דליפת מידע בחברה: מתי האחריות האישית מגיעה לכיסא הדירקטור או נושא המשרה?

אחריות דירקטורים ונושאי משרה בעידן תיקון 13 לחוק הגנת הפרטיות

דליפת מידע אישי מחברה כבר אינה נתפסת רק כתקלה טכנולוגית או כאירוע שנמצא באחריות מחלקת ה־IT. בעידן שבו כמעט כל חברה מחזיקה מידע על לקוחות, עובדים, ספקים, משתמשים, לידים או מועמדים לעבודה — אירוע פרטיות עלול להפוך במהירות למשבר משפטי, עסקי, רגולטורי ותדמיתי.

תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025, משנה במידה ניכרת את סביבת הסיכון של חברות בישראל. התיקון עדכן הגדרות מרכזיות, צמצם חלק מחובות רישום מאגרי המידע, הרחיב חובות מסוימות וחיזק את סמכויות האכיפה של הרשות להגנת הפרטיות, לרבות אפשרות להטלת עיצומים כספיים משמעותיים.

עבור דירקטורים ונושאי משרה, המשמעות ברורה: הגנת פרטיות וסייבר אינן רק נושא טכני. הן חלק מממשל תאגידי תקין, מניהול סיכונים ומחובת הפיקוח של הנהלת החברה. השאלה אינה רק האם החברה הפרה את חוק הגנת הפרטיות, אלא האם הדירקטוריון וההנהלה פעלו באופן סביר כדי לזהות, למנוע, לצמצם ולנהל את סיכוני הפרטיות והמידע.

התשובה הקצרה היא כי במקרים מסוימים עשויה להתעורר חשיפה לטענות לאחריות אישית כלפי דירקטורים ונושאי משרה במקרה של הפרת פרטיות או דליפת מידע, במיוחד כאשר ניתן להראות שהתעלמו מסיכונים ידועים, לא קבעו נהלים, לא פיקחו על יישומם, לא הקצו משאבים סבירים או לא טיפלו בליקויים חוזרים.

מה השתנה בעקבות תיקון 13 לחוק הגנת הפרטיות?

תיקון 13 הוא אחת הרפורמות המרכזיות בדיני הפרטיות בישראל. הוא נועד להתאים את הדין למציאות שבה מידע אישי נאסף, נשמר, מעובד ומועבר בהיקפים גדולים — באמצעות מערכות CRM, מערכות דיוור, אתרים, אפליקציות, ספקי ענן, מערכות HR, כלי פרסום דיגיטליים, מערכות אוטומציה וכלי בינה מלאכותית.

השינוי המרכזי מבחינת חברות אינו רק ברישום מאגרי מידע או בהגדרות החוק. השינוי הוא במעבר מתפיסה בירוקרטית לתפיסה מהותית: החברה צריכה לדעת איזה מידע היא מחזיקה, מדוע היא מחזיקה אותו, מי ניגש אליו, איך הוא מוגן, למי הוא מועבר ומה היא עושה במקרה של אירוע אבטחה.

בעבר, לא מעט חברות התייחסו לפרטיות כאל נושא שניתן “לסדר” באמצעות מדיניות פרטיות באתר או רישום מאגר. כיום, במיוחד לאחר תיקון 13, נדרש מערך ניהולי רחב יותר: מיפוי מידע, נהלים, הרשאות, בקרת ספקים, הדרכות עובדים, נוהל תגובה לאירוע ותיעוד החלטות.

עבור הדירקטוריון, המשמעות היא שבמקרים המתאימים אין להסתפק באמירה כללית ש”הנושא בטיפול”, ונדרשת מעורבות פיקוחית ממשית ומותאמת לנסיבות.

האם תיקון 13 מטיל אחריות אישית אוטומטית על דירקטורים?

לא. חשוב לדייק: עצם העובדה שאירעה דליפת מידע אינה מטילה באופן אוטומטי אחריות אישית על דירקטורים או נושאי משרה. גם חברה שמנהלת את סיכוני הפרטיות שלה ברצינות עלולה להיפגע מאירוע סייבר, טעות אנוש או כשל של ספק חיצוני.

השאלה המשפטית והניהולית המרכזית היא האם החברה ונושאי המשרה פעלו באופן סביר לפני האירוע, במהלכו ולאחריו, לצד בחינת נסיבות נוספות של המקרה.

כלומר, לא בוחנים רק את עצם הדליפה, אלא את התמונה הרחבה:

• האם היה מיפוי של מאגרי המידע?
• האם היו נהלי אבטחת מידע?
• האם הדירקטוריון קיבל דיווחים על סיכוני פרטיות וסייבר?
• האם התקיימו דיונים בנושא?
• האם הוקצו משאבים מתאימים?
• האם היו התרעות שלא טופלו?
• האם החברה ניהלה ספקים חיצוניים שקיבלו גישה למידע?
• האם היה נוהל תגובה לאירוע אבטחה?
• האם הדיווח לרשות נעשה בזמן, אם נדרש?

כאשר התשובה לשאלות האלה שלילית, אירוע פרטיות עלול להיראות לא כתקלה בודדת, אלא ככשל ניהולי.

חובת הזהירות וחובת האמונים: איך דיני החברות פוגשים את סיכוני הסייבר?

האחריות האישית של דירקטורים ונושאי משרה אינה נובעת רק מדיני הגנת הפרטיות. היא מתחברת גם לדיני החברות, ובעיקר לשתי חובות יסוד: חובת הזהירות וחובת האמונים.

חובת הזהירות מחייבת נושא משרה לפעול ברמת מיומנות וזהירות שנושא משרה סביר היה מפעיל באותן נסיבות. בעידן הנוכחי, התעלמות מוחלטת מסיכוני סייבר, פרטיות ומאגרי מידע עלולה להיתפס כהתנהלות שאינה עומדת ברף הסבירות.

כפי שדירקטוריון נדרש לתת את דעתו לסיכונים פיננסיים, רגולטוריים או תפעוליים, כך עליו לתת את דעתו גם לסיכוני מידע. מידע אישי הוא נכס עסקי, אבל גם מקור חשיפה. ככל שהחברה מחזיקה מידע רחב יותר או רגיש יותר, כך מצופה מהדירקטוריון לגלות מעורבות גבוהה יותר בפיקוח על ניהולו.

חובת האמונים מחייבת את נושא המשרה לפעול לטובת החברה ולהימנע מניגוד עניינים או מניצול כוחו לרעה. בהקשר של פרטיות, הפרת חובה זו יכולה להתעורר, למשל, כאשר הנהלה בוחרת במודע להתעלם מסיכון חמור כדי לחסוך בעלויות בטווח הקצר, אף שהדבר חושף את החברה לנזק משמעותי בטווח הארוך.

המשמעות היא שאירוע דליפת מידע חמור עשוי להעלות שתי שאלות מקבילות: האם הייתה רשלנות ניהולית, והאם ההחלטות שהתקבלו אכן שירתו את טובת החברה.

מה דירקטוריון צריך לעשות כדי להראות שפעל באופן סביר?

דירקטוריון אינו אמור לנהל בעצמו את מערכות אבטחת המידע. הוא גם לא אמור להחליף את מנהל ה־IT, מנהל אבטחת המידע או היועץ המשפטי. אבל הוא כן צריך לוודא שקיים מערך פיקוח סביר.

בפועל, דירקטוריון שרוצה לצמצם חשיפה צריך להראות שנקט צעדים אקטיביים ומתועדים, למשל:

• קיים דיון בנושא מאגרי מידע וסיכוני פרטיות.
• דרש מההנהלה מיפוי של סוגי המידע שהחברה מחזיקה.
• ווידא שקיימים נהלי אבטחת מידע והרשאות גישה.
• בחן סיכונים הקשורים לספקים חיצוניים.
• קיבל דיווח על אירועי אבטחה קודמים ועל אופן הטיפול בהם.
• דרש תוכנית עבודה לתיקון ליקויים.
• ווידא שהוקצו משאבים סבירים להגנה על מידע.
• קבע מנגנון דיווח תקופתי לדירקטוריון.
• ווידא שקיים נוהל תגובה לאירוע אבטחת מידע.

הדגש הוא לא רק עצם קיום הנהלים, אלא היכולת להראות שהדירקטוריון פיקח, שאל שאלות, קיבל החלטות ותיעד אותן.

לא רק באחריות ה־IT: פרטיות כסיכון עסקי וניהולי

אחת הטעויות הנפוצות היא לראות בהגנת פרטיות וסייבר עניין טכני בלבד. בפועל, מדובר בסיכון עסקי לכל דבר.

דליפת מידע יכולה לגרום לעלויות כבדות: חקירת אירוע, טיפול טכנולוגי, דיווחים לרשות, הודעות ללקוחות, אובדן אמון, תביעות אזרחיות, תביעות ייצוגיות, פגיעה במוניטין, ביטול עסקאות ולעיתים גם פגיעה בשווי החברה.

לכן, ממשל תאגידי נכון מחייב את הדירקטוריון להבין מהם סיכוני המידע המרכזיים של החברה:

• אילו מאגרי מידע קיימים?
• מהם חמשת סיכוני הסייבר המרכזיים?
• מה יקרה במקרה של אירוע כופרה?
• מי מחזיק בהרשאות גישה למידע רגיש?
• אילו ספקים חיצוניים מקבלים מידע אישי?
• האם יש שימוש במידע אישי בכלי AI?
• האם קיימת תוכנית תגובה לאירוע?
• האם בוצעו הדרכות עובדים?
• האם קיימת מדיניות מחיקת מידע?

דירקטוריון שלא שואל שאלות כאלה עלול להיתפס כמי שלא מילא את תפקיד הפיקוח שלו כראוי.

רשלנות מול ניהול סביר: איך האירוע ייראה בדיעבד?

כאשר מתרחשת דליפת מידע, הבדיקה בדיעבד אינה מתמקדת רק בשאלה הטכנית “איך המידע דלף”. היא בוחנת את ההתנהלות הכוללת של החברה לפני האירוע ובמהלכו.

המסר המרכזי הוא שגם אם אירעה דליפה, חברה שהתנהלה באופן סביר ומתועד נמצאת במצב טוב בהרבה מחברה שפעלה מתוך הזנחה, עצימת עיניים או חוסר פיקוח.

תביעה נגזרת, עיצומים וביטוח D&O: מהי החשיפה האמיתית?

החשיפה בעקבות דליפת מידע אינה מסתכמת בהליך מול הרשות להגנת הפרטיות. אירוע משמעותי עלול לגרור כמה מעגלי סיכון במקביל.

המעגל הראשון הוא אכיפה רגולטורית. לאחר תיקון 13, לרשות להגנת הפרטיות יש סמכויות אכיפה משמעותיות יותר, וחברה שלא עמדה בחובותיה עלולה להיחשף לעיצומים כספיים ולהוראות תיקון.

המעגל השני הוא תביעות אזרחיות, לרבות תביעות ייצוגיות מצד נפגעים שטוענים לפגיעה בפרטיותם.

המעגל השלישי, שחשוב במיוחד לדירקטורים, הוא תביעה נגזרת. אם דליפת המידע גרמה לחברה נזק כלכלי משמעותי — למשל עיצומים כספיים, אובדן לקוחות, ירידת שווי, פגיעה במוניטין או עלויות תיקון גבוהות — בעל מניות עשוי לטעון כי לפחות חלק מן הנזק נגרם בשל כשל של הדירקטוריון או ההנהלה בפיקוח על סיכוני פרטיות וסייבר.

במקרה כזה, התביעה אינה מוגשת בשם הלקוח שנפגע, אלא בשם החברה עצמה נגד נושאי המשרה שנטען כי גרמו לה נזק.

גם ביטוח אחריות דירקטורים ונושאי משרה, D&O, אינו בהכרח פתרון מלא. פוליסות כאלה עשויות לסייע במימון הוצאות הגנה או להעניק כיסוי מסוים, אך הדבר תלוי בתנאי הפוליסה, בחריגים, במגבלות סכום ובשאלות הנוגעות, בין היתר, לחובת גילוי, ליסוד נפשי, להפרת אמונים הנטענת או לסוגי מעשים שלגביהם עשויות לחול מגבלות כיסוי. לכן, אין לראות בביטוח תחליף לניהול סיכונים נכון.

מה חברות צריכות לעשות עכשיו?

לאחר תיקון 13, חברות רבות צריכות לבחון מעבר מגישה תגובתית לגישה מניעתית. במקום לשאול מה עושים אחרי דליפה, צריך לשאול מה עושים כדי למנוע אותה — ומה עושים כדי להראות שהחברה ניהלה את הסיכון באופן סביר.

הצעדים המרכזיים הם:

• מיפוי מאגרי מידע ונכסי מידע.
• עדכון מדיניות פרטיות ונהלי אבטחת מידע.
• בדיקת הרשאות גישה.
• ניהול ספקים חיצוניים שמקבלים מידע אישי.
• קביעת מדיניות שימוש בכלי AI.
• הדרכת עובדים.
• קביעת נוהל תגובה לאירוע אבטחה.
• קביעת גורם אחראי לפרטיות.
• דיווח תקופתי לדירקטוריון.
• תיעוד החלטות, דיונים ותוכניות עבודה.

הנקודה החשובה היא שהדירקטוריון אינו חייב לפתור בעצמו כל בעיית סייבר, אבל הוא חייב לוודא שהחברה מתייחסת לנושא ברצינות, מקבלת החלטות מושכלות ומפקחת על הביצוע.

שאלות נפוצות

סיכום: פרטיות היא כבר לא הערת שוליים — היא אחריות ניהולית

תיקון 13 לחוק הגנת הפרטיות מחדד את העובדה שמידע אישי הוא לא רק נכס עסקי, אלא גם מקור סיכון. דליפת מידע עלולה להוביל לאכיפה רגולטורית, תביעות אזרחיות, פגיעה במוניטין ולעיתים גם בחינה של התנהלות הדירקטוריון ונושאי המשרה.

אחריות אישית אינה אוטומטית, אך היא בהחלט אפשרית כאשר קיימת עצימת עיניים, היעדר פיקוח, התעלמות מסיכונים ידועים, אי הקצאת משאבים או טיפול לקוי באירוע.

הדרך לצמצם את הסיכון אינה מתחילה ביום שבו המידע דולף. היא מתחילה הרבה קודם: במיפוי מידע, קביעת נהלים, ניהול הרשאות, בקרת ספקים, הדרכות עובדים, תיעוד החלטות ופיקוח דירקטוריון אקטיבי.

בעידן תיקון 13, דירקטוריון שאינו מעניק משקל מספק לניהול סיכוני הפרטיות של החברה עלול לגלות מאוחר מדי שהאירוע הטכנולוגי התפתח גם לשאלה משפטית הנוגעת לאחריותם של נושאי המשרה.

אודות המחבר: עו״ד משה כאהן

עו״ד משה כאהן עומד בראש משרד עורכי דין בתל אביב המתמחה במשפט עסקי ומסחרי, דיני חברות, ליטיגציה מסחרית, עסקים משפחתיים, ירושה ועיזבון, חברות הייטק, דיני עבודה וייצוג בהליכים משפטיים ובבוררויות.

עו״ד כאהן הוא מחבר הספר “סכסוכי שותפים בעולם העסקי”, חבר בוועדת התאגידים של לשכת עורכי הדין, ייסד ועמד בראש המרכז לגישור בין עורכי דין מטעם המוסד הארצי לגישור שליד לשכת עורכי הדין, ומשמש כרכז אקדמי ומרצה בקורסים בתחומי עסקים, משפט, משפחה ודיני עבודה למנהלים במרכז למשפט מסחרי באוניברסיטת בר־אילן.