"השנה יתחולל המפץ הגדול להגנת הפרטיות בעולם – ובישראל"

"המודעות של ארגונים בישראל להגנת הפרטיות – לא גבוהה. תקנות הגנת הפרטיות בישראל ייכנסו לתוקף ב-8 במאי 2018 – שנה לאחר פרסומן. הן יחולו על כל הבעלים, המנהלים והמחזיקים של מאגרי מידע בישראל. ב-23 אותו חודש ייכנסו לתוקף תקנות הגנת הפרטיות של האיחוד האירופי, GDPR. כך, בחודש מאי השנה יתחולל המפץ הגדול להגנת הפרטיות בעולם – ובישראל", אמרה עו"ד לימור שמרלינג-מגזניק, מנהלת מחלקת קשרי ציבור וממשל ברשות להגנת הפרטיות, משרד המשפטים.

עו"ד שמרלינג-מגזניק דיברה ברב שיח טלוויזיוני בנושא הגנת הפרטיות, בו השתתפו גם ד"ר בנצי אופיר, דירקטור ניסקו טכנולוגיות, אופיר זילביגר, שותף ומנהל מרכז הגנת הסייבר BDO, אתי ברגר, יועצת משפטית וטכנולוגית בתחום הפרטיות, TripleP. הפאנל התקיים באחרונה באולפני Askimo בתל אביב, והנחה אותו יהודה קונפורטס, העורך הראשי של אנשים ומחשבים.

לדברי עו"ד שמרלינג-מגזניק, "חוק הגנת הפרטיות הישראלי דרש תמיד ממי שמנהל מידע אישי באופן דיגיטלי, לערוך פעולות אבטחה, על מנת להגן על המידע ועל פרטיות הלקוחות. חשבנו שהגיעה העת לתקנות מפורטות יותר בצורה משמעותית בתחום, עם תקן מחייב".

לדבריה, "חוק הגנת הפרטיות הישראלי חל על כל גורם במשק – ארגונים וחברות עסקיות, עמותות, משרדי ממשלה וגופים ציבוריים – כולם מחויבים להגן על המידע האישי המצוי אצלם. כל החברות הישראליות נדרשות וחייבות להיערך ליישום התקנות".

מסע מתמשך שלא יסתיים לעולם

עו"ד שמרלינג-מגזניק הסבירה כי "התקנות מחדשות את התחום בהיבטים רבים ומפורטים: יש לנו מפרט איך עורכים אבטחת מידע בארגון, למשל: כל ארגון חייב למפות את נכסי המידע האישי שהוא מחזיק, עליו למפות את המערכות שברשותו, הוא נדרש לעשות סקר ניהול סיכונים – איך יכול להיגרם למידע נזק מבפנים ומבחוץ".

"עוד התקנות החדשות אומרות לארגונים – סווגו את עצמכם, העריכו את הסיכונים: האם אתם מנהלים מידע ברמת סיכון גבוהה, בינונית, או נמוכה. בהתאם, חובה על הארגונים לערוך סקרי סיכונים ומבדקי חדירה, לבדוק את העובדים וליישם את מגוון היבטי אבטחת המידע".

"כל הפעולות הללו – אינן מובנות מאליהן", אמרה עו"ד שמרלינג-מגזניק. "יש ארגונים בישראל הפועלים להגנת הפרטיות, ויש מי שעושים זאת באופן חלקי, או כלל לא. עד כה, זה נעשה באופן וולנטרי – ממאי השנה זו תהיה חקיקה מחייבת".

בהיבט האכיפה, אמרה עו"ד שמרלינג-מגזניק, "אנו נערכים להביא להעלאת המודעות של הציבור לנושא, עוסקים בהדרכות ומספקים כלי עזר שונים ליישום, כגון ימי עיון ופרסומים בתקשורת – על מנת שכולם יבינו שצריך לקיים את ההנחיות של התקנות החדשות".

"בחודש מאי נתחיל באכיפה 'רכה', נערוך ביקורות באופן מדגמי, ולבסוף נפרסם את כלל הממצאים. נפרסם כיצד ארגונים התקדמו בתחום הגנת הפרטיות – אולם לא נפרסם חולשות אבטחת מידע. נפצח בקמפיין תקשורתי כלל ארצי, נגדיל את מודעות הציבור והארגונים לנושא".

"אכיפה פנימית בארגונים לנושאי הגנת הפרטיות ואבטחת מידע", סיכמה עו"ד שמרלינג-מגזניק, "היא מסע מתמשך שלא יסתיים לעולם. ארגונים נדרשים להבין שעליהם לפעול ליישום התחומים הללו כל הזמן – להתעדכן אודות האיומים, לשנות את ניהול הסיכונים בהתאם לכך, להבין כי כל פרויקט IT חדש טומן בחובו סיכונים חדשים, ובעקבות זאת, לערוך ניהול סיכונים מחודש. תקנות הגנת הפרטיות הישראליות ואלו האירופיות, GDPR – כוללות מניע חזק ליישומן: וזו חובת הדיווח לרגולטור על אירוע אבטחה בארגון".