מאגר מידע, רישום מאגר ומידע רגיש: מה זה ומה כדאי לבדוק מול עורך דין

המאמר הוא מידע כללי בלבד ואינו ייעוץ משפטי. PhishingU מספקת הדרכת מודעות, תרגילי פישינג וסריקה חינמית של הדומיין, ואינה מספקת ייעוץ משפטי או שירותי ממונה הגנת פרטיות.

למה זה בכלל מעניין

ארגונים רבים מחזיקים רשימות לקוחות, מועמדים, מטופלים, חברים, ספקים ועובדים. מרגע שיש מידע אישי שנשמר בצורה מסודרת, עולות שאלות: האם זה מאגר מידע לפי החוק, מי אחראי עליו, האם צריך לרשום אותו, ואיזה אבטחה נדרשת. המאמר מסביר את המושגים בשפה פשוטה, ומציע שאלות להעלות מול עורך דין. הוא אינו קובע מה חל על הארגון שלכם.

מושגים בסיסיים

• מידע אישי: מידע שמזהה אדם או ניתן לקשר אליו. שם, מספר זהות, טלפון, כתובת מייל, ולעיתים גם נתונים אחרים כשהם נוגעים לאדם מסוים.
• מאגר מידע: באופן כללי, אוסף של נתונים כאלה השמור בצורה מסודרת. כדאי לבדוק מול עורך דין את ההגדרה המדויקת ואילו אוספים כלולים בה.
• מי שמחזיק ומי שמעבד: בדרך כלל יש הבדל בין מי שקובע למה ואיך משתמשים במידע, לבין מי שמטפל בו בשמו, למשל ספק אחסון או מערכת ניהול. מעמד כל צד נקבע על פי הדין, והחוזה והעובדות, וכדאי לבדוק מול עורך דין מה חל עליכם.

מה נחשב מידע רגיש

באופן כללי, מידע רגיש הוא מידע שחשיפתו עלולה לפגוע בפרטיות במיוחד. בין הדוגמאות המקובלות מידע על מצב בריאותי, מצב כלכלי, חיי אישות, דעות ואמונות. הרשימה המדויקת מוגדרת בחוק ועשויה להשתנות, ולכן כדאי לוודא אותה מול עורך דין. מידע רגיש מצריך בדרך כלל הקפדה גבוהה יותר באבטחה ובהרשאות.

רישום מאגר: מה כדאי להבין

הדרישות לרישום מאגרים השתנו עם הזמן, ועשויות להיות תלויות בסוג המידע, בהיקפו ובמטרת השימוש. לכן במקום לקבוע כאן אם ומתי נדרש רישום, כדאי להכין תמונה שתעזור לעורך הדין לענות:

1. אילו אוספי מידע אישי יש לארגון, ובאילו מערכות הם נשמרים.
2. על כמה אנשים בערך מדובר בכל אוסף.
3. אילו סוגי נתונים נשמרים, ואם יש ביניהם מידע רגיש.
4. למה אוספים את המידע ומה עושים בו.
5. מי ניגש למידע, כולל ספקים.
6. אם המידע מועבר לגורמים אחרים או לחו"ל.

שאלות לעורך הדין

• האם האוספים שלנו נחשבים מאגרי מידע לפי החוק?
• האם עלינו חובת רישום או דיווח, ואם כן, מה ומתי?
• מה מעמדנו מול ספקים שמטפלים במידע בשמנו?
• האם אנחנו נדרשים למנות ממונה על הגנת הפרטיות? ראו מה זה ממונה הגנת פרטיות.
• אילו דרישות אבטחת מידע חלות עלינו?
• מה הנוהל הנדרש כשיש אירוע אבטחה? ראו מה עושים בשעות הראשונות.

אבטחה: מה כדאי שיהיה בכל מקרה

בלי קשר לדרישות הפורמליות, כמה צעדים מקובלים בכל ארגון שמחזיק מידע אישי:

• הרשאות מינימום: רק מי שצריך רואה.
• אימות דו-שלבי בתיבות ובמערכות.
• מניעת התחזות לדומיין באמצעות SPF, DKIM ו-DMARC.
• גיבוי מוגן.
• הדרכת עובדים. ראו הדרכת עובדים בהגנת הפרטיות.
• ניהול ספקים: חוזה שמגדיר מה הספק עושה במידע.

מה לא כדאי לעשות

• לא להניח שבקובץ אקסל של לקוחות אין מידע אישי שצריך להגן עליו.
• לא לפרסם הצהרות כגון "אנחנו עומדים בחוק" בלי בדיקה משפטית.
• לא להעתיק נוהל מארגון אחר בלי להתאים אותו.

מה הלאה

אפשר להתחיל במיפוי: רשימה פשוטה של אילו נתונים אישיים יש לכם, איפה, ומי ניגש אליהם. מיפוי כזה מועיל גם לעורך הדין וגם לממונה, אם מונה אחד.

תרחיש לדוגמה (לא מקרה אמיתי): מיפוי במשרד קטן

משרד של עשרה עובדים מחליט למפות את המידע האישי שיש לו. מתברר שיש רשימת לקוחות במערכת הניהול, תיקי לקוחות בכונן משותף, תכתובת עם לקוחות בתיבות המייל, רשימת מועמדים לעבודה בתיקיית משאבי אנוש, ופרטי עובדים אצל חברת השכר. אף אחד לא הגדיר בעבר אילו מהאוספים האלה הם "מאגר", ואיפה נמצא מידע רגיש. המיפוי הפשוט, בטבלה אחת, מאפשר לראות מי ניגש לכל אוסף ולהעביר את הטבלה לעורך הדין לשיחה ממוקדת.

טעויות נפוצות

• להסתכל רק על המערכת המרכזית ולשכוח תיבות מייל, גיבויים וקבצים שהועתקו למחשבים ניידים.
• להניח שמה שנמצא אצל ספק אינו באחריות הארגון. מעמד הצדדים נקבע על פי הדין והחוזה, וכדאי לבדוק מול עורך דין.
• לשמור מידע לתמיד רק כי "אולי יהיה צורך". כדאי לבדוק מול עורך דין מה חל עליכם בנושא שמירה ומחיקה.
• לא לתעד את המיפוי, כך שהידע נעלם כשאדם עוזב.
• לטפל במידע רגיש כמו בשאר המידע, ולא להקשיח הרשאות.