הרגע שבו הכל השתנה
באוגוסט 2024 אישרה הכנסת את תיקון מס' 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025. זהו התיקון המקיף ביותר שעבר החוק מאז חקיקתו, ומשמעותו מעשית: ארגונים בישראל כבר אינם יכולים להסתפק במדיניות פרטיות ואבטחת מידע שנכתבה – אם בכלל… – לפני עשור. הרגולציה השתנתה, והרשות להגנת הפרטיות קיבלה כלי אכיפה שלא היו בידיה עד כה.
כל ארגון שמחזיק מידע אישי על לקוחות, עובדים, או כל גורם אחר, צריך לשאול את עצמו שאלה אחת פשוטה: האם אנחנו עומדים בדרישות החוק כיום?
מה תיקון 13 מחייב בפועל
התיקון מביא עמו מספר חובות מהותיות שמוטלות על כל גוף המחזיק מאגר מידע:
חובת יידוע מורחבת: סעיף 11 לחוק, לאחר תיקונו, מרחיב משמעותית את חובת הגילוי כלפי נושאי המידע. הארגון חייב ליידע את הנושאים לא רק על קיום המאגר, אלא גם על מטרת עיבוד המידע, זהות בעל השליטה, האם מדובר במידע שמסירתו מחויבת בדין, לאילו גורמים עשוי המידע להיות מועבר, ומהן זכויות הנושא ביחס למידע.
זכויות נושאי המידע: כל אדם שמידע אישי עליו מוחזק בידי ארגון זכאי לעיין בו, לדרוש תיקונו ואף מחיקתו. על הארגון להשיב לבקשות כאלה בתוך זמן סביר, ובמקרה של סירוב, החוק מחייב תשובה מנומקת בכתב.
מינוי ממונה הגנת פרטיות: ארגונים שעיבוד המידע הוא מרכזי לפעילותם, או שהם מעבדים מידע רגיש בהיקפים נרחבים, נדרשים למנות ממונה הגנת פרטיות. דרישה זו מקבילה לתפקיד ה-DPO
(Data Protection Officer) המוכר מהרגולציה האירופית GDPR.
חובת דיווח על אירועי אבטחה: בעת פרצת מידע שעלולה לפגוע בנושאי המידע (האנשים שהמידע המוחזק הוא אודותיהם), על הארגון לדווח לרשות להגנת הפרטיות ובמקרים מסוימים גם לנושאי המידע עצמם, תוך פרק זמן מוגדר.
שיניים לאכיפה: העיצומים הכספיים
השינוי המשמעותי ביותר מבחינה מעשית הוא הסמכות החדשה שניתנה לרשות להגנת הפרטיות להטיל קנסות כספיים. עד לתיקון 13, הכלים העיקריים לאכיפה היו פליליים בעיקרם, מה שהקשה על הרשות לפעול ברוב המקרים של הפרת התקנות – בהם חברות ועסקים התרשלו, אך לא ביצעו עבירות פליליות.
כיום, על פי התיקון, ניתן להטיל עיצום כספי בגין מגוון הפרות, ובין היתר: עיבוד מידע במאגר שאינו רשום, הפרת חובת היידוע, ואי-מחיקת מידע לפי בקשה. כדוגמה, הפרת חובת הרישום של מאגר מידע עלולה לגרור עיצום כספי של עד 150,000 שקל. הפרות חמורות יותר, הנוגעות לגופים בעלי מחזורים כספיים גבוהים או למאגרים גדולים, עלולות להביא לקנסות גדולים אף יותר.
מעבר לכך, התיקון מסמיך את הרשות לפתוח בהליכי בירור מנהלי כאשר קיים יסוד סביר להניח שבוצעה הפרה, ולבצע פיקוח שגרתי גם ללא חשד מוקדם שדלף מידע או ישנה הפרה. המשמעות היא שהסיכון כבר אינו תיאורטי.
מה זה יועץ הגנת פרטיות ולמה הוא לא DPO פנימי
יועץ הגנת פרטיות הוא גורם מקצועי חיצוני שמסייע לארגון למפות את מצבו הנוכחי ביחס לדרישות החוק (סקר פערים) ולבנות תוכנית ציות מסודרת לדרישות. בניגוד לממונה הגנת הפרטיות הפנימי, שהוא עובד הארגון, היועץ מגיע עם ראיית חוץ, הכרות עם מגוון ארגונים ותעשיות, ועם מתודולוגיה עבודה מוכחת.
כל תהליך ייעוץ מתחיל בדרך כלל בסקר הגנת פרטיות מקיף, שמאפשר לזהות פערים בין מצב הארגון לבין דרישות החוק. הסקר בוחן את סוגי המידע שמעובדים, את מטרות העיבוד, את אמצעי האבטחה הקיימים, ואת הסדרי ההתקשרות עם צדדים שלישיים שמקבלים גישה למידע. על בסיס ממצאי הסקר מגובשת תכנית עבודה עם סדרי עדיפויות ומועדים.
ייעוץ הגנת פרטיות מקיף כולל לעיתים גם ניסוח מדיניות פרטיות ונהלים פנימיים, הכנת מסמכי יידוע ותבניות הסכמה, ליווי בתהליך רישום מאגרי המידע, ובניית מנגנוני תגובה לבקשות של נושאי מידע ולאירועי אבטחה.
מי חייב להיערך ומתי
הנטייה הנפוצה היא להניח שדרישות הגנת הפרטיות רלוונטיות רק לחברות טכנולוגיה גדולות. בפועל, כל ארגון שמחזיק בפרטי לקוחות, עובדים או ספקים, כפוף לחוק. חברת שיווק שמנהלת רשימות דיוור, קליניקה רפואית שמטבע הדברים מחזיקה מידע רפואי רגיש, עמותה שמגייסת תרומות, חנות מקוונת, ומשרד עורכי דין – כולם עובדים עם מידע פרטי-אישי וכולם חשופים לאכיפה.
הזמן הנכון להיערך הוא לפני שמגיעה בדיקה של הרשות, ולא אחריה. הרשות להגנת הפרטיות הכריזה על מדיניות אכיפה פעילה, ופניות ותלונות מצד אזרחים על הפרות כבר מגיעות.
הציות לחוק הוא לא עניין של תדמית – זו חובה שיכולה לחסוך כספים
תיקון 13 לא נועד להכביד על ארגונים לשם הכבדה. הוא משקף מגמה גלובלית של הגנה מוגברת על זכות הפרטיות, שהפכה מזה שנים לזכות יסוד מוכרת גם בדין הישראלי. ארגון שמתייחס ברצינות לנושא לא רק מגן על עצמו מפני עיצומים, אלא בונה אמון מול לקוחותיו ושותפיו העסקיים.
חברת פורס מאז'ור מתמחה בליווי ארגונים בתהליכי ציות לחוק הגנת הפרטיות, החל מסקר מצב ראשוני, דרך בניית מערך הגנה, ועד ייצוג מול הרשות להגנת הפרטיות כאשר נדרש. לפרטים נוספים על שירותי ייעוץ הגנת הפרטיות, בקרו בעמוד השירות של פורס מאז'ור.
