חוק הגנת הפרטיות, התשמ״א-1981 נחקק בעולם אחר, ותיקון מס׳ 13, שנכנס לתוקף ביום 14 באוגוסט 2025, הוא השינוי הגדול ביותר שנעשה בו מאז. חלק מן השינויים מקלים על עסקים קטנים, וחלקם מכבידים. מה שהשתנה יותר מכול הוא האכיפה.
קודם כול: האם זה חל עליכם
התיקון הרחיב את ההגדרות. ״מידע״ הוא כל נתון הנוגע לאדם מזוהה או שניתן לזהותו במאמץ סביר, ו״מאגר מידע״ הוא אוסף של נתונים כאלה המוחזק באמצעים דיגיטליים. המשמעות המעשית: קובץ לקוחות, רשימת תפוצה, מערכת ניהול הזמנות, ואפילו אנשי הקשר בטלפון העסקי, כולם מאגרי מידע. עסק שאוסף פרטים של אנשים, מחזיק מאגר.
מה הוקל
חובת רישום המאגרים, שהייתה גורפת ורובם התעלמו ממנה, צומצמה משמעותית. הרישום נדרש כעת בעיקר למאגרים שמטרתם העיקרית היא איסוף מידע לצורך מסירתו לאחר, ולמאגרים גדולים של גופים ציבוריים. עסק רגיל, שמחזיק את פרטי לקוחותיו לצורך עבודתו, אינו נדרש ברוב המקרים לרשום את המאגר. במקום רישום, הדגש עבר לתיעוד פנימי ולניהול בפועל.
מה הוחמר
סמכויות הרשות להגנת הפרטיות. לראשונה לרשות סמכויות פיקוח ובירור של ממש: דרישת מסמכים, כניסה למקום העסק, וחקירה. לצידן הוקם מנגנון עיצומים כספיים מדורג, שגובהו נגזר בין היתר מסוג ההפרה, ממספר האנשים שהמידע עליהם נפגע ומרגישות המידע. עסק קטן אינו פטור; הוא פשוט בתחתית הסולם.
חובת היידוע. כשאוספים מידע מאדם, יש למסור לו בין היתר אם חלה עליו חובה למסור אותו, מה מטרת האיסוף, למי יימסר ולשם מה, ומהי זכותו לעיין במידע ולתקנו. טופס יצירת קשר בלי הודעת פרטיות לצידו הוא הפרה שקל לזהות מבחוץ.
ממונה על הגנת הפרטיות. החובה למנות ממונה חלה על גופים ציבוריים, על מי שעיסוקם העיקרי הוא סחר במידע, ועל גופים המעבדים מידע רגיש בהיקף ניכר או מבצעים מעקב שיטתי. עסק קטן רגיל אינו נדרש למנות, אך יש לבדוק זאת ולתעד את המסקנה, שכן הדבר תלוי בסוג המידע ולא רק בגודל העסק.
התיישנות ופיצוי. תקופת ההתיישנות של תביעה בשל פגיעה בפרטיות הוארכה, והתיקון מאפשר פיצוי ללא הוכחת נזק במצבים שבהם מסרב בעל מאגר לאפשר עיון במידע או לתקנו.
מה נדרש בפועל מעסק קטן
- מיפוי. אילו מאגרים יש, מה בהם, מי ניגש אליהם, על אילו שרתים הם יושבים, ואילו ספקים חיצוניים מעבדים אותם.
- מסמך הגדרות מאגר. תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 מחייבות מסמך המתאר את מטרות המאגר, סוגי המידע, השימושים והסיכונים. במאגר ברמת אבטחה בסיסית זהו מסמך קצר, אך חובה שיהיה.
- נוהל אבטחה ובקרת גישה. מי מורשה לראות מה, סיסמאות, גיבוי, ותיעוד אירועי אבטחה.
- הודעת פרטיות בכל נקודת איסוף: אתר, טופס, הסכם לקוח.
- הסכמים עם ספקים. מי שמחזיק את המידע בעבורכם, ובכלל זה ספק אחסון או מערכת CRM, הוא ״מחזיק״ לפי החוק, ונדרש הסכם המסדיר את אחריותו.
- מענה לפניות. נוהל לטיפול בבקשות עיון, תיקון ומחיקה בתוך המועדים שבדין.
- אירוע אבטחה. נוהל תגובה, ובמאגרים שבהם הדין מחייב, דיווח לרשות.
שלוש טעויות שכיחות
- להעתיק מדיניות פרטיות מאתר אחר. מדיניות שמתארת איסוף שאינו נעשה, או שאינה מתארת איסוף שכן נעשה, גרועה מהיעדר מדיניות.
- לשלוח דיוור שיווקי לרשימה שנאספה למטרה אחרת. שינוי מטרה דורש הסכמה, ולצידו חל גם חוק התקשורת בעניין דואר זבל, שהוא מקור עצמאי לתביעות.
- להניח שהספק אחראי. האחריות לאבטחת המידע מוטלת על בעל השליטה במאגר, גם כשהמידע יושב אצל אחר.
הקשר להליכים ייצוגיים
פגיעה בפרטיות בהיקף רחב היא עילה מוכרת להליך ייצוגי, ולעיתים היא מתלווה לעילות צרכניות. עסק שאסף מידע בלי יידוע, או שהשתמש בו למטרה אחרת, חשוף לא רק לרשות אלא גם לתביעה בשם כלל הלקוחות. הליווי המקדים, שעולה שעות ספורות, נועד למנוע בדיוק את זה.
תיקון 13 אינו דורש מעסק קטן להפוך למחלקת ציות. הוא דורש לדעת מה יש, לכתוב את זה, ולהתנהל לפיו. ההבדל בין עסק שעשה את זה לעסק שלא, מתגלה ביום שבו מגיעה פנייה מן הרשות או מכתב מעורך דין. הראשון שולח מסמכים. השני מתחיל לחפש.
לבדוק אם העסק ערוך לתיקון 13
המשרד מבצע בדיקת ציות לעסקים: מיפוי המאגרים, מסמכי ההגדרות והנהלים, הודעות הפרטיות והסכמי הספקים, ותוכנית תיקון עם לוח זמנים.
ליווי שוטף וציות רגולטורימאמרים נוספים במרכז הידע
האמור במאמר זה הוא מידע כללי בלבד, נכון למועד פרסומו, ואינו מהווה ייעוץ משפטי או תחליף לו. כל מקרה נבחן לגופו ולפי נסיבותיו, ואין להסתמך על האמור בלא קבלת ייעוץ פרטני. אין באמור כדי ליצור יחסי עורך דין לקוח.