איך מטפלים בבקשת אדם לעיין, לתקן או למחוק מידע שהעמותה מחזיקה עליו?

התשובה נבדקה ביום 29.07.2026 לפי הדין והנחיות הרשות להגנת הפרטיות בישראל. היא מתארת תהליך עבודה לעמותה, אך אינה מחליפה ייעוץ משפטי במקרה של סכסוך, מידע רפואי רגיש, קטין, חקירה, צו שיפוטי או בקשה רחבת היקף.

התשובה הקצרה

העמותה צריכה להתייחס לכל פנייה כאל בקשת זכויות מסודרת, ולא כאל הודעת שירות רגילה שאפשר להשאיר בתיבת דואר של עובד:

1. רושמים את הבקשה ואת מועד קבלתה, שולחים אישור קבלה ומבררים מה האדם מבקש.
2. מאמתים את זהותו במידה שמתאימה לסיכון, בלי לאסוף מסמכי זיהוי מיותרים.
3. עוצרים מחיקה שגרתית של החומר המבוקש עד שניתנה אפשרות סבירה לעיין בו.
4. מאתרים מידע בכל המערכות והספקים הרלוונטיים, לא רק ב־CRM הראשי.
5. מפרידים בין עיון, תיקון, מחיקה, הפסקת דיוור וסגירת חשבון — לכל זכות תנאים שונים.
6. מגינים על מידע של אנשים אחרים ועל סודות או חסיונות תקפים.
7. מוסרים תשובה מאובטחת, מנומקת ומתועדת; ואם מתקנים או מוחקים, מעדכנים גם עותקים פעילים וספקים מתאימים.

הנקודה החשובה ביותר היא שבדין הישראלי אין זכות כללית ובלתי מוגבלת למחוק כל רשומה תקינה לפי דרישה. סעיף 13 לחוק מקנה זכות עיון במידע אישי על האדם. סעיף 14 מאפשר לבקש תיקון או מחיקה כאשר המידע אינו נכון, שלם, ברור או מעודכן. זכויות מחיקה נוספות קיימות בהקשרים מיוחדים, למשל דיוור ישיר או מידע מסוים שהועבר לישראל מהאזור הכלכלי האירופי. במקביל, עמותה עשויה להיות חייבת לשמור קבלה, מסמך חשבונאי, התחייבות לתורם, פרוטוקול, תיעוד עבודה או ראיה למחלוקת.

קודם מזהים איזו בקשה התקבלה

אדם אינו חייב להשתמש במונח משפטי מדויק. הודעות כמו „תשלחו לי את כל מה שיש לכם עליי”, „השם שלי שגוי”, „אל תפנו אליי יותר” או „תמחקו את החשבון” עשויות להפעיל מסלולים שונים.

| מה האדם מבקש בפועל | המסלול | |---|---| | לראות או לקבל עותק של המידע עליו | עיון לפי סעיף 13 | | לתקן כתובת, סכום, סטטוס או פרט שגוי | תיקון לפי סעיף 14 | | למחוק מידע שגוי, לא שלם, לא ברור או לא מעודכן | תיקון או מחיקה לפי סעיף 14 | | להפסיק פניות המבוססות על אפיון או רשימת תפוצה | מחיקה/הפסקת מסירה בדיוור ישיר | | לבטל הסכמה לפרסום צילום או סיפור | בדיקת ההסכמה, מטרת השימוש והמשך ההסתמכות | | לסגור משתמש באתר | סגירת גישה וחשבון, לצד בדיקת רשומות שחובה או מותר לשמור | | למחוק מידע שהגיע מה־EEA | בדיקה לפי התקנות המיוחדות למידע מהאזור הכלכלי האירופי | | לקבל מסמך ציבורי על פעילות העמותה | ייתכן שזה מסלול אחר, ולא בקשת עיון במידע אישי |

אם הבקשה עמומה, לא דוחים אותה. מאשרים קבלה ושואלים שאלה קצרה: לאילו מערכות, תקופות, פרויקטים או סוגי מידע היא מתייחסת, והאם המבקש רוצה עיון, תיקון, הפסקת דיוור או מחיקה. ההבהרה מסייעת לחיפוש אך אינה תירוץ לצמצם באופן מלאכותי בקשה ברורה.

שלב 1: פותחים תיק בקשה ושומרים את המצב

מיד עם קבלת הפנייה יוצרים מספר בקשה ורושמים:

• מועד וערוץ קבלה;
• פרטי הקשר שמסר המבקש;
• נוסח הבקשה המקורי;
• סוגי הזכויות שהתבקשו;
• מערכות, שנים ופרויקטים שהוזכרו;
• מי אחראי לטיפול;
• מועדי יעד פנימיים;
• פעולות אימות;
• מערכות וספקים שנבדקו;
• החלטה, נימוק ומועד מסירה;
• תיקונים, מחיקות, הגבלות שימוש והודעות המשך.

תקנות העיון קובעות מסגרת של 30 ימים למתן העיון, והנחיית הרשות העדכנית לגבי מידע דיגיטלי חוזרת עליה. אין להמתין ליום האחרון: מגדירים יעד פנימי קצר יותר כדי להשאיר זמן לאימות, לחיפוש, להשחרת מידע של אחרים ולמסירה מאובטחת.

מרגע שהתקבלה בקשת עיון אין למחוק את המידע המבוקש במסגרת מחזור מחיקה רגיל עד שניתנה לאדם אפשרות סבירה לממש את זכותו. עם זאת, אין לשנות את החומר כדי „לשפר” אותו לאחר הבקשה. שומרים את המצב הקיים, מתעדים כל תיקון ומפרידים בין המקור לבין גרסה מתוקנת.

שלב 2: מאמתים זהות באופן מידתי

מסירת תיק תורם, תיעוד רפואי, שיחת תמיכה או פרטי מקבל סיוע לאדם הלא נכון היא אירוע פרטיות. מצד שני, דרישה אוטומטית לצילום תעודת זהות מכל פונה יכולה ליצור מאגר רגיש חדש ומיותר.

הדרך הנכונה היא אימות לפי סיכון:

• בקשה מתוך אזור אישי מאומת — בודקים שהחשבון אכן שייך לאדם ושאין סימני השתלטות.
• פנייה מכתובת הדוא״ל שכבר רשומה — אפשר לשלב קוד חד־פעמי או שאלה שאינה חושפת מידע רגיש.
• שינוי כתובת או חשד להתחזות — משתמשים בערוץ קשר קיים נוסף או בתהליך אימות מוגבר.
• בקשה באמצעות נציג — מבקשים הרשאה בכתב ומוודאים את זהות המבקש והנציג.
• קטין או אדם שמונה לו אפוטרופוס — בודקים את הסמכות העדכנית ואת גבולותיה.

שומרים רק את הראיה המינימלית לכך שהאימות בוצע. אין לבקש סיסמה, פרטי אשראי מלאים או מידע שאינו נחוץ. אם נדרש מסמך מזהה, מסתירים שדות מיותרים, מגבילים הרשאה וקובעים מועד מחיקה שלו. הרשות מדגישה שמסירת העיון חייבת להיעשות לאחר זיהוי נאות ובאופן שמונע גישה למידע עודף או למידע של צדדים שלישיים.

שלב 3: ממפים איפה המידע נמצא

חיפוש לפי שם ב־CRM בלבד אינו מספיק. מידע על אותו אדם עשוי להיות מפוזר ב:

• מערכת משתמשים והאזור האישי;
• CRM ורשימות תפוצה;
• מערכת תרומות, סליקה וקבלות;
• הנהלת חשבונות ובנק;
• טפסי הרשמה, בקשות סיוע וסקרים;
• דוא״ל ותיבות משותפות;
• WhatsApp ארגוני, צ׳אט ומערכת פניות;
• הקלטות שיחה או וידאו;
• תיקי עובדים ומתנדבים;
• אחסון ענן ותיקיות משותפות;
• מערכת אירועים;
• מערכות של ספקי דיוור, מוקד, CRM, ענן או תמיכה;
• קובצי ייצוא, גיבויים פעילים ומכשירי קצה ארגוניים.

זכות העיון חלה גם על הקלטות קול, שיחות וידאו, תכתובות צ׳אט ומידע דיגיטלי אחר, ולא רק על שדות טבלה או מסמכי PDF. היא יכולה לחול גם כאשר המידע אינו מתויג מראש בשם האדם, אם ניתן לקשור אותו אליו במאמץ סביר, למשל לפי תאריך, טווח שעות או פונקציית חיפוש קיימת.

מומלץ להחזיק מראש „מפת מערכות” שבה לכל מערכת מצוינים בעלים פנימי, סוגי אנשים, סוגי מידע, מטרות, ספקים, מיקום, תקופת שמירה ודרך חיפוש. כך בקשה אינה הופכת לחקירת חירום.

שלב 4: מכינים חבילת עיון בטוחה

זכות העיון היא במידע האישי על המבקש. היא אינה רישיון לקבל מידע על תורמים אחרים, עובדים, בני משפחה, מקבלי סיוע או מי שכתב תלונה. לפני המסירה עוברים על התוצאות ומפרידים:

• מידע אישי על המבקש;
• מידע מעורב על המבקש ועל אדם אחר;
• מידע של צד שלישי בלבד;
• חומר שחלה עליו מניעה חוקית או חיסיון תקף;
• חומר שאינו מידע אישי על המבקש.

כאשר רשומה מעורבת, שוקלים השחרה, קטע רלוונטי, תמלול חלקי או הפרדה אחרת — לא מסירה מלאה אוטומטית ולא דחייה גורפת. אין ליצור „מסמך נקי” שמאבד את משמעות המידע; מציינים מה הושחר ולמה ככל שאפשר בלי לחשוף את המידע המוגן.

הנחיית הרשות קובעת שמידע דיגיטלי ניתן למסור בקובץ קריא, ניתן לשמיעה או לצפייה בפורמט נגיש בתוכנות נפוצות. מסירה יכולה להיעשות בקישור מאובטח, באזור אישי או בערוץ מוצפן, לפי רגישות המידע. אין לשלוח קובץ רגיש פתוח לכתובת חדשה רק מפני שכך ביקש הפונה.

זכות העיון אינה יוצרת כשלעצמה חובה חדשה לשמור מידע שלא היה צריך להישמר. אם רשומה נמחקה כדין לפני קבלת הבקשה, מתעדים שלא נמצאה; אין „לשחזר בכל מחיר” מידע שלא קיים. לעומת זאת, לאחר שהבקשה התקבלה אין למחוק את החומר הרלוונטי לפני שניתנה אפשרות סבירה לעיין בו.

שלב 5: מטפלים בתיקון בלי למחוק היסטוריה חשובה

אם האדם טוען שהמידע אינו נכון, שלם, ברור או מעודכן, מבקשים ממנו לזהות את הרשומה ולהסביר מה השינוי המבוקש. לאחר בדיקה:

• מתקנים עובדה שגויה, למשל מספר טלפון, כתובת או תאריך.
• משלימים פרט חסר כאשר יש בסיס אמין לכך.
• מצרפים הבהרה כאשר הרשומה עלולה להטעות.
• מעדכנים סטטוס שהתיישן.
• כאשר מדובר בהערכה, דעה מקצועית או תיעוד מחלוקת — לא מציגים אותה כאילו היא עובדה מוחלטת; אפשר לשמור את המקור ולצרף את תגובת האדם.

אין למחוק לוגים, קבלות או החלטות כדי להסתיר שטעות אירעה. במערכת טובה נשמרים הערך הקודם, הערך החדש, מועד השינוי, מקור האימות ומי אישר. התצוגה התפעולית משתמשת בנתון המתוקן, והיסטוריית הביקורת מוגבלת לבעלי הרשאה.

כאשר הבקשה לתיקון או למחיקה מתקבלת, יש לבדוק את חובת ההודעה למי שקיבל מהעמותה את המידע בתקופה שקובעות התקנות. לכן מפת מסירות וספקים אינה רק כלי אבטחה — היא נדרשת גם כדי להפיץ תיקון.

שלב 6: בודקים בקשת מחיקה לפי המטרה והדין

אין כפתור אחד בשם „מחק הכול”. לכל רכיב קובעים אחת מארבע תוצאות:

1. מחיקה מלאה — כאשר אין עוד מטרה חוקית או תפעולית תקפה, או כשזכות מיוחדת מחייבת זאת.
2. תיקון או החלפה — כאשר הבעיה היא אי־דיוק ולא עצם השמירה.
3. הגבלת שימוש — המידע נשמר רק למטרה מצומצמת, למשל הגנה מתביעה, אבל אינו משמש לקמפיין או לפרופיל.
4. שמירה מנומקת — כאשר קיימת חובת דין, הנהלת חשבונות, ביקורת, התחייבות חוזית תקפה, הגנת זכויות או צורך חיוני אחר.

דוגמאות:

• אפשר להסיר תורם מרשימת תפוצה ולמחוק את פרופיל השיווק, אך לשמור קבלה ותנועת הנהלת חשבונות.
• אפשר לסגור חשבון משתמש ולבטל גישה, אך לשמור תיעוד של פעולה כספית.
• אפשר למחוק טופס התעניינות שלא הבשיל ואין בו עוד צורך.
• אפשר לשמור תלונה והתגובה לה לצורך בירור או הגנה משפטית, אך לנעול אותה משימוש שיווקי ולהגביל גישה.
• אין להשאיר צילום תעודת זהות „ליתר ביטחון” אם מטרת האימות הסתיימה ואין בסיס להמשך השמירה.

במאגר המשמש לדיוור ישיר, אדם יכול לדרוש בכתב למחוק מידע אישי המתייחס אליו ולהפסיק מסירה לצד שלישי. כאשר המאגר משמש גם למטרות לגיטימיות אחרות, זכות ההסרה אינה בהכרח מוחקת רשומה חשבונאית או ראיה הדרושה למטרה אחרת; יש להסיר את סיווג הדיוור והמידע שיצר אותו, ולהפסיק כל עיבוד שאינו חיוני למטרת השמירה שנותרה. ההנחיה המעודכנת מכירה גם בפנייה מתועדת בדוא״ל, SMS, צ׳אט או שיחה מוקלטת כדרך מעשית לבטא את הדרישה, ומציבה מסגרת טיפול של 30 ימים.

למידע שהועבר לישראל מהאזור הכלכלי האירופי עשויות לחול חובות מיוחדות של מחיקה, הגבלת החזקת מידע שאינו נחוץ, דיוק ויידוע. אין להניח שכל תורם אירופי נכלל אוטומטית או שכל מידע ישראלי כפוף ל־GDPR; ממפים את מקור המידע, מועד ההעברה והחריגים לפי התקנות הישראליות הרלוונטיות.

ספקים, עותקים וגיבויים

העמותה נשארת אחראית לתהליך גם אם המידע נמצא אצל ספק. שולחים הוראה מתועדת לכל ספק רלוונטי, מוודאים איזה עותק פעיל תוקן או נמחק ומקבלים אישור ביצוע. ספק אינו אמור להחליט לבדו שהבקשה „לא אפשרית”.

בגיבויים יש להבחין בין:

• עותק פעיל שניתן לחיפוש ולשימוש רגיל — מטפלים בו כמו במערכת פעילה.
• גיבוי סגור שמיועד רק להתאוששות מאסון — ייתכן שמחיקה פרטנית מיידית אינה אפשרית או עלולה לפגוע בשלמות הגיבוי. במקרה כזה מגבילים גישה, מונעים שימוש רגיל, קובעים מחזור מחיקה ומבטיחים שאם הגיבוי ישוחזר, בקשת התיקון או המחיקה תיושם מחדש.

אין להבטיח לאדם „נמחק מכל מקום לנצח” אם קיימים גיבויים תקינים או רשומות שחובה לשמור. התשובה צריכה לפרט בכנות מה נמחק, מה הוגבל, מה נשמר, לאיזו מטרה ולכמה זמן.

תשובה, סירוב והשגה

בסיום שולחים תשובה הכוללת:

• מספר הבקשה ותאריך קבלתה;
• מה התבקש;
• אילו מערכות וסוגי מידע נבדקו;
• מה נמסר, תוקן, נמחק או הוגבל;
• מה נשמר ומדוע;
• אילו ספקים או מקבלים עודכנו;
• מועד השלמת הפעולות;
• ערוץ לפנייה נוספת או להשגה.

אם מסרבים לעיון, תיקון או מחיקה — מסבירים את הנימוק הספציפי ולא מסתפקים ב„מדיניות החברה”. לפי תקנות העיון, סירוב והעדר מענה כפופים למועדים ולהליך ערעור לבית משפט השלום. כאשר הבקשה מורכבת או צפוי סכסוך, יש לערב ייעוץ משפטי לפני המועד ולא אחריו.

חוסר רישום של מאגר אינו פוטר את העמותה מזכויות העיון והתיקון, מאבטחת מידע או משאר חובות החוק. תיקון 13 צמצם חלק מחובות הרישום אך לא ביטל את האחריות על העיבוד עצמו.

תהליך פנימי מומלץ

קבלת פנייה
  ↓
רישום ואישור קבלה
  ↓
סיווג: עיון / תיקון / מחיקה / דיוור / סגירת חשבון
  ↓
אימות מידתי של זהות וסמכות
  ↓
שימור החומר המבוקש והקפאת מחיקה שגרתית
  ↓
חיפוש בכל המערכות, הספקים והעותקים הפעילים
  ↓
בדיקת מידע של אחרים, חיסיון וחובות שמירה
  ↓
החלטה לכל רכיב: מסירה / תיקון / מחיקה / הגבלה / שמירה
  ↓
הפצת הפעולה לספקים ולמקבלים הרלוונטיים
  ↓
מסירה מאובטחת ותשובה מנומקת
  ↓
סגירת התיק, ראיית ביצוע ומועד בקרה

דוגמאות קצרות

תורם מבקש „למחוק אותי”

מבררים אם הוא מבקש הפסקת דיוור, מחיקת פרופיל גיוס או כל המידע. מסירים אותו מקמפיינים ומסנכרנים רשימת חסימה מינימלית כדי שלא יתווסף מחדש, מוחקים מידע עודף, אך שומרים קבלות ורישומי הנהלת חשבונות שחייבים להישמר. בתשובה מסבירים את ההפרדה.

מקבלת סיוע מבקשת את כל התיק

מאמתים זהות בסיכון גבוה, מאתרים טפסים, הערות, דוא״ל, הקלטות ומסמכים אצל ספק. משחירים מידע של בני משפחה או של המדווח אם נדרש, בודקים מגבלות מיוחדות ומוסרים בקישור מאובטח. אין לשלוח את התיק כקובץ פתוח.

אדם טוען שסכום התרומה שגוי

משווים לסליקה, לבנק, לקבלה ולדיווח. אם הייתה טעות, מתקנים לפי מסלול חשבונאי שמותיר עקבות ולא משנים שורה ידנית בלי מסמך תיקון. מעדכנים מערכות שקיבלו את הנתון.

משתמש סוגר חשבון

מבטלים התחברות וטוקנים, מוחקים העדפות ומידע שאינו נחוץ ומסירים דיוור. תנועות כספיות, חשבוניות, קבלות, לוג אבטחה חיוני או מחלוקת פתוחה עוברים לשמירה מוגבלת עם מועד בחינה.

בקרות שכדאי לבנות במערכת

• כתובת פרטיות אחת וטופס נגיש לכל סוגי הבקשות.
• מזהה בקשה ומונה ימים אוטומטי.
• אימות מדורג לפי רגישות.
• מפת חיפוש קבועה לכל מערכת וספק.
• אפשרות ייצוא בפורמט קריא ומאובטח.
• השחרת מידע של צד שלישי לפני הורדה.
• פעולות נפרדות ל„הפסק דיוור”, „הגבל עיבוד”, „תקן” ו„מחק”.
• לוג בלתי ניתן לשינוי של החלטה ופעולה.
• סנכרון מחיקות ותיקונים לספקים.
• מנגנון שמונע הוספה מחדש של אדם שביקש הסרה, בלי לשמור עליו פרופיל שיווקי מלא.
• מדיניות שמירה לכל סוג רשומה ותזכורת לבחינה תקופתית של מידע עודף.
• הרשאות מצומצמות: מי שמחפש מידע אינו בהכרח מי שמאשר מסירה.

כלי הערכת ההשפעה של הרשות מסייע למפות מטרות, מידע עודף, זכויות, ספקים וסיכונים. הוא אינו מחליף את ההחלטה המשפטית, אבל הוא בסיס טוב לבניית התהליך ולהוכחת אחריות.

רשימת בדיקה לפני סגירת הבקשה

• [ ] הבקשה ומועד קבלתה תועדו.
• [ ] נשלח אישור קבלה.
• [ ] זהות המבקש וסמכות נציג אומתו במידה מתאימה.
• [ ] מחיקה שגרתית של החומר המבוקש נעצרה עד להשלמת העיון.
• [ ] נבדקו כל המערכות, ערוצי התקשורת והספקים הרלוונטיים.
• [ ] הופרד מידע של צדדים שלישיים.
• [ ] לכל פריט נקבעה תוצאה: מסירה, תיקון, מחיקה, הגבלה או שמירה.
• [ ] חובת שמירה נבדקה לפי סוג הרשומה, ולא לפי הנחה כללית.
• [ ] תיקון או מחיקה הופצו לעותקים פעילים ולספקים.
• [ ] החבילה נמסרה בערוץ מאובטח.
• [ ] התשובה מפרטת מה בוצע ומה נשמר ולמה.
• [ ] נשמרה ראיית ביצוע ונקבעה ביקורת המשך אם נדרשת.