תיקון 13 לחוק הגנת הפרטיות: מה השתנה ואיך ארגונים צריכים להיערך?
תיקון 13 לחוק הגנת הפרטיות משנה את כללי המשחק עבור ארגונים בישראל. מדובר באחד השינויים המשמעותיים ביותר בתחום הפרטיות והגנת המידע, והוא מחייב ארגונים לעבור מתפיסה של “עמידה פורמלית בחוק” לתפיסה של ניהול פרטיות שיטתי, מתועד ומבוסס סיכון.
במרכז התיקון עומדות הגדרות רחבות יותר של מידע אישי, חובות חדשות כלפי הרשות להגנת הפרטיות, הרחבת סמכויות האכיפה, ובמקרים מסוימים גם חובה למנות ממונה על הגנת הפרטיות (DPO).
מה חדש בתיקון 13 לחוק הגנת הפרטיות?
הגדרות מעודכנות ורחבות של מידע אישי
התיקון מרחיב את ההגדרה של “מידע אישי” לכל נתון על אדם מזוהה או אדם הניתן לזיהוי, במישרין או בעקיפין.
המידע עשוי לכלול:
- שם ומספר זהות
- נתוני מיקום
- מזהים מקוונים
- מידע ביומטרי
- מידע רפואי
- מידע פיננסי
- דעות פוליטיות
- מידע גנטי
- נתוני שכר
- עבר פלילי
בנוסף, התיקון מגדיר קטגוריה של “מידע בעל רגישות מיוחדת”, המחייבת ארגונים לנהל את המידע בזהירות מוגברת וליישם בקרות פרטיות ואבטחת מידע מתאימות.
מעבר מחובת רישום לחובת הודעה
אחד השינויים המרכזיים בתיקון הוא ביטול חובת הרישום עבור רוב מאגרי המידע במגזר הפרטי.
עם זאת, במקרים מסוימים קיימת חובת הודעה לרשות להגנת הפרטיות, בין היתר כאשר מדובר במאגרי מידע גדולים או במאגרים הכוללים מידע בעל רגישות מיוחדת.
המשמעות היא שארגונים אינם יכולים להסתפק עוד ברישום טכני של מאגרי מידע. עליהם להבין אילו סוגי מידע הם מחזיקים, מדוע הם מעבדים אותו, מי ניגש אליו, למי הוא מועבר ומהי רמת הסיכון הנובעת ממנו.
חובת מינוי ממונה על הגנת הפרטיות (DPO)
תיקון 13 מחייב גופים מסוימים למנות ממונה על הגנת הפרטיות, לרבות גופים ציבוריים, ארגונים בעלי סיכון גבוה וספקי שירותים המעבדים מידע רגיש בהיקף משמעותי.
תפקיד ה-DPO הוא לשמש כסמכות המקצועית בארגון בתחום הפרטיות והגנת המידע.
בין תחומי האחריות של DPO as a Service:
- פיקוח שוטף על עמידת הארגון בדיני פרטיות
- ליווי תהליכי מיפוי מאגרי מידע
- ביצוע תסקירי השפעה על הפרטיות
- טיפול בפניות נושאי מידע
- הטמעת מדיניות ונהלים
- הדרכת עובדים והנהלה
- שמש כאיש קשר מול הרשות להגנת הפרטיות
- ייעוץ שוטף להנהלה בנושאי פרטיות וסיכון
איסור עיבוד מידע שנאסף שלא כדין
התיקון קובע כי בעל שליטה או מחזיק במאגר מידע לא יוכל לעבד מידע אישי שהושג בניגוד לדין, גם כאשר המידע הגיע מגורם שלישי.
המשמעות עבור עסקים ברורה: לא מספיק לשאול האם המידע קיים בארגון. צריך לבדוק כיצד הוא נאסף, מהו הבסיס החוקי לעיבוד, האם ניתנה הודעה מתאימה לנושאי המידע, והאם השימוש בפועל תואם את מטרת האיסוף.
סנקציות ואכיפה משמעותית יותר
תיקון 13 מעניק לרשות להגנת הפרטיות סמכויות אכיפה משמעותיות יותר.
בין הסנקציות האפשריות:
- עיצומים כספיים משמעותיים
- פיצויים ללא הוכחת נזק במקרים מסוימים
- סמכות להורות על מחיקת מידע
- סמכות להורות על הפסקת עיבוד מידע
- אכיפה מנהלית ופלילית במקרים חמורים
המשמעות היא שפרטיות כבר אינה רק נושא משפטי או תפעולי. מדובר בסיכון עסקי, רגולטורי ותדמיתי מהותי.
איך תיקון 13 משפיע על עסקים?
ההשפעה של תיקון 13 אינה מסתכמת בשינוי משפטי בלבד. מדובר בשינוי שמשפיע על אופן הניהול של מידע אישי בארגון כולו.
דרישות תיעוד ושקיפות
ארגונים נדרשים להחזיק תמונת מצב ברורה לגבי המידע האישי שהם מעבדים.
בין היתר נדרש:
- מיפוי מאגרי מידע
- תיעוד מטרות העיבוד
- עדכון מדיניות פרטיות
- ניהול פניות נושאי מידע
- תיעוד העברות מידע לספקים
- ניהול אירועי אבטחת מידע
עלויות תאימות והיערכות ארגונית
יישום תיקון 13 עשוי לדרוש השקעה במספר תחומים:
- מינוי DPO חיצוני או פנימי
- הכשרת עובדים
- עדכון נהלים ומדיניות
- ביצוע מיפוי פערים
- יישום בקרות אבטחת מידע
- ביצוע תסקירי השפעה על הפרטיות
השפעה על שיתופי פעולה בינלאומיים
תיקון 13 מקרב את הדין הישראלי לעקרונות המקובלים ב-GDPR, ובכך מסייע לישראל לשמר התאמה לסטנדרטים בינלאומיים בתחום הגנת המידע.
עבור חברות שעובדות עם לקוחות, ספקים או שותפים באירופה, מדובר בנושא קריטי המשפיע על העברות מידע, חוזים, ביקורות ספקים ואמון עסקי.
למה תיקון 13 מחייב גישה מבוססת סיכון?
הדרך הנכונה להיערך לתיקון 13 אינה רק כתיבת מסמכים. ארגון נדרש לנהל פרטיות כחלק ממערך ניהול סיכונים כולל.
גישה מבוססת סיכון כוללת:
- זיהוי סוגי המידע הרגישים ביותר
- הבנת תהליכי העיבוד המרכזיים
- תעדוף טיפול לפי רמת חשיפה
- בקרה על ספקים ומיקור חוץ
- שילוב פרטיות בתהליכי פיתוח, רכש ותפעול
- חיבור בין פרטיות, סייבר ו-GRC
ארגונים שמנהלים פרטיות בצורה זו מקבלים שליטה טובה יותר בסיכונים, מוכנות טובה יותר לביקורות, ויכולת להגיב מהר יותר לאירועים.
איך CYBEROOT יכולה לעזור?
CYBEROOT מלווה ארגונים בהתאמה מלאה לתיקון 13 לחוק הגנת הפרטיות, תוך שילוב בין מומחיות משפטית, טכנולוגית ועסקית.
השירותים כוללים:
- מיפוי פערים רגולטורי מול דרישות תיקון 13
- מיפוי מאגרי מידע ותהליכי עיבוד
- כתיבת מדיניות פרטיות ונהלי אבטחת מידע
- הכשרת עובדים והנהלה
- ביצוע Privacy Impact Assessment
- ניהול סיכוני ספקים בתחום הפרטיות
- ליווי מול הרשות להגנת הפרטיות
- תגובה לאירועי אבטחת מידע ופרטיות
בנוסף, CYBEROOT מספקת שירות DPO as a Service המאפשר לארגונים לקבל ממונה פרטיות מקצועי, מנוסה וזמין, ללא צורך בגיוס בעל תפקיד בכיר במשרה מלאה.
למי מתאים שירות DPO as a Service?
שירות DPO as a Service מתאים במיוחד לארגונים אשר:
- מעבדים מידע אישי או רגיש בהיקף משמעותי
- כפופים לתיקון 13 לחוק הגנת הפרטיות
- עובדים מול לקוחות באירופה או כפופים ל-GDPR
- מפעילים מערכות SaaS או שירותים דיגיטליים
- משתמשים בספקי ענן ומיקור חוץ
- נדרשים לבצע תסקירי השפעה על הפרטיות
- רוצים לנהל פרטיות כחלק ממערך GRC מקצועי
השורה התחתונה
תיקון 13 לחוק הגנת הפרטיות משנה את האופן שבו ארגונים בישראל צריכים להתייחס למידע אישי.
פרטיות ואבטחת מידע אינן עוד חובה משפטית בלבד. הן חלק מהחוסן העסקי, מהאמון מול לקוחות ומשקיעים, ומהיכולת של הארגון לצמוח באופן בטוח ומבוקר.
ארגון שמאמץ מדיניות פרטיות שקופה, מאובטחת ומבוססת סיכון מקטין חשיפות רגולטוריות, משפר את אמון הלקוחות ומחזק את יכולת הניהול שלו.
העת לפעול היא עכשיו. ההיערכות לתיקון 13 אינה פרויקט חד־פעמי, אלא תהליך מתמשך של ניהול פרטיות כחלק מהאסטרטגיה העסקית.
רוצים להבין האם הארגון שלכם ערוך לתיקון 13?
CYBEROOT מספקת שירות DPO as a Service וליווי מלא לבניית מערך פרטיות מבוסס סיכון.