תקנות אבטחת מידע ותיקון 13: שמונה החובות הבסיסיות לעסק קטן ובינוני, עם טבלת בדיקה מהירה.
תשובה קצרה: תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז־2017, חלות כמעט על כל עסק שמחזיק מידע על לקוחות, עובדים או רשימת תפוצה. הן קובעות חובות אבטחת מידע מעשיות של תיעוד, נהלים, הדרכה וגיבוי. התקנות קיימות מאז 2017, אבל תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025, הרחיב את סמכויות האכיפה של הרשות ונתן להן משקל חדש. להלן שמונה החובות הבסיסיות.
למי המאמר הזה מיועד
לבעלי עסקים קטנים ובינוניים, מנהלי חנויות מקוונות, קליניקות ומשרדים שמנהלים מידע על אנשים. אם יש לכם לקוחות, עובדים או רשימת תפוצה, יש לכם כנראה מאגר מידע, והתקנות רלוונטיות אליכם.
למה זה חשוב דווקא עכשיו
במשך שנים התקנות נשארו ברקע. תיקון 13 לא ביטל אותן אלא חיזק את מנגנוני האכיפה סביבן, כולל עיצומים כספיים במקרים המתאימים לפי החוק. החובות חלות גם כשלא היה אירוע דליפה, ולכן השאלה אינה רק "האם דלף מידע" אלא "האם העסק עשה את מה שנדרש ממנו". החובות חלות על עסק קטן ועל חברה גדולה כאחד. מה שמשתנה הוא היקף התיעוד ורמת האבטחה.
לרקע על התיקון עצמו ראו תיקון 13 לבעלי אתרים.
שמונה חובות אבטחת מידע בסיסיות
1. סיווג המאגר ובדיקת חובת רישום או דיווח
לקבוע באיזו רמת אבטחה נמצא המאגר: בסיסית, בינונית או גבוהה. במקביל לבדוק אם חלה עליו חובת רישום או דיווח לרשות. תיקון 13 צמצם את משטר הרישום והוסיף חובת דיווח לגבי מאגרים מסוימים, ולכן לא כדאי להניח רישום או פטור בלי בדיקה.
2. מסמך הגדרות מאגר
מסמך שמתאר את סוגי המידע, את המטרות, את המערכות שבהן הוא נשמר ואת מי שאחראי עליו. המסמך מתעדכן לפחות פעם בשנה.
3. נוהל אבטחת מידע
מסמך שמפרט איך המאגר מאובטח: הרשאות, סיסמאות, גישה מרחוק, טיפול באירועים. גם הוא מתעדכן לפחות פעם בשנה.
4. מסמך מבנה טכנולוגי
רשימה מעודכנת של המערכות שבהן מאוחסן המידע. במאגר ברמת אבטחה גבוהה נדרשות גם בדיקות חדירה מתועדות.
5. התחייבות לסודיות והדרכת עובדים
החתמת עובדים בעלי גישה על התחייבות לסודיות, והדרכה תקופתית בנושאי אבטחת מידע, לפחות פעם בשנה.
6. הסכמים עם ספקים חיצוניים
כל ספק שמעבד מידע בשמכם, למשל אחסון בענן, דיוור או סליקה, צריך הסכם שקובע את גבולות השימוש במידע, את חובות האבטחה והסודיות ואת מה שקורה למידע בסיום ההתקשרות.
7. גיבויים ובדיקת שחזור
גיבוי סדיר של המאגר, ובדיקה שהשחזור באמת עובד, לפחות פעם בשנה. גיבוי שלא נבדק הוא הנחה, לא גיבוי.
8. תיעוד אירועי אבטחה ודיווח
תיעוד של ניסיונות פריצה, תקלות וכשלים, ודיווח לרשות להגנת הפרטיות על אירוע אבטחה חמור.
זו רשימה מינימלית. במאגרים ברמת אבטחה בינונית או גבוהה יש חובות נוספות, למשל בקרת גישה מפורטת, ניטור וסקרי סיכונים.
טבלת בדיקה מהירה
| # | חובה | תדירות | קיים אצלנו? |
|---|---|---|---|
| 1 | סיווג המאגר ובדיקת רישום או דיווח | בהקמה ובכל שינוי | |
| 2 | מסמך הגדרות מאגר | שנתי | |
| 3 | נוהל אבטחת מידע | שנתי | |
| 4 | מסמך מבנה טכנולוגי | בכל שינוי | |
| 5 | סודיות והדרכת עובדים | שנתי | |
| 6 | הסכמים עם ספקים | בכל התקשרות | |
| 7 | גיבוי ובדיקת שחזור | שנתי לפחות | |
| 8 | תיעוד ודיווח אירועים | שוטף |
שאלות נפוצות
יש לי עסק של אדם אחד. גם עליי זה חל?
אם אתם מחזיקים מידע על לקוחות, ככל הנראה כן. ברמת אבטחה בסיסית החובות פשוטות יותר, אבל הן קיימות.
האם תיקון 13 ביטל את התקנות?
לא. התקנות ממשיכות לחול, ותיקון 13 פועל לצידן.
מאיפה מתחילים?
מסיווג המאגר. ממנו נגזר מה בדיוק נדרש מכם, ומה אפשר להשאיר פשוט.
כמה מתוך שמונה החובות כבר מסודרות אצלכם? אם התשובה לא ברורה, זה המקום להתחיל. ראו דיני פרטיות ותיקון 13, את שירות Legal Pro, או תאמו שיחה.
המידע במאמר כללי ואינו מהווה ייעוץ משפטי למקרה ספציפי.