תיקון 13 לחוק הגנת הפרטיות: מה באמת נדרש מכם

רפורמה שנכנסה לתוקף ב-14 באוגוסט 2025 ושינתה את חוק הגנת הפרטיות מ-1981 בשלושה מישורים: היא צמצמה מאוד את חובת רישום המאגרים, הוסיפה חובת מינוי ממונה הגנת פרטיות לארגונים מסוימים, והרחיבה משמעותית את סמכויות האכיפה והעיצומים של הרשות להגנת הפרטיות.

החוק חל על כל מי שמחזיק מידע אישי על אנשים, כולל עסק של אדם אחד עם רשימת לקוחות. מה שכן, החובות הכבדות יותר, כמו מינוי ממונה ורישום מאגר, לרוב אינן חלות על עסקים קטנים. מה שכן חל עליכם הוא היידוע בעת האיסוף, שמירה על אבטחה סבירה, אי שימוש במידע למטרה שלא נאספה לשמה, ומענה ללקוח שמבקש לעיין במידע עליו או למחוק אותו.

ברוב המקרים לא, וזו הטעות הנפוצה ביותר בחומר שעדיין מסתובב ברשת. תיקון 13 ביטל את חובת הרישום הכללית והשאיר אותה לשני סוגים בלבד: מאגר שעיקר עיסוקו מסירת מידע אישי לאחרים ומחזיק מידע על יותר מ-10,000 אנשים, ומאגר של גוף ציבורי. אם רשמתם מאגר בעבר ואינכם נכנסים לקטגוריות האלה, ייתכן שהרישום כבר אינו נדרש.

מי שמחזיק מידע בעל רגישות מיוחדת על יותר מ-100,000 אנשים ואינו חייב ברישום, צריך להודיע על כך לרשות בתוך 30 יום. ההודעה כוללת את פרטי בעל המאגר, את פרטי ממונה הגנת הפרטיות, ועותק ממסמך הגדרות המאגר לפי תקנות אבטחת המידע. זו חובה עצמאית שרבים מפספסים כי הם מניחים שביטול הרישום פטר אותם מהכול.

ארבע קבוצות: גופים ציבוריים, בעלי מאגרים החייבים ברישום, ארגונים שפעילותם העיקרית כרוכה בניטור שיטתי ורחב היקף של אנשים, וארגונים שעיקר עיסוקם עיבוד מידע בעל רגישות מיוחדת בהיקף משמעותי. הרשות דחתה במכוון ספים כמותיים נוקשים ובוחנת את מכלול הנסיבות.

תקנות אבטחת המידע מסווגות כל מאגר לרמה שקובעת כמה נדרש ממנו: מאגר המנוהל בידי יחיד, רמה בסיסית, רמה בינונית ורמה גבוהה. הסיווג נגזר מסוג המידע ומהיקפו, ומאגר עולה לרמה גבוהה כשיש בו מידע רגיש על 100,000 אנשים ומעלה או יותר מ-100 בעלי הרשאה. הרמה קובעת דברים מעשיים כמו תיעוד גישה, בקרות, סקרי סיכונים ומבדקי חדירה.

הרשות קיבלה סמכויות חקירה ואכיפה רחבות בהרבה מבעבר. גובה העיצום נגזר מסוג ההפרה, ממספר האנשים שנפגעו, מגודל הארגון ומהישנות, ומגיע למאות אלפי שקלים ובנסיבות מסוימות למיליונים. בכיוון ההפוך יש תמריץ מפורש: ארגון שמינה ממונה הגנת פרטיות זכאי להפחתה של 10% מהעיצום.

מבררים אם חובת מינוי הממונה חלה עליכם, כי היא זו שגוררת אחריה את רוב שאר העבודה. אחר כך ממפים איזה מידע אישי בכלל נמצא אצלכם ואיפה הוא יושב. רק אחרי המיפוי אפשר לדעת אילו מסמכים צריך ואילו שינויים טכניים נדרשים, ולא להפך.