ביוני 2024 אושר תיקון 13 לחוק הגנת הפרטיות, 1981, ובמהלך 2025 נכנסו לתוקף עיקרי הוראותיו. מדובר בשינוי הרגולטורי המשמעותי ביותר בתחום הפרטיות בישראל מאז חקיקת החוק עצמו. אם אתם מנהלים עסק בישראל, מעבדים מידע אישי על לקוחות, עובדים או ספקים, חשוב שתכירו את השינויים ואת המשמעויות המעשיות שלהם.
במדריך זה נסקור את עיקרי תיקון 13: הרחבת זכויות נושאי המידע, חובת הדיווח על פרצות מידע, מנגנון העיצומים החדש, וסיכום מעשי של הצעדים שכל ארגון חייב לנקוט.
רקע: למה נדרש תיקון 13?
חוק הגנת הפרטיות הישראלי חוקק ב-1981. למרות תיקונים קודמים, הוא נותר רחוק מהסטנדרטים האירופאיים שנקבעו ב-GDPR (2018). ישראל נהנית ממעמד "Adequacy" מאת האיחוד האירופי, כלומר מוכרת כמדינה בעלת הגנת פרטיות ברמה מספקת, ומעמד זה אפשר לחברות ישראליות להעביר מידע אישי של אזרחי האיחוד האירופי ללא מנגנונים מורכבים נוספים.
ב-2024 הגיע לחץ מהאיחוד האירופי לעדכן את הרגולציה הישראלית, שכן מעמד ה-Adequacy עמד בסכנה. תיקון 13 הוא התגובה לכך, ומביא את ישראל לרמה גבוהה יותר של הגנת פרטיות.
חשוב: אובדן מעמד ה-Adequacy היה מקשה משמעותית על העברת מידע בין ישראל לאירופה ופוגע בחברות ישראליות רבות. תיקון 13 שומר על מעמד זה.
עיקרי השינויים: מה חדש בתיקון 13?
1. הרחבת זכויות נושאי המידע
תיקון 13 מרחיב משמעותית את הזכויות שיש לכל אדם שמידע אישי שלו מוחזק בידי ארגון:
- זכות עיון: הזכות לקבל עותק של המידע האישי תוך 30 יום
- זכות תיקון: הזכות לדרוש תיקון מידע שגוי
- זכות מחיקה ("הזכות להישכח"): בנסיבות מסוימות, הזכות לדרוש מחיקת המידע
- זכות התנגדות לעיבוד: בנסיבות מסוימות, הזכות לסרב לעיבוד מידע
- זכות לניידות מידע: הזכות לקבל את המידע בפורמט מובנה ולהעבירו לגוף אחר
2. חובת דיווח על פרצות מידע (Data Breach Notification)
זה אחד השינויים המשמעותיים ביותר בתיקון 13. בעבר, לא הייתה בישראל חובה מפורשת לדווח על פרצות מידע. כעת:
3. הרחבת הגדרת "מידע רגיש"
תיקון 13 מרחיב את הגדרת המידע הרגיש, שטעון הגנה מוגברת. כעת נכנסים לקטגוריה זו:
- ›מידע גנטי וביומטרי
- ›נתוני מיקום
- ›מידע על נטיות מיניות
- ›מידע בנקאי ופיננסי מפורט
- ›מידע על הרשעות פליליות
- ›מידע על ילדים
4. מנגנון עיצומים כספיים חדש
לפני תיקון 13, אכיפת חוק הגנת הפרטיות הייתה מוגבלת ברובה להליכים פליליים. כעת נוסף מנגנון מינהלי מהיר:
5. חובות בסיס ביחס לאבטחת מידע
תיקון 13 מחזק את החובה לנקוט "אמצעי אבטחה סבירים" בהתאם לרגישות המידע ולהיקפו. הוא מאמץ עקרונות כמו Privacy by Design (פרטיות כברירת מחדל) ו-Data Minimization (איסוף מינימלי). זה מחייב ארגונים לבחון את תהליכי איסוף המידע שלהם ולוודא שאינם אוספים יותר ממה שנחוץ.
GDPR לעומת תיקון 13: מה ההבדל?
| נושא | תיקון 13 (ישראל) | GDPR (אירופה) |
|---|---|---|
| קנסות מרביים | 40,000-80,000 ₪ מינהלי | 20M יורו / 4% מחזור |
| דיווח פרצה לרשות | תוך 72 שעות | תוך 72 שעות |
| DPO חובה | לא חובה גורפת | חובה בנסיבות מסוימות |
| זכות מחיקה | כן (בנסיבות) | כן (בנסיבות) |
| ניידות מידע | כן | כן |
| Privacy by Design | כן (עקרון) | כן (חובה מפורשת) |
חשוב לזכור: חברות ישראליות עם לקוחות ב-EU כפופות גם ל-GDPR וגם לתיקון 13 בו-זמנית.
מה לעשות עכשיו? רשימת פעולות מעשית
רוב הארגונים צריכים לבצע עבודה ממשית כדי לעמוד בדרישות תיקון 13. להלן סדר פעולות מומלץ:
שאלות נפוצות על תיקון 13
צריכים עזרה בהתאמה לתיקון 13?
SYBER מספקת DPO as a Service: עורך דין עם הסמכת CDPSE (ISACA) שמלווה את הארגון בכל היבטי הציות לתיקון 13 ו-GDPR.