חוק הגנת מאגרי מידע

הרחבה לכתבת משאבים, גיליון 190, 14 בדצמבר, 1999

"כ- 90 אחוזים מהארגונים החייבים בחוק הגנת הפרטיות לא מקיימים את דרישות החוק: 20 אחוזים מהארגונים מקיימים רק את חובת הרישום ורק 10 אחוזים ממנים בעלי תפקידים לניהול ולהגנת מאגרי המידע הרגיש, כנדרש בחוק", מעריך עמית בנאי, מנהל פרויקטים בחברת "קומסק" לאבטחת מידע.

על פי חוק מאגר מידע, המכיל מידע המוגדר כ"רגיש" חייב להירשם בפנקס מאגרי המידע, במשרד המשפטים. מידע רגיש מוגדר כ"נתונים על אישיותו של אדם, צנעת אישיותו, מצב בריאותו, מצבו הכלכלי, דעותיו ואמונתו". הרישום אינו כולל את תוכן המידע במאגר, אלא פרטים על סוג המידע והנתונים, מיקום המאגר וכד'.

"בעידן הממוחשב של היום", אומר בנאי, "ארגונים רבים מחזיקים במידע רב על עובדים ולקוחות". למעשה, כל חברה המשלמת שכר לעובדיה חייבת ברישום המאגר. על פי החוק, הארגון חייב למנות מנהל לכל מאגר מידע רגיש שיהיה אחראי על יישום החוק, "אם לא מונה מנהל כזה, האחריות הפלילית היא על מנכ"ל הארגון". בדרך כלל נהוג למנות למנהל המאגר את העובד האחראי למידע. למשל, על מאגר השכר אחראי מנהל משאבי האנוש בארגון. לחילופין, ישנם ארגונים בהם ממונה מנהל מערכות המידע למנהל כל מאגרי המידע בארגון.

החוק דורש עוד שני בעלי תפקידים: "ממונה אבטחת מידע ומאגרי מידע", בעל הכשרה מתאימה, שגופים פיננסיים וציבוריים (כמוגדר בחוק), או כאלה שמחזיקים ביותר מחמישה מאגרי מידע רגיש חייבים למנות. כמו כן קובע החוק דרישה ל"מחזיק מאגר מידע", למשל במקרה שגוף חיצוני לארגון מבצע בעבורו את חישובי שכר העובדים. החוק מחייב להגן על המאגר מפני חדירה חיצונית, או מתוך הארגון על-ידי מי שלא מורשה, ולפיכך דורש כתיבת כללים וסדרי ניהול למאגר, כמו מגבלות על הוצאת תדפיסים מהמאגר, איסור העברת מידע מהמאגר לגופים חיצוניים וכו', "אך בארגונים רבים אין סדרי ניהול", אומר בנאי.