תיקון 13 לחוק הגנת הפרטיות: מה בעל אתר קטן צריך לעשות בפועל

תיקון 13 לחוק הגנת הפרטיות עבר בכנסת ב-5 באוגוסט 2024 ונכנס לתוקף ב-14 באוגוסט 2025. הוא נכתב בעיקר על גופים גדולים: בנקים, קופות חולים, סוחרי מידע. אבל יש בו כמה סעיפים שנוגעים ישירות לאתר של עסק קטן, שיש בו טופס יצירת קשר, הרשמה לניוזלטר או חנות. הכתבה מרכזת אותם לפי המדריך המקצועי של הרשות להגנת הפרטיות, ואינה ייעוץ משפטי: את המקרה הספציפי של העסק בודקים עם עורך דין.

החדשות הטובות: רוב העסקים הקטנים כבר לא צריכים לרשום מאגר

לפני התיקון, מאגר מידע של עסק היה חייב ברישום ברשם מאגרי המידע ברוב המקרים, ורוב העסקים הקטנים פשוט לא רשמו. לפי המדריך, חובת הרישום נשארת לגופים ציבוריים (למעט מאגר שמכיל רק מידע על עובדיהם) ולעסקים שעיקר פעילותם איסוף מידע אישי לצורך מסירתו לאחר בתמורה, כולל דיוור ישיר, כשהמאגר כולל 10,000 אנשים או יותר. לשאר המגזר הפרטי הרישום בוטל ברובו.

במקומו נוספה חובת יידוע חדשה, אבל גם היא לא לעסק הקטן הטיפוסי: מי שמחזיק מאגר שאינו חייב ברישום ומכיל מידע רגיש על יותר מ-100,000 אנשים, חייב להודיע לרשות בתוך 30 ימים, עם פרטי הקשר שלו, פרטי ממונה הפרטיות (אם נדרש) ועותק ממסמך הגדרות המאגר. חנות קטנה עם כמה אלפי לקוחות לא מגיעה לשם.

לשכת המסחר, בסיכום שלה, ממליצה לעסקים לנצל את ההזדמנות למיפוי: לדעת אילו מאגרים יש להם, איזה מידע נשמר בכל אחד, להפחית מידע מיותר, ולבדוק אם מאגר שנרשם בעבר כבר אינו חייב ברישום.

החובה שנוגעת לכל טופס: סעיף 11

כאן נמצאת החובה שהכי רלוונטית לאתר. לפי המדריך, מי שמבקש מאדם מידע אישי כדי לשמור אותו במאגר חייב להודיע לו:

1. אם חלה עליו חובה חוקית למסור את המידע או שהמסירה תלויה ברצונו, ומה יקרה אם יסרב.
2. לאיזו מטרה המידע מתבקש.
3. למי המידע יימסר ולאיזו מטרה.
4. שיש לו זכות לעיין במידע עליו (סעיף 13 לחוק).
5. שיש לו זכות לבקש את תיקון המידע (סעיף 14 לחוק).

בשפה של אתר: ליד כל טופס שאוסף שם, טלפון או כתובת דוא״ל צריך משפט קצר שאומר למה המידע נאסף, שהמסירה מרצון (אם היא כזאת), למי הוא מועבר (למשל לספק הדיוור או למערכת ההזמנות), וקישור לעמוד הפרטיות שבו מופיעות הזכויות לעיון ולתיקון. לשכת המסחר מנסחת זאת כחובה לעדכן את מדיניות הפרטיות ולקשר אליה ״בכל מקום שבו מתבקש מידע אישי״.

הנקודה המעשית שרבים מפספסים היא השלישית: כלי צד שלישי. ניוזלטר דרך שירות דיוור, צ׳אט באתר, טופס שמוזרם לגיליון בענן, פיקסל של רשת חברתית. כל אחד מהם הוא ״מסירה״ של מידע לגורם אחר, והוא צריך להופיע בהודעה ובמדיניות. על הצד הזה, מי מחזיק את המידע שלכם ומה בשליטתכם, ראו גם מה באמת שלכם ברשת.

ממונה הגנת פרטיות: לא לכל עסק

התיקון מחייב מינוי ממונה הגנת פרטיות (DPO) בארבעה מצבים, לפי המדריך: גופים ציבוריים (משרדי ממשלה, רשויות מקומיות, קופות חולים, בתי חולים, אוניברסיטאות); עסקים שעיקר פעילותם איסוף מידע לצורך מסירה בתמורה, במאגר של יותר מ-10,000 אנשים; גופים שעיקר פעילותם ניטור שיטתי בקנה מידה גדול (המדריך מזכיר חברות סלולר ומנועי חיפוש); וגופים שעיקר פעילותם עיבוד מידע רגיש בקנה מידה גדול. עסק קטן שמחזיק רשימת לקוחות לצורך שירות ומכירה אינו באף אחת מהקטגוריות האלה. מינוי ממונה מרצון אפשרי, והמדריך מונה אותו גם בין הנסיבות שמקטינות סנקציה.

אבטחת מידע: רמות, ולא רק כוונות

תקנות אבטחת המידע מסווגות מאגרים לרמת אבטחה בסיסית, בינונית וגבוהה, והתיקון קושר את גובה העיצומים לרמה. המדריך נותן דוגמה: הפרה מסוימת של התקנות גוררת עיצום של 20,000 ₪ במאגר ברמה בינונית ו-80,000 ₪ במאגר ברמה גבוהה, ובמאגרים ברמה בסיסית ובמאגרים שמנהל אדם יחיד הסכומים נמוכים בהרבה, בין 1,000 ל-4,000 ₪ להפרות ספציפיות. לאתר קטן המשמעות היא לדעת לאיזו רמה המאגר שלו שייך, ומה התקנות דורשות באותה רמה (למשל ניהול הרשאות, סיסמאות, גיבוי ותיעוד אירועי אבטחה). זו בדיקה שעושים פעם אחת ומעדכנים כשמשתנה סוג המידע שנשמר.

אכיפה: עיצומים, הקלות, ופיצוי בלי הוכחת נזק

הרשות יכולה להטיל עיצומים כספיים על הפרת החוק, תקנות אבטחת המידע והתקנות על מידע שמקורו באזור הכלכלי האירופי; מנגנון הקנס המנהלי הקודם בוטל. העיצומים מחושבים לפי מספר נושאי המידע או לפי הפרה, עם סכומי מינימום, וחלקם מוכפלים במאגרים של יותר ממיליון אנשים. מצד שני, המדריך מפרט הקלות: בקשה להפחתה יכולה להגיע עד 70%, בשל נסיבות כמו היעדר הפרות קודמות, דיווח עצמי והפסקת ההפרה, צעדים למניעת הישנות ומינוי ממונה. עסקים קטנים (מחזור שנתי של 4 עד 10 מיליון ₪) ועסקים זעירים (עד 4 מיליון ₪) נהנים מהתייחסות מיוחדת בחישוב.

לצד האכיפה המנהלית, לשכת המסחר מדגישה את המסלול האזרחי: פיצוי ללא הוכחת נזק של עד 10,000 ₪, אחרי פנייה מוקדמת, עם תקופת התיישנות של שבע שנים. זה הסעיף שמשנה את חישוב הסיכון לעסק קטן: לא קנס ממשלתי תיאורטי, אלא תביעה של לקוח יחיד שלא קיבל הודעה כנדרש.

רשימת פעולות לאתר של עסק קטן

1. מפו את הטפסים. יצירת קשר, הרשמה, הזמנה, צ׳אט, הורדת קובץ בתמורה לכתובת דוא״ל. לכל אחד: איזה מידע נאסף, לשם מה, לאן הוא זורם.
2. כתבו הודעה קצרה ליד כל טופס לפי חמשת הרכיבים של סעיף 11, וקשרו לעמוד הפרטיות.
3. עדכנו את עמוד הפרטיות כך שיתאר את מה שהאתר עושה בפועל: הכלים החיצוניים, זמן השמירה, הזכויות לעיון ולתיקון ואיך מממשים אותן.
4. החליטו מה למחוק. רשימות ישנות, טפסים שנשמרים לנצח, עותקים בגיליונות. פחות מידע, פחות חשיפה.
5. סווגו את המאגר לרמת אבטחה ובדקו את הדרישות של אותה רמה; לרוב זה ניהול הרשאות וסיסמאות סביר.
6. בדקו אם אתם במקרה חריג שבו עדיין נדרש רישום או ממונה (סחר במידע, ניטור, מידע רגיש בקנה מידה גדול). אם לא, תעדו שבדקתם.

סעיף אחד שלא בחוק אבל קשור ישירות: רוב הפניות של לקוחות לעסק קטן מגיעות היום בוואטסאפ, וההיסטוריה שם היא מאגר מידע לכל דבר. איך מגנים על החשבון הזה מהשתלטות, שהיא גם אירוע אבטחת מידע, בלהגן על חשבון הוואטסאפ.