מסמך הגדרות מאגר מידע: מה חייב להיכלל בו ומתי מעדכנים?

מהו מסמך הגדרות מאגר מידע?

תקנה 2 לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017, מחייבת הכנת מסמך הגדרות מאגר. המסמך מתאר את הפעילות במידע ואת הסיכונים הנלווים לה. הוא משמש בסיס לניהול המאגר ולבחינת החובות החלות עליו. רשימת תוכנות בלבד אינה מספיקה: יש להבין אילו פעולות נעשות במידע ולשם מה.

מה חייב להיכלל במסמך לפי תקנה 2?

המסמך צריך לכלול לפחות תיאור כללי של פעולות האיסוף והשימוש במידע; מטרות השימוש; סוגי המידע; פרטים על העברת המאגר או חלק מהותי ממנו לחו״ל או שימוש במידע בחו״ל, לרבות מטרת ההעברה, ארץ היעד, אופן ההעברה וזהות הנעבר; פעולות עיבוד באמצעות מחזיק; סיכוני האבטחה העיקריים וההתמודדות עמם; ושמות מנהל המאגר, המחזיק והממונה על אבטחת מידע, אם מונה. יש להתאים את הפירוט לפעילות המאגר ולהוראות הדין.

מתי חובה לעדכן את מסמך הגדרות המאגר?

כאשר נעשה שינוי משמעותי בנושאים המפורטים במסמך, חובה לעדכנו. בנוסף, תקנה 2(ב) מחייבת לבחון בכל שנה, עד 31 בדצמבר, את הצורך בעדכון בשל שינויים טכנולוגיים, שינויים ארגוניים או אירועי אבטחה. מערכת חדשה או שינוי באופן עיבוד המידע מצריכים בדיקה אם נוצר שינוי משמעותי; אין להמתין לסוף השנה כשכבר נדרשת התאמה.

הבדיקה השנתית: האם נשמר מידע מעבר לנדרש?

לצד בחינת עדכניות המסמך, תקנה 2(ג) מחייבת לבדוק אחת לשנה אם המידע הנשמר במאגר רב מן הנדרש למטרותיו. מומלץ לתעד את תוצאות הבדיקה ואת הטיפול בהן, תוך בחינת חובות שמירה החלות על הארגון. אלה שתי בדיקות נפרדות: התאמת המסמך למציאות ובחינת נחיצות המידע.

דוגמה מעשית: מאגר עובדים ושכר

במאגר עובדים, כדאי להתחיל בשיחה עם משאבי אנוש, השכר ומערכות המידע. מי אוסף את הפרטים? איזה מידע מועבר ללשכת השכר? מי ניגש למערכת, והיכן נשמרים המסמכים? לאחר מכן מתעדים את המטרות, הגורמים המעורבים והסיכונים. למשל, הרשאות רחבות לתלושי שכר מצריכות בחינה של הגבלת הגישה. זו דוגמה להמחשה, ולא מסמך מוכן המתאים לכל ארגון.

מסמך הגדרות מאגר, נוהל אבטחה והסכם ספק

לכל מסמך תפקיד אחר. מסמך הגדרות המאגר מתאר את הפעילות והסיכונים; נוהל האבטחה מסדיר את אמצעי האבטחה והעבודה במאגר בהתאם לחובות החלות; ובהתקשרות עם גורם חיצוני יש לבדוק גם את דרישות תקנה 15. אזכור ספק במסמך הגדרות המאגר אינו מחליף הסדרה מתאימה של ההתקשרות עמו.

מי מכין את המסמך, והאם טופס כללי מספיק?

אפשר להיעזר ביועצים, אך האחריות לקיום החובה אינה נעלמת. הכנת המסמך מחייבת מידע מבעלי התהליך ומהגורמים הטכנולוגיים. טופס יכול לשמש בסיס לעבודה, אך יש להתאימו למאגר המסוים. מומלץ לקבוע גורם שמרכז עדכונים ולשמור תאריך וגרסה, כדי שניתן יהיה לעקוב אחר השינויים.

האם פטור מרישום מאגר פוטר מהכנת המסמך?

לא. הרשות להגנת הפרטיות הבהירה כי היעדר חובת רישום לאחר תיקון 13 אינו פוטר מחובות אחרות לפי החוק והתקנות. יש לבחון את החובות החלות על המאגר לפי מאפייניו, גם אם אינו חייב ברישום.

שאלות נפוצות