- תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025. הוא מעדכן הגדרות, מצמצם את חובת רישום המאגרים ומרחיב מאוד את סמכויות האכיפה של הרשות להגנת הפרטיות.
- לרוב העסקים הקטנים, השינוי המשמעותי הוא לא רישום מאגר, אלא האכיפה: הרשות יכולה להטיל עיצומים כספיים, בעיקר על הפרות של תקנות אבטחת מידע, שממשיכות לחול.
- הצד הטכנולוגי של העמידה בדרישות מוכר: לדעת איזה מידע אישי יש לכם ואיפה, לצמצם הרשאות, לאבטח, לגבות ולתעד.
- המאמר הזה הוא הסבר כללי ולא ייעוץ משפטי. לבדיקה של העסק שלכם פנו ליועץ משפטי שמתמחה בפרטיות.
בשנה האחרונה, הרבה בעלי עסקים שמעו את המילים "תיקון 13" מרואה החשבון, מעורך הדין או מלקוח גדול ששלח שאלון. חלק נבהלו, חלק החליטו שזה לא נוגע להם. האמת נמצאת באמצע: התיקון לא הופך כל עסק קטן לגוף מפוקח, אבל הוא משנה את המשמעות של הזנחה באבטחת מידע אישי.
המדריך הזה מסביר מה השתנה, על בסיס הפרסומים הרשמיים של הרשות להגנת הפרטיות, ומה אפשר לעשות בצד המחשוב כבר החודש.
מה זה תיקון 13, בשתי פסקאות
חוק הגנת הפרטיות הישראלי קיים משנת 1981. תיקון 13 אושר בכנסת באוגוסט 2024 ונכנס לתוקף שנה לאחר פרסומו, ב-14 באוגוסט 2025. מטרתו לעדכן את החוק לעולם שבו כמעט כל עסק מחזיק מידע אישי דיגיטלי, ולתת לרשות להגנת הפרטיות כלי אכיפה משמעותיים.
התיקון לא מחליף את תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017. התקנות האלה ממשיכות לחול, והן קובעות מה נדרש בפועל כדי לאבטח מאגר מידע: נהלים, הרשאות, בקרה, גיבוי ועוד, לפי רמת האבטחה של המאגר.
מה השתנה: חמשת השינויים העיקריים
1. הגדרות חדשות ורחבות יותר
התיקון מגדיר "מידע אישי" באופן רחב: כל נתון על אדם מזוהה או שניתן לזהות אותו. בנוסף הוא מגדיר "מידע בעל רגישות מיוחדת", ובו בין היתר מידע על בריאות, מידע גנטי, נתונים ביומטריים, עבר פלילי, דעות פוליטיות ואמונות דתיות, הערכת אישיות, ומידע על שכר ופעילות פיננסית.
מה זה אומר לעסק קטן: תיקיית תלושי שכר, טופסי בריאות של עובדים, מסמכים פיננסיים של לקוחות או צילומי תעודות זהות הם מידע שהחוק מתייחס אליו ברצינות מיוחדת.
2. מי אחראי: "בעל שליטה" ו"מחזיק"
במקום "מנהל מאגר", התיקון מבחין בין בעל שליטה במאגר, מי שקובע את מטרות העיבוד, לבין מחזיק, מי שמעבד מידע עבורו, כמו ספק שירות. לעסק שעובד עם ספקי ענן, תוכנה או מחשוב, זה מחדד את השאלה מי אחראי על מה, ומה כתוב בהסכם עם הספק.
3. פחות רישום מאגרים
חובת רישום מאגר צומצמה מאוד. לפי הרשות, היא חלה כיום בעיקר על מאגרים של גופים ציבוריים ועל מאגרים שעיקר מטרתם איסוף מידע לצורך מסירה לאחרים (סוחרי מידע) מעל היקף מסוים. על מאגרים של מידע בעל רגישות מיוחדת בהיקף גדול מאוד חלה חובת הודעה לרשות.
מה זה אומר לעסק קטן: ברוב המקרים לא תצטרכו לרשום מאגר. אבל ביטול הרישום לא מבטל את חובת האבטחה.
4. ממונה הגנת פרטיות
התיקון מחייב מינוי ממונה על הגנת הפרטיות בגופים מסוימים: גופים ציבוריים, סוחרי מידע, ומי שעיקר פעילותו כולל ניטור שיטתי או עיבוד של מידע רגיש בהיקף ניכר. רוב העסקים הקטנים לא נכללים בזה, אבל עסקים בתחומים כמו בריאות או פיננסים צריכים לבדוק את המצב שלהם עם יועץ.
5. אכיפה: עיצומים כספיים וסמכויות פיקוח
זה השינוי שהכי משפיע על עסקים קטנים. הרשות להגנת הפרטיות קיבלה סמכויות פיקוח וחקירה רחבות, ויכולה להטיל עיצומים כספיים משמעותיים, בעיקר על הפרות של תקנות אבטחת המידע. בנוסף, התיקון מאפשר לבית משפט לפסוק פיצוי ללא הוכחת נזק בנסיבות מסוימות, ומרחיב את חובת היידוע: מה צריך לספר לאדם כשאוספים ממנו מידע.
מה זה אומר בפועל לעסק קטן
רוב העסקים הקטנים מחזיקים מידע אישי: פרטי לקוחות, מסמכים של עובדים, חשבוניות ולפעמים גם מידע רגיש יותר. השאלה המעשית היא לא "האם החוק חל עלינו", אלא "האם אנחנו מאבטחים את המידע הזה באופן סביר ומתועד".
ומה קורה ביום שמשהו משתבש? אם מחשב נפרץ, מייל נשלח לנמען הלא נכון או קובץ לקוחות דלף, העסק יידרש להראות מה עשה כדי למנוע את זה. בחלק מהמקרים, התקנות מחייבות גם לדווח לרשות על אירוע אבטחה חמור.
צ'קליסט מחשוב: מה מסדרים בצד הטכנולוגי
את החלק המשפטי עושים עם עורך דין: מדיניות פרטיות, הסכמים עם ספקים, נוסח יידוע ובחינה של רמת האבטחה הנדרשת. במקביל, הנה מה שאפשר לסדר במחשוב:
- מיפוי: איזה מידע אישי יש לעסק, באילו מערכות (מייל, תיקיות, CRM, הנהלת חשבונות), ומי ניגש אליו.
- צמצום: מוחקים או מעבירים לארכיון מידע שאין בו צורך. מידע שלא קיים לא יכול לדלוף.
- הרשאות: כל עובד רואה רק מה שהוא צריך. תיקיות שכר, משאבי אנוש ולקוחות רגישים מוגבלות.
- אימות דו-שלבי: לכל המשתמשים במייל ובמערכות הענן. ראו: איזו שיטת אימות לבחור.
- הגנה ועדכונים: הגנה על תחנות ושרתים ועדכוני אבטחה שוטפים.
- גיבוי: גיבוי מסודר, כולל Microsoft 365, עם בדיקות שחזור.
- קליטה ועזיבה: גישות נפתחות ונסגרות לפי נוהל קבוע.
- ספקים: יודעים אילו ספקים ניגשים למידע, ומה ההסכם איתם קובע.
- תיעוד: רשימת מערכות, הרשאות, גיבויים ואירועים. תיעוד הוא מה שמאפשר להראות שהעסק פעל באחריות.
- תגובה לאירוע: מה עושים כשמשהו קורה, ואת מי מעדכנים. כדאי לחבר את זה לתוכנית המשכיות עסקית.
הרשות להגנת הפרטיות מפרסמת באתר gov.il מדריכים ושאלות ותשובות על התיקון, וגם כלי דיגיטלי שעוזר לארגון להעריך את רמת הסיכון ואת החובות שחלות עליו. כדאי להתחיל משם.
שאלות נפוצות
מתי תיקון 13 נכנס לתוקף?
ב-14 באוגוסט 2025, שנה אחרי פרסומו ברשומות באוגוסט 2024.
עסק קטן צריך לרשום מאגר מידע?
ברוב המקרים לא. אחרי התיקון, חובת הרישום חלה בעיקר על גופים ציבוריים ועל סוחרי מידע מעל היקף מסוים. כדאי לאמת את המצב הספציפי שלכם מול יועץ משפטי או מול הכלים של הרשות.
אם אין חובת רישום, אפשר להתעלם מהחוק?
לא. החובה לאבטח מידע אישי לפי תקנות אבטחת המידע ממשיכה לחול, והאכיפה עליה התחזקה.
צריך למנות ממונה הגנת פרטיות?
רק בגופים מסוימים, כמו גופים ציבוריים, סוחרי מידע וגופים שמעבדים מידע רגיש בהיקף ניכר. רוב העסקים הקטנים לא חייבים, אבל כדאי שיהיה מישהו בעסק שאחראי לנושא.
ספק ה-IT שלנו אחראי על העמידה בחוק?
האחריות היא של העסק. ספק ה-IT מטפל בצד הטכנולוגי, כמו הרשאות, אבטחה, גיבוי ותיעוד, ויכול להיחשב "מחזיק" במידע. מה שמוגדר בהסכם איתו חשוב.
מה הצעד הראשון?
מיפוי: איזה מידע אישי יש לכם ואיפה הוא נמצא. בלי זה אי אפשר להגן עליו, לצמצם אותו או להסביר מה עשיתם.
איך ש.מ מחשבים יכולה לעזור
אנחנו לא יועצים משפטיים. אנחנו עוזרים לעסקים בצד הטכנולוגי: מיפוי מערכות ומידע, סידור הרשאות, אימות דו-שלבי, הגנה, גיבוי ותיעוד, ועובדים לצד היועץ המשפטי שלכם. פרטים בעמוד אבטחת מידע לעסקים. רוצים להתחיל ממיפוי? השאירו פרטים.