תיקון 13: מה השתנה בחוק הגנת הפרטיות ומה לבדוק באתר

מה זה תיקון 13 ומתי הוא נכנס לתוקף?

תיקון 13 הוא השם המקובל לחוק הגנת הפרטיות (תיקון מס' 13), התשפ"ד-2024, שמעדכן את חוק הגנת הפרטיות, התשמ"א-1981. הכנסת קיבלה אותו ב-5 באוגוסט 2024, והוא פורסם בספר החוקים ב-14 באוגוסט 2024. לפי סעיף התחילה שבו, החוק נכנס לתוקף שנה מיום הפרסום, כלומר ב-14 באוגוסט 2025, למעט הוראה אחת שנדחתה ונוגעת למאגרי המשטרה.

חשוב לומר מראש: המאמר הזה הוא מידע כללי על החוק ולא ייעוץ משפטי. הוא נכתב לפי נוסח התיקון כפי שפורסם ברשומות, ונכון לאוקטובר 2026, ותקנות או הנחיות חדשות עשויות לשנות את התמונה. השאלה אילו חובות חלות על העסק שלכם תלויה בסוג המידע, בהיקף שלו ובאופן שבו אתם משתמשים בו, ולכן את המקרה הספציפי צריך לבדוק עורך דין שמתמחה בדיני פרטיות. מה שאפשר לעשות לבד הוא להבין את השינויים ולסדר את האתר, וזה מה שנעשה כאן.

אילו הגדרות השתנו בחוק הגנת הפרטיות?

השינוי הראשון שבולט אחרי התיקון הוא בשפה של החוק. במקום המונח מידע, החוק משתמש היום במונח מידע אישי, וההגדרה שלו רחבה: כל נתון הנוגע לאדם מזוהה או לאדם שניתן לזהות במאמץ סביר, במישרין או בעקיפין. החוק מונה דוגמאות לפרטים מזהים, ובהן שם, מספר זהות, נתוני מיקום ומזהה מקוון. גם המונח בעל מאגר מידע הוחלף בבעל שליטה במאגר מידע, וההגדרה הישנה של מידע רגיש פינתה מקום להגדרה מפורטת של מידע בעל רגישות מיוחדת.

להגדרה של מאגר מידע יש שני חריגים שכדאי להכיר. הראשון הוא אוסף לשימוש אישי שאינו למטרות עסק. השני הוא אוסף שכולל רק שם, מען ודרכי התקשרות של 100,000 בני אדם או פחות, שאינו מלמד כשלעצמו על מידע אישי נוסף עליהם, ובתנאי שלבעל האוסף אין אוסף אחר עם פרטים נוספים על אותם אנשים. את השאלה אם חריג כזה חל עליכם כדאי לבדוק עם עורך דין, כי די בשדה נוסף בטופס, כמו תיאור הבעיה, כדי שהאוסף כבר לא יכלול רק פרטי קשר.

מה צריך לומר לגולש כשמבקשים ממנו פרטים?

חובת ההודעה קבועה בסעיף 11 לחוק, והיא חלה כשפונים לאדם כדי לקבל ממנו מידע אישי לשם עיבודו במאגר מידע. באתר, הפנייה הזו היא בדרך כלל טופס: יצירת קשר, הרשמה לניוזלטר, הזמנה בחנות או קביעת תור. תיקון 13 הרחיב את רשימת הפרטים שההודעה צריכה לכלול, ולפי הנוסח המעודכן אלה הפרטים:

• חובה או רשות: האם חלה חובה חוקית למסור את המידע או שהמסירה תלויה ברצון ובהסכמה, ומה התוצאה של אי ההסכמה
• המטרה: לשם מה מתבקש המידע
• בעל השליטה: שמו של בעל השליטה במאגר המידע ודרכי ההתקשרות איתו
• העברה: למי יימסר המידע ומה מטרות המסירה
• זכויות: קיומן של זכות לעיין במידע האישי וזכות לבקש לתקן אותו

שלושה מהפרטים האלה הם תוספת של תיקון 13: תוצאת אי ההסכמה, זהות בעל השליטה ודרכי הקשר איתו, והאזכור של זכויות העיון והתיקון. דרך נוחה לעמוד בזה היא שתי שכבות: משפט קצר ליד הטופס שמסביר למה הפרטים נדרשים ומה ייעשה בהם, וקישור למדיניות פרטיות לאתר שמפרטת את השאר. כיוון שהחוק מדבר על הודעה שמלווה את הפנייה, כדאי שהיא תופיע ליד הטופס עצמו ולא רק בעמוד נפרד.

לתיקון יש גם צד אזרחי שכדאי להכיר. הוא הוסיף לחוק סעיף של פיצויים לדוגמה, שבית משפט רשאי לפסוק בלי שהנפגע יוכיח נזק, בשל רשימה של הפרות מוגדרות. אחת מהן היא פנייה לקבלת מידע אישי בלי ההודעה שסעיף 11 דורש, במקרה שהאדם דרש לקבל את ההודעה וחלפו 30 ימים מפנייתו. לכן הודעה ברורה בטופס היא לא רק עניין של אמון, אלא גם צעד שמצמצם חשיפה.

מה התיקון משנה באבטחת המידע?

לפי סעיף 17 לחוק, האחריות לאבטחת המידע במאגר מוטלת גם על בעל השליטה וגם על המחזיק, כל אחד מהם. לצד החוק פועלות תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, שמסווגות מאגרים לרמות אבטחה בסיסית, בינונית וגבוהה, והדרישות בהן עולות עם הרמה. בין המסמכים שהתקנות דורשות נמצאים מסמך הגדרות מאגר ונוהל אבטחת מידע. מה שהתיקון שינה בעיקר הוא צד האכיפה, כי הפרות של תקנות האבטחה יכולות היום להוביל לעיצום כספי מצד הרשות.

באתר של עסק קטן, אבטחת מידע מתחילה בשאלות פשוטות. מי מחזיק סיסמה לממשק הניהול של האתר, מי רואה את הפניות שמגיעות מהטופס, והאם ספק שסיים לעבוד איתכם עדיין יכול להיכנס. בדוח של מבקר המדינה על מאגרי משרד הביטחון, אי ביטול הרשאות גישה עם סיום תפקיד מופיע כאחת ההפרות שהרשות תוכל להטיל עליהן עיצום במאגר ברמת אבטחה גבוהה. גם באתר קטן העיקרון דומה: הרשאה שלא בוטלה היא דלת פתוחה.

צעדים מעשיים נוספים הם עדכונים שוטפים, חיבור HTTPS, גיבויים מחוץ לשרת ואימות דו שלבי לחשבונות הניהול. אם האתר מוגש דרך Cloudflare, בדקו גם מי מחזיק בגישה לחשבון שם. עדכונים, גיבויים וניטור אבטחה הם חלק מתחזוקת אתרים שוטפת, אבל ההחלטות על איזה מידע לאסוף ולמי לתת גישה נשארות של העסק.

אילו סמכויות קיבלה הרשות להגנת הפרטיות?

תיקון 13 הוסיף לחוק פרקים שלמים של פיקוח ואכיפה. ראש הרשות להגנת הפרטיות רשאי להסמיך מפקחים, ומפקח שיש לו יסוד סביר להניח שבוצעה הפרה רשאי לפתוח בבירור מינהלי שלה. ראש הרשות גם קובע תוכנית לפיקוח רוחב על יישום החוק, שחלה על רשימת גופים מפוקחים שהוא מגדיר. לצד הפיקוח, החוק נותן לרשות כמה כלים:

• עיצום כספי: סנקציה מינהלית שהרשות מטילה בשל הפרה של הוראות מסוימות בחוק ובתקנות
• התראה מינהלית: בנסיבות שקבע שר המשפטים, הרשות רשאית למסור התראה במקום להטיל עיצום
• התחייבות ועירבון: במקרים מסוימים המפר יכול להתחייב להימנע מההפרה ולהפקיד עירבון, במקום עיצום
• צו שיפוטי: הרשות רשאית לבקש מבית משפט צו להפסקת פעולות עיבוד או צו למחיקת מידע אישי

גובה העיצום תלוי בסוג ההפרה ובנסיבות, והחוק כולל גם מנגנוני הפחתה, ובהם תקרה שקשורה למחזור העסקאות של הגוף ותקרה לעסק זעיר, ולכן לא נפרט כאן סכומים. התיקון גם צמצם את חובת רישום מאגרי המידע: לפי הנוסח המעודכן, היא חלה על מאגר של גוף ציבורי ועל מאגר שמטרתו העיקרית היא איסוף מידע אישי לשם מסירתו לאחרים כדרך עיסוק או בתמורה, כשיש בו מידע על יותר מ-10,000 בני אדם. מאגר שאינו חייב ברישום ויש בו מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם, חייב בהודעה לרשות בתוך 30 ימים.

מי חייב למנות ממונה על הגנת הפרטיות?

תיקון 13 הוסיף לחוק חובה למנות ממונה על הגנת הפרטיות, אבל היא חלה על סוגים מסוימים של גופים בלבד. התפקיד שלו הוא לפעול להבטחת קיום החוק בגוף, לשמש איש קשר מול הרשות ולוודא טיפול בפניות של אנשים שהמידע עליהם נמצא במאגר. לפי סעיף 17ב1, אלה הגופים שחייבים במינוי:

• בעל שליטה במאגר מידע שהוא גוף ציבורי, או מחזיק במאגר כזה, למעט גופים ביטחוניים
• בעל שליטה במאגר שמטרתו העיקרית היא איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה, כשיש בו מידע על יותר מ-10,000 בני אדם
• בעל שליטה או מחזיק שעיסוקיו העיקריים מחייבים ניטור שוטף ושיטתי של בני אדם בהיקף ניכר, כמו מעקב אחר התנהגות, מיקום או פעולות
• בעל שליטה או מחזיק שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר, ובין השאר בנקים, מבטחים, בתי חולים וקופות חולים

היקף ניכר נבחן לפי שיקולים שהחוק מפרט, כמו מספר האנשים, היקף המידע וסוגיו ומשך העיבוד והשמירה. הקטגוריות מנוסחות סביב העיסוק העיקרי של הגוף, ולכן עסק שהאתר שלו משמש בעיקר לקבלת פניות לא נמצא בדרך כלל במרכזן. מנגד, עסק שהליבה שלו היא עיבוד מידע רפואי או פיננסי, או שירות שעוקב אחרי מיקום או התנהגות של משתמשים, צריך לבדוק את השאלה ברצינות עם עורך דין.

חשוב לא לבלבל בין התפקיד הזה לבין ממונה על אבטחת מידע. זה תפקיד נפרד, שהחובה למנות אותו חלה על גופים אחרים, ובהם בעל שליטה או מחזיק בחמישה מאגרים החייבים ברישום או בהודעה. הראשון אחראי לקיום החוק כולו, והשני מתמקד באבטחה.

רשימת בדיקה: מה לעשות באתר אחרי תיקון 13?

הרשימה הבאה מתרגמת את השינויים לצעדים באתר עצמו. היא לא מחליפה בדיקה משפטית, אבל היא מסדרת את העובדות שעורך הדין יצטרך לדעת ומונעת תקלות נפוצות. כדאי לעבור עליה פעם אחת עכשיו, ושוב בכל פעם שמוסיפים טופס, כלי מדידה או ספק חדש.

דוגמה למבנה כזה אפשר לראות במדיניות הפרטיות של האתר הזה, שמפרטת איזה מידע נאסף, איפה הוא נשמר ואיך עוגיות המדידה נשמרות רק אחרי אישור. על הצד הטכני של כלי המדידה, כולל Consent Mode והקשר לבאנר העוגיות, הרחבנו במדריך גוגל אנליטיקס. מדיניות פרטיות היא מסמך נפרד מתקנון אתר, שמסדיר את תנאי השימוש והרכישה, וכדאי לטפל בשניהם יחד.

כשבונים אתר, קל יותר להכין את כל אלה מההתחלה מאשר להוסיף אותם אחרי ההשקה. את הנוסח המשפטי של המדיניות כדאי לסגור עם עורך דין שמכיר את הפעילות שלכם. אם אתם בונים אתר חדש או רוצים לסדר את הקיים, השאירו פרטים וקבעו שיחת אפיון.