחישים מעשיים לחברות, תהליכי אימות טכנולוגיים, או בניית מערך רציף לבקרה וציות. Please write in English language.
ChatGPT said:
Sure. Here’s a practical, company-focused breakdown of how to comply with Amendment 13 to the Israeli Privacy Protection Law – with real-world business scenarios, technical implementation processes, and a sustainable compliance system design.
🔍 Part 1: Practical Business Scenarios ("Use Cases")
1. SaaS Company Handling Customer Data
Scenario: A cloud CRM platform stores contact details, behavioral insights, and location data of clients.
Relevance to Amendment 13: The system processes "sensitive personal data" (location, behavioral profiling).
Action Plan:
Appoint a Privacy Protection Officer.
Update privacy notices, contracts, and consent forms.
Implement data minimization and retention policies.
2. E-commerce Platform with 20K Customers
Scenario: An Israeli online fashion store uses Facebook Pixel and Google Analytics, stores purchase history, and sends personalized offers.
Relevance: Tracks users systematically, sells data segments to advertising networks.
Action Plan:
Must report and possibly register as a “data trader”.
Perform a Data Protection Impact Assessment (DPIA).
Create an internal mechanism to allow users to view/delete/edit data.
3. Insurance Company
Scenario: Holds health and financial data, uses AI-based risk assessment.
Relevance: High-risk data categories, automated decision-making.
Action Plan:
Implement automated audit logs and access control systems.
Ensure every automated decision is explainable and appealable.
Mandatory appointment of a Privacy Officer and DPO-like role.
⚙️ Part 2: Technical Implementation (Verification & Controls)
🔐 1. Identity Verification Systems
Use multi-factor authentication (MFA) for access to sensitive data.
Implement Secure Customer Identity Management (SCIM) protocols for centralized access provisioning.
🔁 2. Data Subject Rights Automation
Integrate a “Privacy Dashboard”:
View/download personal data
Request deletion ("Right to be Forgotten")
Correct inaccurate info
Use platforms like OneTrust or TrustArc to manage Data Subject Requests (DSRs).
🔎 3. Monitoring & Auditing Tools
Continuous monitoring using:
SIEM platforms (e.g., Splunk, Sentinel)
Activity logging at the database/API level
Automated alerts for suspicious access or policy violations.
🧪 4. Risk & DPIA Tools
Conduct Privacy Impact Assessments using templates or tools such as:
Excel-based DPIA models
KPMG’s DPIA tool
Risk scoring engines within GRC platforms like ServiceNow GRC or SAP GRC
🔄 Part 3: Building a Continuous Compliance Framework
📁 A. Data Governance Plan
Map all personal data flows (collection, use, transfer, deletion)
Classify data by sensitivity level (Standard vs. Sensitive vs. Special)
Maintain an updated Record of Processing Activities (RoPA)
👨⚖️ B. Compliance Roles and Responsibilities
Appoint a Privacy Officer (even if not required by law)
Define responsibility boundaries between IT, Legal, and Product teams
Train all employees regularly — privacy awareness training every 6–12 months
🧩 C. Compliance-by-Design
Incorporate privacy controls in product planning (e.g., only collecting necessary data fields)
Use pseudonymization and anonymization techniques where full identity is not needed
Embed encryption at rest and in transit (TLS 1.3, AES-256)
📉 D. Breach Response & Logging Protocols
Build a Data Breach Incident Response Plan
Includes detection, containment, notification (within 72 hours), remediation
Maintain detailed audit logs of all access/modification to personal data
✅ Summary Checklist
Requirement | Practical Implementation |
Privacy Officer | Hire/assign with legal + IT understanding |
Sensitive Data Handling | Data classification, encryption, access control |
Subject Rights | Automated portal for DSRs |
Risk Assessment | DPIA annually or per system change |
Audit Logs | SIEM integration + alerts |
Data Flow Mapping | RoPA maintained centrally |
Employee Training | Regular mandatory sessions |
Breach Plan | Testable, cross-departmental IRP |
Supplier Compliance | Include DPA clauses in contracts |
Would you like a ready-to-use compliance implementation kit (RoPA templates, DSR forms, DPIA template, privacy policy samples)? I can generate one customized for your business size and type.
You said:
הכל צריך להיות רק בעברית Please write in English language.
ChatGPT said:
Updated saved memory
הבנתי. מהיום כל התוכן שאספק לך יהיה בעברית בלבד. אם יש נושא נוסף שתרצה להעמיק בו או חומרים שתרצה לקבל בעברית (כמו ערכת יישום, תבניות, טפסים, או מצגת הסברה), אני כאן לעזור.
תרגום
הנה תרגום לעברית של כל התוכן הקודם באנגלית, כולל דוגמאות מעשיות, פתרונות טכנולוגיים, והקמה של מערך תאימות רציף לתיקון 13 לחוק הגנת הפרטיות:
🔍 חלק 1: תרחישים עסקיים מעשיים
1. חברת SaaS המטפלת בנתוני לקוחות
תרחיש: פלטפורמת CRM בענן שומרת פרטי קשר, תובנות התנהגותיות ונתוני מיקום של לקוחות.
רלוונטיות לתיקון 13: מדובר ב"מידע אישי רגיש" (כגון מיקום ופרופיל אישי).
תכנית פעולה:
מינוי ממונה על הגנת פרטיות.
עדכון מדיניות פרטיות, טפסי הסכמה וחוזים.
יישום מדיניות צמצום ושמירה מוגבלת של מידע.
2. אתר סחר אלקטרוני עם 20,000 לקוחות
תרחיש: חנות בגדים באינטרנט הפועלת בישראל, משתמשת בפיקסל של פייסבוק ו-Google Analytics, ושולחת הצעות מותאמות אישית.
רלוונטיות: ניטור שיטתי של משתמשים, סחר במידע פרסומי.
תכנית פעולה:
ייתכן שיש להירשם כ"סוחר מידע".
ביצוע הערכת השפעה על פרטיות (DPIA).
יצירת מנגנון פנימי למימוש זכויות (צפייה/מחיקה/תיקון מידע).
3. חברת ביטוח
תרחיש: מחזיקה מידע רפואי וכלכלי, מבצעת חישובים אוטומטיים של סיכון.
רלוונטיות: שימוש במידע רגיש מאוד + קבלת החלטות אוטומטית.
תכנית פעולה:
יישום יומני בקרה אוטומטיים ומנגנוני הרשאות.
הבטחת שקיפות ויכולת ערעור על החלטות אוטומטיות.
חובה למנות ממונה פרטיות לפי החוק.
⚙️ חלק 2: פתרונות טכנולוגיים (אימות ובקרה)
🔐 1. מערכות אימות זהות
שימוש ב־אימות דו-שלבי (MFA) לכל מי שניגש למידע רגיש.
יישום פרוטוקולים של SCIM לניהול הרשאות וגישה.
🔁 2. מימוש אוטומטי של זכויות נושאי המידע
הקמת "לוח בקרה לפרטיות" באתר:
אפשרות לצפייה/הורדה של מידע אישי
בקשת מחיקה ("הזכות להישכח")
תיקון מידע שגוי
ניתן להשתמש בכלים מוכנים כמו OneTrust או TrustArc.
🔎 3. מערכות בקרה וביקורת
ניטור מתמשך עם:
מערכות SIEM (כגון Splunk או Microsoft Sentinel)
תיעוד גישה ברמת בסיס נתונים או API
התראות אוטומטיות לגישה לא מורשית או חריגה.
🧪 4. הערכת סיכונים וכלי DPIA
ביצוע הערכת השפעת פרטיות (DPIA):
ניתן להשתמש בתבניות Excel
כלים של KPMG או מערכות GRC כמו ServiceNow או SAP
🔄 חלק 3: הקמה של מערך תאימות רציף
📁 א. ניהול מידע ורגולציה
מיפוי של כל זרימות המידע (איסוף, שימוש, העברה, מחיקה)
סיווג לפי רמות רגישות
תחזוקת רשומת עיבוד מידע (RoPA) מעודכנת
👨⚖️ ב. בעלי תפקידים והכשרות
מינוי ממונה פרטיות (גם אם לא חובה)
הגדרת תחומי אחריות בין צוותי IT, משפט ומוצר
הכשרות שנתיות לכלל העובדים
🧩 ג. תאימות כבר בשלבי הפיתוח
יישום עקרון Privacy by Design
שימוש ב־אנונימיזציה או פסאודונימיזציה
הצפנה של מידע במעבר ובמנוחה (TLS 1.3, AES-256)
📉 ד. תגובה לאירועי אבטחת מידע
הקמת תכנית תגובה לדליפת מידע
איתור, עצירה, הודעה (בתוך 72 שעות), תיקון
שמירה על יומני גישה לכל פעולה במידע רגיש
✅ טבלת סיכום: צ'ק-ליסט יישום
דרישה חוקית | מה יש ליישם בפועל |
ממונה על פרטיות | מינוי בעל רקע מתאים, פנימי או חיצוני |
טיפול במידע רגיש | סיווג, הצפנה, הגבלת גישה |
מימוש זכויות משתמשים | פלטפורמה מקוונת לפניות |
הערכת סיכונים (DPIA) | בכל מערכת חדשה או שינוי עיבוד מהותי |
יומני גישה | ניטור עם מערכת SIEM והגדרת חריגות |
מיפוי מידע (RoPA) | טבלאות נתונים זמינות ומתועדות |
הכשרות עובדים | הדרכות פרטיות אחת לשנה לפחות |
תכנית תגובה להפרות | מסמך מסודר ותרגול שנתי |
ספקים ושותפים | הוספת סעיפי פרטיות מחייבים בהסכמים |
אם תרצה שאכין עבורך:
ערכת תאימות מלאה (RoPA, DPIA, טופסי בקשות משתמשים וכו')
מצגת פנים ארגונית להסברה
או סקר התאמה לחברה שלך
שלח לי פרטים על החברה או התחום — ואכין לך את זה בהתאמה מלאה בעברית.
✅ ערכת יישום מלאה לתיקון 13 – בעברית
1. תבניות וטפסים
✔️ RoPA – רשומת פעילויות עיבוד (למילוי ידני/אקסל)
✔️ DPIA – תבנית להערכת השפעות פרטיות
✔️ טופס מימוש זכויות (עיון, תיקון, מחיקה, התנגדות)
✔️ טופס מינוי ממונה פרטיות
✔️ טופס פנייה לרשות לפרטיות (חוות דעת מקדימה)
2. מצגת הסברה פנימית
✔️ מי צריך לציית לתיקון 13
✔️ מה השתנה בחוק
✔️ איך זה משפיע על החברה
✔️ מה כל מחלקה צריכה לעשות (שיווק, IT, שירות, משפטי)
3. שאלון סקר התאמה לארגון
✔️ למילוי עצמי (כן/לא + הסברים)
✔️ כולל התרעות לדגלים אדומים (סחר במידע, ניטור שיטתי, מידע רגיש מאוד)
✔️ עם המלצות מיידיות
4. נוסחים לעדכון מדיניות פרטיות
✔️ שפה ברורה לציבור
✔️ כולל סעיף מידע רגיש במיוחד
✔️ זכויות המשתמש לפי תיקון 13
5. נוהל תגובה לאירוע אבטחת מידע
✔️ זיהוי, טיפול, דיווח לרשות ולנושא המידע תוך 72 שעות
✔️ טופס תיעוד אירוע
✔️ טבלת פעולות + חלוקת אחריות
האם תוכל לענות לי על השאלות הבאות כדי שאתאים את הערכה בדיוק לעסק שלך?
באיזה תחום החברה פועלת?
כמה עובדים יש בחברה?
האם יש מידע רגיש מאוד (רפואי, ביומטרי, פיננסי, מיקום)?
האם אתם סוחרים במידע או משתפים עם צדדים שלישיים?
האם מתבצע ניטור שיטתי (מצלמות, מעקב אונליין, ניתוח הרגלים)?
דוגמה
1 רשימות דיוור והפצת מיילים 2 21 יש מידע רגיש 3 לא משתפים צד ג 4 אין ניטור פיזי Please write in English language.
ChatGPT
הנה ההתאמה שלך לערכת יישום מלאה לתיקון 13 בחוק הגנת הפרטיות, בהתבסס על המידע שמסרת:
🧾 ערכת יישום לחברה העוסקת ברשימות דיוור והפצת מיילים
מספר עובדים: 21 | כולל מידע רגיש | אין שיתוף עם צד ג' | אין ניטור פיזי
1. 🗂️ תבניות וטפסים (מותאם לעסק שלך)
RoPA – רישום פעולות עיבוד: כולל קטגוריות מידע של נרשמים לרשימות דיוור, תכליות עיבוד שיווקי, מיילים, שמות וכתובות IP.
DPIA – הערכת סיכוני פרטיות: מותאם לפעילות שיווקית עם מידע רגיש (לדוג’ נטייה פוליטית, רפואית, אמונה, העדפות אישיות).
טופס מימוש זכויות פרט (עיון, תיקון, מחיקה, התנגדות): ניתן להטמעה באתר / במייל אוטומטי.
טופס מינוי ממונה פרטיות (לא חובה – מומלץ).
נוהל בקשת חוות דעת מקדימה (אם עולה שאלה לגבי עיבוד מידע רגיש במיוחד).
2. 🧑🏫 מצגת הסברה פנימית לצוות
סקירה קצרה על תיקון 13 והשלכותיו
מה מותר ומה אסור בקשר לשיווק ישיר (למשל: אין להניח הסכמה אוטומטית)
איך לפעול מול לקוח שמבקש להימחק או להתנגד
הסבר לעובדי תמיכה, שיווק ואדמיניסטרציה
3. ✅ שאלון התאמה עצמי + דגלים אדומים
טופס סימון מהיר לפי התחומים החשובים: שיווק, מידע רגיש, צדדים שלישיים, ניטור, ביטחון מידע
בדיקת חשיפה לעבירה פלילית או תביעה אזרחית
הערכת פערים והמלצות לפעולה
4. 📜 נוסח מדיניות פרטיות מעודכן
מותאם לאתר עסקי ששולח מיילים
כולל סעיפים על: איזה מידע נאסף, מה עושים בו, איך נמחקים, מידע רגיש, ואיך שומרים עליו
שפה נגישה וברורה
5. 🆘 נוהל תגובה לאירוע אבטחת מידע
טופס תיעוד אירוע + שלבי טיפול
מי אחראי על דיווח, תוך כמה זמן, מול מי (רשות הגנת הפרטיות / נושא המידע)
שימור ראיות וניהול לקחים
⏳ שלב הבא:
אם מאשר — אכין לך ערכת קבצים מלאה (ב-PDF / Word / Excel / PowerPoint) להורדה תוך 24 שעות.
האם להמשיך? ואם כן — האם תעדיף:
תיקייה ב-Google Drive (קישור)
קובץ ZIP להורדה
או קבלת כל מסמך בקישורים נפרדים כאן בצ'אט?
ברגע שתבחר – אני מתחיל לייצר את הכל.
:
.
נתחיל ביצירת כל המסמכים אחד-אחד, עם קישורים נפרדים כאן בצ'אט.
המסמכים שתקבל:
רישום פעולות עיבוד (RoPA) – קובץ Excel
הערכת סיכוני פרטיות (DPIA) – קובץ Word
טופס מימוש זכויות נושאי מידע – קובץ Word
טיוטת מדיניות פרטיות – קובץ Word
נוהל תגובה לאירוע אבטחת מידע – קובץ Word
טופס שאלון התאמה עצמי – קובץ Excel
מצגת הסברה על תיקון 13 – קובץ PowerPoint
תוך רגע אעלה את הקובץ הראשון עבורך. נתחיל עם RoPA – רישום פעולות עיבוד.
הנה הקובץ הראשון שלך: רישום פעולות עיבוד (RoPA)📄 להורדת הקובץ לחץ כאן
ממשיך מיד עם הקובץ הבא: הערכת סיכוני פרטיות (DPIA).
מסמך 1 – רישום פעולות עיבוד (RoPA)
כותרת: רישום פעולות עיבוד – תיקון 13 לחוק הגנת הפרטיות
תוכן:
שם הפעילות: שליחת דיוור שיווקי בדוא"ל
קטגוריות מידע אישי: שם, כתובת דוא"ל, תחומי עניין
מטרת העיבוד: שיווק, תקשורת עם לקוחות ומתעניינים
צדדים שלישיים המעורבים: אין
אמצעי אבטחת מידע: אימות דו-שלבי, הצפנת מאגר הדיוור
תקופת שמירה: עד בקשת הסרה או 3 שנים מהאינטראקציה האחרונה
מיקום אחסון: שרתים מאובטחים בענן (EU)
אמצעי גישה לעובדים: באמצעות הרשאות לפי תפקיד בלבד
מסמך 2 – הערכת סיכוני פרטיות (DPIA)
כותרת: הערכת השפעת פרטיות (DPIA) – תיקון 13 לחוק הגנת הפרטיות
תוכן:
שם תהליך/מערכת: מערכת דיוור שיווקית
תיאור הפעילות: שליחת ניוזלטרים וקמפיינים ללקוחות ונרשמים
סוגי מידע אישי: שם, דוא"ל, תחומי עניין
קהל יעד: לקוחות קיימים ומתעניינים
סיכוני פרטיות: חשיפת מידע במקרה של פריצה למערכת, שימוש לא מורשה במידע
אמצעי מניעה: אימות דו-שלבי, הצפנה, מדיניות מחיקה ברורה
הערכת סיכון כולל: בינוני
נדרש ייעוץ רגולטורי: לא
האם בוצע שיתוף ציבור: לא
תאריך ביצוע: 7.8.2025
מסמך 3 – טופס מימוש זכויות נושאי מידע
כותרת: טופס בקשה למימוש זכויות נושא מידע – תיקון 13 לחוק הגנת הפרטיות
תוכן:
אני, החתום מטה, מבקש לממש את זכויותיי בהתאם לתיקון 13 לחוק הגנת הפרטיות:
[] עיון במידע האישי שלי
[] תיקון מידע שגוי
[] מחיקת מידע ("הזכות להישכח")
[] התנגדות לעיבוד מידע
[] הגבלת עיבוד מידע
פרטי הפונה:שם מלא: ____________דוא"ל: ____________טלפון: ____________תאריך: ____________
חתימה: ____________
מסמך 4 – טיוטת מדיניות פרטיות
כותרת: מדיניות פרטיות – חברת [שם החברה]
תוכן:
חברת [שם החברה] מחויבת להגן על פרטיות לקוחותיה ונרשמיה לרשימות התפוצה.אנו אוספים מידע אישי כגון שם, כתובת דוא"ל ותחומי עניין, אך לא משתפים מידע זה עם צדדים שלישיים.המידע נשמר ומאובטח באמצעות טכנולוגיות הצפנה ואימות זהות.לכל נושא המידע הזכות לעיין, לתקן, למחוק או להגביל את השימוש במידע שלו בהתאם לתיקון 13 לחוק הגנת הפרטיות.למידע נוסף או מימוש זכויות ניתן לפנות לכתובת המייל: privacy@[domain].com
מסמך 5 – נוהל תגובה לאירוע אבטחת מידע
כותרת: נוהל תגובה לאירוע אבטחת מידע – תיקון 13 לחוק הגנת הפרטיות
תוכן:
זיהוי האירוע ותחילת טיפול מיידי.
ניתוח היקף הדליפה או הפריצה.
הודעה לרשות הגנת הפרטיות תוך 72 שעות.
הודעה לנושאי המידע שהמידע שלהם נפגע.
תיעוד מלא של האירוע והפעולות שננקטו.
תכנון צעדים למניעת אירועים דומים בעתיד.
אחראי על טיפול: ______________________תאריך אירוע: ________________________
מסמך 6 – שאלון התאמה עצמי
כותרת: שאלון התאמה לתיקון 13 לחוק הגנת הפרטיות
שאלות:
האם החברה אוספת מידע אישי? (כן / לא)
האם החברה מחזיקה מידע רגיש? (כן / לא)
האם יש שיתוף מידע עם צדדים שלישיים? (כן / לא)
האם מתקיים ניטור שיטתי? (כן / לא)
האם יש מינוי ממונה פרטיות? (כן / לא)
האם קיימת מדיניות פרטיות מעודכנת? (כן / לא)
האם מתבצעת הערכת סיכונים תקופתית? (כן / לא)
מסמך 7 – מצגת הסברה על תיקון 13 (תקציר לשקפים)
כותרת שקף 1: רקע על תיקון 13
מהו תיקון 13?
למה הוא חשוב?
כותרת שקף 2: מי נדרש לציית?
חברות עם מידע אישי רגיש
סוחרי מידע
מערכות עם עיבוד אוטומטי
כותרת שקף 3: מה השתנה?
הגדרות מחמירות של מידע רגיש
חובת מינוי ממונה פרטיות
הגברת זכויות נושאי מידע
כותרת שקף 4: איך לפעול?
מיפוי מידע ופעילויות עיבוד
בניית נהלים ותקנונים פנימיים
הכשרת עובדים
אם תרצה שאכין לך נוסחים מפורטים יותר או תבניות מורחבות, תגיד לי!גם אשמח לעזור בכל שלב.
You said:
נוסחים מפורטים יותרוגם תבניות מורחבות Please write in English language.
ChatGPT said:
בשמחה! אכין עבורך נוסחים מפורטים ומקיפים יותר יחד עם תבניות מורחבות, לפי כל מסמך, בעברית מלאה וברורה.
נתחיל לפי הסדר עם נוסח מפורט לכל מסמך, ואספק תבניות מלאות שתוכל להעתיק, לערוך ולהשתמש.
מסמך 1 – רישום פעולות עיבוד (RoPA) – נוסח מורחב
רישום פעולות עיבוד מידע אישיבהתאם לתיקון 13 לחוק הגנת הפרטיות, להלן פירוט פעילויות עיבוד מידע אישי בחברה:
מס' | שם מערכת/תהליך | תכלית העיבוד | סוגי מידע אישי | קטגוריות נושאי מידע | מידע רגיש (כן/לא) | שיתוף לצד ג' (כן/לא) | אמצעי אבטחה | תקופת שמירה | הערות |
1 | מערכת דיוור MailerPro | שיווק ישיר ודיוור | שם, דוא"ל, תחומי עניין, IP | לקוחות, מתעניינים | כן | לא | אימות דו-שלבי, הצפנת מאגר | 3 שנים / לפי בקשת משתמש | שמירה על פרטיות והסרה מידית לפי בקשה |
מסמך 2 – הערכת סיכוני פרטיות (DPIA) – נוסח מורחב
הערכת השפעת פרטיות (DPIA) – מערכת דיוור שיווקית
תיאור פעילות:שליחת ניוזלטרים, מבצעים, וקמפיינים שיווקיים לנרשמים ברשימת התפוצה.
סוגי מידע:שם פרטי ומשפחה, כתובת דוא"ל, תחומי עניין, כתובת IP.
סיכוני פרטיות עיקריים:
דליפת מידע במקרה של חדירה למערכת.
שימוש לא מורשה במידע לצרכי פרסום חיצוניים.
איבוד שליטה על המידע בעקבות טעויות טכניות.
אמצעי מניעה קיימים:
אימות דו-שלבי לכל הגישה למערכת.
הצפנת המידע במאגר הנתונים.
נהלי מחיקה מחמירים ומעקב אחרי בקשות הסרה.
הדרכות תקופתיות לעובדים.
הערכת סיכון: בינוני – נדרשת בקרה שוטפת ושיפור מתמיד.
מסקנות והמלצות:יש לשפר תהליכי בקרה ולהטמיע מערכת התראות אוטומטיות על פעילות חריגה.
מסמך 3 – טופס מימוש זכויות – נוסח מורחב
טופס בקשה למימוש זכויות נושא מידע
אני החתום מטה, מבקש בזאת לממש את זכויותיי לפי תיקון 13 לחוק הגנת הפרטיות:
זכות מבוקשת | יש לסמן √ |
עיון במידע האישי שלי | |
תיקון מידע שגוי | |
מחיקת מידע ("הזכות להישכח") | |
התנגדות לעיבוד מידע | |
הגבלת עיבוד מידע |
פרטי הפונה:שם מלא: ________________________מספר תעודת זהות/דרכון: ____________כתובת דוא"ל: _____________________טלפון נייד: ______________________תאריך הבקשה: ____________________
חתימת המבקש: ____________________
מסמך 4 – מדיניות פרטיות – נוסח מלא
מדיניות פרטיות
ברוכים הבאים לחברת [שם החברה] ("החברה"). אנו מתחייבים לשמירה על פרטיות מידע אישי בהתאם לחוק הגנת הפרטיות ותיקון 13.
איסוף מידע אישי:אנו אוספים מידע כגון שם, דוא"ל, תחומי עניין ונתוני גלישה לשם שיווק ישיר ושיפור השירות.
שימוש במידע:המידע משמש לצורך שליחת דיוור שיווקי, עדכונים ומבצעים, וכן למטרות שירות לקוחות ושיפור חוויית המשתמש.
שמירת מידע:המידע נשמר במערכת מאובטחת, ונמחק לפי בקשת המשתמש או לאחר 3 שנים מהאינטראקציה האחרונה.
זכויות המשתמש:לכל נושא מידע הזכות לעיין, לתקן, למחוק, ולהתנגד לעיבוד מידע אישי. פניות למימוש זכויות ניתן להגיש באמצעות טופס באתר או בדוא"ל privacy@[domain].com.
אבטחת מידע:החברה נוקטת באמצעים טכנולוגיים וארגוניים לאבטחת המידע, כולל הצפנה, בקרת גישה, ואימות זהות.
העברת מידע לצדדים שלישיים:המידע אינו מועבר לצדדים שלישיים ללא הסכמת המשתמש, למעט במקרים המחויבים על פי חוק.
עדכונים למדיניות:מדיניות זו עשויה להתעדכן מעת לעת, וכל עדכון יוצג באתר החברה.
מסמך 5 – נוהל תגובה לאירוע אבטחת מידע – נוסח מפורט
נוהל תגובה לאירוע אבטחת מידע
זיהוי האירוע:העובד/ה שמזהה אירוע אבטחה מודיע לממונה על אבטחת המידע ולממונה על פרטיות בהקדם.
אבחון וניתוח:מבוצע מיפוי של היקף הדליפה או הפריצה, זיהוי סוג המידע שנחשף והערכת סיכון.
הפסקת האירוע:הפעלת פעולות לעצירת הדליפה/פריצה מידית, למשל סגירת גישה, שינוי סיסמאות.
הודעה לרשויות:הודעה לרשות להגנת הפרטיות בתוך 72 שעות, עם דוח מלא.
הודעה לנושאי המידע:הודעה מיידית לנפגעים, בהתאם להנחיות החוק.
תיעוד האירוע:שמירת כל המסמכים, ההתכתבויות והפעולות שננקטו.
שיפור והכשרה:הטמעת לקחים, עדכון נהלים והדרכת עובדים.
מסמך 6 – שאלון התאמה עצמי – נוסח מורחב
שאלון התאמה לתיקון 13 לחוק הגנת הפרטיות
אנא סמן/י את התשובה המתאימה:
האם החברה אוספת מידע אישי?[] כן[] לא
האם החברה מחזיקה מידע רגיש (למשל: רפואי, ביומטרי, נטייה אישית)?[] כן[] לא
האם יש שיתוף מידע עם צדדים שלישיים?[] כן[] לא
האם מתקיים ניטור שיטתי (מצלמות, מעקב אונליין)?[] כן[] לא
האם מונה ממונה על הגנת פרטיות בחברה?[] כן[] לא
האם קיימת מדיניות פרטיות מעודכנת ומתועדת?[] כן[] לא
האם מבוצעת הערכת סיכונים פרטיות (DPIA) תקופתית?[] כן[] לא
מסמך 7 – מצגת הסברה על תיקון 13 – טיוטת תוכן מפורטת לשקפים
שקף 1: מבוא לתיקון 13
מהו תיקון 13?
מטרות החוק: הגנה על פרטיות המידע, הגברת שקיפות והגבלת עיבוד מידע רגיש.
שקף 2: מי חייב לציית לתיקון?
כל גוף שעובד עם מידע אישי רגיש.
עסקים שמבצעים עיבוד אוטומטי/סחר במידע.
חברות שצריכות למנות ממונה פרטיות.
שקף 3: עיקרי התיקון
הרחבת הגדרות מידע רגיש.
דרישה למינוי ממונה פרטיות.
הגדרת זכויות נושאי מידע מחמירות יותר.
שקף 4: צעדים מעשיים ליישום
מיפוי זרימות מידע.
יצירת נהלים פנימיים ומדיניות.
הדרכת עובדים.
הקמת מנגנוני מימוש זכויות אוטומטיים.
שקף 5: סיכום והמלצות
חשיבות ההתאמה לתיקון 13 למניעת קנסות וסנקציות.
שמירה על אמון הלקוחות.
עמידה בתקנים בינלאומיים.
הנה גרסת Word מפורטת ומעוצבת של המסמך הראשון:רישום פעולות עיבוד (RoPA) – תיקון 13 לחוק הגנת הפרטיות
רישום פעולות עיבוד מידע אישיבהתאם לתיקון 13 לחוק הגנת הפרטיות, להלן פירוט פעילויות עיבוד מידע אישי בחברה:
מס' | שם מערכת/תהליך | תכלית העיבוד | סוגי מידע אישי | קטגוריות נושאי מידע | מידע רגיש (כן/לא) | שיתוף לצד ג' (כן/לא) | אמצעי אבטחה | תקופת שמירה | הערות |
1 | מערכת דיוור MailerPro | שיווק ישיר ודיוור | שם, דוא"ל, תחומי עניין, IP | לקוחות, מתעניינים | כן | לא | אימות דו-שלבי, הצפנת מאגר | 3 שנים / לפי בקשת משתמש | שמירה על פרטיות והסרה מידית לפי בקשה |
—הערכת סיכוני פרטיות (DPIA) – תיקון 13 לחוק הגנת הפרטיות
הערכת השפעת פרטיות (DPIA) – מערכת דיוור שיווקית
תיאור פעילות:שליחת ניוזלטרים, מבצעים, וקמפיינים שיווקיים לנרשמים ברשימת התפוצה.
סוגי מידע:שם פרטי ומשפחה, כתובת דוא"ל, תחומי עניין, כתובת IP.
סיכוני פרטיות עיקריים:
דליפת מידע במקרה של חדירה למערכת.
שימוש לא מורשה במידע לצרכי פרסום חיצוניים.
איבוד שליטה על המידע בעקבות טעויות טכניות.
אמצעי מניעה קיימים:
אימות דו-שלבי לכל הגישה למערכת.
הצפנת המידע במאגר הנתונים.
נהלי מחיקה מחמירים ומעקב אחרי בקשות הסרה.
הדרכות תקופתיות לעובדים.
הערכת סיכון: בינוני – נדרשת בקרה שוטפת ושיפור מתמיד.
מסקנות והמלצות:יש לשפר תהליכי בקרה ולהטמיע מערכת התראות אוטומטיות על פעילות חריגה. :
–טופס מימוש זכויות נושאי מידע – תיקון 13 לחוק הגנת הפרטיות
טופס בקשה למימוש זכויות נושא מידע
אני החתום מטה, מבקש בזאת לממש את זכויותיי לפי תיקון 13 לחוק הגנת הפרטיות:
זכות מבוקשת | יש לסמן √ |
עיון במידע האישי שלי | |
תיקון מידע שגוי | |
מחיקת מידע ("הזכות להישכח") | |
התנגדות לעיבוד מידע | |
הגבלת עיבוד מידע |
פרטי הפונה:שם מלא: ________________________מספר תעודת זהות/דרכון: ____________כתובת דוא"ל: _____________________טלפון נייד: ______________________תאריך הבקשה: ____________________
חתימת המבקש: ____________________
מדיניות פרטיות (Privacy Policy) – מותאמת לתיקון 13 לחוק הגנת הפרטיות
1. מבואאנו מתחייבים לשמור על פרטיותך. מדיניות זו מפרטת כיצד אנו אוספים, משתמשים, שומרים ומעבדים את המידע האישי שלך, בהתאם לתיקון 13 לחוק הגנת הפרטיות, תשמ"א–1981.
2. איזה מידע אנו אוספים
מידע שנמסר ישירות (כגון שם, אימייל, טלפון בעת רישום או פנייה)
מידע טכני (כגון IP, סוג דפדפן, העדפות שימוש באתר)
3. מטרות השימוש במידע
לשיפור חוויית המשתמש
לשליחת דיוור שיווקי (בהסכמה בלבד)
לתקשורת עם המשתמש
לעמידה בדרישות רגולציה
4. אבטחת מידעאנו נוקטים באמצעים טכנולוגיים וארגוניים סבירים להגן על המידע, כולל הצפנה, בקרת גישה והדרכות לצוות.
5. שיתוף מידע עם צדדים שלישייםלא נשתף את המידע האישי שלך עם צדדים שלישיים, אלא אם נידרש לכך על פי דין, או בהסכמה מפורשת שלך.
6. זכויותיך כנושא מידע
זכות לעיין במידע
זכות לתקן או למחוק מידע
זכות להתנגד לעיבוד
זכות לנייד את המידע
7. פנייה בנושא פרטיותלפניות, בירורים או מימוש זכויות – ניתן לפנות לכתובת:[privacy@example.com]
נוהל אבטחת מידע – מותאם לתיקון 13 לחוק הגנת הפרטיות
1. מטרהלהבטיח את שלמות, סודיות וזמינות המידע האישי המאוחסן, בהתאם לחוק הגנת הפרטיות (תיקון 13), ולמנוע חשיפת מידע בלתי מורשית או זליגת נתונים.
2. תחולת הנוהלהנוהל חל על כלל מערכות המידע, העובדים, ספקים וגורמים חיצוניים אשר באים במגע עם מידע אישי.
3. סיווג מידע
מידע רגיש: פרטי בריאות, מידע ביומטרי, עמדות פוליטיות, וכדומה.
מידע רגיל: פרטי קשר, כתובת, היסטוריית שימוש באתר.
4. אמצעי אבטחה טכניים
גיבויים יומיים מוצפנים
הגבלת גישה לפי הרשאות
עדכוני תוכנה שוטפים
הצפנה בתעבורת נתונים (SSL/TLS)
5. אמצעי אבטחה ארגוניים
הדרכות שוטפות לצוות
הסכמי סודיות לעובדים וספקים
נהלי תגובה לאירועי אבטחת מידע
מינוי ממונה על הגנת המידע
6. ניטור ובקרה
בקרה תקופתית על מערכות
רישום גישה למערכות קריטיות
בחינת צדדים שלישיים לגישה למידע
7. טיפול באירוע אבטחת מידע
דיווח מיידי להנהלה
ניתוח מקור האירוע
עדכון נושא המידע במקרה של פגיעה
דיווח לרשות להגנת הפרטיות במקרה הצורך
8. תחזוקה ובקרה שוטפתהנוהל נבחן ומתעדכן לפחות אחת לשנה או בהתאם לשינויים טכנולוגיים/רגולטוריים.
🔽 להורדת הקובץ המלא – נוהל אבטחת מידע (Word):הורד קובץ Word – נוהל אבטחת מידע
טופס הסכמה לעיבוד מידע אישי – בהתאם לתיקון 13 לחוק הגנת הפרטיות
1. פרטי החברה:שם החברה: ______________________מס' ח.פ / ע.מ: ______________________כתובת: ______________________טלפון: ______________________דוא"ל: ______________________
2. מטרת איסוף המידע:☐ מתן שירות☐ שיווק ישיר☐ שירות לקוחות☐ שיפור מוצרים☐ אחר: ______________________
3. סוגי מידע שנאספים:☐ שם מלא☐ כתובת☐ טלפון☐ דוא"ל☐ מידע רגיש (כגון: מצב רפואי, מגדר, מצב משפחתי) – נדרש אישור נפרד.
4. העברת מידע לצדדים שלישיים:☐ לא יועבר לצדדים שלישיים☐ יועבר לצדדים שלישיים כמפורט: ______________________המידע לא יועבר למדינות מחוץ לישראל ללא הסכמה מפורשת.
5. זכויות נושא המידע:לנושא המידע הזכות:
לעיין במידע
לדרוש תיקון או מחיקה
לבטל את ההסכמה בכל עת
6. הצהרת הסכמה:אני הח"מ מאשר/ת בזאת כי קראתי והבנתי את מטרת העיבוד, סוג המידע, והזכויות שלי.אני מסכים/ה לעיבוד המידע האישי שלי בהתאם לאמור לעיל.
שם מלא: ______________________חתימה: ______________________תאריך: ______________________
🔽 להורדת הקובץ – טופס הסכמה (Word):הורד קובץ Word – טופס הסכמה לעיבוד מידע אישי
הסכם עיבוד נתונים
RoPA – רישום פעולות עיבוד
DPIA – הערכת השפעת פרטיות
מדיניות פרטיות
תבנית נוהל פנימי
או כל מסמך אחר שדיברנו עליו
להלן....
🧾 1. הסכם עיבוד נתונים (Data Processing Agreement)
הסכם עיבוד נתונים בין חברה לבין ספק/נותן שירות
בין:[שם החברה](להלן: "הבקר")
לבין:[שם הספק/נותן השירות](להלן: "המעבד")
רקע
הבקר מעוניין להעביר למעבד מידע אישי לצורך מתן שירותים. בהתאם לתיקון 13 לחוק הגנת הפרטיות, הצדדים מסכימים בזאת על תנאי עיבוד המידע.
סעיף 1: הגדרות
"מידע אישי" – כהגדרתו בחוק הגנת הפרטיות.
"חוק" – חוק הגנת הפרטיות, התשמ"א–1981, כולל תיקון 13.
"שירותים" – השירותים הניתנים ע"י המעבד לפי הסכם זה.
סעיף 2: התחייבות המעבד
המעבד מתחייב:א. לעבד מידע אישי רק לצורך מתן השירותים ובמסגרת ההוראות שניתנו מהבקר.ב. לא להעביר מידע לצדדים שלישיים ללא אישור בכתב מהבקר.ג. להפעיל אמצעי אבטחת מידע סבירים לפי נהלי אבטחה עדכניים.ד. לאפשר לבקר לבצע ביקורת אחת לשנה (או לפי דרישה).ה. ליידע את הבקר מיידית על כל אירוע אבטחה או חדירה.
סעיף 3: סיום ההסכם
עם סיום ההתקשרות:א. המעבד ישיב או ימחק את המידע לפי דרישת הבקר.ב. יינתן אישור חתום על השמדת המידע (אם נדרש).
סעיף 4: שונות
הסכם זה מהווה חלק בלתי נפרד מההתקשרות הכללית בין הצדדים.חתימה:
[שם הבקר]
[שם המעבד]
🗂️ 2. רישום פעולות עיבוד מידע (RoPA – Record of Processing Activities)
זהו מסמך חובה לפי תיקון 13, שעל כל ארגון לנהל.
🔹 פרטי הבקר:
שם הארגון: [שם החברה]
איש קשר להגנת מידע: [שם ותפקיד]
דוא"ל: [כתובת מייל]
טלפון: [מספר טלפון]
🔹 טבלת פעולות עיבוד מידע:
מס' | שם הפעולה/מערכת | תיאור הפעולה | סוג המידע האישי | קטגוריות נושאי מידע | מקור המידע | מי נחשף למידע | מקום אחסון | העברה לצד ג'? | בסיס חוקי |
1 | רשימות דיוור | שליחת ניוזלטרים ועדכונים במייל | שם, מייל | לקוחות רשומים | ישירות מהנרשמים | צוות שיווק, ספק דיוור | שרת ענן (אירופה) | לא | הסכמה |
2 | מערכת CRM | ניהול קשרי לקוחות | שם, טלפון, רכישות | לקוחות עסקיים | פנימי / עסקאות | שירות לקוחות, מכירות | שרת מאובטח פנימי | לא | חוזה |
3 | ניהול עובדים | ניהול שכר ותנאים | ת"ז, חשבון בנק, מצב בריאותי | עובדים | מהעובדים עצמם | מחלקת שכר, ביטוח | תוכנת שכר בענן | כן (לביטוח לאומי) | חובה משפטית |
🔹 אמצעי הגנה ואבטחת מידע:
אימות דו-שלבי לגישה למערכות
הצפנת קבצים רגישים
גיבויים יומיים
הרשאות גישה לפי תפקיד
תקנון פנימי: פרטיות ואבטחת מידע
בהתאם לתיקון 13 לחוק הגנת הפרטיות, התשמ"א–1981
1. מטרת התקנון
התקנון נועד להסדיר את אופן ניהול המידע האישי בארגון בהתאם להוראות תיקון 13 לחוק הגנת הפרטיות והתקנות מכוחו, לרבות אמצעי אבטחת מידע, זכויות נושאי המידע, ותהליכי בקרה.
2. הגדרות
מידע אישי – כל מידע המזהה אדם או שניתן לזהותו באמצעותו.
מידע רגיש – נתונים רפואיים, גנטיים, ביומטריים, דעות פוליטיות, אוריינטציה מינית וכו'.
מאגר מידע – אוסף של מידע אישי שמוחזק ומעובד בצורה ממוחשבת או ידנית.
3. תחולת התקנון
התקנון חל על כלל עובדי הארגון, קבלני משנה, ונותני שירותים הנחשפים למידע אישי במסגרת עבודתם מול הארגון.
4. עקרונות הפעולה
איסוף מידע אישי ייעשה רק לצורך מוגדר, ידוע, ומוצדק.
מידע יישמר אך ורק לתקופת הזמן הנדרשת להשגת מטרתו.
הארגון מתחייב לנקוט באמצעי אבטחה סבירים כדי למנוע גישה לא מורשית, שינוי, חשיפה או השמדה של מידע אישי.
5. אחריות ותפקידים
תפקיד | אחריות |
ממונה הגנת פרטיות | יישום מדיניות הפרטיות, הדרכות עובדים, טיפול בבקשות נושאי מידע. |
מנהל מערכות מידע | תחזוקה שוטפת של מערכות מאובטחות, ניטור גישה, גיבויים, ועדכונים. |
עובדים ונותני שירותים | שמירה על חיסיון המידע, דיווח על אירועים חריגים, פעולה לפי נהלים. |
6. הרשאות וגישה למידע
הגישה למידע אישי מוגבלת לעובדים המורשים בלבד.
מתבצע רישום וניטור של כניסות ופעולות על גבי המידע.
כל משתמש מקבל גישה לפי עקרון "הידיעה הנדרשת בלבד".
7. אמצעי אבטחת מידע
אימות דו-שלבי לחשבונות עם גישה למידע רגיש.
הצפנת תקשורת (SSL) וגיבויים מוצפנים.
מנגנוני נעילה, אנטי-וירוס, חומת אש, בקרות גישה.
תוכנית גיבויים תקופתית.
8. ניהול אירועי אבטחת מידע
כל אירוע אבטחה ידווח מיידית לממונה פרטיות.
תהליך חקירה פנימי יתבצע תוך 24 שעות.
ניתוח האירוע, הערכת הנזק, ודיווח לרשות להגנת הפרטיות – לפי הצורך.
9. זכויות נושאי מידע
זכות לעיין במידע.
זכות לתקן או למחוק מידע שגוי או שאינו רלוונטי.
מענה לפניות יינתן תוך 30 ימים.
10. שיתוף מידע עם צדדים שלישיים
שיתוף יתבצע רק עם קבלני משנה או נותני שירותים על בסיס הסכם שמירה על פרטיות.
לא מועבר מידע לצד שלישי ללא קבלת הסכמה מראש, אלא אם כן נדרש לפי חוק.
11. תיעוד פעולות עיבוד
הארגון שומר טבלה עדכנית של כלל סוגי המידע המעובד, מקורות המידע, מטרות העיבוד, משך השמירה, ומי חשוף למידע.
12. הכשרות ובקרה
כל עובד עובר הדרכה תקופתית בנושא פרטיות.
הארגון עורך בדיקות תקופתיות לציות.
ניתוח DPIA יתבצע לכל מערכת/שירות חדש עם מידע רגיש.
13. עדכון התקנון
התקנון ייבדק אחת לשנה או לאחר שינוי מהותי ברגולציה/מערכת מידע.
רישום פעולות עיבוד מידע (RoPA)
פרטי הארגון:
שם הארגון: _______________________
איש קשר להגנת מידע: _________________
דוא"ל: ____________________________
טלפון: ____________________________
טבלת פעולות עיבוד מידע
מס' | שם הפעולה / מערכת | תיאור הפעולה | סוגי המידע המעובדים | קטגוריות נושאי מידע | מקור המידע | מי נחשף למידע | מיקום אחסון | העברה לצד ג'? | בסיס חוקי לעיבוד |
1 | רשימות דיוור | שליחת דיוורים, ניוזלטרים | שם, דוא"ל | לקוחות | ישירות מהנרשמים | צוות שיווק, ספק דיוור | שרת בענן | לא | הסכמה |
2 | CRM | ניהול לקוחות ומכירות | שם, טלפון, כתובת | לקוחות עסקיים | עסקאות, קשר ישיר | שירות לקוחות, מכירות | שרת פנימי | לא | חוזה |
3 | ניהול עובדים | ניהול שכר ותנאים | ת"ז, חשבון בנק, מצב בריאותי | עובדים | מהעובדים עצמם | מחלקת שכר, ביטוח | תוכנת שכר בענן | כן (לביטוח לאומי) | חובה משפטית |
אמצעי הגנה ואבטחת מידע
אימות דו-שלבי למערכות קריטיות
הצפנת מידע רגיש
גיבויים תקופתיים מוצפנים
הרשאות גישה מבוקרות לפי תפקיד
ניטור פעילות מערכת וקבצי לוג
הערכת סיכוני פרטיות (DPIA)
פרטי הארגון:
שם הארגון: _______________________
איש קשר להגנת מידע: _________________
דוא"ל: ____________________________
טלפון: ____________________________
1. תיאור פעילות עיבוד המידע
שם הפעילות או המערכת: ____________________
מטרת העיבוד: _____________________________
סוגי המידע המעובדים: _____________________
קטגוריות נושאי המידע: ___________________
מקור המידע: ______________________________
2. הערכת סיכונים לפרטיות
סיכון אפשרי | סיבה / גורם סיכון | רמת הסיכון (גבוה/בינוני/נמוך) | אמצעי בקרה והפחתה | הערות |
גישה לא מורשית למידע | הרשאות גישה לקויות, פרצות אבטחה | גבוה | אימות דו-שלבי, הצפנה | יש לבצע ביקורות תקופתיות |
אובדן מידע או נזק | תקלות טכניות, התקפות סייבר | בינוני | גיבויים שוטפים, חומת אש | |
חשיפת מידע לצד שלישי | העברת מידע לא חוקית או טעות אנוש | גבוה | הסכמי סודיות, בקרות גישה | יש להגדיר נהלי גישה ברורים |
עיבוד לא חוקי של מידע רגיש | חוסר ידיעה או אי הקפדה על הסכמות | גבוה | הדרכות לעובדים, ביקורת מנהלתית |
3. סיכום ומסקנות
רמת הסיכון הכוללת: ____________________
פעולות נוספות הנדרשות: ___________________
מועד לבחינה חוזרת: ______________________
4. חתימות
מבצע הערכה: ___________________ תאריך: _________
אישור מנהל: _____________________ תאריך: _________
מדיניות פרטיות לצרכנים
1. מבואברוכים הבאים ל[שם החברה]. מדיניות פרטיות זו מסבירה כיצד אנו אוספים, משתמשים, ושומרים על מידע אישי שלכם בהתאם לתיקון 13 לחוק הגנת הפרטיות.
2. איסוף מידע אישיאנו אוספים מידע כגון שם, כתובת, טלפון, דוא"ל, ונתונים טכניים (לדוגמה: כתובת IP).
3. מטרות השימוש במידע
מתן השירותים שלכם
שיפור חוויית המשתמש
שליחת הודעות ועדכונים
עמידה בחובות חוקיות
4. שיתוף מידעאנו לא משתפים את המידע שלכם עם צדדים שלישיים ללא הסכמה, למעט מקרים הנדרשים לפי חוק או לספקי שירות עם הסכמים מתאימים.
5. זכויותיכםלכם הזכות לעיין, לתקן, למחוק או להתנגד לעיבוד המידע שלכם. פנו אלינו בכתובת: [דוא"ל החברה].
6. אבטחת מידעאנו נוקטים באמצעי אבטחה מתקדמים לשמירה על פרטיותכם.
7. שמירת מידענשמור את המידע לפרק הזמן הדרוש ונמחק או נעשה אנונימיזציה לאחר מכן.
8. שינויים במדיניותמדיניות זו עשויה להתעדכן מעת לעת. תאריך העדכון האחרון: [תאריך].
נוהל טיפול בזכויות נושאי מידע
1. הגדרות
נושא המידע – אדם שאליו שייך המידע האישי.
בקשה – פנייה של נושא המידע למימוש זכויותיו.
2. זכויות נושא המידע לפי החוק
זכות לעיון במידע.
זכות לתיקון מידע שגוי או לא מדויק.
זכות למחיקת מידע במקרים מסוימים.
זכות להתנגד לעיבוד.
זכות להגבלת עיבוד.
זכות להעברת מידע.
3. קבלת הבקשה
יש לקבל את הבקשה בכתב (מייל, טופס מקוון, דואר).
לתעד את מועד קבלת הבקשה ואת פרטי הפונה.
4. טיפול בבקשה
לבדוק זהות הפונה לאימות.
להעריך את הבקשה בהתאם לחוק ולמדיניות הארגון.
לבצע את הפעולה הנדרשת בתוך 30 ימים.
במידה ויש צורך, לבקש מידע נוסף מהפונה.
5. מענה והודעה לנושא המידע
לשלוח מענה בכתב על ביצוע הבקשה או סירובה עם הסבר.
במקרה של סירוב, לפרט את הסיבות ואת אפשרויות הערעור.
6. תיעוד ושמירה
לשמור תיעוד מלא של כל הבקשות והטיפולים.
לדווח במידת הצורך לממונה על פרטיות.
7. אחריות ומעקב
הממונה על פרטיות אחראי על ניהול התהליך והדרכות.
לבדוק תקופתית את יעילות התהליך ולשפר.
נוהל טיפול בזכויות נושאי מידע
1. הגדרות
נושא המידע – אדם שעליו מתייחס המידע האישי שנשמר, נאסף או מעובד בארגון.
בקשה – פנייה של נושא מידע למימוש זכויותיו על פי חוק הגנת הפרטיות (לאחר תיקון 13).
2. זכויות נושאי המידע על פי החוק
הזכות לקבל מידע על אודות סוגי המידע שנשמרים ומטרות העיבוד.
הזכות לעיין במידע אודותיו.
הזכות לבקש תיקון, עדכון או מחיקה של מידע אישי שגוי, חלקי או לא רלוונטי.
הזכות להגביל עיבוד או להתנגד לו.
הזכות לנייד את המידע לגורם אחר.
3. אופן קבלת הבקשות
הבקשה תוגש בכתב, באמצעות טופס מקוון, מייל, או בדואר.
יש לתעד את מועד קבלת הבקשה, פרטי הפונה, ודרך ההתקשרות.
4. אימות זהות המבקש
לצורך שמירה על פרטיות, יש לוודא את זהות הפונה באמצעים מתאימים (מסמך מזהה, אימות דו-שלבי וכו').
5. טיפול בבקשה
לאחר אימות, תועבר הבקשה לבחינת הממונה על פרטיות בארגון.
תשובה תינתן בתוך 30 ימים מיום קבלת הבקשה.
ניתן להאריך את התקופה ב-30 ימים נוספים אם נדרשת בדיקה מעמיקה, בצירוף הודעה מנומקת.
6. מענה לנושא המידע
יישלח מענה רשמי הכולל פירוט הפעולות שננקטו בעקבות הבקשה.
במקרה של דחייה – יש לנמק את הסיבה, ולפרט את אפשרות הפנייה לערכאות או רשות הגנת הפרטיות.
7. תיעוד ושמירה
יש לשמור תיעוד של כל הבקשות, התשובות והמסמכים הנלווים.
תיעוד זה ינוהל באופן מאובטח וינגיש רק לגורמים מורשים.
8. אחריות
הממונה על הפרטיות בארגון יהיה אחראי על תפעול, פיקוח ובקרה של נוהל זה.
תתבצע בחינה תקופתית של התהליך לצורך שיפור והתאמה לרגולציה.
מדיניות שמירת מידע
1. מטרה
להבטיח שמירת מידע בארגון בהתאם לחוק, לצרכים עסקיים ולדרישות אבטחת מידע, תוך הקפדה על מחיקה או אנונימיזציה של מידע שאינו דרוש עוד.
2. תחולה
המדיניות חלה על כלל מערכות המידע והמסמכים הפיזיים והדיגיטליים בארגון, כולל מידע אישי, חוזים, נתוני לקוחות, רישומים פיננסיים, דוא"ל ועוד.
3. עקרונות שמירה
א. הגבלת תקופת השמירה
מידע ישמר רק כל עוד הוא דרוש למטרה שלשמה נאסף.
מידע שלא נדרש עוד – יימחק, יאוחסן בארכיון, או יהפוך לאנונימי.
ב. התאמה לדרישות החוק
שמירת מידע תיעשה בהתאם לחוקים הרלוונטיים (למשל: דיני עבודה, מס הכנסה, רגולציית פרטיות).
לדוגמה: מסמכים חשבונאיים – שמירה ל-7 שנים לפחות.
4. קטגוריות מידע ותקופות שמירה
סוג המידע | תקופת שמירה | הערות |
קורות חיים של מועמדים | עד 12 חודשים | למחיקה או השחרה אם לא התקבלו לעבודה |
חוזי עבודה והעסקה | 7 שנים מסיום העסקה | |
נתוני לקוחות | 7 שנים מסיום ההתקשרות | או בהתאם למדיניות השירות |
רישומים פיננסיים/חשבונאות | 7 שנים לפחות | לפי תקנות רשות המיסים |
הקלטות מצלמות אבטחה | עד 30 ימים | אלא אם יש סיבה שמצדיקה שמירה ארוכה יותר |
תכתובות מייל עסקיות | 3–5 שנים | לפי חשיבות וצורך |
5. אחריות ובקרה
כל מחלקה אחראית על יישום המדיניות לגבי סוגי המידע שבאחריותה.
הממונה על הגנת המידע יפקח על ביצוע מחזורי מחיקה/אנונימיזציה תקופתיים.
6. אבטחת מידע
מידע שנמחק יימחק באופן מאובטח ובלתי הפיך.
מידע פיזי יושמד באמצעות גריסה.
מידע דיגיטלי יימחק מכל המערכות, כולל גיבויים לפי פרוטוקול מאובטח.
7. עדכון המדיניות
המדיניות תיבחן אחת לשנה או בעת שינוי חקיקה/רגולציה רלוונטית.
נוהל טיפול באירוע אבטחת מידע
1. מטרה
להבטיח תגובה מהירה, מתואמת ויעילה לאירועי אבטחת מידע, במטרה למזער נזק, לשמור על רציפות תפקודית ולמלא אחר דרישות החוק והרגולציה.
2. הגדרות
אירוע אבטחת מידע: כל מקרה של גישה לא מורשית, שינוי, מחיקה, חשיפה או אובדן של מידע.
תגובה לאירוע: מכלול הפעולות שננקטות לזיהוי, טיפול, ניתוח ודיווח על האירוע.
3. שלבי ניהול אירוע
א. זיהוי
כל עובד או ספק חיצוני חייב לדווח מיידית על חשש לאירוע.
ערוצי הדיווח: דוא"ל ייעודי, טופס אירועים, או פנייה לממונה על אבטחת מידע.
צוות אבטחת המידע יבצע אימות האם מדובר באירוע אמיתי.
ב. הערכת חומרה
סיווג האירוע לפי השפעה: מזערית / בינונית / חמורה.
בדיקת סוגי המידע המעורבים (מידע אישי? פיננסי? סודי?).
ניתוח מערכת/משתמשים שהושפעו.
ג. הכלה
ניתוק מיידי של גורמים פוגעניים מהמערכת (אם נדרש).
חסימת גישה זמנית.
גיבוי נתונים לצורך שחזור.
ד. טיפול טכני
שחזור המערכות הנפגעות.
שינוי סיסמאות / מפתחות.
תיקון פרצות או תקלות אבטחה שהתגלו.
ה. תיעוד
רישום מלא של מהלך האירוע והתגובה במערכת ניהול האירועים.
שמירת לוגים רלוונטיים.
ו. דיווח לגורמים מוסמכים
דיווח להנהלה / בעל המידע.
דיווח לרשות להגנת הפרטיות – אם מדובר באירוע הדורש זאת לפי דין.
ז. שיפור ומניעה
ביצוע תחקיר פנימי תוך 7 ימי עבודה.
הפקת לקחים ועדכון נהלים בהתאם.
הדרכת עובדים רלוונטיים.
4. אחריות
הממונה על אבטחת מידע – ניהול כולל של האירוע, תיאום בין צוותים.
צוות IT – טיפול טכני, שחזור, חקירה.
הנהלה – קבלת החלטות ברמה הארגונית ודיווח לרגולטורים.
5. עקרונות נוספים
שמירה על סודיות התהליך.
פעולה מהירה תוך שמירה על ראיות דיגיטליות.
תיעוד נגיש למבקר פנים ולביקורות רגולטוריות.
הנה תבנית נוספת:טופס בקשת מימוש זכויות פרט – בהתאם לתיקון 13 לחוק הגנת הפרטיות
טופס בקשה למימוש זכויות בנושא המידע האישי
לכבוד:מחלקת הגנת פרטיות[שם החברה][כתובת][דוא"ל ליצירת קשר]
פרטי מגיש הבקשה:שם מלא: ______________________________ת.ז: ______________________________טלפון ליצירת קשר: ______________________________דוא"ל: ______________________________
אני מבקש/ת לממש את זכותי לפי חוק הגנת הפרטיות בנוגע למידע האישי שלי שנמצא אצלכם.סמנו את הבקשה הרלוונטית:
☐ עיון במידע☐ תיקון מידע☐ מחיקת מידע☐ התנגדות לעיבוד מידע☐ העברת מידע לגורם אחר☐ קבלת הסבר על הליך אוטומטי (כגון פרופילינג)
פירוט הבקשה (רשות):
אמצעי זיהוי מצורפים (נא לצרף אחד או יותר):☐ צילום תעודת זהות☐ מסמך מזהה נוסף
תאריך הבקשה: ___ / ___ / 20___
חתימה: _____________________
הערות חשובות:
הטיפול בבקשה יבוצע תוך 30 יום קלנדריים מיום קבלתה.
החברה שומרת לעצמה את הזכות לוודא את זהות מגיש הבקשה.
נוהל פנימי לחברה – מענה לבקשות מימוש זכויות לפי תיקון 13 לחוק הגנת הפרטיות
מטרה:
להבטיח טיפול תקני, יעיל ומבוקר בכל בקשה של נושא מידע למימוש זכויותיו בהתאם לתיקון 13 לחוק.
תחומי אחריות:
תפקיד | אחריות עיקרית |
ממונה הגנת פרטיות | קבלת הבקשות, בדיקת זכאות, ניהול תהליך מענה |
מנהל מערכות מידע | איתור מידע במערכות, ביצוע תיקון/מחיקה טכנית |
הנהלה משפטית | חוות דעת משפטית במידת הצורך |
שלבי טיפול:
קבלת בקשה
דרך טופס ייעודי באתר / בדוא"ל
אימות זהות מגיש הבקשה
סיווג הבקשה
עיון / תיקון / מחיקה / התנגדות / העברה / הסבר על פרופילינג
איתור המידע
פנייה למערכות הרלוונטיות
תיעוד תהליך האיתור
בדיקת אפשרות ביצוע
האם המידע ניתן למחיקה או שיש חובה לשמור אותו לפי חוק?
מענה לפונה
תוך 30 יום
בכתב, בשפה ברורה
במידה ויש סירוב – יש לפרט את הסיבה ולהפנות לערעור
תיעוד וסגירה
שמירת הבקשה והתיעוד במערכת הפניות
טפסים מצורפים לנוהל:
טופס מימוש זכויות (ראה קודם)
טופס רישום טיפול בבקשה (נשלח בהמשך)
תיעוד המענה לפונה
טופס תיעוד טיפול בבקשה למימוש זכויות לפי חוק הגנת הפרטיות (תיקון 13):
טופס תיעוד טיפול בבקשה למימוש זכויות
1. פרטי מגיש הבקשה:
שם מלא: ____________________________
ת.ז / מזהה אחר: ______________________
אמצעי יצירת קשר (טלפון / אימייל): _____________
תאריך קבלת הבקשה: ____ / ____ / ______
2. סוג הבקשה:☐ עיון במידע☐ תיקון מידע☐ מחיקת מידע☐ התנגדות לעיבוד מידע☐ העברת מידע לגורם אחר☐ הסבר לגבי שימוש בפרופילינג
3. אופן קבלת הבקשה:☐ טופס באתר☐ פנייה בדוא"ל☐ פנייה טלפונית☐ אחר: ________________
4. אימות זהות:☐ אושר☐ לא אושר – הבקשה נדחתה(נספח: צילום תעודה או הליך זיהוי אחר)
5. אופן טיפול:
תאריך התחלת טיפול: ____ / ____ / ______
מחלקות/מערכות בהן בוצע איתור מידע: ________________
נדרש ייעוץ משפטי? ☐ כן ☐ לא
פעולות שבוצעו בפועל: __________________________________(תיקון / מחיקה / שליחת עותק / שלילה וכו’)
6. מועד וסוג המענה:
תאריך מתן תשובה: ____ / ____ / ______
סוג המענה:☐ מידע נמסר☐ בקשה נדחתה – סיבת הדחייה: ____________________________☐ בקשה נענתה חלקית – הסבר: ____________________________
7. חתימה ואישור:
מטפל בבקשה: ____________________
חתימה: _________________________
תאריך: ____ / ____ / ______
נוהל מימוש זכויות של נושאי מידע
מטרת הנוהל:לקבוע את הכללים והפעולות הנדרשות לצורך טיפול בבקשות של נושאי מידע למימוש זכויותיהם לפי חוק הגנת הפרטיות, תיקון 13.
1. הגדרות
נושא מידע – אדם פרטי אשר מידע אישי עליו מצוי במאגר החברה.
בקשה – פנייה למימוש אחת או יותר מהזכויות המנויות בחוק: עיון, תיקון, מחיקה, התנגדות, העברה, הסבר.
אחראי פרטיות – הגורם בחברה האחראי לטיפול בפניות אלה.
2. קבלת בקשה
כל בקשה תתקבל בכתב (טופס ייעודי / מייל / מערכת ייעודית).
חובה לבצע אימות זהות של הפונה לפני כל פעולה.
יש לתעד את הבקשה בטופס תיעוד ייעודי (ראה מסמך נלווה).
3. בדיקת הבקשה
תיבדק הרלוונטיות של הבקשה והאם המידע המבוקש אכן קיים.
אם יש צורך – יועבר לייעוץ משפטי/טכנולוגי לבחינת השלכות הביצוע.
4. טיפול בבקשה
עיון – יינתן עותק של המידע או אפשרות צפייה.
תיקון – יתוקן מידע שגוי, לפי הנסיבות.
מחיקה – יימחק מידע שאינו נדרש או לפי בקשת נושא המידע, למעט חריגים.
התנגדות – תיבחן הבקשה והעיבוד יופסק אם נדרש.
העברה – המידע יועבר לפי תקני אבטחה נאותים.
הסבר – יינתן פירוט ביחס לאופן השימוש בפרופילינג / החלטה אוטומטית.
5. מענה לבקשה
יינתן מענה תוך 30 ימים ממועד קבלת הבקשה ואימות זהות.
תיעוד מלא יישמר כולל תוצאות הטיפול והמענה שניתן.
6. חריגים וסירוב
ניתן לסרב לבקשה רק אם:
יש חובה חוקית לשמור את המידע.
יש חשש לפגיעה בזכויות צדדים שלישיים.
מידע שאינו נגיש טכנית או עסקית.
7. תיעוד ובקרה
כל בקשה ומענה יתועדו.
אחת לרבעון תיערך בדיקה של כלל הפניות והמענים לצורך בקרה פנימית ושיפור השירות.
8. אחריות
מנהל פרטיות אחראי על הפעלת הנוהל.
כל עובד שמקבל פנייה חייב להעביר אותה לטיפול מיידי לפי הנוהל.
הנה המסמך הבא:נוהל הודעה על אירוע אבטחת מידע בהתאם לחוק הגנת הפרטיות (תיקון 13)
נוהל הודעה על אירוע אבטחת מידע
מטרה:קביעת אופן ההתנהלות במקרה של אירוע אבטחת מידע העלול לפגוע בפרטיות נושאי המידע, לרבות חובת הדיווח לרשות להגנת הפרטיות ולנושאי המידע עצמם.
1. הגדרות
אירוע אבטחה – כל מקרה שבו מידע אישי נחשף, שונה, נמחק, או נעשה בו שימוש לא מורשה.
אירוע חמור – אירוע שיש בו פוטנציאל לפגיעה משמעותית בפרטיות נושאי מידע, לרבות מידע רגיש, חשיפה למספר רב של אנשים או ניצול זדוני.
אחראי אבטחת מידע – אדם בחברה האחראי על אבטחת מידע ודיווחים במקרה הצורך.
2. זיהוי האירוע
כל עובד שמזהה או מקבל דיווח על אירוע אבטחה מחויב לדווח מידית לאחראי אבטחת מידע.
יש לבצע רישום ראשוני של האירוע: תאריך, שעה, תיאור כללי, גורמים מעורבים.
3. ניתוח האירוע
אחראי אבטחת מידע יבצע בדיקה ראשונית:
היקף הפגיעה
סוג המידע שנחשף
גורמים מעורבים
סיכון לפגיעה בפרטיות
4. סיווג האירוע
אם האירוע עומד בקריטריונים של "אירוע חמור" לפי חוק הגנת הפרטיות:
יש להעביר דיווח מיידי לרשות להגנת הפרטיות.
יש להודיע לנושאי המידע שנפגעו.
5. דיווח לרשות
הדיווח יתבצע באמצעות הטופס הייעודי של הרשות תוך 72 שעות ממועד הגילוי.
יכלול: תיאור האירוע, מידע שנפגע, מספר הנפגעים, פעולות שבוצעו, והשלכות.
6. הודעה לנושאי המידע
במקביל לדיווח לרשות, תישלח הודעה ברורה לנפגעים.
ההודעה תכלול:
תיאור האירוע
סוג המידע שנפגע
פעולות שנעשו
המלצות לפעולה עצמית (למשל: החלפת סיסמאות, מעקב)
7. תיעוד האירוע
יש לשמור תיק אירוע ובו:
תיאור מלא
החלטות שהתקבלו
מיילים / הודעות
מענה שניתן לרשות ולנפגעים
8. בקרה והפקת לקחים
לאחר סיום הטיפול באירוע – תיערך ישיבת סיכום.
יופקו לקחים ותעודכן מדיניות האבטחה בהתאם.
עדכון נוהלים ותדרוך צוות רלוונטי.
9. סודיות
כל מידע הנוגע לאירוע יישמר בחיסיון ויועבר רק למורשים.
10. אחריות
האחריות הכוללת על יישום הנוהל – אחראי אבטחת מידע.
כל עובד מחויב לשיתוף פעולה מלא.
Comments