המונחים שחוזרים — בעברית פשוטה

ממונה על הגנת הפרטיותDPO — Data Protection Officer

בעל תפקיד שמינויו חובה לארבע קבוצות לפי סעיף 17ב1(א) לחוק הגנת הפרטיות (גוף ציבורי; סוחר מידע על יותר מ-10,000 אנשים; ניטור שיטתי כעיסוק עיקרי; מידע בעל רגישות מיוחדת כעיסוק עיקרי בהיקף ניכר). חייב להיות אדם יחיד, מדווח ישירות למנכ״ל, ללא ניגוד עניינים. לחוק אין סף רשומות לשתי הקבוצות האחרונות.

מקור: ס׳ 17ב1–17ב2 לחוק; גילוי דעת הרשות 14.7.2026מחשבון: האם אתם חייבים DPO?

מידע בעל רגישות מיוחדתSpecial-category data

לפי סעיף 3 לחוק: מידע על צנעת חיים, מצב רפואי/נפשי, מידע גנטי, מידע ביומטרי, נטייה מינית, דעות ואמונות, עבר פלילי, נתוני מיקום ותעבורה, שכר ומצב כלכלי, והערכת אישיות. קיומו במאגר מעלה את רמת האבטחה לבינונית לפחות ומכפיל חלק מסכומי העיצום.

מקור: ס׳ 3 לחוק הגנת הפרטיות (תיקון 13)

רמות אבטחה (בסיסית / בינונית / גבוהה)Security levels

סיווג מאגר לפי תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017. בינונית: מאגר של סוחר מידע/דיוור ישיר, של גוף ציבורי, או שמכיל מידע בעל רגישות מיוחדת (עד 10 מורשי גישה — חזרה לבסיסית). גבוהה: מאגר סחר/רגיש עם מידע על 100,000 בני אדם ומעלה או עם יותר מ-100 מורשי גישה. כל השאר — בסיסית, ללא קשר למספר הרשומות.

מקור: תקנה 1 ותוספות ראשונה ושנייה לתקנותרמות האבטחה בתקנות — המדריך

מסמך הגדרות מאגרDatabase definitions document

מסמך חובה לכל מאגר מידע (תקנה 2): מטרות השימוש, סוגי המידע, פעולות העיבוד, העברות לחו״ל, מחזיקים, סיכונים עיקריים ועוד. אחרי תיקון 13, רוב העסקים פטורים מרישום ברשות — אבל לא מהמסמך הזה.

מקור: תקנה 2 לתקנות אבטחת מידע

בעל שליטה / מחזיקController / Processor

בעל שליטה (לשעבר ״בעל מאגר״) — מי שקובע את מטרות העיבוד ואמצעיו. מחזיק — מי שמעבד מידע עבור בעל השליטה (ספק SaaS, שכר, דיוור). לעניין חובת DPO, מחזיק שמעבד עבור לקוחות רבים נבחן במצטבר.

מקור: ס׳ 3 לחוק; גילוי דעת DPO ס׳ 9.12

הסכם עיבוד מידעDPA — Data Processing Agreement

הסכם בין בעל שליטה למחזיק שמגדיר מטרות, אבטחה, סודיות, מחיקה וזכויות ביקורת (תקנה 15 לתקנות אבטחת מידע). להעברה לחו״ל לפי תקנה 2(4) — ההסכם חייב לכלול התחייבויות דומות לדין הישראלי (גילוי דעת 13.4.2026).

מקור: תקנה 15; תקנות העברת מידע 2001

אירוע אבטחה חמורSevere security incident

אירוע שבו נעשה שימוש במידע מהמאגר ללא הרשאה או בחריגה ממנה, או פגיעה בשלמות המידע — במאגר ברמה בינונית או גבוהה. מחייב דיווח לרשות ״באופן מיידי״ (תקנה 11(ד)) — עם הידיעה, לא בסיום התחקיר. דיווח למערך הסייבר (119) וולונטרי לעסק פרטי.

מקור: תקנה 11(ד) לתקנות אבטחת מידעדיווח על פרצה — המדריך

עיצום כספיAdministrative fine

סנקציה מנהלית שהרשות מוסמכת להטיל מאז 14.8.2025 (ס׳ 23כו): סכומים קבועים (למשל 150,000 ₪ לאי-רישום) או לפי מספר נושאי המידע (50/100 ₪ ליידוע; 4/8 ₪ לעיבוד שלא כדין, מינימום 200,000 ₪), ומדרגות קבועות להפרת תקנות האבטחה (עד 320,000 ₪ ברמה גבוהה). תקרה: 5% ממחזור. הפחתות של 10%–30% לנסיבות מקלות.

מקור: ס׳ 23כו ותוספות שלישית וחמישית

סקר פעריםGap Assessment

השוואה שיטתית בין המצב בפועל לדרישות (תיקון 13, תקנות אבטחת מידע, ISO 27001, SOC 2): מה קיים, מה חסר, מה הסיכון של כל פער ובאיזה סדר סוגרים. התוצר: מפת פערים ותוכנית עבודה מתועדפת.

סקר סיכונים ובחינת פערים

מערכת ניהול אבטחת מידעISMS — Information Security Management System

המסגרת שמגדיר תקן ISO/IEC 27001: מדיניות, הערכת סיכונים, בקרות (93 בקרות ב-4 נושאים במהדורת 2022), ביקורת פנימית וסקירת הנהלה — במחזור שיפור מתמיד. ההסמכה תקפה 3 שנים עם מבדקי מעקב שנתיים.

מקור: ISO/IEC 27001:2022תקן ISO 27001

הצהרת תחולהSoA — Statement of Applicability

מסמך חובה ב-ISO 27001 שמפרט אילו מבקרות נספח A יושמו, אילו לא, ולמה. הרשות להגנת הפרטיות מבקשת אותו כשארגון מסתמך על ISO 27001 לעמידה בתקנות אבטחת מידע — התעודה לבדה אינה מספיקה (הנחיה 3/2018).

מקור: ISO 27001 ס׳ 6.1.3; הנחיית הרשות 3/2018

SOC 2 (Type I / Type II)SOC 2

דוח בוחן של רואה חשבון לפי מסגרת AICPA על בקרות של ספק שירות מול חמשת קריטריוני האמון (אבטחה, זמינות, שלמות עיבוד, סודיות, פרטיות; TSC 2017 עם נקודות מיקוד 2022). Type I — תכנון הבקרות בנקודת זמן; Type II — אפקטיביות לאורך תקופה (מקובל בשוק 3–12 חודשים). זה דוח, לא תעודה.

מקור: AICPA Trust Services Criteriaהכנה ל-SOC 2

מערכת ניהול פרטיותPIMS — ISO/IEC 27701

תקן ניהול הפרטיות הבינלאומי. במהדורת 2025 (פורסמה 14.10.2025) הוא תקן עצמאי שניתן להסמכה גם בלי ISO 27001.

מקור: ISO/IEC 27701:2025

תסקיר השפעה על פרטיותPIA / DPIA

הערכה מתועדת של הסיכונים לפרטיות בעיבוד חדש או מהותי (מערכת, ספק, שימוש ב-AI) ושל הצעדים לצמצומם. ב-GDPR חובה לעיבוד בסיכון גבוה (Art. 35); בישראל — פרקטיקה שהרשות מצפה לה במאגרים רגישים.

המדריך לתסקיר השפעה

תיק ראיותEvidence Pack

אוסף מסודר של מסמכים וצילומי מערכת שמוכיחים עמידה בבקרות — מדיניות, נהלים, לוגים, הרשאות, תוצאות סקר סיכונים — מוכן לביקורת של הרשות, למבדק הסמכה או לשאלון לקוח אנטרפרייז.

ביקורות ספקים ושאלוני אבטחה

אימות רב-שלביMFA — Multi-factor authentication

כניסה למערכת שדורשת שני גורמים לפחות (סיסמה + אפליקציה/מפתח). הבקרה היחידה הזולה שחוסמת את רוב השתלטויות החשבון; מומלץ מפתח פיזי או אפליקציה, לא SMS.

מדריך MFA לעסק

הגנת קצה מתקדמתEDR — Endpoint Detection & Response

מערכת שמנטרת התנהגות במחשבים ובשרתים (לא רק חתימות), מזהה תקיפה בזמן אמת ומאפשרת בידוד ותגובה. התחליף המודרני לאנטי-וירוס, והבקרה שמקטינה הכי הרבה את נזקי הכופרה.

הגנת תחנות קצה

מבחן חדירהPenetration test

בדיקה יזומה שבה בודק מורשה מנסה לפרוץ למערכת כמו תוקף ומדווח על חולשות וניצולן. בתקנות אבטחת מידע — חובה למאגר ברמה גבוהה אחת ל-18 חודשים (תקנה 5(ד)), לצד סקר סיכונים.

מקור: תקנה 5 לתקנות אבטחת מידעמבחני חדירה

מנהל אבטחת מידעCISO — Chief Information Security Officer

בעל התפקיד שאחראי על תוכנית אבטחת המידע של הארגון: סיכונים, בקרות, ספקים, אירועים ודיווח להנהלה. ״CISO במיקור חוץ״ = אותו תפקיד בריטיינר, לארגון שאינו מצדיק משרה מלאה. שונה מממונה אבטחת מידע לפי תקנה 3 (חובה למאגרים מסוימים) ומממונה פרטיות.

CISO במיקור חוץ

החלטת נאותותAdequacy decision

הכרה של נציבות האיחוד האירופי שמדינה מספקת רמת הגנה נאותה למידע אישי, ולכן מותר להעביר אליה מידע מהאיחוד בלי מנגנון נוסף. לישראל החלטה מ-2011, שאושרה בדוח הסקירה של הנציבות מינואר 2024.

מקור: Commission Decision 2011/61/EU; COM(2024) 7

ההגדרות הן תקצירים לצורכי הבנה ואינן ייעוץ משפטי. בכל שאלה של תחולה — בודקים את נוסח החוק/התקן ואת נסיבות הארגון.