תקנות אבטחת מידע ועיצומים:
כמה עולה הפרה לפי תיקון 13

מה השתנה: עיצומים על הפרת תקנות אבטחת מידע

לפי מדריך הרשות להגנת הפרטיות, תיקון 13 מעגן לראשונה את סמכות הרשות להטיל עיצום כספי בסכומים משמעותיים על הפרה של הוראות החוק, של תקנות אבטחת מידע ושל תקנות הגנת הפרטיות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי. מנגנון הקנסות המנהליים שהיה קיים עד כה בוטל.

המאמר מפרט את חלק העיצומים בתקנות האבטחה, מתוך המדריך המלא לתיקון 13 לחוק הגנת הפרטיות.

שלוש קבוצות הפרות ורמות אבטחה

העיצומים על הפרת תקנות אבטחת מידע מחולקים לשלוש קבוצות הפרות, והסכום תלוי ברמת האבטחה של המאגר. הטבלה מציגה את הסכומים ואת הדוגמאות לפי הרשימה במדריך הרשות:

במאגר שיש בו מעל מיליון נושאי מידע כל סכומי העיצום מוכפלים. ביחס למאגרים ברמת אבטחה בסיסית ולמאגרים המנוהלים בידי יחיד נקבעו עיצומים בסכומים נמוכים יותר, כמפורט במדריך. הרשימה בטבלה מקוצרת, והנוסח המחייב נמצא בתקנות עצמן.

תקנה 13: הפרדת מערכות ועדכון מערכות

במדריך מופיעות שתי הוראות מתוך תקנה 13: תקנה 13(ב) עוסקת בהפרדת מערכות המאגר (מידור) ותקנה 13(ג) בעדכון מערכות המאגר. הראשונה נמנית בקבוצה א והשנייה בקבוצה ב. ההבדל בין תיקון 13 לתקנה 13 מוסבר גם במדריך המלא.

אירוע אבטחה חמור

לפי המדריך, אי-דיווח לרשות על אירוע אבטחה חמור (תקנה 11(ד)(1)) נמנה בקבוצה ג, הגבוהה ביותר. תיעוד אירוע אבטחה (תקנה 11(א)) נמנה בקבוצה ב. ראו גם את הסיפור מהשטח במאמר העיצום על עיריית בית שמש.

גורמים חיצוניים ומיקור חוץ

הפרת חובות בקרה ופיקוח על גורם חיצוני (מיקור חוץ) נמנית בקבוצה ג. לפי המדריך, ההפרה חלה על תקנה 15(א). על ניהול ספקים בפועל ראו ניהול גורמים חיצוניים ושרשרת האספקה.

הפחתות, תקרות ואחריות בעל השליטה

המדריך מפרט כמה כללים שחלים על העיצומים:

• הרשות רשאית, על פי בקשת המפר, להפחית את העיצום עד 70% בנסיבות מסוימות, למשל כשהמפר הפסיק את ההפרה ביוזמתו ודיווח עליה (30%) או נקט פעולות למניעת הישנות ההפרה ולהקטנת הנזק (20%)
• בכל מקרה לא יוטל עיצום כספי כולל העולה על 5% ממחזור העסקאות השנתי של המפר. לעסקים קטנים וזעירים נקבעו תקרות לסכום העיצום
• כשהוטל עיצום על מחזיק במאגר מידע, תישלח הודעה גם לבעל השליטה, והוא נדרש לפעול להפסקת ההפרה. אם לא עשה זאת, ניתן יהיה להטיל עליו את העיצום שהוטל על המחזיק, כאילו היה המפר

ממונה אבטחת מידע

לפי המדריך, חובת מינוי ממונה אבטחת מידע חלה על בעל שליטה או מחזיק בחמישה מאגרי מידע החייבים ברישום או בהודעה, על גוף ציבורי, על בנק, על חברת ביטוח ועל חברה העוסקת בדירוג או בהערכה של אשראי. אי-מינוי ממונה אבטחת מידע (סעיף 17ב(א) לחוק) נמנה בקבוצת ההפרות שבה העיצום הוא 2 ש"ח לכל אדם שקיים לגביו מידע במאגר (4 ש"ח אם יש במאגר מידע בעל רגישות מיוחדת), ולא פחות מ-20,000 ש"ח (40,000 ש"ח עם מידע בעל רגישות מיוחדת). על ההבדל בין הממונה על הגנת הפרטיות לבין ממונה האבטחה ראו מינוי ממונה הגנת פרטיות.

שאלות נפוצות

מה עושות תקנות אבטחת המידע ומה הקשר לתיקון 13?
תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, קובעות את דרישות האבטחה במאגרי מידע. תיקון 13 העניק לרשות להגנת הפרטיות סמכות להטיל עיצום כספי על הפרתן, והסכומים נקבעו לפי שלוש קבוצות הפרות ולפי רמת האבטחה של המאגר.

כמה עולה הפרה של תקנות אבטחת מידע?
לפי מדריך הרשות, ההפרות מחולקות לשלוש קבוצות: 20,000 ש"ח למאגר ברמת אבטחה בינונית ו-80,000 ש"ח ברמה גבוהה; 40,000 ש"ח ברמה בינונית ו-160,000 ש"ח ברמה גבוהה; 80,000 ש"ח ברמה בינונית ו-320,000 ש"ח ברמה גבוהה. במאגר שיש בו מעל מיליון נושאי מידע כל הסכומים מוכפלים.

מה העיצום על אי-דיווח לרשות על אירוע אבטחה חמור?
לפי מדריך הרשות, אי-דיווח לרשות על אירוע אבטחה חמור נמנה בקבוצת ההפרות השלישית: 80,000 ש"ח למאגר ברמת אבטחה בינונית ו-320,000 ש"ח ברמה גבוהה, ובמאגר עם מעל מיליון נושאי מידע הסכום מוכפל.

מי חייב למנות ממונה אבטחת מידע?
לפי מדריך הרשות: בעל שליטה או מחזיק בחמישה מאגרי מידע החייבים ברישום או בחובת הודעה לרשות, גוף ציבורי, בנק, חברת ביטוח וחברה העוסקת בדירוג או בהערכה של אשראי.