תיקון 13 לחוק הגנת הפרטיות: מה זה אומר לעסק הקטן שלכם
אם יש לכם רשימת לקוחות באקסל, מערכת CRM, טופס יצירת קשר באתר או פשוט תיקיית אקסל עם פרטי עובדים – יש לכם "מאגר מידע". וזה בדיוק מה שתיקון 13 לחוק הגנת הפרטיות בא להסדיר מחדש. התיקון, שאושר בכנסת באוגוסט 2024 ונכנס לתוקף באוגוסט 2025, הוא הרפורמה המשמעותית ביותר בדיני הפרטיות בישראל מאז חקיקת החוק המקורי בשנת 1981 – והוא כבר בתוקף מלא. עם זאת, מהניסיון שלנו בשטח, רוב בעלי העסקים הקטנים והבינוניים בישראל עדיין לא שמעו עליו, או חושבים בטעות שהוא רלוונטי רק לחברות ענק וגופי מדינה.
החדשות הטובות: התיקון דווקא מקל על חלק מהעסקים הקטנים בכך שהוא מצמצם את חובת הרישום הפורמלי של מאגרי מידע ברשם מאגרי המידע. החדשות הפחות טובות: הוא גם מרחיב משמעותית את סמכויות האכיפה של הרשות להגנת הפרטיות, מגדיל את הקנסות האפשריים, ומטיל חובות חדשות של דיווח, שקיפות ואבטחת מידע – חובות שכל עסק שמחזיק פרטי לקוחות, עובדים או ספקים צריך להכיר.
למי זה בכלל נוגע?
בניגוד לרושם הראשוני, התיקון לא מיועד רק לחברות היי-טק או ארגונים גדולים. כל עסק שמנהל אחד מהמאגרים הבאים נחשב "בעל מאגר מידע" ומחויב בהוראות החוק:
- רשימת לקוחות עם פרטי קשר, היסטוריית רכישות או פרטי תשלום
- קובץ עובדים עם תעודות זהות, שכר, פרטים רפואיים או משפחתיים
- רשימת דיוור (ניוזלטר, מבצעים, עדכונים)
- מערכת CRM או תוכנת ניהול לקוחות
- מצלמות אבטחה המצלמות לקוחות או עובדים
כלומר – כמעט כל עסק בישראל, מקטן ועד גדול. ההבדל המרכזי הוא בהיקף החובות: ככל שהמאגר גדול יותר או רגיש יותר (למשל מידע רפואי, פיננסי או ביומטרי), כך גדלות החובות הרגולטוריות.
מינוי ממונה הגנת פרטיות (DPO)
אחת התוספות הבולטות בתיקון היא חובת מינוי "ממונה הגנת פרטיות" בארגונים מסוימים – בעיקר גופים ציבוריים, גופים שעיסוקם המרכזי הוא סחר במידע (data brokers) המחזיקים מידע על 10,000 איש ומעלה, וארגונים המעבדים בהיקף משמעותי מידע רגיש במיוחד. רוב העסקים הקטנים בישראל לא יידרשו למנות ממונה רשמי, אך מומלץ בכל זאת להגדיר בתוך הארגון מי אחראי בפועל על נושא הפרטיות ואבטחת המידע – גם אם זה בעל העסק עצמו יחד עם ספק ה-IT שלו.
אבטחת מידע – זו החובה שבאמת נוגעת לכם
גם לפני תיקון 13, תקנות אבטחת המידע (התשע"ז-2017) חייבו כל בעל מאגר מידע לנקוט אמצעי הגנה בהתאם לרמת האבטחה הנדרשת – בסיסית, בינונית או גבוהה, בהתאם לגודל המאגר ולרגישות המידע. התיקון החדש מחזק את האכיפה סביב חובות אלו, ובפועל כל עסק קטן שמחזיק מאגר לקוחות או עובדים צריך כבר היום:
- מסמך הגדרות מאגר – תיעוד כתוב שמפרט אילו נתונים נאספים, למה, מי מורשה לגשת אליהם וכיצד הם מאובטחים
- בקרת גישה והרשאות – לוודא שרק עובדים שצריכים גישה למידע אכן מקבלים אותה, ושההרשאות מבוטלות מיד כשעובד עוזב
- אימות דו-שלבי (MFA) וניהול סיסמאות תקין – חובה מעשית בכל מערכת שמכילה מידע אישי, כפי שפירטנו בהרחבה במדריך מנהל הסיסמאות וה-MFA לעסק קטן
- גיבוי מוצפן וסדיר – כדי שדליפת מידע לא תהפוך גם לאובדן מידע בלתי הפיך
- תיעוד אירועי גישה – יכולת לדעת מי ניגש למידע, מתי ומאיפה, במיוחד במערכות רגישות
- הודעה על אירועי אבטחה חמורים – חובה לדווח לרשות להגנת הפרטיות על "אירוע אבטחה חמור" בתוך פרקי זמן קצובים
מה קורה אם לא מיישמים את הדרישות?
כאן נמצא השינוי המשמעותי ביותר מבחינה מעשית. תיקון 13 מרחיב את סמכות הרשות להגנת הפרטיות להטיל עיצומים כספיים ישירות, ללא צורך בהליך פלילי ארוך – מה שאומר אכיפה מהירה ותכופה יותר. גובה העיצום נקבע לפי חומרת ההפרה, היקף המידע שנפגע וגודל הארגון, כאשר יש הפחתות משמעותיות לעסקים קטנים וזעירים. בנוסף, נקבעה אפשרות לפיצוי ללא הוכחת נזק בסכומים של עד כ-10,000 ש"ח לאדם נפגע – כלומר דליפת מידע של מאה לקוחות יכולה תיאורטית להוביל לחשיפה כספית משמעותית, גם אם איש מהם לא סבל נזק ממשי.
מעבר לסיכון הכספי, יש גם סיכון תדמיתי: לקוח שגילה שפרטיו דלפו מעסק קטן בגלל התרשלות באבטחת מידע לרוב לא יחזור, ולעיתים גם יספר לסביבתו הקרובה. בעולם שבו כמעט כל עסק תלוי בביקורות ובהמלצות, זה נזק שקשה לתקן.
מה כדאי לעשות עכשיו – שלושה צעדים מעשיים
אין צורך להיבהל או להזמין יועץ משפטי יקר לכל עסק קטן. אלה שלושה צעדים ראשונים שכל בעל עסק יכול לבצע כבר השבוע:
- מיפוי מאגרי המידע – רשמו על דף אחד אילו מערכות ותיקיות מכילות פרטי לקוחות, עובדים או ספקים, ואיפה הן נשמרות (מחשב מקומי, ענן, מייל)
- סגירת "חורים" בסיסיים – החלפת סיסמאות חלשות או משותפות, הפעלת אימות דו-שלבי, וביטול הרשאות גישה של עובדים לשעבר
- בדיקת גיבויים – לוודא שקיים גיבוי מוצפן ועדכני, ושידוע בדיוק כיצד לשחזר ממנו במקרה חירום
אלה בדיוק הפערים שאנחנו נתקלים בהם הכי הרבה אצל עסקים קטנים ובינוניים בביקורות אבטחת מידע: לא חוסר רצון לעמוד בתקן, אלא פשוט חוסר זמן וידע טכני לבצע את הצעדים בפועל.
לסיכום
תיקון 13 לחוק הגנת הפרטיות כבר בתוקף, וגם אם העסק שלכם קטן, ייתכן מאוד שהוא רלוונטי גם אליכם. במקום לחכות לביקורת או חלילה לאירוע דליפת מידע, כדאי לבצע כבר עכשיו מיפוי בסיסי של מאגרי המידע, המערכות והרשאות הגישה בעסק.
חשוב להדגיש: המידע במדריך אינו מהווה ייעוץ משפטי, ובכל שאלה משפטית או רגולטורית מומלץ להתייעץ עם גורם מקצועי בתחום הגנת הפרטיות. יחד עם זאת, בצד הטכני של אבטחת המידע איי טי רסקיו יכולה לסייע בבדיקת נקודות בסיסיות כמו הרשאות משתמשים, סיסמאות, אימות דו-שלבי, גיבויים, אבטחת תחנות עבודה וגישה מרחוק.
אם אתם לא בטוחים שהרשת והמערכות שלכם מוגדרות בצורה בטוחה מספיק, ניתן לפנות אלינו דרך עמוד שירותי המחשוב לעסקים לקבלת בדיקה טכנית ראשונית והמלצות לשיפור. במקרים דחופים או כאשר נדרש טיפול מהיר במחשב או במערכת קיימת, ניתן להיעזר גם בשירות התמיכה מרחוק שלנו.
