שמירת מידע: חובות ותקופות

עמוד השירות: עורך דין מסחר דיגיטלי ו-AI: תקנון, פרטיות ודיוור.

חובות שמירת מידע לפי חוקים שונים בישראל

אין בחוק הגנת הפרטיות, התשמ״א-1981, דרישה מוחלטת וחד-משמעית לשמירת מידע למשך זמן מסוים. עדיין, החוק מגביל את השימוש במידע למטרה שלשמה הוקם המאגר (סעיף 8(ב)), ותקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017, מחייבות את בעל המאגר לבחון אחת לשנה אם המידע שהוא שומר אינו רב מן הנדרש למטרות המאגר (תקנה 2(ג)). זהו ״עקרון מזעור הנתונים״ (data minimization). כלומר: יותר מידע = יותר סיכון משפטי.

חוקים שונים בישראל קובעים דרישות שמירה שונות בהתאם לסוג הנתונים:

נתוני מס והנהלת חשבונות: הוראות מס הכנסה (ניהול פנקסי חשבונות), התשל״ג-1973, קובעות (סעיף 25) כי מערכת החשבונות תישמר שבע שנים מתום שנת המס שאליה היא מתייחסת, או שש שנים מיום הגשת הדוח על ההכנסה לאותה שנה — לפי המאוחר. זה כולל את ספרי החשבונות, החשבוניות והקבלות.

נתוני בנק: צו איסור הלבנת הון (חובות זיהוי, דיווח וניהול רישומים של תאגידים בנקאיים למניעת הלבנת הון ומימון טרור), התשס״א-2001, מחייב בנק לשמור את מסמכי הזיהוי של הלקוח שבע שנים לפחות אחרי סגירת החשבון, ואת רישומי הפעולות שבע שנים לפחות מיום רישום הפעולה.

נתוני עבודה: חוק הגנת השכר, התשי״ח-1958 (סעיף 24), מחייב מעסיק לנהל פנקס שכר, וחוק שעות עבודה ומנוחה מחייב רישום של שעות העבודה. הדין אינו קובע תקופת שמירה אחידה לתיק העובד, אך בפועל נהוג לשמור את התיעוד לפחות שבע שנים מסיום ההעסקה — תקופת ההתיישנות הכללית לפי חוק ההתיישנות, התשי״ח-1958 — משום שזה פרק הזמן שבו עובד עשוי עוד לתבוע.

נתוני בריאות: תקנות בריאות העם (שמירת רשומות), תשל״ז-1976, מחייבות בית חולים לשמור את התיעוד הרפואי של מטופל 20 שנה לאחר האשפוז או הטיפול האחרון, ולשמור תיק של מטופל במרפאת החוץ של בית החולים 7 שנים לאחר הטיפול האחרון. זו דרישה מחמירה, בין היתר בשל הסיכון לתביעות רפואיות שמתגלות רק שנים אחרי מתן הטיפול.

נתוני אבטחת מידע: כאן הסיכון הפוך — שמירה קצרה מדי היא ההפרה. במאגר שחלה עליו רמת אבטחה בינונית או גבוהה, נתוני התיעוד של מנגנון הבקרה על הגישה למאגר (מי ניגש, מתי, לאיזה רכיב, ואם הגישה אושרה או נדחתה) יישמרו 24 חודשים לפחות (תקנה 10(ד) לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017). נתונים שנצברו ביישום חובות האבטחה — ובהם תיעוד אירועי אבטחה (תקנה 11) — נשמרים באופן מאובטח 24 חודשים, בכל מאגר שאינו מאגר המנוהל בידי יחיד (תקנות 17(א) ו-21).

שאלה על המקרה שלכם? כתבו בוואטסאפ · 050-431-3155

מקרה מחקרי: תקופות השמירה בחברת E-Commerce

חשבו על חנות אינטרנט רגילה. מה היא צריכה לשמור?

• נתוני לקוחות בסיסיים: שם, כתובת, טלפון, דוא״ל — כל עוד הם נדרשים לטיפול בהזמנה, בתלונות ובהחזרות, או עד סיום הליך משפטי תלוי ועומד
• נתוני העסקאות: מספר הזמנה, מחיר, תאריך — שבע שנים מתום שנת המס, לפי הוראות ניהול פנקסי חשבונות
• רשומות תשלום: אסמכתאות התשלום נשמרות עם מסמכי הנהלת החשבונות; פרטי כרטיס אשראי מלאים אין סיבה לשמור אחרי השלמת העסקה, אלא אם הלקוח ביקש לשמור אמצעי תשלום לקניות עתידיות
• תיעוד פניות ותלונות: תיעוד הטיפול והפתרון — עד תום תקופת ההתיישנות, אם צפוי הליך משפטי
• נתוני רישום: שם משתמש וסיסמה מוצפנת — עד סגירת החשבון, ולאחריה רק אם יש צורך מוגדר (למשל מניעת הונאות) ולפרק זמן קצוב

אם חברה שומרת מידע זה זמן רב מהנדרש, היא מחזיקה ״מידע עודף״ בניגוד לחובת הבחינה השנתית שבתקנות אבטחת מידע, ומגדילה את הנזק ואת החשיפה המשפטית במקרה של דליפה. לדוגמה, שמירת פרטי כרטיס אשראי של לקוח שלא ביצע עסקה כבר שנתיים היא סיכון מיותר — גם מול הלקוח, גם מול חברת האשראי וגם מול הרשות להגנת הפרטיות.

דרישות גבוהות יותר לנתונים רגישים

נתונים מסוגים מסוימים דורשים תקופות שמירה קצרות יותר או התייחסות מיוחדת:

נתוני גנטיים וביומטריים: חוק הגנת הפרטיות מגדיר מידע גנטי ומזהה ביומטרי כ״מידע בעל רגישות מיוחדת״ (סעיף 3), ולכן חלות עליהם דרישות אבטחה מחמירות יותר, ולמידע גנטי יש גם הוראות מיוחדות בחוק מידע גנטי, התשס״א-2000. תקופת השמירה צריכה להיות הקצרה ביותר שמתחייבת ממטרת האיסוף. לדוגמה, סריקת אצבע שנשמרה לצורך כניסה למשרד — כדאי למחוק כשהעובד עוזב, משום שאז מתמצית המטרה.

נתוני רגישים אחרים: נתוני בריאות נפשית, היסטוריה פלילית, ונתוני דת צריכים להיות מוגנים ביותר. תקופות שמירה צריכות להיות קצרות יותר, ולעיתים יש למחוק אותם כבר כשהמטרה שלשמה נאספו הושגה.

תוכנית שמירה עדכנית ומחיקה נכונה

חברה צריכה להחזיק מדיניות שמירת מידע (Data Retention Policy) כתובה. התוכנית צריכה לכלול:

• סוגי הנתונים השונים (רישום, עסקאות, בריאות וכו׳)
• תקופת השמירה לכל סוג
• הבסיס המשפטי לתקופה זו (מס, הלבנת הון, בריאות, התיישנות)
• תהליך מחיקה (איך בדיוק נתונים יימחקו — באופן קבוע, סימון ״מחוקים״, או שריפה פיזית)
• אדם אחראי על מחיקה
• תיעוד של כל מחיקה (למטרות ביקורת רגולטורית)

בעת מחיקה, צריך לוודא שלא ניתן לשחזר את הנתונים. מחיקה פשוטה מסייר הקבצים אינה מספיקה — יש להשתמש בכלי מחיקה מאובטחת. בחברות גדולות, מומלץ לבצע אימות על ידי גורם שלישי כדי להוכיח שמחיקה בוצעה.

אילו נתונים מחייבים תקופת שמירה קצרה במיוחד?

על בעלי עסקים לבדוק אם נתונים מסוגים מסוימים צריכים להישמר רק לפרק הזמן הקצר ביותר האפשרי:

נתוני מיקום: אם חברה עם אפליקציה סלולרית שומרת נתוני מיקום לניתוח תנועה — מותר לשמור רק כל עוד הנתונים משרתים מטרה ברורה (למשל, עד סיום הניתוח שלשמו נאספו). אחרי זה — מוחקים.

צילומי מצלמות אבטחה: יש לשמור את הצילומים לפרק זמן קצר בלבד, כנדרש למטרת האבטחה שלשמה הותקנו המצלמות. שמירה ארוכה יותר נחשבת ״עודפת״.

הודעות דיוג (phishing): אם עובד מקבל דוא״ל חשוד, יש להעביר אותו לצוות האבטחה ולמחוק אחרי טיפול.

מחיקה כזכות של הפרט

חוק הגנת הפרטיות אינו קובע ״זכות להישכח״ כללית, אבל סעיף 14 לחוק מעניק לכל אדם שעיין במידע עליו ומצא שאינו נכון, שלם, ברור או מעודכן את הזכות לפנות לבעל המאגר בבקשה לתקן את המידע או למחוק אותו. לפי תקנה 7 לתקנות הגנת הפרטיות (תנאים לעיון במידע וסדרי הדין בערעור על סירוב לבקשת עיון), התשמ״א-1981, בעל המאגר שמסרב לתקן או למחוק את המידע חייב להודיע על כך למבקש בתוך 30 ימים מיום קבלת הבקשה, ואי-מתן תשובה בתוך תקופה זו דינו כהודעת סירוב (ראו גם סעיף 14(ג) לחוק); ומאז תיקון 13 בית המשפט רשאי לפסוק פיצויים לדוגמה של עד 10,000 ₪ למי שלא קיבל הודעה כזו (סעיף 15א). גם כשאין חובה חוקית למחוק, שמירת מידע שהמטרה לאיסופו מוצתה מנוגדת לעקרון מזעור הנתונים, ולכן ארגון שמקבל בקשת מחיקה צריך לבדוק אם קיימת חובת שמירה שגוברת עליה (כמו חובת שמירה לצורכי מס) — ואם אין, למחוק. מי שנתקל בכך בפועל ימצא את הצעדים המעשיים ב ליווי משפטי למסחר דיגיטלי ובינה מלאכותית.

חריג חשוב: על מידע אישי שהועבר לישראל מהאזור הכלכלי האירופי (מדינות האיחוד האירופי, איסלנד, נורווגיה וליכטנשטיין) — למעט מידע שאדם מסר ישירות על עצמו — חלות תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי), התשפ״ג-2023. לפיהן בעל המאגר חייב להפעיל מנגנון שמבטיח שלא יוחזק מידע שאינו נחוץ עוד, ולמחוק מידע כזה במועד המוקדם האפשרי (תקנה 4); ולבקשה בכתב של נושא המידע עליו למחוק מידע שנאסף שלא כדין או שאינו נחוץ עוד למטרתו, אלא אם חל אחד החריגים — למשל מילוי חובה חוקית או ניהול הליך משפטי (תקנה 3).

שאלות נפוצות

כמה זמן חייבים לשמור מסמכי מס, רשומות בנקאיות ותיקי עובדים בישראל?

מסמכי הנהלת חשבונות נשמרים שבע שנים מתום שנת המס (או שש שנים מיום הגשת הדוח, לפי המאוחר), רשומות בנקאיות שבע שנים לפי צו איסור הלבנת הון, ותיקי עובדים נהוג לשמור שבע שנים מסיום ההעסקה — תקופת ההתיישנות הכללית. רשומה רפואית של מאושפז נשמרת 20 שנה. כל סוג מידע כפוף לתקופת שמירה שונה שנקבעת בדין הרלוונטי אליו, ואין כלל אחיד אחד שמתאים לכל סוגי המידע.

האם שמירת מידע מעבר לתקופה הנדרשת בטוחה יותר מבחינה משפטית?

לא. שמירת מידע מעבר לנדרש היא חשיפה משפטית עצמאית, גם כשלא היה כל דיווח או תקלה — מידע שנשמר בלי הצדקה חוקית ברורה הוא נטל וסיכון בפני עצמו, ולא רק שמירה קצרה מדי היא הסיכון.

האם אדם יכול לדרוש מחיקת המידע האישי שלו?

באופן חלקי. סעיף 14 לחוק הגנת הפרטיות מאפשר למי שעיין במידע עליו ומצא שאינו נכון, שלם, ברור או מעודכן לבקש מבעל המאגר לתקן או למחוק אותו, ואם בעל השליטה מסרב — עליו להודיע על כך למבקש בתוך 30 ימים מיום קבלת הבקשה (סעיף 14(ג) לחוק ותקנה 7(ב) לתקנות הגנת הפרטיות (תנאים לעיון במידע וסדרי הדין בערעור על סירוב לבקשת עיון), התשמ״א-1981). זכות כללית ל״הישכחות״ (מחיקת מידע נכון) אינה קבועה בחוק הישראלי, ובכל מקרה חובת שמירה חוקית — כמו חובת שמירה לצורכי מס — גוברת על הבקשה.