הגנת פרטיות ואבטחת מידע: המדריך להתאמת ארגונים לתיקון 13

מה השתנה בעקבות תיקון 13?

תיקון 13 אינו רק שינוי טכני במרשם מאגרי המידע. הוא מחזק את תפיסת האחריותיות: האחריות להכיר את המידע, למפות את הסיכונים ולהוכיח שהארגון פועל בהתאם לדין נמצאת אצל הארגון עצמו.

אחת מנקודות המפתח היא הגדרת "מידע אישי" באופן רחב כנתון הנוגע לאדם מזוהה או לאדם הניתן לזיהוי. לצד זאת קיימת בחוק קטגוריה של מידע אישי בעל רגישות מיוחדת, שלה משמעות בהקשרים רגולטוריים שונים.

השלב הראשון: מיפוי מידע ולא ניסוח מסמכים

טעות נפוצה היא להתחיל בפרויקט פרטיות באמצעות כתיבת מדיניות. בפועל, קשה לנסח מסמך מדויק לפני שיודעים מה קורה במערכות הארגון. לכן נקודת הפתיחה הנכונה היא מיפוי.

רישום מאגר, חובת הודעה או אף אחד מהם?

אחד השינויים הבולטים בתיקון 13 הוא ביטול חובת הרישום הכללית שהייתה נהוגה בעבר והותרת חובת רישום לסוגי מאגרים שהחוק מגדיר. לכן העובדה שלארגון יש מאגר מידע אינה מובילה עוד אוטומטית למסקנה שעליו לרשום אותו.

במקביל נוצר מסלול של חובת הודעה לרשות: כאשר מאגר שאינו חייב ברישום כולל מידע אישי בעל רגישות מיוחדת על יותר מ־100,000 נושאי מידע, בעל השליטה נדרש, בין היתר, להודיע לרשות בתוך 30 ימים מהמועד שבו התקיים התנאי ולהעביר העתק ממסמך הגדרות המאגר.

ממונה על הגנת הפרטיות – DPO

תיקון 13 יצר חובת מינוי ממונה על הגנת הפרטיות בשורה של גופים. לפי הרשות, החובה חלה בין היתר על גופים ציבוריים ועל ארגונים נוספים שפעילותם עונה לתנאים הקבועים בחוק, לרבות פעילויות מסוימות הכרוכות באיסוף מידע לשם מסירתו לאחרים או בעיבוד מידע בהיקף ובאופי היוצרים סיכון גבוה לפרטיות. יש לבדוק את תחולת הסעיף ביחס למאפייני הארגון הספציפי.

בגילוי הדעת הסופי שפרסמה הרשות ביולי 2026 הודגש כי תפקיד הממונה אינו רק "לסמן וי" על הוראות החוק. הממונה אמור לקדם תרבות פרטיות, לייעץ להנהלה ולעובדים, לבקר עמידה בדרישות, לטפל בפניות נושאי מידע ולשמש גורם קשר מול הרשות. הרשות מדגישה גם צורך בידע בדיני פרטיות, הבנה מתאימה בטכנולוגיה ואבטחת מידע והיכרות עם פעילות הארגון.

תקנות אבטחת המידע: החיבור בין משפט לטכנולוגיה

תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז–2017, הופכות את חובת ההגנה על מידע לשורה של דרישות תפעוליות. בין היתר הן עוסקות במסמך הגדרות המאגר, נוהל אבטחה, הרשאות, זיהוי ואימות, תיעוד אירועים, התקנים ניידים, ניהול מאובטח ומעודכן של מערכות, גיבויים, ספקים וביקורות – בהתאם לרמת האבטחה ולמאפייני המאגר.

הרשות מבהירה, לדוגמה, כי הרשאות גישה צריכות להינתן לעובד רק במידה הנדרשת לתפקידו וכי יש לנהל רשימת הרשאות מעודכנת. במאגרים ברמת אבטחה בינונית או גבוהה קיימת גם חובת הדרכה תקופתית לבעלי הרשאות אחת לשנתיים לפחות.

שלוש רמות אבטחה – לא כל מאגר מטופל באותה דרך

התקנות מבחינות בין רמות אבטחה שונות. סיווג שגוי עלול לגרום לכך שהארגון מיישם סט בקרות שאינו מתאים למאגר. לכן לפני שמחליטים אילו אמצעים נדרשים, צריך להבין את מאפייני המאגר, סוגי המידע, מספר בעלי ההרשאות, מטרת העיבוד והיקפו.

מדיניות פרטיות: לא להעתיק נוסח מאתר אחר

מדיניות פרטיות טובה צריכה לשקף את הפעילות האמיתית. מסמך כללי שמצהיר כי "אנו מכבדים את פרטיותך" אך אינו תואם את מערכות הארגון, הטפסים, כלי האנליטיקה, הספקים או מטרות השימוש במידע אינו פותר את הבעיה.

בעת ניסוח מדיניות יש לבחון, לפי העניין, איזה מידע נאסף, מה מקורו, מטרות השימוש, האם קיימת מסירת מידע לצדדים שלישיים, כיצד ניתן לפנות לארגון, אילו טכנולוגיות מעקב פועלות באתר, מה נעשה במידע של מועמדים ועובדים, ומהם התהליכים לטיפול בבקשות נושאי מידע.

ספקים חיצוניים: המידע יצא מהשרת – האחריות לא נעלמה

ארגונים רבים מעבירים מידע לספקי SaaS, שירותי ענן, מוקדים, מערכות דיוור, חברות שכר, שירותי תמיכה ומפתחים. התקשרות כזו אינה רק החלטת רכש. היא חלק ממערך ניהול הפרטיות ואבטחת המידע.

לפני התקשרות עם ספק שיש לו גישה למידע אישי, יש למפות את המידע וההרשאות, לבדוק את הצורך בגישה, לבחון אמצעי אבטחה רלוונטיים ולעגן בהסכם את ההתחייבויות המתאימות. במהלך ההתקשרות יש לנהל את הספק ולא להסתפק בבדיקה שנעשתה ביום החתימה.

אירוע סייבר הוא גם אירוע משפטי

כאשר מתרחשת חדירה, הצפנה, דליפה, שימוש בלתי מורשה או חשד לגישה למידע, הצוות הטכנולוגי פועל לבלימה ולשחזור. במקביל יש לבצע הערכה משפטית: איזה מאגר נפגע, מה רמת האבטחה שלו, איזה מידע היה חשוף, האם מדובר באירוע אבטחה חמור והאם קיימת חובת דיווח.

הרשות מפעילה שירות לדיווח מיידי על אירוע אבטחה חמור. לפי הנחיותיה, במאגר ברמת אבטחה בינונית, בין היתר, שימוש ללא הרשאה בחלק מהותי מהמאגר או פגיעה בשלמות מידע בחלק מהותי עשויים להפעיל את חובת הדיווח. במאגר ברמת אבטחה גבוהה גם כניסה למערכות באופן שנתן גישה למידע ללא הרשאה עשויה להיכנס להגדרת האירוע המחייב דיווח, בהתאם לנסיבות.

מי צריך להיות בחדר בזמן אירוע?

עובדים והרשאות: הרבה אירועים מתחילים מבפנים

אבטחת מידע אינה רק Firewall. עובד שמחזיק הרשאות רחבות מדי, חשבון של עובד שעזב ולא בוטל, שיתוף סיסמה, שליחת קובץ לנמען שגוי או שימוש בשירות ענן פרטי – כל אלה עשויים ליצור חשיפה.

המדריך הרשמי לתקנות מדגיש את עקרון ההרשאה לפי צורך תפקידי, ניהול רשימת הרשאות וביטול הרשאות עם סיום תפקיד. התקנות כוללות גם דרישות הדרכה, ובמאגרים ברמות אבטחה בינונית וגבוהה נדרשת הדרכה תקופתית לפחות אחת לשנתיים.

ומה לגבי AI?

כלי בינה מלאכותית מוסיפים שכבה חדשה למפת הפרטיות. עובד שמעלה מסמך לקוח, קובץ עובדים, הסכם או רשימת לידים למערכת AI חיצונית עשוי ליצור זרימת מידע שלא נכללה בתהליך המקורי של הארגון.

לכן מדיניות AI צריכה להתחבר למדיניות הפרטיות ולאבטחת המידע: אילו כלים מאושרים, איזה מידע אסור להזין, האם נדרשת אנונימיזציה, מי מאשר שימוש חדש, כיצד נבדקים תנאי השירות ומה קורה כאשר מערכת AI משולבת בתוך מוצר קיים.

איך נראה פרויקט התאמה מעשי לתיקון 13?

מה ההנהלה צריכה לראות?

הנהלה אינה צריכה לקבל רשימה של עשרות סעיפי חוק. היא צריכה תמונת מצב ניהולית: איפה הסיכון, מי אחראי ומה עדיין פתוח.

טעויות נפוצות בהתאמת ארגון

ציות הוא תהליך מתמשך

ארגון יכול להיות מותאם היום ולהתרחק מהדרישות בתוך חודשים. מערכת CRM חדשה, ספק ענן, רכישה של חברה, קמפיין שיווקי, מצלמות, אפליקציה, כלי AI או שינוי בתהליך גיוס עובדים – כל אחד מהם יכול לשנות את מפת המידע ואת רמת הסיכון.

לכן יש לקבוע טריגרים לבדיקה מחדש: מערכת חדשה, שינוי מטרת עיבוד, קטגוריית מידע חדשה, ספק חדש, אירוע אבטחה, שינוי מהותי בכמות נושאי המידע או שינוי רגולטורי.

שאלות ותשובות