מסמך הגדרות מאגר: מה זה, מי חייב, ואיך הוא נראה (דוגמה למבנה)

מכל החובות של תיקון 13, זו החובה שהכי הרבה עסקים קטנים לא שמעו עליה: מסמך הגדרות המאגר. הוא לא עמוד באתר, אף לקוח לא רואה אותו, ובכל זאת הוא המסמך הראשון שהרשות להגנת הפרטיות מבקשת בביקורת. הנה מה זה, מי חייב, ואיך הוא נראה.

מה זה בעצם

תקנה 2 לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017, קובעת שבעל השליטה בכל מאגר מידע יכין "מסמך הגדרות מאגר". זה מסמך פנימי שמתאר, בכתב, מה יש במאגר, למה, מי ניגש אליו ומה הסיכונים. המטרה של המחוקק פשוטה: עסק שכתב את זה פעם אחת יודע מה הוא מחזיק, ועסק שלא כתב, לרוב לא יודע.

המסמך נדרש לכל מאגר: גם רשימת לידים של 300 אנשים באקסל, גם מערכת CRM עם 50,000 לקוחות. מה שמשתנה לפי הגודל הוא רמת האבטחה, לא עצם החובה.

מי חייב

כל מי שמחזיק מאגר מידע, כלומר אוסף פרטים מזהים על אנשים באופן שיטתי. אתר עם טופס לידים הוא מאגר. חנות אונליין היא מאגר. קליניקה עם רשימת מטופלים היא מאגר. עמותה עם רשימת תורמים היא מאגר.

יש הקלה אחת: מאגר שמנוהל בידי יחיד או עסק שבו לא יותר משלושה מורשי גישה, ואין בו מידע בעל רגישות מיוחדת על יותר מ־10,000 אנשים, נחשב למאגר ברמת אבטחה בסיסית עם דרישות מצומצמות. אבל גם אז המסמך נדרש, רק קצר יותר.

מה כותבים: מבנה המסמך

התקנה מפרטת את הרכיבים. זה המבנה שאנחנו ממליצים עליו, בסדר שקל למלא:

1. פרטי בעל השליטה. שם העסק, ח.פ., איש קשר, תאריך העריכה.
2. תיאור כללי של המאגר. משפט או שניים: "מאגר לקוחות ולידים של קליניקה לטיפולי עור, המשמש לתיאום תורים, חיוב ודיוור".
3. מטרות השימוש. רשימה: מתן שירות, חיוב, שירות לקוחות, דיוור שיווקי, ניתוח.
4. סוגי המידע. שם, טלפון, דוא״ל, כתובת, היסטוריית רכישות. מידע בעל רגישות מיוחדת (בריאותי, כלכלי, ביומטרי) מסומן בנפרד, כי הוא משנה את רמת האבטחה.
5. היקף המאגר. מספר האנשים שמידע עליהם נמצא במאגר (בקירוב), ומספר מורשי הגישה.
6. העברת מידע. למי מועבר מידע ולאיזו מטרה: סליקה, דיוור, CRM, ענן, רואה חשבון. האם מחוץ לישראל.
7. מקומות אחסון. איפה המידע פיזית: Wix, Google Workspace, מחשב במשרד, אפליקציית ניהול.
8. הסיכונים העיקריים. טבלה קצרה: סיכון, הסתברות, נזק אפשרי, אמצעי התמודדות. למשל: "גישה לא מורשית לחשבון הדיוור. אמצעי: אימות דו־שלבי, סיסמה ייחודית".
9. רמת האבטחה של המאגר. בסיסית, בינונית או גבוהה, לפי הסיווג בתקנות ולפי ההיקף וסוגי המידע.
10. ממונה על אבטחת מידע / הגנת הפרטיות. אם נדרש, מי. אם לא, מי אחראי בפועל. מי חייב למנות ממונה.
11. מועד הסקירה הבא. את המסמך צריך לבדוק מחדש בכל שינוי משמעותי, ולפחות אחת לתקופה.

דוגמה: קליניקה קטנה

קליניקה של מטפלת אחת עם מזכירה, 1,200 מטופלים, Wix Bookings, WhatsApp Business ו־Google Workspace. מסמך ההגדרות שלה יגיד: שני מורשי גישה, מידע בריאותי (רגישות מיוחדת) על פחות מ־10,000 אנשים, ולכן רמת אבטחה בינונית. סיכונים עיקריים: דליפה מהטלפון האישי שבו WhatsApp, גישה לחשבון Google. אמצעים: נעילת מכשיר, אימות דו־שלבי, גיבוי. העברה לחו״ל: כן, Wix ו־Google. עמוד וחצי, וזה המסמך.

שלוש טעויות נפוצות

לחשוב שזה מדיניות הפרטיות. לא. המדיניות היא ציבורית ופונה ללקוחות; מסמך ההגדרות הוא פנימי ופונה לרשות ולכם. הם נגזרים מאותם נתונים, אבל אלה שני מסמכים.

לכתוב אותו פעם אחת ולשכוח. החלפתם מערכת דיוור? הוספתם עובד? זה שינוי שצריך להופיע במסמך.

לחכות שיבקשו. בביקורת של הרשות, "אין לנו כזה" הוא הפרה בפני עצמה, בלי קשר לשאלה אם המידע מאובטח בפועל.