כשהחוק לא ממתין
ב-14 באוגוסט 2025 נכנס לתוקף תיקון 13 לחוק הגנת הפרטיות, התשמ"א-1981. לא אירוע טכני. לא עדכון בירוקרטי. רפורמה שמשנה כללי משחק שלא השתנו מאז שטלפון נייד נראה כמו מדע בדיוני.
הפעם האחרונה שישראל עדכנה לעומק את הגנת הפרטיות שלה הייתה בסוף שנות ה-90. אז, הנחת הבסיס הייתה שמידע אישי הוא דבר נדיר, מוחזק בכמה מאגרים מוסדיים, ומחייב הגנה כבדה בדיוק בגלל שהוא מרוכז. כיום כל אפליקציית סמארטפון, כל חנות מקוונת, כל מרפאה שממלאת טפסים דיגיטליים, מחזיקה מאגרי מידע שה-GDPR האירופי (תקנת הגנת הפרטיות האירופית) כבר מסדיר בקפידה מזה שנים. ישראל, בינתיים, ישנה.
עד שהתעוררה.
מה השתנה בפועל
תיקון 13 מביא שורה של שינויים מהותיים שעסקים לא יכולים להתעלם מהם.
ראשית, הגדרת המידע הרגיש הוחלפה במונח חדש ורחב יותר: "מידע בעל רגישות מיוחדת". ההגדרה מונה 12 קטגוריות: צנעת חיים ונטייה מינית, מצב בריאותי ונפשי, מידע גנטי, מידע ביומטרי, מוצא, עבר פלילי, דעות פוליטיות ואמונות דתיות, הערכת אישיות, נתוני מיקום ותעבורה, שכר ופעילות פיננסית, מידע שחלה עליו חובת סודיות מכוח דין, וחברות בארגון עובדים. מידע כזה מחייב הגנה מוגברת: הוא משפיע על רמת האבטחה הנדרשת לפי תקנות אבטחת המידע, על חובת ההודעה לרשות במאגרים גדולים, ועל חובת מינוי ממונה בארגונים שעיבוד מידע כזה הוא עיסוקם העיקרי.
שנית, חובת היידוע (סעיף 11 לחוק) התהדקה. חמישה פרטים חייבים להיות ברורים לנושא המידע בעת האיסוף: האם חלה עליו חובה חוקית למסור את המידע או שהמסירה תלויה בהסכמתו, ומה תהיה תוצאת אי-ההסכמה; מטרת האיסוף; למי יימסר המידע ולאילו מטרות; קיומה של זכות העיון (סעיף 13); וקיומה של זכות התיקון (סעיף 14). זו לא שורה באותיות הקטנות. זה מידע שמשתמש צריך להבין לפני שלוחץ "אני מסכים".
שלישית, חשוב להבהיר נקודה שמבלבלת רבים: המודל הישראלי אינו בנוי על קטלוג ״עילות עיבוד״ בנוסח ה-GDPR, אלא על הסכמה מדעת או על הסמכה שבדין. סעיפים 23–23ד לחוק עוסקים במסירת מידע מגוף ציבורי, ולא בבסיס לעיבוד מידע במגזר הפרטי. ארגון שמעבד מידע צריך לוודא שלכל פעולת עיבוד יש הסכמה מדעת או הסמכה שבדין.
אגב, בניגוד לתדמית שנוצרה בחלק מהפרסומים המקצועיים, תיקון 13 לא אימץ את מבנה ה-GDPR במלואו. עם זאת, הוא כן שינה הגדרות מרכזיות: תיקון 13 הכניס את המונח ״בעל שליטה במאגר מידע״ והרחיב את הגדרת ״מחזיק״. ישראל שמרה על המסגרת שלה, עם שינויים. חשוב לדעת זאת לפני שמעתיקים מסמכי ציות אירופיים ישירות לשימוש ישראלי.
ממונה הגנת פרטיות (DPO): מהמלצה לחובה
אחד השינויים שהרבה ארגונים לא הכינו עצמם אליו הוא חובת מינוי ממונה הגנת הפרטיות (DPO). עד תיקון 13, היה מדובר בהמלצה. כיום, לארגונים מסוימים זו חובה.
מי חייב: גופים ציבוריים; מי שמטרתו העיקרית היא איסוף מידע לשם מסירתו לאחרים כדרך עיסוק או בתמורה, לרבות שירותי דיוור ישיר, כשהמידע על יותר מ-10,000 בני אדם; מי שעיסוקו העיקרי כרוך בניטור שוטף ושיטתי של אנשים בהיקף ניכר; ומי שעיסוקו העיקרי הוא עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר, כמו בנקים, חברות ביטוח, בתי חולים וקופות חולים. ״היקף ניכר״ אינו סף מספרי קבוע אלא מבחן רב-גורמי (כמות נושאי המידע, סוג המידע ורגישותו, מספר מורשי הגישה והיקף העיבוד). אם הארגון שלכם נופל לאחת מהקטגוריות האלה ועדיין לא מינה ממונה, הוא כבר מאחר.
אכיפה: כשהכוונות מקבלות שיניים
בין הכוונות הטובות לבין האכיפה הייתה תמיד תהום. תיקון 13 מצמצם את התהום.
הרשות להגנת הפרטיות (PPA) קיבלה סמכויות מוגברות, ובין היתר אפשרות להוציא התראות מינהליות, כלי ביניים שעומד בין אזהרה לעיצום כספי. בנוסף, החלטות אכיפה מתפרסמות בפומבי. זה לא תמריץ שמופיע בטקסטים משפטיים בדרך כלל, פרסום השם, אבל בעולם שבו המוניטין הוא נכס עסקי, הוא לפעמים כואב יותר מכל עיצום.
העיצומים הכספיים? הם כבדים. סדרי הגודל מגיעים לעשרות ומאות אלפי שקלים, ובמאגרים גדולים למיליונים. לאכיפה האזרחית יש גם נשק חדש: תביעות ללא הוכחת נזק בעילות שנקבעו בחוק, כלומר ההפרה עצמה מספיקה. וחובות הפיקוח שהוטלו על דירקטוריונים (הנחיה 1/2024) מקרבות את האחריות גם לשולחן ההנהלה.
מה עושים עכשיו
ארגון שעדיין לא בדק את מצב הציות שלו מול תיקון 13 לא בסיטואציה "אולי". הוא בסיטואציה "מתי".
ארבעה צעדים ראשוניים שכל ארגון צריך לעשות: בדיקת מצב ציות מקיפה מול דרישות התיקון, עדכון מדיניות הפרטיות ומסמכי היידוע, בחינת חובת מינוי ממונה הגנת הפרטיות, וחתימת הסכמי עיבוד מידע (DPA) עם כל ספק שמעבד מידע בשם הארגון.
כל אחד מהצעדים האלה הוא תהליך. לא טופס.
הפעם האחרונה שארגונים חיכו שהחוק יגיע אליהם, ולא הם אל החוק, הייתה לפני כניסת תקנות ה-GDPR לאירופה ב-2018. הגל הגיע. חלק הסתגלו. חלק קיבלו קנסות שנסחפו בכותרות.
ישראל, 2025. הגל כבר כאן.