מתי בעצם צריך למחוק את המידע שאספתם?
חברת SaaS ישראלית טיפוסית אוספת פרטי משתמשים בעת ההרשמה, ממשיכה לצבור נתוני שימוש במהלך חיי הלקוח, ולעיתים שומרת את כל המידע הזה עוד שנים רבות אחרי שהלקוח הפסיק להשתמש בשירות. השאלה "למה בעצם המידע הזה עדיין כאן" עולה בדרך כלל רק בשני מקרים: כאשר מתרחש אירוע אבטחת מידע, או כאשר רגולטור מבקש לבדוק את המאגר.
בשני המקרים הללו, תשובה של "לא היה לנו זמן למחוק" אינה מספקת. הדין הישראלי, ובמיוחד חוק הגנת הפרטיות לאחר תיקון 13, מטיל על חברות חובה אקטיבית לא רק לאסוף מידע כחוק, אלא גם להחזיק בו רק כל עוד יש הצדקה עניינית לכך.
מאמר זה עוסק בשאלה המעשית: כמה זמן מותר, ומתי חייבים למחוק או לאנונימיזציה.
עקרון ההגבלה למטרה בדין הישראלי
חוק הגנת הפרטיות, התשמ"א-1981, כפי שתוקן בתיקון 13 (בתוקף מיום 14.8.2025), לא קובע טבלת זמנים כללית וקבועה מראש לשמירת מידע אישי. במקום זאת, הוא מבוסס על עיקרון מהותי: מידע אישי נאסף ומוחזק למטרה מוגדרת, וכאשר המטרה מתמלאת או חדלה להתקיים, אין הצדקה להמשיך להחזיק במידע.
עיקרון זה מתבטא גם בתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, המחייבות בעלי מאגרי מידע לתעד במסמך הגדרות המאגר את מטרות השימוש במידע ואת סוגי הנתונים המוחזקים, ומטילות עליהם חובת בחינה תקופתית של התאמת ההחזקה למטרות שהוגדרו. משמעות הדבר בפועל: חברה שאוספת פרטי לקוח כדי לספק שירות, אינה יכולה להמשיך להחזיק במידע ללא הגבלת זמן רק בגלל שהמידע "עוד עשוי להיות שימושי".
מה זה אומר בפועל
- יש להגדיר מראש לכל קטגוריית מידע את המטרה שלשמה הוא נאסף.
- יש לבחון באופן שוטף אם המטרה עדיין רלוונטית.
- כאשר המטרה מתמלאת, יש למחוק את המידע או להפוך אותו לבלתי מזוהה (אנונימיזציה), אלא אם קיימת חובה חוקית אחרת להמשיך להחזיק בו.
כללי שמירה ספציפיים לפי תחום עשוי לגבור על העיקרון הכללי
העיקרון הכללי של הגבלת המטרה אינו פועל בחלל ריק. תחומים רבים כפופים לדינים ספציפיים המחייבים שמירה של סוגי מידע מסוימים לתקופות מוגדרות, ואלה גוברים במידה מסוימת על השאיפה למחיקה מוקדמת.
- רשומות חשבונאיות ומיסוי – חובות שמירת מסמכים ורשומות חשבונאיות לפי דיני המס בישראל, לתקופה הקבועה בהנחיות רשות המסים ובתקנות מס הכנסה (ניהול פנקסי חשבונות) הרלוונטיות בעת אחסון המידע.
- רשומות עבודה – חובות שמירה של תלושי שכר, דיווחי שעות עבודה ומסמכי העסקה לפי חוק הגנת השכר, התשי"ח-1958, וחוק שעות עבודה ומנוחה, התשי"א-1951.
- רשומות רפואיות – חובות שמירה ייעודיות מכוח חוק זכויות החולה, התשנ"ו-1996, ותקנות בריאות ספציפיות.
- נתוני זיהוי לקוח ומניעת הלבנת הון – חובות תיעוד ושמירה החלות על גופים פיננסיים מכוח חוק איסור הלבנת הון, התש"ס-2000, ורגולציית הפיקוח הרלוונטית.
חברות טכנולוגיה הפועלות במגוון תחומים צריכות למפות אילו חובות סקטוריאליות חלות עליהן, ולוודא שהחוק מקום מושבן הרגולטורי בפועל, נכון למועד כתיבת מאמר זה, לא השתנה.
זכות המחיקה של המשתמשים וההשלכות של החזקה מוגזמת
תיקון 13 לחוק הגנת הפרטיות חידד את מעמדם של נושאי המידע, בין היתר בהקשר של זכות העיון והמחיקה. משתמש שמידע אודותיו מוחזק על ידי חברה, זכאי במקרים המוגדרים בחוק לדרוש עיון בו ואף מחיקתו, במיוחד כאשר המטרה שלשמה נאסף המידע התייתרה.
מעבר לכך, תיקון 13 הוסיף לחוק חובת דיווח על אירועי אבטחת מידע, והרחיב את סמכויות האכיפה של הרשות להגנת הפרטיות. משמעות הדבר: חברה שמחזיקה במידע ישן ולא רלוונטי, מגדילה למעשה את "שטח החשיפה" שלה במקרה של אירוע אבטחה – שכן חובת הדיווח וההשלכות התפעוליות והמשפטיות חלות גם על מידע שאין בו כל תועלת עסקית עוד.
בקיצור: החזקת מידע מעבר לנדרש אינה רק חשיפה תיאורטית לביקורת רגולטורית, אלא מכפילה את הסיכון בכל אירוע אבטחת מידע עתידי.
עקרון Storage Limitation ב-GDPR והרלוונטיות לחברות ישראליות
התקנה האירופית להגנת מידע (GDPR) קובעת עיקרון מקביל ומפורש יותר – Storage Limitation – לפיו מידע אישי לא יוחזק בצורה המאפשרת זיהוי נושא המידע לפרק זמן העולה על הנדרש למטרות שלשמן הוא מעובד. חברות ישראליות המעבדות מידע של תושבי האיחוד האירופי, או הפועלות בשווקים אירופיים, כפופות לעיקרון זה במישרין.
ישראל נהנית ממעמד הכרה חלקי בהתאמה (adequacy) מצד האיחוד האירופי, מעמד הנתון לבחינה תקופתית. חברות שמבנה עסקיהן כולל העברת מידע מהאיחוד האירופי צריכות לעקוב אחר ההתפתחויות בתחום זה, ולהתייחס בנוסף לדרישות שחלות מכוח דיני ההגנה על מידע במדינת המקור.
מבחינה מעשית, חברה שמיישבת מדיניות שמירה עקבית עם עקרון ה-Storage Limitation, נערכת בפועל גם לדרישות הדין הישראלי לאחר תיקון 13, שכן העיקרון המהותי דומה מאוד.
איך בונים בפועל מדיניות שמירת נתונים תקינה
מדיניות שמירת נתונים אינה מסמך משפטי גנרי, אלא תוצר של תהליך מיפוי פנימי. להלן שלבים מומלצים:
- מיפוי נתונים – זיהוי כל קטגוריות המידע האישי המוחזק בחברה, מקור האיסוף, ומטרת השימוש בכל קטגוריה.
- קביעת לוח זמנים לכל קטגוריה – עבור כל סוג מידע, יש להגדיר תקופת שמירה מבוססת מטרה עסקית, ובמקרה הרלוונטי, חובה חוקית סקטוריאלית.
- מנגנון מחיקה או אנונימיזציה אוטומטי – ככל שניתן, יש לבנות תהליכים טכנולוגיים אוטומטיים למחיקה או להפיכת מידע לבלתי מזוהה בתום תקופת השמירה, ולא להסתמך על מחיקה ידנית.
- מנגנון "עצירה משפטית" (legal hold) – יש לאפשר חריגה מוסדרת מלוח הזמנים כאשר קיים הליך משפטי, חקירה או דרישה רגולטורית המצדיקה המשך שמירה.
- בחינה תקופתית ותיעוד – יש לתעד את המדיניות, ולבחון אותה מחדש בהתאם לשינויים עסקיים ורגולטוריים.
חברות שמינו ממונה על הגנת פרטיות, במקרים שבהם חובה זו חלה, צריכות לשלב אותו בתהליך גיבוש המדיניות ובבחינה השוטפת שלה.
הסיכון באי-ציות והמסקנות המעשיות
תיקון 13 הרחיב באופן משמעותי את סמכויות האכיפה של הרשות להגנת הפרטיות, ואפשר הטלת עיצומים כספיים משמעותיים בגין הפרות מסוימות, בהתאם למסגרת החוקית העדכנית ולחומרת ההפרה. מעבר לחשיפה הכספית, ריבוי מידע לא רלוונטי מגדיל את שטח החשיפה של החברה בכל אירוע אבטחת מידע, ומקשה על עמידה בזמנים הקבועים בחובת הדיווח על אירועי אבטחה.
מדיניות שמירת נתונים ברורה אינה רק כלי ציות – היא גם כלי תפעולי שמפחית עומס אחסון, מפשט תגובה לפניות של נושאי מידע, ומקטין את הנזק הפוטנציאלי בכל תרחיש של דליפת מידע.
חברות שעדיין לא גיבשו מדיניות שמירה מסודרת, כדאי שיתחילו במיפוי המידע שהן מחזיקות כיום, ולא רק במידע שהן אוספות מעתה והלאה. הפער הגדול ביותר, ברוב המקרים, נמצא במידע ה"היסטורי" שהצטבר במשך שנים ללא בחינה מסודרת.
האמור במאמר זה מהווה מידע כללי בלבד ואינו מהווה ייעוץ משפטי. לקבלת ייעוץ מותאם לנסיבות הספציפיות של חברתכם, אנו מזמינים אתכם ליצור קשר עם משרדנו.
