דיני סייבר ואבטחת מידע בישראל 2026: מה כל סטארטאפ צריך לדעת

עמוד השירות: עורך דין מסחר דיגיטלי ו-AI: תקנון, פרטיות ודיוור.

האם הסטארטאפ שלכם חייב בדרישות סייבר?

דיני הגנת הפרטיות ואבטחת המידע בישראל חלים על כל חברה שמעבדת מידע אישי, ללא קשר לגודל או לשלב ההתפתחות. ״לא ידענו״ כבר לא מקובל כתירוץ.

הסיבה להדקה הרגולטורית פשוטה: ההפרות ממשיכות לגדול, הנזקים לפרטיות אזרחים הולכים וגוברים, וחוקים חדשים באים כדי לשמור על בעלי מידע מפני התנהגות לא אחראית של גורמים עסקיים. כל דליפת מידע, אפילו קטנה, עלולה להסב נזק משמעותי ולגרור הפרות משפטיות חמורות.

שאלה על המקרה שלכם? כתבו בוואטסאפ · 050-431-3155

אילו חוקים חלים על חברות טכנולוגיה בישראל?

הממשלה הישראלית פעלה בשנים האחרונות להחמרת דרישות הסייבר בחוקים ובתקנות שונות. מערך הסייבר הלאומי מתווה את המדיניות הלאומית והנחיות ההגנה, והמסגרת המחייבת העיקרית היא:

• חוק הגנת הפרטיות, התשמ״א-1981 — המסגרת הבסיסית לשמירה על מידע אישי, כולל זכויות גישה, תיקון וחוקיות של עיבוד.
• תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 — דרישות מחייבות לאבטחת מידע לכל בעל מאגר מידע, פרטי וציבורי, במדרג של ארבע רמות אבטחה (בסיסית, בינונית, גבוהה ומאגר של יחיד) לפי היקף המידע ורגישותו.
• חובות דיווח breach — על אירוע אבטחה חמור מודיעים לרשות להגנת הפרטיות באופן מיידי; הודעה לנושאי המידע נדרשת רק אם הרשות הורתה על כך (תקנה 11(ד)).
• הדרישות של משרדים ממשלתיים — למשרדים ממשלתיים יש דרישות אבטחה מחמירות המשפיעות על ספקים וקבלני משנה.

מה חברת טכנולוגיה ישראלית חייבת לעשות בפועל לפי דיני הסייבר והפרטיות?

1. בדיקות סיכון וערכות אבטחה

מומלץ שכל חברה שמעבדת נתונים רגישים תערוך בדיקות סיכון תקופתיות (Risk Assessment) ולהעריך את איומי הסייבר החלים עליה. זה כולל זיהוי נקודות תורפה בתשתית, בתוכנה, ובתהליכים הניהוליים. לפי תקנה 5 לתקנות, במאגר ברמת אבטחה גבוהה חובה לערוך סקר סיכונים ומבדקי חדירה אחת ל-18 חודשים לפחות, לדון בתוצאות ולתקן ליקויים; בכל רמת אבטחה יש להחזיק מסמך הגדרות מאגר (תקנה 2), ובכל רמה למעט מאגר המנוהל בידי יחיד — גם נוהל אבטחה מתועד (תקנות 4 ו-21).

2. דיווח על הפרות (Breach Reporting)

כאשר מגיע breach או התקפה סייבר המסכנת נתונים אישיים, החברה חייבת:

• להודיע לרשות להגנת הפרטיות באופן מיידי על אירוע אבטחה חמור ולדווח לה על הצעדים שננקטו (תקנה 11(ד) לתקנות אבטחת מידע). ״אירוע אבטחה חמור״ הוא שימוש במידע בלא הרשאה או פגיעה בשלמותו — במאגר ברמה גבוהה כל אירוע כזה, ובמאגר ברמה בינונית אירוע הנוגע לחלק מהותי מהמאגר.
• להודיע לנושאי המידע שעלולים להיפגע — אם הרשות הורתה על כך לאחר התייעצות עם מערך הסייבר הלאומי (תקנה 11(ד)(2)).
• לתעד את כל הפרטים — מי יזם את ההפרה, איזה נתונים נחשפו, ואילו צעדים נתקבלו בהקדם.

3. מינוי ממונה על אבטחת מידע וממונה על הגנת הפרטיות

סעיף 17ב לחוק הגנת הפרטיות מחייב מינוי ממונה על אבטחת מידע בגופים ציבוריים, בבנקים וחברות ביטוח, ובמי ששולט בחמישה מאגרי מידע החייבים ברישום או בהודעה. תיקון 13 הוסיף (סעיף 17ב1) חובת מינוי ממונה על הגנת הפרטיות, בין השאר למי שעיסוקו העיקרי כרוך בניטור שיטתי של בני אדם בהיקף ניכר או בסחר במידע אישי על יותר מ-10,000 בני אדם. גם סטארטאפ שאינו חייב בכך — כדאי שימנה אחראי אבטחה שירכז נהלים, עדכונים, הדרכות וטיפול באירועים.

מה הסנקציה על חברה שאינה עומדת בדרישות אבטחת המידע והפרטיות?

הסנקציות על הפרות של חוקי סייבר בישראל הולכות וחמורות. הרשות להגנת הפרטיות יכולה להטיל:

• קנסות מנהליים — עיצומים כספיים מכוח תיקון 13, שסכומם נגזר מסוג ההפרה ומהיקף המאגר ועלול להגיע לסכומים ניכרים במאגרים גדולים או בהפרות חוזרות.
• צווי תיקון ועמידה ברגולציה — דרישה לתקן מערכות ותהליכים כדי להיות בתאימות עם הדרישות הרגולטוריות.
• הודעה ציבורית — פרסום באתר הרשות של דבר העיצום, מהות ההפרה, סכום העיצום וככלל גם שם המפר כשהוא תאגיד, לתקופה של ארבע שנים (סעיף 23מו) — פרסום שעלול לפגוע משמעותית במוניטין העסקי של החברה.
• אחריות אזרחית — פרטים שנפגעו מהפרה יכולים להגיש תביעות כדי לקבל פיצויים על הנזק שנגרם להם.

סטארטאפים שמזניחים אבטחת סייבר מסתכנים בעיקר בפגיעה במוניטין, בכישלון עסקאות, ובהנמכת ערך החברה בעיני משקיעים וגורמים אחרים.

מותר להזין מידע אישי של לקוחות לכלי AI גנרטיבי?

הזנת מידע אישי ממאגר הלקוחות לכלי AI חיצוני היא ״עיבוד״ של המידע — ההגדרה בסעיף 3 לחוק הגנת הפרטיות כוללת גם העברה, מסירה ומתן גישה — ולכן היא מותרת רק למטרת המאגר שנקבעה לו כדין (סעיף 8(ב)). ספק הכלי, כשהוא מעבד את המידע בעבור החברה, עשוי להיחשב ״מחזיק״ (סעיף 3), ואם השירות כרוך במתן גישה למאגר — יש לבחון מראש את סיכוני האבטחה ולקבוע בהסכם את המידע שמותר לעבד, את מטרות השימוש ואת אמצעי האבטחה (תקנה 15 לתקנות אבטחת מידע). כשהשרתים מחוץ לישראל חלות גם תקנות העברת מידע לחו״ל. תלוי בנסיבות, אבל בדרך כלל עדיף להזין מידע שהוסרו ממנו פרטים מזהים, ולקבוע בנוהל האבטחה אילו כלים מותרים.

מאיפה מתחילים — רשימת הפעולות המינימלית לעמידה בדיני הסייבר בישראל?

כדי לעמוד בדרישות הרגולטוריות, סטארטאפים צריכים:

• מיפוי נתונים — תחקר מלא של איזה נתונים מעובדים, כיצד הם נשמרים, ומי יש גישה אליהם בדיוק.
• מדיניות ותהליכים מתועדים — תעדו מדיניות סייבר ברורות, בדיקות גישה תקופתיות, הצפנת נתונים, וטיפול בתקריות.
• הדרכת צוות רחבה — כל עובד צריך הכשרה בסיסית בזיהוי דיוג (phishing), שימוש בסיסמאות חזקות, וטיפול בנתונים רגישים.
• עדכוני תוכנה וטלאי אבטחה — הקפידו על עדכונים שוטפים של מערכות הפעלה, רכיבי תקשורת ותוכנות צד שלישי.
• בדיקות חיצוניות — שקלו קבלני בדיקות סייבר או audits קוד תקופתיים.
• ביטוח סייבר — בחן ביטוח סייבר שתכסה הוצאות בתגובה להפרה או תקרית סייבר.

סטארטאפים שנערכים לדרישות הסייבר מוקדם לא רק נמנעים מקנסות — הם בונים יתרון תחרותי. לקוחות, שותפים ומשקיעים רוצים לדעת שהמידע שלהם מוגן. אבטחה טובה היא כבר חלק מה-pitch.