נקודות עיקריות
- חובת סודיות מקצועית אינה מחליפה את דיני הפרטיות. הן שתי שכבות מצטברות, ועמידה באחת אינה מוכיחה עמידה בשנייה.
- תיקון 13 החליף את המונח "מידע רגיש" במונח "מידע בעל רגישות מיוחדת", שכולל בין היתר מידע על נתוני שכר ופעילות פיננסית, עבר פלילי, ומידע החוסה תחת חובת סודיות שנקבעה בדין.
- המשרד הוא לעיתים מעבד עבור הלקוח ולא בעל השליטה במידע — הבחנה שתיקון 13 עיגן בהגדרות, ושמשנה מי אחראי על מה.
- עובדים זמניים וסטאז'ים הם נקודת התורפה השכיחה ביותר במשרדי מקצוע: הרשאות רחבות, מחזור מהיר, ולעיתים אין נוהל סגירת גישה בסיום העסקה.
- אי־דיווח על אירוע אבטחה הוא הפרה עצמאית. ביולי 2026 דווח על עיצום כספי ראשון מכוח תיקון 13 שהוטל בדיוק על רקע אי־דיווח מיידי על אירוע חמור.
תוכן העניינים
- מה הופך משרד מקצוע למקרה מיוחד בדיני הפרטיות?
- האם חובת הסודיות המקצועית מספיקה?
- האם המשרד הוא בעל השליטה במידע או מעבד שלו?
- אילו אמצעי אבטחה נדרשים בפועל במשרד?
- איך בונים תוכנית ציות למשרד קטן בעשרה צעדים?
- מה עושים כשמידע של לקוח דלף?
- שאלות נפוצות
הגנת הפרטיות במשרדי מקצוע היא מערכת הבקרות שמבטיחה שמידע לקוחות שהגיע למשרד לצורך מתן שירות מקצועי לא ייחשף, לא ישמש למטרה אחרת ולא יישמר מעבר לנדרש. משרד רואי חשבון בינוני מחזיק תלושי שכר, דוחות מס, פרטי חשבון בנק ומידע על מאות עובדים שאינם לקוחותיו שלו — ומשרד עורכי דין מחזיק חומר שבמקרים רבים חשוף לחסיון. שני המשרדים האלה מנהלים מאגרי מידע לכל דבר, גם אם אף אחד במשרד לא קרא לזה כך מעולם. נקודת הפתיחה להסדרה מסודרת נמצאת במדריך תיקון 13 לבעלי עסקים ואתרים.
מה הופך משרד מקצוע למקרה מיוחד בדיני הפרטיות?
שלושה מאפיינים מצטברים: רגישות גבוהה של המידע, ריבוי נושאי מידע שאינם לקוחות המשרד, ותלות עמוקה בספקי תוכנה חיצוניים. משרד שמנהל שכר עבור עשרות לקוחות מחזיק מידע על אלפי עובדים שמעולם לא התקשרו איתו ולא נתנו לו הסכמה ישירה. זה בדיוק המצב שבו השרשור המשפטי בין המשרד ללקוח ולנושא המידע חייב להיות מתועד.
נוסף על כך, תיקון 13 לחוק הגנת הפרטיות החליף את המונח "מידע רגיש" במונח "מידע בעל רגישות מיוחדת" והרחיב את הקטגוריות שנכנסות אליו — ביניהן נתוני שכר ופעילות פיננסית, עבר פלילי, ומידע החוסה תחת חובת סודיות שנקבעה בדין. למשרדי מקצוע זה השינוי המעשי החשוב ביותר: הרבה ממה שנחשב פעם "מידע עסקי רגיל" נמצא היום בקטגוריה המחמירה. פירוט מלא של הקטגוריות נמצא במאמר על מידע בעל רגישות מיוחדת ומה זה מחייב.
האם חובת הסודיות המקצועית מספיקה?
לא. חובת הסודיות המקצועית אוסרת גילוי מידע לאחרים, אבל היא אינה מחייבת את המשרד לאבטח את המידע, לנהל הרשאות, למפות מאגרים או לדווח על אירוע אבטחה. סודיות היא איסור על פעולה אנושית; אבטחת מידע היא חובה לנקוט אמצעים. משרד שעובדיו שומרים סוד בקנאות אבל מנהלים את כל התיקים בתיקיית שיתוף פתוחה לכל המשרד עומד באחת ומפר את השנייה.
איפה השתיים נפגשות
בנקודה אחת הן מתנגשות לכאורה: לקוח או עובד של לקוח פונה למשרד בבקשת עיון במידע עליו. הכלל המעשי במצבים כאלה הוא לבדוק קודם כל מי הגורם שקובע את מטרות העיבוד — ברוב המקרים הלקוח — ולהפנות אליו את הבקשה, תוך תיעוד הפנייה ומועד ההפניה. הרחבה על אופן הטיפול בפניות מסוג זה מופיעה במאמר על זכות עיון במידע אישי וטיפול בפניות.
האם המשרד הוא בעל השליטה במידע או מעבד שלו?
ברוב המקרים המשרד הוא מעבד עבור הלקוח כשמדובר במידע על עובדי הלקוח או לקוחותיו, ובעל שליטה כשמדובר במידע על לקוחותיו הוא ועל עובדיו הוא. תיקון 13 עיגן בחוק את ההבחנה בין הגורם שקובע את מטרות העיבוד לבין הגורם החיצוני שמעבד מידע בשמו, בדומה לאופן שבו הדבר נעשה בחקיקת פרטיות בעולם. בפועל, משרד אחד יכול להיות שניהם בו-זמנית עבור מאגרים שונים, ולכן המיפוי חייב להיעשות לפי מאגר ולא לפי ארגון.
| סוג המידע במשרד | מי קובע את המטרות | מה זה משנה למשרד |
|---|---|---|
| תיקי לקוחות המשרד (פרטי קשר, חיוב) | המשרד | אחריות מלאה: יידוע, הסכמה, עיון ומחיקה |
| שכר עובדי לקוח שהמשרד מעבד | הלקוח | פעולה לפי הוראות הלקוח + הסכם עיבוד כתוב |
| תיקי עובדי המשרד עצמו | המשרד | חלות חובות מעסיק בנוסף לדיני פרטיות |
| חומר חקירה או הליך משפטי | הלקוח (בד"כ) | רגישות מוגברת והפרדה פיזית/לוגית |
| מידע במערכת ענן של ספק | המשרד (הספק הוא מעבד) | נדרש הסכם עם הספק ובקרה עליו |
לנושא הספקים יש משקל מיוחד במשרדי מקצוע, שכמעט כולם עובדים על תוכנות שכר והנהלת חשבונות חיצוניות. מה שצריך להיסגר מול ספק לפני שנותנים לו גישה מפורט במאמר על מיקור חוץ ומאגרי מידע.
אילו אמצעי אבטחה נדרשים בפועל במשרד?
רמת האבטחה נקבעת לפי תקנות הגנת הפרטיות (אבטחת מידע), תשע"ז-2017, ומושפעת מהיקף המידע, ממספר בעלי ההרשאה ומרגישות המידע — לא מהמחזור הכספי של המשרד. משרד קטן שמחזיק מידע בעל רגישות מיוחדת על הרבה אנשים עלול להימצא ברמה גבוהה מכפי שבעליו מנחשים.
המינימום המעשי שמשרד מקצוע צריך להעמיד כולל מסמך הגדרות מאגר מעודכן, נוהל אבטחת מידע כתוב, ניהול הרשאות לפי תפקיד, תיעוד גישות, הצפנה של מחשבים ניידים, וגיבוי שנבדק בשחזור ולא רק רץ. הדרך לקבוע את הרמה הנכונה מפורטת במאמר על איך קובעים את רמת האבטחה של המאגר.
שלוש חולשות שחוזרות במשרדים
- תיקייות שיתוף שטוחות. כל עובד רואה את כל הלקוחות. זה נוח ביוםיום ובלתי אפשרי להצדקה בבדיקה.
- דוא"ל כמערכת ארכיון. שנים של צרופות רגישות בתיבת דואר אישית, בלי מדיניות מחיקה.
- אין נוהל סיום העסקה. חשבונות של עובדים שעזבו נשארים פעילים חודשים.
איך בונים תוכנית ציות למשרד קטן בעשרה צעדים?
תוכנית ציות ראשונה למשרד קטן נבנית בשבועות ולא בחודשים, אם מתקדמים לפי סדר קבוע ממיפוי לבקרה. אלה הצעדים בסדר מומלץ:
- מפו את המאגרים. רשמו כל מערכת שמחזיקה מידע על אנשים: תוכנת שכר, הנה"ח, CRM, דוא"ל, ענן, וארונות נייר.
- סווגו לפי רגישות. סמנו אילו מאגרים מכילים מידע בעל רגישות מיוחדת.
- קבעו לכל מאגר מי בעל השליטה. המשרד או הלקוח — ותעדו את ההכרעה.
- כתבו מסמך הגדרות מאגר. מבנה המאגר, סוגי המידע, מטרות השימוש והמערכות המשמשות אותו.
- צמצמו הרשאות. עברו מגישה לכלל לגישה לפי תפקיד, ותעדו מי מורשה למה.
- הסדירו את הספקים. הסכם כתוב עם כל ספק שיש לו גישה, ובדיקה מה הוא עושה עם המידע.
- כתבו נוהל אבטחת מידע. מסמך אחד, קצר, שמישום אותו בפועל — עדיף על מסמך מושלם שאיש לא קורא.
- הגדירו נוהל אירוע אבטחה. מי מזהה, למי מדווחים בתוך המשרד, ומי מחליט על דיווח חיצוני.
- הדריכו את הצוות. חצי שעה אחת לשנה עם דוגמאות מהמשרד, ותיעוד נוכחות.
- קבעו בקרה תקופתית. בדיקה שנתית שהמיפוי, ההרשאות והספקים עדיין משקפים את המציאות.
מה עושים כשמידע של לקוח דלף?
במשרד מקצוע דליפה מפעילה שני מסלולים במקביל: טיפול באירוע לפי דיני הפרטיות, ויידוע הלקוח שהמידע שלו נפגע — גם כשהוא בעל השליטה והמשרד רק מעבד. הטעות הנפוצה היא לנסות לברר קודם את היקף הנזק ורק אחר כך להודיע למי שצריך. עיכוב בדיווח הוא הפרה עצמאית, נפרדת מהדליפה עצמה. ביולי 2026 דווח על עיצום כספי ראשון שהוטל מכוח תיקון 13, בסכום של כ-256,000 ש"ח, בגין אי-דיווח מיידי על אירוע אבטחה חמור — ולא בגין האירוע עצמו.
לנוהל הטיפול המלא באירוע, כולל סדר הפעולות בשעות הראשונות, ראו את המאמר על אירוע אבטחת מידע ומתי מדווחים לרשות.
שאלות נפוצות
האם משרד רואי חשבון חייב למנות ממונה על הגנת הפרטיות?
חובת המינוי אינה חלה על כל עסק אלא נגזרת ממאפייני הפעילות והמידע. משרד שעיסוקו העיקרי כרוך בעיבוד מידע על היקף ניכר של אנשים צריך לבדוק את השאלה ברצינות. הקריטריונים והתפקיד מפורטים במאמר היעודי בבלוג על ממונה על הגנת הפרטיות.
האם צריך הסכם עיבוד נפרד מול כל לקוח?
כשהמשרד מעבד מידע על אנשים שאינם לקוחותיו הישירים — עובדי הלקוח, לקוחות הלקוח — ראוי מאוד שההתקשרות תכלול נספח עיבוד מידע שמגדיר מטרות, היקף, אבטחה, החזרה ומחיקה בסיום ההתקשרות.
האם מותר לשלוח תלושי שכר בדוא"ל רגיל?
הדבר אינו אסור באופן גורף, אבל הוא מעביר מידע בעל רגישות מיוחדת בערוץ שקשה לשלוט בו. הנוהג המקובל הוא קובץ מוגן בסיסמה או פורטל עובדים, עם הפרדה בין ערוץ הקובץ לערוץ הסיסמה.
מה עושים עם תיקים ישנים של לקוחות שעזבו?
בודקים קודם אם קיימת חובת שמירה לפי דין או כלל מקצועי, ומה תקופתה. מה שמעבר לה ואינו נדרש למטרה לגיטימית — ראוי למחוק או להעביר לארכיון מופרד עם גישה מוגבלת.
האם שימוש בכלי בינה מלאכותית על חומרי לקוחות מותר?
השאלה אינה האם מותר להשתמש בבינה מלאכותית, אלא לאן המידע זולג ומה נעשה בו שם. העלאת חומר לקוחות לכלי ציבורי חינמי היא בפועל העברת מידע לצד שלישי. הנושא נדון בהרחבה במאמר על נוהל שימוש בכלי AI בארגון.
לקריאה נוספת ומקורות
המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
