במסגרת תקנות ה־GDPR של האיחוד האירופי, נדרשים ארגונים לנהל תיעוד שיטתי של כל פעילויות
העיבוד של מידע אישי תחת אחריותם.
תיעוד זה מכונה RoPA או Records of Processing Activities.
מטרתו להבטיח שקיפות, בקרה וציות לרגולציות הפרטיות, תוך שמירה על זכויות הפרט ועמידה בחובות
ארגוניות ורגולטוריות.
מה זה RoPA?
RoPA הוא מסמך או מערכת המשמשים לתיעוד מקיף של איך, מתי, למה, ואיפה מידע אישי
מעובד על ידי ארגון.
על פי סעיף 30 ל־GDPR, כל ארגון (אחראי עיבוד או מעבד מידע) עם יותר מ־250 עובדים,
או שמעבד מידע שעלול להוות סיכון לזכויות הפרט (לדוגמה: מידע רגיש, מידע ילדים, עיבוד שיטתי),
מחויב לנהל רישום כזה.
מהם המרכיבים של RoPA?
עבור אחראי העיבוד (Data Controller):
שם ופרטי הקשר של האחראי, של נציגו ושל DPO (אם יש).
מטרות העיבוד.
תיאור קטגוריות נושאי המידע (data subjects) וקטגוריות המידע האישי.
הקטגוריות של מקבלי המידע, כולל במדינות שלישיות.
פרטי העברת מידע מחוץ לאיחוד האירופי.
מועדי מחיקה מתוכננים עבור כל קטגוריית מידע.
תיאור כללי של אמצעי האבטחה הטכניים והארגוניים.
עבור מעבד המידע (Data Processor):
שם ופרטי הקשר של המעבד ושל כל אחראי שהוא פועל בשמו.
קטגוריות של עיבוד המידע המבוצע.
מידע על העברות לחו”ל, כולל אמצעי הגנה.
תיאור אמצעי אבטחת מידע.
מדוע RoPA חשוב?
ציות רגולטורי – חובה רגולטורית לפי סעיף 30 ל־GDPR.
שקיפות ובקרה – מאפשר לארגון להבין את מפת המידע.
ניהול סיכונים – זיהוי תהליכים פגיעים והערכת השלכות.
הוכחת ציות (Accountability) – בעת ביקורת או אירוע אבטחה, ארגון יכול להוכיח כי פעל
לפי כללי הגנת המידע.
תמיכה בזכויות נושאי המידע – לדוגמה, בהיענות לבקשת עיון, תיקון או מחיקה.
כיצד מנהלים RoPA בצורה יעילה?
זיהוי כלל תהליכי העיבוד
בשלב ראשון יש לערוך מיפוי מידע (Data Mapping) הכולל:
מהם המידע האישי שנאסף?
ממי הוא נאסף?
היכן הוא נשמר?
כיצד הוא מעובד, מועבר, נמחק?
שימוש בכלים אוטומטיים
מערכות ניהול פרטיות (כגון OneTrust, TrustArc, Collibra) מאפשרות ניהול RoPA דינמי,
כולל טפסי עדכון, סנכרון עם DPO, והתראות אוטומטיות לשינויים.
תחזוקה ועדכון שוטף
RoPA הוא מסמך חי – עליו להתעדכן בהתאם לשינויים טכנולוגיים, עסקיים או רגולטוריים.
אתגרים נפוצים בניהול RoPA
| אתגר | פתרון מומלץ |
| חוסר במיפוי מקיף של המידע | ביצוע סקר פנימי עם כלל המחלקות |
| חוסר שיתוף פעולה בין צוותים | מינוי DPO פעיל ושגרירי פרטיות בכל חטיבה |
| ניהול רישום ידני (Excel וכו’) | מעבר לכלים מבוססי SaaS עם יכולת אוטומציה |
| אי־עמידה בלוחות זמנים לעדכון | קביעת תזכורות רבעוניות ועדכון אחראים |
שאלות נפוצות בנושא RoPA
האם חברה קטנה (<250 עובדים) מחויבת בניהול RoPA?
כן, אם היא:
עוסקת בעיבוד מידע אישי שאינו מזדמן,
מעבדת מידע רגיש,
מבצעת מעקב שיטתי.
מה ההבדל בין RoPA ל־Data Inventory?
Data Inventory הוא כלי תפעולי לניתוח מידע, בעוד ש־RoPA הוא מסמך פורמלי הנדרש
לצורך עמידה ב־GDPR.
לרוב, RoPA נבנה על בסיס הנתונים שב־Inventory.
איך RoPA מתקשר לביקורת פרטיות (Privacy Audit)?
RoPA הוא נקודת התחלה עיקרית בכל ביקורת פרטיות ממנו אפשר לגזור סיכונים,
לזהות פערי ציות, ולהצביע על מקומות לשיפור.
האם ניתן לשמור RoPA כקובץ Word או Excel?
כן, אך זה פחות מומלץ בארגונים בינוניים־גדולים.
שימוש במערכות ייעודיות מקל על ניהול גרסאות, בקרה וזמינות.
