מגן פרטיות ישראלי

מיומנות זו מספקת הנחיות ציות בלבד. היא אינה מחליפה ייעוץ משפטי. מומלץ להתייעץ עם עורך דין המתמחה בדיני פרטיות לקבלת החלטות ציות ספציפיות.

שלב 1: הערכת רמת אבטחה

תקנות 2017 מגדירות שלוש רמות אבטחה:

מידע רגיש כולל: בריאות, גנטיקה, נטייה מינית, דעות פוליטיות, עבר פלילי.

שלב 2: בדיקת רישום מאגר מידע

חובה לרשום ברשות להגנת הפרטיות אם:

• המאגר כולל 10,000+ רשומות ומשמש לדיוור ישיר, או
• המאגר כולל 10,000+ רשומות ומכיל מידע רגיש, או
• המאגר שייך לגוף ציבורי, או
• המאגר משמש לשירותי מידע אשראי/פיננסי

כתובת רישום: https://www.gov.il/he/departments/privacy_authority

שלב 3: דרישות הסכמה

החוק הישראלי דורש הסכמה עבור:

• איסוף מידע אישי
• שימוש מעבר למטרה המקורית
• העברה לצדדים שלישיים
• העברה חוצת גבולות

ההסכמה חייבת להיות: מודעת, ספציפית, הניתנת מרצון חופשי חריגים: חובה חוקית, אינטרסים חיוניים, אינטרס ציבורי, אינטרס לגיטימי (מוגבל)

שלב 4: כללי העברת מידע חוצת גבולות

העברת מידע אישי מחוץ לישראל מחייבת:

• שמדינת היעד מספקת הגנה נאותה (האיחוד האירופי, בריטניה, מעט אחרות), או
• ערבויות חוזיות (בדומה ל-SCC של GDPR), או
• הסכמת נושא המידע (מודעת וספציפית), או
• פטורים מפורטים (נחוץ לחוזה, הליכים משפטיים וכו')

הערה: לישראל יש החלטת נאותות מהאיחוד האירופי — העברה אל האיחוד האירופי בדרך כלל פשוטה.

שלב 5: דיווח על פריצת מידע

על פי תקנות 2017:

1. אירוע אבטחה חמור: דיווח לרשות להגנת הפרטיות "ללא דיחוי"
2. אין מועד ספציפי בשעות (בניגוד ל-72 השעות של GDPR), אך "ללא דיחוי" מתפרש כמהר ככל האפשר
3. הודעה לנושאי המידע המושפעים אם הפריצה עלולה לגרום להם נזק משמעותי
4. תיעוד: כל האירועים, פעולות התגובה וההחלטות

שלב 6: רשימת בדיקות ציות

לכל גוף הנבדק, ודאו:

• רישום מאגר מידע (אם נדרש)
• מדיניות פרטיות מפורסמת (בעברית, נגישה)
• מנגנוני הסכמה קיימים
• אמצעי אבטחה בהתאם לרמה (בסיסית/בינונית/גבוהה)
• הסכמי עיבוד מידע עם מעבדי מידע
• ערבויות להעברת מידע חוצת גבולות
• תוכנית תגובה לפריצת מידע
• תהליך טיפול בפניות נושאי מידע
• הכשרת עובדים
• מינוי ממונה אבטחה/ממונה הגנת מידע (אם נדרש)

דוגמה 1: ציות סטארטאפ SaaS

המשתמש אומר: "אני בונה מוצר SaaS עם לקוחות ישראליים, אילו דרישות פרטיות חלות?" תוצאה: הערכת רמת אבטחה, בדיקת צורך ברישום מאגר מידע, דרישות מדיניות פרטיות, מנגנוני הסכמה מומלצים.

דוגמה 2: תגובה לפריצת מידע

המשתמש אומר: "גילינו פריצת מידע שמשפיעה על משתמשים ישראליים" תוצאה: תגובה צעד אחר צעד: בלימה, הערכה, דיווח לרשות, הודעה למשתמשים אם נזק משמעותי, תיעוד.

סקריפטים

• scripts/compliance_checker.py — מריץ הערכת ציות מלאה לחוק הגנת הפרטיות: קובע רמת אבטחה (בסיסית/בינונית/גבוהה), בודק דרישות רישום מאגר מידע, ומפיק רשימת בדיקות ציות עם כל הבקרות הרלוונטיות. הרצה: python scripts/compliance_checker.py --help

חומרי עיון

• references/privacy-law-requirements.md — פירוט מעמיק של חוק הגנת הפרטיות 1981 ותקנות האבטחה 2017 הכולל תהליך רישום מאגרי מידע, דרישות רמות אבטחה, כללי הסכמה, כללי העברה חוצת גבולות, נהלי דיווח על פריצה ועונשים. יש לעיין בו כשצריך דרישות חוקיות ספציפיות, מספרי סעיפים או פרטי השוואה ל-GDPR מעבר למה שההוראות מכסות.

שגיאה: "אי ודאות לגבי רמת אבטחה"

סיבה: מקרה גבולי בין בסיסית/בינונית/גבוהה פתרון: במקרה של ספק, יש להחיל את הרמה הגבוהה יותר. הפרש העלות קטן בהשוואה לסיכון אי-ציות.