נושא הגנת הפרטיות בעמותות נוטה ליפול בין הכסאות. במגזר החברתי המשאבים מוקדשים לפעילות עצמה, והציות נתפס כנושא של חברות גדולות. זו הנחה שגויה — והמאמר הזה מסביר מדוע. למי שרוצה לראות את תמונת הציות הכוללת, Privorify מרכז את הדרישות לכדי תהליך עביד.
האם חוק הגנת הפרטיות חל על עמותות?
כן. חוק הגנת הפרטיות חל על כל מי שמנהל מאגר מידע, ללא קשר לצורת ההתאגדות או לשאלה אם הגוף פועל למטרות רווח. עמותה שמנהלת רשימת מוטבים, רשימת מתנדבים, מאגר תורמים או טופס פנייה באתר — מנהלת מאגרי מידע לכל דבר ועניין.
תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025, לא יצר מסלול מקל נפרד למגזר השלישי. הוא העניק לרשות להגנת הפרטיות סמכויות פיקוח, חקירה ואכיפה מנהלית רחבות, ואלו חלות על כל המשק.
מדוע דווקא עמותות בסיכון גבוה יחסית?
הסיבה היא שהמידע שעמותות מחזיקות נוטה להיות רגיש במיוחד, גם כשהארגון עצמו קטן. מידע רגיש הוא קטגוריה מוגדרת בחוק הכוללת בין היתר מידע על מצב בריאותי, מצב כלכלי, דעות ואמונות ועבר פלילי. עמותה המספקת סיוע כלכלי, ליווי רפואי, תמיכה נפשית או סיוע משפטי מחזיקה בפועל תיקים שלמים של מידע רגיש.
נוסף על כך, במגזר השלישי נפוצים מאפיינים תפעוליים שמגדילים את החשיפה: הסתמכות על מתנדבים שמתחלפים, שימוש בגיליונות ובקבוצות וואטסאפ לניהול מידע, ומעט מאוד משאבים ייעודיים ל-IT. אלו אינם ביקורת — הם פשוט נקודות שצריך להכיר כדי לטפל בהן.
אילו מאגרי מידע יש לעמותה טיפוסית?
רוב העמותות מופתעות לגלות כמה מאגרים נפרדים הן מנהלות בפועל. רשימת מיפוי ראשונית לעבור עליה:
- מוטבים ומקבלי שירות — לרוב המאגר הרגיש ביותר, לעיתים כולל קטינים.
- תורמים — פרטי קשר ונתוני תרומה, לעיתים גם אמצעי תשלום.
- מתנדבים — שמות, פרטי קשר, ולעיתים אישורים ובדיקות רקע.
- עובדים — תיקי כוח אדם ושכר.
- נרשמי דיוור — רשימת תפוצה לעדכונים ולקמפייני גיוס.
- אתר האינטרנט — טופסי צור קשר, טפסי בקשת סיוע ומערכות תרומות מקוונות.
מה נדרש מעמותה בפועל?
הדרישות המעשיות זהות בעיקרן לאלו של כל ארגון אחר. הבסיס כולל מסמך הגדרות מאגר — מה נאסף, לאיזו מטרה, מי ניגש וכמה זמן נשמר — ונוהל אבטחת מידע לפי תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017. התקנות מבחינות בין רמות אבטחה לפי אופי המאגר, היקפו ורגישות המידע — וכאן הרגישות של מידע על מוטבים משפיעה ישירות.
מעבר למסמכים, שלושה מהלכים נותנים לרוב את התמורה הגבוהה ביותר בעמותות: צמצום הגישה (לא כל מתנדב צריך לראות את כל התיקים), מעבר מגיליונות מפוזרים למערכת אחת עם הרשאות, ומדיניות שמירה שמוחקת מידע שאין בו צורך. מידע שנמחק אינו יכול לדלוף.
ומה לגבי רישום המאגר ומינוי ממונה?
לפי הפרסומים המקצועיים בעקבות תיקון 13, חובת רישום מאגר בפנקס צומצמה וחלה בעיקר על גופים ציבוריים ועל סוחרי מידע בהיקפים גדולים; חובת הודעה לרשות רלוונטית למחזיקי מידע רגיש על 100,000 אנשים ומעלה. רוב העמותות אינן נמצאות בקבוצות אלו, אך זה אינו פוטר אותן מיתר החובות. הרחבה בנושא הרישום נמצאת במאמר שלנו על תיקון 13 לבעלי אתרים.
מה עם מידע על קטינים?
מידע על קטינים מחייב רגישות מוגברת, וברוב המקרים גם הסכמה או ידיעה של הורה או אפוטרופוס. עמותות בתחומי חינוך, נוער בסיכון ורווחה נתקלות בכך בשגרה, לעיתים לצד נהלים נוספים מצד משרדי ממשלה מממנים. ככלל, כדאי לבנות מראש נוהל ברור לשאלה מי רשאי לצפות במידע זה ולאילו מטרות.
נקודה נוספת שעולה הרבה בעמותות: צילום ופרסום תמונות מאירועים. פרסום תמונה של מוטב מזוהה בדף פייסבוק של העמותה — בעיקר כשההקשר חושף מידע על מצבו — אינו פעולה ניטרלית, וראוי שיהיה לו בסיס מסודר מראש.
מה הצעדים הראשונים לעמותה שמתחילה?
- מיפוי כל המקומות שבהם מוחזק מידע על אנשים, כולל גיליונות ודוא"ל של עובדים.
- סימון מה מהמידע נופל להגדרת מידע רגיש.
- כתיבת מסמך הגדרות מאגר לכל מאגר מרכזי.
- צמצום הרשאות לפי צורך אמיתי בלבד.
- נוהל אבטחה ונוהל טיפול באירוע אבטחת מידע.
- עדכון מדיניות הפרטיות באתר ובטפסים שבהם נאסף מידע.
מי שרוצה להבין את ההיבט הכספי של אי-עמידה ימצא אותו במאמר על קנסות הגנת הפרטיות.
שאלות ותשובות
האם עמותה קטנה צריכה לעמוד בחוק הגנת הפרטיות?
כן. החוק חל על כל מי שמנהל מאגר מידע, ללא קשר לגודל הארגון או לכך שהוא פועל שלא למטרות רווח. היקף הדרישות המעשיות מושפע מגודל המאגר ומרגישות המידע, לא מצורת ההתאגדות.
האם עמותה חייבת לרשום מאגר מידע?
לפי הפרסומים בעקבות תיקון 13, חובת הרישום צומצמה וחלה בעיקר על גופים ציבוריים וסוחרי מידע בהיקפים גדולים. רוב העמותות אינן נמצאות בקבוצות אלו, אך זה אינו פוטר אותן מחובות האיסוף, הניהול והאבטחה.
מה נחשב מידע רגיש בהקשר של עמותה?
מידע רגיש הוא קטגוריה המוגדרת בחוק וכוללת בין היתר מצב בריאותי, מצב כלכלי, דעות ואמונות ועבר פלילי. בעמותות רווחה, בריאות או סיוע כלכלי מדובר לעיתים קרובות בליבת הפעילות.
האם מותר לנהל רשימת מוטבים בגיליון אלקטרוני?
החוק אינו מכתיב כלי טכנולוגי מסוים, אלא רמת אבטחה מתאימה. בפועל קשה מאוד לקיים בקרת גישה, תיעוד וניטור על גיליון שמשותף בדוא"ל, וביותר כשמדובר במידע רגיש. ככלל עדיפה מערכת עם הרשאות מוגדרות.
מה עושים עם מידע של מוטבים שסיימו לקבל שירות?
ככלל, מידע אישי אינו אמור להישמר ללא מטרה וללא גבול זמן. עם זאת, לעיתים קיימות דרישות שמירה מכוח דינים אחרים או מכוח התקשרויות עם גורמים מממנים. הפתרון המעשי הוא מדיניות שמירה כתובה שמגדירה תקופות לכל סוג מידע.
המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
לקריאה נוספת ומקורות
- חוק הגנת הפרטיות, התשמ״א-1981 — סעיף 8: ניהול מאגר מידע ועיבוד חוקי של מידע אישי; סעיף 17ב: ממונה על אבטחת מידע (ויקיטקסט)
- תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 — תקנה 2: מסמך הגדרות המאגר; תקנה 4: נוהל אבטחה (ויקיטקסט)
- הרשות להגנת הפרטיות — הנחיות ועמדות רשמיות
- רישום מאגר מידע אחרי תיקון 13: מי חייב ומי רק מודיע — עמותה שמנהלת מאגר תורמים צריכה לדעת אם היא חייבת ברישום.
- כמה זמן שומרים מידע אישי? מדיניות שמירה ומחיקה בעסק — מדיניות השמירה שהמאמר הזה מצביע עליה כפתרון.
מדריכים לענפים נוספים
