PCI DSS ואבטחת נתוני כרטיס לעסק קטן: מה התקן דורש, איזה שאלון חל עליכם ומה אומר הדין בישראל

PCI DSS הוא תקן אבטחה של מועצת תקני האבטחה של תעשיית הכרטיסים (PCI Security Standards Council) לכל גוף שמאחסן, מעבד או מעביר נתוני כרטיס. הוא לא חוק ישראלי, אבל הסכם הסליקה שלכם מחייב לעמוד בו, ולכן הסולק או חברת התשלומים מבקשים לפעמים למלא שאלון הערכה עצמית (SAQ) או לאשר עמידה. הגרסה שנבדקת כיום היא 4.0.1, ומ-31 במרץ 2025 חלות גם הדרישות שנדחו קודם, כולל דרישות על סקריפטים בדף התשלום. במקביל, בישראל חלים חוק הגנת הפרטיות ותקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017 על כל מאגר מידע אישי, כולל מידע על לקוחות ותשלומים. הדרך הפשוטה ביותר להקטין את הנטל בשני התחומים: לא לשמור נתוני כרטיס בכלל. עבדו עם מסוף מאושר, עם דף תשלום מתארח או רכיב של שער התשלום, ועם טוקן לחיובים חוזרים.

המדריך הוא חלק מהמדריך לטעויות נפוצות בסליקה.

מה נחשב ״נתוני כרטיס״

הכלל החשוב ביותר: אסור לשמור את קוד האבטחה אחרי אישור העסקה, גם לא ״זמנית״ ולא בפתק.

איזה שאלון חל עליכם

ה-SAQ נבחר לפי הדרך שבה אתם מקבלים תשלומים. הסולק הוא שקובע מה נדרש מכם, ולכן שאלו אותו. בקווים כלליים:

מה השתנה ב-2025: לפי פרסומי המועצה, גרסת ינואר 2025 של שאלון SAQ A, למי שמשתמש בדף תשלום מתארח, הוציאה מהשאלון שתי דרישות על סקריפטים בדף התשלום, והוסיפה תנאי זכאות: על בית העסק לאשר שהאתר שלו אינו חשוף להתקפות סקריפטים שיכולות להשפיע על מערכת הסחר המקוון. בפועל, גם מי שלא מחזיק נתוני כרטיס צריך להגן על האתר שמפנה לדף התשלום. בדקו את הנוסח העדכני באתר המועצה.

שישה צעדים מעשיים לעסק קטן

1. אל תשמרו מספרי כרטיס. לא בקובץ, לא במערכת ההזמנות, לא בוואטסאפ, לא על פתק.
2. השתמשו בטוקן לחיובים חוזרים. בדקו מראש אם הטוקנים ניתנים להעברה לספק אחר.
3. דף תשלום מתארח באתר, ולא טופס שלכם שאוסף את המספר.
4. קישור תשלום במקום הקלדת מספר שנאמר בטלפון.
5. עדכונים והרשאות: עדכנו את האתר, התוספים ומערכת הקופה. רק מי שצריך, ניגש. אימות דו-שלבי לממשק הניהול של שער התשלום.
6. מסוף מאושר מספק מוכר, ובדיקה שלא הותקן עליו התקן זר.

הדין בישראל: חוק הגנת הפרטיות ותקנות אבטחת מידע

נתוני כרטיס הם רק חלק מהמידע שעסק מחזיק. מאגר של לקוחות, עם שמות, טלפונים, היסטוריית רכישות ולעיתים מידע פיננסי, כפוף לחוק הגנת הפרטיות ולתקנות אבטחת מידע:

• רמת האבטחה נקבעת לפי סוג המידע, מספר האנשים ומספר בעלי ההרשאה. לפי התוספת הראשונה לתקנות, מידע על נכסים, חובות, מצב כלכלי ויכולת עמידה בהתחייבויות הוא מהסוג שמעלה את המאגר לרמה בינונית, בכפוף לסייגים, למשל עד עשרה בעלי הרשאה. אם אתם שומרים מידע כזה, בדקו את הרמה.
• תקנה 15 — מיקור חוץ: כשספק חיצוני (שער תשלום, מערכת הזמנות, ענן) מחזיק מידע אישי בשבילכם, צריך לבחון סיכונים לפני ההתקשרות ולכלול בהסכם דרישות אבטחה.
• אירוע אבטחה חמור: ברמה בינונית וגבוהה, תקנה 11(ד) מחייבת הודעה מיידית לרשות להגנת הפרטיות.
• תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14.8.2025, והרחיב את סמכויות האכיפה ואת העיצומים הכספיים.

פירוט על רמות האבטחה תמצאו באתרי הרשות להגנת הפרטיות ובנוסח התקנות.

דוגמה להמחשה: ״חיסכון״ שעלה ביוקר

סטודיו לכושר שומר מספרי כרטיס של מנויים בגיליון, כדי לחייב כל חודש בהקלדה. מספרים דלפו. מה קרה, היפותטית:

• 12 הכחשות של 250 ₪, ועמלת טיפול להמחשה של 40 ₪ לכל אחת: 12 × (250 + 40) = 3,480 ₪.
• עלות בדיקה ותיקון של מומחה, להמחשה: 6,000 ₪.
• מעבר לשער תשלום עם טוקן, להמחשה: 400 ₪ הקמה.
• סה״כ: 9,880 ₪, לעומת 400 ₪ אילו עבדו עם טוקן מההתחלה.

הדוגמה לא כוללת עיצום לפי חוק הגנת הפרטיות, שאפשרי בנסיבות מסוימות.

נוהל קצר לעובדים

עסק קטן לא צריך מסמך של עשרות עמודים, אבל כן כמה כללים כתובים שכל עובד מכיר:

1. לא רושמים מספר כרטיס על נייר, בקובץ או בהודעה.
2. לא מבקשים מלקוח לשלוח צילום כרטיס.
3. בטלפון שולחים קישור תשלום ולא מקלידים מספר.
4. לא נותנים לאדם זר לגעת במסוף או ״לעדכן״ אותו בלי תיאום עם הספק.
5. מדווחים מיד לאחראי על חשד לדליפה, הונאה או מסוף שנראה שונה.

תקנות אבטחת מידע מחייבות בחלק מהרמות הדרכה לפני מתן גישה ונוהל אבטחה כתוב. גם כשלא חלה חובה, נוהל כזה מקטין את רוב הסיכונים.

מה לשאול את הספק

1. איזה שאלון PCI DSS חל עליי, ומתי צריך לחדש?
2. האם שער התשלום עומד בתקן, ויש לו אישור עדכני?
3. מי מחזיק את פרטי הכרטיס, ואיפה?
4. האם הטוקנים עוברים אם אעזוב?
5. מה ההסכם אומר על אחריות באירוע דליפה?

שאלות נפוצות

אני עסק קטן עם מסוף בלבד. PCI חל עליי?

כן, בהיקף קטן. רוב הדרישות מתקיימות כשהמסוף מאושר ואתם לא שומרים נתונים. ייתכן שהסולק יבקש אישור או שאלון קצר.

מה קורה אם לא אמלא את השאלון?

תלוי בהסכם. ספקים יכולים לגבות עמלה, לדרוש תיקון או להגביל את השירות.

האם תקן PCI DSS הוא חובה בחוק הישראלי?

לא מצאנו חוק ישראלי שמחיל את PCI DSS ישירות על בתי עסק. החובה נובעת מההסכם עם הסולק. חובות האבטחה בחוק נובעות מחוק הגנת הפרטיות ומהתקנות.

מספר כרטיס חלקי (4 ספרות אחרונות) — מותר לשמור?

מספר חלקי אינו חושף את הכרטיס, ושמירה שלו לצורך זיהוי עסקה מקובלת. בדקו את הדרישות המדויקות בתקן ובהסכם.

מקורות

• PCI Security Standards Council — תקן PCI DSS 4.0.1, שאלוני SAQ ושאלות נפוצות
• ויקיטקסט: תקנות הגנת הפרטיות (אבטחת מידע) — רמות אבטחה, תקנות 11 ו-15 והתוספת הראשונה
• ויקיטקסט: חוק הגנת הפרטיות — כולל תיקון 13; הפרסום: ס״ח 3287
• פורטל השירותים הממשלתי gov.il — הרשות להגנת הפרטיות ומערך הסייבר הלאומי