תיקון 13 לחוק הגנת הפרטיות: למה התעלמות מהחוק עלולה לעלות לעסק ביוקר

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף, ומעטים מבינים עד כמה הוא משמעותי.
מדובר בשינוי מהותי, שמחייב כמעט כל עסק בישראל להתאים את עצמו למציאות חדשה של שמירה, ניהול, אבטחה והגנה על מידע אישי.

בפועל, אם מדברים עם בעלי עסקים, רובם יגידו משהו כמו: “שמעתי על זה… לא הבנתי בדיוק מה זה אומר… זה בטח רלוונטי לחברות גדולות.”
התגובה הזו טבעית, הרי התיקון לחוק מורכב, עמוס בהגדרות משפטיות וטכנולוגיות, לא תמיד ברור למי הוא חל ואיך בדיוק צריך ליישם אותו, אז בעלי עסקים פשוט דוחים את זה ומורידים את הנושא מסדר היום.

כשלא מבינים לא עושים

זה קורה כמעט בכל תחום: כשלקוח מקבל יותר מדי אינפורמציה עם מושגים לא מוכרים, הוא נכנס למצב של שיתוק.
זה קצת כמו לראות חוברת הוראות להרכבת רהיט עם 30 צעדים, רק שהפעם מדובר בחוק, באחריות משפטית, ובמונחים כמו “ממונה על הגנת פרטיות” ו“נהלי טיפול באירוע אבטחה”.
אז במקום להסתבך, בעלי עסקים פשוט אומרים לעצמם: “נחכה ונראה מה יהיה.”
והבעיה? בזמן שהם מחכים, הם בפועל מפרים את החוק.

“לא שמענו על קנסות, אז זה כנראה לא רציני”

עוד סיבה לתחושת האדישות היא היעדר ידעה על היקף הסנקציות והעיצומים.
למרות שנעשית אכיפה מנהלית ע”י הרשות להגנת הפרטיות בגין הפרת חוק הגנת הפרטיות לאורך השנים, עדיין לא פורסמו מקרים מתוקשרים של קנסות כבדים או עיצומים, ולכן רבים לא מרגישים דחיפות.
זה כמו לנסוע בלי חגורת בטיחות כי “לא ראיתי אף אחד מקבל דו”ח”.
אבל יום אחד זה מגיע ופתאום מבינים שהחוק תמיד היה שם, פשוט לא שמנו לב.
ובמקרה של תיקון 13, כשיגיעו האכיפות הראשונות הן צפויות להיות כבדות.
מי שיפר את החוק לא יוכל לטעון “לא ידעתי”, משום שהמידע זמין, הרשות להגנת הפרטיות פרסמה הנחיות, וכל עסק יכול להיערך.

טעות נפוצה מאוד- “אני עסק קטן, זה לא נוגע אליי”

אחת ההנחות השגויות ביותר היא שהתיקון חל רק על חברות גדולות.
בפועל, כמעט כל עסק במדינה מחזיק מידע אישי גם אם זה נראה מינורי.

דוגמאות למאגרי מידע עסקיים:

• חנות אינטרנטית שמנהלת רשימת לקוחות הכוללת שמות, כתובות, מספרי טלפון וכתובות דוא”ל.

• בעל אתר תדמיתי שאוסף פרטי מתעניינים דרך טופס יצירת קשר.

• רשות מקומית שמחזיקה מאגר מידע הכולל פרטים אישיים של תושביה.

• אפליקציה עסקית שמבקשת ממשתמשים להזדהות, לשתף מיקום, תחומי עניין או מידע רפואי.

• בעל עסק קטן ששולח הודעות ללקוחות פוטנציאליים באמצעות טפסי הרשמה, ניוזלטר או מועדון לקוחות.

כל אחד מהמקרים האלה כולל “מאגר מידע” על פי החוק גם אם הוא נראה תמים או קטן בהיקפו.

דוגמאות נוספות שנפוצות כמעט בכל עסק

• רשימות לקוחות במייל או בקובץ Excel

• טפסי הרשמה באתר

• קבלות ותיעוד תשלומים

• מצלמות אבטחה שמצלמות לקוחות

• מערכת CRM או דיוור אלקטרוני

כלומר גם מאמן כושר, מעצבת פנים, הפיצה השכונתית או חנות פרחים אונליין, כולם כפופים להוראות החוק.
התפיסה של “לי זה לא רלוונטי” עלולה להפוך בקלות לבעיה משפטית של ממש.

אבל זה רק קצה הקרחון, מה עם מידע רגיש?

יש עסקים שמנהלים מידע שהוא לא רק אישי, אלא גם רגיש מאוד מבחינה משפטית וחוקית.

לדוגמה:

• קליניקות, מטפלים, או נותני שירות בתחום הרפואי המחזיקים מידע רפואי על מצב בריאותי של לקוחות.
• רואי חשבון, יועצים פיננסיים ובעלי עסקים עם גישה לנתוני שכר, תשלומים או חובות.
• מכוני כושר ומקומות עבודה המשתמשים בטביעת אצבע או זיהוי ביומטרי לזיהוי עובדים או מתאמנים.

לפי החוק, כל אלה נכללים תחת ההגדרה של “מידע בעל רגישות מיוחדת”, הכוללת בין היתר מידע רפואי, פיננסי, ביומטרי, נתוני מיקום, ואפילו הערכות אישיות או דעות פוליטיות.

במילים פשוטות, לא צריך להיות בית חולים או בנק כדי להחזיק מידע רגיש.
מספיק שאתה שומר מידע שיכול לחשוף משהו אישי על הלקוח שלך וזה כבר בתחום אחריותך המשפטית.

מה הסיכונים של אי-ציות לתיקון 13 לחוק הגנת הפרטיות

אי-עמידה בהוראות תיקון 13 לחוק הגנת הפרטיות חושפת את העסק לסיכונים משפטיים וכלכליים משמעותיים,
בין ההשלכות ניתן למנות עיצומים כספיים, תביעות פרטיות מצד לקוחות ותביעות ייצוגיות במקרים של דליפה או ניהול לקוי של מאגרי מידע,
החוק מחייב עסקים לשמור על אבטחת המידע, להגדיר הרשאות גישה, להיערך לאירועי אבטחה ולמלא בקשות של משתמשים, וכל סטייה מהוראות אלו עלולה להוביל לסנקציות משמעותיות.

דוגמאות להפרות נפוצות ועיצומים אפשריים לפי תיקון 13
חוק הגנת הפרטיות כולל כ-29 סוגי הפרות שונות,
להלן כמה דוגמאות נפוצות עם טווחי העיצומים המותאמים לרמות האבטחה של המאגר:

• אי הכנת מסמך הגדרות מאגר- לא צוינו סוגי מידע, כולל מידע רגיש: 2,000 – 160,000 ש”ח.
• אי עדכון מסמך הגדרות מאגר- מסמך ישן או לא מותאם: 2,000 – 160,000 ש”ח.
• אי בדיקת מידע עודף- המאגר כולל מידע רב מהנדרש למטרותיו: 2,000 – 160,000 ש”ח.
• אי הכנת נוהל אבטחת מידע- אין נהלים כתובים למאגר: 2,000 – 160,000 ש”ח.
• אי שמירה, עדכון והנחיות בנוהל אבטחה- לא הגביל גישה, לא עסק באירועי אבטחה: 2,000 – 160,000 ש”ח.
• אי תיעוד מבנה המאגר ומערכותיו- אין רשימות מעודכנות של מערכות 1,000 – 80,000 ש”ח.
• אי הגנת מערכות המאגר- לא מנע כניסה בלתי מורשית: 1,000 – 80,000 ש”ח.
• אי סקר סיכונים או אי טיפול בממצאים – חובת סקר אחת ל-18 חודשים: עד 320,000 ש”ח.
• אי מבדקי חדירות- חובת בדיקה שנתית או דו-שנתית: עד 320,000 ש”ח.
• אי ניהול הרשאות גישה והדרכת עובדים– אין הרשאות תקפות, הדרכה או מנגנוני בקרה: 1,000 – 160,000 ש”ח.
• אי דיווח ותיעוד אירועי אבטחה– לא תועדו אירועים או לא דווחו לרשות: 2,000 – 320,000 ש”ח.
• אי גיבוי נתונים ותיעודם – חוסר שמירה על נתוני מערכת ויכולת שחזור: 20,000 – 80,000 ש”ח.
• אי ביקורת תקופתית פנימית או חיצונית – חובת ביקורת אחת ל-24 חודשים: 20,000 – 80,000 ש”ח.

חשיפה משפטית, גם אישית וגם ייצוגית

אי-עמידה בתיקון 13 יכולה להוביל לחשיפה משפטית משמעותית.
ראשית, ישנה אחריות אישית, מנהלים ובעלי עסק עלולים לשאת באחריות במקרה של זליגת מידע או הפרת החוק, גם אם מדובר במידע שנראה קטן או שולי.
שנית, קיימת חשיפה לתביעות פרטיות, כל לקוח שהמידע האישי שלו דולף או נאסף ללא הרשאה רשאי לתבוע פיצוי אישי.
בנוסף, קיימת חשיפה לתביעות ייצוגיות במקרים בהם מספר לקוחות נפגעים או שהפרת החוק רחבה, תיתכן הגשת תביעה ייצוגית המאפשרת פיצוי נרחב או סעד קבוצתי.

אז מה צריך לעשות?

במקום להיבהל, עדיף להבין שההיערכות אינה מסובכת, היא פשוט דורשת סדר וארגון:

• למפות את המידע בעסק: איפה הוא נשמר, באילו מערכות, ומי ניגש אליו.
• להכין נהלים כתובים: גיבויים, הרשאות גישה, טיפול באירועי אבטחה.
• להגדיר ממונה על פרטיות: גם אם זה לא עובד ייעודי אז מישהו שירכז את הנושא.
• לעדכן מסמכים משפטיים באתר: מדיניות פרטיות, תקנון ואתרי איסוף נתונים.
• להטמיע שגרה של בקרה: לבדוק מעת לעת שהכול פועל לפי הנהלים.

זה לא פרויקט ענק, זה כמו לעשות סדר במשרד, רק שהפעם מדובר בסדר משפטי וטכנולוגי שמגן עליך.

לראות את ההזדמנות

עסק שמסדיר את נושא הפרטיות משדר אמינות, אחריות וביטחון ללקוחות, במקום לפעול מתוך פחד, אפשר לראות בכך יתרון תדמיתי ושיווקי, עסק רציני ששומר על המידע של לקוחותיו כי בעידן שבו כולם חוששים מדליפות מידע, זה יתרון ממשי שמבדל אותך מהמתחרים.

תיקון 13 אולי נראה מסובך, אבל ההתעלמות ממנו מסוכנת הרבה יותר.
הוא לא נועד “להפיל” עסקים אלא לעשות סדר.
כמו שחוקי תכנון ובנייה שומרים על בטיחות המבנים, כך חוק הגנת הפרטיות שומר על בטיחות המידע.

מי שיטפל בזה היום ירוויח שקט משפטי, סדר ארגוני ואמון לקוחות.
ומי שיחכה עלול לגלות מאוחר מדי שהעולם התקדם, והעסק שלו נשאר מאחור.