פרטיות ותיקון 13: בדיקת עמידה ותיק הגנה לדירקטוריון

למי זה מיועד?

לחברות בינוניות, בדרך כלל בין 50 ל־500 עובדים, שמידע אישי הוא חלק מהעבודה היומיומית שלהן: מרפאות ומכונים, סוכנויות ביטוח, חברות פינטק, חברות שכר ומשאבי אנוש, אתרי סחר מקוון, ומלונות ורשתות קמעונאות שמפעילות מצלמות.

הפנייה מגיעה כמעט תמיד ברגע מסוים: לקוח גדול שולח שאלון פרטיות לפני חתימה, משקיע מבקש לראות את מצב הציות לפני סגירת סבב, הרשות שולחת שאלון פיקוח, או שמתחרה בענף חווה דליפה והדירקטוריון שואל ״ומה אצלנו?״. בכל אחד מהרגעים האלה צריך תשובה שאפשר להוכיח, לא רק מסמך מדיניות.

מה קבע תיקון 13, ומה כבר קורה בפועל?

חוק הגנת הפרטיות (תיקון מס׳ 13), התשפ״ד־2024, אושר בכנסת ב־5 באוגוסט 2024 ונכנס לתוקף ב־14 באוגוסט 2025. לפי המדריך המקצועי של הרשות להגנת הפרטיות, התיקון עדכן את ההגדרות המהותיות בחוק, צמצם את חובת רישום המאגרים והחליף אותה בחובת הודעה על מאגרים גדולים ורגישים, קבע חובה למנות ממונה על הגנת הפרטיות בגופים ציבוריים ובחלק מהגופים הפרטיים, והקנה לרשות סמכות להטיל עיצומים כספיים. נוספו גם עבירות פליליות, הורחבה סמכות בתי המשפט לפסוק פיצויים בלי הוכחת נזק, ובוטלה ההתיישנות המקוצרת בתביעות על פגיעה בפרטיות.

ב־10 בדצמבר 2025 פרסמה הרשות שהחלה בהליכי פיקוח רוחב, הראשונים מאז כניסת התיקון לתוקף, במגזרים אלה: רשויות מקומיות, חברות סחר מקוון, אפליקציות בשימוש נפוץ, מכוני סקר גנטי וצהרונים. פיקוח רוחב אינו בדיקה של תלונה אחת. הרשות שולחת שאלונים לכל הגופים במגזר ובוחנת, בין היתר, מדיניות פרטיות, נוהל אבטחת מידע, מיפוי מאגרים ורמות אבטחה, יידוע והסכמה, והתקשרויות עם ספקים.

מה הדירקטוריון נדרש לעשות?

הנחיית הרשות להגנת הפרטיות 1/2024, מיום 3 בספטמבר 2024, קובעת שבחברה שעיבוד מידע אישי מצוי בליבת הפעילות שלה, או שפעילותה יוצרת סיכון מוגבר לפרטיות, מוטלת על הדירקטוריון חובה לפקח על ציות החברה לחוק ולתקנות. הדירקטוריון צריך לוודא שגובשה, אומצה ויושמה מדיניות, לקבוע מי אחראי על ביצועה, לקבל דיווחים שוטפים, ולקיים דיונים במסמך הגדרות המאגר, בעקרונות נוהל האבטחה, בתוצאות סקר סיכונים ומבדקי חדירות, באירועי אבטחה ובתוצאות הביקורת התקופתית.

ההנחיה מאפשרת להטיל את הביצוע על גורם אחר בחברה, אבל אז הדירקטוריון צריך לפקח על הביצוע בפועל ולהבטיח תיעוד סביר של נימוקי ההחלטה. הפירוט המלא, סעיף אחר סעיף, נמצא בתשובה מה הדירקטוריון חייב לעשות לפי הנחיה 1/2024.

בדיקת עמידה בתיקון 13: בודקים את המערכת, לא רק את המסמך

מדיניות פרטיות יכולה להיות כתובה היטב ועדיין לא לתאר את מה שקורה בפועל. לכן הבדיקה מתחילה במערכות עצמן, בשיתוף אנשי ה־IT שלכם:

• זרימות מידע: מאיפה המידע נכנס (טפסים, אפליקציה, מוקד, מצלמות, מערכת נוכחות), איפה הוא נשמר, ולאן הוא יוצא, כולל ספקי ענן, מערכות שכר, CRM וכלי אנליטיקה באתר.
• הרשאות: מי ניגש לאיזה מידע, האם יש עובדים לשעבר או ספקים עם גישה פעילה, והאם הגישה מתועדת.
• ספקים: האם יש הסכם עיבוד מידע מול כל ספק שמחזיק מידע בשבילכם, כפי שדורשת תקנה 15 לתקנות אבטחת המידע.
• מצלמות: מה מצולם, מי צופה, כמה זמן נשמר, והאם השילוט וההודעות תואמים את מה שקורה.
• מסמכים מול מציאות: מסמך הגדרות המאגר, רמת האבטחה שנקבעה, הודעת הפרטיות באתר, והאם כל אלה מתארים את המערכות שמצאנו.

התוצר הוא דוח פערים שמדורג לפי סיכון: מה צריך לתקן מיד, מה בשלושת החודשים הקרובים, ומה אפשר לתכנן לשנה. כל פער מקבל אחראי ותאריך.

תיק הגנה לדירקטוריון: מה מקבלים?

תיק ההגנה בנוי כך שאם ישאלו בעוד שנה מה הדירקטוריון עשה, התשובה תהיה מתועדת. הוא כולל חמישה רכיבים:

1. בדיקה טכנית של המערכות, כמתואר למעלה, עם תיעוד של מה נבדק ומתי.
2. מיפוי זרימות מידע: תרשים של המאגרים, מקורות המידע, הספקים והעברות המידע, כולל העברות לחו״ל.
3. מדיניות ונהלים: מדיניות פרטיות ארגונית, נוהל אבטחת מידע, נוהל טיפול בבקשות עיון ותיקון, ונוהל דיווח על אירוע אבטחה.
4. חבילת חומרים לדירקטוריון ופרוטוקול: מצגת קצרה, טיוטת החלטות, ונוסח פרוטוקול שמתעד את הדיון ואת נימוקי ההחלטות, כפי שמצפה הנחיה 1/2024.
5. תוכנית תיקון: רשימת פעולות עם אחראים ותאריכים, ולוח דיונים תקופתיים בדירקטוריון.

ליווי שוטף וממונה הגנת פרטיות חיצוני

תיקון 13 מחייב גופים מסוימים למנות ממונה על הגנת הפרטיות: כל הגופים הציבוריים, וגופים פרטיים שעיסוקם כולל, למשל, עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר או ניטור שיטתי. גם חברה שאינה חייבת במינוי נעזרת לעיתים בממונה, כדי שמישהו יחזיק את התמונה המלאה.

בליווי שוטף אנחנו מכינים את הדיונים התקופתיים בדירקטוריון, עונים לשאלוני ספקים ולקוחות, בודקים מוצרים ותהליכים חדשים לפני שהם עולים, מטפלים בבקשות עיון ומחיקה, ומעדכנים את המסמכים כשהמערכות משתנות. כשמתמנה ממונה חיצוני, תפקידו מוגדר בכתב, כולל גישה להנהלה ולדירקטוריון.

דליפת מידע: 72 השעות הראשונות

תקנה 11(ד) לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז־2017, מחייבת להודיע לרשות להגנת הפרטיות באופן מיידי על אירוע אבטחה חמור, ולדווח על הצעדים שננקטו. לפי הסבר הרשות, מיידי פירושו סמוך ככל האפשר לגילוי, בלי לחכות לסיום התחקיר; מגישים דיווח ראשוני ומשלימים בהמשך. אם חל על החברה גם ה־GDPR האירופי, שם נקבע פרק זמן של 72 שעות להודעה לרשות הפיקוח.

בשעות הראשונות אנחנו עובדים במקביל לצוות הטכני: מסווגים את האירוע, מכינים את הדיווח לרשות, בודקים את ההתחייבויות החוזיות כלפי לקוחות ואת חובת ההודעה למבטח, ומנסחים הודעות לנפגעים כשצריך. הפירוט שלב אחר שלב נמצא בתשובה הייתה דליפת מידע. מה חייבים לעשות ב־72 השעות הראשונות.

וכשהסיכון מתממש

אם מגיע הליך מנהלי מהרשות, תביעה של לקוח או עובד, או דרישה אישית מנושא משרה, אותו משרד שבנה את ההגנה מייצג. עו״ד שמעון צור עוסק בליטיגציה מסחרית ובדיני עבודה מצד המעסיק משנת 2001. ראו אחריות דירקטורים ונושאי משרה וראיות דיגיטליות בליטיגציה.

מחיר, זמנים ומי מטפל

מחיר קבוע, מוסכם מראש בהסכם שכר טרחה, לכל שלב: בדיקה, תיק הגנה, וליווי שוטף. המשרד עובד עם כלי AI משלו לניתוח מסמכים, הגדרות מערכות ותשובות לשאלונים, וזה מה שמאפשר זמן תגובה קצר.

את הצד הטכנולוגי של הבדיקה מנהל אילון צור, משפטן (LL.B), שהוביל תוכניות AI ובניין כוח במשרד הביטחון. הייעוץ המשפטי ניתן על ידי עו״ד שמעון צור.