תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף באוגוסט 2025, והוא שינה את כללי המשחק לכל עסק שמחזיק מידע על אנשים. אם בניתם מערכת שיש בה רשימת לקוחות, הזמנות, פניות או נתוני עובדים, המדריך הזה בשבילכם.
מה השתנה בתיקון 13, בקצרה
- סמכויות אכיפה רחבות יותר. לרשות הגנת הפרטיות יש היום כלים חזקים יותר לפקח, לבדוק ולהטיל עיצומים כספיים על עסקים שלא עומדים בדרישות.
- הגדרות רחבות יותר של "מידע אישי". יותר סוגי מידע נחשבים מידע שצריך להגן עליו, ויש קטגוריה של מידע רגיש במיוחד, כמו מידע רפואי או פיננסי.
- ממונה הגנת פרטיות. חלק מהגופים חייבים למנות ממונה הגנת פרטיות שאחראי על הנושא בארגון.
- חשיפה לתביעות. הפרה של החוק עלולה לחשוף את העסק גם לתביעות אזרחיות.
האם זה נוגע לעסק שלי?
שאלו את עצמכם שלוש שאלות:
- האם המערכת שומרת פרטים של אנשים, כמו שם, טלפון, מייל או כתובת?
- האם יש בה מידע רגיש יותר, כמו מספרי תעודת זהות, פרטי תשלום או מידע רפואי?
- האם יותר מאדם אחד בעסק ניגש למידע הזה?
אם התשובה לאחת מהן היא כן, החוק כנראה רלוונטי אליכם, ומידת החובות תלויה בגודל המאגר ובסוג המידע.
מה בודקים במערכת עצמה
הנה הדברים הטכניים שהתקנות מתייחסות אליהם, ושאפשר לבדוק במערכת שבניתם:
| נושא | מה בודקים |
|---|---|
| הרשאות גישה | לכל משתמש יש גישה רק למה שהוא צריך, ויש סיסמאות חזקות |
| תיעוד | המערכת שומרת מי נכנס, מתי ומה עשה |
| גיבויים | יש גיבוי קבוע, במקום נפרד, ואפשר לשחזר ממנו |
| הצפנה | החיבור לאתר מוצפן (HTTPS), ומידע רגיש לא נשמר כטקסט גלוי |
| עדכונים | השרת והספריות מעודכנים ואין פרצות ידועות |
| אירועי אבטחה | יש דרך לזהות פריצה ונוהל מה עושים אם היא קורית |
מה לא בודקים במערכת
חלק מהדרישות הן לא טכניות: מסמך שמגדיר את המאגר ומטרתו, נוהל אבטחה, הדרכת עובדים והסכמים עם ספקים שמטפלים במידע. את אלה צריך להכין בנפרד, ולפעמים בליווי משפטי.
איך מתחילים
- רושמים איזה מידע אישי יש במערכת ולמה הוא נחוץ.
- מוחקים מידע שלא צריך. מידע שלא שמור לא יכול לדלוף.
- בודקים את הנקודות הטכניות בטבלה למעלה.
- מכינים את המסמכים והנהלים, ומחליטים אם צריך ממונה הגנת פרטיות.
- קובעים בדיקה חוזרת, כי כל שינוי במערכת יכול לפתוח פער חדש.
שאלות נפוצות
האם תיקון 13 חל גם על עסק קטן?
אם העסק שומר מידע אישי על לקוחות או עובדים, למשל שמות, טלפונים, כתובות או היסטוריית רכישות, סביר שחוק הגנת הפרטיות חל עליו. חלק מהחובות תלויות בגודל המאגר ובסוג המידע, ולכן כדאי לבדוק את המקרה הספציפי.
מה ההבדל בין חוק הגנת הפרטיות לבין תקנות אבטחת מידע?
החוק קובע את העקרונות והזכויות. תקנות הגנת הפרטיות (אבטחת מידע) קובעות את הדרישות הטכניות והארגוניות בפועל, כמו הרשאות גישה, תיעוד, גיבויים ודיווח על אירועים.
האם בדיקה טכנית של המערכת מספיקה כדי לעמוד בחוק?
לא תמיד. בדיקה טכנית מזהה פערים ומיישמת בקרות במערכת, אבל עמידה מלאה עשויה לחייב גם נהלים, מסמכים ובדיקה מקצועית בהתאם לאופי העסק.
המידע במדריך הוא מידע כללי ואינו ייעוץ משפטי או מקצועי למקרה הספציפי שלכם.