תיקון 13 לחוק הגנת הפרטיות: מה עסק קטן חייב לעשות (ומה לא)

מה השתנה ב-14.8.2025?

תיקון 13 הוא השינוי הגדול ביותר בחוק הגנת הפרטיות מאז 1981. הוא אושר בכנסת ב-5.8.2024 ונכנס לתוקף שנה אחר כך. הרעיון המרכזי: פחות בירוקרטיה של רישום, יותר אחריות של הארגון עצמו, ויותר שיניים לרשות להגנת הפרטיות.

גם ההגדרות השתנו. "מידע" הוא עכשיו כל נתון על אדם מזוהה או שניתן לזהותו; "מידע בעל רגישות מיוחדת" כולל, בין היתר, מידע רפואי, נתונים פיננסיים ומידע שחלה עליו חובת סודיות לפי דין. רשימת לקוחות של עסק היא מאגר; תיקי לקוחות של רואת חשבון הם מאגר עם מידע רגיש.

רישום מאגר: בוטל כמעט לכולם

עד התיקון, מאגר עם יותר מ-10,000 אנשים או עם מידע רגיש היה חייב ברישום. היום חובת הרישום נשארת רק לגופים ציבוריים ולמאגרים שעיקר מטרתם מכירה או העברה של מידע (כולל דיוור ישיר) על 10,000 אנשים או יותר. עסק רגיל, גם עם מידע רגיש על לקוחותיו, אינו חייב לרשום את המאגר. מאגר שכבר רשום נשאר בפנקס אלא אם ביקשתם למחוק אותו.

ממונה הגנת פרטיות: מי חייב למנות?

סעיף 17ב1 החדש מחייב מינוי ממונה הגנת פרטיות (DPO) בגופים ציבוריים, אצל סוחרי מידע, בגופים שעיקר פעילותם ניטור שיטתי של אנשים, ובגופים שעיקר פעילותם עיבוד מידע רגיש בהיקף גדול. המדריך של הרשות נוקב בבנקים, חברות ביטוח, בתי חולים וקופות חולים כדוגמאות.

משרד רואי חשבון קטן, קליניקה של מטפל אחד, חנות או סטודיו אינם ברשימה. הרשות ממליצה על מינוי וולונטרי במקרה של ספק, ובמשרד שלי העניין פשוט: הפניות בנושאי פרטיות מגיעות אליי ישירות, וכך כתוב גם במדיניות הפרטיות באתר. שימו לב גם שתפקיד "מנהל המאגר" בגופים פרטיים בוטל; האחריות היא של בעל השליטה במאגר, כלומר העסק עצמו.

מה חייבים לכתוב כשאוספים מידע (סעיף 11)

זו החובה שהכי הרבה עסקים קטנים מפספסים, והיא רלוונטית לכל טופס: באתר, בוואטסאפ, בדף נחיתה או על נייר. כשאתם מבקשים מידע אישי, צריך להודיע לאדם:

• האם מסירת המידע היא חובה לפי דין או תלויה בהסכמתו, ומה קורה אם לא ימסור.
• לאיזו מטרה המידע נאסף.
• למי המידע יועבר (ספקים, מערכות ענן, יועצים) ולאיזו מטרה.
• שיש לו זכות עיון במידע (סעיף 13) וזכות לבקש תיקון או מחיקה (סעיף 14).
• פרטי ממונה הגנת הפרטיות, אם מונה.

ספקים, ענן ושרתים בחו"ל

ספק שמעבד מידע בשבילכם (תוכנת הנהלת חשבונות בענן, מערכת ניוזלטר, שירות אחסון, הנהלת חשבונות במיקור חוץ) הוא "מחזיק" לפי החוק, ואתם אחראים לכך שההתקשרות איתו כוללת התחייבות לאבטחה ולסודיות. כשהמידע מאוחסן מחוץ לישראל חלות תקנות העברת מידע אל מחוץ לגבולות המדינה, ורוב הספקים הגדולים מספקים את התנאים הנדרשים; צריך רק לוודא ולתעד.

קנסות ואכיפה: מה הסיכון האמיתי?

החידוש הגדול: הרשות להגנת הפרטיות יכולה להטיל עיצום כספי (קנס מנהלי) בלי הליך פלילי, על הפרות כמו איסוף מידע בלי יידוע, אי-מתן זכות עיון, הפרת תקנות אבטחת מידע או שימוש במידע למטרה אחרת. המדריך קובע סכומים לפי סוג ההפרה וגודל המאגר, ולעסקים קטנים (מחזור עד 10 מיליון ₪) ולעסקים זעירים (עד 4 מיליון ₪) יש תקרות מופחתות, כשהסך הכולל מוגבל ל-5% מהמחזור השנתי. בנוסף, בית משפט יכול לפסוק פיצוי בלי הוכחת נזק.

הצ'ק-ליסט לעסק קטן (שעה של עבודה, לא פרויקט)

1. 1
   מיפוי

   איזה מידע אישי אתם מחזיקים, איפה (תוכנה, ענן, מייל, נייר), מי ניגש אליו ולמה.
2. 2
   רמת אבטחה

   לפי תקנות אבטחת מידע, רוב העסקים הקטנים הם ברמה הבסיסית. מסמך נהלים קצר, סיסמאות, גיבוי, הרשאות, ומחיקה של מה שלא צריך.
3. 3
   יידוע בטפסים

   להוסיף את ההודעה לפי סעיף 11 לכל טופס, ולעדכן מדיניות פרטיות.
4. 4
   הסכמים עם ספקים

   לוודא סעיף אבטחה וסודיות מול כל מי שמעבד מידע בשבילכם.
5. 5
   זכות עיון ותיקון

   להחליט מי מטפל בבקשה ולענות תוך זמן סביר (באתר שלי: 30 יום).
6. 6
   תגובה לאירוע

   לדעת מראש למי מתקשרים, מה מדווחים לרשות ואיך מודיעים ללקוחות.

הערה אישית: כרואת חשבון אני מחזיקה טופסי 106, דוחות, הצהרות הון ופרטי בנק של לקוחות. זה מידע רגיש לפי החוק, ולכן המשרד עבד על זה ברצינות, מהסכמי הספקים ועד למדיניות באתר. אני לא עורכת דין ולא יועצת פרטיות; לעסק שמעבד מידע רגיש בהיקף גדול כדאי ייעוץ משפטי ייעודי.