תיקון 13 לחוק הגנת הפרטיות: שינוי כללי המשחק?

ממש בקרוב, באוגוסט 2025, זה קורה: תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף, ומי שלא נערך – מסתכן בקנסות, תביעות ופגיעה במוניטין. אחרי עשורים של חקיקה מיושנת, ישראל מתקרבת לסטנדרטים הבינלאומיים של ה-GDPR, עם חובות חדשות, רגולציה הדוקה ואכיפה אמיתית. אם העסק שלכם שומר, מעבד או שולט במידע אישי – הגיע הזמן להבין את המשמעות ולהיערך בהתאם.

השינויים המרכזיים בתיקון 13

חובות חדשות על עסקים – כל בעל שליטה במאגר מידע מחויב לשקיפות רחבה יותר ולמתן מענה לזכויות נושאי מידע, כמו עיון ומחיקה.

הרשות להגנת הפרטיות מקבלת סמכויות אכיפה חסרות תקדים – כולל קנסות שמגיעים למאות אלפי שקלים פר הפרה.

הגדרת "מידע אישי" מתרחבת – כל מה שמזהה אדם, כולל מזהים דיגיטליים ונתוני מיקום, נמצא תחת הרגולציה.

חובת רישום מאגרי מידע מצטמצמת משמעותית – רק גופים מעטים יצטרכו לרשום מאגרי מידע, אבל זה לא אומר שהם פטורים מחובות אחרות.

חובת מינוי ממונה הגנת פרטיות (DPO) – גופים מסוימים יחויבו למנות ממונה על הגנת הפרטיות עם סמכויות אמיתיות ומשאבים למילוי תפקידו.

פיצויים ללא הוכחת נזק – תביעות פרטיות נגד עסקים שלא עומדים בדרישות החוק ייעשו קלות מתמיד, והסיכון לפיצויים עונשיים עולה משמעותית.

הרחבת ההגדרות – כבר אי אפשר להתחמק

מידע אישי

בעבר החוק דיבר על "מידע" והרבה נתונים חמקו מההגדרה של מונח זה. עכשיו ההגדרה היא "מידע אישי" – והיא כוללת כל נתון שמזהה אדם, כולל מזהים טכנולוגיים, כתובת IP, נתוני שימוש במכשירים, ואפילו חוות דעת מקצועיות עליו. בקיצור- כל מידע על אדם מוגן מכוח החוק. 

קטגוריות חדשות של מידע רגיש

הוספה הגדרת "מידע בעל רגישות מיוחדת" והוא כולל מידע רפואי, נתוני תקשורת, מידע ביומטרי, עבר פלילי, נתוני מיקום ופרטים פיננסיים. נתונים כאלה ידרשו הגנה מוגברת, והקנסות על הפרות ביחס למידע שכזה יהיו גבוהים יותר.

"בעל מאגר" הופך ל"בעל שליטה במאגר מידע"

תיקון 13 מיישר קו עם ה-GDPR: חברה אינה "בעלת" המידע של הלקוחות שלה – היא רק שולטת בו, ולכן,גם חייבת להגן עליו ולאסוף אותו באופן חוקי.

בעבר, מחזיק במאגר היה רק מי שהמידע אצלו באופן קבוע. גופים שקיבלו גישה מוגבלת למידע ניסו להתחמק מהחובות שחלות על ״מחזיק״. כל גורם חיצוני שמעבד מידע עבור בעל השליטה במאגר ייחשב למחזיק (מקביל ל-Processor ב-GDPR). זה אומר שבעלי השליטה במאגר יהיה חייבים להחתים את המחזיקים על נספחי אבטחה (DPAs) מקיפים בהרבה. 

צמצום חובת רישום מאגרים; הוספת חובת הודעה

רוב העסקים כבר לא יצטרכו לרשום מאגרי מידע – אותה חובה מיושנת שלמרבה הצער גנבה הרבה תשומת לב מחברות על חשבון עמידה בחובות מהותיות בהרבה. מאידך, חובת ההודעה מחייבת גופים המחזיקים מידע רגיש על יותר מ-100,000 אנשים להודיע על כך לרשות, כולל שיתוף במסמך הגדרות המאגר, מסירת פרטים רבים וכן את פרטי הממונה על הגנת פרטיות.

שקיפות ויידוע

התיקון מרחיב את חובות הגילוי והיידוע. יש לעדכן מסמכי מדיניות פרטיות שלא עומדים בדרישות התיקון, הנחיות הרשות והתקנות הרלוונטיות. 

צמידות המטרה

החוק מחייב להשתמש במידע רק למטרה שלשמה הוא נאסף. שימוש נוסף במידע בלי הרשאה מפורשת = הפרת חוק, עם חשיפה לקנסות ועיצומים, ואף חשיפה לפלילים. 

דוגמה: סטארטאפ אוסף מידע על משתמשים לטובת "שיפור השירות". אם פתאום הוא משתמש בנתונים לפרסום ממוקד – זו הפרה. כדי לעשות זאת, הוא חייב לקבל הסכמה תקפה.

האכיפה מגיעה – והפעם עם כוח אמיתי

קנסות מנהליים

החוק מעניק לרשות להגנת הפרטיות סמכויות אכיפה דרמטיות, כולל קנסות של מאות אלפי שקלים על כל הפרה.

פיצויים ללא הוכחת נזק 

נפגעתם מהפרת פרטיות? אפשר לתבוע פיצוי של עד 10,000 ש"ח גם בלי להוכיח שנגרם לכם נזק. המשמעות? גל תביעות פרטיות נגד עסקים שלא עומדים בדרישות החוק. 

דוגמה: בנק קיבל בקשה לעיון במידע ולא טיפל בה בזמן? ארגון לא סיפק מדיניות פרטיות מספקת לעובדיו בעת איסוף המידע עליהם? כל אדם בודד שנפגע יוכל לתבוע ללא הוכחת נזק אלפי שקלים. 

שיימינג ופגיעה מוניטין?

בנוסף לקנסות, הרשות תפרסם את שמות החברות שנמצאו מפרות את החוק – מה שיכול לפגוע במוניטין בצורה קשה. כמובן שהכוונה להציג את שיקול דעתה ושקיפות בפעילותה – אך פוטנציאל הנזק, ובכן, הוא אדיר.