האם העסק שלי צריך ממונה על הגנת הפרטיות? ומה עם רישום המאגר?

"האם אני צריך ממונה על הגנת הפרטיות?" היא השאלה השנייה הכי נפוצה שאנחנו מקבלים, מיד אחרי "האם החוק בכלל חל עליי". התשובה הקצרה לרוב העסקים הקטנים: לא. אבל הגבולות של ה"לא" הזה חשובים, וכך גם השינוי בחובת רישום המאגר. הנה הפירוט.

מה תיקון 13 קבע

סעיף 17ב1 לחוק, שנוסף בתיקון 13, מחייב מינוי "ממונה על הגנת הפרטיות" בגופים מסוימים. הממונה הוא אדם שאחראי לוודא שהארגון עומד בחוק, מייעץ להנהלה, מטפל בפניות, ומשמש איש קשר לרשות. הוא יכול להיות עובד או נותן שירות חיצוני, ואסור שיהיה לו ניגוד עניינים (למשל, מנהל השיווק שמנהל גם את הפיקסלים).

מי חייב למנות ממונה

לפי החוק, החובה חלה על:

• גופים ציבוריים, למעט חריגים.
• מי שעיסוקו העיקרי הוא עיבוד מידע כשירות לאחרים, למשל: חברות דיוור, מוקדי שירות במיקור חוץ, ספקי ענן.
• סוחרים במידע (data brokers): מי שאוסף מידע כדי למסור אותו לאחרים.
• מי שמחזיק מידע בעל רגישות מיוחדת בהיקף גדול, ובפרט מידע על יותר מ־10,000 אנשים, כשהפעילות העיקרית שלו כוללת עיבוד של מידע כזה או מעקב שיטתי אחרי אנשים.
• בנקים, חברות ביטוח, בתי חולים, קופות חולים וגופים דומים בדין.

כלומר: קליניקה של מטפל אחד עם 800 מטופלים לא חייבת. חנות אונליין עם 30,000 לקוחות, שאין בה מידע רגיש, לא חייבת. אפליקציית בריאות עם 50,000 משתמשים, כן. סוכנות שמנהלת רשימות דיוור ל־40 לקוחות עסקיים, כנראה כן, כי עיבוד מידע הוא העיסוק העיקרי שלה.

ואם אתם בתחום האפור?

יש עסקים שהתשובה עבורם לא חד־משמעית: מכון עם מידע רפואי על 8,000 איש שצומח, בית ספר פרטי עם מידע על קטינים, אפליקציה שאוספת מיקום. במקרים כאלה יש שתי אפשרויות. הראשונה: למנות ממונה בכל זאת. זה לא יקר במיוחד (יש עורכי דין ויועצים שמציעים את זה כשירות חיצוני), וזה מכסה אתכם. השנייה: לתעד במסמך הגדרות המאגר את הניתוח שלכם למה לא חלה חובה. אם הרשות תשאל, יש לכם תשובה מנומקת ולא "לא ידענו".

מה כן חובה לכולם: אחראי בפועל

גם עסק שפטור מממונה חייב שמישהו יהיה אחראי על אבטחת המידע בפועל. ברוב העסקים הקטנים זה הבעלים. השם שלו מופיע במסמך הגדרות המאגר, ותפקידו לוודא שיש סיסמאות, גיבויים, שמורשי הגישה מוגדרים ושהספקים חתומים.

רישום מאגר: מה השתנה

עד תיקון 13, כמעט כל מאגר מעל 10,000 אנשים היה חייב ברישום אצל רשם מאגרי המידע. התיקון צמצם את חובת הרישום מאוד. היום היא חלה בעיקר על:

• גופים ציבוריים
• סוחרים במידע (מי שמטרת המאגר היא מסירת מידע לאחרים)
• מאגרים עם מידע בעל רגישות מיוחדת על יותר מ־100,000 אנשים

במקום הרישום, נוספה לחלק מהמאגרים חובת הודעה לרשות: הודעה על קיום המאגר ועיקריו, בלי הליך אישור. זה חל, בין השאר, על מאגרים עם מידע בעל רגישות מיוחדת בהיקף בינוני. עסק קטן עם לידים ולקוחות רגילים לא חייב לא ברישום ולא בהודעה.

אז מה עסק קטן צריך לעשות

1. לסווג את המאגר: כמה אנשים, האם יש מידע רגיש, כמה מורשי גישה. זה קובע את רמת האבטחה.
2. לבדוק לפי הרשימה למעלה אם חלה חובת ממונה. לרוב: לא.
3. למנות אחראי בפועל ולכתוב את זה במסמך הגדרות המאגר.
4. לוודא שמדיניות הפרטיות והנוסח בטפסים מעודכנים לתיקון 13.
5. אם יש מידע רגיש בהיקף גדול או סחר במידע: להתייעץ עם עורך דין. זה המקרה שבו מחולל לא מספיק.