תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז־2017, קובעות איך ארגונים צריכים להגן על מאגרי מידע אישי. הן חלות כמעט על כל עסק שמחזיק מידע על לקוחות, מטופלים או עובדים.
רמות אבטחה
התקנות מחלקות את המאגרים לרמות אבטחה לפי סוג המידע, כמות האנשים שהמידע עליהם ומספר בעלי ההרשאות. ככל שהמידע רגיש יותר והמאגר גדול יותר, הדרישות מחמירות יותר. לכן הצעד הראשון הוא לדעת באיזו רמה נמצא כל מאגר.
מה נדרש, בקווים כלליים
- מסמך הגדרות מאגר: אילו נתונים נאספים, לאיזו מטרה, איפה הם נשמרים ולמי הם מועברים.
- נוהל אבטחת מידע שמתאים לארגון, ומיפוי של המערכות שבהן נשמר המידע.
- ניהול הרשאות: כל עובד נחשף רק למידע שהוא באמת צריך.
- בקרה ותיעוד: מעקב אחר גישה למידע ותיעוד של אירועי אבטחה.
- טיפול בספקים שמקבלים גישה למידע, כולל התחייבויות חוזיות לאבטחתו.
- במאגרים ברמת אבטחה גבוהה נדרשים גם סקר סיכונים ומבדקי חדירות באופן תקופתי.
מאיפה מתחילים?
ממיפוי. עוברים על כל המקומות שבהם נשמר מידע אישי בארגון: מערכת ה־CRM, תוכנת השכר, טפסים באתר ואפילו קבצי אקסל. מכאן קל להבין מה רמת האבטחה של כל מאגר ומה חסר כדי לעמוד בדרישות.
שאלות נפוצות
על מי חלות תקנות אבטחת המידע?
על כמעט כל ארגון שמחזיק מאגר מידע אישי, למשל על לקוחות, מטופלים או עובדים.
מהן רמות האבטחה בתקנות?
התקנות מחלקות מאגרים לרמות אבטחה לפי רגישות המידע, מספר האנשים שהמידע עליהם ומספר בעלי ההרשאות. ככל שהרמה גבוהה יותר, הדרישות מחמירות יותר.
מה הצעד הראשון ליישום התקנות?
מיפוי כל המקומות שבהם נשמר מידע אישי בארגון, וקביעת רמת האבטחה של כל מאגר.
המידע במאמר כללי ואינו מהווה ייעוץ משפטי. לבדיקה של המקרה שלכם, צרו איתנו קשר.