פתרונות / המצב
תיקון 13 נכנס לתוקף. התפקידים שהוא דורש כנראה ריקים בחברה שלכם.
חוק הגנת הפרטיות בישראל מחייב כעת ארגונים רבים למנות ממונה על הגנת הפרטיות (DPO) וממונה אבטחת מידע: תפקידים אמיתיים, מוגדרים בשם, מוסמכים, עם חובות, לא שורה במדיניות. לרוב חברות השוק הבינוני הישראליות אין אף אחד מהם, הן לא שמו לב, והן אינן ציותיות בנקודה הזאת בלבד עוד לפני שמישהו בכלל מסתכל על מאגרי המידע שלהן. החוק יצר שני תפקידים; השאלה היא מי מבצע אותם בחברה שלכם היום.
התיקון כבר בתוקף והוא העביר את הפרטיות מחובה על נייר לחובה מפוקחת, עם סמכויות אכיפה מנהליות שלא היו קיימות קודם. הוא חל על בסיס מה שאתם עושים עם מידע אישי, לא על סמך הגודל שלכם, וזו בדיוק הסיבה שכל כך הרבה חברות הניחו שזו הבעיה של מישהו אחר.
מה זה עולה לכם
- תפקיד סטטוטורי יושב ריק, וזה ממצא שכל רגולטור, לקוח או מבטח יכול לבסס בשאלה אחת.
- לקוחות ארגוניים ומבטחי סייבר מבקשים כעת את שם ה-DPO בכתב; "אין לנו" מסיים את השיחה.
- רישום מאגרים, רשומות עיבוד, זכויות נושאי מידע וחובות שמירה כולם מניחים בעלים. בלי בעלים, אף אחד מהם לא פועל.
- אכיפה מנהלית זמינה כעת לרגולטור, והחשיפה גדלה בכל חודש שהפער מתועד ולא מטופל.
מה אנחנו עושים
אנחנו אומרים לכם אם התפקידים חלים עליכם
החובה תלויה באיזה מידע אישי אתם מעבדים וכיצד. אנחנו נותנים לכם תשובה ישרה, בכתב, האם אתם נדרשים למנות DPO, ממונה אבטחה, או שניהם.
אנחנו ממלאים את התפקיד
DPO וממונה אבטחת מידע מוסמכים ומוגדרים בשם, ממונים באופן פורמלי וזמינים, מינוי חיצוני שמספק את הדרישה בלי שתשכרו שני אנשים שאין לכם תקציב עבורם.
אנחנו בונים את הרשומה
מלאי עיבוד, רישום מאגרים היכן שנדרש, כללי שמירה, טיפול בבקשות נושאי מידע, נוהל הודעה על פריצה. זו הראיה שהופכת מינוי לציות.
אנחנו מפעילים את זה ברציפות
חובות הפרטיות נסחפות ברגע שאתם מוסיפים מערכת, ספק או שוק. ה-ROC שומר על המרשם, הרשומות וההודעות חיים, לא מרעננים אותם פעם בשנה.
מי חייב למנות ממונה על הגנת הפרטיות (DPO) לפי תיקון 13 לחוק הגנת הפרטיות הישראלי?
תיקון 13 דורש ממונה על הגנת הפרטיות (DPO) עבור ארגונים שפעילותם המרכזית כרוכה בעיבוד רחב-היקף או שיטתי של מידע אישי (כולל גופים ציבוריים, סוחרי מידע, וחברות שעיסוקן המרכזי כרוך בעיבוד מידע אישי רגיש) ובנפרד דורש ממונה אבטחת מידע עבור מחזיקי מאגרים מסוימים. החובה תלויה באופי ובהיקף העיבוד, לא בגודל החברה, ולכן חברות mid-market ישראליות רבות נמצאות בהיקף בלי לשים לב. ה-DPO יכול להיות מינוי חיצוני.
האם ספק חיצוני יכול לשמש כ-DPO שלנו לפי תיקון 13?
כן. החוק דורש שהתפקיד ימולא על ידי מישהו מוסמך, עצמאי וזמין, המדווח להנהלה. הוא אינו דורש עובד. DPO חיצוני הוא הסדר סטנדרטי ומקובל, ועבור חברה של 50-500 עובדים זה בדרך כלל היחיד הריאלי, כי התפקיד דורש מומחיות ועצמאות ספציפיות שגנרליסט פנימי אינו יכול לספק.
מה קורה אם לא מינינו DPO ואנחנו נדרשים לכך?
אתם אינכם ציותיים מהיום שבו החובה חלה, וזה הממצא הקל ביותר לביסוס: יש ממונה מוגדר בשם וממונה או שאין. תיקון 13 מעניק לרשות להגנת הפרטיות הישראלית סמכויות אכיפה מנהליות, והמינוי החסר גם צף בבדיקת נאותות של לקוחות ובחיתום ביטוח סייבר. הטיפול מהיר בהשוואה לחשיפה: המינוי יכול להיעשות תוך שבועות.