הגנת הפרטיות, סייבר ואינטרנט בישראל: המדריך המלא למי שנפגע או נחשף
בעיה של פרטיות, סייבר או אחריות ברשת מתחילה בדרך כלל בשימור ראיות ובעצירת הנזק, ורק אחר כך בשאלה המשפטית. הדין בישראל כולל את חוק הגנת הפרטיות, תקנות אבטחת מידע, דיני לשון הרע ודיני הגנה על חשבונות ומחשבים. החובות והסעדים תלויים בסוג המידע, בצד שלכם ובמועדים, ולכן כדאי לקבל ייעוץ מוקדם.
אם אתם קוראים את המדריך הזה, סביר שמשהו כבר קרה. אולי חשבון נפרץ, אולי עסק גילה שמידע של לקוחות יצא החוצה, אולי מישהו פרסם עליכם תוכן שקרי או פוגעני, ואולי קיבלתם הודעה שנראתה אמיתית והעברתם כסף למי שלא הייתם צריכים. ואולי העסק שלכם פשוט אוסף מידע על אנשים ואתם רוצים להבין מה הדין דורש ממנו לפני שמשהו משתבש.
המדריך מיועד לאנשים פרטיים ולבעלי עסקים בישראל. הוא לא מחליף ייעוץ משפטי, והוא כתוב כדי שתבינו את המפה: מה הדין מכסה, מי הגורמים שמעורבים, מה בודקים בשעות הראשונות, אילו טעויות נפוצות כדאי למנוע ומתי כבר אי אפשר בלי עורך דין. אנחנו מציגים מידע כללי בלבד. הפרטים תלויים בעובדות של כל מקרה, ובכל מקום שבו מועד או רף חשובים, נאמר זאת במפורש במקום לנחש.
כך כדאי להשתמש בו. קראו קודם את החלק על גבולות התחום ועל מפת הדין, ואז עברו למצב שדומה לשלכם. אם יש דחיפות, קפצו לסעיף על הצעדים בארבעים ושמונה השעות הקרובות בסוף המדריך.
מה התחום כולל ומה לא
התחום המשפטי שעוסק בפרטיות, בסייבר ובאינטרנט מקבץ כמה שאלות שקשורות זו בזו. הוא כולל את הגנת הפרטיות והמידע האישי, את חובות האבטחה של מי שמחזיק מידע, את ההתמודדות עם אירועי סייבר כמו פריצה, כופרה והונאה מקוונת, ואת האחריות על תוכן שמפורסם ברשת, כולל לשון הרע, פרסום פוגעני והסרת תוכן.
הוא מתחבר לעוד כמה תחומים, וכדאי להבחין ביניהם. אם הבעיה היא סכסוך עם מעסיק, שכר או פיטורים, מדובר בדיני עבודה, גם אם הכול התחיל בניטור של מחשב עבודה. אם מדובר בקניין רוחני, למשל העתקה של תמונה או תוכנה, התחום הוא זכויות יוצרים וסימני מסחר. אם מדובר בהונאה שכוללת העברת כסף, יש גם היבט של דיני בנקאות ותשלומים ושל משפט פלילי. ואם מדובר בעסקה בין חברות על מערכת מידע, שירות ענן או תוכנה, זה חוזה מסחרי עם רכיב של הגנת מידע. בפועל, מקרים רבים נוגעים בכמה תחומים בבת אחת, וחלק מהעבודה הראשונה היא להבין איזה מהם מרכזי.
המדריך אינו עוסק בהגנה בהליך פלילי של מי שנחשד בעבירת סייבר, בדיני הגנת מידע של מדינות אחרות לעומק, או בפרטי ההוראות הטכניות של אבטחת מידע. הוא כן מזכיר שחברות שפועלות מול לקוחות מחוץ לישראל עשויות להיות כפופות גם לדין זר, ושזו שאלה לבדיקה נפרדת.
מפת הדין: מקורות, גופים וזירות
אין בישראל חוק אחד שמכסה את כל התחום. הדין מורכב ממקורות שונים, וכדאי להכיר את העיקריים שבהם בשמם.
חוק הגנת הפרטיות הוא המקור המרכזי. הוא אוסר פגיעה בפרטיות, קובע מהי פגיעה בפרטיות, מסדיר את ההחזקה והשימוש במאגרי מידע, ומקנה זכויות לאדם שמידע עליו נמצא במאגר. הוא עבר תיקון מקיף, תיקון מס' 13, שנכנס לתוקף ב־14 באוגוסט 2025. לפי הרשות להגנת הפרטיות, התיקון הרחיב את סמכויות האכיפה שלה, כולל הטלת עיצומים כספיים, צמצם משמעותית את חובת רישום מאגרי המידע במגזר הפרטי, קבע חובת מינוי ממונה על הגנת הפרטיות בגופים ציבוריים ובארגונים מסוימים, והוסיף עבירות פליליות הנוגעות למאגרי מידע. מי שמסתמך על ידע ישן צריך לבדוק את הנוסח העדכני.
תקנות הגנת הפרטיות (אבטחת מידע) מפרטות מה נדרש ממי שמחזיק מידע אישי מבחינת אבטחה, וכוללות דרישות שמשתנות לפי רמת האבטחה שחלה על המאגר, וכן חובת דיווח מיידי לרשות להגנת הפרטיות על אירוע אבטחה חמור במאגר שחלה עליו רמת אבטחה בינונית או גבוהה, כהגדרתן בתקנות.
חוק איסור לשון הרע קובע שפרסום לשון הרע לאדם או יותר זולת הנפגע הוא עוולה אזרחית, ומכיר בהגנות שונות לנתבע, בין השאר הגנת אמת בפרסום כשיש בו עניין ציבורי והגנת תום לב. הוא רלוונטי לפרסומים מזיקים ברשת.
חוק המחשבים, התשנ״ה-1995 כולל עבירות הנוגעות לחדירה לחומר מחשב שלא כדין ולשיבוש פעולתו התקינה של מחשב או של חומר מחשב. הוא רלוונטי כשמישהו פורץ לחשבון, למערכת או לתיבת דוא״ל.
חוק התקשורת (בזק ושידורים) כולל הגבלות על שליחת פרסומות בהודעות אוטומטיות, דוא״ל ו־SMS. חוק הגנת הצרכן חל על התנהלות של עוסק מול צרכנים. חוק שירותי תשלום, התשע״ט-2019 כולל פרק על שימוש לרעה באמצעי תשלום, שמסדיר את אחריות המשלם ואת חובת נותן שירותי התשלום להשיב סכומים. חוק תובענות ייצוגיות, התשס״ו-2006 מאפשר להגיש תובענה ייצוגית רק בעילות שהוא מונה בתוספת השנייה או כשחוק אחר קבע זאת במפורש, ומה שנכנס לכך בכל מקרה צריך להיבדק לגופו.
הגורמים המעורבים הם כמה. הרשות להגנת הפרטיות היא הגוף הממלכתי שאחראי על אכיפת הדין בתחום המידע האישי: היא מקבלת פניות ודיווחים, מפקחת, ובמקרים מסוימים מפעילה סמכויות אכיפה. מערך הסייבר הלאומי מפעיל מוקד 119, שאליו אפשר לדווח על אירוע סייבר ולקבל מענה מקצועי ראשוני. המוקד אינו מחליף דיווח למשטרה, ודיווח אליו אינו פוטר ארגון מחובת דיווח לרשות להגנת הפרטיות. משטרת ישראל מקבלת תלונות, ובכלל זה על עבירות לפי חוק המחשבים. רגולטורים ענפיים, כמו המפקח על הבנקים, מוסיפים הוראות על גופים מפוקחים, והרשות להגנת הפרטיות פרסמה הנחיה בעניין תחולת תקנות אבטחת המידע על גופים כאלה. בתי המשפט מכריעים בתביעות אזרחיות ובצווים. ולבסוף יש הפלטפורמות עצמן, כמו רשתות חברתיות, מנועי חיפוש וחברות אירוח, שמפעילות מנגנוני תלונה פנימיים משלהן.
מי מחליט מה? בית משפט מחליט בתביעה ובצו. הרשות להגנת הפרטיות מחליטה בעניינים הרגולטוריים שבסמכותה. הגורמים שמופקדים על האכיפה הפלילית מחליטים אם לחקור ולהעמיד לדין. פלטפורמה מחליטה בעצמה, לפי הכללים שלה, אם להסיר תוכן, והחלטתה אינה תחליף להכרעה משפטית. מי שמבקש סעד צריך להבין מראש באיזו זירה הוא פועל, כי לכל זירה כלים, קצב ועלות שונים.
מצב ראשון: דליפת מידע או אירוע סייבר בעסק
זו אחת הסיטואציות הדחופות ביותר. עובד לוחץ על קישור, מחשב ננעל, ספק מודיע שהמערכות שלו נפרצו, או שגורם חיצוני כותב שהוא מחזיק בנתוני הלקוחות שלכם ודורש תשלום.
מה בודקים קודם
העדיפות הראשונה היא לעצור את ההתפשטות: לנתק מערכות שנפגעו, להחליף סיסמאות, לבטל גישות ולסגור את הדרך שבה התוקף נכנס. במקביל חשוב לא למחוק ולא לשחזר מערכות לפני שנשמרו עותקים, יומני מערכת והודעות מקוריות. ללא ראיות קשה להבין מה קרה ומה נחשף, ובהמשך עשויים להידרש גם לרגולטור, למבטח ולבית המשפט.
אחר כך מבררים איזה מידע נחשף ושל מי. מידע בסיסי שונה ממידע רגיש, כמו מידע רפואי או פיננסי, והבדל זה משפיע על חובות הדיווח ועל חומרת האירוע. כדאי גם לבדוק אם המידע שייך לכם או מוחזק אצלכם עבור לקוח, כי אז ייתכנו חובות חוזיות כלפיו.
חובות ושיקולים משפטיים
לפי תקנות אבטחת המידע, בעל שליטה במאגר מידע, וגם מי שמחזיק במאגר עבורו, שחלה עליו רמת אבטחה בינונית או גבוהה, חייב להודיע לרשות להגנת הפרטיות באופן מיידי על אירוע אבטחה חמור ולדווח על הצעדים שנקט. הרשות מבהירה ש"מיידי" פירושו בסמוך ככל האפשר למועד הגילוי וללא דיחוי בנסיבות העניין, ושדיווח של אחד מהם מספיק לצורך כולם. הרשות גם רשאית להורות לבעל המאגר להודיע על האירוע לנפגעים, והיא שוקלת זאת בכל מקרה לגופו. אי־דיווח מיידי עלול להוביל לצעדי אכיפה, לרבות עיצומים כספיים. ההגדרות של רמת האבטחה ושל אירוע חמור טכניות, ולכן חשוב לבדוק אותן מול עורך דין בימים הראשונים. מי שמסתפק בדיווח למערך הסייבר או למשטרה לא קיים בכך את חובת הדיווח לרשות. ייתכנו גם חובות הודעה לפי חוזים, למשל מול לקוחות עסקיים ומול מבטח הסייבר. מועדי הודעה בפוליסות ובחוזים הם לרוב קצרים וקפדניים, ופספוס שלהם עלול לפגוע בכיסוי.
טעויות נפוצות
- למחוק או לאפס מערכות לפני שימור ראיות.
- לפרסם הודעה לציבור שהיא מדויקת רק בחלקה, ולתקן אותה שוב ושוב.
- לשלם כופר לפני שבדקתם מה הסיכונים ומה אומרת הפוליסה.
- להתקשר לתוקף או לנהל עימו משא ומתן בלי ליווי מקצועי.
- לא לתעד מי החליט מה ומתי.
הצעד הריאלי הבא
הרכיבו צוות קטן שכולל מי שאחראי על הטכנולוגיה, מי שמחליט בשם העסק ועורך דין, ופתחו יומן אירוע. החליטו מה נעשה בתוך הימים הראשונים ומי מדבר מול גורמים חיצוניים.
מצב שני: העסק אוסף מידע ורוצה לעמוד בדין
לא כל עסק פוגש את הדין אחרי אירוע. עסקים רבים אוספים מידע על לקוחות, עובדים ומועמדים לעבודה: טפסי יצירת קשר, חנות מקוונת, מערכת לניהול לקוחות, מצלמות, רשימות תפוצה. מי שאוסף מידע אישי חשוף לחובות גם בלי שאירע דבר.
מה בודקים קודם
התחילו במיפוי: איזה מידע אתם אוספים, מאיפה, לאיזו מטרה, היכן הוא נשמר, מי ניגש אליו, ולמי הוא מועבר. מיפוי כזה מגלה לעיתים מאגרים שלא ידעתם שקיימים, כמו גיליון שנשמר אצל עובד או מערכת ענן שנפתחה בניסיון.
בהמשך בודקים אם המידע הוא רגיש (החוק מונה סוגי מידע בעלי רגישות מיוחדת, ובהם מידע רפואי, מידע על נתוני שכר ופעילות פיננסית ומידע ביומטרי), אם נדרש רישום או הודעה על המאגר או מינוי של ממונה על הגנת הפרטיות, אילו הסכמות נאספו מהנרשמים, ומה כתוב במדיניות הפרטיות שלכם. מדיניות שמבטיחה מה שהעסק לא עושה בפועל יוצרת חשיפה, ולכן כדאי שהיא תתאים למה שנעשה בפועל.
ספקים וצדדים שלישיים
כמעט כל עסק מעביר מידע לספקים: שירות ענן, דיוור, הנהלת חשבונות, מוקד שירות. תקנות אבטחת המידע מטילות חלק מהחובות גם על מי שמחזיק את המאגר עבור בעל השליטה, והרשות מציינת שבעל המאגר קובע בהסכם עם המחזיק את אופן יישום חובותיו. לכן כדאי להגביל בחוזה את השימושים של הספק במידע ולהסדיר מה קורה בסיום ההתקשרות. לפעמים הספק נמצא מחוץ לישראל, ואז עולה גם שאלת הדין החל. חוזה עם ספק צריך לכלול הוראות על אבטחה, על דיווח באירוע, על מחיקת מידע ועל אחריות.
טעויות נפוצות
- העתקה של מדיניות פרטיות מאתר אחר בלי לבדוק שהיא מתאימה לפעילות בפועל.
- שמירת מידע לתקופה בלתי מוגבלת, רק למקרה שיהיה בו צורך.
- מתן גישה רחבה לכל העובדים למידע שדרוש רק לחלקם.
- אי־עדכון של נוהלי אבטחה אחרי שהעסק גדל או שינה כלי עבודה.
הצעד הריאלי הבא
כתבו עמוד אחד שמסכם את המיפוי, והעבירו אותו לעורך דין כדי שיבדוק אילו חובות חלות עליכם בפועל. זה בסיס טוב גם לנוהל פנימי ולחוזים עם ספקים.
מצב שלישי: פגיעה בפרטיות שלכם כאדם פרטי
מישהו צילם אתכם והפיץ, פרסם פרטים אישיים, קיבל גישה למידע שלכם בלי רשות, מצלם מהשכנות לתוך הבית, או שהמידע שלכם הופיע בעמוד שלא ביקשתם. אלה מצבים שבהם הזכות לפרטיות, שהחוק מכיר בה במפורש, מתנגשת עם חופש הביטוי, עם האינטרס של הצד השני או עם עניין ציבורי.
מה בודקים קודם
מה בדיוק פורסם או נאסף, ומי עשה זאת. האם יש הסכמה, אפילו מרומזת, למשל כשהצילום נעשה במקום ציבורי או באירוע משותף. האם מדובר בעניין שיש בו עניין ציבורי אמיתי, כי הדין מכיר בהגנות כאלה, אבל הן מצומצמות, ולא כל סקרנות מקנה אותן. ובעיקר: האם המידע נשאר בפרטיות, או כבר התפשט.
חוק הגנת הפרטיות קובע שפגיעה בפרטיות היא עוולה אזרחית, וקובע גם שהפוגע במזיד בפרטיות זולתו באחת הדרכים המנויות בחוק עושה עבירה פלילית. סעיף 2 לחוק מונה מהי פגיעה בפרטיות, ובין השאר בילוש או התחקות העלולים להטריד, צילום אדם כשהוא ברשות היחיד ופרסום תצלומו ברבים בנסיבות שעלולות להשפילו. אין תשובה אחת שמתאימה לכולם: מה שאפשר להשיג תלוי בנסיבות, בראיות ובהגנות שיטענו נגדכם, ובהן הגנות לפי סעיף 18 לחוק, כמו תום לב או עניין ציבורי המצדיק את הפגיעה.
מצלמות, שכנים ומרחב משותף
מצלמות אבטחה הן מקור נפוץ לסכסוכים. מי שמתקין מצלמה שמתעדת את הכניסה לבית של אחר, או שטח משותף בבניין, עלול לפגוע בפרטיות, שהרי צילום אדם כשהוא ברשות היחיד הוא אחת הדרכים שהחוק מגדיר כפגיעה בפרטיות. וגם מי שהוצבו מולו מצלמות צריך לבדוק קודם מה מצולם בפועל ומי שולט בחומר. כדאי לתעד זווית צילום בצילומי מסך או בתמונות, לפנות בכתב בקשה ברורה, ורק אחר כך לשקול הליך.
טעויות נפוצות
- להשיב בפרסום נגדי שפוגע בפרטיות של הצד השני ויוצר לכם חשיפה.
- למחוק הודעות או חומר שמהווים ראיה.
- להתקין מצלמה "בתגובה" בלי לבדוק את הדין.
- לפעול לבד בפריצה למכשיר או לחשבון של הצד השני כדי "להוכיח".
הצעד הריאלי הבא
שמרו תיעוד, פנו בכתב וברוגע לצד השני או לפלטפורמה, וקבלו הערכה מקצועית אם הפגיעה חמורה, חוזרת או כוללת מידע רגיש.
מצב רביעי: תוכן כוזב או פוגעני ברשת
ביקורת שקרית בגוגל על העסק, פוסט שמאשים אתכם במעשה שלא עשיתם, קבוצת וואטסאפ או רשת חברתית שבהן מפיצים עליכם סיפורים, חשבון אנונימי שמטריד. מתחילים מדברים פשוטים, והם קובעים הרבה.
מה בודקים קודם
שמרו את התוכן כמות שהוא: צילום מסך שמראה את העמוד, התאריך והכתובת, קישור, ושם המפרסם כפי שמופיע. אם הדבר עלול להימחק, שקלו לתעד בדרך מסודרת יותר. שמרו גם ראיות לנזק, כמו לקוחות שביטלו או הודעות שקיבלתם.
אחר כך הבינו מה סוג התוכן: קביעה עובדתית כוזבת, דעה או ביקורת כנה, אמת לא נעימה, מידע פרטי, או איום והטרדה. כל סוג מוביל לדרך אחרת. דיני לשון הרע מכירים בהגנות, בין השאר הגנת אמת בפרסום כשיש בו עניין ציבורי, ולכן לא כל ביקורת קשה היא עילה לתביעה.
מסלולי הפעולה
יש כמה מסלולים, וכדאי לשקול אותם לפי סדר. אפשר לפנות למפרסם בבקשה להסיר או לתקן. אפשר להשתמש במנגנון התלונה של הפלטפורמה, שפועל לפי כללים משלה ולא בהכרח לפי הדין הישראלי. אפשר לשלוח מכתב התראה דרך עורך דין. ואפשר לפנות לבית משפט: החוק מקנה לבית המשפט סמכות לצוות, בין השאר, על פרסום תיקון או הכחשה של דבר המהווה לשון הרע ועל פרסום פסק הדין, ולפסוק פיצוי גם ללא הוכחת נזק בסכום שהחוק מגביל. כשהמפרסם אנונימי, כדאי להתייעץ עם עורך דין על האפשרויות העומדות לרשותכם, ולא לנסות לזהות אותו בכוחות עצמכם. לכל מסלול יש מגבלות זמן ועלויות, וחשוב לברר אותן מראש.
טעויות נפוצות
- להגיב בכעס בפומבי ולהוסיף עוד תוכן שיכול לשמש נגדכם.
- לאיים בתביעה בלי לבדוק אם יש עילה.
- לנסות לגלות את זהות המפרסם בדרכים פסולות.
- להתעכב, ואז לגלות שמועד מסוים חלף או שהראיות נעלמו.
הצעד הריאלי הבא
אספו את החומר, סווגו אותו, והחליטו עם עורך דין אם להתחיל בפנייה לא פורמלית או בהליך משפטי. פנייה מנוסחת היטב עוד לפני שהוגשה תביעה פותרת לא מעט מקרים, אך אין לצפות לכך מראש.
מצב חמישי: פריצה, פישינג, הונאה וגניבת זהות
הודעה שנראית כמו הודעה מהבנק או משליח, שיחה מגורם שמתחזה, חשבון שנפרץ, כרטיס אשראי שחויב בלי ידיעתכם, או עסקה שבוצעה בשמכם. בשנים האחרונות הונאות כאלה נעשו משכנעות יותר, וגם מי שזהיר נופל בהן.
מה עושים בשעות הראשונות
פנו מיד לבנק או לחברת האשראי בערוץ רשמי, בטלפון שמופיע על הכרטיס או באפליקציה, וביקשו לעצור או לבטל את הפעולה ולחסום אמצעי תשלום. חשוב לא להשתמש בקישור או במספר שבהודעה החשודה. שנו סיסמאות מהתקן נקי, הפעילו אימות דו־שלבי, ובדקו אם נוצרו כללי העברה או חשבונות חדשים בתיבת הדוא״ל שלכם.
שמרו את ההודעה, את הקישור, את מספר השולח ואת פרטי ההעברה. הגישו תלונה במשטרה, וכשמדובר בחשש לגניבת זהות שקלו להודיע גם לגורמים שמחזיקים מידע אשראי עליכם.
זכויות מול הבנק
חוק שירותי תשלום קובע בפרק על שימוש לרעה באמצעי תשלום שהמשלם אינו אחראי לשימוש לרעה שנעשה לאחר שמסר הודעה לנותן שירותי התשלום, ושעל שימוש שנעשה לפני ההודעה הוא אחראי עד סכום מוגבל בחוק. החוק גם קובע שנותן שירותי התשלום ישיב את סכום החיוב בהקדם האפשרי ולא יאוחר משמונה ימי עסקים מיום ההודעה, ויש לכך חריגים: למשל, מי שהעמיד את הרכיב החיוני של אמצעי התשלום לרשותו של אדם אחר עשוי לשאת באחריות רחבה יותר. לכן החלוקה תלויה בנסיבות, ומועד ההודעה קריטי. בנק ישראל מבהיר שמי שסבור שנעשה בכרטיסו שימוש ללא הסכמתו צריך להודיע מיד לחברת כרטיסי האשראי, ולכן עדיף לפנות מיד ובכתב. אם הבנק דוחה את הפנייה, אפשר לבקש את החלטתו בכתב ולשקול פנייה לגורם מוסמך או לעורך דין.
עסקים והונאות
עסקים נתקלים גם בהונאות של מנהלים מתחזים, שבהן מגיעה הודעה שנראית כאילו נשלחה ממנהל ודורשת העברה דחופה, ובהחלפת פרטי חשבון בנק בחשבונית. נוהלי אישור כפול והפרדת סמכויות מצמצמים את הסיכון, ובדיעבד הם גם ראיה לכך שנקטתם אמצעי זהירות.
טעויות נפוצות
- להתבייש ולא לדווח, וכך לאבד זמן יקר.
- להמשיך לשוחח עם הנוכל ולהעביר עוד כסף "כדי להחזיר".
- לשלם למי שמציע "להחזיר את הכסף בתשלום מראש".
הצעד הריאלי הבא
דווחו לבנק ולמשטרה, חסמו חשבונות, והחליטו אם הנזק מצדיק התייעצות משפטית, בעיקר אם יש סכסוך עם הבנק או עם גורם שלישי על אחריות.
מצב שישי: שיווק, מעקב ונוהלי עבודה
שתי סוגיות נוספות פוגשות עסקים רבים. הראשונה היא שיווק ישיר: הודעות דוא״ל, SMS ומסרים אוטומטיים אחרים. סעיף 30א לחוק התקשורת (בזק ושידורים) אוסר על מפרסם לשגר דבר פרסומת בפקסימיליה, במערכת חיוג אוטומטי, בהודעה אלקטרונית או בהודעת מסר קצר ללא הסכמה מפורשת מראש בכתב מהנמען, בכפוף לסייגים שבחוק. החוק גם דורש שהפרסומת תזוהה ככזו ושתהיה בה דרך פשוטה וסבירה לשלוח הודעת סירוב. הפרת האיסור היא גם עוולה אזרחית שאפשר לתבוע עליה, ואפשר להגיש בגינה תובענה ייצוגית. לפני שליחה רחבה בדקו איך הרשימה נבנתה, מה הסכימו הנרשמים ואיך אפשר להסיר אותם. רשימה שנרכשה או הועתקה היא סיכון.
השנייה היא מעקב אחרי עובדים: מערכות ניטור, מצלמות, מעקב מיקום ברכבי חברה וקריאת הודעות. שיקולי הפרטיות ושיקולי עבודה נפגשים כאן. לפי הנחיית הרשות להגנת הפרטיות בנושא מעקב אחר עובדים, שימוש באמצעי מעקב צריך להיעשות באופן סביר ומידתי, לצורך מטרה לגיטימית, תוך יידוע העובדים בכתב ובשקיפות, ותוך בחירת האמצעי שפוגע בפרטיות במידה הפחותה ביותר. לפי ההנחיה, אמצעים שפגיעתם בפרטיות גבוהה במיוחד מותרים רק במקרים חריגים שבהם יש תכלית מקצועית ספציפית. מעסיק שמטמיע ניטור צריך לכתוב נוהל, ולעדכן את העובדים. עובד שחושש שהניטור חרג צריך לבקש את הנוהל בכתב, לתעד מה קרה, ולהתייעץ לפני שהוא מעתיק חומרים או מתעמת, כי גם פעולה כזאת עלולה לפגוע בעמדתו.
מדיניות עוגיות, אתרים ואפליקציות
מי שמפעיל אתר או אפליקציה אוסף לרוב מידע בלי שהוא שם לב: כלי ניתוח, פיקסלים שיווקיים, טפסים. כדאי לוודא שמה שכתוב במדיניות הפרטיות ובהודעות הסכמה משקף את מה שקורה בפועל. פער בין השניים הוא חשיפה שכדאי להימנע ממנה.
מצב שביעי: אתם רוצים לדעת מה יש עליכם, לתקן או למחוק
לא תמיד יש אירוע. לפעמים אדם רוצה לדעת איזה מידע מחזיקה עליו חברה, בנק, מעסיק או גוף אחר, לתקן מידע שגוי, או לבקש שיפסיקו להשתמש בו. סעיף 13 לחוק הגנת הפרטיות קובע שכל אדם זכאי לעיין במידע האישי שעליו המוחזק במאגר מידע, וסעיף 14 קובע שמי שמצא שהמידע אינו נכון, שלם, ברור או מעודכן רשאי לפנות לבעל השליטה במאגר בבקשה לתקן את המידע או למחוק אותו. בעל השליטה שמסרב צריך להודיע על כך למבקש. יש חריגים, למשל מידע החוסה תחת חיסיון לפי דין, מידע רפואי או נפשי שעלול לגרום נזק חמור, ומאגרים מסוימים של רשויות הביטחון.
מה בודקים קודם
מי הגוף שמחזיק את המידע, ואיזה מידע אתם מבקשים. האם הוא אמור להיות אצלו בכלל, והאם נתתם הסכמה לאיסוף. כדאי לבדוק גם אם הגוף הציג מדיניות פרטיות, ומה היא אומרת על פניות של נושאי מידע.
איך פונים
פנו בכתב, בצורה ברורה ומנומסת, לכתובת שמצוינת במדיניות הפרטיות או לממונה על הפרטיות אם יש כזה. פרטו מה אתם מבקשים, צרפו אמצעי זיהוי לפי הצורך, ושמרו עותק. אם לא קיבלתם מענה סביר, אפשר לשקול פנייה לרשות להגנת הפרטיות, ובמקרים מתאימים הליך משפטי. החוק מאפשר לבית המשפט לפסוק פיצויים שאינם תלויים בנזק, בסכום מוגבל, על הפרה של זכות העיון או התיקון. מועדי התגובה ותנאי הבקשה נקבעים בתקנות ובמסמכים של הגוף שאליו פניתם.
מידע שהופיע בחיפוש ברשת
כשמידע ישן או מזיק מופיע בתוצאות חיפוש, יש מי שמבקשים להסיר אותו. האפשרויות משתנות: פנייה למי שפרסם, ופנייה למנוע החיפוש לפי מנגנון הבקשות שלו. אל תניחו שהבקשה תתקבל, כי התשובה תלויה בנסיבות ובמדיניות של מנוע החיפוש. חשוב להבין שהסרה מתוצאות חיפוש אינה מוחקת בהכרח את התוכן עצמו, ושלשאלה אם יש בסיס משפטי לדרוש הסרה מומלץ לקבל הערכה של עורך דין.
טעויות נפוצות
- לפנות בלשון חריפה ובאיומים לפני שבדקתם מה הגוף חייב לכם.
- לבקש מחיקה של מידע שהגוף חייב לשמור לפי דין אחר, ואז להתאכזב.
- לשכוח שהפנייה עצמה היא מסמך ששווה לשמור.
הצעד הריאלי הבא
כתבו פנייה קצרה, שמרו את התכתובת, ואם אין מענה או שהמענה אינו מספק, בקשו הערכה משפטית לפני שפונים לרגולטור או לבית משפט.
פעילות מחוץ לישראל, חוזים וביטוח
הרשת אינה מכירה בגבולות, והדין כן. עסק ישראלי שמשרת לקוחות בחו״ל, שומר מידע בשרתים זרים או משתמש בספקים בינלאומיים עשוי להיות כפוף גם לדין של מדינה אחרת. שאלות של סמכות שיפוט ושל הדין החל הן מורכבות, ולכן כדאי לא להניח תשובה, ולבדוק אותה לפני שמתחייבים בחוזה או מגיבים לתביעה.
חוזים קובעים הרבה. בהסכמים עם לקוחות עסקיים ועם ספקים כדאי לבדוק מי אחראי לאבטחת המידע, מהו המועד להודעה על אירוע, מה מותר לספק לעשות במידע, איך מוחקים אותו בסוף ההתקשרות, ואיך מוגבלת האחריות. סעיפי שיפוי והגבלת אחריות יכולים לקבוע מי יישא בנזק, וטעות בהם עולה ביוקר. גם תנאי השימוש באתר, המדיניות ומסמכי ההסכמה הם חלק מהחוזה מול הצרכן.
ביטוח סייבר, למי שיש, הוא חלק מהתמונה. הפוליסה עשויה להגדיר מי הגורמים שמותר להיעזר בהם בטיפול באירוע, מתי חייבים להודיע, ומה אינו מכוסה. לכן כדאי לקרוא אותה לפני שאירוע קורה, ולא אחריו, ולוודא שמה שהוצהר למבטח בעת רכישתה מדויק.
התהליך צעד אחר צעד
כל מקרה שונה, אבל לרוב אפשר לזהות רצף. אנחנו לא מציינים משכי זמן, כי הם משתנים מאוד ממקרה למקרה.
- היום הראשון: עוצרים ומשמרים. עוצרים את הנזק, מתעדים, שומרים ראיות ולא מתקנים ולא מוחקים לפני שיש עותק.
- סיווג ראשוני. מבררים אם מדובר באירוע אבטחה, בפגיעה בפרטיות, בתוכן כוזב, בהונאה או בכמה מהם, ומי הצדדים.
- בדיקת חובות ומועדים. מי צריך לדעת: רגולטור, לקוחות, מבטח, בנק, משטרה. מה המועדים הקצרים והקפדניים שחלים, אם יש.
- הערכת אפשרויות. פנייה לא פורמלית, תלונה, מכתב התראה, הליך אזרחי, תלונה פלילית. לכל אחת יתרונות, עלויות וסיכונים.
- תקשורת. מי מדבר עם מי, ומה אומרים. לשון זהירה ומדויקת חשובה במיוחד כשהעובדות עדיין מתבררות.
- פעולה. שליחת מכתב, הגשת תלונה, בקשה לצו או הליך מול הפלטפורמה.
- הליך מול הצד האחר או מול בית המשפט. משא ומתן, גישור או תביעה. חלק מהמקרים מסתיימים בהסכמה, וחלק נמשכים הרבה זמן.
- לקחים ותיקון. אחרי שהאירוע נסגר מעדכנים נהלים, חוזים ומדיניות כדי להקטין סיכון עתידי.
מה משפיע על העלות ועל משך הזמן
לא נציג כאן סכומים או לוחות זמנים, כי כל מקרה שונה, אבל אפשר להצביע על הגורמים העיקריים.
- דחיפות. מקרה שדורש פעולה מיידית, כמו צו זמני או ניהול אירוע בזמן אמת, שונה ממקרה שאפשר לטפל בו בנחת.
- מורכבות עובדתית. כמה צדדים, כמה מערכות, כמה מדינות, וכמה חומר צריך לבדוק.
- הצורך במומחים. חקירה דיגיטלית או ייעוץ סייבר מצטרפים לעיתים לעבודה המשפטית.
- עמדת הצד השני. צד שמוכן לשוחח מקצר את הדרך, וצד שמתנגד מאריך אותה.
- הזירה. פנייה לפלטפורמה, תלונה לרגולטור או הליך בבית משפט שונים בקצב ובעלות.
- גודל הנזק והסיכון. ככל שהפגיעה רחבה יותר, כך גדלים הצורך בטיפול זהיר והסיכוי להתדיינות.
- איכות ההכנה. חומר מסודר מקצר זמן ומוזיל את הבדיקה הראשונית.
כדאי לבקש מעורך הדין בשיחה הראשונה הסבר על שיטת התמחור, על הוצאות נלוות כמו אגרות ומומחים, ועל נקודות ההחלטה שבהן תוכלו לעצור.
מסמכים וראיות לאסוף
ככל שתאספו חומר מוקדם יותר, כך קל יותר לבדוק את המקרה. רשימה כללית:
- ציר זמן כתוב: מה קרה, מתי גיליתם, מי ידע ומה נעשה.
- צילומי מסך עם תאריך וכתובת, וקישורים מדויקים.
- הודעות ודוא״ל מקוריים, כולל פרטי השולח והכותרות הטכניות כשאפשר.
- יומני מערכת ועותקים של מכשירים או שרתים מושפעים, ללא שינוי.
- חוזים עם ספקים, לקוחות ומעסיקים, כולל נספחי אבטחה והוראות לטיפול במידע.
- מדיניות הפרטיות, נוהלי אבטחה ונהלי עבודה, כולל גרסאות קודמות.
- הפוליסות הרלוונטיות, כמו ביטוח סייבר, וההודעות שנשלחו למבטח.
- אישורים מהבנק או מחברת האשראי, פרטי העברות והתכתובת איתם.
- ראיות לנזק: הפסדים, ביטולים, הוצאות, פנייה של אנשים שנחשפו.
- תיעוד של ניסיונות קודמים לפנות לצד השני או לפלטפורמה.
שמרו עותקים במקום נפרד מהמכשיר או מהמערכת שנפגעו, ורשמו מי העתיק ומתי.
טעויות נפוצות ודגלים אדומים
- לפעול לפני שמשמרים ראיות. מחיקה, ניקוי ושחזור מהירים עלולים לאבד את מה שהיה צריך להוכיח.
- להתעלם ממועדים. מועדים קצרים ומתישנים של תביעות, דיווחים והודעות למבטח הם סיכון שקט.
- לדבר יותר מדי. הודעה פומבית או תגובה בפלטפורמה יכולות לשמש נגדכם.
- לעשות צדק עצמי. פריצה לחשבון של מי שפגע בכם או הפצת פרטיו הן פעולות שעלולות להפוך אתכם לצד המפר.
- להסתמך על מדיניות מועתקת. נוסח שלא תואם את הפעילות הוא חשיפה, לא הגנה.
- לשלם למי שמבטיח תוצאה. מי שמציע להסיר כל תוכן או להחזיר כסף תמורת תשלום מראש נחשד כהונאה נוספת.
- להניח שהספק אחראי לבדו. העסק שמחזיק את המידע נשאר בדרך כלל אחראי גם כשהאירוע התרחש אצל ספק.
- לא להודיע למבטח. מי שמחכה, מסתכן בפגיעה בכיסוי.
דגל אדום נוסף הוא לחץ מהצד השני לפעול מיד, בלי לאפשר לכם לבדוק. בהונאות ובסחיטה לחץ כזה הוא כלי העבודה העיקרי.
מתי נחוץ עורך דין ואיך בוחרים
לא כל מקרה מצריך עורך דין מהיום הראשון, אבל יש מצבים שבהם כדאי לא לחכות. כשיש אירוע אבטחה שעלול לחייב דיווח או הודעה לנפגעים, כשיש איום בתביעה או מכתב התראה, כשיש סחיטה או הונאה בהיקף משמעותי, כשרוצים הסרת תוכן או גילוי זהות של מפרסם אנונימי, כשיש דרישה של רגולטור, וכשצריך לכתוב או לבדוק חוזה עם ספק או מדיניות פרטיות של עסק. התייעצות מוקדמת עולה לרוב פחות מתיקון של טעות שנעשתה בדרך.
איך בוחרים
חפשו עורך דין או משרד שיש להם ניסיון רלוונטי בתחום הספציפי שלכם, ולא רק היכרות כללית עם משפט אזרחי. בדקו שהוא מסביר בבהירות את האפשרויות ואת הסיכונים, ולא רק את הצד האופטימי. ודאו שהוא עובד, כשצריך, עם מומחי סייבר וחקירה דיגיטלית, ושהוא מדבר על סודיות וניהול החומר הרגיש שתעבירו אליו. אין להסתמך על הבטחות לתוצאה: עורך דין אחראי לא מבטיח אותה.
שאלות לפגישה הראשונה
- איזה ניסיון יש לכם במקרים מהסוג הזה, ומה אינכם עושים?
- מה לדעתכם המועדים החשובים, ומה בודקים כדי לוודא אותם?
- אילו חלופות יש להליך בבית משפט, ומה היתרונות והחסרונות של כל אחת?
- מי יטפל בתיק בפועל, ומי יהיה איש הקשר שלי?
- איך מתומחר הטיפול, אילו הוצאות צפויות ומתי נחליט ביחד אם להמשיך?
- איך תשמרו על סודיות החומר, ואיך אשמור אתכם מעודכנים?
- מה אני יכול לעשות מיד כדי לא לפגוע בעמדה שלי?
בכל המצבים שתוארו כאן חוזרת אותה אבחנה: מה שאפשר לעשות לבד בשלב הראשון הוא לתעד, לעצור ולשמור על קור רוח, ומה שדורש שיקול משפטי הוא ההחלטה אם לדווח, למי, ובאילו מילים. מי שמפריד בין שני אלה חוסך לעצמו טעויות רבות.
מילון מונחים קצר
- מידע אישי (Personal Data): מידע שמתייחס לאדם מסוים או לאדם שאפשר לזהות. חלק מהמידע, כמו מידע רפואי, נחשב רגיש ונדרשת בו זהירות רבה יותר.
- מאגר מידע (Database): לפי חוק הגנת הפרטיות, אוסף פרטי מידע אישי המעובד באמצעי דיגיטלי, למעט חריגים שהחוק מונה, כמו אוסף לשימוש אישי שאינו למטרות עסק. לחוק כללים על אבטחה ועל זכויות נושאי המידע, וכללי הרישום צומצמו בתיקון מס' 13.
- אירוע אבטחת מידע (Security Incident): מצב שבו מידע נחשף, אבד או שונה שלא כדין. לא כל אירוע חייב דיווח: חובת הדיווח לרשות חלה על אירוע אבטחה חמור, כהגדרתו בתקנות.
- פישינג (Phishing): הודעה שמתחזה לגורם אמין כדי לגרום לכם למסור מידע או להעביר כסף.
- כופרה (Ransomware): תוכנה שנועלת מידע ודורשת תשלום כדי לשחררו.
- לשון הרע (Defamation): פרסום שעלול לפגוע בשמו הטוב של אדם. קיימות הגנות, ולכן לא כל פרסום פוגעני הוא לשון הרע.
- צו זמני (Interim Injunction): החלטה של בית משפט ששומרת על מצב עד שיוכרע ההליך.
- אימות דו־שלבי (Two-Factor Authentication): אימות שדורש מעבר לסיסמה גם אמצעי נוסף.
- תובענה ייצוגית (Class Action): תביעה שמוגשת בשם קבוצה של אנשים שנפגעו באופן דומה, רק בעילות ובתנאים שחוק תובענות ייצוגיות קובע.
- מבטח סייבר (Cyber Insurer): חברת ביטוח שמכסה, לפי תנאי הפוליסה, חלק מהנזקים והעלויות של אירוע סייבר.
48 השעות הקרובות: צעדים ראשונים
- עצרו את הנזק. נתקו מערכות, החליפו סיסמאות, חסמו אמצעי תשלום, ובקשו מהפלטפורמה לשים לב לתוכן.
- שמרו ראיות. צלמו, העתיקו ותעדו, ואל תמחקו או תשחזרו לפני כן.
- כתבו ציר זמן. מה קרה, מתי, מי יודע ומה נעשה עד כה.
- הודיעו לגורמים הרלוונטיים. בנק או חברת אשראי, מבטח, ובמקרים מתאימים משטרה. בדקו אם יש חובת דיווח לרגולטור.
- הימנעו מתגובות פומביות ומעימות. תגובה נחפזת עלולה להזיק.
- אספו את המסמכים. חוזים, נהלים, פוליסות והתכתובת.
- פנו להתייעצות מוקדמת. כשיש חשש לחובת דיווח, להליך או לנזק משמעותי, כדאי לפנות לעורך דין בתחום.
אם תרצו ליווי, CoPartner AI מחברת בין אנשים ועסקים לבין עורכי דין מתאימים ברשת שלה. המדריך הזה הוא מידע כללי ואינו ייעוץ משפטי. הטענות המשפטיות בו נבדקו מול מקורות רשמיים שפורסמו (אתרי הממשלה, הכנסת ומאגר החקיקה), ואינן בדיקה של עורך דין. רשימת המקורות מופיעה בראש המדריך.
שאלות נפוצות
נפרצה לי תיבת הדוא״ל או חשבון ברשת חברתית, מה עושים קודם?
שמרו תיעוד של מה שקרה (הודעות, התראות, שעות), החליפו סיסמאות מהתקן נקי והפעילו אימות דו־שלבי. פנו לשירות עצמו בערוץ ההשבה הרשמי ובדקו אם נשלחו הודעות בשמכם. אם נגרם נזק כספי או שיש סחיטה, שקלו תלונה במשטרה וייעוץ משפטי.
האם עסק חייב לדווח על כל דליפת מידע?
לא בכל אירוע. לפי תקנות אבטחת המידע, בעל שליטה במאגר שחלה עליו רמת אבטחה בינונית או גבוהה חייב להודיע לרשות להגנת הפרטיות באופן מיידי על אירוע אבטחה חמור. הרשות גם רשאית להורות על הודעה לנפגעים. בדקו עם עורך דין מה חל עליכם לפני שמחליטים אם ולמי לפנות.
מישהו פרסם עליי דבר כוזב ברשת, האם אפשר לדרוש הסרה?
אפשר לפנות למפרסם ולפלטפורמה, ובמקרים מתאימים גם לבית משפט. לפי חוק איסור לשון הרע, פרסום לשון הרע הוא עוולה אזרחית, ובית המשפט מוסמך בין השאר לצוות על פרסום תיקון או הכחשה. אם הפרסום נחשב לשון הרע תלוי בנוסח, בהקשר ובהגנות שהחוק מכיר, כמו אמת בפרסום כשיש בו עניין ציבורי. שמרו ראיות לפני כל פנייה, והתייעצו מוקדם.
האם אפשר לגלות מי עומד מאחורי חשבון אנונימי?
אל תנסו לזהות אדם בדרכים פסולות כמו פריצה או התחזות: חדירה לחומר מחשב שלא כדין היא עבירה לפי חוק המחשבים, וזה עלול להפוך אתכם לצד שפועל שלא כדין. אם הפרסום פוגע בכם, שמרו ראיות והתייעצו עם עורך דין על האפשרויות החוקיות העומדות לרשותכם.
האם חייבים לרשום מאגר מידע ברשות להגנת הפרטיות?
תיקון מס' 13 לחוק הגנת הפרטיות צמצם משמעותית את חובת רישום מאגרי המידע במגזר הפרטי, אך נותרו חובות אחרות, למשל חובת הודעה על מאגרים גדולים עם מידע רגיש במיוחד, חובת מינוי ממונה על הגנת הפרטיות בגופים מסוימים וחובת רישום בגופים ציבוריים ובמי שעוסק בסחר במידע. אל תניחו שאתם פטורים: בדקו את מצב המאגר שלכם מול הדין העדכני.
קיבלתי הודעה ממספר שמתחזה לבנק או לשליח והעברתי כסף, מה עושים?
פנו מיד לבנק או לחברת האשראי בערוץ הרשמי וביקשו לעצור או לבטל את הפעולה. שמרו את ההודעה, את הקישור ואת פרטי ההעברה, והגישו תלונה במשטרה. לפי חוק שירותי תשלום, המשלם אינו אחראי לשימוש לרעה שנעשה לאחר שמסר הודעה, ולכן אין להתעכב.
האם מעסיק רשאי לעקוב אחר מחשב העבודה של עובדים?
ככלל, לא ללא מגבלות. לפי הנחיית הרשות להגנת הפרטיות, מעקב צריך להיות מידתי, למטרה לגיטימית ותוך יידוע העובדים בכתב. עיינו בנוהל הכתוב של המקום ובקשו ייעוץ לפני שמתעמתים או מעתיקים חומרים.
מותר לשלוח הודעות שיווק בדוא״ל או ב־SMS לאנשים שלא ביקשו?
לפי סעיף 30א לחוק התקשורת, ככלל נדרשת הסכמה מפורשת מראש בכתב, הפרסומת צריכה להיות מזוהה ככזו ולכלול דרך פשוטה לסרב, והפרה עלולה להוביל לתביעות, לתובענה ייצוגית ולקנסות. יש סייגים, ולכן בדקו את המסמך השיווקי שלכם לפני שליחה רחבה.
האם אפשר לתבוע על פגיעה בפרטיות?
חוק הגנת הפרטיות קובע שפגיעה בפרטיות היא עוולה אזרחית, ושפגיעה במזיד בדרכים מסוימות היא גם עבירה פלילית. האפשרות לתבוע, הסעד האפשרי וההגנות של הצד שכנגד תלויים בנסיבות. שמרו ראיות וקבלו הערכה מקצועית לפני שמגישים תביעה או שולחים מכתב התראה.
כמה זמן יש לי לפעול אחרי אירוע סייבר או פרסום פוגעני?
אין מספר אחד שנכון לכל מצב. יש מועדים קצרים וקפדניים בהקשרים שונים, כמו דיווח לגורמים רגולטוריים, הודעה למבטח, תלונות לבנק והתיישנות של תביעות. לכן חשוב לפנות מוקדם ולבדוק עם עורך דין איזה מועד חל במקרה שלכם.
איזה מסמכים כדאי להכין לפני שפונים לעורך דין?
ציר זמן כתוב, צילומי מסך עם תאריכים וכתובות, הודעות ודוא״ל מקוריים, יומני מערכת אם יש, חוזים עם ספקים ועם לקוחות, נהלי העסק ומדיניות הפרטיות. ככל שהחומר מסודר יותר, ההערכה הראשונה מהירה ומדויקת יותר.
האם כדאי לשלם כופר אחרי התקפת כופרה?
זו החלטה עסקית ומשפטית רגישה שאינה נשענת על תשובה אחת. תשלום אינו מבטיח שחזור. עצרו ושמרו ראיות, ערבו מומחה סייבר ועורך דין לפני שמחליטים, ובדקו מה קובעת פוליסת הביטוח. אם יש חשד לאירוע אבטחה חמור במאגר מידע, בדקו גם את חובת הדיווח לרשות להגנת הפרטיות.