תיקון 13 לחוק הגנת הפרטיות

כל עסק, עמותה, ארגון, רשות ציבורית/מוניציפלית או עסק עצמאי – שמחזיק במאגר מידע הכולל מידע אישי של אנשים, נחשב כ"בעל מאגר" וחלות עליו החובות הקבועות בחוק.
להלן מספר דוגמאות נפוצות של עסקים המחזיקים במאגרי מידע:

1. • חנות אינטרנטית שמנהלת רשימת לקוחות שכוללת את שמות הלקוחות/המתעניינים שלה, כתובות, מספרי טלפון, כתובות דואר אלקטרוני ועוד.
   • בעל אתר תדמיתי האוסף מידע של לקוחות או מתעניין דרך טופס יצירת קשר המופיע באתר שלו.
   • רשות מקומית המנהלת מאגר מידע של כל התושבים שלה כולל מידע אישי אודותיהם.
   • גוף עסקי שכולל אפליקציה המפעילה מערכת לרישום משתמשים, כולל חיבור מהיר למיקום המשתמש, תחומי עניין, או מידע רפואי.
   • בעל עסק השולח הודעות לצורך קבלת "לידים" ע"י מילוי טופס מקוון לצורך הרשמה לניוזלטר או למועדון החברים.

 
מנהלים, מחזיקים ומתחזקים מאגרי מידע באופן שוטף.

הכוונה היא לאותם אנשים שיש להם גישה למידע או מנהלים אותו בפועל, לדוגמה:

1. • מנהל מערכת לקוחות/ CRM  בארגון.
   • עובד במחלקת השיווק שמפעיל דיוור אוטומטי ללקוחות או מתעניינים.
   • ספק חיצוני שמנהל את השרתים או המאגר עבור העסק.

גם אם העסק הוא לא הבעלים הרשמי של המאגר אך הוא זה שמחזיק במידע אישי או משתמש בו בכל צורה שהיא, הוא כפוף להוראות החוק.

ארגונים חיצוניים או ספקי משנה המשתמשים במידע אישי לצורך מתן שירותים עסקים

הכוונה כאן היא לגופים שעושים שימוש במידע אישי כחלק מהפעילות העסקית – לצורך שיווק, ניתוח נתונים, פרסום ממוקד, התאמת שירותים או כל שימוש מסחרי אחר. גם אם המידע לא נאסף ישירות מהלקוחות (לדוגמה, מידע שנאסף או אפילו נרכש מצד שלישי) – כל שימוש במידע אישי זה, מחייב את אותו ארגון לעמוד בסטנדרטים הקבועים בחוק.

מה דורש התיקון לחוק מאותם העסקים המנהלים מאגרי מידע?

 רישום וניהול תקין של מאגרי מידע

• ישנה חובה לרשום מאגרים עם מאפיינים מסוימים (למשל – מאגר שכולל מידע רפואי / מידע רגיש, מאגר הכולל רישום של מעל 10,000 אנשים, מידע המועבר לגורם שלישי וכו')
• ניהול תקין של הרשומות ברישום המאגר תוך כדי שמירה על אבטחת המידע ומתן גישה רק למשתמשים מורשים לאותו מידע.

 קביעת נהלים וציות לחוק

• מינוי אחראי על הגנת הפרטיות בארגון (רלוונטי רק בארגונים מסוימים)
• קביעת נהלים פנימיים להגנת מידע (גישה למידע, חלוקה והרכב הסיסמאות, הרשאות משתמשים ועוד).
• יידוע נושאי מידע (למשל – פרסום הצהרת פרטיות/מדיניות פרטיות ברורה באתר)
• יישום מערכות אבטחת מידע הולמת לסיכון הכרוך בהפצת המידע לגורמים שאינם מורשים.

 דיווחים על אירועי אבטחת מידע

• דליפת מידע – בעת שיש דליפה של מידע מחוץ למאגר, יש לעדכן את רשות הגנת הפרטיות ובמקרים מסוימים אף את כל הציבור.
• פריצה למאגר – במקרה של פריצה למאגר הנתונים יש לעדכן מיידית את רשות הגנת הפרטיות.

מה ההשלכות של אי-עמידה בהוראות החוק?

עיצומים כספיים גבוהים

• הרשות מוסמכת להטיל עיצומים כספיים מנהליים בגובה של עד 3.2  מיליון ש"ח
• אין צורך בפתיחת הליך פלילי – אלא מדובר בהליך מינהלי ומהיר יותר.

אחריות אישית

מנהלים עלולים לשאת באחריות אישית במידה של הפרת החוק וזליגת המידע לגורמים עוינים.

פגיעה במוניטין

רישום ציבורי של הפרות יכול לגרום נזק תדמיתי קשה לבעל העסק (הרי מי היה רוצה לרכוש או להזין את הפרטים שלו במאגרים שנפרצו או שזלגו מהם מידע חשוב).

ומה לגבי המשתמשים שהמידע שלהם נאסף?

1. לכל משתמש יש שליטה מלאה במידע האישי שלו – הלקוח זכאי לדעת מי מחזיק את המידע עליו, מה עושים איתו, ולבקש למחוק אותו.
2. הגנה על פרטיות – בעולם שבו הכל מתועד, האפשרות לשמור על מידע אישי הפכה לזכות יסוד.
3. שקיפות – עסקים נדרשים להסביר במפורש מה הם עושים עם המידע – ולפעול ביושר לאורך זמן כל עוד המידע נמצא בידיהם.

החוק למעשה מעביר את מרכז הכובד מהעסק ללקוח – ומחייב את הגופים לשים את הפרטיות במרכז החשיבה הארגונית.

אם הארגון שלכם מחזיק או מעבד מידע אישי – אפילו אם מדובר ברשימות לקוחות, טפסי הרשמה או מערכות פנימיות – חשוב לוודא שההתנהלות תואמת את דרישות תיקון 13 והחוק בכלל. אנו מזמינים אתכם לפנות אלינו לקבלת ייעוץ פרטני ומותאם אישית, המותאם לאופי הארגון, למבנה המידע שאתם מחזיקים ולרמת הסיכון הרלוונטית.

נשמח לסייע במיפוי מאגרי מידע, כתיבת נהלים, התאמת הצהרות פרטיות, ניהול סיכונים ועוד – בצורה יעילה, מדויקת ופרקטית.

המידע המופיע במאמר זה הינו לידע כללי בלבד ואינו מהווה ייעוץ או עצה משפטית. בכל נושא משפטי יש להתייעץ עם עורך דין.