זהו האתגר השני בסדרה תיקון 13 בפועל — 10 אתגרים שכל CISO, DPO ומנהל GRC יפגשו. באתגר הראשון עסקנו במיפוי מאגרי מידע. הפעם: טיפול בבקשות נושאי מידע — עיון ומחיקה (DSR / DSAR).
שעון החול מתחיל לרוץ
התקבלה פנייה במייל מלקוח לשעבר: "אני מבקש לקבל עותק מכל המידע שיש לכם עליי, ולמחוק אותי מהמערכות שלכם". זהו זה — שעון החול מתחיל לרוץ. יש לכם לוח זמנים קשיח: לפי התקנות יש לאפשר עיון במידע תוך 30 ימים, ואם מסרבים — להודיע על הסירוב תוך 21 ימים.
מה תיקון 13 משנה
תיקון 13 חידד את מנגנוני האכיפה ואת זכויות נושאי המידע. טיפול בבקשת עיון או מחיקה הוא כבר לא אירוע נקודתי שאפשר לפתור ב"סמוך", אלא תהליך שחייב לעמוד בסטנדרט תפעולי ומשפטי ברור:
- אימות זהות הפונה
- איתור המידע בכל המאגרים הרלוונטיים
- תיעוד ההחלטה
- מתן מענה בזמן
מה החוק מקנה לנושא המידע
לפי סעיף 13 לחוק הגנת הפרטיות, לכל אדם יש זכות לעיין במידע שעליו המוחזק במאגר מידע. לפי הנחיית הרשות להגנת הפרטיות, הזכות חלה גם על מידע דיגיטלי — לרבות הקלטות של שיחות טלפון וצילומי וידאו.
לפי סעיף 14 לחוק, אדם שמצא שהמידע עליו אינו נכון, שלם, ברור או מעודכן רשאי לבקש לתקן אותו או למחוק אותו. שימו לב: זכות המחיקה בחוק הישראלי קשורה לאיכות המידע, ואינה זהה לזכות המחיקה הרחבה של ה-GDPR. גם כשבקשה אינה עומדת בתנאים — צריך לבדוק אותה, לתעד את ההחלטה ולהשיב לפונה.
לוחות הזמנים למענה לבקשות עיון
המועדים קבועים בתקנות הגנת הפרטיות (תנאים לעיון במידע), התשמ"א-1981:
- עיון במידע — תוך 30 ימים מיום קבלת הבקשה (תקנה 2).
- סירוב לבקשת עיון — הודעה תוך 21 ימים, בטופס שבתוספת לתקנות. אי-מתן תשובה בתוך המועד נחשב סירוב (תקנה 5).
- סירוב לתקן או למחוק — הודעה תוך 30 ימים. גם כאן, שתיקה נחשבת סירוב (תקנה 7).
- תיקון או מחיקה שאושרו — יש להודיע עליהם למבקש ולכל מי שקיבל את המידע מהארגון בשלוש השנים שקדמו לתיקון (תקנה 7).
- ערעור — המבקש רשאי לערער על סירוב לבית משפט השלום תוך 30 ימים מהודעת הסירוב (תקנה 8).
רשם מאגרי המידע רשאי להאריך כל אחת מהתקופות ב-15 ימים נוספים. המועדים נספרים מיום קבלת הבקשה, ולכן חשוב שבקשה שמגיעה בכל ערוץ — מייל כללי, שירות לקוחות או טופס באתר — תנותב מיד לגורם האחראי.
מתי מותר לסרב לבקשת עיון
הסירוב מוגבל למקרים שנקבעו בחוק ובתקנות, ובהם:
- פטור בחוק — למשל מאגרים של רשויות ביטחון ורשויות מס, או כשביטחון המדינה או יחסי החוץ שלה מחייבים זאת (סעיף 13(ה) לחוק).
- מידע רפואי שעלול לגרום נזק חמור לבריאות המבקש — במקרה כזה המידע נמסר לרופא או לפסיכולוג מטעם המבקש, ולא נשלל לגמרי.
- מידע חסוי לפי דין — אלא אם המבקש הוא מי שהחיסיון נועד לטובתו.
- לשכת שירות שמעבדת מידע עבור לקוחותיה — רשאית להפנות את המבקש לבעל המידע (תקנה 4).
"הבקשה מסובכת" או "אין לנו זמן" אינן עילות סירוב. וגם כשמסרבים — חובה להודיע על כך בתוך המועד.
ניהול בקשות עיון: תהליך עבודה בשישה שלבים
- קליטה ורישום — רושמים את הבקשה ואת תאריך קבלתה, שממנו נספרים המועדים.
- אימות זהות — מוודאים שהפונה הוא נושא המידע, או מי שמוסמך לפעול בשמו, לפני מסירת מידע כלשהו. הרשות להגנת הפרטיות פרסמה הנחיה על דרישות המינימום לאימות זהות.
- איתור המידע — בכל המאגרים והמערכות הרלוונטיים, כולל מערכות של ספקים שמחזיקים מידע עבור הארגון. מיפוי מאגרי מידע מעודכן חוסך כאן את רוב הזמן.
- בדיקה והחלטה — האם קיימת עילת סירוב? האם המידע כולל פרטים על אנשים אחרים שיש להשמיט? מי מאשר את המענה?
- מענה בזמן — מסירת המידע, ביצוע התיקון או המחיקה, או הודעת סירוב מנומקת.
- תיעוד וסגירה — שמירת הבקשה, ההחלטה ונימוקיה, ובתיקון או מחיקה — גם ההודעה למי שקיבל את המידע.
איך נראה התהליך אצלכם?
איך מנהלים את זה נכון ב-VDPO
במקום לפתוח שרשראות מיילים ולרדוף אחרי אנשים בארגון, המערכת כוללת מנגנון ייעודי לניהול מחזור החיים של בקשות נושאי מידע מקצה לקצה:
- ריכוז כל הבקשות במקום אחד עם מעקב סטטוס ולוחות זמנים
- קישור ישיר למיפוי המאגרים כדי לדעת בדיוק באילו מערכות לחפש
- שיוך משימות איתור וטיפול אוטומטיות לבעלי המאגרים הרלוונטיים
- תיעוד מלא של תהליך המענה והנימוקים לצרכי ביקורת
- עדכון מבקש המידע בהתקדמות התהליך
כשמנגנון בקשות העיון מנוהל ומחובר ישירות למיפוי המאגרים, בקשת עיון ומחיקה הופכות ממבצע חירום לתהליך עבודה מובנה. וכשהוא מובנה, אפשר להתקדם וליצור תהליך פנימי באוטומציה לאיסוף או מחיקת המידע לאחר מתן אישור.
לסיכום
באילו בעיות נתקלתם במתן מענה לבקשות עיון? שתפו אותנו בתגובה לפוסט המקורי ב-LinkedIn — נשמח לדעת אם סיפקנו פתרון לבעיה.
שאלות נפוצות
תוך כמה זמן צריך לענות לבקשות עיון?
לפי התקנות, יש לאפשר עיון במידע תוך 30 ימים מיום קבלת הבקשה. אם הארגון מסרב, עליו להודיע על כך תוך 21 ימים, ואי-מתן תשובה בתוך המועד נחשב סירוב. רשם מאגרי המידע רשאי להאריך את התקופות ב-15 ימים נוספים.
האם אפשר לבקש למחוק כל מידע?
לפי סעיף 14 לחוק הגנת הפרטיות, ניתן לבקש תיקון או מחיקה של מידע שאינו נכון, שלם, ברור או מעודכן. אם הבקשה מאושרת, יש להודיע על התיקון או המחיקה למבקש ולכל מי שקיבל את המידע מהארגון בשלוש השנים שקדמו לכך.
האם זכות העיון חלה גם על הקלטות שיחות וצילומי וידאו?
כן. לפי הנחיית הרשות להגנת הפרטיות 1/2017, זכות העיון חלה גם על מידע דיגיטלי, לרבות הקלטות של שיחות טלפון וצילומי וידאו.
מה ההבדל בין DSR ל-DSAR?
DSAR היא בקשה של נושא מידע לעיין במידע עליו. DSR הוא מונח רחב יותר, שכולל גם בקשות לתיקון ולמחיקה של מידע.
מה קורה אם הארגון לא עונה בזמן?
אי-מתן תשובה בתוך המועד נחשב סירוב. המבקש רשאי לערער על הסירוב לבית משפט השלום תוך 30 ימים, ולפנות לרשות להגנת הפרטיות.
מקורות
- חוק הגנת הפרטיות, התשמ"א-1981 — סעיפים 13–14 (זכות עיון, תיקון ומחיקה)
- תקנות הגנת הפרטיות (תנאים לעיון במידע וסדרי הדין בערעור על סירוב לבקשת עיון), התשמ"א-1981 — תקנות 2, 4, 5, 7, 8
- הנחיה 1/2017 — זכות העיון בהקלטות קול, וידאו ומידע דיגיטלי נוסף — gov.il, הרשות להגנת הפרטיות
- הנחיה 1/2010 — דרישת מינימום לתהליכי אימות זהות של נושא מידע — gov.il, הרשות להגנת הפרטיות
רוצים לראות איך VDPO מנהלת בקשות עיון?
VDPO מרכזת את כל בקשות נושאי המידע, מקשרת אותן למיפוי המאגרים ומתעדת כל שלב. השאירו פרטים ונחזור אליכם בהקדם.