נקודות עיקריות
- הצעד הראשון בכל בדיקת ציות הוא מיפוי מאגרים — בלי רשימה מלאה של המקומות שבהם יושב מידע אישי, כל שאר הצעדים מבוססים על ניחוש.
- רוב הפערים שמתגלים בעסקים קטנים הם תיעודיים, לא טכנולוגיים: האמצעים קיימים, אבל אין מסמך שמראה שהם קיימים.
- רמת האבטחה הנדרשת נגזרת מסוג המידע ומהיקףו — ולא מגודל העסק. עסק קטן שמנהל מידע רפואי עשוי להיות ברמה גבוהה מחברת טכנולוגיה גדולה.
- תקנות אבטחת המידע מטילות על מאגרים ברמת אבטחה גבוהה סקר סיכונים תקופתי ומבדק חדירות — שתי דרישות נפרדות שעסקים נוטים לבלבל זו בזו.
- בדיקה שמסתיימת בלי תוכנית עבודה מתוארכת ובעלים לכל משימה אינה שווה הרבה — המסמך הוא רק נקודת ההתחלה.
תוכן עניינים
- מה זו בדיקת ציות לתיקון 13 ומה היא כוללת?
- מי בעסק צריך לבצע את הבדיקה?
- הצ׳קליסט: 10 צעדים לבדיקת ציות
- איך מדרגים את רמת המוכנות של העסק?
- מה עושים עם הממצאים אחרי הבדיקה?
- כל כמה זמן חוזרים על הבדיקה?
- שאלות ותשובות
בדיקת ציות תיקון 13 היא בחינה עצמית מובנית שמשווה בין אופן הטיפול בפועל במידע אישי בארגון לבין הדרישות החלות עליו לפי חוק הגנת הפרטיות והתקנות שלו. היא אינה הליך רשמי שמדווחים עליו לרשות, אלא כלי ניהול סיכונים פנימי. עם זאת, כשהרשות להגנת הפרטיות פונה לעסק במסגרת פיקוח רוחב או בעקבות תלונה, היכולת להציג בדיקה מעודכנת ותוכנית טיפול משנה מהותית את נקודת הפתיחה. להיכרות רחבה עם השינויים עצמם, התחילו במדריך המלא לתיקון 13 לבעלי אתרים ועסקים.
מה זו בדיקת ציות לתיקון 13 ומה היא כוללת?
בדיקת ציות היא תהליך בן שלושה שלבים: מיפוי מה קיים, השוואה מול הדרישה, וקביעת סדר עדיפויות לסגירת הפערים. היא מכסה ארבעה תחומים עיקריים: המידע עצמו (מה נאסף ואיפה הוא שמור), הבסיס החוקי לעיבודו, האמצעים הטכניים והארגוניים שמגנים עליו, והמנגנונים שמאפשרים לאנשים לממש את זכויותיהם.
הבדיקה אינה זהה לסקר סיכונים ואינה מחליפה אותו. סקר סיכונים הוא דרישה טכנית שמוטלת לפי תקנות אבטחת המידע על מאגרים ברמת אבטחה גבוהה, והוא בוחן איומי אבטחה ספציפיים. בדיקת הציות רחבה יותר וכוללת גם היבטים משפטיים ונהליים שאינם טכנולוגיים כלל. פירוט על הדרישה הטכנית נמצא במאמר על סקר סיכונים ומבדק חדירות: מי חייב לבצע וכל כמה זמן.
מי בעסק צריך לבצע את הבדיקה?
האחריות לבדיקה היא של ההנהלה, גם כשהביצוע בפועל מועבר לאיש מקצוע או ליועץ חיצוני. תיקון 13 הדגיש את אחריות הדרג הניהולי לנושא הפרטיות, כפי שמפורט במאמר על אחריות הנהלה ודירקטוריון בהגנת הפרטיות. בארגונים שחייבים במינוי ממונה על הגנת הפרטיות, הממונה הוא בדרך כלל מוביל התהליך.
בעסק קטן בלי ממונה ייעודי, המלצה מעשית היא למנות אדם אחד כאחראי לבדיקה — לרוב מנהל תפעול או מנהל מערכות מידע — ולצרף אליו נציג מכל מערך שנוגע במידע אישי: מכירות, שירות, גבייה ומשאבי אנוש. הבדיקה נכשלת כמעט תמיד כשהיא נעשית רק במחלקת ה-IT, מפני שהרבה מאגרים מתנהלים בקבצי גיליון אצל עובדים במחלקות אחרות.
הצ׳קליסט: 10 צעדים לבדיקת ציות
הרצף למטה בנוי כך שכל צעד נשען על קודמו; דילוג על שלב 1 או 2 הוא הסיבה הנפוצה ביותר לבדיקות שמפספסות מאגרים שלמים.
- מפו את כל המקומות שבהם יושב מידע אישי. לא רק ה-CRM — גם קבצי אקסל, תיבות דוא"ל, קבוצות וואטסאפ, מערכת הגבייה וגיבויים ישנים.
- סווגו את סוגי המידע. הפרידו בין מידע רגיל לבין מידע בעל רגישות מיוחדת, שמחייב טיפול מחמיר יותר.
- קבעו לכל מאגר את רמת האבטחה הנדרשת לפי תקנות אבטחת המידע, ורשמו את הנימוק.
- בדקו אם קיימת חובת רישום או הודעה לגבי כל מאגר, לפי הכללים שהשתנו בתיקון 13.
- ודאו שקיים בסיס חוקי לכל איסוף — הסכמה מתועדת, התקשרות או חובה חוקית — ושהיידוע ניתן בפועל לפני האיסוף.
- עברו על מסמכי הבסיס: מדיניות פרטיות, נוהל אבטחת מידע, מדיניות שמירה ומחיקה — ובדקו שהם מתארים מה שאכן קורה.
- מפו את הספקים שנוגעים במידע וודאו שלכל אחד יש הסדרה חוזית עדכנית.
- בדקו את מערך ההרשאות: מי נגש למה, האם עובדים שעזבו נותקו, והאם קיים תיעוד גישות. ראו הרשאות גישה למאגר מידע.
- תרגלו תרחיש אירוע: מי מזהה, מי מחליט על דיווח, תוך כמה זמן, ולמי מודיעים.
- הפיקו תוכנית עבודה עם משימה, בעלים ותאריך יעד לכל פער שנמצא.
איך מדרגים את רמת המוכנות של העסק?
הדרוג השימושי ביותר מבחין בין שלוש רמות — חסר, חלקי ומלא — על פני אותם שישה צירים, ומאפשר לראות במבט אחד איפה נמצאת החשיפה הגדולה ביותר. הטבלה למטה משמשת כמפת חום פשוטה שאפשר למלא בישיבה אחת.
| ציר בדיקה | חסר | חלקי | מלא |
|---|---|---|---|
| מיפוי מאגרים | אין רשימה | רשימה חלקית בלי קבצים מקומיים | רשימה מלאה עם בעלים לכל מאגר |
| בסיס חוקי לעיבוד | לא נבדק | קיים לערוץ הראשי בלבד | מתועד לכל ערוץ איסוף |
| מסמכי מדיניות | אין / הועתקו מאתר אחר | קיימים אך לא עודכנו מאז 2025 | מעודכנים ותואמים למצב בפועל |
| הרשאות גישה | גישה רווחה לכולם | הפרדה חלקית בלי תיעוד | הרשאות לפי תפקיד + לוג גישות |
| ניהול ספקים | אין מיפוי ספקים | חוזים סטנדרטיים בלי נספח מידע | מיפוי מלא + הסדרה חוזית לכל ספק |
| מוכנות לאירוע | אין נוהל | נוהל כתוב שלא תורגל | נוהל + תרגול שנתי + איש קשר מוגדר |
עסק שנמצא בעמודת "חסר" בשני צירים או יותר נמצא בחשיפה מעשית מיידית, מפני שאלה בדיוק הדברים שנבדקים ראשונים בכל בירור — ומפני שהם גם הזולים ביותר לתקן.
מה עושים עם הממצאים אחרי הבדיקה?
ממצא שלא הפך למשימה עם בעלים ותאריך יעד הוא ממצא שלא יטופל. המלצה מעשית היא לדרג כל פער לפי שני ממדים — חומרת החשיפה ועלות התיקון — ולהתחיל מהפערים בחומרה גבוהה ועלות נמוכה. ברוב העסקים אלה דווקא הפערים התיעודיים: עדכון מדיניות פרטיות, כתיבת נוהל אבטחה, ותיעוד הרשאות.
שלוש המשימות שכדאי לבצע ראשונות ברוב המקרים הן: עדכון המדיניות הפרטיות באתר כך שתשקף את העיבוד בפועל; ניתוק גישות של עובדים שעזבו; והגדרת איש קשר אחד שאליו מגיעות פניות של לקוחות בנושא פרטיות. שלושתן אינן דורשות השקעה טכנולוגית, והן מצמצמות חלק ניכר מהחשיפה המעשית.
כל כמה זמן חוזרים על הבדיקה?
נוהג סביר הוא בדיקה מלאה אחת לשנה, ובדיקה מקוצרת בכל שינוי מהותי — מערכת חדשה, ספק חדש, קו מוצר חדש או שינוי באופן האיסוף. אין דרישה חוקית גורפת לתדירות מסוימת של בדיקת ציות כללית כמו זו, בשונה מדרישות התקנות לסקר סיכונים תקופתי במאגרים ברמה גבוהה.
בפועל, הטריגר החשוב יותר מהלוח השנה הוא השינוי. הטמעת כלי בינה מלאכותית בתהליך עסקי, למשל, משנה את מפת הסיכונים מיד — נושא שמפורט במאמר על נוהל שימוש בכלי AI בארגון. עדכונים רגולטוריים שוטפים מתפרסמים באתר הרשות להגנת הפרטיות, וכדאי לעקוב אחריהם במקום להמתין לבדיקה השנתית.
שאלות ותשובות
האם חובה חוקית לבצע בדיקת ציות לתיקון 13?
אין בחוק דרישה מפורשת להפיק מסמך שנקרא "בדיקת ציות". עם זאת, החובות שהבדיקה בודקת — יידוע, אבטחה, טיפול בפניות ודיווח על אירועים — הן חובות מחייבות בפני עצמן. הבדיקה היא פשוט הדרך המסודרת לוודא שהן מתקיימות.
כמה זמן לוקחת בדיקה בעסק קטן?
בעסק עם מערכת אחת או שתיים ומספר עובדים מוגבל, רוב העבודה מסתכמת בכמה ימי עבודה מרוכזים. החלק האיטי בדרך כלל אינו הבדיקה עצמה אלא איסוף המידע ממחלקות שונות — לכן כדאי לשלוח את שאלון המיפוי מראש.
האם צריך יועץ חיצוני לבדיקה?
לא לשלב המיפוי והאבחון הראשוני, שרוב העסקים יכולים לבצע פנימית. סיוע חיצוני משתלם בעיקר בשני מצבים: כשנדרשת הכרעה משפטית לגבי בסיס עיבוד מורכב, וכשנדרשת בדיקה טכנית שהתקנות מחייבות, כמו מבדק חדירות.
האם בדיקת הציות מוגשת לרשות להגנת הפרטיות?
בדיקה פנימית אינה מוגשת יזומת. עם זאת, אם הרשות פונה לעסק במסגרת פיקוח או בירור, היא עשויה לבקש מסמכים ונהלים. בדיקה מעודכנת ותוכנית טיפול פעילה מדגימות ניהול סיכונים מסודר — וזה רלוונטי לאופן שבו התמונה נראית.
מה ההבדל בין בדיקת ציות לסקר סיכונים?
סקר סיכונים הוא דרישה טכנית מכוח תקנות אבטחת המידע, שחלה על מאגרים ברמת אבטחה גבוהה ובוחנת איומי אבטחה. בדיקת ציות רחבה יותר וכוללת גם בסיס חוקי לעיבוד, מסמכי מדיניות, הסדרת ספקים ומימוש זכויות — תחומים שאינם טכנולוגיים.
המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
