בחודש אוגוסט 2024 אישרה הכנסת את תיקון 13 לחוק הגנת הפרטיות – רפורמה עמוקה ורחבת היקף שמשנה את כללי המשחק עבור עסקים בישראל. לחץ כאן לקריאה.
עם כניסתו לתוקף באוגוסט 2025, תיקון 13 לא רק מעדכן את ההגדרות של מידע אישי, אלא גם מטיל אחריות חדשה, דרישות דיווח, חובות אבטחה – ובעיקר: חשיפה מוגברת לקנסות ולתביעות.
במציאות הזו, ביטוח סייבר (לינק לעמוד סייבר ראשי) כבר לא בגדר המלצה. הוא הפך לכלי קריטי בהגנה על כל עסק שמעבד מידע אישי.
המאמר שלפניכם הוא הראשון בסדרה מקצועית העוסקת בהשלכות של תיקון 13 לחוק הגנת הפרטיות על עסקים וארגונים בישראל.
בכל אחד מהמאמרים נבחן זווית אחרת של החוק החדש – החל מהשפעותיו על אבטחת מידע ותהליכי עיבוד, דרך שאלות של אחריות ניהולית, ועד פתרונות אפשריים להתמודדות עם הסיכונים החדשים.
בפרק זה נעסוק בחיבור שבין תיקון 13 ובין ביטוח סייבר. בפרקים הבאים נדון גם באחריות האישית של דירקטורים ונושאי משרה, בסיכונים בתחום הבריאות והפארמה, ובהשלכות על יועצים מקצועיים, יצרני מערכות מידע, וגופים פיננסיים.
תיקון 13 לחוק הגנת הפרטיות – מה השתנה בפועל?
תיקון 13 מביא את ישראל אל העידן של רגולציית פרטיות מודרנית, בדומה ל-GDPR האירופי.
בין העדכונים המרכזיים:
- הגדרת "מידע אישי" הורחבה משמעותית, וכוללת כיום גם מזהים טכנולוגיים כמו IP, נתוני מיקום, ומידע שניתן לגזור ממנו זהות גם בעקיפין.
- מידע רגיש במיוחד קיבל מעמד עצמאי בחוק – מידע גנטי, ביומטרי, פלילי, נתוני תעבורה ואחרים.
- החובה לרשום כל מאגר מידע בוטלה כמעט לגמרי, אך במקומה נכנסה חובת דיווח למאגרים גדולים או רגישים.
- ממונה על הגנת הפרטיות (DPO) נדרש כעת בגופים רבים – בדומה לדרישות באירופה.
- הרחבת סמכויות הרשות להגנת הפרטיות, כולל עיצומים כספיים של מאות אלפי שקלים, סמכויות פיקוח, וחקירה.
המשמעות לעסקים – הסיכון המשפטי והרגולטורי מתרחב
בין אם מדובר בסטארט-אפ קטן עם מערכת הרשמה באתר, ובין אם זו חברה עם אלפי לקוחות ומערכות CRM מתקדמות – הסיכון החדש חל על כולם.
הגדרת המידע כ"רגיש" או "אישי" לפי תיקון 13, מטילה חובת זהירות שלא הייתה קודם לכן.
עסק שאינו עומד בחובות החוק, גם אם לא מתוך רשלנות אלא מתוך חוסר מודעות, עלול למצוא את עצמו מתמודד עם דרישה לפיצוי – גם ללא הוכחת נזק – או חקירה רגולטורית יזומה.
וזה עוד לפני שדיברנו על פריצה, דליפת מידע, או תביעה ייצוגית מצד לקוחות.
כיצד ביטוח סייבר נותן מענה לתיקון 13?
ביטוח סייבר נועד בדיוק לרגעים כאלה – לא רק כאשר הארגון סובל ממתקפת כופר או פריצה למיילים, אלא גם כאשר הוא נדרש לעמוד מול רגולטור, לשלם קנס, ליידע ציבור שלם על דליפה, או להפעיל צוות משפטי ויח"צ.
הכיסויים הרלוונטיים כוללים:
- מימון חקירה משפטית ורגולטורית בעקבות הפרת פרטיות
- ניהול משבר ותגובה מהירה – כולל דיווח לנפגעים, אבטחת מערכות, ויחסי ציבור
- כיסוי תביעות ייצוגיות או אישיות מצד נושאי מידע
- בחלק מהמקרים – החזר עיצומים כספיים, בכפוף לחוק ולכיסוי שנרכש
עסק עם ביטוח סייבר מתאים, פועל בביטחון ובמהירות גם במצבי קיצון. עסק ללא ביטוח – לעיתים מגלה את הסיכון מאוחר מדי.
מה קורה אם אין ביטוח סייבר? תרחישים שכיחים מהשטח
במציאות החדשה של תיקון 13, גם אירועים קטנים יכולים להפוך למשבר משפטי ורגולטורי. הנה כמה דוגמאות נפוצות:
- פורץ לשרת? גם דליפת כתובות מייל או שמות מספיקה כדי להפעיל חובת דיווח לרשות – ולעיתים גם לתביעה ייצוגית.
- עובד שלח קובץ לא נכון? מדובר בהפרה שעלולה להיחשב כחשיפת מידע אישי, ולגרור עיצום כספי.
- שכחתם למנות ממונה פרטיות? זה בפני עצמו עלול להיחשב כהפרת חוק.
- CRM לא מעודכן? אם המערכת שומרת מידע שלא נדרש יותר, או שאינה עומדת בתקני אבטחת מידע, הסיכון כפול – גם רגולטורי וגם משפטי.
- אפליקציה שאוספת מיקום בלי יידוע? הפרה של חובת השקיפות והיידוע עשויה להיחשב עילה לפיצוי גם בלי נזק בפועל.
סיכום והמלצה: תיקון 13 כבר כאן – כך תיערכו נכון
תיקון 13 לחוק הגנת הפרטיות משנה את כללי המשחק. הוא מחייב כל ארגון בישראל שמעבד מידע אישי – לא רק חברות טכנולוגיה, אלא גם קמעונאות, בריאות, חינוך, שירותים ועוד – להיערך לרגולציה חדשה, ולפעול בהתאם לסטנדרטים מחמירים של אבטחת מידע ושקיפות.
כדי להיערך בצורה נכונה, מומלץ לכל ארגון:
- למפות את מאגרי המידע שברשותו – ולבדוק אילו מהם עשויים לדרוש דיווח לרשות או מינוי ממונה.
- למנות ממונה על הגנת פרטיות (DPO) – בגופים החייבים לפי החוק, או בהתנדבות כצעד ניהולי נכון.
- לעדכן מסמכי מדיניות – כגון מדיניות פרטיות, נהלים פנימיים ונוהלי אבטחת מידע.
- לקיים הדרכות לעובדים – בפרט למי שמטפל במידע אישי.
- להתייעץ עם משרד עורכי דין המתמחה בפרטיות ואבטחת מידע – כדי להבין את החובות המעשיות ולבנות תוכנית ציות.
- לבחון מחדש את חוזי השירות מול ספקים חיצוניים – במיוחד אם הם מעבדים מידע בשם הארגון.
והכי חשוב – לא לחכות לאוגוסט 2025. ההיערכות צריכה להתחיל כעת.
במאמר הבא בסדרה – נדבר על מי שנמצאים בחזית האחריות – הדירקטורים ונושאי המשרה. נבחן מה החוק דורש מהם באופן אישי, מתי הם עשויים להיתבע על הפרות פרטיות – ואיך ביטוח דירקטורים ונושאי משרה (D&O) יכול להוות חומת הגנה מול סיכונים חדשים שלא נלקחו בחשבון עד היום.