השאלה "כמה זמן לשמור?" היא אחת הנפוצות ביותר בפרויקטי ציות, וגם זו שעסקים נוטים לדחות. הדחייה הזו יקרה: כל שנה שעוברת מוסיפה מידע שאיש לא צריך אבל כולם אחראים עליו. נושא מחיקת מידע אישי הוא למעשה אחת הדרכים הזולות ביותר להקטין חשיפה, והוא חלק בלתי נפרד מהציות לחוק הגנת הפרטיות.
מה החוק אומר על משך השמירה?
החוק לא נותן טבלת שנים — הוא נותן עקרון. חוק הגנת הפרטיות קובע כי לא יעבד אדם מידע אישי במאגר מידע אלא למטרת המאגר שנקבעה לו כדין. מידע שכבר אינו משרת את המטרה שלשמה נאסף אינו אמור להמשיך לשבת במערכות לנצח.
לצד זאת, החוק מכיר במפורש בזכות של אדם לדרוש שיימחק ממאגר המשמש לדיוור ישיר. זו זכות שנדרש לדעת לטפל בה בפועל, ולא מספיק להסיר מייל מרשימת התפוצה ולהשאיר את כל שאר הרשומות. הרחבנו על כך במדריך דיוור ישיר אחרי תיקון 13.
למה שמירת יתר היא סיכון ולא ביטוח?
כי כל רשומה ששמורה היא רשומה שיכולה לדלוף. עסק ששומר עשר שנות של לידים ופניות בלי סיבה מחזיק בפועל מאגר גדול בהרבה ממה שהוא צריך — ובהתאם גם נזק פוטנציאלי גדול בהרבה אם משהו משתבש.
שלוש עלויות נסתרות של שמירת יתר:
- חשיפה באירוע אבטחה — היקף האירוע נמדד לפי כמה מידע היה שם, לא לפי כמה ממנו היה שימושי.
- עומס תפעולי — כל פניית עיון או מחיקה דורשת חיפוש בכל המערכות האלה.
- חשיפה משפטית — קשה הרבה להסביר למה מחזיקים מידע שאין לו שימוש.
איך בונים מדיניות שמירה בפועל?
מתחילים ממיפוי ומחלקים לקבוצות. אין טעם לחפש מספר אחד שיתאים לכל המידע — השאלה משתנה לפי סוג הרשומה. טבלה לדוגמה לאופן החלוקה:
| סוג המידע | מה קובע את משך השמירה |
|---|---|
| לידים שלא הבשילו | משך הזמן שבו הליד עדיין רלוונטי עסקית |
| לקוחות פעילים | משך ההתקשרות והאחריות שלאחריה |
| מסמכי חשבונאות ומס | חובות שמירה לפי דיני מס וחשבונאות |
| תיקי עובדים | דיני עבודה ותקופות התיישנות רלוונטיות |
| הקלטות מצלמות | מטרת האבטחה שלשמה הותקנו |
| לוגים וקבצי תיעוד | דרישות תקנות אבטחת המידע |
שימו לב לשורה האחרונה: קבצי תיעוד ולוגים שנאספים בקשר ליישום תקנות אבטחת המידע הם מקרה שבו דווקא יש דרישה לשמור לתקופה מסוימת — ולכן מחיקה גורפת מדי עלולה דווקא להזיק. פירוט נוסף במדריך תקנות אבטחת מידע.
שלבי הבנייה
- למפות אילו סוגי מידע קיימים ובאילו מערכות הם יושבים.
- לקבוע לכל סוג תקופת שמירה והנמקה קצרה.
- לבדוק אם יש חובת שמירה מתחרות מדין אחר (מס, עבודה, רגולציה מגזרית).
- להגדיר מי מבצע את המחיקה ומתי.
- לתעד כל מחזור מחיקה — מה נמחק, מתי, על ידי מי.
- לעדכן את מסמך הגדרות המאגר ואת מדיניות הפרטיות בהתאם.
מה נחשבת מחיקה אמיתית?
מחיקה אמיתית היא מחיקה שמונעת שחזור בפועל, ולא סימון של רשומה כ"לא פעילה" במערכת. זו הנקודה שעסקים רבים מפספסים, כי המידע ממשיך להתקיים בשלושה מקומות שנוטים להישכח:
- גיבויים — מחיקה מהמערכת החיה לא מוחקת את הגיבויים הישנים.
- קבצי ייצוא — אקסלים שיוצאו לצורך דוחות ונשארו בתיקיות או במייל.
- מערכות צד — כלי דיוור, CRM ישן שלא בשימוש, מערכת צ׳אט ששומרת היסטוריה.
לכן מדיניות מחיקה טובה מתייחסת לכל מקום שבו שוכן עותק של המידע, כולל אצל ספקים. על ההיבט הזה קראו במדריך מיקור חוץ ומאגרי מידע.
מה עושים כשלקוח מבקש למחוק את הפרטים שלו?
רושמים את הפנייה, מאמתים את זהות הפונה, ובודקים מה בדיוק הוא מבקש. לא כל בקשה ניתנת למילוי במלואה — לפעמים קיימת חובת שמירה מתחרה מדין אחר, למשל חשבוניות. במקרים כאלה מצמצמים למינימום הדרוש ומסבירים לפונה מה נשמר ולמה. אופן הטיפול בפניות מפורט במדריך זכות העיון.
שאלות ותשובות
האם החוק קובע כמה שנים לשמור מידע על לקוחות?
חוק הגנת הפרטיות לא קובע מספר שנים אחיד, אלא עקרון שלפיו עיבוד המידע נעשה למטרת המאגר שנקבעה לו. בפועל, משך השמירה נגזר מהמטרה ומחובות שמירה אחרות החלות על העסק.
האם אפשר לשמור מידע "למקרה שנצטרך"?
זו בדרך כלל לא הצדקה מספקת. אם אין מטרה מוגדרת ואין חובה אחרת המחייבת שמירה, עדיף למחוק. "אולי נצטרך מתי שהוא" אינו מבחן מעשי וגם לא מבחן שקל בביקורת.
האם אנונימיזציה שקולה למחיקה?
הסרת מזהים באופן שאינו מאפשר לחבר את הנתונים בחזרה לאדם מסוים מצמצמת מאוד את החשיפה. עם זאת, הסרה חלקית שמאפשרת שחזור באמצעות הצלבה עם נתונים אחרים אינה באמת אנונימיזציה.
מה עושים עם גיבויים ישנים?
מגדירים גם לגיבויים מדיניות שמירה ומחזור מחיקה, כך שגיבוי ישן לא יישמר לנצח. חשוב לתאם את זה עם צרכי השחזור התפעוליים של העסק.
מי אחראי על ביצוע המחיקות בעסק?
מומלץ להגדיר בעל תפקיד אחד שאחראי על הנושא ולקבוע מחזור קבוע עם תיעוד. בארגונים שמינו ממונה על הגנת הפרטיות, זהו חלק טבעי מתחום הבקרה שלו.
איך מוודאים שהמדיניות באמת מתקיימת?
באמצעות בדיקה תקופתית קצרה, לא באמצעות הנחה. מדיניות שמירה שנכתבה ונשכחה בתיקייה אינה שווה הרבה יותר ממדיניות שלא נכתבה מעולם, ובביקורת היא עלולה אפילו להזיק: היא מעידה על כך שהארגון ידע מה נדרש ולא פעל לפי זה.
רשימת בדיקה שנתית קצרה שמכסה את רוב הפערים:
- האם מחזור המחיקה באמת רץ? לבדוק מתי בוצעה המחיקה האחרונה בפועל, ולא מתי היא היתה אמורה לרוץ.
- האם נוספו מערכות חדשות? כל כלי חדש שנכנס לעסק בשנה האחרונה צריך לקבל תקופת שמירה משלו.
- האם המטרות השתנו? שינוי במודל העסקי משנה לעיתים את מה שבאמת דרוש.
- האם ספקים שסיימו מחקו את העותק שלהם? סיום התקשרות אינו מוחק מידע באופן אוטומטי.
- האם התיעוד קיים? בלי רישום של מה נמחק ומתי, קשה להוכיח שהמדיניות מיושמת.
בעסקים קטנים הבדיקה הזו לוקחת שעה בשנה. העלות של אי-ביצועה מתגלה בדרך כלל ביום שבו משהו כבר קרה.
מה הקשר בין מדיניות שמירה למסמכי הציות האחרים?
מדיניות השמירה אינה מסמך עצמאי — היא נגזרת ממסמך הגדרות המאגר ומזינה את מדיניות הפרטיות שמוצגת ללקוחות. כאשר שלושת המסמכים האלה סותרים זה את זה — למשל כשמדיניות הפרטיות מבטיחה מחיקה שבפועל אינה מתבצעת — זו חשיפה כפולה: גם אי עמידה בדרישות וגם פער בין מצג למציאות מול הלקוח.
לכן הסדר הנכון הוא לקבוע קודם מה קורה בפועל, ורק אחר כך לנסח מה מצהירים כלפי חוץ. מי שמעוניין במבנה המלא של מסמך מדיניות פרטיות ימצא אותו במדריך מדיניות הפרטיות לאתר.
המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
להמשך קריאה
להמשך קריאה בנושא
- תיקון 13 לחוק הגנת הפרטיות — המדריך המלא לבעלי אתרים — המדריך המרכזי להיערכות לתיקון 13.
- מידע בעל רגישות מיוחדת: מה נכנס להגדרה החדשה ומה זה מחייב — למידע רגיש יש כללי שמירה מחמירים יותר.
- הסכמה מדעת לעיבוד מידע אישי: איך מנסחים ומתעדים אותה — ההסכמה שניתנה היא שקובעת עד מתי מותר לשמור.
לקריאה נוספת ומקורות
- חוק הגנת הפרטיות, התשמ״א-1981 — סעיף 8: ניהול מאגר מידע ועיבוד חוקי של מידע אישי (ויקיטקסט)
- תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 — תקנה 2: מסמך הגדרות המאגר; תקנה 17: שמירת נתוני אבטחה (ויקיטקסט)
- הרשות להגנת הפרטיות — מדריך מקצועי ליישום תיקון 13
- מיפוי מאגרי מידע בארגון: הצעד הראשון לעמידה בתיקון 13 — לפני שקובעים כמה זמן לשמור — צריך לדעת אילו מאגרים בכלל קיימים בארגון.
- גיבוי ושחזור מידע: מה תקנות אבטחת המידע דורשות בפועל — מחיקה מהמערכת הפעילה אינה מחיקה מהגיבוי — מדיניות השמירה חייבת לכלול גם את הגיבויים.
להמשך קריאה
- מצלמות אבטחה ופרטיות: מה מותר לצלם ומה חובה להסדיר — השאלה כמה זמן לשמור צילומים היא אחת הנפוצות ביותר.
- מעקב אחר עובדים: מה מותר למעסיק לנטר ומה אסור — נתוני ניטור עובדים ותקופת השמירה שלהם.
