תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב־14 באוגוסט 2025. הוא עדכן הגדרות, שינה את חובות הרישום וההודעה ביחס למאגרי מידע, הוסיף חובת מינוי ממונה בגופים מסוימים והרחיב את סמכויות האכיפה. חובות אבטחת מידע, יידוע ושימוש במידע למטרה המותרת היו קיימות גם קודם. היערכות עסקית צריכה לחבר בין בחינה משפטית של החובות לבין העבודה במערכות עצמן. שאלות ותשובות של הרשות להגנת הפרטיות.
הצ׳קליסט שלפניכם מיועד למנהלים ולצוותי מערכות מידע. הוא מבחין בין חובות התלויות בדין ובמאפייני הארגון לבין המלצות לתכנית עבודה. אין בו קביעה שכל החובות חלות על כל עסק; את התחולה והמסמכים המשפטיים יש להתאים עם בעל מקצוע בתחום הפרטיות.
1. מפו את זרימת המידע, לא רק את שמות התוכנות
עברו על אתר החברה, CRM, שכר, שירות לקוחות, תיבות משותפות, מסמכים בענן וכלי AI. רשמו איזה מידע נכנס, מאין הוא מגיע, מה מטרת השימוש, למי יש גישה ולאילו ספקים הוא מועבר. כללו גם חיבורים אוטומטיים וייצוא לקבצים. תוצר שימושי הוא תרשים זרימה ורשימת מערכות עם אחראי מזוהה לכל מערכת.
2. קבעו מי אחראי לכל החלטה
זהו את בעל השליטה במאגר ואת הגורמים המחזיקים או מעבדים עבורו מידע, לפי תפקידם בפועל. הקצו אחריות להנהלה, לטיפול בפניות, לניהול ספקים ולאבטחת המערכות. ספק ענן או ספק IT אינם מחליפים אוטומטית את אחריות הארגון. גם בתוך העסק, כתובת ברורה לטיפול בנושא מועילה כאשר אין חובת מינוי ממונה.
3. בדקו בנפרד רישום מאגר וחובת הודעה
תיקון 13 צמצם את חובת הרישום, אך פטור מרישום אינו פטור מהגנת הפרטיות. בדקו את סוג הגוף ואת מטרת המאגר, לרבות מסירת מידע לאחרים במסגרת עסקית. חובת ההודעה היא מסלול נפרד שעשוי לחול על מאגר שאינו חייב ברישום וכולל מידע בעל רגישות מיוחדת על יותר מ־100,000 בני אדם. אם מאגר כבר רשום, בדקו גם את מעמד הרישום הקיים. שירות רישום מאגר ושירות הודעה על מאגר.
4. בחנו את חובת מינוי הממונה לפי הפעילות
מספר עובדים או מספר רשומות לבדם אינם מבחן כללי למינוי DPO. החוק מבחין בין גופים ציבוריים, פעילות של מסירת מידע לאחרים כדרך עיסוק מעל הסף הקבוע בחוק, ניטור שוטף ושיטתי בהיקף ניכר ועיבוד מידע בעל רגישות מיוחדת בהיקף ניכר כחלק מעיסוק עיקרי. יש לבחון את התנאים והחריגים המתאימים לארגון. פירוט הקטגוריות בשאלות ותשובות הרשות.
אם נדרש ממונה, הגדירו את תפקידו, כשירותו, משאביו ומעמדו בארגון. בחנו גם ניגודי עניינים. מינוי חיצוני דורש בדיקה מקצועית של ההתאמה לתפקיד; רכישת חבילת אבטחה אינה כשלעצמה מינוי ממונה. גילוי הדעת הסופי של הרשות בנושא מינוי ממונה, יולי 2026.
5. הגדירו את רמת האבטחה והמסמכים הנדרשים
חובות טכניות וארגוניות רבות נובעות מתקנות הגנת הפרטיות (אבטחת מידע), ולא נוצרו לראשונה בתיקון 13. סווגו את המאגר ובדקו אילו דרישות חלות עליו. חברו את מסמך הגדרות המאגר ואת נוהל האבטחה למערכות ולבעלי התפקידים שבאמת קיימים. מדריך הרשות לתקנות אבטחת מידע.
6. עדכנו את ההסבר שניתן בזמן איסוף מידע
בדקו את הטפסים באתר, מסכי ההרשמה ותהליכי השירות. לפי סעיף 11, פנייה לקבלת מידע לצורך החזקתו או שימוש בו במאגר צריכה לכלול את הפרטים הנדרשים, ובהם מטרת האיסוף, האם המסירה חובה או רצונית ותוצאת הסירוב, זהות בעל השליטה ודרכי הקשר, למי יימסר המידע ולאיזו מטרה, וזכויות העיון והתיקון. קישור למדיניות כללית צריך להשתלב בהסבר ברור במקום האיסוף. הנחיית הרשות על חובת היידוע, נוסח מעודכן לתיקון 13.
7. בדקו הסכמה לפי ההקשר, ולא לפי קיומה של תיבה
הדין מכיר בהסכמה מדעת, מפורשת או מכללא, בהתאם לנסיבות. לכן תיבת סימון אינה מבחן יחיד לחוקיות, ואינה מתקנת הסבר מטעה או שימוש במידע החורג מהמטרה שהוצגה. בדקו מתי נדרשת הסכמה, כיצד ניתנה ומה היא מכסה, והבחינו בין טיפול בפניית שירות לבין שימושים נוספים. אל תעתיקו אוטומטית רשימת בסיסי עיבוד מה־GDPR למדיניות ישראלית. גילוי דעת הרשות בנושא הסכמה, פברואר 2026.
8. הפכו בקשות עיון ותיקון לתהליך שניתן לבצע
קבעו כתובת לפניות, דרך מידתית לאימות זהות, אחראי לאיתור המידע ומעקב אחר המועד החל על כל סוג בקשה. התהליך צריך להגיע גם לתכתובות ולהקלטות הרלוונטיות, תוך שמירה על מידע של אנשים אחרים. הנחיית הרשות על זכות העיון במידע דיגיטלי.
זכות העיון והזכות לבקש תיקון אינן רשימה גורפת של כל זכויות ה־GDPR. אל תבטיחו מחיקה של כל מידע, ניוד או הגבלת עיבוד בכל מצב, או מועד אחיד לכל בקשה, בלי לבדוק את הדין החל. בקשת מחיקה דורשת בחינה של העילה ושל חובות שמירת מידע. במאגרים שעליהם חלות התקנות לגבי מידע שהועבר מהאזור הכלכלי האירופי קיימות גם הוראות מיוחדות. הסבר הרשות על זכויות וחובות לפי התקנות האירופיות בישראל.
9. בחנו סיכונים לפני שינוי במערכת
לפני הוספת CRM, כלי AI, מצלמות או אוטומציה, בדקו אילו סיכוני פרטיות נוצרים והאם ניתן לצמצם את המידע וההרשאות. תסקיר השפעה על פרטיות, DPIA, הוא כלי מומלץ לבחינה מסודרת; אין להציגו כחובה כללית מכוח תיקון 13 לפני כל פרויקט. יש לבדוק אם קיימת חובה מיוחדת מכוח דין או הסדר אחר. תסקיר פרטיות גם אינו מחליף סקר סיכוני אבטחה שנדרש לפי התקנות. מדריך הרשות לעריכת תסקיר השפעה על פרטיות.
10. בדקו את הספק לפני שנותנים לו גישה
כאשר ההתקשרות כפופה לתקנה 15, בחנו את סיכוניה והסדירו בהסכם את הגישה, מטרות העיבוד, אמצעי האבטחה, דיווחים, פיקוח וסיום ההתקשרות. בדקו גם ספקי משנה ומקום עיבוד המידע. מסמך סטנדרטי של ספק אינו מוכיח לבדו שכל הדרישות מתקיימות בשירות שרכשתם. מדריך הרשות לתקנה 15, מעודכן בעקבות תיקון 13.
11. תרגמו את תכנית האבטחה לשינויים מדידים
בחנו חשבונות משותפים, הרשאות עודפות, גישה של עובדים שסיימו תפקיד, עדכוני תוכנה וגישה מרחוק. התאימו אימות משתמשים, הצפנה, תיעוד וגיבוי לרמת האבטחה ולסיכון. בתכנית העבודה אפשר לכלול בדיקת הרשאות ובדיקת שחזור בפועל, עם תיעוד התוצאה והטיפול בליקויים. אין צורך להציג כל אמצעי מומלץ כחובה זהה בכל מערכת. מדריך תקנות אבטחת המידע.
12. הכינו מסלול תגובה ודיווח מיידי
קבעו למי מסלימים חשד לאירוע, מי מעריך אותו ומי מוסמך להגיש דיווח. חובת הדיווח תלויה בהגדרת אירוע אבטחה חמור וברמת האבטחה של המאגר; כאשר היא חלה, נדרש דיווח מיידי לרשות. הודעה למערך הסייבר או לגורם אחר אינה תחליף. שירות הדיווח הרשמי והקריטריונים.
אין לקבוע בנוהל המתנה אוטומטית של 72 שעות. בפרסום אכיפה מיולי 2026 הבהירה הרשות שהדיווח הראשוני מבוסס על הידוע בעת הגילוי, ושאין להמתין לסיום הבדיקות כדי לדווח; פרטים נוספים אפשר להשלים בהמשך. הכינו מראש פרטי קשר, תיעוד זמנים ודרך לשימור ראיות. גם הודעה לאנשים שנפגעו מחייבת בחינה לפי ההוראות החלות ונסיבות האירוע. הבהרת הרשות על חובת הדיווח המיידי.
13. תכננו שמירה, מחיקה והדרכה
גבשו כללים מעשיים לשמירת מידע בהתאם למטרה ולחובות הרלוונטיות. כללו ייצוא מקומי, גיבויים ועותקים אצל ספקים; לפני מחיקה בדקו גם דרישות שימור והליכים תלויים ועומדים. הדריכו עובדים בהתאם לתפקידם ולסיכונים, ותעדו את ההדרכה ואת תכנית הרענון. אל תשתמשו בתדירות אחידה כאילו היא דרישה חוקית לכל עסק. הנחיות הרשות להדרכת בעלי הרשאות.
14. סגרו פערים עם בעל תפקיד וראיה לביצוע
לכל פער הקצו אחראי, עדיפות, מועד עבודה ותנאי להשלמה. לדוגמה, בתרחיש של עזיבת עובד, בדקו שהוסרה גישתו גם ל־CRM ולכלי האוטומציה, ולא רק לדואר. בבקרה הבאה בדקו את התוצאה במערכת. רשימת משימות חתומה אינה מחליפה בדיקה שהשינוי בוצע.
אין משך יישום אחיד שניתן להבטיח לפי מספר העובדים. סדר העבודה תלוי במערכות, בספקים, בהיקף המידע ובפערים שנמצאו. אפשר להתחיל מרשימת המערכות, בעלי הגישה ומסלול הדיווח, ולהשתמש בהם כבסיס לשיחה משותפת של ההנהלה, אנשי הפרטיות וצוות ה־IT.
תפקיד התשתית הטכנולוגית בהיערכות
החלטות פרטיות צריכות להתבטא בהרשאות, בחיבורים בין מערכות, בגיבויים ובתהליכי העבודה. DLTS יכולה לסייע במיפוי המערכות וביישום שינויים טכנולוגיים שיוגדרו במסגרת העבודה. קביעת החובות המשפטיות ומינוי ממונה, כאשר הוא נדרש, מצריכים בחינה מקצועית נפרדת. דברו איתנו על מיפוי המערכות והצרכים.
המקורות במאמר נבדקו ב־27 בספטמבר 2026. יש לבדוק עדכוני דין והנחיות בעת קבלת החלטה לארגון מסוים.