שירותים
הערכות סיכונים
אנו מספקים סקר פערים ומיפוי מידע לעסקים שמחזיקים מידע אישי לצורכי העסק או מטעם לקוח. למשל, למרפאות, סוכנויות ביטוח, חנויות מקוונות, לשכות שכר, ספקי תוכנה וענן. הסקר מראה איזה מידע אישי יש אצלכם, היכן הוא נמצא, איזו רמת אבטחה חלה עליו ומה חסר, ומדרג את הפערים כדי שתדעו במה לטפל קודם. לפני השקה של מערכת, מוצר או כלי בינה מלאכותית חדשים, אנו עורכים גם תסקיר השפעה על הפרטיות.
מה נבדק
בסקר נבדקים שישה נושאים, כל אחד מול מה שהחוק והתקנות דורשים.
לקוח שהוא גוף ציבורי
אם אתם מחזיקים מידע אישי מטעם גוף ציבורי — משרד ממשלה, רשות מקומית, קופת חולים, בית חולים ציבורי או מוסד להשכלה גבוהה — חלה עליכם חובה למנות ממונה על הגנת הפרטיות, בכל היקף.מידע רגיש וניטור
האם העיסוק העיקרי שלכם כולל עיבוד מידע בעל רגישות מיוחדת, או ניטור שוטף ושיטתי של בני אדם, בהיקף ניכר.סיווג המידע
מה עשוי להיחשב אצלכם כ"מידע בעל רגישות מיוחדת", והיכן הוא יושב.הסכמי העיבוד מול המציאות
פער בין ההסכם למציאות התפעולית נחשף כשלקוח שולח שאלון או כשקורה אירוע.רמת האבטחה
איזו רמת אבטחה חלה על כל מאגר, לפי סוג המידע ומספר בעלי ההרשאה בפועל — כולל ספקים וגישה מסביבות בדיקה.מידע עודף
גיבויים ישנים, קורות חיים, קבצי ייצוא וקבצים צדדיים שנשמרים בלי מטרה.
התוצרים
בסוף הסקר תקבלו תמונה כתובה של המצב ואת סדר הטיפול בפערים, ולכל מערכת חדשה — תסקיר השפעה.
| תוצר | מה זה כולל |
|---|---|
| חוות דעת תחולה | מענה מפורט ומקיף לשאלה האם חובת ממונה הגנת פרטיות חלה עליכם, מכוח איזו חלופה, ומה היא דורשת מכם. |
| מפת מידע | מיפוי זרימות המידע האישי וזיהוי המאגרים. |
| סיווג רמת אבטחה | רמת האבטחה של כל מאגר, עם ספירת בעלי ההרשאה המתועדת — הבסיס לכל החובות שנגזרות ממנה. |
| מסמך הגדרות מאגר | נמסר בחבילת תיעוד, לצד נוהל אבטחת מידע, רישום פעולות עיבוד ומדיניות פרטיות חיצונית. |
| טבלת פערים | בחינה מול חוק הגנת הפרטיות ומול תקנות אבטחת מידע: מה מתקיים, מה חלקי, מה חסר ומה עוד לא ניתן לאמת, ורשימת פערים מדורגת לפי חשיפה. |
| תסקיר השפעה על הפרטיות (DPIA) | לפני השקה של מערכת, מוצר או כלי בינה מלאכותית שמעבדים מידע אישי: איזה מידע ייאסף, אילו סיכונים הוא יוצר לאנשים שהמידע עליהם, ואילו אמצעים יצמצמו אותם. ה‑GDPR מחייב תסקיר כזה כשהעיבוד צפוי ליצור סיכון גבוה, וטיוטת ההנחיה של הרשות להגנת הפרטיות לבינה מלאכותית ממליצה עליו לפני הפעלה. |
| סדר טיפול | ישיבת מסירה על הפערים, על סדר הטיפול בהם ועל המאמץ שכל פעולה דורשת, ותדריך להנהלה: מה חל, מה הוחלט, ומה מתועד בפרוטוקול. |
איך זה מתנהל
העבודה מתנהלת בחמישה שלבים, וההיקף נקבע בכתב לפני שמתחילים.
- שיחת התאמה
- בירור ראשוני של הצורך, היקף העבודה וסדר העדיפויות.
- מכתב היקף
- תוצרים, לוח זמנים ותנאי ההתקשרות, בכתב, לפני תחילת העבודה.
- איסוף
- שאלון ומסמכים, ולאחריהם שתיים עד שלוש שיחות עם הגורמים הרלוונטיים אצלכם.
- מסירה
- התוצרים, ולאחריהם ישיבת מסירה על הפערים ועל סדר הטיפול בהם.
- המשך, אם תרצו
- ליווי שוטף או מילוי תפקיד הממונה.
- 1. שיחת התאמה
- 2. מכתב היקף
- 3. איסוף
- 4. מסירה
- 5. המשך
שאלות שנשאלות
מה ההבדל בין זה לבין ביקורת SOC 2 או ISO 27001?
אלה בוחנות בקרות מול מסגרת אבטחה. ההערכה כאן בוחנת את הארגון שלכם מול חוק הגנת הפרטיות ותקנות אבטחת מידע, התשע״ז–2017: אילו מאגרים קיימים, איזו רמת אבטחה חלה, האם חובת הממונה חלה, והאם ההסכמים שלכם תואמים את מה שקורה למידע בפועל. זו עבודה משפטית, והתוצר הוא חוות דעת משפטית.
איך מכריעים "היקף ניכר"?
בבדיקה פרטנית. לפי חוק הגנת הפרטיות נשקלים, בין השאר, מספר בני האדם, היקף המידע וסוגיו, משך העיבוד ותדירותו ומשך השמירה. אם אתם מחזיקים מידע עבור לקוחות, הרשות להגנת הפרטיות בוחנת את ההיקף במצטבר, על פני כולם — הנחיה שלה, לא הלכה פסוקה. השאלון באתר אינו יכול להכריע בכך; השירות הזה נותן על כך חוות דעת מנומקת בכתב.
מה זה תסקיר השפעה על הפרטיות (DPIA), ומתי צריך אותו?
מסמך שנכתב לפני שמפעילים מערכת חדשה שמעבדת מידע אישי: מה המערכת אוספת, אילו סיכונים היא יוצרת לאנשים שהמידע עליהם, ואילו אמצעים מצמצמים אותם. ה‑GDPR מחייב תסקיר כזה כשהעיבוד צפוי ליצור סיכון גבוה, וטיוטת ההנחיה של הרשות להגנת הפרטיות לבינה מלאכותית ממליצה עליו לפני הפעלה. אנחנו עורכים אותו לפני ההשקה, כך שהאמצעים נבנים במערכת מההתחלה.