מאגרי מידע ופרטיות

אבטחת מידע

אחת מהמשימות של ארגונים, חברות ועסקים – הינה לעמוד ברגולציה של אבטחת מידע, הנובעת מהחדשנות של העולם המתפתח.

העידן הדיגיטלי הפך את העולם "לשטוח" וכל אדם כמעט הפך נגיש לכל אדם וארגון אחר באמצעות האינטרנט, אפליקציות, תוכנות ומוצרים דיגיטליים אחרים, וכאשר הגיעו לידינו הסמארטפונים המשוכללים, הנגישות הפכה לחושפנות ואיבוד מסויים של הפרטיות. ארגונים צוברים כדבר שבשגרה מידע רב על לקוחותיהם, ספקיהם, עובדיהם, ואף על כאלו  שרק מבקרים אצלם באתר או באפליקציה. גם אם המידע הגיע אליהם בדרך אחרת הוא לרוב נשמר כמאגר מידע דיגיטלי וכולל שמות, מספרי זיהוי, כתובות אימיילים, התכתבויות באימייל והצרופות להם, אמצעי תשלום, הרגלי צריכה והתנהגות, ועוד. פריצות למאגרי מידע כאלו, מסחר במידע אישי, ושימוש מזיק ובלתי חוקי פוגע בפרטיות והביא לצורך להסדיר את נושא הסייבר ואבטחת המידע, בארץ ובעולם באמצעות הגנות מתאימות ורישום מאגרי מידע.

רישום מאגרי מידע

אבטחת המידע בישראל מוסדרת בעיקר בחוק הגנת הפרטיות,התשמ"א-1981, והחל ממאי 2018 הוסדר גם אופן אבטחת מאגרי מידע ורישומם בתקנות הגנת הפרטיות (אבטחת הפרטיות), התשע"ז-2017. הרשות הממונה על אכיפת החוק והתקנות מכוחו היא הרשות להגנת הפרטיות, ואכיפתה מבוצעת במישור הפלילי, המינהלי, ופיקוח. אבטחת מאגרי מידע בחו"ל מוסדרת ע"י החקיקה המדינתית בכל מדינה כגון ה- GDPR האירופאי. אנו מייעצים ומלווים עסקים וחברות בהליכי הרישום של מאגרי מידע אלו, וניסוח תקנוני מדיניות פרטיות לאפליקציות, תוכנות ואתרי אינטנרט.

תקנות אבטחת המידע בישראל

הוראות החוק ותקנות אבטחת המידע בישראל מורכבות. כדי להבין אותם אינטואיטיבית יותר ניתן לציין כי די שעסק או פרילנסר יחזיק מספר פרטי מידע רגישים שכוללים כתובות אימייל של לקוחות (פרטיים, לא חברות), על מנת שיחולו עליו חובותחוק הגנת הפרטיות בעניין מאגרי מידע. קל וחומר אם מדובר במידע רגיש נוסף כמפורט לעיל, ובוודאי אם הוא שמור בענן. ולמי מאתנו אין מידע שמור בענן החל מאימיילים ב- Office365, מאגר לקוחות ב- CRM, וכלה במאגר ספקים ב- DropBox… נשמע מוכר?

רישום המאגר אינו חובה פורמאלית בלבד, כיון שהתוכן הכלול בבקשת הרישום (כגון מטרת המאגר, כמות הרשומות, מיקום המאגר כגון בענן או על לפטופ, ועוד) גם מגדיר את האמצעים הדרושים להבטיח את המאגר, בין מפני פריצה דיגיטלית, בין מפני אדם שעלול לפרוץ לעסק או לביתנו ולגנוב הארד-דיסק או מחשב נייד, וכיוב'.ישנן 3 דרגות של אבטחת מידע לפי חוק- נמוכה, בינונית וגבוהה, וכל דרגה מחייבת הערכות משמעותית יותר שגם עולה יותר כסף.

הערכות אבטחת מידע בישראל

לפיכך על העסק/ארגון להיערך לאבטחת מידע לפני הגשת בקשה לרישום מאגר מידע, וכן לערוך מסמכי מדיניות אבטחת מידע ולהדריך את העובדים, לערוך מיפוי של מערכת המחשוב, לעדכן מסמכים אחת לשנה, למנות מנהל מאגרי המידע, ממונה אבטחת מידע, לבצע תדריכים וכו. במילים אחרות, לפני שממלאים את טופס הבקשה לרישום מאגר מידע יש לערוך בדיקה מה הם מאגרי המידע המצויים בעסק, מה מצוי בהם, כיצד הם מקושרים זה לזה במערך הממוחשב של העסק, וכיצד להערך לאבטחת מידע באופן דיגיטלי, מינהלי, פיסי וכו.

על עסק בישראל לקחת בחשבון גם כי כאשר הוא מחזיק או שולט במאגרי מידע עם מידע של אזרחים שאינם ישראלים, עלולים לחול עליו הדינים של מדינות אזרחים אלו, ועליו להערך גם בהתאם לכך.

GDPR ואבטחת מידע בחו"ל

את מדיניות אבטחת המידע בעולם החל להוביל האיחוד האירופאי עם רגולציה אימתנית בשם GDPR – General Data Protection Regulation. רגולציה זו נכנסה לתוקף במאי 2018, וגם עסקים ישראלים אשר מחזיקים פרטי מידע על אזרחים בקהילה האירופאית כפופים להם. רגולציית ה- GDPR נוקשה מזו הישראלית, כוללת קנסות כבדים בהרבה, והיא משמשת כסמן ימני לרגולציה העולמית.

פריצות סייבר, קנסות ועבירות

הערכות לקויה או אי הערכות כלל עלולה לגרום לדליפת מידע רגיש מהעסק לציבור, וכן לנזק אישי, כלכלי ונפשי. התוצאה של דליפת מידע, קל וחומר מסחר במידע רגיש או שימוש בלתי מורשה במאגרים של אחרים ועוד, יכולה להיות תביעה כנגד העסק, כמו גם נקיטה בהליכים מנהליים ופליליים מצד הרשויות.

בישראל למשל, קנסות נעים בין 2000 ש"ח קנס מנהלי לבין קנס העולה על  200,000 ש"ח לעבירה במסגרת הליכים פליליים. והקנסות מצטברים…

כך למשל כבר נפסקו קנסות של 10,000 ש"ח ע"י הרשות להגנת הפרטיות על חברה שלא רשמה 5 מאגרי מידע (2000 ש"ח למאגר), או של 15,000 ש"ח לחברה שלא מינתה ממונה אבטחת מידע, ואף של 400,000 ש"ח על חברה שפעלה עם מידע באופן פלילי.

הקנסות עפ"י ה- GDPR עלולים להגיע ברף הנמוך ל- 10 מליון יורו או 2% מהמחזור השנתי העולמי של העסק/חברה, וברף הגבוה ל- 20 מליון יורו או 4% מהמחזור השנתי העולמי של העסק/חברה.

ייעוץ וליווי לאבטחה ורישום של מאגרי מידע

כדי לדעת האם חלה עליכם החובה לרשום מאגר מידע, כיצד לעשות זאת וכיצד להיערך נכון לאבטחת מידע ומי ידע לעשות זאת עבורכם בהתאם להוראות החוק הישראל ו/או ה- GDPR ומדיניות הפרטיות במדינות נוספות, רצוי להיוועץ עמנו תחילה וננחה אתכם.