תחולה ומועד כניסה לתוקף
תיקון 13 לחוק הגנת הפרטיות, התשמ"א‑1981, אושר בכנסת באוגוסט 2024 ופורסם ברשומות. הוא נכנס לתוקף ב‑14 באוגוסט 2025 והוא הרפורמה המקיפה הראשונה מאז חקיקת החוק לפני ארבעה עשורים. פרסומי הרשות להגנת הפרטיות מדגישים כי מדובר בתיקון משמעותי שנועד להתאים את הדין הישראלי לסטנדרטים הבינלאומיים ובהם תקנות ה‑GDPR האירופאיות. בתמצית: החל מיום 14.8.2025 חלות החובות והזכויות החדשות של בעלי מאגרי מידע, מחזיקים ויחידים, אך ברשות הודיעו על מדיניות "אי‑אכיפה זמנית" ביחס לחובת מינוי ממונה הגנת פרטיות עד 31 באוקטובר 2025 – ארכה שמאפשרת השלמת הליכי מינוי אך אינה דוחה את שאר החובות.
מהות השינויים המרכזיים
התיקון מתמקד בשלושה צירים עיקריים: עדכון ההגדרות והוראות הליבה, הרחבת סמכויות הפיקוח והאכיפה, והטלת חובות חדשות על ארגונים.
עדכון ההגדרות וחובות הליבה
- הגדרות חדשות למידע אישי ולמידע בעל רגישות מיוחדת – החוק מרחיב את המונח "מידע אישי" כך שכולל כל נתון שניתן לזיהוי במאמץ סביר, לרבות מזהים מקוונים (IP) ומזהים אחרים. הגדרת "מידע בעל רגישות מיוחדת" מחליפה את המונח הישן "מידע רגיש" וכוללת קטגוריות רחבות כגון מידע רפואי וגנטי, העדפות מיניות, דעות פוליטיות, הערכות פסיכולוגיות, נתוני מיקום ונתוני שכר. שינוי זה מחייב ארגונים לזהות האם הם מחזיקים מידע כזה וליישם הגנות מחמירות יותר.
- צמצום חובת רישום מאגרי מידע והטלת חובת הודעה – התיקון מבטל את חובת הרישום בפנקס המאגרים עבור רוב הגופים, פרט לגופים ציבוריים ול"סוחרי מידע". במקום זאת, קיימת חובת הודעה לרשות במקרים שבהם בעל המאגר מעבד מידע בעל רגישות מיוחדת לגבי יותר מ‑100 אלף נושאי מידע – עליו לדווח לרשות בתוך 30 יום ולמסור את פרטי הממונה על הגנת הפרטיות אם קיים. ביטול הרישום מקל על גופים רבים אך אינו פוטר מחובת ניהול מאגר אחראי.
- חובת גילוי ויידוע מוגברות – ארגונים נדרשים למסור לנושאי המידע הודעת פרטיות מפורטת כבר בעת איסוף המידע: מהי החובה החוקית או המסירה מרצון, מהן מטרות העיבוד, מי בעל השליטה במאגר, אילו עברות מידע מתוכננות, מהן תוצאות סירוב ומה הן זכויות העיון והתיקון. התיקון מחזק גם את עיקרון "צמידות המטרה" – איסור לעבד מידע בניגוד למטרה שהוגדרה כדין.
- הרחבת עילות התביעה והחשיפה האזרחית – תקופת ההתיישנות לתביעות אזרחיות הורחבה משנתיים לשבע שנים. בתי המשפט יכולים לפסוק פיצויים ללא הוכחת נזק בגין הפרות שונות, כגון אי‑יידוע, עיבוד שלא בהתאם למטרה, או אי‑מימוש זכות עיון. החוק מאפשר גם אחריות אישית של מנכ"ל וחברי ועד בעמותות.
הרחבת סמכויות פיקוח ואכיפה
- עיצומים כספיים וצעדים מנהליים – לרשות להגנת הפרטיות סמכות להטיל עיצומים כספיים משמעותיים, במיוחד בגין הפרות חמורות או חוזרות. הסכומים יכולים להגיע למיליוני שקלים. חלק מהעיצומים אינם ניתנים לריפוי – כלומר אין אפשרות לצמצם את הקנס ע"י תיקון בדיעבד. בנוסף, ניתן לפרסם לציבור את פעולות האכיפה, דבר שמעצים את הסיכון לפגיעה במוניטין.
- סמכויות חקירה וצו שיפוטי – הרשות רשאית לבצע ביקורות, חקירות יזומות ופעולות אכיפה רוחביות. היא יכולה לפנות לבית משפט ולבקש צו שיפוטי שיאסור עיבוד מידע אישי או יורה על מחיקתו במקרה של הפרה.
- עדכון עבירות פליליות – התיקון מוסיף עבירות פליליות כגון הטעיית הרשות או קבלת מידע במרמה.
חובת מינוי ממונה על הגנת הפרטיות (DPO)
התיקון קובע חובת מינוי DPO בחוק לראשונה, בדומה לחובות ב‑GDPR. החובה חלה על קטגוריות ספציפיות של גופים:
- גופים ציבוריים (למעט גופים ביטחוניים) – כל גוף ציבורי או גוף שמחזיק במאגר מידע של גוף ציבורי.
- ארגונים הסוחרים במידע – בעלי שליטה במאגר מידע שמאחסנים מידע על יותר מ‑10 אלף אנשים ומטרת המאגר היא סחר במידע. בכך נכללות חברות data‑broker, חברות enrichment ושיווק ממוקד, ואף חברות השמת כוח אדם.
- ארגוני פיקוח ומעקב – גופים שעיבוד המידע שלהם דורש ניטור שוטף ושיטתי של בני אדם (מיקום, התנהגות וכו').
- ארגונים המעבדים מידע בעל רגישות מיוחדת בהיקף ניכר – למשל בנקים, חברות ביטוח, בתי חולים וקופות חולים.
ה‑DPO חייב להיות בעל ידע בדיני פרטיות, בהבנה טכנולוגית ובאבטחת מידע; עליו לפעול ללא ניגוד עניינים ולדווח ישירות להנהלה. ארגונים שאינם מחויבים רשמית במינוי DPO יכולים לאמץ מינוי וולונטרי לשם הטמעת תרבות פרטיות ושיתוף פעולה מיטבי עם הרשות.
הכנת ארגון ועמידה בדרישות
לאור הרחבת הסמכויות והחובות, על ארגונים לבצע היערכות יסודית ומידית. בין הצעדים המומלצים:
- מיפוי מאגרי מידע – לזהות את המאגרים, לסווגם בהתאם לדרישות החוק החדשות ולתעד אותם ברישומים פנימיים.
- עדכון מדיניות ונהלים – לעדכן מסמכי פרטיות, הסכמות, נהלי גישה ונהלי טיפול במידע לפי העקרונות החדשים.
- בחינת חובת מינוי DPO – לבדוק אם חלה חובה לאור הקטגוריות שפורטו; במידת הצורך למנות DPO פנימי או חיצוני ולוודא שאין ניגוד עניינים.
- חיזוק מנגנוני בקרה והדרכה – ליישם פיקוח שוטף, תיעוד ודיווח להנהלה ולדירקטוריון; לבצע הדרכות לעובדים בנושא פרטיות, אבטחת מידע ותגובה לאירועי אבטחה.
- הערכות לאכיפה – להכין תרחישים של ביקורת או חקירה ולהקים צוותי תגובה מתאימים; לעקוב אחר עדכוני הרשות ומדריכים מקצועיים שהופצו.
- תקשורת עם הרשות והציבור – לוודא פרסומים שקופים ולערוך הודעות פרטיות בהתאם; במקרים של מאגרי מידע רגישים גדולים, לדווח לרשות בתוך 30 יום.
נקודות חשובות
- מבחינים בין "בעל שליטה" ל"מחזיק" – בעל השליטה הוא מי שקובע את מטרות העיבוד ואופן העיבוד; המחזיק הוא מי שמעבד את המידע בשם בעל השליטה. התיקון מרחיב את הגדרת "מחזיק" כך שהיא כוללת גם מי שמספק שירותי עיבוד עבור גוף אחר.
- מנגנון חוות דעת מקדמית – ניתן לפנות לרשות לקבל חוות דעת מקדמית בנוגע לשאלות ציות והתאמה לחוק.
- סנקציות פליליות – הכוונה להטעות את הרשות או להוציא מידע במרמה מנושא מידע הוגדרה כעבירה פלילית.
- חובת מסירת פרטי DPO לציבור – ארגונים החייבים במינוי DPO נדרשים לפרסם את פרטי ההתקשרות עם הממונה כדי לאפשר פנייה ישירה של נושאי מידע.
- הגדרת מידע רגיש – המונח החדש "מידע בעל רגישות מיוחדת" כולל מידע משפחתי, נטייה מינית, מידע רפואי, דעות פוליטיות, נתוני מיקום ותקשורת, נתונים ביומטריים, מקור אתני, מידע פיננסי ומידע החסוי בדין.
- חובת הודעה לרשות – בעל מאגר שמכיל מידע רגיש במיוחד על יותר מ‑100 אלף אנשים חייב להודיע לרשות בתוך 30 יום מהתקיימות התנאים.