1981. לא 2018.
מי שחושב שמרשם פעולות עיבוד הוא המצאה של תקנת הפרטיות האירופית (GDPR), טועה. החוק הישראלי הסדיר את חובת התיעוד של מאגרי מידע אישי כבר בחוק הגנת הפרטיות, התשמ"א-1981. רק שאז קראו לזה "פנקס מאגרי המידע", המחשב היה מכשיר חדשני, והאכיפה הייתה רחוקה ממה שהיא היום.
הרגולציה ב-2018, ה-GDPR האירופי, פשוט נתנה למושג שם בינלאומי וצורה שיטתית. Record of Processing Activities, או בקיצור RoPA. בעברית: מרשם פעולות עיבוד. מה שהיה דרישה רכה הפך למסמך חובה, עם אורך, מבנה ועונשים.
מה זה RoPA, בעצם?
מרשם פעולות עיבוד הוא לא חוזה, לא מדיניות פרטיות ולא תסקיר. זאת מפת הדרכים הפנימית של הארגון: רשימה מדויקת של כל פעילות שבה מידע אישי עובר עיבוד. מי אוסף, ממי, לאיזו תכלית, לכמה זמן, לאן זה נשלח, ואיך זה מאובטח.
הרעיון פשוט. אם ארגון לא יודע איזה מידע יש לו ואיפה, הוא לא יכול להגן עליו. הוא לא יכול לענות על בקשת עיון של נושא מידע. הוא לא יכול לדווח על אירוע אבטחה כשהדין דורש זאת. הוא לא יכול להוכיח לרגולטור שום דבר.
אגב, זה בדיוק מה שקורה בפועל ברוב הארגונים בישראל. שואלים את מנהל ה-IT איפה המידע, הוא מצביע על השרת. שואלים אותו איזה מידע יש שם, הוא לא יודע. זה הסיפור.
מה צריך להיות בפנים
תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, מחייבות במפורש תיעוד של פעילות העיבוד במסמך הגדרות המאגר (תקנה 2). תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025, מרחיב את חובות בעל השליטה במאגר ומסדיר משטר רישום והודעה לרשות להגנת הפרטיות במקרים מסוימים, לפי סעיף 8א.
מרשם תקני יכלול לפחות:
- פרטי הארגון: שם, מספר רישום, פרטי בעל השליטה במאגר, ופרטי ממונה הגנת הפרטיות (DPO) אם מונה.
- תכלית העיבוד: שיווק, ניהול לקוחות, חיוב, גיוס עובדים. כל פעילות בנפרד, לא ערב רב.
- קטגוריות מידע: שמות, כתובות, מידע פיננסי, מידע רפואי, מידע בעל רגישות מיוחדת כהגדרתו בחוק.
- קטגוריות נושאי המידע: לקוחות, עובדים, ספקים, נושאי תפקיד.
- מקבלי המידע: ספקים, מחזיקים, רגולטורים, חברות בקבוצה.
- העברות חוצות גבולות: האם המידע יוצא מישראל, לאן, ומכוח איזה תנאי בתקנות ההעברה התשס"א-2001 (הסכמה, התחייבות חוזית לפי תקנה 2(4), מדינות האיחוד האירופי ועוד), בתוספת התחייבות בכתב מהמקבל לפי תקנה 3.
- מדיניות שמירה: כמה זמן שומרים, ולמה. הצדקה חוקית או עסקית.
- אמצעי אבטחה: הצפנה, בקרת גישה, אימות דו-שלבי, גיבויים, ניטור.
מי חייב, מה בדיוק, ומי חושב שלא
מפת החובות של היום, אחרי תיקון 13:
- תיעוד בסיסי, כולם: כל ארגון שמנהל מאגר מידע חייב במסמך הגדרות מאגר לפי תקנה 2 לתקנות אבטחת המידע: מהות המאגר, מטרותיו, סוגי המידע, בעלי ההרשאות ועוד. זו חובת התיעוד הרוחבית של הדין הישראלי.
- רישום, מעטים: חובת רישום המאגרים (סעיף 8א(א)) צומצמה דרמטית בתיקון 13, ונותרה לגופים ציבוריים ולמי שמטרתו העיקרית היא מסירת מידע לאחרים כדרך עיסוק או בתמורה, לרבות שירותי דיוור ישיר, עם מידע על יותר מ-10,000 בני אדם.
- הודעה, מאגרים גדולים ורגישים: בעל שליטה במאגר מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם (שאינו חייב רישום) מוסר הודעה לרשות (סעיף 8א(ב)).
- RoPA מלא: אינו חובה נקובה בדין הישראלי. הוא הכלי המעשי שמרכז את כל החובות האלה במקום אחד, וחובה של ממש למי שכפוף גם ל-GDPR האירופי.
בפועל, רוב העסקים שיש להם CRM, רשימת תפוצה, מערכת נוכחות עובדים או צ׳אט-בוט שאוסף שמות, חייבים לפחות במסמך ההגדרות ובשאר חובות התקנות. לא כי הם רוצים. כי המציאות העסקית עברה דיגיטציה.
השאלה הנשאלת בקרב יועצי הפרטיות: האם הרשות תאכוף בפועל. תקנות ההתראה המינהלית (בתוקף מ-16 באפריל 2026) נותנות לרשות כלי ביניים בין אזהרה לעיצום כספי, וזו תמורה משמעותית. מי שעדיין מחכה לראות, מחכה לאות הבא. הוא צפוי להגיע.
הפרקטיקה
בניית מרשם פעולות עיבוד היא לא פרויקט של חודש. זאת עבודה שגורם פנימי או יועץ חיצוני עורכים מול כל מחלקה בארגון, מתשאלים את האחראים, וממפים את זרימת המידע. זה דורש זמן. זה דורש שאלות לא נעימות. לפעמים זה מגלה שמערכות שלמות לא מתועדות בשום מקום.
אחרי שהמסמך הראשוני נבנה, מתחילה העבודה האמיתית: לעדכן אותו. כל פיצ׳ר חדש, כל ספק חדש, כל מערכת חדשה משנים את המפה. מרשם שלא מתעדכן הוא מסמך מת.
מה WebLaw עושה כאן
מודול ה-RoPA של WebLaw בנוי כדי שהעדכון יקרה. כל פעילות עיבוד נכנסת כרשומה. שינוי בספק או בקטגוריית מידע מעדכן את כל הקשרים אוטומטית. תאריך שמירה שפג מקפיץ התראה. וכשהרשות שואלת, המסמך לא צריך להיכתב מחדש. הוא כבר שם.
תהליך כזה לא הופך מרשם לעניין יפה. הוא הופך אותו לעניין שמתחזק את עצמו.
סיכום
הצורך לדעת איזה מידע יש לארגון, איפה הוא נמצא, ומה עושים איתו, הוא לא חדש. הוא תמיד היה. רק שעד היום, אף אחד לא דרש להראות את המסמך. זה השתנה.