בספטמבר 2024 פרסמה הרשות להגנת הפרטיות נוסח סופי ומחייב של הנחיה 1/2024, שעניינה תפקיד הדירקטוריון בקיום חובות התאגיד לאבטחת מידע אישי. ההנחיה, שמבהירה את הדין הקיים, קובעת כי בחברות שבהן עיבוד מידע אישי הוא חלק מליבת הפעילות, או שכרוך בסיכון מוגבר לפרטיות, נדרשים פיקוח ובקרה הדוקים מצד הדירקטוריון. בין היתר, על הדירקטוריון לדון במסמך הגדרות המאגר, בעקרונות נוהל אבטחת המידע, בתוצאות סקרי סיכונים ומבדקי חדירות, באירועי אבטחת מידע ובממצאי ביקורות תקופתיות. אי-קיום ההנחיה עשוי להיחשב הפרה של החוק, ואף לשמש בסיס לתביעה נגזרת נגד דירקטורים.
לפני כשנה פרסמה הרשות להגנת הפרטיות טיוטת הנחיה בעניין תפקיד הדירקטוריון בקיום חובות התאגיד לאבטחת מידע אישי. ביום חמישי האחרון – 12.9.2024, פורסם נוסח סופי ומחייב של ההנחיה. לעמדת הרשות, תכלית ההנחיה היא להאיר בזרקור את הדין הקיים (שעולה מפרשנות תכליתית של דיני הגנת הפרטיות ועקרונות יסוד של ממשל תאגידי) – בדגש על כך, שבחברות שפעילותן כרוכה בסיכונים לפרטיות, נדרשים תשומת לב ופיקוח הדוקים יותר מצד הדירקטוריון.
בהתאם, ההנחיה חלה על חברות שעיבוד מידע אישי מצוי בליבת פעילותן, או שפעילותן יוצרת סיכון מוגבר לפרטיות. סיכון מוגבר לפרטיות יכול להיווצר כתוצאה מרגישות המידע האישי המעובד, מכמויות המידע האישי המעובד או מכמות בעלי הגישה אליו ולמערכות המידע שבאמצעותן הוא מעובד.
בהתחשב בכך שפעילויות מסחריות רבות כרוכות בעיבוד מידע אישי רגיש, או בעיבוד כמויות נרחבות של מידע אישי, או במתן גישה למורשים רבים, ופעמים – בתמהיל של כל אלה, ההנחיה צפויה לחול על חברות רבות.
בשנת 2017 תוקנו תקנות הגנת הפרטיות (אבטחת מידע) תשע"ז-2017, שנכנסו לתוקף בחודש מאי 2018 ("תקנות אבטחת מידע" או "התקנות"). תקנות אבטחת מידע מטילות שורה ארוכה של חובות על בעלי מאגרי מידע ועל גורמים נוספים.
כך למשל התקנות מחייבות שלכל מאגר יוכן מסמך הגדרות מאגר בו, בין היתר, יתוארו פעולות האיסוף והשימוש במידע אישי, סוגי המידע האישי, מטרות השימוש בו ועוד.
ההנחיה החדשה קובעת שקיום החובות צריך להיעשות בפיקוח ובבקרה של הדירקטוריון, תחת מדיניות מימוש, תהליכי ציות ובקרה אפקטיביים וכן ובמיוחד:
ההנחיה מתירה במקרים מסוימים לאפשר לדירקטוריון להאציל חובותיו לגורם אחר בחברה תוך פיקוח על קיומן.
ההנחיה כוללת הבהרה, לפיה אין בה להפחית מהאחריות שחלה על גורמים אחרים מכח תקנות אבטחת מידע או הדין (או מסמכי היסוד של החברה), כגון הנהלת החברה, מנהלי מאגרי מידע ועוד.
אי קיום ההנחיה עשוי להוות הפרה לכאורה של הוראות החוק והתקנות על ידי החברה. זאת בשילוב עם תיקון 13 לחוק, שיכנס לתוקף בעוד כשנה, יגבירו משמעותית את מחיר אי העמידה בהוראות החוק והתקנות.
אי קיום ההנחיה עשוי גם לשמש, במקרים מסוימים, בסיס לתביעה נגזרת כנגד דירקטורים.
ההנחיה אינה כוללת טיפול בתאגידים שכפופים לרגולציה מקבילה כגון בנקים או חברות ביטוח. בהתאם להנחיות ספציפיות של הרשות להגנת הפרטיות, על גופים אלו לא חלות תקנות אבטחת מידע במלואן, אלא רק חלק מהן, בכפוף לכך שהם עומדים בהוראות הרגולציה המקבילה שחלות עליהם. ביחס לתאגידים שכאלה, סביר שההנחיה החדשה מתייחסת לחובות הדירקטוריון, ביחס לאותן חובות קונקרטיות שחלות על גופים אלו.
