מה משנה תיקון 13 לחוק הגנת הפרטיות, מי חייב להיערך, מתי נדרש ממונה הגנת פרטיות (DPO), ואילו צעדים מעשיים לנקוט: מיפוי מידע, מזעור, אבטחה, זכויות נושאי מידע והצטלבות עם ממשל AI.
תיקון 13 לחוק הגנת הפרטיות הוא אחד השינויים המשמעותיים ביותר בדיני הפרטיות בישראל מזה שנים. הוא מרחיב את חובות הארגונים בניהול ובאבטחת מידע אישי, ומחזק באופן ניכר את סמכויות האכיפה של הרשות להגנת הפרטיות. עבור חברות, עמותות וגופים ציבוריים, ההיערכות אינה בגדר המלצה אלא דרישה. מאמר זה מסביר מה משתנה, מי חייב להיערך, ואילו צעדים מעשיים כדאי לנקוט.
התיקון מעדכן את חוק הגנת הפרטיות ומקרב אותו לסטנדרטים בינלאומיים מתקדמים. בין השאר הוא מחדד את ההגדרות של מידע אישי ומידע רגיש, מעגן חובות מוגברות בטיפול במידע, ומעניק לרשות להגנת הפרטיות כלי אכיפה חזקים יותר, לרבות סמכויות פיקוח והטלת סנקציות. המשמעות המעשית היא שרמת האחריות של ארגון על המידע שברשותו עולה, וכך גם החשיפה במקרה של כשל.
כל ארגון שאוסף, שומר או מעבד מידע אישי על לקוחות, עובדים או ספקים נכנס לתחולת החוק. ככל שהמידע רגיש יותר, או שהיקף המאגר גדול יותר, כך החובות מחמירות. חברות טכנולוגיה, גופים פיננסיים, ארגונים המנהלים מאגרי לקוחות גדולים, וגופים ציבוריים נמצאים בסיכון גבוה במיוחד, ועליהם להיערך מוקדם.
במקרים מסוימים החוק מחייב מינוי ממונה הגנת פרטיות (DPO), שתפקידו לפקח על עמידת הארגון בדרישות, לייעץ להנהלה, ולשמש כתובת מול הרשות ומול נושאי המידע. גם כאשר המינוי אינו חובה, הגדרת אחריות ברורה לניהול הפרטיות בארגון היא צעד מומלץ שמפחית סיכון.
נקודת הפתיחה של כל היערכות היא מיפוי: אילו סוגי מידע אישי הארגון מחזיק, מהיכן הם מגיעים, היכן הם נשמרים, מי ניגש אליהם, ולאן הם עוברים. על בסיס המיפוי אפשר ליישם עקרון מזעור מידע, כלומר להחזיק רק את המידע הנדרש באמת, למשך הזמן הנדרש בלבד. מידע שאינו קיים אינו יכול לדלוף.
תיקון 13 מתכתב עם חובות אבטחת המידע הקיימות ומדגיש את חשיבותן. ארגון נדרש להחיל בקרות טכניות וארגוניות מתאימות לרמת הרגישות של המידע: הרשאות גישה, הצפנה, תיעוד ובקרה, נהלים לטיפול באירוע אבטחה, והכשרת עובדים. נהלים כתובים ומעודכנים הם חלק מהמענה, לא רק הטכנולוגיה.
לצד חובות הארגון, לנושאי המידע יש זכויות, ובהן הזכות לעיין במידע שנשמר עליהם ולבקש את תיקונו. ארגון צריך להיערך לטפל בפניות כאלה בתוך מסגרת זמן סבירה ובאופן מסודר. היעדר מנגנון למימוש זכויות חושף את הארגון לתלונות ולחשיפה מול הרשות.
בתמצית, ההיערכות כוללת: מיפוי המידע, הגדרת בסיס חוקי לעיבוד, יישום מזעור, חיזוק אבטחת המידע והנהלים, הגדרת אחראי לפרטיות ובמידת הצורך מינוי DPO, בניית מנגנון למימוש זכויות, והכנת תוכנית תגובה לאירוע דליפה. עדיף להתחיל מוקדם ובהדרגה, ולא להמתין לפנייה של הרשות או לאירוע.
ארגונים שמטמיעים כלי בינה מלאכותית צריכים לשלב את דרישות תיקון 13 בתוך ממשל ה-AI שלהם: לוודא שמידע אישי אינו זולג לכלים לא מאובטחים, שהעיבוד נעשה על בסיס חוקי, ושתשתית ה-AI סגורה ומבוקרת. בניית תשתית ממשל אחת, שמכסה גם את הפרטיות המקומית וגם רגולציה בינלאומית כמו ה-EU AI Act, חוסכת כפילות ומצמצמת חשיפה.
תיקון 13 מעלה את רף האחריות של ארגונים על המידע האישי שברשותם. היערכות מסודרת, מוקדמת ומתועדת, הופכת את הציות מנטל לנכס: היא מגנה על הארגון מפני קנסות ותביעות, ומחזקת את אמון הלקוחות והעובדים.
הערה: אין באמור ייעוץ משפטי או תחליף לו, והוא אינו מהווה חוות דעת מחייבת. כל מקרה מחייב בחינה פרטנית מול עורך דין מוסמך.
נושא: בינה מלאכותית וממשל סיכונים
ייעוץ נדל״ן והתחדשות עירונית · ייעוץ AI · ייעוץ משפטי · גישור ויישוב סכסוכים · מאמרים · שאלות ותשובות · מבדק מוכנות · תיאום פגישה