הבעיה
חוזה לקוח דורש ממונה הגנת מידע (DPO). החוק בישראל מצפה כיום לכזה עבור מגזר רחב של חברות, וה-GDPR דרש זאת עוד קודם. אף אחד בחברה לא רוצה את התואר, והאדם שכן ייקח אותו לא יודע מה התפקיד אמור לייצר. למנות שם ולקוות לטוב הוא סיכון בפני עצמו.
השיטה.
ביסוס בסיס חוקי ומיפוי מידע
מיפוי כל פעילות עיבוד: איזה מידע אישי, של מי, על איזה בסיס חוקי, לכמה זמן נשמר, עם אילו מעבדים משותף, באיזה אזור מאוחסן. מופק כרשומת פעילויות עיבוד לפי סעיף 30 ל-GDPR, וכרשומות רישום מאגר ומצאי מידע כפי שמצופה לפי חוק הגנת הפרטיות הישראלי ותקנות אבטחת המידע שלו משנת 2017.
סיווג מידע וקביעת רמת האבטחה
הקצאת כל מאגר לרמת האבטחה שלו לפי תקנות הגנת הפרטיות (אבטחת מידע) הישראליות (בסיסית, בינונית או גבוהה) וגזירת מערך הבקרות שהרמה מחייבת: תיעוד גישה, הפרדת סביבות, סקירת גישה תקופתית, מבחני חדירה, וחובות דיווח על אירוע.
ביצוע DPIA והערכות העברה היכן שהן נדרשות
הערכות השפעה על הגנת מידע (DPIA) לעיבוד בסיכון גבוה (פרופיילינג, עיבוד בהיקף נרחב של קטגוריות מידע מיוחדות, ניטור שיטתי). הערכות השפעת העברה ותניות חוזיות תקניות (SCC) עבור זרימות מחוץ ל-EEA. אנחנו עושים את אלו שהחוק דורש ומדלגים על אלו שאינו דורש.
הקמת צינור זכויות נושא המידע
מסלול קליטה פועל לבקשות עיון, מחיקה, תיקון והתנגדות, עם אימות זהות, נוהל חיפוש פנימי בסביבות ייצור ובגיבויים, ומעקב אחר השעון הסטטוטורי לכל בקשה: 30 ימים לפי GDPR, 30 ימים לפי החוק הישראלי לבקשות עיון.
החזקת שעון האירוע
נוהל הערכת אירוע שקובע, תוך שעות, האם קמה חובת דיווח: 72 שעות לרשות הפיקוח לפי סעיף 33 ל-GDPR, ודיווח מיידי לרשות להגנת הפרטיות הישראלית עבור אירועים חמורים במאגרים ברמה בינונית וגבוהה. תבניות הדיווח נכתבות לפני האירוע, לא במהלכו.
שמירה כ-DPO מוגדר בשם
אנחנו מופיעים בהודעת הפרטיות שלכם ובהסכמי ה-DPA מול הלקוחות, מקבלים את מייל נקודת הקשר, מתכתבים עם רשויות הפיקוח, ומדווחים באופן עצמאי להנהלה כפי שהתפקיד מחייב.
מהו DPO כשירות?
DPO כשירות הוא התקשרות של ממונה הגנת מידע במיקור חוץ. איש מקצוע פרטיות חיצוני ומוסמך ממונה רשמית כ-DPO שלכם: הוא מתחזק את רשומת פעילויות העיבוד, מבצע הערכות השפעה על הגנת מידע, מטפל בבקשות נושא מידע, מנהל דיווח על אירועים, ומשמש נקודת קשר מול הרגולטורים ומול הלקוחות שלכם.
האם חברה ישראלית מחויבת למנות ממונה הגנת מידע?
תיקון 13 לחוק הגנת הפרטיות הישראלי מחייב ממונה הגנת מידע עבור קטגוריות מוגדרות של ארגונים, כולל גופים ציבוריים, סוחרי מידע, ובעלי שליטה שפעילותם המרכזית כרוכה בעיבוד בהיקף נרחב של מידע אישי רגיש. בנפרד, כל חברה ישראלית המציעה שירותים ליחידים באיחוד האירופי עשויה להידרש למנות DPO לפי סעיף 37 ל-GDPR. DPO חיצוני מספק את שתי הדרישות.
האם ממונה הגנת המידע יכול להיות ספק שירות חיצוני?
כן. גם ה-GDPR וגם החוק הישראלי מתירים למלא את תפקיד ה-DPO על בסיס חוזה שירות במקום העסקה. DPO חיצוני הוא לעיתים קרובות האפשרות הנקייה יותר, כי התפקיד חייב להיות נקי מניגודי עניינים, מה שמוציא מהמשוואה את ה-CTO, את ראש המו"פ, וכל מי שמחליט כיצד מעובד מידע אישי.