תיקון 13 לחוק הגנת הפרטיות: מה באמת נדרש מכם

רפורמה שנכנסה לתוקף ב-14 באוגוסט 2025 ושינתה את חוק הגנת הפרטיות מ-1981 בשלושה מישורים: היא צמצמה מאוד את חובת רישום המאגרים, הוסיפה חובת מינוי ממונה הגנת פרטיות לארגונים מסוימים, והרחיבה משמעותית את סמכויות האכיפה והעיצומים של הרשות להגנת הפרטיות.

החוק חל על כל מי שמחזיק מידע אישי על אנשים, כולל עסק של אדם אחד עם רשימת לקוחות. מה שכן, החובות הכבדות יותר, כמו מינוי ממונה ורישום מאגר, לרוב אינן חלות על עסקים קטנים. מה שכן חל עליכם הוא היידוע בעת האיסוף, שמירה על אבטחה סבירה, אי שימוש במידע למטרה שלא נאספה לשמה, ומענה ללקוח שמבקש לעיין במידע עליו או למחוק אותו.

ברוב המקרים לא, וזו הטעות הנפוצה ביותר בחומר שעדיין מסתובב ברשת. תיקון 13 ביטל את חובת הרישום הכללית והשאיר אותה לשני סוגים בלבד: מאגר שעיקר עיסוקו מסירת מידע אישי לאחרים ומחזיק מידע על יותר מ-10,000 אנשים, ומאגר של גוף ציבורי. אם רשמתם מאגר בעבר ואינכם נכנסים לקטגוריות האלה, ייתכן שהרישום כבר אינו נדרש.

מי שמחזיק מידע בעל רגישות מיוחדת על יותר מ-100,000 אנשים ואינו חייב ברישום, צריך להודיע על כך לרשות בתוך 30 יום. ההודעה כוללת את פרטי בעל המאגר, את פרטי ממונה הגנת הפרטיות, ועותק ממסמך הגדרות המאגר לפי תקנות אבטחת המידע. זו חובה עצמאית שרבים מפספסים כי הם מניחים שביטול הרישום פטר אותם מהכול.

סעיף 17ב1(א) מונה ארבע קבוצות. גופים ציבוריים, ובכללם גם כל גורם חיצוני שמעבד מידע עבור גוף ציבורי. גופים שמטרתם העיקרית היא מסירת מידע אישי לאחר, כדרך עיסוק או בתמורה, ויש להם מידע על יותר מ-10,000 איש. ארגונים שעיסוקיהם העיקריים כרוכים בניטור שוטף ושיטתי של בני אדם. וארגונים שעיסוקם העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר, שלגביהם החוק נוקב במפורש בבנקים, חברות ביטוח, בתי חולים וקופות חולים. לשתי הקבוצות האחרונות אין סף כמותי, והרשות בוחנת מכלול נסיבות.

תקנות אבטחת המידע מסווגות כל מאגר לרמה שקובעת כמה נדרש ממנו: מאגר המנוהל בידי יחיד, רמה בסיסית, רמה בינונית ורמה גבוהה. הסיווג נגזר מסוג המידע ומהיקפו, ומאגר עולה לרמה גבוהה כשיש בו מידע רגיש על 100,000 אנשים ומעלה או יותר מ-100 בעלי הרשאה. הרמה קובעת דברים מעשיים כמו תיעוד גישה, בקרות, סקרי סיכונים ומבדקי חדירה.

העיצומים מחושבים לפי תעריף לנושא מידע, ולא לפי מספר האנשים שנפגעו בפועל. אי מינוי ממונה הוא 2 ₪ לכל אדם שיש עליו מידע במאגר, ו-4 ₪ אם יש במאגר מידע בעל רגישות מיוחדת. עיבוד מידע שלא כדין הוא 4 ₪ ו-8 ₪ בהתאמה, עם רצפה של 200,000 ₪. הדוגמה שהרשות עצמה נותנת: גוף ציבורי שלא מינה ממונה ומחזיק מידע רגיש על 100,000 איש חשוף ל-400,000 ₪. מעל הכול עומדת תקרה של 5% מהמחזור השנתי. בכיוון ההפוך יש הפחתה של 10% למי שמינה ממונה בפועל, ובלבד שאינו גוף ציבורי או עוסק בסחר במידע.

מבררים אם חובת מינוי הממונה חלה עליכם, כי היא זו שגוררת אחריה את רוב שאר העבודה. אחר כך ממפים איזה מידע אישי בכלל נמצא אצלכם ואיפה הוא יושב. רק אחרי המיפוי אפשר לדעת אילו מסמכים צריך ואילו שינויים טכניים נדרשים, ולא להפך.