ולמה העסק שלכם חייב את שניהם?
בעולם העסקי שבו נתונים ומידע הם נכס עסקי מרכזי, מנהלים רבים נוטים להשתמש במושגים "אבטחת מידע" ו"הגנת פרטיות" כשמות נרדפים. בחדרי הישיבות, הדיון המקצועי מסתיים לעיתים קרובות באמירה: "התקנו חומת אש והצפנו את בסיס הנתונים, אז אנחנו מכוסים מבחינת פרטיות, לא?"
התשובה הקצרה היא: ממש לא.
אמנם יש ביניהן קשר הדוק, אך מדובר בשתי דיסציפלינות שונות. אבטחת מידע היא מערך האמצעים הארגוניים והטכנולוגיים שנועדו להגן על המידע, בעוד שהגנת הפרטיות היא המסגרת המשפטית שקובעת באילו תנאים מותר לאסוף, להחזיק, לעבד, להשתמש ולהעביר מידע אישי. בכתבה זו נעמוד על ההבדלים הקריטיים ונסביר למה ארגון שמתמקד רק באחד מהם חשוף לסיכונים משמעותיים.
אבטחת מידע: המבצר והשומרים (Security)
חוק הגנת הפרטיות עצמו מגדיר אבטחת מידע כ"הגנה על שלמות המידע האישי או הגנה על המידע האישי מפני עיבוד, ללא רשות כדין". בעולם המקצועי, אבטחת מידע נמדדת לפי שלושה עקרונות ברזל המוכרים כמודל ה-CIA:
- סודיות (Confidentiality): שרק מי שמורשה יראה את המידע
- שלמות (Integrity): שהמידע לא ישונה או יימחק בזדון
- זמינות (Availability): שהמידע יהיה נגיש לארגון כשצריך אותו
כשאנחנו מדברים על אבטחה, אנחנו מדברים על חומות אש (Firewalls), הצפנה, ניהול הרשאות, מניעת דליפות מידע (DLP), בקרה, תיעוד גישה, ניהול אירועי אבטחה והגנה מפני התקפות סייבר.
אבטחת מידע אינה מסתיימת בשאלה אם “מישהו מבחוץ יגנוב את המידע”. לפי תקנות אבטחת מידע, היא כוללת גם ניהול הרשאות, בקרה, תיעוד, נהלים, מיפוי מערכות וטיפול באירועי אבטחת מידע – אבל היא עדיין אינה מחליפה את השאלה המשפטית הבסיסית: האם מותר לארגון לאסוף ולעבד את המידע מלכתחילה.
לא במקרה, הרשות להגנת הפרטיות מפרסמת מסמכים ייעודיים בתחום אבטחת המידע לצד פרסומים רחבים יותר בתחום הגנת הפרטיות. המסר המעשי ברור: אבטחת מידע היא נדבך מרכזי בדיני הפרטיות, אך היא אינה כל דיני הפרטיות.
הגנת הפרטיות: הזכות והמטרה (Privacy)
הגנת הפרטיות, לעומת זאת, היא מושג רחב ומשפטי הרבה יותר. היא עוסקת בהגנה על אדם מפני פגיעה בפרטיותו, ובכללים החלים על איסוף, שמירה, שימוש, עיבוד והעברה של מידע אישי עליו.
היא לא עוסקת רק ב"איך" שומרים על המידע, אלא גם ב"מה" אוספים, "למה" אוספים אותו, למי מותר להשתמש בו, האם נמסרה הודעה מתאימה, והאם העיבוד תואם את מטרת המאגר.
מדיניות פרטיות טובה עונה על שאלות כמו:
- האם מסרנו לנושא המידע הודעה כנדרש לפי הדין?
- האם המידע שנאסף נחוץ למטרה שלשמה הוא נאסף?
- האם אנחנו שומרים את המידע יותר זמן מהנדרש?
- האם אנחנו מעבירים מידע לצדדים שלישיים בניגוד לדין או בניגוד למה שנמסר למשתמש?
- האם השימושים בפועל תואמים את מטרות המאגר?
ניתן לסכם זאת כך: אתם יכולים להיות בעלי אבטחת המידע הטובה בעולם, עם הצפנה מתקדמת ומערכות ניטור מתקדמות, ועדיין להפר את חוק הגנת הפרטיות אם אספתם מידע שלא לצורך, לא מסרתם הודעה כנדרש, או השתמשתם במידע למטרה שאינה תואמת את מטרת המאגר.
המשל: הכספת והתוכן
כדי להמחיש את ההבדל להנהלה, דמיינו כספת בבנק.
אבטחת מידע היא הפלדה העבה של הכספת, המצלמות בחדר, קוד הגישה והשומרים בפתח. הם מוודאים שמי שלא מורשה – לא ייכנס.
הגנת הפרטיות היא מערכת הכללים שקובעת אילו פרטים מותר לבנק לאסוף על הלקוח, לאיזו מטרה, למי מותר למסור אותם, כמה זמן מותר לשמור אותם, ומה הלקוח זכאי לדעת או לבקש ביחס אליהם.
- האם מותר לבנק להשתמש במידע על פעילותכם למטרה שלא נמסרה לכם?
- האם מותר לו לאסוף מידע עודף שאינו נדרש לשירות?
- האם מותר לו להעביר מידע לצד שלישי בלי בסיס מתאים בדין?
גם אם הכספת בלתי חדירה, הבנק עדיין יכול לפגוע בפרטיות שלכם אם הוא משתמש במידע בניגוד לחוק.
למה ההבדל הזה קריטי לארגון שלכם?
ההפרדה הזו היא לא רק סמנטית. יש לה משמעויות תפעוליות, משפטיות וניהוליות כבדות.
בישראל, תקנות הגנת הפרטיות (אבטחת מידע) מטילות חובות ברורות, ובהן בין היתר:
- מסמך הגדרות מאגר
- נוהל אבטחת מידע
- ניהול הרשאות
- בקרה ותיעוד גישה
- שמירת לוגים
- טיפול באירועי אבטחה
- בחינה תקופתית של הצורך בשמירת מידע
לעומת זאת, חוק הגנת הפרטיות ותיקון 13 שנכנס לתוקף באוגוסט 2025 עוסקים גם בחובות רחבות יותר, כולל:
- חובת היידוע
- זכויות עיון
- זכויות תיקון מידע ובמקרים המתאימים גם מחיקה או סירוב לשימוש במידע שאינו נכון, שלם, ברור או מעודכן
- איסור שימוש במידע שלא בהתאם למטרת המאגר
- חובות רישום או הודעה ביחס למאגרים מסוימים
- חובת מינוי ממונה הגנת פרטיות בגופים ובארגונים מסוימים בלבד – לא בכל עסק
ניהול סיכונים
פריצת סייבר היא אירוע אבטחה. שימוש במידע של לקוחות לטובת אימון מודל AI בלי בסיס מתאים בדין, בלי יידוע מתאים, או בניגוד למטרת המאגר עלול להוות הפרה של חוק הגנת הפרטיות.
שניהם יכולים להוביל לנזק תדמיתי ולסנקציות כספיות משמעותיות, אך הם דורשים טיפול שונה לחלוטין.
תיקון 13 מאפשר להטיל עיצומים כספיים משמעותיים, ובמקרים מסוימים הסכומים נגזרים גם ממספר האנשים שעליהם מצוי מידע במאגר, מסוג המידע ומהוראת החוק שהופרה. לכן, הטענה "אנחנו מאובטחים" אינה תשובה מספקת לשאלה "האם אנחנו עומדים בדיני הגנת הפרטיות".
אחריות ההנהלה
אבטחת מידע היא לרוב תחת אחריות ה-CISO או ממונה אבטחת המידע.
הגנת הפרטיות היא תחת אחריות ההנהלה, ובארגונים החייבים בכך – גם תחת ליווי מקצועי של ממונה הגנת פרטיות.
החוק קובע כי ממונה הגנת פרטיות צריך להיות בעל ידע מתאים, ובכלל זה ידע מעמיק בדיני הגנת הפרטיות, במידה הנדרשת לפי מאפייני הארגון ועיבוד המידע.
הרשות להגנת הפרטיות כתבה במפורש בגילוי הדעת בנושא מינוי ממונה הגנת פרטיות כי "ממונה הגנת פרטיות וממונה אבטחת המידע הם שני תפקידים שונים במהותם", שלכל אחד מהם דרישות ידע, מיומנות ויכולות אחרות. הרשות גם הבהירה שהחוק אינו אוסר באופן מוחלט על כפל תפקידים, אך הדבר עלול לעורר קשיים מקצועיים ומשפטיים, לרבות חשש לניגוד עניינים.
השילוב המנצח – Privacy by Design
בעידן המודרני, ארגון לא יכול להסתפק רק באחד מהשניים.
פרטיות ללא אבטחה היא חסרת משמעות: המידע אולי נאסף למטרה לגיטימית, אך אינו מוגן כראוי.
אבטחה ללא פרטיות היא מסוכנת לא פחות: המידע אולי שמור היטב, אך עצם האיסוף או השימוש בו עלולים להיות בלתי חוקיים.
הדרך הנכונה היא הטמעת Privacy by Design – עיצוב לפרטיות – עיקרון שהרשות להגנת הפרטיות מעודדת ארגונים ליישם כבר בשלב תכנון פרויקטים, מערכות ושירותים חדשים.
המשמעות היא שכבר בשלב התכנון בוחנים גם את אבטחת המידע – איך נגן על המידע – וגם את היבטי הפרטיות – האם מותר לאסוף אותו, האם הוא נחוץ, איך נהיה שקופים מול המשתמש, ואיך נצמצם מידע עודף.
סיכום: אפשר להיות מאובטחים – ועדיין להפר את חוק הגנת הפרטיות
מדיניות פרטיות היא ההתחייבות שלכם ללקוח. אבטחת מידע היא אחת הדרכים המרכזיות לקיים את ההתחייבות הזו.
אם הארגון שלכם משקיע באבטחה אך מזניח את ההיבטים המשפטיים והניהוליים של פרטיות, אתם בונים מבצר חזק על קרקע רעועה.
תיקון 13 כבר בתוקף. האם הארגון שלכם יודע אם הוא חייב למנות ממונה הגנת פרטיות? האם יש לכם מסמך הגדרות מאגר? נוהל אבטחת מידע? מנגנון לטיפול בבקשות עיון ותיקון? האם ה-CISO וה-DPO שלכם עובדים יחד – או שאחד מהם בכלל לא קיים?
ב-DPO TEAM אנו מסייעים לארגונים לבנות מערך ציות משולב של פרטיות ואבטחת מידע – כזה שמחבר בין טכנולוגיה, משפט וניהול סיכונים.
דברו איתנו כדי לוודא שהמידע שלכם לא רק מאובטח, אלא גם מנוהל ומעובד בהתאם לדרישות הדין.