תיקון 13 לחוק הגנת הפרטיות

מהו תיקון 13 לחוק הגנת הפרטיות – ומה עושים קודם?

תיקון 13 לחוק הגנת הפרטיות הוא העדכון המרכזי לחוק משנת 1981 שנכנס לתוקף ב-14 באוגוסט 2025. הוא מחזק סמכויות אכיפה לרשות הגנת הפרטיות, מעדכן הגדרות מידע ומאגרים, מצמצם את חובת רישום המאגרים במגזר הפרטי (ומשאיר חובות הודעה/רישום במקרים מוגדרים), ומטיל חובת מינוי ממונה על הגנת הפרטיות על קטגוריות מסוימות של גופים. הצעד העסקי הראשון הוא למפות איזה מידע אישי נאסף באתר ובמערכות הפנים, לבדוק אם חלה חובת מינוי DPO, ולעדכן מדיניות פרטיות והסכמי ספקים – לא להסתפק בקריאת כותרות על עיצומים. לליווי מלא ראו גם מתן שירותי DPO וניהול הגנת הפרטיות.

מה השתנה בפועל – הגדרות, רישום/הודעה, אכיפה

חוק הגנת הפרטיות נחקק בשלהי 1981, בתקופה שבה «מאגר מידע» היה לרוב רשימת לקוחות בקלסר. תיקון 13 מעדכן את כללי המשחק לעידן הדיגיטלי: הגדרות מידע ומאגרים מעודכנות, סמכויות פיקוח ואכיפה מנהלית לרשות הגנת הפרטיות, ודגש על ניהול תקין של מידע אישי – לא רק על רישום פורמלי. בפועל חשוב להבין שלושה קווים:

• הגדרות – מידע אישי ומאגרים מוגדרים באופן שמתאים לאתרים, CRM, דיוור ומערכות ענן.
• רישום / הודעה – במגזר הפרטי חובת הרישום הכללית צומצמה; נותרות חובות הודעה או רישום במקרים מוגדרים (למשל מאפייני מידע רגיש או היקפים מסוימים). אין להסתמך על מסגרת «רישום מאגרים 2022» כאילו היא עדיין ברירת המחדל לכל עסק.
• אכיפה – לרשות כלים מנהליים ואפשרות עיצומים; הגישה העסקית הנכונה היא היערכות מתועדת, לא היסטריה.

מטרת התיקון בקיצור: לחזק כלים לרשות, ליצור תמריץ לציות, ולשים את פרטיות המשתמש במרכז התהליך הארגוני.

על מי חל תיקון 13 לחוק הגנת הפרטיות?

תיקון 13 לחוק הגנת הפרטיות חל בעיקר על גופים שמעורבים באיסוף, אחסון, עיבוד או שימוש במידע אישי – גם אם אינם גופים ציבוריים או תאגידים גדולים. בפועל מדובר בשלוש קטגוריות עיקריות:

• בעלי מאגרי מידע
• מנהלים, מחזיקים ומתחזקים מאגרי מידע באופן שוטף
• ארגונים וספקים המשתמשים במידע אישי לצורך מתן שירותים עסקיים

בעלי מאגרי מידע

כל עסק, עמותה, ארגון, רשות או עצמאי שמחזיק במאגר הכולל מידע אישי נחשב בעל מאגר וחלות עליו החובות הרלוונטיות. דוגמאות נפוצות:

• חנות אינטרנטית עם רשימת לקוחות (שמות, טלפון, דוא״ל, כתובות)
• אתר תדמית שאוסף מתעניינים דרך טופס יצירת קשר
• רשות מקומית המנהלת מאגר תושבים
• אפליקציה עם רישום משתמשים, מיקום או מידע רגיש
• עסק השולח ניוזלטר או מנהל מועדון חברים על בסיס טפסים מקוונים

בעת החזקת מאגר מומלץ להחזיק מסמך הגדרות עדכני – למיפוי, בקרה וצמצום פערים תפעוליים.

מנהלים ומחזיקים בפועל

גם מי שיש לו גישה למידע או מנהל אותו בפועל כפוף להוראות הרלוונטיות, למשל:

• מנהל מערכת לקוחות / CRM
• עובד שיווק המפעיל דיוור אוטומטי
• ספק חיצוני המנהל שרתים או מאגר עבור העסק

גם אם העסק אינו «הבעלים הרשמי» של המאגר אך מחזיק או משתמש במידע אישי – יש לבדוק את החובות החלות עליו.

ספקי משנה ושימוש עסקי במידע

גופים שמשתמשים במידע אישי לשיווק, ניתוח, פרסום ממוקד או התאמת שירותים – גם אם המידע לא נאסף ישירות מהלקוח – נדרשים לעמוד בסטנדרטים הקבועים בחוק. לפירוט מעשי מול ספקי שיווק ראו גם שמירה על מאגר מידע.

צ׳קליסט היערכות: אתר מול ארגון

הטבלה הבאה מסייעת להפריד בין פעולות באתר לבין פעולות בארגון – ולתרגם את תיקון 13 לצ׳קליסט קצר:

תחום	שאלה לבדיקה	פעולה מומלצת
אתר	האם יש מדיניות פרטיות מעודכנת ומקושרת מטפסים?	לכתוב/לעדכן מדיניות פרטיות לאתר אינטרנט
אתר	האם ברור מי בעל השליטה ומה מטרות האיסוף?	ליישר טפסים, cookies וניוזלטר למדיניות
ארגון	אילו מאגרים/מערכות מחזיקים מידע אישי?	מיפוי מאגרים + מסמך הגדרות
ארגון	האם עובדים עם ספקי שיווק/CRM חיצוניים?	הסכם לפרטיות ועיבוד המידע DPA + הרשאות מינימום
ארגון	האם חלה חובת מינוי DPO?	לבדוק מול מי מחויב למנות DPO
ארגון	מה נוהל אירוע אבטחה?	נוהל דיווח לרשות + תרגול

מתי חובה למנות DPO ומתי מומלץ ליווי חיצוני

תיקון 13 מטיל חובת מינוי ממונה על הגנת הפרטיות על קטגוריות מסוימות של גופים. לא כל עסק חייב DPO במשרה מלאה – אבל עסקים שמחזיקים מאגרים רגישים, עובדים עם ספקים חיצוניים, או אוספים מידע בהיקף משמעותי דרך האתר, מרוויחים מליווי חיצוני לפי פרויקט או שעות. לבירור חובה מול המלצה התחילו במי מחויב למנות DPO. למסלול שירות מלא ראו מתן שירותי DPO וניהול הגנת הפרטיות.

מדיניות פרטיות, הסכמה וספקים חיצוניים

מהצד הדיגיטלי, תיקון 13 מתחבר ישירות למה שמופיע באתר: מדיניות פרטיות ברורה, קישור מטפסים, הסבר על מטרות האיסוף, והסכמי עיבוד מול ספקי שיווק/CRM. בלי זה – גם מיפוי מאגרים פנימי נשאר חלקי.

• עדכון מדיניות פרטיות לאתר אינטרנט והתאמתה לטפסים ולניוזלטר
• הסכם DPA מול ספקים – ראו הסכם לפרטיות ועיבוד המידע DPA
• הרשאות מינימום ופיקוח על הורדות – כמפורט בשמירה על מאגר מידע

מה קורה באי-עמידה – עיצומים במבט מקצועי

לרשות הגנת הפרטיות סמכות להטיל עיצומים כספיים מנהליים (במקרים חמורים – עד סכומים גבוהים מאוד), ללא צורך בהליך פלילי מלא. בנוסף עלולים להיחשף נושאי משרה לאחריות אישית, ונזק תדמיתי אם מתפרסמת הפרה. הגישה המומלצת אינה «באנר קנסות» אלא תכנית היערכות: מיפוי, מדיניות, DPA, בדיקת חובת DPO ונוהל אירוע. כך מצמצמים פערים לפני שמתעוררת אכיפה.

ומה לגבי המשתמשים שהמידע שלהם נאסף?

• שליטה במידע האישי – הזכות לדעת מי מחזיק, לאיזו מטרה, ולבקש תיקון או מחיקה בהתאם לחוק
• הגנה על פרטיות כזכות יסוד בעולם מתועד
• שקיפות – הסבר ברור במדיניות הפרטיות על שימושי המידע

התיקון מעביר את מרכז הכובד לשקיפות מול הלקוח – ומחייב ארגונים לשים פרטיות בתהליך העבודה, לא כנספח.