באוגוסט 2025 נכנס לתוקף תיקון 13 לחוק הגנת הפרטיות – השינוי המשמעותי ביותר בדיני הפרטיות בישראל מאז חקיקת החוק המקורי בשנת 1981. שנה לאחר מכן, התמונה בשטח מדאיגה: ארגונים פרטיים רבים טרם מינו ממונה הגנת פרטיות, הסכמי סודיות ועיבוד מידע מול ספקים אינם נחתמים, ונראה שחלקים נרחבים בשוק פשוט לא הפנימו שכללי המשחק השתנו.
רקע: למה בכלל היה צריך תיקון?
חוק הגנת הפרטיות נחקק בשנת 1981 – תקופה שבה "מאגר מידע" היה בעיקר ארון תיקיות. מאז השתנה הכול: מחשוב ענן, סמארטפונים, רשתות חברתיות, בינה מלאכותית ואיומי סייבר הפכו את המידע האישי לנכס העסקי המרכזי של ארגונים – וגם לחשיפה הגדולה ביותר שלהם. באירופה נכנסה לתוקף כבר ב-2018 רגולציית ה-GDPR, שהציבה סטנדרט עולמי חדש. ישראל, שנהנית ממעמד "תאימות" מול האיחוד האירופי המאפשר העברת מידע חופשית, לא יכלה להישאר עם חוק מיושן בן ארבעה עשורים.
היוזמה של המחוקק: חובות אמיתיות, סנקציות אמיתיות
תיקון 13, שאושר בכנסת באוגוסט 2024, הוא צעד חלוצי ואמיץ. לראשונה, המחוקק הישראלי לא הסתפק בהצהרת עקרונות – הוא עיגן בחוק חובות מעשיות, ולצידן סנקציות מחייבות. זהו מעבר לתפיסת "אחריותיות": לא מספיק להצהיר ששומרים על פרטיות, צריך להוכיח זאת. עיקרי התיקון:
• הרחבת הגדרת "מידע אישי" – כולל מזהים דיגיטליים, כתובות IP, נתוני מיקום ועוגיות.
• חובת מינוי ממונה הגנת פרטיות (DPO) – בגופים ציבוריים ובארגונים פרטיים העונים לקריטריונים שנקבעו, בהם סוחרי מידע, גופים המנטרים אנשים באופן שיטתי וארגונים המעבדים מידע רגיש בהיקף גדול.
• סמכויות אכיפה חסרות תקדים לרשות להגנת הפרטיות – עיצומים כספיים מנהליים בהליך מהיר, ללא צורך בהליך פלילי, כולל קנסות "מתגלגלים" הנגזרים ממספר האנשים במאגר.
• חובת דיווח על אירועי אבטחה חמורים – לרשות ובמקרים מסוימים גם לנושאי המידע עצמם.
• חיזוק זכויות הפרט – עיון, תיקון ומחיקה, לצד הקלה בתביעות אזרחיות ופיצויים ללא הוכחת נזק.
חשוב להדגיש: הסנקציות אינן בגדר המלצה או "כלי לשעת חירום". הן חלק מובנה ומחייב בחוק, והרשות להגנת הפרטיות קיבלה מנדט מפורש להפעיל אותן.
ומה קורה בפועל? התמונה עגומה
כחברה המלווה עשרות ארגונים בתחומי ה-IT ואבטחת המידע והסייבר, אנחנו פוגשים את הפער בין החוק לשטח מדי יום. שלוש תופעות בולטות במיוחד:
• לא חותמים על ההסכמים. תקנות אבטחת מידע מחייבות הסכם מסודר מול כל גורם חיצוני שניגש למידע אישי או מעבד אותו – ספק מחשוב, מוקד שירות, לשכת שכר, מערכת סליקה. בפועל, ספקים ונותני שירות מקבלים גישה מלאה למאגרי מידע ללא הסכם עיבוד מידע, ללא הסכם סודיות (NDA) וללא הגדרת אחריות למקרה של דליפה.
• אין ממונה הגנת פרטיות בגופים פרטיים. הרשות פרסמה הנחיה סופית המבהירה מי חייב במינוי, אך בארגונים פרטיים רבים איש לא מונה לתפקיד – ולעיתים קרובות אף אחד בארגון כלל לא בדק האם החובה חלה עליו.
• השוק לא מפנים. אצל מנהלים רבים תיקון 13 עדיין נתפס כ"עניין של עורכי דין" או כעוד רגולציה שאיש אינו אוכף. אלא שתקופת החסד הסתיימה: מתחילת 2026 עברה הרשות לאכיפה פעילה, על פי פרסומים היא מנהלת למעלה ממאה תיקי אכיפה, ועיצומים ראשונים כבר הוטלו – בין היתר בגין דיווח מאוחר על אירוע אבטחה.
מה עושים? שישה צעדים מעשיים
1. מיפוי מאגרי המידע – איזה מידע אישי נאסף, היכן הוא שמור, מי ניגש אליו ולאילו מטרות.
2. בדיקת חובת מינוי ממונה – והיכן שהחובה חלה, מינוי בפועל של גורם מקצועי ללא ניגוד עניינים (ניתן גם במיקור חוץ).
3. השלמת מסמכי החובה – מסמך הגדרות מאגר, נוהל אבטחת מידע ומיפוי מערכות, כנדרש בתקנות.
4. סגירת ההסכמים – הסכמי עיבוד מידע וסודיות מול כל ספק חיצוני, לרבות ספקי שירותי IT מנוהלים, ומחויבות סודיות של עובדים בעלי הרשאות גישה.
5. נוהל דיווח אירועים – מי מזהה, מי מחליט, ותוך כמה זמן מדווחים לרשות. חשוב לוודא זמינות רציפה של הגורמים הרלוונטיים וקישור לנהלי הגיבוי וההמשכיות העסקית הקיימים בארגון. דיווח מאוחר הוא כשלעצמו עילה לעיצום.
6. העלאת הנושא להנהלה ולדירקטוריון – האחריות לעמידה בחוק מוטלת על הארגון, אך החובה לוודא שהדבר נעשה יושבת על שולחן ההנהלה. זהו סיכון ניהולי, לא רק סוגיה טכנית.
שורה תחתונה
המחוקק הישראלי עשה מהלך חשוב וחלוצי: הוא הפך את הגנת הפרטיות מהצהרה לחובה בת-אכיפה, עם שיניים אמיתיות. אבל חוק טוב ככל שיהיה אינו מגן על אף אחד אם הוא נשאר על הנייר. ארגון שייערך עכשיו – ימפה, ימנה, יחתים ויסדיר – יעבור את עידן האכיפה החדש בשקט. ארגון שימשיך להמתין עלול לגלות את תיקון 13 דרך מכתב מהרשות להגנת הפרטיות. ההיערכות הנכונה אינה מסובכת, אבל היא דורשת החלטה – ועדיף לקבל אותה לפני שמישהו אחר יקבל אותה בשבילכם.
אם הנושא הזה פתוח אצלכם – אשמח לשמוע איך אתם מטפלים בו. מוזמנים לכתוב לנו.
