סנקציות בתחום הגנת הפרטיות - משמעויות לארגונים

מאת: אלי דורון, עו"ד ; אסף גרשגורן, עו"ד ; דניאל מורן, משפטן

14/4/2025

המשטר החדש של סנקציות בתחום הגנת הפרטיות - משמעויות לארגונים

המהפך במנגנוני האכיפה

העיצום הכספי כמנגנון מרכזי

מדרג הסכומים לפי חומרת ההפרה

• הפרות ברף החומרה הגבוה (למשל: עיבוד נתונים למטרות בלתי חוקיות או ללא הרשאה נדרשת) - תשלום בסיס של 200,000 ש"ח, או לחלופין 4-8 ש"ח עבור כל רשומה אישית במאגר (בהתאם לרגישות הנתונים)
• אי-עמידה בחובות רישום (כאשר קיימת דרישה כזו) - 150,000 ש"ח, והסכום מוכפל ל-300,000 ש"ח במאגרים המכילים מעל מיליון רשומות
• הפרות של תקנות אבטחת מידע - עד 320,000 ש"ח במאגרים בדרגת האבטחה הגבוהה, ובמקרים מסוימים הסכום עשוי להגיע ל-640,000 ש"ח

קטגוריות הפרה מיוחדות

כלי אכיפה משלימים

מלבד העיצומים הכספיים, התיקון מרחיב את סל הכלים הרגולטורי:

• צווי הפסקה מנהליים  - בהפרות מסוימות, הרשות תידרש תחילה להורות על הפסקת הפעילות המפרה לפני הטלת עיצום
• מנגנון התראה -  במקום עיצום, הרשות רשאית להסתפק בהתראה רשמית ובדרישה לחדול מההפרה
• מסלול התחייבות  - אפשרות לדרוש התחייבות בכתב להפסקת ההפרה והפקדת סכום ערבות
• התערבות שיפוטית -  במקרים קיצוניים, ניתן לפנות לבית המשפט בבקשה להפסיק עיבוד או למחוק נתונים

תקנות אבטחת מידע כבסיס לפעולות אכיפה

• מסמך אפיון מאגר  - תיעוד היעדים של המאגר, סוגי המידע השמור בו, מקורותיו, ואופני השימוש
• נוהל אבטחה  - הגדרת תהליכי הגנה על המידע, הרשאות גישה, אמצעי אבטחה ותגובה לאירועים חריגים
• מערך הרשאות וזיהוי  - מנגנוני ניהול גישה, זיהוי ואימות של משתמשים
• תיעוד אירועים חריגים -  רישום מקרים של פגיעה בשלמות המידע או גישה לא מורשית
• בקרה ובדיקות -  ביקורות תקופתיות, ניתוחי סיכונים ובדיקות חוסן

תפקידו של הדירקטוריון

לאחרונה פרסמה הרשות להגנת הפרטיות הנחיה המבהירה את אחריות הדירקטוריון בתאגידים לפיקוח על יישום תקנות אבטחת מידע. ההנחיה חלה בעיקר על חברות שעיבוד מידע מהווה חלק מרכזי בפעילותן או שפעילותן יוצרת סיכון מוגבר לפרטיות.

• וידוא קיומה של מדיניות פרטיות פנימית מקיפה
• דיון מעמיק במסמך אפיון המאגר ובעקרונות נוהל האבטחה
• קבלת דיווחים תקופתיים על מצב הציות לתקנות

ההיערכות הארגונית הנדרשת

לאור הסיכון המשמעותי של סנקציות והרחבת יכולות האכיפה, נדרשת היערכות ארגונית מתאימה:

1. ביצוע בדיקת ציות מקיפה  - מיפוי עדכני של כלל תהליכי עיבוד המידע בארגון ואיתור פערים אל מול דרישות החוק
2. עדכון התיעוד הרגולטורי  - מסמך אפיון המאגר, נהלי אבטחה ומדיניות פרטיות
3. מינוי בעלי תפקידים נדרשים -  ממונה על אבטחת מידע ואחראי הגנת פרטיות (DPO)
4. הטמעת תוכנית ציות -  יישום פרוטוקולים ותהליכים להבטחת עמידה בכל דרישות החוק
5. תוכניות הדרכה  - העלאת המודעות בקרב עובדים וההנהלה לחשיבות הציות להוראות החוק