הרשות להגנת הפרטיות פרסמה לאחרונה הנחיה חדשה (הנחיה מס' 1/2024) בנושא אחריות הדירקטוריון לפקח על הציות לחוק הגנת הפרטיות, תשמ"א-1981 ועל תקנות הגנת הפרטיות (אבטחת מידע), תשע"ז-2017.

התקנות קובעות שורה של חובות ופעולות שבעל מאגר מידע ומחזיק במאגר מידע נדרשים לבצע כדי לקיים את האחריות המוטלת עליהם לפי חוק הגנת הפרטיות בנושא אבטחת המידע שבמאגר. 

התקנות קובעות את החובות המוטלות על החברה בתחום אבטחת המידע, אך אינן קובעות במפורש את זהות האורגן בתאגיד שאמור לבצע אותן בפועל.

לפי עמדת הרשות להגנת הפרטיות, בחברות שעיבוד מידע אישי מצוי בליבת הפעילות שלהן, או חברות שפעילותן יוצרת סיכון מוגבר לפגיעה בפרטיות, לדירקטוריון צריכה להיות מעורבות משמעותית בביצוע הדרישות הבאות, כולל קיום דיון בעניינן:

• קביעת מסמך הגדרות המאגר שהחברה מחויבת לערוך;
• אישור העקרונות המרכזיים בנוהל אבטחת המידע הארגוני;
• קביעת הפעולות הנדרשות בעקבות תוצאות סקר הסיכונים, מבדקי חדירות והביקורת התקופתית שהחברה מחויבת לערוך בהתאם לרמת האבטחה של מאגריה לפי התקנות, ובעקבות בחינת אירועי האבטחה שאירעו בחברה.

בנוסף, בחברות עליהן חלה ההנחיה, מוטלת על הדירקטוריון חובה לפקח על ציות החברה להוראות חוק הגנת הפרטיות והתקנות שמכוחו. במסגרת חובת הפיקוח, על הדירקטוריון לוודא גיבוש של מדיניות ארגונית בחברה בנושא הליכי פיקוח, בקרה וציות אפקטיביים, כגון תכנית אכיפה פנימית, ובעניין השימוש במידע אישי וניהולו בנושאים מהותיים.

חברה שהדירקטוריון שלה אינו מקיים את חובת הפיקוח המתוארת, או שאינו מעורב במידה נאותה בביצוע הפעולות הקונקרטיות המפורטות בהנחיה – מפרה לכאורה את הוראות חוק הגנת הפרטיות ותקנות אבטחת המידע, ועלולה להיות חשופה לסנקציות הקבועות בחוק הגנת הפרטיות, לרבות הסנקציות שנקבעו בתיקון 13 לחוק הגנת הפרטיות, לאחר כניסתו לתוקף.

נוסח מלא של הנחיית הרשות להגנת הפרטיות, לחץ כאן.

סקירה זו כוללת מידע תמציתי בלבד שנמסר רק למטרות אינפורמטיביות. המידע כאמור אינו מהווה חוות דעת משפטית או ייעוץ משפטי ואין להסתמך עליו.