הגיע שאלון פיקוח מהרשות להגנת הפרטיות — מה עושים ב-30 הימים הראשונים
פיקוח רוחב פתוח בחמישה מגזרים ועשרות תיקים פרטניים מתנהלים — והמכתב כבר לא נדיר. מה בדיוק מבקשים בשאלון, תוכנית עבודה של 30 יום יום-אחר-יום, ארבע הטעויות שמייקרות את התיק, ואיך תקנות ההתראה המינהלית מתגמלות ארגון שסוגר פערים מהר.
שנה בדיוק אחרי שתיקון 13 נכנס לתוקף, המכתב שארגונים ישראליים מקבלים מהרשות להגנת הפרטיות כבר איננו נדיר. הרשות פתחה הליכי פיקוח רוחב במגזרים שלמים — רשויות מקומיות, מסחר מקוון, אפליקציות בשימוש נרחב, מכוני בדיקות גנטיות וצהרונים — ובמקביל מנהלת עשרות תיקים פרטניים. הפנייה מגיעה כמעט תמיד באותו פורמט: שאלון מפורט, רשימת מסמכים לצירוף, ומועד תגובה קצוב. מה שקורה ב-30 הימים שאחרי קובע, במידה רבה יותר משנדמה, אם התיק ייסגר בהערה, יסתיים בהתראה מינהלית — או יגיע לעיצום כספי.
פיקוח רוחב הוא הליך יזום של הרשות מול מגזר שלם. קבלת שאלון אינה אומרת שנמצאה הפרה, ולרוב לא קדמה לה תלונה. זו נקודת פתיחה — והיא גם, בפועל, ההזדמנות הזולה ביותר שתקבלו לתקן פערים לפני שהם מתומחרים.
מה בעצם מבקשים מכם
השאלונים משתנים בין מגזרים, אבל הליבה חוזרת על עצמה. המפקחים בוחנים את הפער בין מה שהארגון מצהיר למה שהוא מיישם ולמה שהוא יכול להוכיח. בפועל מבקשים מסמכים מארבע קטגוריות:
| קטגוריה | מה מבקשים | הפער הנפוץ בשטח |
|---|---|---|
| תיעוד המאגר | מסמך הגדרות מאגר, מיפוי סוגי מידע, מטרות העיבוד והיקף הרשומות | מסמך שנכתב פעם אחת ולא עודכן מאז — או שאינו קיים כלל |
| שקיפות מול נושאי המידע | מדיניות פרטיות, הודעת יידוע לפי סעיף 11, מנגנוני הסכמה ו-Cookies | נוסח גנרי שמתאר מערכות שכבר לא בשימוש, בלי פרטי ממונה |
| אבטחת מידע | נוהל אבטחה, סיווג רמת האבטחה, ניהול הרשאות, תיעוד פעילות וסקר סיכונים | בקרות שקיימות טכנית אך לא מתועדות — ולכן, מבחינת המפקח, לא קיימות |
| ספקים והעברות | הסכמי עיבוד (DPA), רשימת מעבדי מידע, העברות מידע לחו״ל | CRM, שכר, דיוור וענן שפועלים שנים בלי הסכם עיבוד חתום |
שלושים הימים: תוכנית עבודה
ימים 1–3 — לייצב את התהליך
- למנות בעל תפקיד אחד אחראי לתיק. ריכוז התשובות אצל אדם אחד מונע את הכשל הנפוץ ביותר: שתי מחלקות ששולחות לרשות תשובות סותרות.
- לוודא את מועד התגובה ולתעד אותו. אם הלוח בלתי אפשרי — בקשת הארכה מנומקת, בכתב ומראש, מתקבלת לרוב בהבנה. שתיקה עד למועד, לא.
- להקפיא מחיקות. מרגע קבלת הפנייה, מחיקת לוגים או מסמכים במסגרת ״ניקיון״ שגרתי היא סיכון מיותר. יש לעצור מדיניות שמירה אוטומטית עד לסיום ההליך.
ימים 4–14 — מיפוי אמת
זה השלב שקובע. המטרה איננה לכתוב תשובה יפה אלא לדעת מה באמת קורה במידע. מיפוי מאגרים מהיר — אילו מאגרים קיימים, מי ניגש אליהם, אילו ספקים מעורבים ואיזה מידע רגיש נשמר — הוא הבסיס לכל תשובה שתיתנו. ארגון שמנסה לענות בלי המיפוי הזה כותב, בלי כוונה, הצהרות שלא יעמדו בבדיקה. הרחבנו על השיטה במדריך מיפוי מאגרי מידע.
- לאסוף את המסמכים הקיימים כפי שהם — כולל הגרסאות הלא מחמיאות.
- לסמן לכל פריט בשאלון: קיים ומתועד / קיים אך לא מתועד / לא קיים.
- לוודא שרמת האבטחה שאתם מצהירים עליה תואמת את רמות האבטחה שבתקנות — סיווג שגוי כלפי מטה הוא כשלעצמו ממצא.
- לבדוק חובת מינוי ממונה. אם קיימת ולא מונה ממונה — זה הפריט לסגור ראשון.
מסמך שנוצר אחרי קבלת השאלון ומוצג כאילו היה קיים קודם הוא הסלמה משמעותית של החשיפה. הדרך הנכונה הפוכה: להצהיר שהפער אותר, לצרף את המסמך החדש כפעולת תיקון ולציין את תאריך יצירתו. תיקון מהיר ומתועד הוא בדיוק מה שמזכה ביחס מקל.
ימים 15–25 — לסגור פערים, לא רק לדווח עליהם
כאן נמצא ההבדל המעשי בין שני ארגונים שקיבלו את אותו שאלון. הראשון עונה ״הפער קיים ומטופל״. השני עונה ״הפער אותר ב-3.9, נסגר ב-11.9, מצורף המסמך״. תקנות ההתראה המינהלית, שהותקנו באפריל 2026, מעגנות רשמית מסלול שבו הרשות מוסרת התראה במקום עיצום כספי — ואחד השיקולים המרכזיים במסלול הזה הוא היקף התיקון שבוצע ומהירותו. הפערים שכדאי לסגור בחלון הזה הם אלה שסגירתם מהירה וההוכחה שלהם פשוטה: עדכון מדיניות פרטיות, החתמת ספקים על הסכמי עיבוד, צמצום הרשאות עודפות והפעלת תיעוד פעילות.
ימים 26–30 — לבנות את התשובה
- לענות על מה שנשאל, במדויק. לא פחות — ולא הרבה יותר. הרחבה יזומה על נושאים שלא נשאלו פותחת חזיתות מיותרות.
- לצרף אסמכתאות לכל טענה. תשובה בלי מסמך תומך נספרת, מבחינת המפקח, כתשובה חסרה.
- לתאר את מה שתוקן, עם תאריכים. זה החלק שמייצר את ההבדל בין ממצא לבין ממצא שנסגר.
- לצרף תוכנית עבודה מתוקצבת לפערים שלא ניתן לסגור ב-30 יום, עם אבני דרך ואחראים בשם. תוכנית עם תאריכים אמינה הרבה יותר מהתחייבות כללית.
- לעבור עם גורם משפטי על הנוסח הסופי לפני השליחה.
״מפקח לא מצפה למצוא ארגון מושלם. הוא מחפש ארגון ששולט במידע שלו, יודע להצביע על הפערים שלו ומראה שהוא סוגר אותם. השאלה איננה האם יש לכם פערים — אלא האם גיליתם אותם לפנינו.״
ארבע טעויות שמייקרות את התיק
- להתעלם או לאחר. אי-מענה במועד הוא ממצא עצמאי, והוא גם קובע את הטון להמשך ההליך כולו.
- לענות בשם ״מה שהמערכת אמורה לעשות״. הצהרה על בקרה שלא באמת פעילה נחשפת בבדיקה — והופכת פער טכני לבעיית אמינות.
- לשלוח הכול לרשות. צירוף גורף של מסמכים שלא התבקשו מרחיב את שדה הבדיקה ללא צורך.
- להתייחס לסגירת התיק כסוף התהליך. פיקוח רוחב במגזר מייצר לרוב דוח ציבורי ומעקב המשך. ארגון שחזר להרגלים הישנים ייבדק שוב — הפעם עם היסטוריה מתועדת.
מה שהשנה הראשונה לימדה
העיצומים שהוטלו מאז 14.8.2025 מצביעים על דפוס עקבי: הרשות מענישה בעיקר על התנהלות ולא על תקלה. עובד שחרג מהרשאות, ארגון שהמתין עד לסיום בירור פנימי לפני שדיווח, מסמכים שלא עודכנו שנים — אלה המכנים המשותפים. הרשות פרסמה בשנה זו גל הנחיות שמסיר כמעט לחלוטין את טענת ״לא ידענו״, ובמקביל בנתה מסלול התראה שמתגמל מי שמתיישר מהר. מי שרוצה את התמונה המלאה של השנה הראשונה — ריכזנו אותה בדוח האכיפה; ומי שמעדיף להיערך לפני שמגיע מכתב, הצ׳קליסט לעסקים קטנים ובינוניים הוא נקודת הפתיחה.
סקר הסיכונים שלנו נותן ציון מוכנות תוך חמש דקות: רמת האבטחה שחלה עליכם, אינדיקציה לחובת מינוי ממונה והפערים הדחופים. חינם, בלי התחייבות.
השורה התחתונה
שאלון פיקוח הוא מבחן בשליטה, לא בשלמות. ארגון שמחזיק מיפוי מאגרים עדכני, מדיניות שמשקפת את המציאות, הסכמי עיבוד חתומים ותיעוד של מה שתוקן — נכנס להליך ממקום של כוח, גם אם יש לו פערים. ארגון שמתחיל לחפש מסמכים אחרי שהמכתב הגיע משלם על כך פעמיים: בזמן, ובתמחור התיק. שלושים הימים הראשונים הם המשאב היקר ביותר בהליך הזה — ורובם נשרפים על שאלות שאפשר היה לענות עליהן מראש.
Cybertis מלווה ארגונים ישראליים בהליכי פיקוח מול הרשות להגנת הפרטיות — מבניית התשובה ואיסוף האסמכתאות ועד סגירת הפערים וליווי כממונה הגנת פרטיות חיצוני. הפגישה הראשונה עלינו.
לשירות עמידה בתיקון 13*האמור במאמר זה הוא מידע כללי בלבד ואינו מהווה ייעוץ משפטי. הליך פיקוח מול הרשות להגנת הפרטיות מחייב בחינה פרטנית של נסיבות הארגון, ובמקרים המתאימים — ליווי של עורך דין המתמחה בהגנת הפרטיות.*