הרשות להגנת הפרטיות התחילה לבדוק עסקים: מה זה פיקוח רוחב, ומה בודקים אצלכם

עסקים קטנים רבים בישראל מחזיקים מאגרי מידע. לא תמיד הם מזהים את המידע שברשותם כמאגר. רשימת לקוחות עם טלפונים וכתובות היא מאגר. תיקי עובדים עם תלושי שכר וחשבונות בנק הם מאגר. מערכת זימון תורים עם פרטי מטופלים היא מאגר. במשרדי רואי חשבון, סוכנויות ביטוח ומשרדי עורכי דין יש גם מידע בעל רגישות מיוחדת. לכן צריך לבדוק את סוג המידע ואת הדרישות שחלות עליו.

עד לפני שנה, המשמעות המעשית של זה הייתה מוגבלת. הרשות להגנת הפרטיות פעלה בעיקר כרשם מאגרים, טיפלה בתלונות שהגיעו אליה, ובמקרים חריגים פתחה בהליך פלילי ארוך שכמעט לא הגיע לעסקים קטנים. זה השתנה.

מה בעצם השתנה ב-14 באוגוסט 2025

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025, והוא שינה את מאזן הכוחות בשלוש דרכים.

ראשית, אכיפה מנהלית. הרשות יכולה כיום להטיל עיצום כספי ישירות, בהליך קצר יחסית, בלי לעבור דרך בית משפט ובלי הליך פלילי. זה ההבדל בין סיכון תיאורטי לסיכון תקציבי.

שנית, כלי פיקוח ואכיפה מורחבים. אין להסיק שפיקוח יזום החל רק בתיקון 13: הרשות ביצעה פיקוחי רוחב גם קודם לכן. הסבר הרשות על התיקון מפרט את השינויים ואת סמכות העיצומים הכספיים.

שלישית, שינוי בתפיסה. הסקירה המקצועית של Chambers and Partners לשנת 2026 בנושא הגנת מידע בישראל מתארת את המהלך במילים פשוטות: הרשות עברה מגוף שמנהל מרשם לגוף אכיפה מלא. זו לא הרחבת סמכות טכנית אלא שינוי תפקיד.

פיקוח רוחב: איך זה נראה כשזה מגיע אליכם

ההליך מתחיל בדרך כלל בשקט. הרשות מפיצה שאלון ביקורת לגופים במגזר שנבחר. השאלון מבקש מידע על אופן עיבוד המידע האישי בארגון, על אופן ניהול מאגרי המידע, על עמידה בחובת השקיפות מול הלקוחות, על קיומו של מסמך הגדרות מאגר, ועל יישום חובות אבטחת המידע לפי תקנות הגנת הפרטיות (אבטחת מידע) משנת 2017.

אחרי ניתוח התשובות, ובמידת הצורך, מגיעה דרישה להשלמת מידע בכתב, ולעיתים גם פיקוח שטח ממש במשרד. חשוב להבין נקודה אחת: גוף שנכלל בפיקוח מחויב לספק לרשות את המידע הנדרש. זו לא בקשה שאפשר להתעלם ממנה או לדחות לרבעון הבא.

הרשות מבקשת לאתר הפרות חוק וכשלים ענפיים שדורשים התערבות והנחיות מיוחדות. כך היא שואפת להעלות את המודעות להוראות החוק במשק. הבדיקה חורגת מהעסק הבודד. הרשות מנסה לזהות גם דפוס שחוזר על עצמו במגזר שלם. לכן הרשות מפרסמת את התוצאות בדוח פומבי. גם עסקים שלא השתתפו בפיקוח יכולים ללמוד ממנו ולבחון את מצבם.

עד תיקון 13, פיקוח רוחב הסתיים בדרך כלל בהנחיות לתיקון ליקויים ובדוח מגזרי פומבי. משרד עורכי הדין שבלת, בעדכון לקוחות שפרסם ב-23 בדצמבר 2025, מעריך שההליכים הנוכחיים והעתידיים יכללו גם סנקציות משמעותיות יותר וקנסות כספיים, בהתאם לסמכויות החדשות.

במי כבר נגעו, ומה זה מלמד על ההמשך

ב-10 בדצמבר 2025 פרסמה הרשות שהיא פותחת בהליכי פיקוח רוחב בחמישה מגזרים: רשויות מקומיות, חברות סחר מקוון, אפליקציות בשימוש נפוץ, מכוני סקר גנטי וצהרונים.

שווה להסתכל על הרשימה הזו לרגע. צהרונים. חברות סחר מקוון. אלה לא תאגידי ענק עם מחלקת ציות. אלה גם עסקים בינוניים וקטנים. הם מחזיקים מידע על ילדים, אמצעי תשלום והרגלי צריכה. הבחירה במגזרים האלה מדגישה שגם עסק קטן עשוי לעבור פיקוח. ריכוז המידע הרגיש ורמת ההיערכות חשובים לצד גודל הגוף.

מידע רפואי, פיננסי וביומטרי, וגם מידע על קטינים, מחייב תשומת לב מיוחדת. עסקים במגזרים שמחזיקים מידע כזה צריכים להיערך לביקורת אפשרית. הסקירה של Chambers לשנת 2026 מציינת כמה סדרי עדיפויות של הרשות. אלה כוללים את עצמאות ממונה הגנת הפרטיות ואת זכויות נושאי המידע. הסקירה מציינת גם ממשל בינה מלאכותית ומעבר לחקירות יזומות, מעבר לטיפול בתלונות.

כמה זה עולה כשמוצאים ליקוי

עיצום כספי תלוי בסעיף שהופר, במאפייני המאגר ובנסיבות שנקבעו בדין. יש לבדוק את הסכומים והתנאים בנוסח העדכני ובמסמכי הרשות, ולא להחיל סכום מרבי אחד על כל עסק.

הסכום נקבע לפי סוג ההפרה, מספר ההפרות, כמות נושאי המידע במאגר, רגישות המידע, ורמת האבטחה של המאגר. קיימות גם הפחתות לעסקים קטנים וזעירים לפי מחזור שנתי. זו נקודה חשובה לעסק קטן: הסכומים אינם אחידים והחוק מכיר בהבדלי גודל.

מהניסיון שלנו בשטח, הנזק הכספי הישיר הוא לרוב לא החלק הכואב. החלק הכואב הוא שהרשות מפרסמת ממצאים, ועסק שהתפרסם כמי שלא הגן על מידע לקוחות משלם על זה מול לקוחות קיימים ובמכרזים עתידיים הרבה יותר זמן משהוא משלם את הקנס.

רמת האבטחה: שלוש מדרגות ולמה זה קובע הכול

תקנות הגנת הפרטיות (אבטחת מידע) משנת 2017 מחלקות מאגרים לשלוש רמות אבטחה: בסיסית, בינונית וגבוהה. הרמה נגזרת ממאפייני המאגר, כלומר מכמות נושאי המידע, ממספר בעלי ההרשאה, ובעיקר מסוג המידע.

מידע רפואי או פסיכיאטרי, מידע גנטי, דעות פוליטיות או אמונות, עבר פלילי, נתוני מיקום, מידע ביומטרי, מידע על נכסים ומידע על הרגלי צריכה נחשבים כולם למידע שמעלה את רמת הרגישות של המאגר.

למה זה מעניין בעל עסק? רמת האבטחה קובעת אילו דרישות חלות על העסק. הערכת חסר עלולה להוביל להיערכות שאינה מתאימה למאגר. לדוגמה, משרד רואי חשבון עשוי להחזיק דוחות כספיים ופרטי בנק של מאות לקוחות. סוכנות ביטוח עשויה להחזיק הצהרות בריאות. אין להניח שמאגרים כאלה שייכים אוטומטית לרמת האבטחה הבסיסית. בדיקה מקצועית של הסיווג היא נקודת ההתחלה. טעות בשלב הזה עלולה להשפיע על יתר ההיערכות.

הדרך הפשוטה לבדוק את עצמכם היא לשאול שאלה אחת: אילו נזק ייגרם לאדם שהמידע עליו נמצא אצלנו אם המאגר הזה ידלוף מחר בבוקר. אם התשובה נוגעת לבריאות, לכסף, למשפחה או לילדים, אתם כנראה לא ברמה הבסיסית. הסיווג הזה אינו הצהרה שנשארת בקלסר, הוא קובע אילו בקרות אתם חייבים להפעיל בפועל ומה ייבדק אצלכם אם תגיע ביקורת.

מסמך הגדרות המאגר, שכמעט לאף עסק אין

שאלון הביקורת בוחן, בין היתר, את מסמך הגדרות המאגר. המסמך מפרט מה יש במאגר ולשם מה העסק אוסף את המידע. הוא מציין את בעל המאגר ואת המחזיק בו. בנוסף, הוא מפרט את סוגי המידע, את בעלי ההרשאות ואת אמצעי האבטחה.

בפועל, ברוב העסקים הקטנים שראיתי, המסמך הזה פשוט לא קיים. לא כי מישהו התרשל, אלא כי איש לא אמר לבעל העסק שהוא צריך אותו. זו החוליה החלשה הקלאסית, כי היא ניתנת לזיהוי בלי שום חקירה: או שהמסמך קיים ומעודכן, או שלא.

הבשורה הטובה היא שזה גם התיקון הזול ביותר. הכנת מסמך הגדרות מאגר לעסק קטן היא עבודה של כמה שעות, לא של חודשים, וברגע שהוא קיים הוא מייצר סדר גם בתוך העסק: פתאום ברור איפה יושב המידע ומי נוגע בו.

הרשאות גישה: מי רואה מה, ומי בדק

התקנות דורשות ניהול הרשאות לפי תפקיד, כלומר שכל עובד יקבל גישה רק למה שנדרש לו לצורך עבודתו. זה נשמע מובן מאליו ובפועל זה כמעט אף פעם לא המצב.

דפוס חוזר בעסקים קטנים הוא הצטברות הרשאות. עובד מחליף תפקיד ומקבל גישה למערכות נוספות. אם מנהל המערכת אינו מסיר את ההרשאות הישנות, הגישה מצטברת. לאחר כמה שנים, עובדים עשויים לראות כמעט הכול בלי החלטה מסודרת על כך.

הבעיה מחריפה כשעובד עוזב. חשבון שנשאר פעיל אחרי סיום העסקה הוא גם פרצת אבטחה וגם ליקוי ציות ברור. זה אחד הדברים הקלים ביותר לבדוק בביקורת: מספיק להשוות רשימת משתמשים לרשימת שכר. אם הנושא הזה עדיין לא מסודר אצלכם, זו נקודת הפתיחה המשתלמת ביותר. היא חלק ממה שאנחנו מגדירים בשירותי אבטחת המידע לעסק.

דרישות התיעוד ובקרת הגישה משתנות לפי רמת האבטחה והנסיבות. יש לסווג את המאגר ולבדוק אילו יומנים צריך לשמור ולכמה זמן, בהתאם ל־מדריך הרשות לתקנות אבטחת המידע.

אירוע אבטחה: מתי חייבים לדווח ולמי

התקנות מגדירות חובת דיווח מיידי על אירוע אבטחה חמור לפי רמת האבטחה והגדרת האירוע. יש לבדוק את התחולה עם גורם מוסמך ולהשתמש בערוץ הדיווח של הרשות. הודעה לנושאי המידע אינה אוטומטית בכל אירוע; יש לבדוק הוראה של הרשות וחובות נוספות החלות במקרה.

אין להמתין לשיקול מסחרי כשקמה חובת דיווח. הכינו מראש נוהל לבירור העובדות, תיעוד, הערכת חומרת האירוע ופנייה לגורמים המוסמכים. כך ניתן לבחון את החובה במהירות בזמן אמת.

הפתרון פשוט ולא יקר: דף אחד שכתוב מראש. מי מודיע למי, מי מחליט, מה מתעדים, ומי איש הקשר מול הרשות. תרגיל שולחן של שעה, פעם בשנה, חושף את הפערים לפני שהם עולים כסף. זה חלק אינטגרלי מתוכנית גיבוי והתאוששות ולא נספח נפרד.

ספקים חיצוניים, והמידע שיצא מהעסק

נקודה שעסקים קטנים מפספסים כמעט תמיד: המידע שלכם לא יושב רק אצלכם. הוא יושב אצל חברת הנהלת החשבונות, אצל ספק מערכת ניהול הלקוחות, אצל חברת השכר, אצל ספק הגיבוי בענן ואצל ספק המחשוב.

האחריות על המידע נשארת אצל בעל המאגר. אם ספק חיצוני דלף, זו הבעיה שלכם לא פחות משהיא שלו. לכן אחת הבדיקות המעשיות ביותר היא רשימה פשוטה: מי הספקים שנוגעים במידע אישי של העסק, מה בדיוק כל אחד מהם רואה, ומה כתוב בהסכם מולו בנושא אבטחת מידע ודיווח על אירועים.

הרשות פרסמה ב-23 באפריל 2026 גילוי דעת סופי בנושא העברת מידע אישי מחוץ לישראל לפי תקנה 2(4), נושא שנוגע ישירות לכל עסק שמשתמש בשירותי ענן שהשרתים שלהם יושבים מחוץ למדינה. במילים אחרות, זה נוגע כמעט לכל עסק שמשתמש בשירותי ענן כלשהם.

שני גילויי דעת מ-2026 שמשנים את התמונה

מעבר לאכיפה עצמה, הרשות מפרסמת גילויי דעת שמבהירים איך היא מפרשת את החוק. לגילויי דעת אין תוקף של חקיקה. עם זאת, הרשות רואה באי עמידה בעמדותיה הפומביות שיקול לחומרה בהליכי אכיפה. שניים מהם מ-2026 רלוונטיים במיוחד לעסק קטן.

גילוי הדעת בנושא הסכמה, שפורסם ב-9 במרץ 2026, נוגע לשאלה מתי הסכמה של לקוח לשימוש במידע שלו נחשבת הסכמה תקפה. עסק שאוסף פרטים בטופס באתר, ברישום לניוזלטר או בכניסה לחנות, נמצא בדיוק בתחום הזה.

גילוי הדעת בנושא העברת מידע לחו"ל מ-23 באפריל 2026 עוסק בתנאים שבהם מותר להעביר מידע אישי מחוץ לישראל. שני המסמכים מתפרסמים באתר הרשות ושווה שמי שאחראי על הנושא בעסק יעבור עליהם, או לפחות יקבל מהיועץ המשפטי סיכום של מה שנדרש.

יש להבחין בין חוק ותקנות בתוקף, עמדת רשות והצעת חוק. לפני שינוי נהלים בדקו את מעמד המסמך ואת תחולתו על העסק; הצעה שטרם נחקקה אינה כשלעצמה חובה קיימת.

מה עושים בשבוע הקרוב

הצעדים הבאים מסייעים להתחיל במיפוי פערים ולתעדף טיפול. הם אינם מבטיחים השלמת ציות בתוך שבוע; היקף העבודה תלוי במידע, במערכות ובדרישות החלות על העסק.

1. לרשום על דף אחד אילו מאגרי מידע יש בעסק ואיפה כל אחד יושב, כולל מערכות ענן וקבצי אקסל בתיקיות משותפות.
2. לבדוק לאיזו רמת אבטחה כל מאגר משתייך, ולא להניח שהיא בסיסית.
3. לוודא שקיים מסמך הגדרות מאגר מעודכן לכל מאגר רלוונטי.
4. לעבור על רשימת המשתמשים ולסגור חשבונות של מי שכבר לא עובד בעסק.
5. לצמצם הרשאות שהצטברו לאורך השנים, ולהגדיר גישה לפי תפקיד.
6. לוודא שיש תיעוד גישה למערכות שמחזיקות מידע רגיש.
7. לבדוק שהמערכת דורשת אימות דו-שלבי מכל מי שניגש למידע לקוחות מבחוץ.
8. לכתוב דף נוהל קצר לאירוע אבטחה: מי מדווח, למי ותוך כמה זמן.
9. לערוך רשימת ספקים שנוגעים במידע אישי, ולבדוק מה כתוב בהסכם מול כל אחד.
10. לוודא שהגיבוי עובד באמת, כלומר שביצעתם שחזור מבחן ולא רק ראיתם סימן ירוק.
11. לבדוק שהאתר ומדיניות הפרטיות שלו משקפים את מה שהעסק באמת עושה עם המידע.
12. לקבוע מי בעסק אחראי על הנושא. גם עסק שאינו חייב בממונה הגנת פרטיות זקוק לשם אחד שאפשר לפנות אליו.

מנו אחראי למעקב אחרי המשימות וקבעו מועדים. האחריות הארגונית מסייעת להפוך מיפוי פערים לתוכנית עבודה, לצד בדיקה מקצועית של הדרישות החלות על העסק.

סיכום

המצב החדש אינו דרמטי אבל הוא אמיתי. הרשות להגנת הפרטיות עברה מגוף שמגיב לתלונות לגוף שיוצא לבדוק, יש לה סמכות להטיל עיצום כספי בהליך קצר, והיא כבר פועלת בפועל בכמה מגזרים.

לעסק קטן זה לא אומר שצריך לגייס מחלקת ציות. זה אומר שכדאי לעשות בשקט את מה שממילא היה נכון לעשות: לדעת איפה המידע יושב, לדעת מי ניגש אליו, לסגור גישה של מי שעזב, לגבות ולבדוק את הגיבוי, ולכתוב על דף אחד מה עושים כשמשהו קורה.

העבודה הזו משתלמת גם בלי הרגולציה. עסק שיודע איפה המידע שלו יושב ומי נוגע בו, הוא עסק שמתאושש מהר יותר מתקלה, נופל פחות להונאות, ומקבל תשובות ברורות יותר מהספקים שלו. הרגולציה רק הפכה את זה מדבר שכדאי לעשות לדבר שצריך לעשות.

איך זה פוגש את העסק שלך בפועל

ב-Hot PC אנחנו מלווים עסקים בהיערכות הטכנית להגנת המידע. תחילה ממפים היכן נמצא המידע האישי ומי צריך גישה אליו. לאחר מכן מסדרים הרשאות לפי תפקיד ובוחנים תיעוד של פעולות גישה. נוהל עזיבת עובד צריך לכלול גם סגירת חשבונות והרשאות. בנוסף, בודקים את הגיבוי באמצעות שחזור מבחן ומתעדים את התוצאה. למשרדי רואי חשבון, עורכי דין וסוכנויות ביטוח יש צורכי עבודה ומידע שונים. לכן מתאימים את הטיפול למערכות ולרמת האבטחה של כל עסק. את קביעת החובות המשפטיות יש לבצע בנפרד עם הגורם המוסמך לכך. למידע נוסף: אבטחת המידע · שירות המנוהל · גיבוי וההתאוששות · משרדי רואי חשבון · משרדי עורכי דין · סוכנויות ביטוח.