תיקון 13 ושולחן הדירקטוריון

תרחיש להמחשה, שנבנה ממקרים טיפוסיים. הוא לא מתאר לקוח מסוים.

המצב

חברה ישראלית בינונית, עם אפליקציה לצרכנים ולקוחות באירופה, חידשה באביב את פוליסת הסייבר. הדירקטוריון מעולם לא דן בסייבר כנושא נפרד. אבטחת המידע הייתה "אצל ה-IT", והביטוח אצל סמנכ״ל הכספים והסוכן.

ואז נכנס לתוקף תיקון 13 לחוק הגנת הפרטיות, עם עיצומים כספיים ובסיס רחב יותר לתובענות ייצוגיות. בישיבת הדירקטוריון הבאה שאלה היועצת המשפטית שאלה פשוטה: אם נותקף מחר, נוכל להראות שהדירקטוריון פיקח? אף אחד לא ידע לענות.

מה מצאנו

בדיקה חסויה, שנעשתה דרך עורך הדין, העלתה שלושה פערים:

1. טופס ההצעה הצהיר על יותר מדי. נכתב שיש MFA על כל הגישה מרחוק, אבל לשני חשבונות של ספקים ולשרת ישן של שולחן עבודה מרוחק לא היה.
2. ה-DPO היה על הנייר בלבד. מונה ממונה הגנת פרטיות, אבל בלי גישה לדירקטוריון ובלי קו דיווח מוגדר.
3. לא היה תיעוד. אף פרוטוקול לא הראה שהדירקטורים שאלו על החשיפה, על הכיסוי או על תנאי הפוליסה.

מה השתנה

• נתיבי הגישה בלי MFA נסגרו באמצע תקופת הביטוח, והסוכן קיבל הנחיה מה למסור למבטח.
• ה-DPO קיבל קו דיווח לוועדת הביקורת ומקום קבוע בישיבה שלה פעם ברבעון.
• הדירקטוריון אימץ לוח זמנים קצר לפיקוח על סייבר, והפרוטוקולים מתעדים היום מה נשאל ומה נענה.
• פוליסת הסייבר ופוליסת אחריות נושאי המשרה נבדקו זו מול זו, כדי שתביעה רגולטורית נגד דירקטור לא תיפול בין שתיהן.

השורה התחתונה

תיקון 13 לא דורש מדירקטורים להיות מומחי אבטחה. הוא מייקר מאוד את המצב שבו דירקטוריון לא יכול להראות ששאל. התיעוד צריך להתקיים לפני האירוע, לא להיבנות אחריו.

המקרה מובא כמידע כללי ואינו ייעוץ משפטי.