תיקון 13: מה צריך להשתנות במערכת שלכם

מה השתנה בהגדרות

• מידע אישי: כל מידע על אדם שאפשר לזהות במאמץ סביר. זה רחב יותר משם וממספר תעודת זהות.
• מידע בעל רגישות מיוחדת: בריאות, גנטיקה, ביומטריה לצורך זיהוי, מוצא, עבר פלילי, דעות פוליטיות ואמונות דתיות, הערכת אישיות, שכר ופעילות פיננסית, מידע על מיקום ותעבורה, ומידע שחלה עליו חובת סודיות.
• מאגר מידע הוא עכשיו אוסף דיגיטלי. במקום "בעל מאגר" יש בעל שליטה, כלומר הארגון שקובע את מטרות העיבוד. מעבד חיצוני נקרא מחזיק.

רישום והודעה

במגזר הפרטי רישום מאגרים כמעט בוטל. הוא נשאר לגופים ציבוריים ולסוחרי מידע עם מאגרים גדולים. במקומו נוספה חובה חדשה: להודיע לרשות בתוך 30 יום על מאגר עם מידע בעל רגישות מיוחדת, אם יש בו יותר ממאה אלף איש. להודעה מצרפים מסמך הגדרות מאגר, אותו מסמך שתקנות אבטחת מידע דורשות.

למערכת זה אומר: צריך לדעת כמה אנשים יש בכל מאגר ואילו שדות יש עליהם. נשמע מובן מאליו, אבל במערכת שגדלה שנים התשובה לשאלה הזו דורשת בדרך כלל עבודה נפרדת.

מי צריך ממונה על הגנת הפרטיות

הממונה יכול להיות גורם חיצוני, אבל לפי הבהרת הרשות הוא לא יכול להיות מנהל הטכנולוגיה או מנהל מערכות המידע, כי יש להם ניגוד עניינים. על המינוי מודיעים לרשות.

האמצעים הטכניים שהרשות תבדוק

הרשימה לקוחה מהמדריך המקצועי של הרשות לתיקון, ונשענת על תקנות אבטחת מידע:

1. מסמך הגדרות מאגר: איזה מידע יש בו, לאיזו מטרה, ולמי יש גישה.
2. נוהל אבטחת מידע מאושר ומעודכן.
3. ניהול הרשאות לפי תפקידים ויומן גישה: מי צפה ברשומות ומתי.
4. תיעוד של אירועי אבטחה ונוהל דיווח על אירועים חמורים.
5. הפרדת מערכות, עדכונים בזמן והגנה על חיבורי רשת.
6. ביקורת תקופתית ובקרה על ספקים שמעבדים את המידע.
7. במאגרים ברמת אבטחה גבוהה נדרשים בנוסף גם סקר סיכונים ומבדק חדירה.

אי דיווח על אירוע אבטחה חמור, היעדר סקר סיכונים או מבדק חדירה במקום שבו הם חובה, והיעדר בקרה על ספקים שייכים לדרגת העיצום החמורה ביותר. העיצומים גדלים לפי מספר האנשים במאגר, והתקרה הכוללת שלהם קשורה למחזור השנתי.

איפה מערכות בדרך כלל לא מוכנות

• אין יומן גישה. המערכת יודעת מי שינה רשומה, אבל לא מי פתח אותה. כשמדובר במידע רגיש, זו דרישה ולא המלצה.
• הרשאות רחבות מדי. לכל העובדים יש אותו תפקיד, "משתמש", וכל אחד רואה הכול.
• עותקים שהתפזרו. ייצוא לאקסל, סביבת בדיקות עם נתונים אמיתיים, שרת ישן ש"כבר לא בשימוש".
• ספק בלי הסכם הגנת מידע. שירות ענן או קבלן מעבד את המידע, ואין מולו דרישות כתובות.
• כלי AI. נתוני לקוחות נשלחים למודל חיצוני בלי בדיקה של מה בדיוק יוצא ולאן הוא נשמר.

מה אנחנו עושים

עוברים על המערכת לפי רשימת האמצעים הטכניים למעלה: מה קיים, מה חסר, מה נעשה בהגדרה ומה דורש פיתוח. בונים יומן גישה, מפרידים תפקידים, מוציאים נתונים אמיתיים מסביבות בדיקה, מתעדים מאגרים. את הצד המשפטי, כולל השאלה אם אתם צריכים ממונה, מחליט עורך דין; אנחנו מכינים לו את העובדות על המערכת.

שאלות נפוצות

מה זה תיקון 13?

תיקון 13 לחוק הגנת הפרטיות. הוא הרחיב את ההגדרות של מידע אישי ושל מידע בעל רגישות מיוחדת, שינה את סדרי רישום המאגרים, הטיל על חלק מהארגונים חובה למנות ממונה על הגנת הפרטיות, ונתן לרשות סמכות להטיל עיצומים כספיים.

צריך לרשום מאגר מידע?

לרוב החברות הפרטיות חובת הרישום בוטלה. נשארו גופים ציבוריים וסוחרי מידע עם מאגרים גדולים. אבל על מאגר עם מידע בעל רגישות מיוחדת של יותר ממאה אלף איש צריך להודיע לרשות בתוך 30 יום.

מי צריך למנות ממונה על הגנת הפרטיות?

גופים ציבוריים, מחזיקים שמעבדים מאגרים של גופים ציבוריים, סוחרי מידע עם מאגרים גדולים, וארגונים שמנטרים אנשים באופן שיטתי בהיקף משמעותי או מעבדים מידע בעל רגישות מיוחדת בהיקף משמעותי. הממונה יכול להיות חיצוני, אבל לא מנהל הטכנולוגיה.

אילו אמצעים טכניים צריך?

מסמך הגדרות מאגר, נוהל אבטחה, ניהול הרשאות עם יומן, תיעוד אירועים, הפרדת מערכות, עדכונים, הגנה על חיבורים, ביקורת ובקרה על ספקים. ברמת אבטחה גבוהה, גם סקר סיכונים ומבדק חדירה.

זה נוגע גם לחברה שרק מפתחת מערכת ללקוח?

כן, אם היא מעבדת את הנתונים של הלקוח, כלומר היא מחזיק. אם הלקוח הוא גוף ציבורי, ייתכן שחובת מינוי ממונה חלה גם על הספק עצמו.