תיקון 13 לחוק הגנת הפרטיות נחשב לשינוי הרחב ביותר בדיני הפרטיות בישראל מאז שהחוק נחקק. הכנסת אישרה אותו באוגוסט 2024, והוא נכנס לתוקף ב־14 באוגוסט 2025. מאז, שאלות רבות עולות אצל בעלי עסקים, מנהלים ועמותות: מה בעצם השתנה, ומה אנחנו צריכים לעשות. במאמר הזה נסקור את עיקרי התיקון בקצרה ובשפה פשוטה.
חשוב לציין שהמאמר הוא סקירה כללית. נוסח החוק וההנחיות של הרשות להגנת הפרטיות הם המקור המחייב, ובהתאם עשויים להתעדכן, ולכן לפני שמקבלים החלטות בארגון כדאי לבדוק מול הנוסח העדכני.
למה היה צורך בתיקון
חוק הגנת הפרטיות נחקק בשנת 1981, הרבה לפני שהמידע האישי הפך לחלק ליבתי מניהול עסק: אפליקציות, ענן, שיווק דיגיטלי, מצלמות ומערכות ניהול לקוחות. התיקון נועד לעדכן את החוק למציאות הזו, ולקרב את הדין בישראל לסטנדרטים המקובלים באירופה (GDPR) ובעולם.
עיקרי השינויים
1. סמכויות אכיפה לרשות להגנת הפרטיות
התיקון מחזק את הסמכויות של הרשות להגנת הפרטיות, ובכלל זה הסמכות לפתוח בחקירות מנהליות ולהטיל עיצומים כספיים בגין הפרות. המשמעות היא שהחוק אינו עוד "נייר" שאפשר להתעלם ממנו, וארגון שאינו עומד בדרישות עשוי להיחשף לאכיפה מנהלית וקנסות עתק למי שאינו ממלא אחר ההנחיות. בנוגע לסכומים ולנסיבות ההטלה, מומלץ לעיין בנוסח המעודכן של החוק ובהנחיות הרשות.
2. הגדרה רחבה יותר של מידע אישי ומידע רגיש
התיקון מעדכן את הגדרות המידע שהחוק חל עליו, ומגדיר קטגוריה של מידע רגיש במיוחד. מידע רפואי, גנטי, ביומטרי ופיננסי הם דוגמאות מוכרות לסוגי מידע שדורשים זהירות מוגברת. ככל שהמידע רגיש יותר, כך חלות עליו דרישות מחמירות יותר. אם העסק שלכם מחזיק מידע כזה, כדאי לבדוק את הסיווג שלו במפורש.
3. שינוי בחובת רישום המאגרים
בעבר חלה על גופים רבים חובה לרשום מאגרי מידע ברשם המאגרים. לפי הסקירות המקצועיות שפורסמו, התיקון מצמצם את חובת הרישום לסוגי מאגרים מסוימים, ובהם מאגרים של גופים ציבוריים ומאגרים שעיקר השימוש בהם הוא סחר במידע. זה לא אומר שארגון שאינו חייב ברישום פטור מחובות הפרטיות. החובות המהותיות נשארות, ובהן אבטחת מידע, מדיניות פרטיות ושמירה על זכויות האנשים.
4. זכויות של אנשים ביחס למידע עליהם
החוק ממשיך להכיר בזכותו של אדם לעיין במידע עליו ולבקש לתקן אותו, והתיקון מחזק את הדרישה שארגונים יידעו מי נושאי המידע שלהם ויתנהלו בשקיפות. בפועל, עסקים צריכים לדעת לענות לפנייה של לקוח, עובד או משתמש שמבקש לדעת איזה מידע מוחזק עליו.
5. חובת ממונה הגנת פרטיות בגופים מסוימים
התיקון מחייב גופים מסוימים למנות ממונה הגנת פרטיות. סוג הגוף ומהות הפעילות הם שקובעים אם החובה חלה. את הפרטים הרחבנו במאמר מי חייב למנות DPO, ועל התפקיד אפשר לקרוא בעמוד ממונה הגנת פרטיות.
6. חובות לגבי אבטחת מידע ואירועי אבטחה
חובת אבטחת המידע קיימת בחוק ובתקנות, ונשארת במרכז. ארגון שמחזיק מידע אישי צריך לנקוט אמצעים סבירים להגנה עליו, בהתאם לרגישות המידע ולהיקפו. גם אם התיקון עצמו אינו כל התמונה, כדאי להתייחס ברצינות לשאלה מה עושים כשיש אירוע, מי מדווח למי, ובאילו מועדים.
מה זה אומר בפועל לעסק קטן
עסק קטן שמחזיק פרטי לקוחות, למשל משרד, קליניקה או חנות מקוונת, לא בהכרח נמצא בקבוצת הארגונים שחייבים למנות ממונה. אבל החובות הבסיסיות נשארות. בפועל, כדאי לשים לב לנקודות הבאות:
- מה אנחנו אוספים ולמה. כל פרט מידע שנאסף בהגדרת מטרה ברורה לאיסוף המידע.
- מי ניגש למידע. הרשאות גישה לעובדים ולספקים, והגבלתן למי שזקוק לכך.
- איפה המידע נשמר. מערכות מקומיות, ענן, טלפונים אישיים של עובדים.
- עם מי אנחנו משתפים. ספקי שירות, חברות שיווק, יועצים חיצוניים.
- כמה זמן שומרים. מידע שאין עוד צורך בו כדאי למחוק לפי מדיניות ברורה.
- מה כתוב באתר. מדיניות פרטיות עדכנית וברורה, בהתאם למה שנעשה בפועל. על כך נרחיב במאמר נפרד.
שאלות שעולות לעיתים קרובות
האם התיקון חל על עסק קטן? חוק הגנת הפרטיות חל על כל מי שמחזיק מידע אישי, גם אם הוא עסק קטן. ההבדל הוא בהיקף הדרישות, שתלוי בסוג המידע ובכמות שלו.
האם צריך לעדכן את מדיניות הפרטיות באתר? כדאי לבדוק זאת. מדיניות שנכתבה לפני שנים אינה בהכרח משקפת את מה שהעסק עושה היום, למשל שימוש בכלי ניתוח, פיקסלים שיווקיים או ספקי ענן.
מה עושים אם לקוח פונה ומבקש לראות את המידע עליו? כדאי שיהיה נוהל פשוט: מי מקבל את הפנייה, איך מאמתים את זהות הפונה, ובתוך כמה זמן עונים.
האם עובדים נחשבים? כן. גם מידע על עובדים ומועמדים לעבודה הוא מידע אישי שהחוק חל עליו.
תוכנית עבודה פשוטה להתחלה
- מיפוי המידע. רשימה של מאגרי המידע בארגון, מה בהם, ומי אחראי עליהם.
- סיווג רגישות. זיהוי מידע רפואי, פיננסי, ביומטרי או אחר שדורש הגנה מוגברת.
- בדיקת חובת מינוי ממונה. הערכה, בכתב, של האם החובה חלה על הארגון.
- עדכון מדיניות ונהלים. מדיניות פרטיות, נוהל אבטחת מידע, נוהל טיפול בפניות ובאירועים.
- הדרכה. עובדים הם לעיתים קרובות החוליה הרגישה ביותר. הסבר קצר ותדריך שנתי מועיל.
- תיעוד. שמירת ההחלטות והנימוקים. תיעוד טוב עוזר גם בלי שאירע דבר.
טעויות נפוצות
- להניח שהתיקון מיועד רק לחברות גדולות.
- להניח שמי שאינו חייב ברישום מאגר פטור מכל חובה.
- להעתיק מדיניות פרטיות מאתר אחר בלי לבדוק שהיא תואמת את מה שהעסק עושה בפועל.
- להשאיר את הנושא "למחלקת ה־IT" בלי מעורבות של ההנהלה.
- לא להכין מראש תוכנית לאירוע אבטחה.
לסיכום
תיקון 13 משנה את אופן ההתייחסות לפרטיות בישראל: יותר אכיפה, יותר תשומת לב למידע רגיש, ויותר דרישות לארגון שמחזיק מידע על אנשים. הצעד הראשון הוא לא פאניקה אלא סדר: למפות, לסווג, לתעד ולעדכן. אם אתם רוצים לבדוק איפה העסק שלכם עומד, אפשר לפנות אלינו לשיחה ראשונה.
המידע במאמר הוא כללי ואינו מהווה ייעוץ משפטי. הנוסח המחייב הוא נוסח החוק וההנחיות העדכניות של הרשות להגנת הפרטיות.
המידע באתר הוא כללי ואינו מהווה ייעוץ משפטי. פרסום עורך דין.
מאמרים קשורים
- מי חייב למנות DPO
מי חייב למנות ממונה הגנת פרטיות (DPO) בישראל לפי תיקון 13 לחוק הגנת הפרטיות, מה בודקים בארגון, ומה עושים כשלא ברור אם החובה חלה.
- רכישת נכס בפורטוגל
מה צריך לדעת לפני רכישת נכס בפורטוגל: עורך דין עצמאי מייצג מטעם הקונה, בדיקות רישום ושעבודים, הסכם מקדים, ייפוי כוח נוטריוני ואפוסטיל, ובדיקת חובת דיווח בישראל.
- רכישת נכס בדובאי
מה בודקים לפני קניית דירה בדובאי: אזורי בעלות, שטר בעלות, דירה על הנייר, חשבון נאמנות, עורך דין עצמאי, ייפוי כוח נוטריוני ודיווח בישראל.