תיקון 13 לחוק הגנת הפרטיות — מה חייב עסק קטן לעשות

מה זה תיקון 13 לחוק הגנת הפרטיות, ומתי הוא נכנס לתוקף?

חוק הגנת הפרטיות, התשמ״א-1981 הוא החוק הישראלי שמסדיר מה מותר לעשות במידע אישי על אנשים. תיקון מס׳ 13 אושר במליאת הכנסת ב-5 באוגוסט 2024 ונכנס לתוקף ב-14 באוגוסט 2025 — הרפורמה המשמעותית ביותר בדיני הפרטיות בישראל מאז חקיקת החוק.

התיקון עשה שני דברים בו-זמנית, ולכן קל להתבלבל לגביו. מצד אחד הוא ביטל דרישות ניירת מיושנות שהעמיסו על עסקים בלי לייצר הגנה אמיתית. מצד שני הוא נתן לרשות להגנת הפרטיות שיניים — סמכויות פיקוח, בירור מנהלי ואכיפה מנהלית, ובראשן הטלת עיצומים כספיים.

המסקנה המעשית: פחות טפסים, יותר אחריות. הרשות כבר לא צריכה להגיע לבית משפט פלילי כדי שהפרה תעלה לכם כסף.

בפועל הרשות יכולה לפתוח בבירור מנהלי, לדרוש מסמכים, להורות על הפסקת עיבוד מפר ולהטיל עיצום כספי. סכום העיצום נגזר בין היתר מסוג ההפרה, ממספר האנשים שיש עליהם מידע במאגר, מרגישות המידע ומגודל המאגר. ככל שהמאגר גדול ורגיש יותר — כך החשיפה גדלה. החוק גם קובע סכומים מופחתים ל״עסק זעיר״ ול״עסק קטן״, כך שהמדרג לא בנוי להפיל עסק קטן על הפרה טכנית.

האם רשימת הלקוחות שלכם היא בכלל מאגר מידע?

זו השאלה הראשונה, ורבים מדלגים עליה ישר לחובות. החוק מגדיר ״מאגר מידע״ כאוסף פרטי מידע אישי המעובד באמצעי דיגיטלי — ומוציא מההגדרה במפורש שני מקרים: אוסף לשימוש אישי שאינו למטרות עסק, ואוסף הכולל רק שם, מען ודרכי התקשרות לגבי 100,000 בני אדם או פחות, שאינו מלמד כשלעצמו על מידע אישי נוסף.

כלומר רשימת אנשי קשר שיש בה שם, טלפון ומייל — ותו לא — עשויה לא להיות מאגר מידע כלל, ואז כל הדיון ברישום ובאבטחה פשוט לא נפתח.

אבל שימו לב לתנאי שסוגר את הפרצה: החריג חל רק אם לבעל האוסף, או לתאגיד בשליטתו, אין אוסף אחר הכולל פרטי מידע אחרים על אותם אנשים. וכאן רוב העסקים נופלים. אם לצד רשימת הקשר יש לכם גם היסטוריית הזמנות, חשבוניות, תיקי טיפול או הערות על אותם לקוחות — הרשימה כבר לא עומדת בפני עצמה, והחריג לא חל. מעט מאוד עסקים אמיתיים מחזיקים שם וטלפון ושום דבר אחר.

האם עסק קטן חייב ברישום מאגר מידע אחרי תיקון 13?

ברוב המקרים — לא. לפני התיקון חובת הרישום היתה רחבה וחלה על מאגרים רבים בסקטור הפרטי. סעיף 8א, כנוסחו אחרי התיקון, מצמצם אותה לשני מקרים: מאגר שמטרתו העיקרית היא איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה (לרבות שירותי דיוור ישיר) ויש בו מידע על יותר מ-10,000 בני אדם; או מאגר שבעל השליטה בו הוא גוף ציבורי — אלא אם המאגר כולל מידע על עובדי הגוף בלבד.

נגריה שמנהלת רשימת לקוחות, קליניקה שמנהלת יומן, או עסק שמנהל תיקי עבודה — אלה לא סוחרי מידע. הם אוספים מידע לצרכים שלהם, ולא כדי למכור אותו הלאה.

יש חובה נוספת שחשוב להכיר, בסעיף 8א(ב): מי שאינו חייב ברישום, אך מספר האנשים שיש עליהם מידע בעל רגישות מיוחדת במאגר שלו עולה על 100,000 — חייב להודיע לרשות בתוך 30 יום על זהות בעל השליטה, מענו ודרכי ההתקשרות עימו, על זהות ממונה הגנת הפרטיות ודרכי ההתקשרות עימו (אם מינויו נדרש לפי סעיף 17ב1), ולמסור העתק ממסמך הגדרות המאגר. רוב העסקים הקטנים רחוקים מהסף הזה בכמה סדרי גודל.

מי חייב למנות ממונה על הגנת הפרטיות?

חובת מינוי ממונה הגנת פרטיות היא חידוש של התיקון, והיא לא חלה על כולם. סעיף 17ב1(א) מונה ארבע קטגוריות: גופים ציבוריים (למעט גוף ביטחוני); סוחרי מידע עם מידע על יותר מ-10,000 בני אדם; גופים שעיסוקיהם העיקריים מחייבים, נוכח טיבם, היקפם או מטרתם, ניטור שוטף ושיטתי של בני אדם בהיקף ניכר — למשל חברות סלולר ומנועי חיפוש; וגופים שעיקר עיסוקם עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר, ובכללם תאגידים בנקאיים, מבטחים, בתי חולים כלליים וקופות חולים.

סעיף 17ב1(ב) גם מסביר לפי מה נמדד ״היקף ניכר״: מספר האנשים שהמידע מעובד לגביהם, שיעורם באוכלוסייה, היקף המידע וסוגיו, משך העיבוד ותדירותו, ועוד.

עסק קטן טיפוסי לא נכנס לאף אחת מארבע הקטגוריות. זה לא אומר שאף אחד לא צריך להיות אחראי על הנושא אצלכם — זה אומר שהחוק לא כופה עליכם תפקיד רשמי.

מה נחשב מידע בעל רגישות מיוחדת?

התיקון החליף את המונח הישן והרחיב אותו. הקטגוריה כוללת, בין היתר, מידע רפואי, גנטי וביומטרי, נתוני מיקום, דעות פוליטיות ואמונות דתיות, עבר פלילי, נטייה מינית, שכר ופעילות פיננסית, והערכות אישיות.

הרשימה הזו רחבה יותר משנדמה. קליניקה מחזיקה מידע רפואי. מעסיק מחזיק נתוני שכר. מערכת עם צ׳ק-אין מבוסס מיקום מחזיקה נתוני מיקום. ברגע שיש אצלכם מידע כזה — רמת האבטחה הנדרשת מכם עולה, גם אם אינכם חייבים ברישום.

מה אנשים יכולים לדרוש ממכם?

זה החלק שהכי קל לפספס, כי הוא לא מרגיש כמו חובה — הוא מגיע כפנייה של לקוח. החוק נותן לכל אדם זכות עיון במידע האישי שעליו המוחזק במאגר שלכם (סעיף 13), וזכות לדרוש תיקון או מחיקה של מידע שאינו נכון, שלם, ברור או מעודכן (סעיף 14). מי שמסרב — צריך להשיב בכתב ולנמק.

תיקון 13 גם הרחיב את חובת היידוע בשעת איסוף המידע (סעיף 11). מעבר לשאלה אם מסירת המידע היא חובה חוקית או מרצון, צריך היום לומר גם מה תוצאת אי-ההסכמה, מיהו בעל השליטה במאגר ואיך יוצרים איתו קשר, ומהן זכויות העיון והתיקון.

ולזכויות האלה יש עכשיו שיניים אזרחיות. סעיף 15א, שנוסף בתיקון, מאפשר לבית המשפט לפסוק פיצויים לדוגמה שאינם תלויים בנזק, עד 10,000 ₪, בגין רשימה סגורה של הפרות — בהן סירוב לאפשר עיון, הסכמה לתקן או למחוק מידע בלי לבצע זאת בפועל, ואי-מסירת הודעת סירוב. חלק מהעילות מותנות בפנייה מוקדמת: באי-רישום נדרשת דרישה לרשום את המאגר ו-90 יום שחלפו; באי-מסירת הודעה לפי סעיף 11 — דרישה ו-30 יום.

בקביעת הסכום בית המשפט מתחשב, בין השאר, בעידוד התובע למימוש זכויותיו ובהיקף ההפרה וחומרתה — ובמפורש לא בגובה הנזק שנגרם.

עכשיו שאלה תפעולית: אם לקוח יתקשר מחר ויבקש לראות כל מה שיש עליו אצלכם — כמה זמן זה ייקח? אם התשובה היא ״צריך לחפש בכמה מקומות״, זו לא בעיה משפטית. זו בעיה של מערכת.

אז מה באמת נשאר לעסק הקטן לעשות?

החלק שנשאר, ושהוא היום החלק הנאכף, הוא תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017. נקודה קריטית שרבים מפספסים: תחולת התקנות אינה תלויה ברישום. הן חלות על מאגר מידע גם כשאין חובה לרשום אותו.

התקנות מדרגות את הדרישות לפי רמת אבטחה — בסיסית, בינונית וגבוהה — לפי סוג המידע והיקפו. גם ברמה הבסיסית נדרשים מסמך הגדרות המאגר (תקנה 2) וניהול הרשאות גישה לפי הגדרות תפקיד (תקנה 8). ככל שעולים ברמות, נוספות דרישות של תיעוד גישה אוטומטי, גיבוי ושחזור ובקרות נוספות. לפי התוספת השנייה, רמת האבטחה הגבוהה חלה כשמאגר מהסוגים הרגישים כולל מידע על 100,000 אנשים ומעלה, או כשמספר בעלי ההרשאה בו עולה על 100.

יש בתקנות גם מסלול מוקל — ״מאגר המנוהל בידי יחיד״, שבו רק היחיד ולכל היותר שני בעלי הרשאה נוספים משתמשים במאגר. אבל תקנה 1 מוציאה ממנו במפורש שלושה סוגים, ואחד מהם קריטי: מאגר הכולל מידע שבעל המאגר כפוף בשלו לחובת סודיות מקצועית לפי דין או לפי עקרונות של אתיקה מקצועית (וכן מאגר עם מידע על 10,000 אנשים ומעלה, ומאגר של סוחר מידע).

המשמעות חדה: עורך דין, רופא, פסיכולוג או מטפל לא יכולים ליהנות מהמסלול הקל — לעולם. גם עורך דין יחיד שעובד לבד, עם מאגר של עשרים לקוחות, מוצא מההגדרה בגלל חובת הסודיות המקצועית שחלה עליו. זו בדיוק הסיבה שתוכנה לניהול קליניקה ומערכת למשרד עורכי דין לא יכולות להיבנות כמו רשימה בגיליון.

במילים פשוטות, השאלות שתישאלו בבדיקה הן: מי יכול לראות מה, האם המידע מוצפן, האם יש תיעוד גישה, האם אתם יכולים למחוק מידע של אדם שביקש זאת, ואיפה המידע נשמר בכלל.

ויש עוד שאלה שעולה כמעט תמיד: מי עוד נוגע במידע. כשאתם נעזרים בספק חיצוני — אחסון, גיבוי, כלי דיוור — המידע עובר דרכו, והתקנות מסדירות גם את זה: תקנה 15 דורשת לבחון את סיכוני האבטחה לפני ההתקשרות, לקבוע בהסכם במפורש אילו סוגי מידע נמסרים, אילו שימושים מותרים, מה קורה למידע בתום ההתקשרות, ולקיים בקרה על הספק. שווה לדעת מראש מה בדיוק יוצא החוצה ולאן.

למה זו שאלה של תוכנה ולא של ניירת?

הסתכלו שוב על רשימת השאלות בפסקה הקודמת. אף אחת מהן לא נענית בנוהל כתוב. כולן נענות — או לא נענות — במערכת שאתם עובדים בה בפועל.

אפשר לכתוב נוהל שאומר שרק מנהל החשבונות רואה נתוני שכר. אם התוכנה לא יודעת להבחין בין משתמשים, הנוהל הוא נייר. אפשר להתחייב למחוק מידע לפי דרישה — אבל אם הנתונים פזורים בין גיליון אקסל, שרשור וואטסאפ ותיקייה בענן, אף אחד לא באמת יכול למחוק אותם. זה בדיוק הפער בין מערכת שנבנתה סביב העבודה שלכם לבין ערימת כלים שנצברה במקרה.

ב-appotto אבטחה היא ברירת מחדל ולא תוספת בתשלום: הצפנה, הרשאות לפי תפקיד וגיבויים נכנסים לפרויקט מהיום הראשון. כל סוגיה של פרטיות ואבטחת מידע עוברת בדיקה משפטית מסודרת אצל היועץ המשפטי של בית התוכנה, כדי שהלקוח יהיה מכוסה.

הדוגמה החדה ביותר היא מערכת ה-CRM לעורכי דין. שותף במשרד עורכי דין גדול ברעננה, שמונה עשרות עורכי דין, אפיין את המערכת והתווה את מדיניות אבטחת המידע שלה — הפרדה מלאה בין תיקים, הרשאות לכל עורך דין ולכל תיק, והצפנה. כשחיסיון עורך-דין–לקוח הוא הרף, שאר הדרישות כבר נמצאות מתחתיו.

ואם אתם רק בשלב שבו אתם שוקלים מערכת ומנסים להבין מה זה אומר מבחינת תקציב, מה מרכיב את עלות הפיתוח מוסבר בנפרד. ואם אתם עוד לא בטוחים שאתם צריכים מערכת בכלל — כדאי להתחיל מכאן.