הרשות להגנת הפרטיות התחילה לבדוק עסקים: מה זה פיקוח רוחב, ומה בודקים אצלכם

לרוב העסקים הקטנים בישראל יש מאגר מידע, גם אם הם מעולם לא חשבו על עצמם ככאלה. רשימת לקוחות עם טלפונים וכתובות היא מאגר. תיקי עובדים עם תלושי שכר וחשבונות בנק הם מאגר. מערכת זימון תורים עם פרטי מטופלים היא מאגר. וכשמדובר במשרד רואי חשבון, סוכנות ביטוח או משרד עורכי דין, המאגר מכיל בדיוק את סוג המידע שהחוק מגדיר כרגיש במיוחד.

עד לפני שנה, המשמעות המעשית של זה הייתה מוגבלת. הרשות להגנת הפרטיות פעלה בעיקר כרשם מאגרים, טיפלה בתלונות שהגיעו אליה, ובמקרים חריגים פתחה בהליך פלילי ארוך שכמעט לא הגיע לעסקים קטנים. זה השתנה.

מה בעצם השתנה ב-14 באוגוסט 2025

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025, והוא שינה את מאזן הכוחות בשלוש דרכים.

ראשית, אכיפה מנהלית. הרשות יכולה כיום להטיל עיצום כספי ישירות, בהליך קצר יחסית, בלי לעבור דרך בית משפט ובלי הליך פלילי. זה ההבדל בין סיכון תיאורטי לסיכון תקציבי.

שנית, סמכות פיקוח יזום. התיקון עיגן לראשונה את סמכותה של הרשות לבצע פיקוחי רוחב, כלומר ביקורות שהיא יוזמת בעצמה על מגזר שלם, בלי שאיש התלונן, וכן להיעזר במומחים חיצוניים מטעמה.

שלישית, שינוי בתפיסה. הסקירה המקצועית של Chambers and Partners לשנת 2026 בנושא הגנת מידע בישראל מתארת את המהלך במילים פשוטות: הרשות עברה מגוף שמנהל מרשם לגוף אכיפה מלא. זו לא הרחבת סמכות טכנית אלא שינוי תפקיד.

פיקוח רוחב: איך זה נראה כשזה מגיע אליכם

ההליך מתחיל בדרך כלל בשקט. הרשות מפיצה שאלון ביקורת לגופים במגזר שנבחר. השאלון מבקש מידע על אופן עיבוד המידע האישי בארגון, על אופן ניהול מאגרי המידע, על עמידה בחובת השקיפות מול הלקוחות, על קיומו של מסמך הגדרות מאגר, ועל יישום חובות אבטחת המידע לפי תקנות הגנת הפרטיות (אבטחת מידע) משנת 2017.

אחרי ניתוח התשובות, ובמידת הצורך, מגיעה דרישה להשלמת מידע בכתב, ולעיתים גם פיקוח שטח ממש במשרד. חשוב להבין נקודה אחת: גוף שנכלל בפיקוח מחויב לספק לרשות את המידע הנדרש. זו לא בקשה שאפשר להתעלם ממנה או לדחות לרבעון הבא.

מטרת ההליך, כפי שהרשות מנסחת אותה, היא לאתר הפרות של החוק וכשלים ענפיים שדורשים התערבות והנחיות מיוחדות, ובכך להעלות את מודעות המשק להוראות החוק. במילים אחרות, הרשות אינה מחפשת רק את העסק הבודד שנכשל, אלא מנסה לזהות דפוס שחוזר על עצמו בכל המגזר. זו גם הסיבה שהתוצאות מתפרסמות בדוח פומבי: מי שלא נכלל בפיקוח אמור ללמוד ממנו על עצמו.

עד תיקון 13, פיקוח רוחב הסתיים בדרך כלל בהנחיות לתיקון ליקויים ובדוח מגזרי פומבי. משרד עורכי הדין שבלת, בעדכון לקוחות שפרסם ב-23 בדצמבר 2025, מעריך שההליכים הנוכחיים והעתידיים יכללו גם סנקציות משמעותיות יותר וקנסות כספיים, בהתאם לסמכויות החדשות.

במי כבר נגעו, ומה זה מלמד על ההמשך

ב-10 בדצמבר 2025 פרסמה הרשות שהיא פותחת בהליכי פיקוח רוחב בחמישה מגזרים: רשויות מקומיות, חברות סחר מקוון, אפליקציות בשימוש נפוץ, מכוני סקר גנטי וצהרונים.

שווה להסתכל על הרשימה הזו לרגע. צהרונים. חברות סחר מקוון. אלה לא תאגידי ענק עם מחלקת ציות. אלה עסקים בגודל בינוני ולעיתים קטן, שמחזיקים מידע על ילדים, על אמצעי תשלום ועל הרגלי צריכה. הבחירה הזו משדרת מסר ברור: הרשות לא מחפשת רק את הגופים הגדולים, אלא מחפשת מגזרים שבהם ריכוז המידע הרגיש גבוה ורמת ההיערכות נמוכה.

אם העסק שלכם מחזיק מידע רפואי, פיננסי, מידע על קטינים או מידע ביומטרי, סביר להניח שהמגזר שלכם יגיע לתור בשלב כלשהו. הסקירה של Chambers לשנת 2026 מציינת שסדרי העדיפויות של הרשות לתקופה הנוכחית מתמקדים בעצמאות ממונה הגנת הפרטיות, בזכויות נושאי המידע ובממשל של בינה מלאכותית, ושהכיוון הוא חקירה יזומה במקום טיפול בתלונות.

כמה זה עולה כשמוצאים ליקוי

כאן צריך להיזהר ממספרים מפחידים שמסתובבים ברשת, כי הסכום בפועל תלוי בהרבה משתנים. מה שכן ניתן לומר בביטחון: הפרה של תקנות אבטחת המידע עלולה לגרור עיצום כספי שנע בין אלפי שקלים בודדים למאגרים קטנים ועד כ-320 אלף שקלים לכל הפרה במאגר ברמת אבטחה גבוהה, ובמאגרים המחזיקים מידע על יותר ממיליון אנשים הסכום אף מוכפל.

הסכום נקבע לפי סוג ההפרה, מספר ההפרות, כמות נושאי המידע במאגר, רגישות המידע, ורמת האבטחה של המאגר. קיימות גם הפחתות לעסקים קטנים וזעירים לפי מחזור שנתי, וזו נקודה חשובה לעסק קטן: הסכומים אינם אחידים והחוק מכיר בהבדלי גודל.

מהניסיון שלנו בשטח, הנזק הכספי הישיר הוא לרוב לא החלק הכואב. החלק הכואב הוא שהרשות מפרסמת ממצאים, ועסק שהתפרסם כמי שלא הגן על מידע לקוחות משלם על זה מול לקוחות קיימים ובמכרזים עתידיים הרבה יותר זמן משהוא משלם את הקנס.

רמת האבטחה: שלוש מדרגות ולמה זה קובע הכול

תקנות הגנת הפרטיות (אבטחת מידע) משנת 2017 מחלקות מאגרים לשלוש רמות אבטחה: בסיסית, בינונית וגבוהה. הרמה נגזרת ממאפייני המאגר, כלומר מכמות נושאי המידע, ממספר בעלי ההרשאה, ובעיקר מסוג המידע.

מידע רפואי או פסיכיאטרי, מידע גנטי, דעות פוליטיות או אמונות, עבר פלילי, נתוני מיקום, מידע ביומטרי, מידע על נכסים ומידע על הרגלי צריכה נחשבים כולם למידע שמעלה את רמת הרגישות של המאגר.

למה זה מעניין בעל עסק? כי הרמה קובעת אילו דרישות חלות עליכם בפועל, וכי רוב העסקים מעריכים את עצמם ברמה נמוכה מדי. משרד רואי חשבון שמחזיק דוחות כספיים ופרטי בנק של מאות לקוחות, או סוכנות ביטוח שמחזיקה הצהרות בריאות, אינם מאגר ברמה בסיסית. זו הטעות הראשונה, ומכיוון שהיא הטעות הראשונה, כל מה שבא אחריה מותאם לדרישות הלא נכונות.

הדרך הפשוטה לבדוק את עצמכם היא לשאול שאלה אחת: אילו נזק ייגרם לאדם שהמידע עליו נמצא אצלנו אם המאגר הזה ידלוף מחר בבוקר. אם התשובה נוגעת לבריאות, לכסף, למשפחה או לילדים, אתם כנראה לא ברמה הבסיסית. הסיווג הזה אינו הצהרה שנשארת בקלסר, הוא קובע אילו בקרות אתם חייבים להפעיל בפועל ומה ייבדק אצלכם אם תגיע ביקורת.

מסמך הגדרות המאגר, שכמעט לאף עסק אין

אחד הדברים הראשונים שנשאלים עליהם בשאלון ביקורת הוא מסמך הגדרות המאגר. זהו מסמך שמתאר מה יש במאגר, לאיזו מטרה נאסף המידע, מי בעל המאגר, מי מחזיק בו, אילו סוגי מידע נשמרים, מי בעלי ההרשאה ומהם אמצעי האבטחה.

בפועל, ברוב העסקים הקטנים שראיתי, המסמך הזה פשוט לא קיים. לא כי מישהו התרשל, אלא כי איש לא אמר לבעל העסק שהוא צריך אותו. זו החוליה החלשה הקלאסית, כי היא ניתנת לזיהוי בלי שום חקירה: או שהמסמך קיים ומעודכן, או שלא.

הבשורה הטובה היא שזה גם התיקון הזול ביותר. הכנת מסמך הגדרות מאגר לעסק קטן היא עבודה של כמה שעות, לא של חודשים, וברגע שהוא קיים הוא מייצר סדר גם בתוך העסק: פתאום ברור איפה יושב המידע ומי נוגע בו.

הרשאות גישה: מי רואה מה, ומי בדק

התקנות דורשות ניהול הרשאות לפי תפקיד, כלומר שכל עובד יקבל גישה רק למה שנדרש לו לצורך עבודתו. זה נשמע מובן מאליו ובפועל זה כמעט אף פעם לא המצב.

הדפוס החוזר בעסקים קטנים הוא הצטברות. עובד מתחיל בתפקיד אחד, עובר לתפקיד שני, ומקבל הרשאות חדשות בלי שהישנות נלקחו. אחרי שלוש שנים יש בעסק כמה אנשים שרואים כמעט הכול, בלי שאיש החליט על כך במפורש.

הבעיה מחריפה כשעובד עוזב. חשבון שנשאר פעיל אחרי סיום העסקה הוא גם פרצת אבטחה וגם ליקוי ציות ברור, וזה אחד הדברים הקלים ביותר לבדוק בביקורת: מספיק להשוות רשימת משתמשים לרשימת שכר. אם הנושא הזה עדיין לא מסודר אצלכם, זו נקודת הפתיחה המשתלמת ביותר, והיא חלק ממה שאנחנו מגדירים בשירותי אבטחת המידע לעסק.

מעבר להרשאות עצמן, התקנות דורשות תיעוד: יומני גישה שמאפשרים לדעת מי נכנס למאגר ומתי. בעסק שעובד על תיקיות רשת ללא ניהול, התיעוד הזה פשוט לא קיים.

אירוע אבטחה: מתי חייבים לדווח ולמי

התקנות מחייבות לתעד אירועי אבטחה ולטפל בהם, ובמקרה של אירוע חמור לדווח עליו מיד לרשם מאגרי המידע. במקרים מסוימים קיימת גם חובה ליידע את נושאי המידע עצמם, כלומר את הלקוחות או העובדים שנפגעו.

שתי טעויות חוזרות כאן. הראשונה היא להתייחס לדיווח כאל שיקול דעת עסקי, כלומר לשאול אם כדאי לספר. זו לא שאלה של כדאיות אלא חובה חוקית עם לוחות זמנים. השנייה היא לגלות את החובה הזו בפעם הראשונה בזמן אמת, כשמחשב הנהלת החשבונות מוצפן על ידי כופרה ובעל העסק מנסה במקביל להבין מה קרה, למי מתקשרים ומה מותר לומר.

הפתרון פשוט ולא יקר: דף אחד שכתוב מראש. מי מודיע למי, מי מחליט, מה מתעדים, ומי איש הקשר מול הרשות. תרגיל שולחן של שעה, פעם בשנה, חושף את הפערים לפני שהם עולים כסף. זה חלק אינטגרלי מתוכנית גיבוי והתאוששות ולא נספח נפרד.

ספקים חיצוניים, והמידע שיצא מהעסק

נקודה שעסקים קטנים מפספסים כמעט תמיד: המידע שלכם לא יושב רק אצלכם. הוא יושב אצל חברת הנהלת החשבונות, אצל ספק מערכת ניהול הלקוחות, אצל חברת השכר, אצל ספק הגיבוי בענן ואצל ספק המחשוב.

האחריות על המידע נשארת אצל בעל המאגר. אם ספק חיצוני דלף, זו הבעיה שלכם לא פחות משהיא שלו. לכן אחת הבדיקות המעשיות ביותר היא רשימה פשוטה: מי הספקים שנוגעים במידע אישי של העסק, מה בדיוק כל אחד מהם רואה, ומה כתוב בהסכם מולו בנושא אבטחת מידע ודיווח על אירועים.

הרשות פרסמה ב-23 באפריל 2026 גילוי דעת סופי בנושא העברת מידע אישי מחוץ לישראל לפי תקנה 2(4), נושא שנוגע ישירות לכל עסק שמשתמש בשירותי ענן שהשרתים שלהם יושבים מחוץ למדינה. במילים אחרות, זה נוגע כמעט לכל עסק שמשתמש בשירותי ענן כלשהם.

שני גילויי דעת מ-2026 שמשנים את התמונה

מעבר לאכיפה עצמה, הרשות מפרסמת גילויי דעת שמבהירים איך היא מפרשת את החוק. לגילויי דעת אין תוקף של חקיקה, אבל הרשות רואה באי עמידה בעמדותיה הפומביות שיקול לחומרה בהליכי אכיפה. שניים מהם מ-2026 רלוונטיים במיוחד לעסק קטן.

גילוי הדעת בנושא הסכמה, שפורסם ב-9 במרץ 2026, נוגע לשאלה מתי הסכמה של לקוח לשימוש במידע שלו נחשבת הסכמה תקפה. עסק שאוסף פרטים בטופס באתר, ברישום לניוזלטר או בכניסה לחנות, נמצא בדיוק בתחום הזה.

גילוי הדעת בנושא העברת מידע לחו"ל מ-23 באפריל 2026 עוסק בתנאים שבהם מותר להעביר מידע אישי מחוץ לישראל. שני המסמכים מתפרסמים באתר הרשות ושווה שמי שאחראי על הנושא בעסק יעבור עליהם, או לפחות יקבל מהיועץ המשפטי סיכום של מה שנדרש.

ראוי לציין שהתמונה הרגולטורית עדיין בתנועה. הצעת חוק רחבה יותר לרפורמה בחוק הגנת הפרטיות משנת 1981 נדונה בוועדת החוקה של הכנסת ועוסקת בין השאר בהרחבת זכויות נושאי המידע ובהבחנה בין בעל שליטה במידע לבין מעבד מידע. היא טרם נחקקה, והרשות מצפה מארגונים להתחיל להתיישר לפי עקרונותיה כבר עכשיו.

מה עושים בשבוע הקרוב

אין צורך בפרויקט ציות של חצי שנה. יש כמה צעדים שמכסים את רוב החשיפה, ואפשר לעבור עליהם בשבוע עבודה אחד.

1. לרשום על דף אחד אילו מאגרי מידע יש בעסק ואיפה כל אחד יושב, כולל מערכות ענן וקבצי אקסל בתיקיות משותפות.
2. לבדוק לאיזו רמת אבטחה כל מאגר משתייך, ולא להניח שהיא בסיסית.
3. לוודא שקיים מסמך הגדרות מאגר מעודכן לכל מאגר רלוונטי.
4. לעבור על רשימת המשתמשים ולסגור חשבונות של מי שכבר לא עובד בעסק.
5. לצמצם הרשאות שהצטברו לאורך השנים, ולהגדיר גישה לפי תפקיד.
6. לוודא שיש תיעוד גישה למערכות שמחזיקות מידע רגיש.
7. לוודא שאימות דו שלבי מופעל לכל מי שניגש למידע לקוחות מבחוץ.
8. לכתוב דף נוהל קצר לאירוע אבטחה: מי מדווח, למי ותוך כמה זמן.
9. לערוך רשימת ספקים שנוגעים במידע אישי, ולבדוק מה כתוב בהסכם מול כל אחד.
10. לוודא שהגיבוי עובד באמת, כלומר שביצעתם שחזור מבחן ולא רק ראיתם סימן ירוק.
11. לבדוק שהאתר ומדיניות הפרטיות שלו משקפים את מה שהעסק באמת עושה עם המידע.
12. לקבוע מי בעסק אחראי על הנושא. גם עסק שאינו חייב בממונה הגנת פרטיות זקוק לשם אחד שאפשר לפנות אליו.

סעיף שתים עשרה הוא הקריטי. ברוב העסקים שנכשלים בביקורת, הכישלון אינו טכני אלא ארגוני: אף אחד לא היה אחראי, ולכן שום דבר לא נעשה.

סיכום

המצב החדש אינו דרמטי אבל הוא אמיתי. הרשות להגנת הפרטיות עברה מגוף שמגיב לתלונות לגוף שיוצא לבדוק, יש לה סמכות להטיל עיצום כספי בהליך קצר, והיא כבר פועלת בפועל בכמה מגזרים.

לעסק קטן זה לא אומר שצריך לגייס מחלקת ציות. זה אומר שכדאי לעשות בשקט את מה שממילא היה נכון לעשות: לדעת איפה המידע יושב, לדעת מי ניגש אליו, לסגור גישה של מי שעזב, לגבות ולבדוק את הגיבוי, ולכתוב על דף אחד מה עושים כשמשהו קורה.

העבודה הזו משתלמת גם בלי הרגולציה. עסק שיודע איפה המידע שלו יושב ומי נוגע בו, הוא עסק שמתאושש מהר יותר מתקלה, נופל פחות להונאות, ומקבל תשובות ברורות יותר מהספקים שלו. הרגולציה רק הפכה את זה מדבר שכדאי לעשות לדבר שצריך לעשות.