מה הדירקטוריון חייב לעשות לפי הנחיה 1/2024?

על אילו חברות ההנחיה חלה?

ההנחיה מתייחסת לשני סוגים של חברות: חברות שעיבוד מידע אישי מצוי בליבת הפעילות שלהן, וחברות שקיימת סבירות שפעילותן תיצור סיכון מוגבר לפרטיות. סיכון כזה יכול לנבוע ממאפייני הארגון (למשל סחר במידע), מסוג המידע ורגישותו (למשל מידע רפואי, מידע על קטינים או מידע בעל רגישות מיוחדת), או מהיקף המידע וממספר מורשי הגישה אליו.

ההנחיה אינה מוגבלת לחברות ציבוריות. מרפאה פרטית, סוכנות ביטוח, חברת שכר, אתר סחר מקוון גדול או חברת פינטק יכולות להיכלל בה. השאלה היא מהות הפעילות והסיכון, לא גודל החברה או אופן הרישום שלה.

חובת הפיקוח: מה הדירקטוריון צריך לוודא?

לפי ההנחיה, באחריות הדירקטוריון:

• לוודא גיבוש, אימוץ ויישום של מדיניות בדבר אופן ביצוע דרישות החוק והתקנות בחברה, לרבות חובת הדיווח המיידי לרשות להגנת הפרטיות על אירועי אבטחת מידע.
• לוודא שהמדיניות מתייחסת לאופן השימוש במידע אישי בחברה ולניהולו בנושאים מהותיים, ומגדירה תהליכי פיקוח, בקרה וציות אפקטיביים.
• לוודא שהמדיניות מוטמעת בנהלי העבודה בארגון, ולקבוע מי הם בעלי התפקידים האחראים על ביצועה.
• לפקח באופן שוטף ולקבל עדכונים ודיווחים על ביצוע החובות לפי התקנות.

ההנחיה מציינת שאימוץ תוכנית אכיפה פנימית אפקטיבית הוא אחת הדרכים למלא את חובת הפיקוח.

אילו דיונים הדירקטוריון צריך לקיים?

ההנחיה מונה חמש פעולות, פיקוחיות באופיין, שהדירקטוריון הוא ככלל האורגן המתאים לבצע:

1. דיון במסמך הגדרות המאגר, לפני שהוא מוגדר סופית (תקנה 2(א) לתקנות אבטחת המידע).
2. דיון בעקרונות המרכזיים של נוהל אבטחת המידע הארגוני, לפני אישורו (תקנות 3 ו־4).
3. דיון בתוצאות סקר סיכונים ומבדקי חדירות, כולל הפעולות הנדרשות לתיקון הליקויים (תקנה 5).
4. דיון רבעוני או שנתי, לפי רמת האבטחה של המאגר, באירועי אבטחת המידע שהתרחשו בארגון (תקנה 11(ג)).
5. דיון בתוצאות הביקורת התקופתית על העמידה בתקנות, שיש לקיים אחת לשנתיים (תקנה 16(ג)).

אפשר להעביר את זה למנכ״ל או לממונה?

כן, בתנאים. ההנחיה מאפשרת, במקרים המתאימים ובהתחשב במידת הסיכון, בגודל החברה ובהרכב הדירקטוריון, לקבוע בהחלטת דירקטוריון גורם אחר בחברה שיהיה אחראי על ביצוע הפעולות האלה. גורם כזה יכול להיות, למשל, ממונה על הגנת הפרטיות.

אבל ההעברה אינה מסירה את האחריות: הדירקטוריון ממשיך לפקח על קיום הפעולות בפועל, וצריך להבטיח תיעוד סביר של הנימוקים להחלטה ושל אופן ביצוע יתר הפעולות. ההנחיה מוסיפה שאין בה כדי לפטור או להפחית מאחריות המנכ״ל, ההנהלה או כל גורם אחר שהוסמך לבצע את החובות.

מה צריך לתעד?

התיעוד הוא מה שהופך פיקוח לפיקוח שאפשר להוכיח. פרוטוקול שבו נכתב ״הוצג נושא הפרטיות״ אינו מספיק. פרוטוקול טוב מתעד מה הוצג לדירקטוריון (דוח, סקר, אירוע), אילו שאלות נשאלו, אילו חלופות נשקלו, מה הוחלט ולמה, מי אחראי לביצוע ועד מתי, ומתי הנושא יחזור לדיון.

במקביל, כדאי לשמור את חומרי הרקע שעמדו בפני הדירקטוריון: דוח הפערים, סקר הסיכונים, דוח מבדק החדירות ורשימת האירועים. אם תישאל שאלה בעוד שנתיים, אלה המסמכים שיראו על מה הדירקטוריון הסתמך.

אילו טעויות חוזרות על עצמן?

• דיון אחד בשנה שבו מוצגת מצגת כללית על סייבר, בלי דוח פערים ובלי החלטות.
• מדיניות שאומצה אבל אינה מתארת את המערכות בפועל: ספקים שלא מופיעים בה, מאגרים שלא מופו, מצלמות שלא הוזכרו.
• העברת האחריות לממונה או ל־IT בלי החלטה מנומקת, ובלי מנגנון דיווח חזרה לדירקטוריון.
• אירוע אבטחה שטופל בהצלחה, אבל לא הוצג לדירקטוריון ולא תועד.
• פרוטוקול שמסכם ״הנושא נדון״ בלי לפרט מה הוצג, מה הוחלט ומי אחראי.

כל אחת מהטעויות האלה קלה לתיקון כשמגלים אותה מבפנים, וקשה להסביר כשהיא עולה בשאלון פיקוח או בהליך.

מה הקשר לתיקון 13?

ההנחיה פורסמה כשנה לפני שתיקון 13 נכנס לתוקף ב־14 באוגוסט 2025, והרשות ציינה שחברה שהדירקטוריון שלה אינו מקיים את חובת הפיקוח מפרה לכאורה את החוק והתקנות, ועלולה להיות חשופה לסנקציות, כולל אלה שנקבעו בתיקון 13. אחרי כניסת התיקון לתוקף, לרשות סמכות להטיל עיצומים כספיים, ובדצמבר 2025 היא פתחה בפיקוחי רוחב שבהם היא שולחת שאלונים למגזרים שלמים. פרוטוקולי הדירקטוריון הם חלק מהתשובה לשאלונים האלה.

לדירקטורים עצמם יש גם שכבה של אחריות לפי חוק החברות: חובת הזהירות מחייבת לקבל מידע מספיק לפני החלטה ולתעד את התהליך. ראו אחריות דירקטורים ונושאי משרה.

איך מתחילים?

1. בודקים אם ההנחיה חלה: מה מהות הפעילות, אילו סוגי מידע, כמה מורשי גישה.
2. עורכים בדיקת עמידה בתיקון 13 שמתחילה במערכות עצמן, ומסתיימת בדוח פערים מדורג.
3. מכינים לדירקטוריון חבילת חומרים ונוסח החלטות: אימוץ מדיניות, מינוי אחראים, ולוח דיונים תקופתיים.
4. מקיימים את הדיון הראשון ומתעדים אותו בפרוטוקול מפורט.
5. קובעים את הדיונים הבאים ביומן הדירקטוריון, לפי רמת האבטחה של המאגרים.

זה מה שאנחנו מכנים ״תיק הגנה לדירקטוריון״. הייעוץ המשפטי ניתן על ידי עו״ד שמעון צור.