הבקשה שמגיעה בכי רע
”שלום, אני מבקש לדעת אילו מידע יש לכם עלי.”
משפט אחד. שורת נושא באימייל. ולמחלקת IT של חלק מהארגונים שמקבלים אותו אין מושג מה לעשות איתו.
זו לא בעיה של רצון. זו בעיה של תהליך. ותיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף ב-14 באוגוסט 2025, הפך את היעדר התהליך לסיכון חוקי ממשי.
הזכויות שכל ארגון חייב להכיר
שלוש זכויות מרכזיות קיימות בחוק ומחייבות תגובה פעילה של ארגונים.
זכות העיון, סעיף 13 לחוק, מאפשרת לכל אדם לדעת איזה מידע מוחזק עליו, בכל מאגר רלוונטי, ולקבל עותק. המועד לתגובה: 30 יום. המועד נובע מזכות העיון שבסעיף 13 ומתקנות העיון (התשמ"א-1981), שקדמו לתיקון 13; הוא אינו חידוש של התיקון. ארגונים שעובדים לפי לו"ז ארוך יותר כבר מאחרים.
הארכה אפשרית קיימת, אבל צנועה בהרבה מהמקובל לחשוב: 15 ימים נוספים בלבד, בהארכת הרשם. אין בדין הישראלי מנגנון של 30 יום נוספים ”בהודעה לנושא המידע”.
זכות התיקון, סעיף 14 לחוק, מאפשרת לנושא לדרוש תיקון או מחיקה של מידע שגוי, לא עדכני או חסר. הארגון חייב לתקן ולהודיע בתוך פרק זמן סביר.
זכות ההסרה מדיוור ישיר, סעיף 17ו לחוק, מחייבת הסרה מיידית מרשימות דיוור. לא ”תוך 3-5 ימי עסקים”. מיידית.
DSR: ניהול בקשות נושאי מידע (Data Subject Requests)
לבקשות נושאי המידע, ה-DSR (Data Subject Requests), יש תהליך. ארגון שאין לו תהליך כתוב ומנוהל מגיב לכל בקשה מחדש, בצורה שונה, ולרוב לא בזמן.
שלבי התהליך הסטנדרטי: רישום מיידי של הבקשה עם תאריך קבלה וערוץ, אימות זהות הפונה בדרך סבירה ומידתית לסוג הבקשה, חיפוש ממצה בכל מאגרי המידע הרלוונטיים, תגובה בכתב תוך 30 יום, ותיעוד של כל ההתכתבות לתקופה שהארגון קובע, לפחות כמה שנים.
נקודה שארגונים מפספסים לעיתים: ”כל מאגרי המידע הרלוונטיים” זה לא רק מאגר הלקוחות הראשי. זה גם מאגר שירות הלקוחות, אנליטיקת האתר, מערכת ה-CRM, רשימות אימייל שיווקיות, גיבויים, ולעיתים ספקי צד שלישי שמחזיקים מידע בשם הארגון.
מה עושה ארגון שלא עונה בזמן
אי-מענה לבקשת עיון בתוך 30 יום הוא לא ”כשל טכני” שאפשר לתקן בהתנצלות. הוא עשוי להוות הפרה של החוק שחושפת את הארגון לתלונה לרשות להגנת הפרטיות.
תיקון 13 העמיד מאחורי הזכויות האלה עיצומים כספיים, וכן תביעות אזרחיות ללא חובת הוכחת נזק ממשי בעילות שנקבעו. ההפרה עצמה מספיקה.
ושימו לב לנקודה מבנית: תשובה חלקית לבקשת עיון, כשלא אותר מידע שכן היה קיים במאגרי הארגון, עלולה לחשוף גם להפרת זכות העיון וגם לליקויים בניהול המאגרים עצמו. האחת לא מכסה את השנייה.
הזכות שנושאי מידע מבינים הכי טוב: הסרה מדיוור
זו הזכות הנפוצה ביותר בפועל. ורוב הארגונים יודעים לטפל בה. אלא שחלק מהם עדיין מגלים שה”הסרה” שלהם לא הסירה את הנושא מכל הרשימות.
שלושה כללים שאין בהם ויכוח: ראשית, אין לגבות תשלום על הסרה. שנית, אין לדרוש נימוק. שלישית, אין לשלוח ”אימייל אחרון” לפני ביצוע ההסרה. כן, גם אם מדובר ב”אימייל פרידה”. גם אם הוא נשלח בכוונות טובות. הסרה אמורה להתבצע לפני הדיוור הבא, לא אחריו.
שמירת תיעוד: לא ניהול תקין בלבד
כל התכתבות בנושא DSR צריכה להישמר. הסיבה לא בירוקרטית. אם נושא מידע מגיש תלונה לרשות ואומר ש”לא ענו לי”, הארגון שמוחק את כל ההתכתבות בסיום הטיפול עומד בפני עמדת הגנה רעועה.
שלוש שנים הוא מינימום סביר לשמירה. כל ארגון צריך לקבוע מדיניות כתובה ולוודא שכל מי שמטפל בבקשות מכיר אותה.
מה שמבדיל ארגון מוכן מארגון שלא
כשחוק ה-CCPA בקליפורניה נכנס לאכיפה ב-2020, חלק מהחברות הגדולות שם גילו שתהליך ה-DSR שלהן פשוט לא עבד. לא בגלל כוונה רעה. בגלל שאף אחד לא בדק אותו מקצה לקצה.
ישראל, 2025. תיקון 13 פעיל. הבקשות מגיעות.
ארגון מוכן הוא ארגון שמישהו בו, עם סמכות ותשומת לב, בדק לאחרונה שהתהליך עובד. לא כתוב. עובד.