‏רמת אבטחת המידע של העסק, ולמה עובד אחד מזיז אותה

בעל ההרשאה האחד עשר הוא זה שמזיז לעסק רמת אבטחה שלמה. עובד חדש נכנס למשרד, מקבל שם משתמש וסיסמה למערכת הלקוחות, וזהו. מבחינת בעל העסק זה עוד כיסא. מבחינת תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, זה עשוי להיות בדיוק הרגע שבו העסק החליף משטר רגולטורי. התקנות לא סופרות עובדים, הן סופרות בעלי הרשאה, והמספר עשר מפריד בין רמה בסיסית לרמה בינונית. הפרה אחת של תקנה 15, היעדר בקרה על ספק חיצוני, מתומחרת ₪4,000 ברמה הבסיסית ו-₪80,000 ברמה הבינונית. זו כתבה על שני המנופים שהחוק נותן לעסק, ואיך למקם עסק על המפה בעשר דקות.

מה בכלל קובעת "רמת אבטחת מידע", ומי קבע אותה?

רמת האבטחה קובעת אילו חובות תפעוליות חלות על המאגר, וכמה עולה כל הפרה שלהן. המקור הוא הרשות להגנת הפרטיות, תקנות אבטחת מידע, כלומר תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, שפורסמו בקובץ התקנות 7809 ביום 8 במאי 2017. התאחדות התעשיינים, נוסח התקנות המלא מפרסמת את הנוסח כולו, כולל שתי התוספות שקובעות את הסיווג.

הרעיון פשוט. אותה פעולה בדיוק, למשל כתיבת נוהל אבטחה או דיווח על אירוע, נדרשת אחרת בכל רמה, ולעיתים לא נדרשת בכלל. וכשהיא נדרשת ולא בוצעה, סכום העיצום הכספי משתנה לפי הרמה. אותה הפרה עצמה יכולה לעלות ₪80,000 ברמה בינונית ו-₪320,000 ברמה גבוהה.

אין יותר עובד אחד שאפשר לתלות בו את הנושא. מאז שתיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025, בוטלה בגופים פרטיים חובת מינוי "מנהל מאגר" ובוטלה גם האחריות האישית שלו לאבטחת המידע. החובות עברו לבעל השליטה, כלומר לארגון עצמו. כך עולה מהרשות להגנת הפרטיות, מדריך תיקון 13 ממאי 2025.

ארבעה מסלולים, לא שלושה

התקנות מגדירות ארבעה מסלולי סיווג, ורוב מי שכותב על הנושא מזכיר רק שלושה מהם. המסלול שנשכח, "מאגר המנוהל בידי יחיד", הוא דווקא זה שרלוונטי לעסקים הכי קטנים.

תשעת סוגי המידע שמפעילים את הרמה הבינונית לפי פרט 1(3) לתוספת הראשונה הם: צנעת חיים אישיים לרבות התנהגות ברשות היחיד; מידע רפואי או על מצב נפשי; מידע גנטי; דעות פוליטיות או אמונות דתיות; עבר פלילי; נתוני תקשורת; מידע ביומטרי; נכסים, חובות, מצב כלכלי ויכולת עמידה בהתחייבויות; והרגלי צריכה המלמדים על אחד מהסוגים הקודמים או על אישיות, אמונה או דעות.

שימו לב לסעיף הכלכלי. מאגר לקוחות של חנות שמחזיקה נתוני חיוב, יתרות או התנהלות תשלומים נוגע בו כמעט תמיד.

איך יודעים אם המאגר "מנוהל בידי יחיד"?

שלושה אנשים בסך הכול, וזה הגג: היחיד עצמו ולכל היותר שני בעלי הרשאה נוספים. כך מגדירות התקנות מאגר מידע שמנהל יחיד או תאגיד בבעלות יחיד, ואשר רק הם רשאים לעשות בו שימוש. אבל שלושה מצבים מוציאים את המאגר מההקלה הזו, גם כשהספירה מתאימה.

הסעיף השלישי הוא זה שמפתיע. מטפל עצמאי, רואה חשבון או יועץ שעובד לבד מול לקוחות אינו נהנה מהמסלול הזה, כי חובת הסודיות המקצועית חוסמת אותו מראש. גודל העסק לא רלוונטי כאן בכלל.

מה מוריד עסק מרמה בינונית לרמה בסיסית?

שתי הקלות מורידות מאגר שנראה בינוני אל הרמה הבסיסית, ומספיק שאחת מהן מתקיימת. שתיהן נמצאות בשליטת העסק, וזה כל העניין. את שתיהן מגדיר פרט 2 לתוספת הראשונה, שנפתח במילים "על אף האמור בפרט 1(3)", ולמילים האלה יש משמעות מעשית: ההקלות מתגברות רק על סיווג שנובע מסוגי המידע הרגיש. מאגר שהוא בינוני מפני שמטרתו העיקרית היא מסחר במידע או דיוור ישיר, לפי פרט 1(1), נשאר בינוני גם עם שני בעלי הרשאה.

ההקלה הראשונה: כשהמידע הרגיש נוגע לעובדים ולספקים, ולא ללקוחות. תיק עובד ובו תלושי שכר, ימי מחלה ופרטי חשבון בנק נכנס בדיוק לתיאור הזה. פרט 2(1) חל על מאגר שכולל מידע רפואי או על מצב נפשי, עבר פלילי, נתוני תקשורת, תמונות פנים או מידע כלכלי, כאשר המידע הזה הוא על אודות המועסקים או הספקים של בעל המאגר, ובלבד שהוא משמש למטרות ניהול העסק בלבד.

ההקלה השנייה: עד עשרה בעלי הרשאה. זו הנקודה שכל בעל עסק קטן צריך לזכור. עסק עם מאגר לקוחות שיש בו פרטי תשלום, ובו עד עשרה בעלי הרשאה, מסווג ברמה בסיסית. אותו עסק בדיוק, עם שנים עשר אנשים שיש להם גישה למערכת, עובר לרמה בינונית, כי המידע הפיננסי מפעיל את פרט 1(3). כל ההבדל הוא שני שמות ברשימה. כך קובע פרט 2(2) לתוספת הראשונה.

ומי בכלל נספר במניין? בעל הרשאה אינו בהכרח עובד, והוא גם לא "כל מי שנוגע במאגר". ההבחנה הזו קובעת את הספירה. התקנות מגדירות בעל הרשאה כיחיד שיש לו גישה למידע מהמאגר, למערכות המאגר או לרכיב הנדרש להפעלתו, על פי הרשאה של בעל המאגר או של המחזיק. מנהלת חשבונות עצמאית או פרילנסר שקיבלו שם משתמש ישירות מהעסק נספרים במניין.

ואז מגיע סייג שקל לפספס, והוא כתוב בתוך ההגדרה עצמה: מחזיק שאינו יחיד, כלומר חברה או סוכנות, וכן יחיד שקיבל גישה מכוח הרשאה של אותו מחזיק, אינם נחשבים בעלי הרשאה של בעל המאגר. סוכנות שיווק שהיא תאגיד אינה מוסיפה אפוא למניין העשרה. היא כן מפעילה מסלול חובות אחר לגמרי, ההסכם שתקנה 15 דורשת מול כל גורם חיצוני. מי שמנהל מערכת עסקית בלי מחלקת מחשוב בדרך כלל מגלה שהספירה דורשת להפריד בין שני המסלולים האלה, כי גישה ניתנת בזרימת עבודה יומיומית ולא בהחלטה מסודרת.

איזה מידע שובר את ההקלה של המועסקים והספקים?

ההקלה על מאגר העובדים נשברת ברגע שנכנס אליו מידע מסוג אחר, גם כשהוא עדיין נוגע רק לעובדים. התקנות מונות חמישה סוגים כאלה במפורש, וכל אחד מהם לבדו מספיק כדי לבטל את פרט 2(1).

הפטור מהממונה אינו פטור מהרמה, וזו טעות נפוצה. הרשות להגנת הפרטיות, טיוטת גילוי דעת בנושא מינוי ממונה על הגנת הפרטיות מ-23 ביולי 2025 מציינת בהערת שוליים שגם כאשר עיבוד מידע לצורך העסקת עובדים אינו מקים חובה למנות ממונה, שאר הוראות החוק חלות על אותו עיבוד במלואן, ובכללן גובה העיצומים הכספיים ורמת אבטחת המידע של המאגר. המסמך עצמו נושא על פניו את הכיתוב "טיוטה להערות הציבור", כלומר הוא עמדת רשות ולא נורמה מחייבת בפני עצמה. מה שמחייב הוא התקנות שהוא מפנה אליהן, והן כבר בתוקף.

מתי העסק נופל לרמה הגבוהה?

שני דברים מעלים מאגר לרמה הגבוהה, ודי באחד מהם: מידע על 100,000 איש ומעלה במאגר שנכנס לפרט 1(1) או 1(3), או מספר בעלי הרשאה שעולה על 100. שניהם מופיעים בתוספת השנייה כתנאים חלופיים.

עסק קטן טיפוסי רחוק מ-100 בעלי הרשאה, אבל 100,000 נושאי מידע זה סף שחנות מקוונת ותיקה עם רשימת דיוור מצטברת יכולה לחצות בלי שאיש שם לב. שווה לזכור שהסף נספר לפי אנשים שיש עליהם מידע במאגר, ולא לפי לקוחות פעילים.

כמה עולה ההבדל בין הרמות?

הפער בין הרמות אינו הפרש, הוא כפולות. וברמה הגבוהה נוספות חובות שאינן קיימות כלל מתחתיה. הטבלה מסכמת את החובות המרכזיות לפי רמה ואת העיצומים הכספיים, כפי שהם מופיעים במדריך תיקון 13 של הרשות ממאי 2025.

שתי שורות ראויות לתשומת לב מיוחדת. הראשונה היא סקר הסיכונים ומבדקי החדירות לפי תקנות 5(ג)-(ד), שנדרשים ברמה הגבוהה בלבד. אלה לא מסמכים שכותבים לבד, אלה שירותים שקונים מחוץ לעסק, וזו הוצאה תקציבית שלא קיימת בשתי הרמות שמתחתיה. שורת הדיווח על אירוע אבטחה חמור בטבלה היא כבר לא תיאורטית: העיצום הראשון בישראל מכוח תיקון 13 הוטל ביולי 2026 בדיוק על ההפרה הזו, וההיגיון שלו מפורק בכתבה על הקנס הראשון על איחור בדיווח.

השנייה היא תקנה 15, על התקשרות עם גורם חיצוני. אותה הפרה בדיוק עולה ₪4,000 ברמה בסיסית ו-₪320,000 ברמה גבוהה, פי שמונים. וזו תקנה שנוגעת לכל עסק שמעביר עיבוד מידע לגורם מחוץ לו.

גם הצד השני קיים. מדריך תיקון 13 מציין שנקבעו תקרות ייעודיות לעסקים קטנים, במחזור שנתי של ₪4 עד ₪10 מיליון, ולעסקים זעירים במחזור של עד ₪4 מיליון, ושבכל מקרה לא יוטל עיצום כספי כולל העולה על 5% ממחזור העסקאות השנתי של המפר.

מסלול הבדיקה של עשר דקות

חמישה שלבים, בסדר הזה, ואפשר למקם את העסק על המפה בלי ייעוץ. שווה לפתוח גיליון ולענות על כל שלב בכתב, כי התשובות משמשות גם בהמשך.

מה שיוצא מהחמישה האלה הוא הערכה ראשונית שמכוונת את ההמשך, לא פסק דין. אבל היא מספיקה כדי לדעת אם העסק יושב בנוח בתוך רמה אחת, או מתנדנד על הגבול בין שתיים.

אילו החלטות יומיומיות מזיזות רמה בלי שאיש שם לב?

הרוב המוחלט של המעברים בין רמות נובע מהחלטות תפעוליות קטנות, לא ממהלך אסטרטגי. הנה ארבע כאלה, כולן שגרתיות לגמרי.

הכיוון עובד גם הפוך, וזה החלק המעשי. צמצום רשימת בעלי ההרשאה הוא פעולה תפעולית זולה שיש לה משמעות רגולטורית ישירה. מי שסוגר חשבונות של עובדים שעזבו ומבטל גישות שניתנו לפרויקט שנגמר, גם מקטין את שטח התקיפה וגם עשוי להישאר מתחת לסף. באותה הזדמנות שווה לעבור על הסשנים הפעילים בחשבונות ה-AI של העסק, כי גם שם מצטברות גישות שאיש כבר לא זוכר.

האם שימוש ב-AI יכול להעלות את רמת האבטחה של המאגר?

נכון ל-31 באוגוסט 2026 התשובה היא לא, אבל הרשות הודיעה שהיא בוחנת את זה. הרשות להגנת הפרטיות, טיוטת הנחיה בנושא בינה מלאכותית מ-28 באפריל 2025 קובעת בסעיף 9.3 שבכוונת הרשות לבחון, מכוח תקנה 20(א)(1) לתקנות אבטחת מידע, אם להחיל רמת אבטחה גבוהה על מאגרים מסוימים בשל היותם מבוססי בינה מלאכותית בסיכון גבוה.

ומה המשקל של אמירה כזאת? המסמך הוא טיוטה, לא הנחיה סופית. הערות הציבור עליו הוגשו עד 5 ביוני 2025, ונכון למועד כתיבת הכתבה לא פורסם נוסח סופי. כלומר הוא משקף כוונת אכיפה של הרגולטור, לא נורמה מחייבת. מי שמתכנן עכשיו מערכת חדשה כדאי שיקח אותה בחשבון כתרחיש, לא כחובה קיימת.

מה שכן חל כבר היום על כל רמה, כולל הבסיסית, הוא תקנה 2(ג): חובה לבחון אחת לשנה אם המאגר מחזיק מידע עודף שאינו דרוש עוד למטרותיו. אותה טיוטת הנחיה מדגישה בסעיף 9.6 שזו החובה הרלוונטית ביותר לצמצום סיכוני בינה מלאכותית, מהסיבה הפשוטה שמידע שנמחק אינו יכול לדלוף ואינו יכול להיכנס לשאילתה. מי ששוקל להכניס כלי חדש שנוגע במאגר, שווה לעבור לפני כן על חמש השאלות שכדאי לשאול לפני אימוץ כלי AI חדש, ובעסקים שמשתמשים ב-ChatGPT באופן שוטף גם על הגדרות הנעילה של החשבון.

מתי זו כבר שאלה לעורך דין

מסלול הבדיקה שלמעלה טוב למיפוי ראשוני, והוא נכשל בדיוק בגבולות. עסק שיושב על תשעה או אחד עשר בעלי הרשאה, עסק שלא ברור אם המידע הרגיש שלו נוגע רק למועסקים ולספקים, ועסק שמתקרב ל-100,000 נושאי מידע, נמצאים כולם באזור שבו סיווג שגוי עולה כסף אמיתי. גם השאלה אם חלה חובת סודיות מקצועית לפי דין או לפי כללי אתיקה אינה שאלה שמכריעים בגיליון אקסל.

הכללים שמופיעים כאן הם לשון התקנות. היישום שלהם לעסק ספציפי דורש ספירת בעלי הרשאה, מיפוי סוגי מידע וספירת נושאי מידע, ובגבולות הוא דורש ייעוץ משפטי. הכתבה הזו היא מידע, לא ייעוץ משפטי. שווה גם לזכור שסיווג הרמה משפיע ישירות על מה שצריך לעשות ביום שבו קורה אירוע, ולכן הוא חלק מהיערכות העסק להמשכיות בימי חירום ולא רק נושא ניירת.

הצעד לפעולה: רשימת בעלי ההרשאה

פעולה אחת השבוע, פחות משעה. לפתוח גיליון ולרשום בו כל אדם שיש לו כרגע דרך להיכנס למאגר הלקוחות או למאגר העובדים: עובדים, בעלים, מנהלת חשבונות, איש מחשבים חיצוני, סוכנות שיווק, פרילנסר מפרויקט שנסגר לפני שנה. ליד כל שם, מה הוא רואה ומתי נכנס לאחרונה. אחר כך לספור.

אם המספר יוצא אחד עשר או שנים עשר, שווה לבדוק מי מהם באמת צריך גישה מלאה. ההפרש בין תשעה לאחד עשר הוא ההפרש בין שתי רמות אבטחה, ואת ההחלטה הזו מקבלים בעסק, לא ברשות.

שאלות נפוצות