תיקון 13 לחוק הגנת הפרטיות: למה ה"כיסוי" שלכם בסכנה?

דמיינו את הסיטואציה הבאה: בוקר יום ראשון, אתם מגיעים למשרד, פותחים את המחשב ומגלים שכל נתוני הלקוחות שלכם- המידע הרפואי הרגיש, הצהרות הבריאות, פרטי כרטיסי האשראי והתיקים הפנסיוניים – דלפו לרשת.  הסיוט רק מתחיל כי…

הטלפון מתחיל לצלצל, הלקוחות היסטריים, והדבר הראשון שאתם עושים זה להתקשר לספק התוכנה שלכם או לאיש המחשוב ולצעוק: "איך זה קרה לכם?".

התשובה שתקבלו מהם עשויה לזעזע אתכם. הם יגידו לכם: "סליחה, אבל לפי החוק- האחריות היא עליך".

תיקון 13 לחוק הגנת הפרטיות אינו עוד עדכון רגולטורי טכני ומשעמם שנועד למלא קלסרים.

מדובר בשינוי עומק בתפיסת האחריות המשפטית של בעלי מאגרי מידע, ובפרט של סוכני ביטוח.

אם עד היום נטיתם לחשוב שאבטחת מידע היא עניין טכנולוגי שאפשר "להעביר" לספק מחשוב, למערכת CRM או לשירות ענן – התיקון הזה משנה את התמונה מן היסוד.

השקר שכולנו סיפרנו לעצמנו: "הספק אחראי"

אחת הטעויות הנפוצות והמסוכנות ביותר בקרב סוכני ביטוח היא ההנחה שהאחריות לאבטחת המידע "נמצאת אצל הספק". רבים מאמינים שאם הם משלמים רישיון חודשי למערכות כמו באפי, שורנס או סמס, הם קנו לעצמם שקט תעשייתי ומשפטי.

אז זהו , שממש  לא!!!

בפועל, הדין הישראלי קובע עיקרון ברור: בעל מאגר המידע (שזה הסוכן/ת ביטוח) הוא האחראי הבלעדי לאבטחתו. המשמעות הפרקטית היא שאם המערכת נפרצת והמידע נגנב – אתם האחראים. לא הספק, לא חברת המחשוב ולא החברה שפיתחה את התוכנה. הם יכולים להיות מעבדי מידע או ספקי שירות, אבל הם לא נושאים באחריות הראשית כלפי החוק. האחריות הזו היא חובה משפטית ישירה שאינה ניתנת להעברה.

 

איפה המידע שלכם באמת נמצא?

כדי להבין את היקף האחריות, אתם צריכים להסתכל על הסוכנות שלכם כעל רשת של נקודות תורפה. המידע העסקי שלכם לא נמצא רק ב-CRM; הוא מפוזר במחשב האישי, בתיבת הדוא"ל, בטלפון הנייד, באתר האינטרנט ואפילו בגיבויים.

כל אחת מהנקודות הללו היא פוטנציאל לפריצה או לדליפה. ולפי החוק – אין "חוליה חלשה אחת". כל חוליה היא אחריות מלאה שלכם.

1. המחשב המשרדי: השער הראשי המחשב שלכם הוא שער הגישה למרבית המידע העסקי. תיקון 13 מחייב אתכם ליישם אמצעי הגנה בסיסיים אך קריטיים: אנטי-וירוס מעודכן (כולל EDR והגנה מפני כופר), חומת אש פעילה, הצפנת דיסק ונעילה אוטומטית. חשוב להבין: רוב הפריצות אינן מתבססות על מתקפות מתוחכמות בסגנון הוליוודי, אלא על ניצול פרצות ידועות שלא תוקנו כי מישהו שכח לעשות "עדכון גרסה". מערכת שאינה מעודכנת מהווה כיום כשל אבטחתי ברור בעיני החוק.

 

2. מלכודת המייל החינמי זה אולי נוח, אבל שימוש בתיבות דוא"ל חינמיות כמו Gmail, Walla או Yahoo לצרכים עסקיים בביטוח הוא טעות אסטרטגית. בתנאי השימוש של השירותים האלו קיימת אפשרות לעיבוד מידע על ידי ספק השירות לצרכים שונים. ברגע שמדובר במידע רפואי או פיננסי רגיש, עצם ההרשאה החוזית הזו מהווה הפרה של חובתכם לפי חוק הגנת הפרטיות. כסוכני ביטוח, אתם נדרשים להשתמש במערכת דוא"ל עסקית תחת דומיין פרטי, שבה יש לכם שליטה מלאה על האבטחה וההצפנה.

 

3. הסמארטפון: המשרד הנייד שעלול להפיל אתכם הטלפון הנייד הפך לכלי עבודה מרכזי, אבל הוא גם נקודת תורפה משמעותית. הוא מכיל גישה למסמכים, למיילים ולתקשורת אינטימית עם לקוחות. אובדן מכשיר לא מאובטח שקול לאובדן מאגר מידע שלם. אתם חייבים להבטיח נעילה ביומטרית, הגנה מפני וירוסים ואפשרות למחיקה מרחוק במקרה של אובדן.

 

הכללים החדשים של ניהול סיכונים

אבטחת מידע היא כבר לא רק עניין של תוכנה; היא מערכת ניהולית שלמה. כיועץ עסקי, אני דוחף את הלקוחות שלי להפסיק להסתכל על זה כעל הוצאה טכנית ולהתחיל לראות בזה חלק מחוויית הלקוח ומהמנהיגות העסקית שלהם.

 

•  ניהול הרשאות: לא כל עובד במשרד צריך גישה לכל המידע. החוק דורש יישום של עקרון ה-"Need to Know" – הרשאות לפי תפקיד וביטול גישה מידי עם סיום העסקה.

   

•  עבודה מול ספקים: שימוש בספקים חיצוניים הוא הכרחי, אבל אתם חייבים לוודא קיום הסכמים הכוללים סעיפי אבטחת מידע ברורים. אתם לא יכולים להעביר להם את האחריות, אבל אתם חייבים לפקח עליהם.

   

•  נהלים והדרכות: אתם צריכים נהלי אבטחת מידע כתובים והדרכות שוטפות לעובדים. בהיעדר תיעוד כזה, יהיה לכם קשה מאוד להוכיח שעמדתם בדרישות החוק במקרה של ביקורת או תביעה.

   

לסיכום: האם אתם מוכנים לעידן החדש?

תיקון 13 מבהיר מסר אחד חד וברור: אבטחת מידע אינה המלצה- אלא חובה משפטית.

סוכן ביטוח אינו יכול עוד להסתמך על פתרונות חלקיים או על "מילים טובות" של ספקים. אתם נדרשים להבין היכן המידע נמצא, לשלוט באמצעי ההגנה ולנהל את הסיכון באופן אקטיבי.

מי שיפנים שהאחריות אינה ניתנת להעברה, לא רק יגן על עצמו מפני קנסות כבדים והשלכות משפטיות, אלא גם יבנה נכס יקר מפז: אמון הלקוחות שלו.

השורה התחתונה ברורה: ב-2026, מי שלא מנהל אקטיבית את אבטחת המידע שלו – מפקיר את העסק שלו.

אל תחכו לאירוע הסייבר או לביקורת הרגולטורית כדי לגלות שאתם חשופים. אני מזמין אתכם לבחון יחד איתי את המוכנות האמיתית של הסוכנות שלכם לדרישות תיקון 13.

כתבו לי בקישור "אני רוצה לבדוק", או שלחו לי הודעה פרטית, ונתאם שיחת אבחון קצרה ולא מחייבת.

בואו נהפוך את הרגולציה הזו מסיכון מאיים לנכס עסקי של אמון.

שלכם, עודד אביב – יועץ עסקי לסוכנויות ביטוח

לשאול שאלה לגבי תיקון 13 – לחצו כאן