היערכות ארגונים לתיקון 13 לחוק הגנת הפרטיות: חובות חדשות, מינוי ממונה הגנת פרטיות ולוחות זמנים

בעולם שבו עיבוד מידע אישי הפך לחלק בלתי נפרד מכל פעילות עסקית, הגנת הפרטיות אינה עוד עניין שולי. תיקון 13 לחוק הגנת הפרטיות, שאושר במליאת הכנסת באוגוסט 2024, מביא עמו שינויים מהותיים שמשפיעים על כלל הגופים המעבדים מידע בישראל. מדובר ברפורמה רחבת היקף שמטרתה להתאים את החקיקה הישראלית לסטנדרטים הבינלאומיים, ובראשם תקנת ה-GDPR האירופאית. כל ארגון שמחזיק במאגרי מידע נדרש להבין את המשמעויות הנובעות מכך ולהיערך בהתאם, עוד לפני כניסת התיקון לתוקף בצפי אוגוסט 2025.

מה משתנה בהגדרות היסוד?

אחד השינויים הבולטים שמביא התיקון נוגע לעדכון

מונחי הבסיס שעליהם בנוי כל המשטר המשפטי בתחום. המונח "מידע" הוחלף במונח "מידע אישי", שהוא רחב יותר ומכיל כל נתון הנוגע לאדם מזוהה או לאדם הניתן לזיהוי, גם בעקיפין ובמאמץ סביר. לצד זאת, הוגדרה קטגוריה חדשה של "מידע בעל רגישות מיוחדת", שכוללת נתונים כמו מידע רפואי, גנטי, מזהים ביומטריים, נטייה מינית, דעות פוליטיות ועבר פלילי.

שינויים נוספים נוגעים להגדרות של "בעל שליטה" ו"מחזיק" במאגר מידע, בהתאם לשימוש הרווח בחקיקה הבינלאומית. בעל שליטה הוא מי שקובע את מטרות עיבוד המידע, ואילו מחזיק הוא גורם חיצוני שמעבד את המידע בעבורו. הבחנה זו קריטית, שכן החובות החלות על כל אחד מהם שונות.

צמצום חובת הרישום ותחליפה: חובת ההודעה

בניגוד לציפיה שרפורמה בתחום הפרטיות תכביד על ארגונים, תיקון 13 לחוק הגנת הפרטיות מפחית בפועל את חובת הרישום של מאגרי מידע אצל הרשות להגנת הפרטיות. מעתה, רק שני סוגים של מאגרים יחויבו ברישום: מאגרים שמטרתם המרכזית היא מסחור מידע אישי על יותר מ-10,000 אנשים, ומאגרים של גופים ציבוריים.

במקביל, התיקון מוסיף חובה חדשה שנקראת חובת ההודעה. לפי חובה זו, בעל שליטה במאגר הכולל מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם, ואינו חייב ברישום, מחויב להודיע לרשות על קיום המאגר. ההודעה תכלול פרטים מזהים של בעל השליטה, פרטי הממונה על הגנת הפרטיות והעתק ממסמך הגדרות המאגר. לוח הזמנים: 30 ימים מרגע שמתקיימים התנאים המחייבים הודעה.

חובת מינוי ממונה על הגנת הפרטיות: מי מחויב ומה תפקידו?

אחד החידושים המשמעותיים ביותר בתיקון הוא קביעת חובה לגופים מסוימים למנות ממונה על הגנת הפרטיות. עד כה, מינוי כזה היה וולונטארי לחלוטין. החל ממועד כניסת התיקון לתוקף, מינוי ממונה הגנת פרטיות יהפוך לחובה משפטית עבור מספר קטגוריות של גופים.

מי מחויב במינוי?

הגופים שיחויבו במינוי כוללים שלוש קבוצות עיקריות. הקבוצה הראשונה היא בעלי שליטה במאגרים החייבים ברישום. הקבוצה השנייה כוללת גופים שעיסוקם העיקרי כרוך בפעולות עיבוד מידע הדורשות ניטור שוטף ושיטתי של בני אדם בהיקף ניכר. הקבוצה השלישית כוללת גופים שעיסוקם העיקרי הוא עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר, כגון תאגידים בנקאיים, מבטחים, בתי חולים וקופות חולים.

מה תפקיד הממונה?

הממונה על הגנת הפרטיות יהיה אחראי על מעקב שוטף אחר יישום הוראות החוק, ישמש כנקודת קשר מול הרשות, יטפל בפניות נושאי מידע וידווח להנהלה על ממצאיו. הוא גם יוודא שקיים נוהל אבטחת מידע תקף ומסמך הגדרות מאגר מעודכן.

שקיפות כלפי נושאי מידע וחובות יידוע מורחבות

תיקון 13 לחוק הגנת הפרטיות מרחיב גם את חובות היידוע של ארגונים כלפי האנשים שמידע עליהם מוחזק. בעבר, נדרשה הודעה על מטרת איסוף המידע ועל זכויות המסירה. כעת, ההודעה צריכה לכלול גם את תוצאות הסירוב למסור מידע, פרטי יצירת קשר עם בעל השליטה, ואת זכויות העיון והתיקון של נושא המידע.

חובה זו נגזרת מעיקרון השקיפות שעומד בבסיס הרגולציה המודרנית, ומשקפת הסכמה גוברת שאנשים צריכים לדעת לא רק שמידע אודותיהם נאסף, אלא גם מה ייקרה אם יסרבו לשתף פעולה.

סמכויות אכיפה מורחבות ועיצומים כספיים

השינוי שעשוי להרגיש הכי מוחשי עבור ארגונים נוגע להרחבת סמכויות הרשות להגנת הפרטיות. ראש הרשות יוכל להטיל עיצומים כספיים בגין הפרת הוראות החוק, שעשויים להגיע לסכומים של מאות אלפי שקלים ואף מיליונים בנסיבות מסוימות. בנוסף, ניתנה לרשות האפשרות לפנות לבית המשפט בבקשה להוציא צו להפסקת פעולות עיבוד מידע.

על מנת להיערך כראוי לעידן האכיפה החדש, מומלץ לפנות לגורמי מומחיות כגון משרד עורכי דין המתמחה בדיני פרטיות, שמלווה ארגונים בתהליכי התאמה לדרישות הרגולציה. בנוסף, נוספו לחוק גם עבירות עונשיות חדשות, ובתי משפט יוכלו לפסוק פיצויים לדוגמא של עד 10,000 שקלים גם בתביעות הנוגעות למאגרי מידע ועיבוד מידע אישי, גם ללא הוכחת נזק ממשי.

כיצד על ארגונים להיערך?

תיקון 13 לחוק הגנת הפרטיות כולל לוחות זמנים ברורים, וחלון ההיערכות עד אוגוסט 2025 קצר יחסית. ארגונים שכבר ביצעו בחינה של עמידתם בדיני הפרטיות בעבר, יידרשו לבחינה מחודשת שמתחשבת בשינויים שהתיקון מביא.

ההיערכות הנדרשת כוללת כמה צעדים מרכזיים: בחינת חובת הרישום לאור הכללים החדשים, בדיקת הצורך בהגשת הודעה לרשות, עדכון הודעות הפרטיות שמוצגות לנושאי מידע, בחינת הצורך במינוי ממונה הגנת פרטיות, ועדכון נוהלי אבטחת המידע. לארגונים שאינם בטוחים בנוגע להיקף חובותיהם, תיקון 13 לחוק הגנת הפרטיות מאפשר לפנות לרשות לשם קבלת חוות דעת מקדמית. מדובר בכלי חדש שלא היה קיים בעבר, ומאפשר לקבל עמדה מוסמכת לפני שמתחילים בפעילות שיש לגביה אי בהירות.