שאלות נפוצות על תיקון 13

תיקון 13 עדכן את חוק הגנת הפרטיות, תשמ"א-1981, והרחיב את סמכויות האכיפה של הרשות להגנת הפרטיות. עיקרי החובות: מינוי ממונה על הגנת הפרטיות (DPO) בגופים ציבוריים ובארגונים שמעבדים מידע רגיש בהיקף נרחב או מבצעים מעקב שיטתי; הרחבת חובת היידוע כלפי מי שמוסר מידע; צמצום ניכר של חובת רישום מאגרים, לצד חובת הודעה על מאגרים גדולים ורגישים; ואיסור מפורש על עיבוד מידע שנאסף שלא כדין. לגבי מידע שכבר יושב אצלכם: החוק אוסר לעבד מידע אישי במאגר שלא למטרה שנקבעה לו כדין, והרשות להגנת הפרטיות מתרגמת את זה להנחיה מעשית: "תיקון 13 מעודד עסקים לשמור רק את המידע הנחוץ – ולמחוק את השאר".

לא. כל מחיקה ב-Microsoft 365 יוצאת ממסלול האישור בלבד: לכל פריט נרשמת שורת יומן, הסטטוס עובר ל"ממתין למחיקה", ורק אז המשימה נשלחת. אף משימה מתוזמנת אינה מוחקת ב-Microsoft 365. אחת ליום רצה בדיקה שמאתרת מחיקה שאושרה ולא דיווחה שבוצעה, רושמת עליה שורת יומן, ואינה מריצה אותה מחדש.

שלושה דברים. הראשון הוא Microsoft 365 עצמו: קריאות Graph, התחברות, וקריאת הקפאות דרך Exchange Online PowerShell. השני הוא בקשת אימות רישיון, פעמיים ביום, ובה שלושה פרטים בלבד: מפתח הרישיון, מזהה אקראי של ההתקנה ומזהה הארגון שלכם ב-Microsoft 365 (tenant ID); בהפעלת רישיון חינמי נשלחים פעם אחת גם פרטי הקשר מטופס הרישום: שם, דואר אלקטרוני, שם החברה וטלפון. השלישי הוא דואר יוצא, דרך שרת הדואר שלכם: התראות, ופנייה לבעל תיבה, ובה שם הקובץ והסיבה. אין טלמטריה ואין דיווח שגיאות. תשובת הרישיון נושאת גם את מספר הגרסה האחרונה, וכך המערכת יודעת להודיע לכם שיצא עדכון, בלי פנייה נפרדת החוצה, ובלי שתוריד או תתקין משהו בעצמה. אם שרת הרישיונות אינו זמין, המערכת ממשיכה לעבוד 72 שעות.

התיקון אושר במליאת הכנסת ב-5 באוגוסט 2024 ונכנס לתוקף ב-14 באוגוסט 2025. באותו יום פרסמה הרשות להגנת הפרטיות עמוד היערכות ייעודי ועדכנה את הנחיותיה בהתאם לנוסח החדש.

התיקון מקנה לרשות להגנת הפרטיות סמכות להטיל עיצומים כספיים, לצד סמכויות חקירה ופיקוח מורחבות. ראש הרשות, עו"ד גלעד סממה, הודיע יום לפני הכניסה לתוקף שהאכיפה תתבצע בתוכנית מסודרת: חלק מההפרות ייקנסו רק אחרי מנגנון דו-שלבי שנותן לארגון זמן להבין את הדרישה, ואחרות ייקנסו בלי התראה מוקדמת. מה שכתוב כאן אינו ייעוץ משפטי; המקורות מופיעים בתחתית העמוד.

לא. המערכת מוצאת מידע אישי שתם הצורך בו ומתעדת מי החליט למחוק אותו ומתי. היא אינה מטפלת בבקשות של נושאי מידע, אינה מדווחת לרשות, אינה ממנה ממונה, אינה מנהלת רישום מאגרי מידע ואינה מחליפה ייעוץ משפטי.

בארבעה שלבים, וזה נכון לכל כלי ולא רק לנו. ראשית מיפוי מידע: אילו תיבות דואר ואילו אתרי SharePoint מחזיקים מידע אישי, ומה המטרה שנקבעה כדין לכל מאגר מידע. שנית זיהוי: סריקה שקוראת תוכן ומוצאת מספרי תעודת זהות, פרטי אשראי ומסמכים אישיים, ולא רק שמות קבצים. שלישית החלטה: לכל ממצא נקבע אם תם הצורך בו ומי מאשר את מחיקת המידע; מחיקה אוטומטית בלי אישור אדם היא סיכון תפעולי, לא עמידה ברגולציה. ולבסוף תיעוד: מחיקה שאין עליה יומן אינה מוכיחה דבר למבקר. ב-Microsoft 365 המחיקה עצמה רצה דרך Graph ודרך Exchange Online, ויש לה כללים משלה: הקפאה משפטית עוצרת אותה, וגרסאות קודמות ב-SharePoint נמחקות בנפרד מהקובץ.

תיבות הדואר ב-Exchange Online ואתרי SharePoint. אין קוד שנוגע ב-Teams, בשרתי קבצים מקומיים או במערכות צד שלישי.

תוכן. PDF סרוק ותמונה עוברים זיהוי תווים (OCR) ונקראים כמו מסמך. ב-SharePoint אתם קובעים גודל קובץ מרבי לכל מדיניות, וברירת המחדל היא 50 מגה. קובץ שחורג לא נשמט בשקט: הוא מגיע לבדיקה ידנית ומסומן כגדול מכדי להיסרק.

כן, במסך בדיקת הקשר חי (Live Context Review). הוא נפתח ממסך האישורים הממתינים ומתוצאות הסריקה, ובלחיצה על טעינת תוכן הקובץ נמשך התוכן מ-Microsoft 365 באותו רגע. PDF נפתח עמוד-עמוד, תמונה מוצגת במלואה, קובץ טקסט מוצג כטקסט, וארכיון ZIP נפתח כעץ קבצים. מסמך Word וגיליון Excel שיושבים ב-SharePoint נפתחים בתצוגה של Microsoft בתוך המסך, והדפדפן שלכם טוען אותם ישירות מ-Microsoft 365, בלי לעבור דרך השרת. קובץ מסוג אחר שהגיע כצרופה לדואר מוצג בשמו ובגודלו בלבד. הקובץ אינו נכתב לדיסק בשרת, והממצא עצמו אינו מסומן בתוך המסמך.

לא מדלגים עליו בשקט. הוא מגיע לרשימת הקבצים הדורשים בדיקה ידנית עם הסיבה: מוגן בסיסמה, ארכיון מוצפן, קובץ פגום, פורמט לא נתמך, גדול מדי לסריקה, סריקה חלקית או הורדה שנכשלה. משם מסמנים שורות ולוחצים שלח לבדיקת משתמש: מתיבת הדואר שלכם יוצא מייל לבעל התיבה שהקובץ יושב בה, ובו התאריך, שם הקובץ והסיבה (לא הקובץ עצמו ולא קישור אליו), ושלוש שאלות: האם יש בקובץ מידע אישי, האם יש צורך עסקי לשמור אותו, והאם אפשר למחוק. העובד משיב בדואר, ומי שמטפל בממצא מדביק את התשובה במסך הזנת תשובת משתמש; היא אינה מכריעה את הממצא אלא נשמרת לצד ההחלטה. אם אין תשובה אפשר לשלוח עד שלוש תזכורות ואז להסלים, ואפשר גם להחליט בלעדיה. הפנייה, התזכורות והתשובה נרשמות ביומן. הפנייה קיימת לקבצים שהגיעו בדואר; לקובץ ב-SharePoint אין בעלים רשום במערכת.

מספר תעודת זהות נבדק בספרת ביקורת וכרטיס אשראי בבדיקת Luhn, ולא לפי תבנית בלבד. אחר כך נבדק ההקשר בחלון של 150 תווים סביב המספר.

כל תבנית נושאת את המקור שמאחוריה: עשר מצטטות חוק ישראלי, אחת מצטטת את ה-GDPR, ואחת, "תבניות גלובליות", מצהירה שהיא מדיניות ארגונית ולא חובה שבחוק. לשלוש תבניות יש תקופת שמירה מובנית של שבע שנים: רשומות רפואיות, פיננסיות ושכר.

על השרת שלכם. זו התקנה מקומית: מסד הנתונים והתהליכים רצים בקונטיינרים על שרת בארגון, ותוצאות הסריקה, היומן והמדיניות אינם יוצאים ממנו. מבחינת אבטחת מידע פירוש הדבר שהמידע האישי שנסרק אינו מועתק לענן שלנו ואינו עובר לצד שלישי.

מטא-דאטה של הממצא: שם הקובץ, גודלו, מיקומו ב-Microsoft 365, איזו מדיניות זיהתה אותו, מי החליט ומתי. שם הקובץ ומיקומו נשמרים במלואם כל עוד הממצא ממתין להחלטה; ברגע ההחלטה המיקום נמחק ומהשם נשאר רק קטע ממוסך, למשל חוזה_***.pdf. ביומן הביקורת אין עמודת שם. במקומה נרשמת חתימה שאי אפשר להפוך בחזרה לשם: שני התווים הראשונים, hash, והסיומת. כתובת התיבה הנסרקת נשמרת ברשימת התיבות כל עוד היא מוגדרת לסריקה, כי היא הזיהוי של התיבה; כתובת השולח בתוך ממצא דואר נמחקת עם ההחלטה. הקובץ עצמו נקרא בזיכרון ואינו נכתב לדיסק, ומסמך Office ב-SharePoint נפתח בדפדפן שלכם ישירות מול Microsoft 365 ואינו עובר בשרת כלל. קטע קצר מהתוכן נשמר כראיה עד ההחלטה: ברגע ההחלטה הוא נמחק, ובכל מקרה לא יותר מ-30 יום, ומשימה יומית מוחקת כל ראיה שעברה את המועד. תשובה שבעל הקובץ שלח ורשמתם במוצר נשמרת לצד ההחלטה ואינה נמחקת אוטומטית.

פריט שאינו תחת הקפאה: בדואר המחיקה קבועה, ובעל התיבה אינו יכול לשחזר את ההודעה. ב-SharePoint כל גרסה קודמת נמחקת, והקובץ עצמו עובר לסל המיחזור של האתר. RTBFIL מזהה Litigation Hold במקורות הנתמכים. הטיפול בפריטים ובהחלטות מחיקה כפוף למדיניות השמירה, ל-Retention, ל-Litigation Hold ולהרשאות המוגדרות בארגון. המערכת לעולם אינה מרוקנת את סל המיחזור של האתר.

היומן בנוי כשרשרת hash: כל שורה חותמת על קודמתה, ושינוי בשורה אחת מחייב חישוב מחדש של כל השורות שאחריה. כפתור אימות שלמות עובר על השרשרת ובודק שכל שורה מחזיקה hash, שהקישור לקודמתה תקף ושהחישוב מחדש זהה. דוח הביקורת מיוצא ל-CSV ונמסר ליועץ המשפטי, לממונה על הגנת הפרטיות או למבקר, ובו מזהה השורה, הפעולה, השירות, מי ביצע, הממצא, הקובץ או ההודעה, המדיניות, הזמן והפרטים.

הוא נשאר אצלכם. הסרת הקונטיינרים אינה מוחקת את מסד הנתונים ואת היומן: הם יושבים ב-Docker volumes, אמצעי אחסון שנשארים על השרת עד שתמחקו אותם בעצמכם.

שלוש הרשאות Graph ברמת יישום, באישור מנהל חד-פעמי: Mail.ReadWrite, Sites.ReadWrite.All ו-User.Read.All. עד לרגע המחיקה המאושרת המערכת רק קוראת, ואין בה קריאות כתיבה ל-Microsoft 365. מי שרוצה שהמערכת תזהה הקפאות משפטיות מוסיף גם תפקיד קריאה ב-Exchange Online.

Windows 10/11 64-bit במהדורת Pro, Enterprise או Education עם Docker Desktop, או שרת Linux עם Docker Engine. Windows Server אינו נתמך: Docker Desktop אינו רץ על מהדורות שרת של Windows. נדרשים Compose v2, 4 ליבות, 8 ג'יגה זיכרון, 100 ג'יגה בכונן SSD ופורט 80 פנוי. בחומת האש צריך לאפשר תעבורה יוצאת בפורט 443 לשלושה יעדים: התחברות למיקרוסופט, Microsoft Graph ושרת הרישיונות שלנו. חבילת ההתקנה נמסרת ישירות מאיתנו, עם טביעת אצבע sha256 לאימות לפני ההתקנה.

בשתיהן, בכיסוי מלא וזהה. ברירת המחדל היא אנגלית, והמשתמש מחליף שפה בממשק.