תיקון 13 לחוק הגנת הפרטיות:מה השתנה ומה עושים עכשיו

תיקון 13 לחוק הגנת הפרטיות הוא הרפורמה הגדולה ביותר בחוק מאז 1996. הכנסת אישרה אותו באוגוסט 2024, והוא נכנס לתוקף ב-14 באוגוסט 2025. הוא נוגע כמעט בכל עסק שמחזיק מידע על לקוחות, עובדים או משתמשים באתר.

התיקון אינו נוגע רק לחברות גדולות או לחברות טכנולוגיה. הנה עיקרי השינויים, בלשון פשוטה, ומה כדאי לבדוק בעסק כבר עכשיו.

למי זה רלוונטי?

כמעט כל עסק מחזיק מידע אישי, גם אם לא חשב על כך. למשל:

• חנות מקוונת ששומרת פרטים של לקוחות והזמנות.
• משרד שמחזיק תיקים של לקוחות.
• מעסיק ששומר מידע על עובדים ועל מועמדים לעבודה.
• אתר עם טופס יצירת קשר, רשימת דיוור או כלי למדידת גלישה.

הגדרה רחבה יותר של מידע אישי

התיקון מרחיב את ההגדרה של מידע אישי. לא רק שם, תעודת זהות או כתובת, אלא כל מידע שאפשר לקשר לאדם מסוים, גם בעקיפין.

גם מזהים מקוונים, כמו כתובת IP, יכולים להיחשב מידע אישי. כלומר, גם אתר שלא מבקש מאיש את שמו אוסף לעיתים מידע אישי בלי לשים לב. לכן כדאי לבדוק מחדש איזה מידע נחשב אצלכם למידע אישי, גם אם בעבר לא חשבתם עליו כך.

מידע רגיש במיוחד

התיקון קובע קטגוריה של מידע רגיש במיוחד. מדובר בסוגי מידע שחשיפתם עלולה לפגוע באדם יותר מהרגיל, למשל מידע על מצב בריאותו, ולכן החוק מחמיר יותר בכל הנוגע להם.

עסק שמחזיק מידע כזה צריך לדעת זאת, ולוודא שההגנה עליו מתאימה לרגישות שלו.

פחות רישום, יותר אחריות

בעבר, חובת רישום מאגרי מידע חלה על מאגרים רבים. התיקון צמצם מאוד את חובת הרישום, והיא חלה כיום על סוגים מסוימים של מאגרים בלבד.

אבל פחות רישום אינו פחות אחריות. הדגש עבר מטופס ברשם המאגרים לשאלה איך העסק שומר על המידע בפועל.

ממונה על הגנת הפרטיות

לפי התיקון, ארגונים מסוימים חייבים למנות ממונה על הגנת הפרטיות. החובה תלויה בסוג הארגון ובאופי הפעילות שלו עם מידע אישי.

תפקיד הממונה הוא לוודא שהארגון עומד בחוק, ולשמש כתובת לשאלות בנושא בתוך הארגון.

סמכויות אכיפה חדשות

הרשות להגנת הפרטיות קיבלה סמכויות אכיפה רחבות בהרבה. בין היתר, היא יכולה להטיל עיצומים כספיים, כלומר קנסות מנהליים, על מי שמפר את החוק.

המשמעות המעשית: הפרת החוק כבר אינה רק סיכון של תביעה. היא עלולה להוביל גם לצעד של הרשות עצמה. לכן כדאי להתייחס לתיקון כאל הזדמנות לעשות סדר, ולא רק כאל חובה.

מה כדאי לעשות כבר עכשיו?

אין צורך לחכות לביקורת. הנה כמה צעדים שכל עסק יכול להתחיל בהם:

1. למפות איזה מידע אישי העסק אוסף, ממי, לאיזו מטרה והיכן הוא נשמר.
2. לבדוק את מדיניות הפרטיות באתר ובאפליקציה, ואת ההודעה שמקבל אדם כשמבקשים ממנו מידע.
3. לבדוק את אבטחת המידע: מי יכול לגשת למידע, איך הוא מוגן ומה קורה כשעובד עוזב.
4. לעבור על ההסכמים עם ספקים שמעבדים מידע בשביל העסק, כמו שירותי ענן, מערכות דיוור ומערכות שכר.
5. לבדוק אם העסק חייב לרשום מאגר או למנות ממונה על הגנת הפרטיות.
6. להדריך את העובדים שעובדים עם מידע אישי.
7. לקבוע מראש מה עושים אם מתגלה דליפה או פריצה.

לסיכום

תיקון 13 לא משנה את הרעיון הבסיסי של החוק: מידע על אדם שייך לו. הוא כן משנה את רמת הפירוט, ואת הדרך שבה החוק נאכף. עסק שממפה את המידע שלו ומסדר את המסמכים בזמן נמצא בעמדה טובה יותר. אם אינכם בטוחים אילו חובות חלות על העסק שלכם, כדאי לבדוק זאת עם עורך דין.

האמור אינו מהווה ייעוץ משפטי. לייעוץ משפטי מוזמנים לפנות למשרד.