אחריות הדירקטוריון בתקנות הגנת הפרטיות

מה השתנה

בספטמבר 2024 פרסמה הרשות להגנת הפרטיות את הנחיה 1/2024, בנושא תפקיד הדירקטוריון בקיום חובות התאגיד לפי תקנות הגנת הפרטיות (אבטחת מידע). ההנחיה סוגרת אי-בהירות שליוותה את התקנות מאז 2017: התקנות מטילות חובות על "בעל המאגר", מבלי לומר איזה אורגן בתאגיד מבצע אותן בפועל. עמדת הרשות חד-משמעית — האחריות מונחת על שולחן הדירקטוריון.

 

עם כניסתו לתוקף של תיקון 13 לחוק, שהרחיב מהותית את סמכויות האכיפה של הרשות והוסיף עיצומים כספיים בהיקפים חדשים, הפער בין מה שהדירקטוריון עושה בפועל לבין מה שמתועד בפרוטוקול הפך לחשיפה כלכלית ממשית.

 

חמשת הדיונים שההנחיה מחייבת

מסמך הגדרות המאגר — דיון בטרם אישורו הסופי והטמעתו. (תקנה 2(א))

עקרונות נוהל אבטחת המידע הארגוני — דיון בטרם אישורו וקביעתו הסופית. (תקנות 3(2), 4(א))

תוצאות סקר סיכונים ומבדקי חדירות — לרבות הפעולות הנדרשות לתיקון הליקויים שהתגלו. (תקנות 5(ג)-5(ד))

אירועי אבטחת מידע שהתרחשו בארגון — דיון רבעוני או שנתי, לפי רמת האבטחה של המאגר. (תקנה 11(ג))

תוצאות הביקורת התקופתית על העמידה בתקנות — אחת לשנתיים. (תקנה 16(ג))

 

הדירקטוריון רשאי להאציל את הביצוע לגורם אחר בחברה, בשים לב למידת הסיכון לפרטיות, לגודל החברה ולהרכב הדירקטוריון — אך האצלה אינה פטור: נדרש תיעוד סביר של נימוקי ההחלטה, פיקוח על ביצוען בפועל ותיעוד יתר הפעולות הנדרשות לפי התקנות. (תקנה 19)

 

מעבר לחמישה דיונים — חובת פיקוח מתמשכת

גיבוש מדיניות ברמת החברה לניהול סיכוני פרטיות וסייבר, שתכריע גם בשאלות המהותיות של השימוש במידע אישי בארגון וניהולו.

קביעה שמית של האחראים לביצוע כל אחת מדרישות התקנות, ובניית מנגנוני הפיקוח והבקרה שיוודאו שהן אכן בוצעו.

הקמת מערך ציות ודיווח פנימי, כגון תכנית אכיפה פנימית, שיביא אל שולחן הדירקטוריון תמונה עדכנית ואמינה — ולא דיווח שנאסף לקראת הישיבה.

אישור התקציב וכוח האדם המוקצים לתחום, ובדיקה שהם אינם נופלים מהמקובל בענף.

 

למי זה רלוונטי

ההנחיה מכוונת, בלשונה, לחברות שעיבוד מידע אישי מצוי בליבת פעילותן או שפעילותן יוצרת סיכון מוגבר לפגיעה בפרטיות. בפועל מדובר בפיננסים וביטוח, בריאות, טכנולוגיה ופלטפורמות דיגיטליות, קמעונאות ומועדוני לקוחות, וכן בספקי מיקור חוץ שמעבדים מידע עבור אחרים.

 

שבע שאלות שדירקטוריון צריך לדעת לענות עליהן

1. אילו תהליכים עסקיים ייעצרו אם מערכת מידע מרכזית תיפול, ואילו נכסי מידע הם הרגישים ביותר?

2. מהי מידת החשיפה של אותן מערכות לסיכוני סייבר ולסיכוני פרטיות, ואילו אמצעי הגנה כבר הוטמעו?

3. מי נושא באחריות בפועל, ואיזה תקציב וכוח אדם הועמדו לרשותו?

4. מתי נבדק הארגון בפעם האחרונה בידי גורם חיצוני בלתי תלוי, ומה נעשה עם הממצאים?

5. האם הדיווח מגיע לדירקטוריון ישירות מממונה הגנת הפרטיות וממנהל אבטחת המידע, או עובר דרך שכבת ניהול?

6. מתי עודכנה המדיניות בפעם האחרונה מול השינויים הטכנולוגיים והעסקיים שהתרחשו מאז?

7. האם יושב סביב השולחן מי שמבין את התחום לעומק, או שנדרשת חוות דעת חיצונית?

 

אם התשובות אינן זמינות תוך דקות, ואינן נשענות על פרוטוקול חתום — זה הפער.

 

מה אנחנו עושים

מיפוי — מאגרי המידע, רמות האבטחה, זרימות המידע וספקי מיקור החוץ, וגזירת החובות החלות בפועל על החברה.

בדיקת פערים — סקירת פרוטוקולים, נהלים ודיווחים אל מול ההנחיה, התקנות ותיקון 13, תוך הפרדה בין מה שלא בוצע לבין מה שבוצע ולא תועד.

בניית תשתית העבודה — נוהל אחריות דירקטוריון, לוח דיונים רבעוני ושנתי, מתכונת דיווח אחידה מממונה הגנת הפרטיות וממנהל אבטחת המידע, ותבניות פרוטוקול שעומדות בדרישת התיעוד.

ליווי והטמעה — הכנת חומרי הדיון, נוכחות בדיון הראשון, והרצת מחזור הדיווח עד שהוא עומד בפני עצמו.

 

מה מקבלים

תמונת חשיפה ברורה, ברמה שניתן להציג בדירקטוריון.

לוח שנה תאגידי לדיוני הגנת פרטיות ואבטחת מידע, עם אחריות מוגדרת לכל סעיף.

נוהל אחריות דירקטוריון ומתכונת דיווח קבועה.

תיק אסמכתאות ערוך, מוכן למענה מול הרשות להגנת הפרטיות.

 

שיחת היכרות קצרה — ונהיה במקום אחר