איפשהו בעסק שלך, כנראה בקובץ אקסל נשכח או בתוך מערכת ה-CRM, מסתתר נכס שיכול להיות שווה זהב, או להפוך לפצצה מתקתקת שתעלה לך מאות אלפי שקלים. ההבדל בין השניים? היכולת שלך למפות אותו.
חוק הגנת הפרטיות החדש (תיקון 13) לא מתעניין בגודל העסק שלך. הוא מתעניין בנכסי המידע שאתה מחזיק. רוב בעלי העסקים לא יודעים שהם יושבים על כמה ‘מאגרי מידע’ שונים, שלכל אחד מהם יש רמת סיכון ודרישות חוקיות שונות לחלוטין.
המדריך הזה לא יפחיד אותך עם סעיפים משפטיים. הוא ייתן לך, שלב אחר שלב, את הכלים המעשיים לבנות את ‘מפת האוצר והמוקשים’ של המידע בעסק שלך. בסוף המדריך הזה, תדע בדיוק איפה אתה עומד ומה אתה צריך לעשות..
אז מה זה בכלל “מאגר מידע”? שכח ממה שחשבת
כשאומרים ‘מאגר מידע’, רובנו מדמיינים חדר שרתים ענק כמו בסרטים. המציאות, לפי החוק החדש, הרבה יותר פשוטה – ומסוכנת.
הגדרה פשוטה: ‘מאגר מידע’ הוא כל אוסף של פרטים אישיים ששמור בצורה דיגיטלית.
זה אומר שכל אחד מהבאים הוא ‘מאגר מידע’ בפני עצמו, וחלות עליו חובות מהחוק:
-
✅ קובץ ה-Excel עם רשימת הלקוחות שלך.
-
✅ מערכת ה-CRM שלך (Salesforce, HubSpot, Pipedrive).
-
✅ רשימת התפוצה שלך במערכת הדיוור (Mailchimp, רב מסר).
-
✅ טבלת Google Sheets עם פרטי ‘לידים’ מקמפיין.
-
✅ תיקיית קורות חיים של מועמדים ששמורה ב-Drive.
-
✅ אפילו רשימת אנשי הקשר בטלפון העסקי שלך.
שלושת סוגי המאגרים שכל עסק חייב להכיר
הצעד הראשון במיפוי הוא להבין שלא כל המאגרים נולדו שווים. בעסק שלך יש כנראה שלושה סוגים עיקריים של ‘כלי רכב’, שלכל אחד מהם יש חוקי תנועה אחרים:
🚗 מאגר ה’טויוטה קורולה’: מאגרי תפעול ושיווק בסיסיים
-
מה זה? מאגרים שמכילים מידע לא רגיש. המטרה שלהם היא תפעול יומיומי ושיווק.
-
דוגמאות: רשימת דיוור לניוזלטר (שם ומייל), מאגר לקוחות בסיסי עם פרטי קשר והיסטוריית הזמנות לא רגישה, מאגר ספקים.
-
הסיכון: נמוך יחסית.
🚚 מאגר ה’משאית המסחרית’: מאגרים פנימיים ורגישים
-
מה זה? מאגרים שמכילים מידע שרגישותו גבוהה יותר, ובדרך כלל נוגעים לתוך הארגון.
-
דוגמאות: מאגר עובדים (עם פרטי שכר, הערכות, מידע על בני משפחה), מאגר מועמדים (עם קורות חיים והערכות), מערכת הנהלת חשבונות (עם מידע פיננסי).
-
הסיכון: בינוני. דליפה של מידע כזה יכולה לגרום נזק משמעותי לעובדים ולעסק.
📦 מאגר ‘המכולה עם החומרים המסוכנים’: מאגרים עם מידע רגיש על לקוחות
-
מה זה? מאגרים שמכילים “מידע בעל רגישות מיוחדת” (בדרך כלל) על הלקוחות שלך, כהגדרתו בחוק החדש.
-
דוגמאות:
-
עו”ד: מאגר תיקי לקוחות (הכפוף לחיסיון).
-
רופא/מטפל: מאגר מטופלים (מידע רפואי).
-
יועץ פיננסי/רו”ח: מאגר לקוחות (מידע פיננסי מפורט).
-
חנות איקומרס שמוכרת מוצרים אינטימיים או רפואיים.
-
אפליקציה שאוספת נתוני מיקום (GPS).
-
-
הסיכון: גבוה עד קריטי. דליפה ממאגר כזה היא אירוע קטסטרופלי.”
שימו לב! אם אתם לא נכללים בדוגמאות, זה לא אומר שהחוק לא חל עליכם(!). רובנו שומרים מידע רגיש על לקוחות וההגדרה של מידע רגיש היא רחבה ומונה רשימה ארוכה של סוגי מידע.
איך יודעים מה לעשות עם כל מאגר (או בז’רגון המקצועי – “איך קובעים רמת אבטחה לכל מאגר?”) (המדריך המעשי)
אוקיי, מיפינו את סוגי המאגרים. עכשיו, איך נדע מה החוק דורש מאיתנו לכל אחד? כאן נכנס מושג המפתח: רמת אבטחה.
החוק מגדיר 4 רמות. הנה תרשים זרימה פשוט שיעזור לך לאבחן כל מאגר בעצמך:
שאלה 1: האם המאגר מנוהל על ידך בלבד (ועד 2 עובדים נוספים)?
-
אם כן: הרמה היא “מאגר יחיד”. חלות עליך חובות בסיסיות, אבל אתה פטור מרוב הדרישות הטכניות המורכבות.
-
אם לא: עבור לשאלה 2.
שאלה 2: האם המאגר מכיל “מידע רגיש” על לקוחות, או שאתה “מתווך מידע” (Data Broker)?
(מתווך מידע, בגדול, זה מישהו שמוכר לידים או מעביר אותם למישהו אחר באופן קבוע (אפילו עסק שעושה בדיקות בהר הביטוח או המסלקה הפנסיונית))
-
אם כן: עבור לשאלה 3.
-
אם לא (והוא לא ‘יחיד’): הרמה היא “בסיסית”. אתה חייב בנוהל אבטחה כתוב, ניהול הרשאות ועוד, אבל פטור מהחובות המחמירות ביותר.
שאלה 3: האם במאגר הרגיש/של מתווך המידע יש מידע על 100,000 איש או יותר?
-
אם כן: הרמה היא “גבוהה”. אתה נדרש לעמוד בסטנדרטים הגבוהים ביותר, כולל מבדקי חדירות וסקרי סיכונים.
-
אם לא: הרמה היא “בינונית”. זוהי רמה מחמירה שדורשת, בין היתר, ניהול לוגים, ביקורות והדרכות עובדים.
חשוב לציין שזה תיאור די פשטני של קביעת רמת אבטחה (בפועל זה קצת יותר מורכב) אבל לצורך איפיון ראשוני, שאפשר לעשות לבד, זה בסיס מצוין.
מרגיש מוצף? זה בסדר. הנה תוכנית הפעולה ב-3 צעדים פשוטים
שלב 1: מיפוי: הדבר הראשון והכי חשוב הוא להבין מה יש לך. קח שעה (אולי קצת יותר) וצור את רשימת המאגרים הראשונית שלך, בדיוק כפי שהסברנו במדריך. אל תדאג אם זה לא מושלם.
שלב 2: קביעת רמת אבטחה. עבור על הרשימה שלך ושאל: איזה מאגר צריך איזה רמת אבטחה? איפה נמצא המידע הכי רגיש שלי?
שלב 3: התייעצות ממוקדת. אחרי שיש לך את המיפוי והערכה ראשונית של רמת אבטחה, זה הזמן לדבר עם איש מקצוע שיוכל לעזור לך לבנות תוכנית פעולה מתועדפת ולמנוע טעויות יקרות.
מרגיש שאתה צריך עזרה כדי לעשות את זה נכון?
הבנת היסודות היא קריטית, אבל לפעמים צריך דחיפה קטנה ממומחה כדי להתחיל נכון. במיוחד בשביל זה, אני מציע פגישת אבחון של 30 דקות.
בשיחה נתרכז בשאלה האחת שהכי בוערת לך אחרי קריאת המדריך, וניתן לך תשובה מעשית ומיידית.
ההשקעה שלך בבהירות מיידית: 150 ₪ + מע”מ.
