תיקון 13 לחוק הגנת הפרטיות: המדריך המעשי ל-CISO
תיקון 13 לחוק הגנת הפרטיות, התשמ"א-1981, נכנס לתוקף באוגוסט 2025. זה השינוי המשמעותי ביותר בחוק מאז שנחקק. עד עכשיו האכיפה בתחום הפרטיות בישראל הייתה מוגבלת. התיקון נותן לרשות להגנת הפרטיות כלים אמיתיים, ומעביר את האחריות לארגון: לא מספיק לרשום מאגר, צריך להוכיח שמנהלים ומאבטחים את המידע כראוי.
המדריך נועד למידע כללי בלבד ואינו ייעוץ משפטי. את החובות החלות על הארגון שלכם יש לבחון עם יועץ משפטי ובהנחיות הרשות להגנת הפרטיות (gov.il).
השינויים המרכזיים
1. סמכויות אכיפה ועיצומים כספיים
הרשות להגנת הפרטיות יכולה כעת לפקח, לדרוש מסמכים, לבצע ביקורות ולהטיל עיצומים כספיים על הפרות, ובהן הפרות של תקנות אבטחת המידע. גובה העיצום תלוי בסוג ההפרה ובהיקף המאגר. במאגרים גדולים מדובר בסכומים משמעותיים. במקביל הורחבו העבירות הפליליות והתרופות האזרחיות.
2. הגדרות רחבות יותר
ההגדרה של "מידע אישי" כוללת כל מידע על אדם מזוהה או שניתן לזהותו. נוספה הגדרה של "מידע בעל רגישות מיוחדת", הכוללת בין היתר מידע רפואי, גנטי וביומטרי, מידע על מיקום, עבר פלילי, השקפות ואמונות, ומידע על מצב כלכלי. על מידע כזה חלות דרישות מחמירות יותר.
3. ממונה הגנת פרטיות (DPO)
גופים מסוימים חייבים כעת למנות ממונה הגנת פרטיות, ובהם:
- גופים ציבוריים
- סוחרי מידע (Data brokers)
- ארגונים שעיקר פעילותם כולל ניטור שיטתי של אנשים, או עיבוד מידע רגיש בהיקף ניכר
הממונה נדרש להיות בעל ידע מקצועי, עצמאי מספיק, ולדווח להנהלה. גם ארגון שאינו חייב רשאי למנות ממונה, וזה מומלץ.
4. פחות רישום, יותר אחריותיות
חובת רישום המאגרים צומצמה, ונשארה בעיקר לסוגים מסוימים של מאגרים, כמו מאגרי סוחרי מידע ומאגרים של גופים ציבוריים. בפועל הנטל עבר מרישום טכני לאחריותיות: מיפוי, תיעוד, אבטחה ויכולת להראות את זה לרשות כשהיא מבקשת.
הקשר לתקנות אבטחת המידע (2017)
תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, הן "ספר ההוראות" הטכני, ותיקון 13 הוא מה שנותן להן שיניים. התקנות מסווגות מאגרים לרמות אבטחה:
| רמה | דוגמאות | דרישות עיקריות |
|---|---|---|
| בסיסית | רוב המאגרים העסקיים הרגילים | מסמך הגדרות מאגר, נוהל אבטחה, ניהול הרשאות, הדרכה |
| בינונית | מאגרים עם מידע רגיש, או מאגרים שמטרתם מסירת מידע | בנוסף: סקר סיכונים תקופתי, מבדק, תיעוד אירועים ודיווח על אירוע חמור |
| גבוהה | מאגרים רגישים גדולים במיוחד | בנוסף: סקר סיכונים ומבדקי חדירה תקופתיים, דרישות מחמירות לניטור ולגיבוי |
על אירוע אבטחה חמור במאגר ברמה בינונית או גבוהה יש לדווח לרשות. צריך נוהל שמגדיר מראש מהו אירוע חמור, מי מחליט, ובאיזה לוח זמנים מדווחים.
תוכנית עבודה ל-90 יום
ימים 1–30: מיפוי
- מלאי מאגרים: אילו מאגרי מידע אישי קיימים, היכן הם נמצאים (שרתים, ענן, SaaS, אקסלים), ומי הבעלים העסקי של כל מאגר.
- סיווג: סוג המידע, אם יש מידע רגיש במיוחד, מספר האנשים במאגר, ומכאן רמת האבטחה הנדרשת.
- מיפוי ספקים: אילו ספקים מעבדים מידע אישי עבורכם, והאם יש איתם הסכם עיבוד מידע.
- בדיקת חובת DPO מול יועץ משפטי.
ימים 31–60: מסמכים ובקרות
- מסמך הגדרות מאגר לכל מאגר רלוונטי.
- נוהל אבטחת מידע מעודכן.
- סקירת הרשאות: הרשאה מינימלית, הסרת משתמשים לא פעילים, MFA לגישה מרחוק ולממשקי ניהול.
- נוהל אירועי אבטחה ודיווח לרשות, כולל תרגיל שולחן קצר עם ההנהלה.
- הדרכה לעובדים שיש להם גישה למאגרים.
ימים 61–90: הוכחה ושימור
- סקר סיכונים במאגרים ברמה בינונית ומעלה.
- מבדק או מבדק חדירה לפי הרמה הנדרשת.
- תיקי ראיות: לוגים, אישורי הדרכה, פרוטוקולים של סקירות הרשאות. זה מה שיוצג לרשות.
- דיווח להנהלה: סטטוס, סיכונים פתוחים ותקציב נדרש.
איפה ISO 27001 עוזר
ארגון שמפעיל מערכת ניהול לפי ISO 27001 כבר עושה רוב העבודה: מיפוי נכסים, הערכת סיכונים, ניהול ספקים, ניהול אירועים ומבדקים. ההסמכה לא פוטרת מעמידה בחוק, אבל היא מספקת תהליך מסודר ומתועד, וזה מה שהרשות מחפשת.
שאלות נפוצות
האם עסק קטן צריך לדאוג? כן. החוק חל על כל מי שמחזיק מידע אישי. ההבדל הוא ברמת הדרישות, לא בעצם החובה.
האם צריך להצפין הכל? התקנות לא מחייבות הצפנה גורפת, אבל הצפנה של מידע רגיש, של גיבויים ושל מחשבים ניידים היא דרך פשוטה ויעילה להוריד סיכון.
מה לגבי ענן? האחריות נשארת אצלכם. צריך לבדוק את הסכם השירות, את מיקום המידע, ואת ההגדרות שבאחריותכם.