מסגרות ותקנים / ישראל
תיקון 13 (חוק הגנת הפרטיות הישראלי)
תיקון 13 הוא הרפורמה המשמעותית ביותר בדיני הפרטיות הישראליים מזה עשורים: הוא מעניק לרשות להגנת הפרטיות סמכויות אכיפה מנהליות אמיתיות, והופך את מינוי ממונה הגנת המידע וממונה אבטחת המידע לחובה חוקית עבור קטגוריות מוגדרות של ארגונים.
מה זה דורש
תיקון 13 עבר בכנסת באוגוסט 2024 ונכנס לתוקף ב-14 באוגוסט 2025. הוא מרחיב באופן מהותי את סמכויות האכיפה של הרשות להגנת הפרטיות (PPA), לרבות סמכויות חקירה והיכולת להטיל עיצומים כספיים מנהליים משמעותיים המחושבים בהתאם לאופי ההפרה והיקף מאגר המידע, ומחליף משטר אכיפה שהיה בעבר חסר שיניים במידה רבה. הוא יוצר חובה סטטוטורית למנות ממונה הגנת מידע (DPO) עבור קטגוריות מוגדרות של ארגונים (לרבות גופים ציבוריים, סוחרי נתונים, ובקרים שפעילותם המרכזית כרוכה בעיבוד בקנה מידה גדול של מידע אישי רגיש במיוחד) וחובה למנות ממונה אבטחת מידע עבור קטגוריות מוגדרות של מחזיקי מאגרים, לצד החובה הקיימת מכבר לפי תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017. הוא מצמצם את דרישת רישום המאגרים הוותיקה, ומחליף רישום גורף בחובות הודעה ורישום עבור קטגוריות מוגדרות בסיכון גבוה יותר, ומודרן את ההגדרות (לרבות הטיפול במידע רגיש במיוחד), ומקרב את הדין הישראלי ל-GDPR במבנה ובשפה. תקנות אבטחת המידע מ-2017 נותרות בסיס האבטחה התפעולי: מאגרים מסווגים לפי רמת אבטחה, ומאגרים ברמה גבוהה יותר נושאים חובות כבדות יותר לרבות מסמך הגדרות מאגר, בקרת גישה ותיעוד, סקרי סיכונים תקופתיים ובדיקות חדירה, ודיווח אירועים ל-PPA.
תיקון 13 חל על ארגונים המעבדים מידע אישי בישראל (בקרים, מחזיקי מאגרים ומעבדים), עם חובות המשתנות לפי רגישות המידע והיקפו. חברות שוק ביניים ישראליות בתחומי הבריאות, הפינטק, הביטוח, ה-HR-tech, וכל עסק המחזיק מאגרי לקוחות גדולים נמצאים בהיקף באופן מובהק. הטריגר המעשי הוא כפול: ל-PPA יש כעת סמכות לקנוס, ולקוחות ארגוניים ישראליים החלו לכתוב ציות לתיקון 13 בחוזי הספקים שלהם, כך שהדרישה מגיעה גם מהרגולטור וגם מהקונה.
הבקרות שאנשים באמת נכשלים בהן
- לא מונה DPO, או שהתואר ניתן למישהו שכבר מנהל את פעילות ה-IT או הפעילות המשפטית, מה שיוצר ניגוד עניינים וללא עצמאות אמיתית או קו דיווח להנהלה.
- מסמך הגדרות המאגר הנדרש לפי תקנות אבטחת המידע מ-2017 אינו קיים, או נכתב לפני שנים ואינו מתאר עוד את המערכות, המידע, או האנשים שיש להם גישה.
- הגישה למאגר אינה מוגבלת או מתועדת כפי שהתקנות דורשות: חשבונות מנהל משותפים, אין סקירה תקופתית של מי מחזיק בגישה, ואין יכולת לשחזר מי ניגש למה.
- אין סקר סיכונים תקופתי או בדיקות חדירה למאגרים ברמות האבטחה הגבוהות יותר, או שהבדיקות בוצעו פעם אחת בעת השקת הפרויקט ולעולם לא חזרו.
- אירועי אבטחת מידע אינם מדווחים לרשות להגנת הפרטיות כנדרש, מכיוון שאין תהליך פנימי לזהות שאירוע עומד בסף הדיווח.
- להסדרי מיקור החוץ אין תנאי אבטחת מידע: צדדים שלישיים מחזיקים או מעבדים את המאגר ללא הסכם בכתב המכסה אבטחה, גישה, שמירה או החזרת המידע.
- הארגון הניח שהמשטר הישן מבוסס-הרישום עדיין שולט בכל, ולא העריך מחדש את חובותיו מול החוק המתוקן.
מתי נכנס תיקון 13 לתוקף?
תיקון מס' 13 לחוק הגנת הפרטיות עבר בכנסת באוגוסט 2024 ונכנס לתוקף ב-14 באוגוסט 2025, לאחר תקופת מעבר שנועדה לאפשר לארגונים להיערך. סמכויות האכיפה והעיצומים המורחבות של הרשות להגנת הפרטיות חלות מאותו מועד.
האם תיקון 13 מחייב אותנו למנות DPO?
הוא מחייב ממונה הגנת מידע עבור קטגוריות מוגדרות של ארגונים, לרבות גופים ציבוריים, גופים שעסקם סחר בנתונים, ובקרים שפעילותם המרכזית כרוכה בעיבוד מידע אישי רגיש במיוחד בקנה מידה גדול. הוא גם נושא חובה למנות ממונה אבטחת מידע עבור מחזיקי מאגרים מוגדרים, שיושבת לצד חובות ממונה האבטחה לפי תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017. ה-DPO חייב להיות בעל מומחיות מתאימה, חייב להיות מסוגל לפעול ללא ניגוד עניינים, ויכול להיות מינוי חיצוני, וכך רוב חברות שוק הביניים מקיימות את הדרישה, מכיוון שהתפקיד דורש עצמאות שבעל תפקיד פנימי ב-IT או במשפטים בדרך כלל אינו יכול לספק.
כיצד תיקון 13 מתייחס ל-GDPR?
תיקון 13 מקרב במכוון את הדין הישראלי ל-GDPR: תפקידים דומים (DPO), דגש דומה על אחריותיות הבקר, הגדרות מודרניות של מידע רגיש, וקריטית, רשות אכיפה עם סמכות להטיל קנסות מנהליים משמעותיים. זו אינה העתקה. הדין הישראלי שומר על מבנהו הממוקד-מאגרים, על חובות הרישום וההודעה שלו, ועל תקנות אבטחת המידע מ-2017 כבסיס האבטחה התפעולי עם רמות האבטחה המדורגות שלהן. חברה שכבר תואמת GDPR נהנית מיתרון משמעותי אך אינה תואמת אוטומטית לתיקון 13, ולהיפך.
מהם העונשים לפי תיקון 13?
התיקון מעניק לרשות להגנת הפרטיות את הסמכות להטיל עיצומים כספיים מנהליים שהם, בעיצובם, משמעותיים בהרבה מהמשטר הקודם, כאשר הסכום מונע על ידי גורמים כגון חומרת ההפרה ומשכה וגודל המאגר הנוגע בדבר. הנתונים המדויקים תלויים בהפרה הספציפית ובחישוב הסטטוטורי, והם נושא להנחיות ה-PPA: השינוי המהותי אינו מספר בודד כלשהו אלא שאכיפה כספית משמעותית קיימת כעת בכלל, לצד סמכויות חקירה ויכולת הרשות לחייב פעולה מתקנת.