מאיזה תחום אתם?

חוק הגנת הפרטיות המיושן, כבר לא לבד.

"תיקון 13" לחוק, תקנות הגנת הפרטיות החדשות, הנחיות רשם מאגרי המידע והפיקוח הפרואקטיבי של הרשות להגנת הפרטיות, לצד גישה מרחיבה בפסיקת בתי המשפט, הזניקו את דיני הפרטיות והרגולציה בנושא, ויצרו מערכת דרישות וציות מחייבת ומפורטת שחלה על כל גוף שאוסף או מעבד מידע, ולמעשה כמעט על כל גוף עסקי בישראל - מכל תחום.

הדרישות משתנות בהתאם לרגישות המידע ופוטנציאל הפגיעה בפרטיות, והן יודעות להגדיר הוראות, דרישות תיעוד ואחראים ברורים, כך שלא ניתן להסתתר עוד מאחורי ניסוחים גנריים, העברת אחריות, או "פלסטרים" למיניהם. הרשות להגנת הפרטיות מגדירה כיום הנחיות ספציפיות לאופן יישום דיני הפרטיות, בהתאם לאופי המיוחד של מגזרים שונים במשק, למשל "הגנה על פרטיות מטופלי שירותי רפואה מרחוק", "מדריך פרטיות תלמידות ותלמידים במוסדות חינוך בעידן הדיגיטלי", "מדיניות, רגולציה ואתיקה בתחום הבינה המלאכותית" ועוד.

"תיקון 13" העניק לרשות את סמכויות האכיפה הדרמטיות שלהן חיכתה שנים רבות, ושינה מן היסוד את הערכות ניהול הסיכונים הנוכחיות בארגונים רבים.

הבנה של מפת הדרישות הרלוונטית לכל ארגון, בהתאם לתחום התעשייה שלו, למאגרי המידע שלו ולשיטות עיבוד המידע המשמשות אותו, חיונית להתמודדות נכונה ולהגנה על הארגון ובעלי התפקידים שלו, וכמובן על פרטיות הלקוחות, העובדים, או כל אדם אחר שיש לארגון מידע עליו.

נסקור כמה דוגמאות של עקרונות רוחביים בהגנת הפרטיות:

עקרון האחריותיות (Accountability) בארגון

הרגולציה החדשה דורשת מארגונים לא רק לציית, אלא להוכיח שהם פועלים בהתאם. זה מחייב ניהול מתועד, תהליכי שליטה ובקרה – ולא רק מדיניות על הנייר.

הפתרון: תהליך מעשי להטמעת עקרון האחריותיות, הכולל מיפוי מידע, ניתוח סיכונים, מדיניות פרטיות, מסמכי בקרה, תיקי פיקוח פנימיים, תיעוד מסודר, ומנגנוני שיפור מתמשך.

התוצאה ?

ראש שקט יותר מול הרגולטור – מוכנות לביקורת או אירוע אבטחה
עמידה בתקנים
תרבות פרטיות שמשלבת רגולציה עם אחריות ניהולית

האם אנחנו עומדים בדרישות?”, זה בדיוק מה שהתהליך שלנו מנתח ויודע לייצר

צמצום מידע (Data Minimization)

על פי עקרון יסוד בחוק הגנת הפרטיות, ארגונים מחויבים לאסוף ולעבד רק את המידע ההכרחי למטרות המוצהרות. בפועל, הארגון עלול לשמור מידע מיותר, לבקש פרטים רגישים ללא הצדקה, ללא ביצוע ביקורת תקופתית על מה שנשמר, מועבר או נאסף. כל אלה יוצרים:

סיכוני פגיעה בפרטיות בעצם האיסוף והשימוש במידע
חשיפה רגולטורית מיידית (כולל לפי תיקון 13)
חשיפה לפגיעות ולדליפות מידע

הפתרון: ליווי מקצועי ליישום עקרון צמצום המידע בארגון, הכולל שלושה שלבים:

שלב 1: מיפוי המידע הקיים

שלב 2: ניתוח מידתיות, צמצום ואנונימיזציה

שלב 3: כתיבת מדיניות, כלים ותיעוד ומיטוב היקפי המידע לדרישות החוק וצרכי הארגון.

התוצאה -

הפחתת החשיפה להפרות חוק
ייעול תהליכים ואחסון מידע
צמצום היקף ההתמודדות באירוע אבטחה או בביקורת
חיזוק אמון הלקוחות, העובדים והציבור
יתרון תחרותי בשוק תחרותי רווי ברגולציה

אפשר להתחיל בצעד פשוט: פגישת אבחון קצרה שבה נאתר את אזורי הפוטנציאל למידע עודף – ונבחן היכן צמצום חכם של מידע דווקא יחזק אתכם

מסמכי מדיניות ורגולציה פנימיים

.... “copy-paste” מסמכי פרטיות רבים הם כלליים, לא מעודכנים, או פשוט נעשים ב

הרגולציה דורשת מדיניות קונקרטית שמשקפת את תהליכי הארגון באמת – לרבות שימוש

בטכנולוגיות מתקדמות

:הפתרון

:כתיבה ותחזוקה של מדיניות פרטיות תואמת רגולציה, מותאמת לצרכי הארגון

מסמך מדיניות רשמי
מסמך אבטחת מידע
הגדרות מאגר (כפי שדורשות תקנות)
מסמך יידוע
נוהלי תגובה לאירועים

נסקור את המסמכים הקיימים – לאיתור וניתוח פערים

יישום מנגנוני שקיפות ויידוע אמיתי לנושאי מידע

כדי להסתמך על הסכמה, החוק מחייב לא רק “להודיע” אלא לוודא שהאדם באמת הבין. זה הופך את השפה, התזמון והעיצוב של היידוע לחלק קריטי מהציות החוקי.

הפתרון: בנייה מחדש של מנגנוני היידוע וההסכמה על פי דרישות החוק והנחיות הרשות. כולל:

טפסים ברורים (Plain Language)
הצגת סיכונים ותוצאות אי-הסכמה
שקיפות בהעברות מידע לצדדים שלישיים
התאמה להודעות יזומות או חוזיות (כמו באתר, באפליקציה או מול עובדים)

מעוניין לוודא שההסכמות שלכם תקפות? ניתוח מקצועי קצר יכול לחסוך בעיות גדולות

הערכת פרטיות לארגונים בינלאומיים או עם מידע אירופי

מידע מאירופה? אתם כבר כפופים לרגולציה מחמירה יותר – אולי בלי לדעת.

מידע שמקורו באיחוד האירופי מחייב עמידה בתנאים מחמירים במיוחד – כולל זכויות מידע, שקיפות, ותחזוקת מנגנוני תיקון מידע – גם אם אתם פועלים מישראל בלבד.

הפתרון: בדיקת נוכחות של מידע מהאזור הכלכלי האירופי (EEA), סקירת חוזים, נהלים ומדיניות בהתאם לדרישות ה-GDPR ותקנות הגנת הפרטיות בישראל.

אם יש לכם מידע שמגיע מאירופה – אפשר לבדוק התאמה בהליך מהיר.

אחריות הדירקטוריון והנהלה בכירה בקיום חובות ציות לתקנות הגנת הפרטיות

לפי הנחיית הרשות, דירקטוריון של חברה שבה עיבוד מידע אישי מצוי בליבת הפעילות – מחויב לפקח על עמידת הארגון בדרישות תקנות הגנת הפרטיות (אבטחת מידע), תוך קבלת דיווחים שוטפים, אישור נהלים, קביעת אחריות תאגידית, ואף עלול לשאת באחריות אישית להפרה.

ליווי מובנה להטמעת אחריות הדירקטוריון בתחום הגנת הפרטיות, הכולל:

✔ מיפוי ראשוני של סיכוני ציות ברמת הדירקטוריון והנהלה

✔ ניסוח ואישור מסמכי מדיניות ברמה הניהולית

✔ קביעת מנגנוני פיקוח ובקרה אפקטיביים

✔ הכשרת דירקטורים והנהלה על חובותיהם בתחום

✔ תמיכה בבניית תוכנית אכיפה פנימית

נשמח לבחון יחד אתכם את רמת הסיכון, ולבנות מסלול ליווי מדורג עבור הדירקטורים והנהלת החברה.