072-3924095
מאגרי מידע ופרטיות
מאבחון רמת האבטחה לחבילת מסמכי ציות לפי תיקון 13 מותאמת לאישורכם – בתוך מספר ימי עסקים.
לעסקים ולחברות בכל גודל, לאתרים ולאפליקציות, בהתאמה לפעילות ולכל רמות האבטחה.
לקוח דורש מכם הסכם עיבוד מידע – DPA? קראתם על הקנסות הגבוהים מהרשות להגנת הפרטיות? אתם רוצים לעמוד בהוראות חוק הגנת הפרטיות החלות על כל עסק, חברה, אתר ואפליקציה ולא יודעים כיצד?
⚠️ חשיפה לעיצומים כספיים משמעותיים מאז תיקון 13 לחוק (אוגוסט 2025)
מסמך הגדרות מאגר, נוהל אבטחת מידע, מסמך או היערכות אחרת שחסרים לכם, או הפרה אחרת, עלולים להוביל לעיצומים משמעותיים. כך לדוגמה, על היעדר מסמך הגדרות מאגר נקבע עיצום בסיס של 160,000 ₪ לכל הפרה ברמת האבטחה הגבוהה, או "רק" 2,000 ₪ לכל הפרה במאגר המנוהל בידי יחיד (רמת האבטחה הנמוכה ביותר), לפני העדכון השנתי לפי החוק.
תהליך מובנה ומהיר לחבילת ציות מלאה (בסנכרון מלא לפעילותכם):
|
1
אבחון רמת האבטחה מיפוי ואבחון מדויק של רמת האבטחה החלה על מאגרי המידע שלכם. |
2
חבילת ציות מותאמת הגדרת ועריכת המסמכים והנהלים הנדרשים לפעילות, למערכות, ללקוחות ולספקים שלכם. |
3
מסירה ויישום בארגון מסירה לאישורכם בתוך מספר ימי עסקים בלבד מאבחון + הנחיות יישום מלאות. |
בדיקה ועריכה משפטית אישית – עו״ד ו-DPO יריב קדם
עו״ד יריב קדם מאבחן את רמת האבטחה המדויקת החלה על מאגרי המידע שלכם ומגדיר את חבילת הציות המתאימה לפעילות, למערכות ולספקים שלכם. שיטת עבודה ייעודית שפיתח מאפשרת למשרד למסור לכם חבילת מסמכי ציות מלאה ומותאמת, בעריכה ובדיקה משפטית אישית שלו, לעיונכם ולאישורכם, בתוך מספר ימי עסקים בלבד מהשלמת אבחון רמת האבטחה.
| ✓ מסמכי מדיניות, נהלים ומסמכי חובה כחוק להגנת הפרטיות בארגון | ✓ הסכמי עיבוד מידע (DPA) והתאמה ל-GDPR |
| ✓ הנחיות להמשך התאמות ובדיקות מקצועיות | ✓ ליווי להשלמת האישורים והיישום בארגון |
אבחון רמת האבטחה:
להבנת פעילותכם לעומק, המשרד יבקש מכם ומאנשי המחשוב שלכם להשלים מידע ראשוני שיתקבל מכם במידע חשוב נוסף המותאם אליכם, כגון מספר נושאי המידע וקבוצותיהם, סוגי המידע, המערכות והצדדים השלישיים המעורבים, מיקומי האחסון והעיבוד, נקודות איסוף המידע וכיו״ב. עו״ד יריב קדם יבחן את הפרטים לקביעת רמת האבטחה לכל מאגר ולהגדרת חבילת המסמכים הדרושה לכם. החבילה תימסר לעיונכם ולאישורכם בתוך מספר ימי עסקים מהשלמת האבחון, לאחר עריכה ובדיקה משפטית.
פנה/י כעת לתיאום אבחון רמת האבטחה שלכם
יריב קדם, עו"ד, נוטריון, דאטה אנליסט, וממונה הגנת פרטיות (DPO). למד תארים ראשון ושני במשפטים מאוניברסיטאות חיפה ותל אביב בהתאמה, אסטרטגיה עסקית באוניברסיטת הארוורד, בוגר ג'ון ברייס בהצטיינות, וממונה הגנת הפרטיות ע"י הטכניון בחסות הרשות להגנת הפרטיות. בעל ותק של יותר מ- 25 שנה בליווי משפטי של חברות היי-טק וסטארטאפים. מנטור באקסלרטורים של מיקרוסופט, AppleSeeds, ועוד. יועץ משפטי להאקטונים רבים. בעבר הבעלים של אפפלאב, חממה לפיתוח אפליקציות ומוצרים טכנולוגיים, מרצה משפטי מנוסה בעולמות מאגרי מידע ופרטיות, קניין רוחני, בינה מלאכותית (AI), והמשפט המסחרי והטכנולוגי.
בין לקוחותיו הבולטים ניתן למצוא חברות הייטק רב לאומיות, עסקים בינלאומיים מצליחים, וסטארטאפים שזכו בהשקעות ובפרסים בינלאומיים כגון-
BAE Systems Rokar (weapons developement), Klirmark Capital (investments fund), CIMS Israel (PCB optical inspection), Ham-Let UCT (flow control machinery), Vocalix (telecommunications), Getty Images (digital pics bank), Abloy (locks & door-cylinders), Pandoor (indoor doors), Israeli Diamond Institute, Café-Café (chain of coffee shops), WeDev (software dev. house), Keepulse (medical software), SeeVoov (tourism App), MyTower (towers management App), Skilpe (education software), Snobemakeup (makeup machine), La-Tweez (cosmetics apparatus), ISM (safes technology), Zamberg (metal products), Dr. Nader Butto (alternative therapies), Enquantum (cybersecurity software), or Dyson Israel – BNZC (cyclone technology ).
- מעל 25 שנות ליווי חברות הייטק וסטארטאפים
- נסיון וידע משולב- משפטי, עסקי, טכנולוגי
- ייעוץ לחברות פיתוח, שירותי ענן, והייטק
- הקמת סטארטאפים מוגנים משלב הרעיון
מה כוללת חבילת ציות לתיקון 13 לחוק הגנת הפרטיות?
משרד עו״ד יריב קדם מציע חבילת מסמכי ציות מותאמת, בעריכה ובבדיקה משפטית אישית של עו״ד קדם, לעיונכם ולאישורכם, בתוך מספר ימי עסקים מהשלמת אבחון רמת האבטחה. החבילה נבנית סביב הפעילות שלכם: המידע שאתם אוספים והשימושים שאתם עושים בו, המערכות, העובדים, הספקים, הלקוחות, ואמצעי אבטחת המידע שלכם. המסמכים נערכים כמכלול אחד, כך שהמדיניות, הנהלים וההסכמים מתיישבים זה עם זה. תכולת החבילה נקבעת לפי הדין החל, מאפייני הפעילות והצרכים שסוכמו איתכם, מתוך עשרות סוגי מסמכים. באבחון המשרד מגדיר איתכם אילו מסמכים נדרשים, אילו התאמות נחוצות ומה ייכלל בעבודה:
מסמכי המאגרים לאחר תיקון 13
מסמך הגדרות מאגר לכל מאגר, מיפוי המערכות וזרימת המידע, רישום פעולות העיבוד, ובחינה של חובות הרישום, ההודעה לרשות ומינוי ממונה על הגנת הפרטיות, הם רק ההתחלה.
אבטחת מידע
נוהל אבטחת מידע לפי רמת האבטחה שחלה עליכם, נספח לדרישות הנוספות של רמת אבטחה בינונית או גבוהה, ופרוטוקול לטיפול באירועי אבטחה ולדיווח לרשות.
מדיניות פרטיות
כיום מדיניות פרטיות צריכה לשקף לא רק את האתר או האפליקציה שלכם, אלא את פעילות העסק בכללותה: איזה מידע נאסף, לאילו מטרות, למי הוא מועבר וכיצד ניתן לפנות בנושא. לאתר ולאפליקציה המשרד מכין גם, בהתאם לפעילות ולדין החל, נוסח לבאנר עוגיות והנחיות ליישומו, תנאי שימוש (תקנון) והצהרת נגישות.
חובת יידוע על איסוף מידע אישי
עליכם למסור יידוע בנקודות שבהן אתם אוספים מידע אישי, כגון בטפסים באתר, בשיחות טלפון מוקלטות או בתוספי ווטסאפ. המשרד מכין את נוסחי היידוע, וכשנדרשת הסכמה לאיסוף המידע או לשימוש בו, גם את נוסחי ההסכמה, לרבות התאמות לפעילות הכוללת קטינים.
נהלים פנימיים
מדיניות שמירה ומחיקה של מידע, נוהל לטיפול בבקשות עיון ותיקון, מדיניות שימוש בכלי בינה מלאכותית, תכנית הדרכה לעובדים, ותסקיר השפעה על הפרטיות כשהפעילות מצדיקה אותו.
הסכמים
הסכמי עיבוד מידע (DPA) מול הספקים שלכם לפי תקנה 15 לתקנות אבטחת מידע, מול הלקוחות שלכם כשאתם מעבדים עבורם מידע, ובתוך קבוצת חברות; הסכמי סודיות; והסדרים להעברת מידע לחו״ל ולמידע שהגיע אליכם מאירופה. אפשר לכלול גם בדיקה ותיקון של הסכם עיבוד מידע או נספח אבטחה שקיבלתם מלקוח.
הנהלה ודירקטוריון
טיוטות החלטה ופרוטוקול לאימוץ המדיניות ולהסדרת הפיקוח על הציות, כשהפעילות שלכם מחייבת זאת לפי הנחיית הרשות 1/2024 בדבר תפקיד הדירקטוריון.
משימות והנחיות להמשך
מה לאמץ, לפרסם, להעביר לחתימה, לבדוק מול אנשי אבטחת המידע ולהטמיע בעבודה השוטפת, ומי אחראי לכל משימה.
מה בודקים באבחון רמת האבטחה?
החובות שלכם לפי תיקון 13 תלויות ברמת האבטחה שחלה על כל מאגר. התקנות קובעות ארבע רמות: מאגר המנוהל בידי יחיד, שחלות עליו חובות מצומצמות, ורמות אבטחה בסיסית, בינונית וגבוהה. הרמה נקבעת לפי סוגי המידע במאגר, ובפרט מידע בעל רגישות מיוחדת, לפי מספר האנשים שהמידע עליהם ומספר בעלי ההרשאה, ולפי מטרת המאגר וזהות בעל השליטה בו.
באבחון המשרד ממפה איתכם את המאגרים, המערכות, הספקים ותהליכי העבודה, קובע מה התפקיד שלכם ביחס לכל מאגר ואיזו רמת אבטחה חלה עליו, ומגדיר את המסמכים שהחבילה צריכה לכלול. האבחון הוא סיווג משפטי של המאגרים ושל הדרישות שחלות עליהם; הוא אינו בדיקת חדירות ואינו אישור שהמערכות שלכם מאובטחות בפועל.
התאמה לכל גודל ולכל רמת אבטחה
לעסק קטן או למשרד מקצועי:
החבילה מתמקדת במידע שאתם מנהלים ובדרישות שחלות על הפעילות שלכם, במסמכים שאפשר לעבוד לפיהם, בלי להעמיס מבנה ארגוני שאינו מתאים לעסק.
לחברה עם כמה מאגרים, מחלקות וספקים:
המשרד מכין חבילה שמתייחסת להבדלים בין הפעילויות, למאגרים שעשויים להיות משותפים לחברות קשורות באותה קבוצה, לחלוקת האחריות ביניהן ולרמות האבטחה השונות, כולל רמת אבטחה גבוהה ומבנים ארגוניים מורכבים, וכן לממשקי העבודה בין ההנהלה, אנשי הטכנולוגיה והאחראים ליישום.
לאתר, לאפליקציה או לחברת תוכנה וענן:
חבילת ציות לתיקון 13 מתייחסת לאופן שבו המוצר שלכם אוסף מידע ומשתמש בו, להרשאות, לשירותי צד שלישי ולממשק עם המשתמשים. כשלקוחות עסקיים שומרים אצלכם מידע על אנשים אחרים, אתם בדרך כלל בעלי השליטה במידע שאתם מנהלים לצרכיכם, ומחזיקים שמעבדים מידע עבור הלקוחות. המשרד מבחין בין שני התפקידים ומתאים את המסמכים וההסכמים לכל אחד מהם.
מאבחון רמת האבטחה לחבילת מסמכים לאישורכם
הצעד הראשון- אבחון והגדרת החבילה:
המשרד ממפה איתכם את הפעילות, המידע, המערכות והספקים, מאבחן את רמת האבטחה החלה על המאגרים ומגדיר את מסמכי הציות הנדרשים. בשלב הזה מסכמים איתכם את תכולת החבילה, את המידע הדרוש להכנתה ואת מועד המסירה.
הכנה ומסירה בתוך מספר ימי עסקים:
לאחר השלמת האבחון עו״ד קדם עורך את המסמכים, מתאים אותם לפעילות שלכם ובודק את ההתאמה בין חלקי החבילה. בתוך מספר ימי עסקים תקבלו את החבילה לעיונכם ולאישורכם, עם הנחיות להמשך.
הערות, התאמות ואישורים:
אחרי המסירה תוכלו להעביר הערות, להשלים פרטים ולבקש התאמות. ההיבטים הטכנולוגיים נבדקים מול אנשי אבטחת המידע שלכם או מטעמכם, ומתקבלים אישורי ההנהלה והגורמים המוסמכים. הטיפול בהערות והליווי בשלבים אלה נעשים לפי היקף ההתקשרות.
יישום בארגון:
עם קבלת אישורי ההנהלה והגורמים המוסמכים משלימים את אימוץ הנהלים, ההסכמים והמינויים, את פרסום המסמכים הרלוונטיים ואת ההתאמות במערכות ובתהליכי העבודה. החבילה וההנחיות נותנות לכם בסיס מסודר לביצוע, ואפשר לכלול בהתקשרות גם הדרכות לעובדים.
מי מכין ובודק את החבילה שלכם?
עו״ד ונוטריון יריב קדם, בעל תואר שני במשפטים ובוגר קורס ממוני הגנת הפרטיות (DPO) של הטכניון בחסות הרשות להגנת הפרטיות, מביא עימו ניסיון רב־שנים בליווי חברות טכנולוגיה, עסקים רב־לאומיים, חברות ציבוריות וסטארטאפים בתחילת הדרך, לצד הבנה טכנולוגית ורקע בניתוח נתונים.
חברה ציבורית הנסחרת בבורסה, סטארטאפ הפועל באירופה ובארה״ב, חברת הייטק בבעלות חברה אם מחו״ל ופלטפורמה מקוונת המספקת שירותי B2B הן דוגמאות ספורות לחברות שהמשרד הכין עבורן היערכות לדיני הפרטיות.
למה להיערך עכשיו
כדי שההיערכות שלכם לא תיבחן לראשונה ברגע הכי פחות נוח: אחרי תלונה של לקוח, ספק או אדם שהמידע עליו נשמר אצלכם, בביקורת יזומה של הרשות להגנת הפרטיות, או אחרי אירוע אבטחה אצלכם, אצל לקוח או אצל ספק. במצבים כאלה הרשות בודקת אם המסמכים, הנהלים וההסדרים הנדרשים קיימים ומעודכנים. מעבר לעיצום הכספי, אירוע כזה עלול לפגוע באמון הלקוחות שלכם, לגרום לנטישתם, לפגוע במוניטין ולהוביל להפסדים עסקיים.
כך לדוגמה, ביולי 2026 הטילה הרשות את העיצום הכספי הראשון מכוח תיקון 13, על ארגון שלא דיווח לה מיד על אירוע אבטחה חמור (הודעת הרשות). בירור אחר הסתיים בעיצום על עירייה, בין היתר משום שספק חיצוני שהחזיק במידע לא צוין במסמך הגדרות המאגר (דיווח על החלטת הרשות).
אלה דוגמאות לסכומי הבסיס (בש״ח) של העיצומים שקבע החוק על הפרת תקנות אבטחת מידע, לכל הפרה, לפי רמת האבטחה החלה על המאגר:
| ההפרה | מאגר בידי יחיד | רמה בסיסית | רמה בינונית | רמה גבוהה |
|---|---|---|---|---|
| מסמך הגדרות מאגר שלא הוכן, או שלא עודכן | 2,000 | 2,000 | 40,000 | 160,000 |
| היעדר נוהל אבטחת מידע | – | 2,000 | 40,000 | 160,000 |
| הרשאות גישה שלא נקבעו, או שלא בוטלו לעובד שסיים את תפקידו | – | 2,000 | 40,000 | 160,000 |
| היעדר תיעוד של אירועי אבטחת מידע | 2,000 | 2,000 | 40,000 | 160,000 |
| היעדר הדרכה תקופתית לבעלי הרשאות | – | – | 20,000 | 80,000 |
| היעדר ביקורת תקופתית אחת ל־24 חודשים | – | – | 40,000 | 160,000 |
| הסכם עם ספק בלי ההוראות שתקנה 15 מחייבת, או בלי פיקוח עליו | – | 4,000 | 80,000 | 320,000 |
| אי־דיווח מיידי לרשות על אירוע אבטחה חמור | – | – | 80,000 | 320,000 |
| היעדר סקר סיכונים, או היעדר מבדקי חדירות, אחת ל־18 חודשים (לכל אחד) | – | – | – | 320,000 |
שימוש בכלי AI ופעילות מחוץ לישראל
כלי בינה מלאכותית ומוצרים המשלבים AI:
כשהעובדים שלכם משתמשים בכלים חיצוניים, או כשהמוצר שלכם משלב מודל, המשרד בודק איזה מידע מועבר, לאילו מטרות, מה קובעים תנאי הספק ואילו הרשאות ניתנות. בהתאם לפעילות, החבילה יכולה לכלול מדיניות שימוש בכלי AI, הנחיות לעובדים, נוסחי יידוע והסדרים מול הספקים.
פעילות בינלאומית וקבוצות חברות:
כשיש לכם משתמשים, לקוחות, חברות קשורות או ספקים מחוץ לישראל, עולות שתי שאלות נפרדות: האם גם ה־GDPR, דין אמריקאי או דין זר אחר חל עליכם, ואם העברת המידע לחו״ל, והטיפול במידע שהגיע אליכם מחו״ל, עומדים ברגולציה הישראלית. אם אתם חלק מקבוצה זרה, המשרד בודק גם איך מדיניות הקבוצה משתלבת עם הדרישות בישראל. היקף העבודה הבינלאומית נקבע מראש, ובמידת הצורך היא נעשית בתיאום עם עורכי דין מקומיים.
שאלות נפוצות על תיקון 13, לפני שמתחילים
מה נקבל בתוך מספר ימי עסקים?
בתוך מספר ימי עסקים מהשלמת אבחון רמת האבטחה תקבלו חבילת מסמכי ציות מלאה לפי התכולה שסוכמה, בעריכה ובבדיקה משפטית אישית של עו״ד יריב קדם, לעיונכם ולאישורכם. זה מועד מסירת החבילה לבחינתכם, ולא בהכרח מועד השלמת הנוסחים הסופיים או היישום בארגון. אחרי המסירה עשויים להידרש תיקונים בעקבות ההערות שלכם, בדיקה של ההיבטים הטכנולוגיים בידי אנשי אבטחת המידע, אישורי הנהלה ופעולות יישום, והם מתקדמים לפי הממצאים, ההחלטות וזמינות הגורמים המעורבים.
מה פירוש ״חבילת ציות מלאה״?
חבילה שמכסה את כל התוצרים המשפטיים שנקבעו באבחון כנדרשים לפעילות הנכללת בחבילה שסוכמה איתכם. השלמות נבחנת לפי הצרכים והחובות של הפעילות שלכם, ולא לפי מספר קבוע של מסמכים. התכולה מפורטת מראש, והמסמכים נבדקים גם ביחס זה לזה.
כבר יש לנו מדיניות פרטיות וכמה נהלים. צריך להכין הכול מחדש?
המסמכים הקיימים שלכם הם חלק מהאבחון. המשרד בודק מה מתאים לפעילות ולדרישות, מה דורש עדכון ומה חסר, ומשלב את התוצאה בחבילה עקבית. הסדרים תקינים שכבר קיימים נשארים, וההכנה מתמקדת בהשלמות הנדרשות.
השירות מתאים גם לעסק קטן או לאתר אחד?
כן. אפשר להכין חבילה ממוקדת לעסק קטן, לאתר או לאפליקציה, לצד חבילות רחבות לחברות ולארגונים. האבחון קובע מה נדרש לפעילות שלכם ומה תהיה תכולת החבילה.
האם העסק שלנו חייב לרשום מאגר מידע?
אחרי תיקון 13 חובת הרישום חלה רק על שני סוגי מאגרים: מאגרים של גופים ציבוריים מהסוג הקבוע בחוק, למעט מאגר הכולל מידע אישי על עובדי הגוף הציבורי בלבד, ומאגרים שמטרתם העיקרית איסוף מידע אישי כדי למסור אותו לאחר כעיסוק או בתמורה, כשיש בהם מידע על יותר מ־10,000 בני אדם. בנפרד, מאגר שאינו חייב ברישום ובו מידע בעל רגישות מיוחדת על יותר מ־100,000 בני אדם מחייב הודעה לרשות. גם בלי רישום אתם כפופים לשאר החובות, כמו אבטחת מידע, יידוע, הגבלת השימוש וזכויות עיון ותיקון. באבחון המשרד בודק את כלל החובות הרלוונטיות לעניין.
האם אנחנו חייבים למנות ממונה על הגנת הפרטיות?
החובה חלה על גופים ציבוריים, למעט גוף ביטחוני, ועל מי שמחזיק עבורם במאגר מידע; על סוחרי מידע שבמאגר שלהם מידע על יותר מ־10,000 בני אדם; ועל בעלי שליטה ומחזיקים שעיסוקם העיקרי כרוך, בהיקף ניכר, בניטור שוטף ושיטתי של בני אדם או בעיבוד מידע בעל רגישות מיוחדת. אם אתם מעבדים מידע עבור גוף ציבורי, החובה עשויה לחול עליכם גם בלי היקף עיבוד ניכר. במסגרת האבחון המשרד בודק את החובה, וכשנדרש מינוי הוא מכין את המסמכים להסדרת התפקיד; איוש התפקיד עצמו נעשה בנפרד (לגילוי הדעת של הרשות בנושא מינוי ממונה).
לקוח שלח לנו DPA באנגלית שנכתב לפי ה־GDPR. אפשר פשוט לחתום?
בדקו לפני שאתם חותמים. נוסח שנכתב לפי הדין האירופי עשוי לכלול התחייבויות שלא מתאימות לשירות שלכם, ולהחסיר דרישות בדין הישראלי. המשרד בודק את הנוסח, מציע תיקונים ומלווה אתכם במשא ומתן, כשירות נפרד או כחלק מהחבילה.
מה נדרש מאיתנו אחרי קבלת החבילה?
תקבלו הנחיות לאימוץ הנהלים, לפרסום המסמכים הרלוונטיים, להשלמת חתימות ולביצוע הפעולות שהוגדרו. את ההתאמות הטכניות במערכות מבצעים אנשי הטכנולוגיה ואבטחת המידע שלכם, ואת ההחלטות והמינויים משלימים הגורמים המוסמכים בארגון. אפשר לכלול בהתקשרות גם הדרכות לעובדים וליווי בהטמעה.
כיצד מתחילים? באבחון רמת האבטחה
השאירו פרטי קשר ותיאור קצר של העסק, החברה, האתר או האפליקציה, וציינו אם יש לכם מועד יעד. המשרד יתאם איתכם אבחון, יגדיר את תכולת החבילה ויקבע את מועד המסירה.
פנו באמצעות הטופס בדף, בדואר אלקטרוני ל־office@kedem-law.co.il או דרך עמוד צור קשר. בשלב הפנייה אין צורך לשלוח מידע אישי של לקוחות, מאגרי מידע או מסמכים חסויים.
המידע בדף זה כללי ואינו מהווה ייעוץ משפטי לגבי פעילות מסוימת.
הלקוחות שלי
