תיקון 13 לחוק הגנת הפרטיות

1. הרחבה דרמטית של הגדרות היסוד ("מידע אישי", "מידע בעל רגישות מיוחדת", "בעל שליטה" ו"מחזיק").
2. חובת מינוי ממונה על הגנת הפרטיות (DPO) על שורה רחבה של ארגונים ציבוריים ופרטיים.
3. הקניית סמכויות פיקוח ואכיפה חסרות תקדים לרשות להגנת הפרטיות, לרבות עיצומים כספיים בשיעורים של עד מיליוני שקלים.
4. מסלול פיצויים ללא הוכחת נזק של עד 10,000 ש"ח לכל נפגע, והארכת תקופת ההתיישנות האזרחית ל-7 שנים.
5. החלפת חובת רישום המאגרים המיושנת בחובת הודעה על מאגרים רגישים גדולים וחיזוק עקרון ה"אחריותיות"  וממשל תאגידי בפיקוח הדירקטוריון.

הרקע לתיקון 13 והמעבר למשטר של אחריותיות

• ביטול הפורמליזם המכביד: צמצום משמעותי של חובת הרישום עבור מרבית העסקים במשק.
• הטלת אחריות מהותית : הארגון נדרש לא רק לקיים את הוראות החוק, אלא להיות מסוגל להוכיח ולתעד באופן רציף כיצד הוא מגן על המידע האישי של לקוחותיו, עובדיו וספקיו לאורך כל מחזור חיי המידע.

עדכון מונחי היסוד המשפטיים

מ"מידע" ל"מידע אישי"

• שם ומספר זהות.
• מזהה ביומטרי.
• נתוני מיקום ונתוני תעבורה
• מזהים מקוונים (כגון כתובות IP, מזהי מכשיר, User IDs ועוגיות אנליטיות/פרסומיות).
• נתונים הנוגעים למצבו הפיזי, הכלכלי, הבריאותי, החברתי או התרבותי.

"מידע בעל רגישות מיוחדת"

• מידע על צנעת חיי המשפחה, צנעת אישות ונטייה מינית.
• מידע רפואי, בריאותי ונפשי.
• מידע גנטי ומזהים ביומטריים.
• דעות פוליטיות, אמונות דתיות והשקפת עולם.
• עבר פלילי.
• קטגוריות ייחודיות בישראל: נתוני שכר ופעילות פיננסית, והערכות אישיות שנערכו על ידי גורם מקצועי (כגון מבדקי השמה וכשירות).

"בעל שליטה במאגר" (במקום "בעל מאגר")

"מחזיק במאגר"

הרחבת הגדרת "עיבוד"

חובת מינוי ממונה הגנת הפרטיות (DPO)

על אילו גופים חלה חובת המינוי?

1. גופים ציבוריים: משרדי ממשלה, רשויות מקומיות, תאגידים סטטוטוריים, קופות חולים, בתי חולים ומוסדות להשכלה גבוהה.
2. סוחרי מידע: ארגונים שעיסוקם העיקרי הוא איסוף מידע אישי לשם מסירתו לאחר בתמורה או כדרך עיסוק (כולל שירותי דיוור ישיר מסחריים), ובמאגר יש מידע על מעל 10,000 איש.
3. גופים המבצעים ניטור שיטתי ומתמשך בהיקף ניכר: חברות תקשורת, ספקי אינטרנט, פלטפורמות דיגיטליות המבצעות פרופיילינג ומעקב התנהגותי מקוון, רשתות מצלמות מעקב ופתרונות IoT.
4. גופים המעבדים מידע בעל רגישות מיוחדת בהיקף ניכר: בנקים, חברות ביטוח ופינטק, מוסדות רפואיים, מעבדות, ומכוני מחקר.

הערה פרשנית: המונח "היקף ניכר" נבחן מהותית על פי מכלול נסיבות (כמות אנשים, עומק המידע, משך השמירה, ומידת הסיכון לנושאי המידע). הרשות להגנת הפרטיות ממליצה גם לעסקים שאינם מחויבים פורמלית לשקול מינוי DPO, ומעניקה הפחתה של 10% בגובה עיצומים כספיים לגופים הממנים ממונה מרצון.

מעמד, כישורים ומניעת ניגוד עניינים של ה-DPO

• כפיפות ישירה להנהלה: הממונה מחויב לדווח ישירות למנכ"ל או לנושא משרה בכיר הכפוף לו ישירות.
• עצמאות מקצועית: אסור להטיל על הממונה תפקיד נוסף המעמיד אותו בחשש לניגוד עניינים. לפי הנחיות הרשות, תפקידים כגון מנכ"ל, מנהל שיווק, מנהל מערכות מידע (CIO) או מנהל אבטחת מידע (CISO) אינם יכולים לשמש במקביל כ-DPO.
• אפשרות למינוי DPO חיצוני (DPO as a Service): החוק מתיר במפורש התקשרות עם עורך דין חיצוני או גורם מקצועי מומחה שישמש כ-DPO של החברה, פתרון המבטיח עצמאות מלאה, מומחיות משפטית וחיסכון בעלויות תקן קבוע.

מהפכת האכיפה – עיצומים כספיים, עבירות פליליות ופיצויים ללא הוכחת נזק

עיצומים כספיים מנהליים

• הפרות פרטניות (אי-מתן מענה לבקשת עיון או תיקון).
• הפרות מערכתיות (אי-מינוי DPO, אי-קביעת נוהל אבטחה, אי-עריכת מסמך הגדרות מאגר).
• עיבוד מידע ללא הרשאה או בחריגה ממטרות המאגר.
• סכומי העיצומים עשויים להצטבר למאות אלפי שקלים ואף למיליוני שקלים בהפרות חמורות.

פיצויים סטטוטוריים ללא הוכחת נזק (עד 10,000 ש"ח)

הארכת תקופת ההתיישנות ל-7 שנים

פרק עבירות פליליות חדש

• עיבוד מידע אישי ללא הרשאת בעל השליטה במאגר.
• פנייה לאדם ומסירת פרטים כוזבים בכוונה להטעותו באשר למטרת מסירת המידע.
• מסירת מידע אסור מגופים ציבוריים.
• שיבוש, הפרעה או הטעיה של מפקחי הרשות להגנת הפרטיות.

משטר המאגרים החדש – צמצום חובת הרישום וחובת הודעה

מחיקת מאגרים קיימים: מאגר שהיה רשום בעבר ואינו עומד עוד בקריטריונים לחובת רישום, ימשיך להופיע במרשם הפומבי עד שבעל השליטה יגיש בקשה מקוונת יזומה למחיקתו.

יידוע, הסכמה ואבטחת מידע באתרי אינטרנט ובמערכות דיגיטליות

1. חובת יידוע מורחבת (סעיף 11 לחוק):
   בעת איסוף מידע מאדם, חובה ליידע אותו בשפה פשוטה וברורה:
   • האם חלה עליו חובה חוקית למסור את המידע או שמסירתו תלויה ברצונו.
   • המטרה המדויקת שלשמה נאסף המידע.
   • למי יימסר המידע ובאילו נסיבות (לרבות שיתוף עם צדדים שלישיים וספקי צד ג').
   • שמו המלא ופרטי ההתקשרות של בעל השליטה במאגר.
   • זכויות נושא המידע לעיין במידע ולבקש את תיקונו או מחיקתו.
2. הפרדת תיבות סימון  בטפסים:
   חל איסור מוחלט על "הסכמה כרוכה" או תיבות סימון מסומנות מראש . יש להפריד בין אישור תנאי השימוש ומדיניות הפרטיות לבין הסכמה לקבלת דיוור שיווקי ופרסומי.
3. ניהול עוגיות וכלי מעקב
   אתרים העושים שימוש בכלי מעקב (Meta Pixel, Google Analytics וכלי Re-targeting) נדרשים להציג באנר עוגיות המאפשר למשתמש בחירה חופשית, לצד מדיניות עוגיות מפורטת.
4. הסכמי עיבוד מידע :
   התקשרות של בעל שליטה עם ספקים חיצוניים (מחזיקים) מחייבת חתימה על הסכם עיבוד מידע המסדיר את היקף ההרשאות, עמידה בתקנות אבטחת מידע, חובת סודיות והוראות מחיקת מידע בסיום ההתקשרות.

אחריות הדירקטוריון והממשל התאגידי

• קביעת ואישור מדיניות הגנת הפרטיות ואבטחת המידע של התאגיד.
• אישור מסמך הגדרות המאגר ונוהל אבטחת המידע.
• קבלת דיווחים תקופתיים מה-DPO וממנהל אבטחת המידע אודות סקרי סיכונים, ביקורות ציות ואירועי אבטחה.
• הקצאת תקציב ומשאבים הולמים ליישום דרישות החוק.

תיקנתם מידע על לקוח? ייתכן שהעבודה עדיין לא הסתיימה

לקוח פונה לעסק ומגלה שפרט שמופיע עליו במערכת אינו נכון. העסק בודק, מסכים לבקשתו ומתקן את המידע. לכאורה, העניין טופל. אבל מה קורה אם המידע השגוי כבר נמסר לגורם אחר?

זו שאלה שקל להחמיץ. עסקים רבים יודעים לעדכן רשומה במערכת שלהם, אך אינם בודקים לאן המידע עבר לפני העדכון. במקרים מסוימים, המידע הישן עלול להמשיך להשפיע על האדם גם אחרי שתוקן במקור.

מה קובע החוק?

סעיף 14 לחוק הגנת הפרטיות מאפשר לאדם לבקש תיקון או מחיקה של מידע אישי עליו במאגר, אם המידע אינו נכון, שלם, ברור או מעודכן.

כאשר בעל השליטה במאגר מסכים לבקשה, עליו לבצע את השינוי במידע שברשותו. בכך לא מסתיים הטיפול: החוק מחייב אותו להודיע על השינוי גם למי שקיבל ממנו את המידע בתקופה שנקבעה בתקנות. התקנות מתייחסות למי שקיבל את המידע בשלוש השנים שקדמו לתיקון או למחיקה.

למשל, אם עסק תיקן פרט שגוי על לקוח, אך העביר קודם לכן את אותו מידע לחברה אחרת, עליו לבחון אם נדרשת הודעה גם לאותה חברה. עדכון הרשומה הפנימית לבדו עלול להשאיר את הטעות במקום שבו היא ממשיכה לשמש לקבלת החלטות.

מה הקשר לתיקון 13?

חובת העדכון של מקבלי המידע הייתה קיימת גם לפני תיקון 13 לחוק. החידוש החשוב הוא באמצעי האכיפה: התיקון מאפשר, בתנאים הקבועים בחוק, לפסוק פיצוי לדוגמה של עד 10,000 ש״ח ללא הוכחת נזק, גם כאשר בעל השליטה הסכים לבקשת תיקון או מחיקה אך לא ביצע את השינוי או לא הודיע עליו למי שנדרש.

אין פירוש הדבר שכל טעות במאגר מזכה אוטומטית בפיצוי, או שכל בקשת מחיקה חייבת להתקבל. השאלה הראשונה היא אם מדובר במידע שעונה לתנאי סעיף 14; לאחר מכן יש לבחון כיצד טופלה הבקשה ומה אירע למידע שנמסר לאחרים.

איך נערכים לכך בפועל?

כדאי שלכל עסק המחזיק מידע אישי תהיה דרך פשוטה לענות על שלוש שאלות:

1. היכן נשמר המידע שהתבקש לתקן?
2. למי הוא נמסר, ומתי?
3. אם הבקשה התקבלה, מי אחראי לבצע את השינוי, להודיע לגורמים הרלוונטיים ולתעד זאת?

התשובות אינן נמצאות רק במדיניות הפרטיות שבאתר. הן תלויות באופן שבו העסק עובד עם מערכות מידע, ספקים וגורמים אחרים שמקבלים ממנו מידע. תהליך מסודר לטיפול בבקשות מאפשר לתקן טעות בזמן ולוודא שהעדכון אינו נעצר במערכת אחת.

תיקון מידע אישי הוא יותר מפעולת עריכה. כשהמידע כבר יצא מהעסק, צריך לדעת לאן הגיע ומה נדרש לעשות בעקבות השינוי. אם אינכם בטוחים כיצד בקשות כאלה מטופלות אצלכם, בדיקה ממוקדת של זרימת המידע והתהליך הקיים יכולה לגלות את הפער לפני שהוא הופך למחלוקת.

הבסיס המשפטי למאמר: סעיף 14 לחוק, התקנות לעניין הודעה למקבלי המידע, וסעיף 15א שנוסף בתיקון 13.

שאלות ותשובות

האם תיקון 13 חל גם על עסקים קטנים ובינוניים ?

האם אנחנו חייבים למנות DPO במשרה מלאה מתוך עובדי החברה?

האם עורך הדין הפנימי של החברה יכול לשמש כ-DPO?

האם מנהל אבטחת המידע (CISO) יכול להיות ה-DPO?

מהו "פרה-רולינג" (הליך פנייה מקדמית לרשות להגנת הפרטיות)?

קיבלנו מכתב התראה על סך 10,000 ש"ח בטענה להפרת פרטיות – כיצד לפעול?

1. לבחון האם אכן התקיימה הפרה של הוראות החוק.
2. לבדוק האם עומדות לעסק הגנות הקבועות בחוק (כגון תום לב, אינטרס אישי כשר, או זוטי דברים).
3. לתקן ליקויים באופן מיידי כדי למנוע הידרדרות לתביעה ייצוגית או להליך אכיפה מנהלי של הרשות.

מה ההבדל בין חובת רישום לחובת הודעה?

האם תיקון 13 משפיע על השימוש בכלי בינה מלאכותית (AI) בארגון?

תוכנית פעולה מעשית – צ'ק-ליסט היערכות לארגונים ("מחקיקה לפרקטיקה")

1. מיפוי תהליכי מידע :
   • זיהוי כלל מאגרי המידע בארגון (לקוחות, עובדים, ספקים, מצלמות, גיבויים, ענן).
   • סיווג המידע ("מידע אישי" מול "מידע בעל רגישות מיוחדת").
2. בחינת חובת מינוי DPO:
   • הערכת הצורך החוקי במינוי ממונה והסדרת ההתקשרות מול DPO חיצוני או פנימי.
3. עדכון מסמכי הציות המשפטיים:
   • ניסוח מדיניות פרטיות ומדיניות עוגיות עדכנית לאתרי האינטרנט והאפליקציות.
   • עדכון טופסי איסוף לידים, עמודי נחיתה והפרדת תיבות הסכמה.
   • עריכת הסכמי עיבוד מידע (DPA) מול כלל הספקים והשותפים העסקיים.
4. תיעוד וממשל תאגידי:
   • כתיבה ואישור של "מסמך הגדרות מאגר" ו"נוהל אבטחת מידע" כתוב.
   • קביעת נהלים לטיפול בבקשות נושאי מידע (עיון, תיקון ומחיקה) ונוהל דיווח על אירועי אבטחה.
5. הדרכות עובדים והטמעת מודעות:
   • קיום סדנאות והדרכות תקופתיות לצוותי הניהול, הפיתוח, השיווק ומשאבי האנוש.

אודות משרד עו״ד שחר שוורץ

שירותי המשרד בתחום תיקון 13:

• סקר ציות מקיף (Privacy Compliance Audit): מיפוי פערים והתאמת הארגון למשטר המשפטי החדש.
• שירותי ממונה הגנת פרטיות חיצוני (DPO as a Service): ליווי שוטף, בקרה מקצועית וייצוג מול הרשות להגנת הפרטיות.
• ניסוח חבילת מסמכי ציות: מדיניות פרטיות, הסכמי DPA, נוהלי אבטחת מידע ומסמכי הגדרות מאגר.
• ייצוג וליטיגציה: הגנה מפני מכתבי התראה, תביעות פיצויים ללא הוכחת נזק ותובענות ייצוגיות.
• חוות דעת מקדמיות (פרה-רולינג): ליווי פניות מקצועיות לרשות להגנת הפרטיות עבור פרויקטים טכנולוגיים חדשניים.