מה משנה תיקון 13 לחוק הגנת הפרטיות, מי חייב להיערך, מתי נדרש ממונה הגנת פרטיות (DPO), ואילו צעדים מעשיים לנקוט: מיפוי מידע, מזעור, אבטחה, זכויות נושאי מידע והצטלבות עם ממשל AI.
עודכן
תיקון 13 לחוק הגנת הפרטיות הוא אחד השינויים המשמעותיים ביותר בדיני הפרטיות בישראל מזה שנים. הוא מרחיב את חובות הארגונים בניהול ובאבטחת מידע אישי, ומחזק באופן ניכר את סמכויות האכיפה של הרשות להגנת הפרטיות. עבור חברות, עמותות וגופים ציבוריים, ההיערכות אינה בגדר המלצה אלא דרישה. מאמר זה מסביר מה משתנה, מי חייב להיערך, ואילו צעדים מעשיים כדאי לנקוט.
התיקון מעדכן את חוק הגנת הפרטיות ומקרב אותו לסטנדרטים בינלאומיים מתקדמים. בין השאר הוא מחדד את ההגדרות של מידע אישי ומידע רגיש, מעגן חובות מוגברות בטיפול במידע, ומעניק לרשות להגנת הפרטיות כלי אכיפה חזקים יותר, לרבות סמכויות פיקוח והטלת סנקציות. המשמעות המעשית היא שרמת האחריות של ארגון על המידע שברשותו עולה, וכך גם החשיפה במקרה של כשל.
כל ארגון שאוסף, שומר או מעבד מידע אישי על לקוחות, עובדים או ספקים נכנס לתחולת החוק. ככל שהמידע רגיש יותר, או שהיקף המאגר גדול יותר, כך החובות מחמירות. חברות טכנולוגיה, גופים פיננסיים, ארגונים המנהלים מאגרי לקוחות גדולים, וגופים ציבוריים נמצאים בסיכון גבוה במיוחד, ועליהם להיערך מוקדם.
במקרים מסוימים החוק מחייב מינוי ממונה הגנת פרטיות (DPO), שתפקידו לפקח על עמידת הארגון בדרישות, לייעץ להנהלה, ולשמש כתובת מול הרשות ומול נושאי המידע. גם כאשר המינוי אינו חובה, הגדרת אחריות ברורה לניהול הפרטיות בארגון היא צעד מומלץ שמפחית סיכון.
מי חייב במינוי, מה תפקיד הממונה ואיך ממקמים אותו בארגון: מינוי ממונה הגנת פרטיות לפי תיקון 13.
נקודת הפתיחה של כל היערכות היא מיפוי: אילו סוגי מידע אישי הארגון מחזיק, מהיכן הם מגיעים, היכן הם נשמרים, מי ניגש אליהם, ולאן הם עוברים. על בסיס המיפוי אפשר ליישם עקרון מזעור מידע, כלומר להחזיק רק את המידע הנדרש באמת, למשך הזמן הנדרש בלבד. מידע שאינו קיים אינו יכול לדלוף.
תיקון 13 מתכתב עם חובות אבטחת המידע הקיימות ומדגיש את חשיבותן. ארגון נדרש להחיל בקרות טכניות וארגוניות מתאימות לרמת הרגישות של המידע: הרשאות גישה, הצפנה, תיעוד ובקרה, נהלים לטיפול באירוע אבטחה, והכשרת עובדים. נהלים כתובים ומעודכנים הם חלק מהמענה, לא רק הטכנולוגיה.
הפירוט המעשי, מסיווג המאגרים ועד טיפול באירוע: אבטחת מידע לפי תיקון 13.
לצד חובות הארגון, לנושאי המידע יש זכויות, ובהן הזכות לעיין במידע שנשמר עליהם ולבקש את תיקונו. ארגון צריך להיערך לטפל בפניות כאלה בתוך מסגרת זמן סבירה ובאופן מסודר. היעדר מנגנון למימוש זכויות חושף את הארגון לתלונות ולחשיפה מול הרשות.
בתמצית, ההיערכות כוללת: מיפוי המידע, הגדרת בסיס חוקי לעיבוד, יישום מזעור, חיזוק אבטחת המידע והנהלים, הגדרת אחראי לפרטיות ובמידת הצורך מינוי DPO, בניית מנגנון למימוש זכויות, והכנת תוכנית תגובה לאירוע דליפה. עדיף להתחיל מוקדם ובהדרגה, ולא להמתין לפנייה של הרשות או לאירוע.
ארגונים שמטמיעים כלי בינה מלאכותית צריכים לשלב את דרישות תיקון 13 בתוך ממשל ה-AI שלהם: לוודא שמידע אישי אינו זולג לכלים לא מאובטחים, שהעיבוד נעשה על בסיס חוקי, ושתשתית ה-AI סגורה ומבוקרת. בניית תשתית ממשל אחת, שמכסה גם את הפרטיות המקומית וגם רגולציה בינלאומית כמו ה-EU AI Act, חוסכת כפילות ומצמצמת חשיפה.
תיקון 13 מעלה את רף האחריות של ארגונים על המידע האישי שברשותם. היערכות מסודרת, מוקדמת ומתועדת, הופכת את הציות מנטל לנכס: היא מגנה על הארגון מפני קנסות ותביעות, ומחזקת את אמון הלקוחות והעובדים.
לנוסח החוק עצמו, סעיף אחר סעיף, עם החובות, הזכויות והעיצומים הכספיים, ראו חוק הגנת הפרטיות ותיקון 13: מדריך למי שמעבד מידע אישי.
הערה: אין באמור ייעוץ משפטי או תחליף לו, והוא אינו מהווה חוות דעת מחייבת. כל מקרה מחייב בחינה פרטנית מול עורך דין מוסמך.
הוא מעדכן את ההגדרות, ובהן מידע אישי ומידע בעל רגישות מיוחדת, מעגן חובות בעיבוד מידע ובמינוי ממונה על הגנת הפרטיות, ומעניק לרשות להגנת הפרטיות סמכויות פיקוח, הוראות להפסקת הפרה ועיצומים כספיים. המשמעות המעשית: רמת האחריות של ארגון על המידע שברשותו עולה, וכך גם החשיפה כשמשהו נכשל.
על כל ארגון שאוסף, שומר או מעבד מידע אישי על לקוחות, עובדים או ספקים, ובהם חברות, עמותות וגופים ציבוריים. ״עיבוד״ מוגדר בסעיף 3 ככל פעולה במידע אישי, לרבות איסוף, אחסון, העתקה, עיון, גילוי והעברה, כך שכמעט כל מגע במידע נכנס להגדרה. ככל שהמידע רגיש יותר או שהמאגר גדול יותר, החובות מחמירות.
לפי סעיף 3, נתון הנוגע לאדם מזוהה או לאדם הניתן לזיהוי, כלומר מי שאפשר לזהות במאמץ סביר, במישרין או בעקיפין, לרבות באמצעות מזהה מקוון ונתוני מיקום. לא רק שם ומספר זהות.
סעיף 3 מונה 12 קטגוריות, ובהן מצב בריאותי, מידע גנטי, מזהה ביומטרי, עבר פלילי, דעות פוליטיות ואמונות דתיות, ונתוני שכר ופעילות פיננסית. ארגון שמחזיק מידע כזה, למשל במחלקת השכר, נושא בחובות מוגברות, וזה משפיע גם על חובת ההודעה לרשות ועל חובת מינוי ממונה.
כן. התיקון החליף את ״בעל מאגר״ ב״בעל שליטה״, והגדיר ״מחזיק״ כגורם חיצוני שמעבד מידע בעבור בעל השליטה. לפי סעיף 17 כל אחד מהם אחראי לאבטחת המידע, כך שהאחריות שלכם נשארת גם כשהמידע נמצא אצל הספק.
ככלל לא. סעיף 8 מתיר עיבוד של מידע ממאגר רק למטרת המאגר שנקבעה כדין ובהרשאת בעל השליטה, ואוסר לעבד מידע שנאסף בניגוד לדין. שימוש למטרה שלא לשמה נאסף המידע הוא עיבוד שלא למטרה, ולכן כל שימוש חדש, כולל הזנה לכלי AI, נבדק מול המטרה המקורית.
לפי סעיף 11, בין היתר: את שם בעל השליטה ודרכי ההתקשרות עימו, את קיום זכויות העיון והתיקון, ואם חלה חובה חוקית למסור את המידע או שהמסירה תלויה בהסכמה, ומה תוצאת אי ההסכמה. טופס הרשמה, טופס באתר ופנייה ללקוח צריכים לשאת את ההודעה הזו.
לא. לפי סעיף 8א, רישום חובה חל על מאגר שמטרתו העיקרית איסוף מידע אישי למסירה לאחר כדרך עיסוק או בתמורה, על יותר מ-10,000 בני אדם, ועל מאגר של גוף ציבורי. מאגר שאינו חייב ברישום ויש בו מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם מחייב הודעה לרשות בתוך 30 ימים.
בסכומי הבסיס שבנוסח החוק: עד 153,540 ש״ח בהפרות רישום והודעה, וכפל הסכום במאגר של מיליון בני אדם ומעלה; 15,350 ש״ח בהפרות של זכויות הפרט, כמו סירוב לבקשת עיון; ו-307,080 ש״ח באי מסירת מסמך למפקח. הסכומים מתעדכנים ב-1 בינואר בכל שנה, ולכן לפני הסתמכות בודקים את הסכום המעודכן באתר הרשות להגנת הפרטיות.
כן, בשש הפרות שמנויות בסעיף 15א, ובהן פנייה לקבלת מידע בלי ההודעה שסעיף 11 דורש, סירוב לבקשת עיון, ואי ביצוע תיקון או מחיקה שהוסכמו. בית המשפט רשאי לפסוק עד 10,000 ש״ח לכל הפרה בלי שהתובע הוכיח נזק, ובחלק מההפרות נדרשת פנייה מוקדמת וחלוף תקופה שנקבעה.
ממיפוי: אילו סוגי מידע אישי הארגון מחזיק, מהיכן הם מגיעים, היכן הם נשמרים, מי ניגש אליהם ולאן הם עוברים. על בסיס המיפוי מגדירים בסיס חוקי לעיבוד, מצמצמים את המידע לנדרש באמת, מחזקים את האבטחה והנהלים, ממנים אחראי לפרטיות, בונים מנגנון לטיפול בבקשות עיון ותיקון, ומכינים תוכנית תגובה לדליפה.
דרישות החוק חלות גם על מידע אישי שעובר דרך כלי AI. צריך לוודא שמידע אישי אינו זולג לכלים לא מאובטחים, שהעיבוד נשען על בסיס חוקי, ושהתשתית סגורה ומבוקרת. ממשל אחד שמכסה גם את הפרטיות המקומית וגם רגולציה בינלאומית כמו ה-EU AI Act חוסך כפילות ומצמצם חשיפה.
נושא: בינה מלאכותית וממשל סיכונים
השירות בתחום: ייעוץ וחוות דעת שנייה בנושא AI
ייעוץ וחוות דעת נדל״ן · ייעוץ וחוות דעת AI · ייעוץ משפטי · גישור ויישוב סכסוכים · מאמרים · שאלות ותשובות · מבדק מוכנות · לתיאום פגישת ייעוץ
כל שינוי בקוד נבדק בשער פיתוח מאובטח לפי עקרונות OWASP Top 10, ISO/IEC 27001:2022 (A.8.28) ו-NIST SSDF. בדיקה אחרונה: 2.11.2026. פירוט הבקרות