פיקוח רוחב הרשות להגנת הפרטיות הפך לכלי האכיפה הבולט מול ארגונים בישראל מאז שתיקון 13 לחוק הגנת הפרטיות נכנס לתוקף באוגוסט 2025. במקום להמתין לתלונה של אדם פרטי, הרשות בוחרת מגזר שלם ובודקת בו-זמנית מספר גופים הפועלים בו. עבור בעל עסק שמנהל מאגר לקוחות, המשמעות פשוטה: אתם עשויים להיבדק גם אם איש לא התלונן עליכם מעולם. ב-Privorify אנחנו רואים שהפער בין ארגון שנערך מראש לבין ארגון שנתפס לא מוכן הוא בעיקר פער של תיעוד, לא של טכנולוגיה.
מה זה פיקוח רוחב ובמה הוא שונה מבדיקה נקודתית?
פיקוח רוחב הוא הליך פיקוח יזום שבו הרשות בוחנת קבוצת ארגונים מאותו ענף לפי אותם קריטריונים. ההבדל מבדיקה נקודתית הוא בנקודת הפתיחה: בדיקה נקודתית נולדת בדרך כלל מתלונה, מדיווח על אירוע אבטחת מידע או מפרסום תקשורתי, ואילו פיקוח רוחב נולד מהחלטה מגזרית של הרשות. הרשות מזהה ענף שבו יש ריכוז גבוה של מידע אישי, רגישות מיוחדת של המידע או חשיפה רחבה של ציבור המשתמשים, ופותחת בבדיקה מתואמת מול מספר גופים.
לשיטת עבודה הזו יש שתי השלכות מעשיות. הראשונה היא שהממצאים משמשים את הרשות גם כדי לגבש תמונת מצב ענפית ולפרסם המלצות שמחייבות בפועל את כל השחקנים בענף. השנייה היא שמי שנמצא במגזר מפוקח לא יכול להסתמך על ההנחה שהוא קטן מכדי להתעניין בו.
אילו מגזרים נמצאים כרגע תחת פיקוח רוחב?
בדצמבר 2025 הודיעה הרשות להגנת הפרטיות על פתיחת הליכי פיקוח רוחב בחמישה מגזרים. אלה המגזרים שנכללו בהודעה:
- רשויות מקומיות — גופים המחזיקים מאגרי מידע נרחבים על תושבים.
- אפליקציות בשימוש נרחב — שירותים דיגיטליים עם בסיס משתמשים גדול.
- מכוני בדיקות גנטיות — מגזר המעבד מידע רגיש במיוחד.
- מעונות יום — גופים המחזיקים מידע על ילדים ועל משפחותיהם.
- חברות קמעונאות מקוונת — חנויות אונליין המנהלות מאגרי לקוחות והיסטוריית רכישות.
לשם השוואה, בסבבי פיקוח קודמים התמקדה הרשות במגזרים אחרים, ובהם חברות שמירה ואבטחה, חברות פינטק, תחום הנדל"ן, חברות ליסינג, אפליקציות המיועדות לילדים ומרפאות לטיפול רגשי. הדפוס שחוזר על עצמו הוא בחירה של ענפים שבהם המידע רגיש או שהציבור הנחשף אליו רחב במיוחד.
מה הרשות בודקת בפועל בפיקוח רוחב?
הבדיקה מתמקדת בפער שבין מה שהארגון מצהיר עליו לבין מה שהוא עושה בפועל עם המידע. בפרקטיקה, הליכי פיקוח בוחנים את יסודות הציות שכל בעל מאגר נדרש להם ממילא לפי החוק והתקנות:
שכבת המסמכים
- מסמך הגדרות מאגר מעודכן שמתאר אילו סוגי מידע נאספים ולאילו מטרות.
- מדיניות פרטיות גלויה ותואמת לפעילות בפועל.
- נהלי אבטחת מידע כתובים, ולא רק הסדרים שבעל-פה.
שכבת התהליכים
- אופן קבלת ההסכמה מהאדם שהמידע נאסף עליו, וההודעה שניתנה לו בעת האיסוף.
- הטיפול בפניות של אנשים המבקשים לעיין במידע שנשמר עליהם.
- ניהול הרשאות הגישה: מי בארגון רשאי לגשת למאגר ומדוע.
- ההסדרה מול ספקים חיצוניים שמקבלים גישה למידע.
שכבת האירועים
הרשות בוחנת גם כיצד הארגון מזהה אירוע אבטחת מידע, מי מוסמך להחליט על דיווח וכיצד האירוע תועד. נוהל טיפול באירוע אבטחת מידע שקיים על הנייר אך מעולם לא נבחן בתרגיל הוא ממצא שכיח.
למה תיקון 13 הפך את הפיקוח לקריטי יותר לעסקים?
עד תיקון 13, ההנחה הרווחת בשוק הייתה שהאכיפה בתחום הפרטיות מוגבלת. תיקון 13 שינה זאת כשהעניק לרשות סמכויות אכיפה מנהליות משמעותיות, ובהן הטלת עיצומים כספיים. השינוי המהותי הוא במסלול: אכיפה מנהלית מאפשרת לרשות לפעול בהליך מהיר יחסית, בלי להידרש להליך פלילי ארוך. לכן ממצא בפיקוח רוחב אינו נשאר בגדר הערה, ועשוי להוביל להליך אכיפה של ממש. הרחבנו על כך במדריך בנושא היקף החשיפה הכספית בהפרת תיקון 13.
נקודה נוספת שכדאי להפנים: פיקוח רוחב בודק מצב קיים. אם התיקונים מתחילים רק אחרי שהפנייה התקבלה, הממצא כבר נוצר. ההיערכות המשמעותית היא זו שנעשית מראש.
איך נערכים לפיקוח רוחב לפני שהוא מגיע?
ההיערכות המעשית מתחילה בשאלה אחת: אם מחר תתבקשו להציג את כל תיעוד הפרטיות שלכם תוך שבוע, מה תוכלו להגיש? הטבלה הבאה מסכמת את הפריטים שכדאי שיהיו מוכנים בתיקייה אחת:
| הפריט | מה צריך להיות בו |
|---|---|
| מסמך הגדרות מאגר | סוגי המידע, מטרות השימוש, מקורות המידע והעברות לצדדים שלישיים |
| מיפוי מאגרים | רשימה של כל המערכות שבהן נשמר מידע אישי, כולל גיליונות עבודה וכלי דיוור |
| נוהל אבטחת מידע | הרשאות, גיבויים, ניהול סיסמאות ותיעוד גישה |
| הסכמי ספקים | התייחסות מפורשת לאבטחת מידע ולמגבלות השימוש במידע |
| יומן פניות | תיעוד בקשות עיון, תיקון ומחיקה והמענה שניתן להן |
מעבר לתיעוד, כדאי לבצע חזרה יבשה: לבקש מגורם פנימי לאתר את כל המקומות שבהם נשמר מידע על לקוח מסוים. התרגיל הזה חושף כמעט תמיד מאגרי צל שלא היו במיפוי, כמו קובץ אקסל בענן או רשימת תפוצה ישנה. ראו גם את המדריך על קביעת רמת האבטחה של המאגר ואת המדריך המלא לתיקון 13 לבעלי אתרים.
מה עושים אם התקבלה פנייה מהרשות?
הכלל הראשון הוא לא להתעלם ולא לאלתר. פנייה של הרשות היא הליך רשמי עם לוחות זמנים, ותשובה חלקית או מתחמקת מחמירה את המצב. מומלץ לרכז את הטיפול אצל גורם אחד בארגון, לאסוף את המסמכים הקיימים כפי שהם באותו רגע, ולהימנע מיצירת מסמכים בדיעבד שנראים כאילו היו קיימים מלכתחילה. במקביל, נכון להיוועץ בבעל מקצוע המתמחה בתחום כדי לגבש את המענה.
שאלות ותשובות
האם פיקוח רוחב חל רק על חברות גדולות?
לא. פיקוח רוחב מוגדר לפי מגזר ולא לפי גודל הארגון. עסק קטן הפועל במגזר שנבחר לפיקוח עשוי להיכלל בבדיקה, במיוחד כאשר הוא מנהל מאגר מידע משמעותי ביחס לפעילותו.
האם קיבלתי הודעה מראש שאני נמצא בפיקוח רוחב?
הרשות מפרסמת בדרך כלל הודעה פומבית על פתיחת הליכי פיקוח במגזרים מסוימים, אך הפנייה הפרטנית לארגון מגיעה בנפרד. מעקב אחר פרסומי הרשות מאפשר לזהות מראש שהמגזר שלכם נמצא במוקד.
מה קורה אם נמצאו ליקויים?
ממצאי פיקוח עשויים להוביל לדרישת תיקון בלוח זמנים מוגדר, ובמקרים מתאימים גם להליך אכיפה מנהלי. תיקון 13 הרחיב את ארגז הכלים של הרשות, ולכן חשוב להתייחס לממצאים ברצינות ולתעד את התיקון שבוצע.
האם מספיק שיש לי מדיניות פרטיות באתר?
לא. מדיניות פרטיות היא רכיב אחד בלבד. הפיקוח בוחן גם את מסמך הגדרות המאגר, את נהלי אבטחת המידע, את ההסדרה מול ספקים ואת אופן הטיפול בפניות של אנשים לגבי המידע שנשמר עליהם.
כמה זמן לוקח להיערך?
אין לוח זמנים אחיד. ארגון קטן עם מערכת אחת יכול לסגור את הפערים המרכזיים בתוך שבועות, בעוד ארגון עם מספר מערכות וספקים נדרש לתהליך ארוך יותר של מיפוי והסדרה. ההמלצה המעשית היא להתחיל במיפוי המאגרים, שהוא הבסיס לכל שאר השלבים.
המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
לקריאה נוספת ומקורות
- חוק הגנת הפרטיות, התשמ״א-1981 — סעיף 23יז: תוכנית לפיקוח רוחב; סעיף 23י: סמכויות מפקח; סעיף 23כו: עיצום כספי (ויקיטקסט)
- הרשות להגנת הפרטיות — הנחיות ועמדות רשמיות
- הרשות להגנת הפרטיות — מדריך מקצועי לתיקון 13
- תיקון 13 לחוק הגנת הפרטיות — המדריך המלא לבעלי אתרים — המדריך המלא שמרכז את כל החובות שהפיקוח בודק.
- מיפוי מאגרי מידע בארגון: הצעד הראשון לעמידה בתיקון 13 — הצעד שהמאמר ממליץ להתחיל בו.
- קנסות הגנת הפרטיות: כמה עולה הפרת תיקון 13 — מה קורה כשממצאי הפיקוח מגיעים לשלב האכיפה.
להמשך קריאה על אכיפה
