תיקון 13 לחוק הגנת הפרטיות הפך את הרשות להגנת הפרטיות לרגולטור עם שיניים, והעביר את האחריות מהיועץ המשפטי אל ההנהלה. אנחנו בונים את שכבת הציות שמאפשרת להמשיך לעבוד — ומטפלים באירוע כשהוא קורה.
רוב הארגונים לא נכשלים כי אין להם מדיניות. הם נכשלים כי המדיניות לא תואמת את מה שקורה בפועל במערכות ובמחלקות.
נקודת הפתיחה היא תמיד מיפוי: איזה מידע נאסף, מי נוגע בו, איפה הוא יושב ולכמה זמן. בלי המיפוי הזה כל מסמך ציות הוא ניחוש.
רוב פרויקטי הפרטיות מתמקדים בלקוחות, ומדלגים על המאגר הרגיש ביותר בארגון — העובדים. מעקב אחר שעות, מצלמות במקום העבודה, גישה לדוא״ל ארגוני, בדיקות רקע בגיוס ושמירת קורות חיים של מועמדים שלא התקבלו: כל אלה מוסדרים בחפיפה בין דיני הפרטיות לדיני העבודה.
מה שאנחנו עושים אחרת: אותה מחלקה שמייצגת את הארגון בבתי הדין לעבודה בונה את מדיניות המידע על העובדים. שתי הסוגיות לא מטופלות בנפרד, כי בפועל הן מגיעות יחד — בדרך כלל בכתב תביעה אחד.
אלה נקודות הכשל שחוזרות בארגונים ישראליים, וההסדרה שנדרשת בכל אחת מהן.
סט מסמכים ונהלים שאפשר להציג לרגולטור, ללקוח עסקי או לרוכש בבדיקת נאותות.
| התוצר | מה הוא מסדיר | רלוונטי ל |
|---|---|---|
| מיפוי מידע ומאגרים | איזה מידע נאסף, ממי, לאיזו מטרה, איפה הוא נשמר ולכמה זמן. | כל ארגון |
| רישום ועדכון מאגר | הסדרת מצב הרישום מול הרשות להגנת הפרטיות בהתאם לנדרש. | כל ארגון |
| מדיניות פרטיות | המסמך הפומבי שמתאר בפועל את השימוש במידע ואת זכויות נושא המידע. | אתר · אפליקציה |
| נוהל אבטחת מידע | הרשאות, בקרות, גיבוי, ניהול משתמשים ותיעוד — ברמה שנדרשת מהארגון. | כל ארגון |
| הסכם עיבוד מידע | מה מותר לספק לעשות במידע, אבטחה, קבלני משנה והשבה בסיום. | מול ספקים |
| מדיניות מידע לעובדיםייחודי למשרדנו | מצלמות, מעקב, דוא״ל ארגוני, גיוס ושמירת מועמדים — בשילוב דיני עבודה. | מעסיקים |
| נוהל תגובה לאירוע | מי מחליט, מה מתועד, מתי מדווחים ולמי — עם תרחישים ולוחות זמנים. | כל ארגון |
| מענה לבקשות נושאי מידע | תבנית ותהליך לטיפול בבקשות עיון, תיקון ומחיקה במועד. | כל ארגון |
| סקירת פרטיות לעסקה | בחינת חשיפות פרטיות בבדיקת נאותות לפני מיזוג או רכישה. | עסקאות |
| הדרכה לעובדים ולהנהלה | הטמעה בפועל — כי נוהל שלא הודרך לא מגן על אף אחד. | כל ארגון |
טווחי הזמן מתאימים לארגון בינוני. בארגון עם מערכות רבות או פעילות בחו״ל הלוח מתארך.
ראיונות עם בעלי התפקידים, מיפוי המידע והמערכות, וזיהוי הפערים מול הנדרש.
2–3 שבועותדירוג הפערים לפי סיכון ומאמץ, והחלטה מה מטופל מיד ומה נכנס לתוכנית עבודה.
שבועניסוח המדיניות, הנהלים, ההסכמים ומדיניות המידע לעובדים.
3–6 שבועותהדרכות, עדכון הסכמי העסקה והתקשרויות עם ספקים, ובדיקת יישום בפועל.
2–4 שבועותעדכונים רגולטוריים, מענה לבקשות, וזמינות לאירוע אבטחת מידע.
לפי הצורךהחפיפה בין דיני הפרטיות לדיני העבודה היא המקום שבו נופלים רוב הארגונים, וזו הליבה הוותיקה של המשרד.
מצלמות, מעקב שעות, גישה לדוא״ל ושמירת מועמדים — בחפיפה בין פרטיות לדיני עבודה. אנחנו עובדים בשני התחומים, לא באחד.
ייצוג מול הרשות להגנת הפרטיות ובערכאות, וניהול החזית מול נושאי מידע ולקוחות עסקיים — על ידי צוות שמתדיין בפועל.
חשיפות פרטיות נבדקות היום בכל בדיקת נאותות. ארגון מסודר נמכר טוב יותר — וארגון שאינו מסודר משלם על כך בהנחה.
חובת הרישום אינה חלה על כל ארגון והיקפה השתנה עם תיקון 13. הכלל המעשי: ככל שהמידע רגיש יותר, היקפו גדול יותר או שהוא נאסף שלא מהאדם עצמו — כך גדל הסיכוי שנדרשת הסדרה. הבדיקה מתחילה במיפוי בפועל ולא בהנחה.
הפעולה הראשונה היא עצירה ותיעוד: מה נחשף, של מי, מתי והאם האירוע נמשך. בהמשך נבחנות חובות הדיווח לרשות ולנושאי המידע. ההחלטות בשעות הראשונות משפיעות גם על החשיפה הרגולטורית וגם על החשיפה האזרחית, ולכן כדאי לערב ייעוץ משפטי מיד ולא אחרי שהמערכת שוקמה.
לעיתים כן, אך רק למטרה לגיטימית מוגדרת, בהיקף מידתי, עם יידוע העובדים ובכפוף למדיניות כתובה. מצלמות באזורים פרטיים אינן מותרות, ושימוש בהקלטה לצורך משמעתי בלי מדיניות מוקדמת נוטה להיפסל בבית הדין לעבודה.
לא בהכרח, אך היא מחייבת הסדרה: הסכם עיבוד מידע, בחינת תנאי ההעברה למדינה שאליה עובר המידע, ובדיקה מה קורה למידע בסיום ההתקשרות. הבעיה השכיחה אינה ההעברה עצמה אלא היעדר הסכם.
בארגון בינוני, שמונה עד שתים־עשרה שבועות ממיפוי ועד הטמעה. הפערים הדחופים — מדיניות פומבית שגויה, היעדר הסכמי עיבוד ונוהל אירוע — נסגרים בדרך כלל בשלושת השבועות הראשונים.
רוב התיקים נוגעים ביותר ממחלקה אחת. הליווי נעשה תחת קורת גג אחת, בלי להעביר את התיק בין ספקים.
פגישה ראשונה: מיפוי מהיר של סוגי המידע בארגון, זיהוי הפערים הבולטים, והחלטה מה דחוף ומה יכול להמתין.
הפנייה נשלחת ישירות למחלקת הגנת הפרטיות. אין בפנייה כדי ליצור יחסי עורך דין–לקוח.
