אבטחת מידע במערכות סקרים: מה חשוב לדעת על תיקון 13 לחוק הגנת הפרטיות?
אבטחת מידע במערכת סקרים: מה תיקון 13 לחוק הגנת הפרטיות מחייב אתכם לבדוק?
מנהלת משאבי אנוש שולחת סקר שמוגדר כ״אנונימי״. העובדים נשאלים על שחיקה, היחסים עם המנהל ומצבם הבריאותי. השם אינו מופיע בשאלון, אבל לכל עובד נשלח קישור אישי, ובקובץ התוצאות נשמרים המחלקה, התפקיד ומועד המענה. בצוות קטן, לא תמיד צריך שם כדי לדעת מי כתב מה.
זהו תרחיש המחשה, אבל הבעיה שהוא מציג מעשית מאוד: מערכת סקרים יכולה להפוך למאגר מידע אישי עוד לפני שהארגון מבין איזה מידע הוא מחזיק. תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף ב־14 באוגוסט 2025, מחייב לבחון את הפעילות הזאת ברצינות מחודשת.
התיקון אינו רק סיפור על קנסות, וגם אינו תקן טכנולוגי חדש. הוא משנה הגדרות, מרחיב את כלי האכיפה ומעדכן חובות ארגוניות. עבור מי שאוסף משוב מלקוחות או מעובדים, השאלה היא לא רק אם התשובות מוצפנות, אלא גם מדוע נאספו, מי רשאי לראות אותן ומה יקרה להן בהמשך.
מה השתנה בתיקון 13, ומה כבר היה חובה קודם?
תיקון 13 עדכן את חוק הגנת הפרטיות, התשמ״א–1981, ובין היתר חידד את המונחים ״מידע אישי״, ״מידע בעל רגישות מיוחדת״ ו״בעל שליטה במאגר מידע״. הוא גם הרחיב משמעותית את סמכויות הפיקוח והאכיפה של הרשות להגנת הפרטיות, לרבות האפשרות להטיל עיצומים כספיים בגין הפרות שנקבעו בחוק.
לצד זאת, התיקון צמצם את חובת רישום מאגרי המידע, קבע חובת הודעה לגבי מאגרים מסוימים והוסיף חובת מינוי ממונה על הגנת הפרטיות בקטגוריות מוגדרות של ארגונים. המשמעות אינה שכל עסק חייב באותן פעולות, אלא שנדרשת בדיקה לפי סוג הארגון, מטרת העיבוד, היקפו ורגישות המידע.
חשוב להפריד בין החדש לקיים: תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017, כבר הסדירו נושאים כגון הרשאות גישה, ניהול אירועים, תיעוד והתקשרות עם ספקים. התיקון לא החליף אותן. מערכת שלא עמדה בדרישות החלות עליה קודם, אינה מתחילה כעת מדף חלק.
מתי מערכת סקרים מחזיקה מידע אישי?
מידע אישי אינו מסתכם בשם, במספר זהות או בכתובת דוא״ל. ההגדרה המעודכנת מתייחסת גם לאדם שניתן לזהות במאמץ סביר, במישרין או בעקיפין. לכן מזהה לקוח, קישור אישי, נתוני מיקום או שילוב של פרטים דמוגרפיים עשויים להפוך תשובות למידע אישי.
גם שדה טקסט פתוח עלול לשנות את התמונה. לקוח שמתאר טיפול רפואי או עובד שמפרט על מצוקה נפשית מוסרים מידע רגיש, אף שהשאלה המקורית הייתה רק ״מה נוכל לשפר?״. מידע בריאותי, למשל, נכלל במידע בעל רגישות מיוחדת לפי החוק.
לצורך הגנת הפרטיות, הכותרת אינה קובעת: סקר שביעות רצון, שאלון משוב ומחקר שוק יכולים כולם לכלול מידע אישי. גם הכוונה להציג בסוף רק ממוצעים אינה פוטרת מהגנה על התשובות המזוהות שנאספו בדרך.
אנונימי, חסוי ומקודד: שלוש הבטחות שונות
בסקר אנונימי באמת אין אפשרות סבירה לקשר את התשובות לאדם. בסקר חסוי הקישור עשוי להתקיים, אך הגישה אליו מוגבלת. בסקר מקודד מחליפים את השם במזהה, אך לעיתים נשמר מפתח שמאפשר לחזור לזהות המקורית. קידוד כזה אינו הופך את המידע לאנונימי.
ההבחנה חשובה במיוחד בסקרי עובדים. אם ניתן לקשר בין קישור ההזמנה לבין התשובות, אין להבטיח אנונימיות רק משום שהמנהל מקבל דוח מסכם. צריך לבדוק גם מה נגיש למנהל המערכת, לספק ולמי שמייצא את הנתונים.
כהמלצה מקצועית, כדאי לקבוע סף מינימלי להצגת תוצאות של קבוצות ולהגביל פילוחים שעלולים לחשוף משיבים. אין מספר קסם שמתאים לכל ארגון: גם קבוצה גדולה יחסית עלולה לאפשר זיהוי כאשר משלבים תפקיד נדיר, ותק ואירוע אישי מוכר.
מי אחראי: הארגון או ספק התוכנה?
הארגון שקובע את מטרות עיבוד המידע במאגר הוא בדרך כלל בעל השליטה בו. ספק המעבד את המידע עבורו עשוי להיחשב מחזיק. עם זאת, התפקידים נקבעים לפי הפעילות בפועל, ולא רק לפי הכותרות בחוזה.
למשל, עסק שמחליט למדוד שביעות רצון לאחר רכישה אינו מעביר את אחריותו לפרטיות רק משום שהשאלון מתארח בענן. אם הספק משתמש בתשובות גם למטרות עצמאיות, כגון פיתוח מוצרים או אימון מודלים, צריך לבחון בנפרד את תפקידו ואת חוקיות השימוש.
לכן, בבחירת מערכת ליצירת שאלונים, יש לבדוק לא רק עיצוב ודוחות. השאלות המכריעות הן מי רשאי לעבד את המידע, באילו תנאים, אילו קבלני משנה מעורבים ומה קורה לנתונים בסיום ההתקשרות.
מה צריך לומר לאדם לפני שהוא משיב?
סעיף 11 לחוק מסדיר את חובת היידוע כאשר פונים לאדם לקבלת מידע אישי לשם עיבודו במאגר. בין הפרטים שיש למסור: האם קיימת חובה חוקית למסור את המידע או שהמסירה תלויה ברצונו ובהסכמתו, ומה תוצאת הסירוב; מטרת האיסוף; שם בעל השליטה ודרכי ההתקשרות עמו; למי יימסר המידע ולאיזו מטרה; וקיומן של זכויות העיון ובקשת התיקון.
מבחינה מעשית, רצוי להציג ליד תחילת השאלון הסבר קצר וברור, ולא להסתפק בקישור עמום למדיניות ארוכה. בסקר שירות, למשל, אפשר להסביר אם התשובות יקושרו להזמנה ואם צוות השירות עשוי לפנות בעקבותיהן. הנוסח חייב לשקף את הפעילות האמיתית.
הודעת פרטיות אינה מכשירה כל שימוש, ותיבת סימון אינה מבטיחה הסכמה תקפה. בסקר עובדים, פערי הכוחות מחייבים זהירות מיוחדת: אם ההשתתפות מוצגת כרשות, אין להפוך אותה בפועל לחובה באמצעות לחץ ניהולי או מעקב בלתי מוסבר אחר מי שלא השיב.
לא כל מאגר חייב ברישום — אבל הפטור אינו פטור מאחריות
אחת הטעויות האפשריות בעקבות התיקון היא להסיק שמאגר שאינו חייב ברישום אינו כפוף לדיני הפרטיות. חובת הרישום היא רק רכיב אחד. חובות אבטחה, יידוע ושימוש בהתאם למטרות ממשיכות לחול לפי הדין גם כשאין צורך ברישום.
לאחר התיקון, חובת הרישום מתמקדת בעיקר במאגרים של גופים ציבוריים, בכפוף לחריגים, ובמאגרים שמטרתם העיקרית היא איסוף מידע אישי לשם מסירתו לאחרים כדרך עיסוק או בתמורה, לרבות שירותי דיוור ישיר, כאשר הם כוללים מידע על יותר מ־10,000 בני אדם. עצם השימוש בספק סקרים אינו הופך מאגר אוטומטית למאגר מהסוג השני.
בנוסף, קיימת חובת הודעה לרשות לגבי מאגר שאינו חייב ברישום ושכולל מידע בעל רגישות מיוחדת על יותר מ־100,000 בני אדם, בהתאם לתנאים שבחוק. ארגונים שמנהלים פאנלים גדולים או מאגרי משוב רגישים צריכים לבדוק את ההסדר הרלוונטי להם, ולא להסתמך על מספר המשתתפים בסקר בודד.
האם צריך למנות ממונה על הגנת הפרטיות?
לא כל עסק שמפעיל סקר חייב למנות ממונה על הגנת הפרטיות, המכונה גם DPO. התיקון מחייב מינוי בקטגוריות מוגדרות, ובהן גופים ציבוריים, גופים מסוימים שעוסקים במסירת מידע לאחרים, וכן ארגונים שעיקר פעילותם כולל ניטור שוטף ושיטתי בהיקף ניכר או עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר.
הבחינה אינה מסתכמת במספר העובדים בארגון. גם סוג המידע, מספר האנשים שעליהם הוא נאסף, משך העיבוד ואופי הפעילות עשויים להיות רלוונטיים. חברת מחקר העוסקת דרך קבע במידע בריאותי מצריכה בחינה אחרת מעסק ששולח שאלון שירות קצר.
ממונה על הגנת הפרטיות אינו זהה לממונה על אבטחת מידע. אבטחה מתמקדת, בין היתר, בהגנה על המידע והמערכות; פרטיות כוללת גם מטרות שימוש, זכויות אנשים ושקיפות. גם ללא חובת מינוי פורמלית, מומלץ להגדיר בעל תפקיד שמרכז את האחריות לתחום.
אבטחת מידע בפועל: מה לבדוק מעבר להבטחה ״הכול מוצפן״?
הצפנה חשובה, אך אינה מונעת מעובד מורשה לייצא קובץ ולשלוח אותו לנמען הלא נכון. הבדיקה צריכה להתחיל במיפוי: איזה מידע נאסף, היכן הוא נשמר, מי ניגש אליו, לאילו מערכות הוא מועבר ומתי הוא נמחק.
תקנות אבטחת המידע קובעות דרישות לפי מאפייני המאגר ורמת האבטחה החלה עליו. אין להסיק שכל סקר מחייב אותה תצורה. יש לבחון, בין היתר, את סוגי המידע, מטרות המאגר והיקף ההרשאות, ולתרגם את הדרישות לנהלים ולהגדרות מערכת.
בבדיקת ספק כדאי להתמקד בכמה יכולות מעשיות:
- הרשאות לפי תפקיד, חשבונות אישיים ואפשרות לביטול גישה במהירות.
- אימות רב־שלבי, הצפנה וניהול מאובטח של הגישה למערכת, בהתאם לצרכים ולסיכונים.
- תיעוד פעולות, שליטה בייצוא קבצים והגבלת שיתוף דוחות.
- מדיניות גיבוי, שחזור, שמירה ומחיקה שניתן להבין וליישם.
הסמכה כגון ISO/IEC 27001 יכולה לסייע בהערכת הספק, אך אינה אישור אוטומטי לעמידה בחוק הישראלי. חשוב לבדוק מה נכלל בהיקף ההסמכה, ובמקביל לבחון את הגדרות המערכת אצלכם. גם מוצר מאובטח עלול להיות מופעל באופן לא בטוח.
ענן, ספקי משנה וכלי AI: לאן התשובות ממשיכות?
לפני התקשרות הכוללת גישה של גורם חיצוני למאגר, תקנה 15 לתקנות אבטחת המידע מחייבת בחינת סיכונים והסדרה חוזית של נושאים רלוונטיים. בין היתר יש להסדיר את המידע והמערכות שאליהם תינתן גישה, מטרות השימוש, משך ההתקשרות, חובות האבטחה והטיפול במידע בסיומה, ולבצע פיקוח ובקרה בהיקף הנדרש.
כאשר מידע מועבר מחוץ לישראל, יש לבחון גם את תקנות העברת המידע לחו״ל ואת התנאים למסירה ולהגנה עליו. שרת בישראל אינו תשובה מלאה אם צוות תמיכה או ספק משנה בחו״ל מקבלים גישה. מנגד, אחסון בחו״ל אינו אסור באופן גורף.
אותה בדיקה נדרשת לפני ניתוח תשובות באמצעות AI. העתקת תגובות לכלי חיצוני עשויה להיות מסירה נוספת של מידע אישי. כהמלצה, יש לבדוק אם הקלט נשמר, אם הוא משמש לאימון, מי יכול לגשת אליו והאם ניתן להסיר פרטים מזהים לפני ההעברה.
פחות מידע, פחות סיכון — ולעיתים גם תשובות טובות יותר
אם המטרה היא להבין מדוע לקוחות מתקשים בתהליך ההזמנה, ייתכן שאין צורך בתאריך לידה מלא, בכתובת מגורים או במצב משפחתי. כל שאלה צריכה להצדיק את עצמה באמצעות ההחלטה שהיא אמורה לשרת, ולא באמצעות האפשרות ש״יום אחד נצטרך את הנתון״.
גם לתקופת השמירה דרושה הצדקה. אין תקופה אחידה שמתאימה לכל סקר. מומלץ להגדיר מראש מתי יימחקו פרטי הקשר, מתי ינותק הקישור לתשובות ומה יישמר לצורך השוואות. תקנות אבטחת המידע מחייבות גם בחינה שנתית אם נשמר מידע רב מהנדרש למטרות המאגר.
לפרטיות יש גם משמעות מחקרית: חשש מזיהוי עלול להוביל לשתיקה או לתשובות מרצות. עם זאת, אנונימיות אינה מתקנת מדגם מוטה או השתתפות חלקית. וכאשר עובד רוצה לדווח על פגיעה שמצריכה טיפול אישי, סקר אנונימי אינו תחליף לערוץ דיווח מוגן שמאפשר המשך בירור.
זכויות משיבים ואירועי אבטחה: להיערך לפני הפנייה הראשונה
יש להכין דרך לטפל בבקשות עיון ותיקון לפי החוק, תוך אימות זהות מידתי והגנה על מידע של אחרים. אין להבטיח ״זכות למחיקה בכל מצב״: הדין הישראלי אינו מקנה זכות כללית בלתי מסויגת כזאת. יש לבחון כל בקשה לפי הוראות הדין והנסיבות.
במקביל, צריך להגדיר מי פועל אם דוח נחשף בקישור פתוח או חשבון מנהל נפרץ. תקנות אבטחת המידע כוללות חובת דיווח מיידי לרשות על אירוע אבטחה חמור במאגרים שעליהם חלה החובה. לא כל תקלה היא אירוע כזה, אך אין להמתין עד שכל העובדות הובהרו כדי להתחיל בבדיקת חובת הדיווח.
הרחבת האכיפה בתיקון 13 מחזקת את הצורך בתיעוד: לא רק הצהרה שהארגון שומר על פרטיות, אלא יכולת להראות אילו החלטות התקבלו, מי אישר הרשאות וכיצד טופלו חריגות.
מפת בדיקה קצרה למערכת הסקרים
| נושא | מה לבדוק | המשמעות המעשית |
|---|---|---|
| זיהוי משיבים | קישורים אישיים, מזהים ושילובי פרטים | לא להבטיח אנונימיות ללא בדיקה |
| מטרות ויידוע | מה נאסף, לשם מה ולמי יימסר | להתאים את ההסבר לשימוש בפועל |
| חובות ארגוניות | רישום, הודעה ומינוי ממונה | לבחון תחולה לפי החוק, לא לפי גודל העסק בלבד |
| ספקים והעברות | חוזה, ספקי משנה, חו״ל וכלי AI | למפות גם שימושים שמחוץ לפלטפורמה |
| גישה ושמירה | הרשאות, ייצוא, גיבוי ומחיקה | לצמצם חשיפה לאורך חיי המידע |
| זכויות ואירועים | נוהל בקשות ונוהל תגובה | לקבוע אחריות ודרך פעולה מראש |
חמש שאלות שכדאי לשאול לפני הסקר הבא
- האם ניתן לזהות משיב באמצעות התשובות, הקישור או נתונים ממערכת אחרת?
- האם ההסבר בתחילת השאלון תואם למה שאנחנו והספק עושים בפועל?
- מי יכול לראות תשובות גולמיות ולייצא אותן, והאם הוא באמת זקוק לכך?
- אילו חובות חלות על המאגר, ומי אחראי לבדוק ולתעד את העמידה בהן?
- האם אנחנו יודעים מתי המידע יימחק ומה נעשה במקרה של חשיפה או בקשת עיון?
הבסיס המשפטי והצעד הבא
המקורות המרכזיים הם חוק הגנת הפרטיות, התשמ״א–1981, כפי שתוקן בתיקון 13; תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017; ותקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א–2001. חומרי הסבר והנחיות מתפרסמים באתר הרשות להגנת הפרטיות. המאמר מספק מידע כללי ואינו מחליף בדיקת תחולה וייעוץ משפטי פרטני.
התובנה המרכזית פשוטה: מערכת סקרים מאובטחת אינה רק תוכנה שמגינה על תשובות, אלא תהליך שמצדיק את איסופן ומגביל את השימוש בהן. הצעד הבא הוא לבחור סקר פעיל אחד ולעקוב אחר המידע שלו מההזמנה ועד למחיקה. שם מתגלים הפערים שבין ההבטחה למשיב לבין המציאות הארגונית.