בקצרה: חברת טכנולוגיה או סטארטאפ חייבים במינוי ממונה על הגנת הפרטיות כשהעיסוק שלהם כולל ניטור שוטף ושיטתי של בני אדם בהיקף ניכר, כשהעיסוק העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר, כשהם מעבדים מידע עבור גוף ציבורי, או כשהם סוחרי מידע עם יותר מ-10,000 איש. החובה חלה לרוב גם על החברה כמחזיק שמעבד מידע עבור לקוחות. סטארטאפים שפועלים באירופה צריכים לבדוק גם את חובת ה-DPO לפי ה-GDPR.
חברות טכנולוגיה וסטארטאפים הם בין הגופים שמושפעים יותר מכל מתיקון 13 לחוק הגנת הפרטיות. המוצרים שלהם מבוססים על נתונים, הם אוספים מידע על מספר גדול של משתמשים, ולעיתים קרובות הם מעבדים מידע עבור לקוחות עסקיים. במאמר נבחן מתי חברת טכנולוגיה חייבת למנות ממונה על הגנת הפרטיות, אילו מודלים עסקיים נמצאים בסיכון גבוה, ומה כדאי לעשות כבר בשלבים המוקדמים.
ארבע הדרכים שבהן חברת טכנולוגיה נכנסת לחובה
1. ניטור שוטף ושיטתי בהיקף ניכר
זו הקבוצה הרלוונטית ביותר לחברות טכנולוגיה. החוק מתייחס לגוף שעיסוקו "כולל" ניטור, כך שגם כשהניטור אינו המוצר עצמו אלא חלק מובנה ממנו, החובה עשויה לחול. דוגמאות: פלטפורמות פרסום ו-AdTech שבונות פרופילים התנהגותיים, אפליקציות שאוספות מיקום באופן רציף, מערכות לניהול צי רכב ומעקב אחרי עובדים, פלטפורמות אנליטיקה שעוקבות אחרי התנהגות משתמשים, ומכשירים לבישים ובית חכם.
2. מידע בעל רגישות מיוחדת בהיקף ניכר
חברות HealthTech, FinTech, InsurTech, מערכות HR שמבצעות מבחני התאמה, ומערכות זיהוי ביומטרי מעבדות מידע בעל רגישות מיוחדת כחלק מרכזי מהשירות. כשההיקף ניכר, חלה חובת מינוי.
3. מחזיק של גוף ציבורי
חברה שמספקת מערכת או שירות לרשות מקומית, למשרד ממשלתי, לקופת חולים או לאוניברסיטה, ומעבדת בה מידע אישי, נחשבת מחזיק של גוף ציבורי, וחלה עליה חובת מינוי.
4. סוחר מידע
חברות שמוצר הליבה שלהן הוא מסירת מידע לאחרים — מאגרי לידים, העשרת נתונים, דיוור לצדדים שלישיים — עם יותר מ-10,000 איש, חייבות ברישום ובמינוי.
מודלים עסקיים ורמת סיכון
| מודל | סיכון לחובת מינוי | הסיבה |
|---|---|---|
| AdTech ופלטפורמות פרסום | גבוה | ניטור ופרופיילינג בהיקף רחב |
| HealthTech ואפליקציות בריאות | גבוה | מידע רפואי כעיסוק עיקרי |
| FinTech ותשלומים | גבוה | פעילות פיננסית — מידע בעל רגישות מיוחדת |
| GovTech | גבוה | מחזיק של גוף ציבורי |
| מערכות HR וגיוס | בינוני-גבוה | נתוני שכר והערכות אישיות |
| SaaS עסקי כללי | תלוי בנתונים | תלוי בסוג המידע שהלקוחות מעלים |
| כלי פיתוח ותשתית | נמוך יחסית | מעט מידע אישי של משתמשי קצה |
החברה כמחזיק: המידע של הלקוחות
חברות SaaS רבות אינן קובעות את מטרות העיבוד — הלקוחות שלהן קובעים אותן — ולכן הן "מחזיק". אבל בקבוצות הגוף הציבורי, הניטור והמידע הרגיש, החובה חלה גם על מחזיק. כלומר, חברה שמספקת מערכת לניהול מרפאות, ושבה מעובד מידע רפואי של מטופלים רבים, עשויה להיות חייבת במינוי בעצמה. במקביל, החברה צריכה לעבד את המידע רק לפי ההרשאה של הלקוח, ולחתום איתו על הסכם עיבוד שמגדיר את הזכויות והחובות. עיבוד בחריגה מההרשאה הוא הפרה, ובמקרים מסוימים גם עבירה פלילית.
ההסבר המקצועי: סטארטאפ שמגייס הון או נמכר עובר בדיקת נאותות, ובה נבדקת גם עמידה בדיני הפרטיות. פערים כמו היעדר בסיס חוקי לאיסוף מידע, היעדר ממונה כשנדרש או מסמכי אבטחה חסרים עלולים להוריד את השווי או לעכב את העסקה. השקעה מוקדמת בפרטיות היא לכן גם השקעה בשווי החברה.
מה עם בינה מלאכותית?
חברות שמפתחות או משלבות מודלים של בינה מלאכותית עומדות בפני שאלות פרטיות מורכבות: על איזה בסיס משתמשים במידע של משתמשים לאימון מודלים, האם השימוש תואם את המטרה שלשמה נאסף המידע, איך מטפלים בבקשות עיון ומחיקה כשהמידע כבר שימש לאימון, ואיך מונעים חשיפה של מידע אישי בתשובות המודל. ממונה על הגנת הפרטיות שמעורב בתהליך הפיתוח יכול לעזור לענות על השאלות האלה לפני שהן הופכות לבעיה.
סטארטאפ בשלב מוקדם: מה עושים?
- פרטיות מובנית — לתכנן את המוצר כך שיאסוף רק את המידע הנדרש, עם הרשאות נכונות ומחיקה אוטומטית.
- מיפוי נתונים — לתעד אילו נתונים נאספים, מאיפה, למה ולאן הם זורמים.
- בדיקת חובת מינוי — גם בשלב מוקדם, ובמיוחד לפני השקה או גיוס.
- מסמכים בסיסיים — מדיניות פרטיות, תנאי שימוש, הסכם עיבוד ללקוחות עסקיים, ומסמכי אבטחה לפי התקנות.
- ממונה במיקור חוץ — מודל נפוץ בסטארטאפים, שמאפשר לקבל מומחיות בלי משרה מלאה.
- מבט בינלאומי — לבדוק את חובות ה-GDPR כשיש משתמשים באירופה, ואת חוקי המדינות כשיש משתמשים בארה״ב.
DPO לפי ה-GDPR
סטארטאפים ישראליים שפועלים מול משתמשים באירופה כפופים לעיתים קרובות גם ל-GDPR, שבו חובת DPO חלה על גופים שפעילותם המרכזית כוללת ניטור שוטף ושיטתי בהיקף נרחב, או עיבוד בהיקף נרחב של קטגוריות מיוחדות של מידע. הקריטריונים דומים מאוד לחוק הישראלי, ולכן חברה שחייבת באחת השיטות כנראה חייבת גם בשנייה. ממונה אחד יכול לשרת את שתיהן, בתנאי שהוא מכיר את שתי המערכות. להרחבה ראו תיקון 13 ו-GDPR.
הצד העסקי
לקוחות אנטרפרייז, בארץ ובעולם, דורשים מספקי טכנולוגיה להציג עמידה בדיני הפרטיות כחלק מתהליך הרכש: שאלוני אבטחה, הסכמי עיבוד, תקני אבטחה ופרטי הממונה. חברה שיש לה ממונה ותוכנית ציות מסודרת עוברת את התהליכים האלה מהר יותר. להשוואה בין המודלים ראו DPO פנימי או במיקור חוץ.
אבטחת מידע בחברת טכנולוגיה
לצד הממונה על הגנת הפרטיות, חברות טכנולוגיה צריכות לעמוד בתקנות אבטחת המידע. לחברה שמעבדת מידע רגיש בהיקף גדול, רמת האבטחה הנדרשת עשויה להיות בינונית או גבוהה, עם דרישות כמו בדיקות חדירה תקופתיות, ניטור גישה, הצפנה, הפרדה בין סביבות פיתוח וייצור, ודיווח לרשות על אירוע אבטחה חמור. חשוב לבדוק גם את החובה הנפרדת למנות ממונה על אבטחת מידע, שחלה בין היתר על מי שמחזיק חמישה מאגרים ומעלה שחייבים ברישום או בהודעה לרשות.
טעויות נפוצות בחברות טכנולוגיה
- איסוף "ליתר ביטחון" — לאסוף כמה שיותר נתונים כי "אולי נשתמש בהם". זה מגדיל את הסיכון ומקשה על עמידה בעקרון המטרה.
- SDKs של צד שלישי — ספריות אנליטיקה ופרסום באפליקציה ששולחות מידע לחברות אחרות בלי שהצוות מודע לכך.
- שימוש בנתוני ייצור בפיתוח — העתקת מידע אמיתי של משתמשים לסביבות בדיקה פחות מאובטחות.
- מדיניות פרטיות שלא מתעדכנת — המוצר משתנה כל ספרינט, והמסמכים נשארים מהגרסה הראשונה.
שאלות נפוצות
האם כל סטארטאפ חייב למנות DPO?
לא. החובה חלה רק כשהסטארטאפ עומד באחת מהקבוצות שבחוק, למשל כשהעיסוק שלו כולל ניטור שוטף ושיטתי בהיקף ניכר או עיבוד מידע רגיש בהיקף ניכר.
האם חברת SaaS חייבת ב-DPO בגלל המידע של הלקוחות שלה?
ייתכן. בקבוצות הגוף הציבורי, הניטור והמידע הרגיש החובה חלה גם על מחזיק שמעבד מידע עבור אחרים.
האם סטארטאפ יכול למנות DPO במיקור חוץ?
כן. החוק מאפשר זאת, וזה מודל נפוץ בחברות בשלבים מוקדמים.
למה פרטיות חשובה בגיוס הון?
משקיעים ורוכשים בודקים עמידה בדיני הפרטיות בבדיקת הנאותות. פערים עלולים להוריד את השווי או לעכב עסקה.
המידע במאמר הוא כללי ומבוסס על נוסח חוק הגנת הפרטיות, התשמ״א-1981, כפי שתוקן בתיקון מס׳ 13. הוא אינו מהווה ייעוץ משפטי, ובכל מקרה פרטני כדאי להתייעץ עם עורך דין המתמחה בדיני פרטיות.
