תיקון 13 לחוק הגנת הפרטיות. אז מה כל ארגון חייב לעשות עכשיו?

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ביום 14 באוגוסט 2025 ושינה באופן משמעותי את האחריות המוטלת על ארגונים המעבדים מידע אישי. התיקון עדכן את הגדרות המידע האישי והמידע בעל הרגישות המיוחדת, הרחיב את חובות השקיפות, צמצם את חובת רישום מאגרי המידע, קבע חובת מינוי ממונה על הגנת הפרטיות בארגונים מסוימים והעניק לרשות להגנת הפרטיות סמכויות פיקוח ואכיפה נרחבות.

האכיפה כבר החלה.

​

תקופת ההיערכות הסתיימה והרשות להגנת הפרטיות מפעילה בפועל את סמכויות האכיפה שהוענקו לה. בחודש יולי 2026 הטילה הרשות עיצום כספי בסך 256,000 שקלים על קופת חולים מאוחדת בגין אי דיווח מיידי על אירוע אבטחה חמור. זהו העיצום הראשון שפורסם בגין הפרה זו מאז כניסת תיקון 13 לתוקף.

החוק מאפשר לרשות לערוך הליכי פיקוח ובירור, לדרוש מסמכים ומידע, להורות על תיקון הפרות ולהטיל עיצומים כספיים משמעותיים. במקרים מסוימים סכום העיצום מחושב בהתאם למספר האנשים שהמידע עליהם מוחזק במאגר, ולכן החשיפה עלולה להגיע לסכומים גבוהים.

​

מה השתנה בעקבות תיקון 13?

התיקון הרחיב את האחריות של ארגונים לכל מחזור החיים של המידע, החל משלב האיסוף, דרך השימוש, השיתוף והאחסון ועד למחיקה. ארגונים נדרשים לוודא שהמידע נאסף ומשמש למטרה חוקית ומוגדרת, שהאדם מקבל הודעה ברורה בעת איסוף המידע, שנשמרות זכויות העיון והתיקון שלו ושמי שניגש למידע עושה זאת בהרשאה מתאימה בלבד.

לצד צמצום חובת הרישום, נקבעה חובת הודעה לרשות לגבי מאגרים מסוימים הכוללים מידע בעל רגישות מיוחדת על יותר מ־100,000 בני אדם. לכן, העובדה שמאגר אינו חייב ברישום אינה פוטרת את הארגון מחובות החוק ומתקנות אבטחת המידע.

מה חייב להיבדק בכל ארגון?

​

כל ארגון המעבד מידע אישי צריך למפות את המאגרים, המערכות, הספקים והגורמים המקבלים גישה למידע, להגדיר את מטרות השימוש והבסיס לקבלת המידע, לקבוע את רמת האבטחה החלה על כל מאגר, לעדכן מסמך הגדרות מאגר ונוהל אבטחת מידע בהתאם לחובות החלות עליו, להסדיר הרשאות גישה, זיהוי ואימות, תיעוד אירועים, גיבויים, הצפנה והעברת מידע, להסדיר התקשרויות עם ספקים המעבדים מידע, לעדכן הודעות פרטיות וטפסי איסוף מידע, לקבוע תהליך לטיפול בבקשות עיון ותיקון ולהיערך לדיווח ולטיפול באירועי אבטחה.

היקף החובות משתנה בהתאם לסוג המידע, מספר האנשים, מטרות העיבוד, אופן השימוש במידע ורמת האבטחה החלה על המאגר. לכן, עמידה בחוק אינה מסתכמת במדיניות פרטיות באתר, אלא מחייבת בדיקה משפטית, ארגונית וטכנולוגית מתועדת.

האם הארגון חייב למנות ממונה על הגנת הפרטיות?

​

חובת מינוי ממונה על הגנת הפרטיות, DPO, חלה בין היתר על גופים ציבוריים ומי שמחזיקים במאגר עבור גוף ציבורי, ארגונים שעיקר פעילותם כולל מסירת מידע אישי לאחרים או שירותי דיוור ישיר בהיקף ניכר, ארגונים שמבצעים ניטור שוטף ושיטתי של אנשים בהיקף ניכר וארגונים שעיקר פעילותם כולל עיבוד בהיקף ניכר של מידע בעל רגישות מיוחדת.

הממונה יכול להיות עובד הארגון או גורם חיצוני, ובלבד שהוא בעל הידע והכישורים המתאימים, פועל ללא ניגוד עניינים, מקבל עצמאות מקצועית ומשאבים מספקים ומדווח ישירות להנהלת הארגון.

​

עוגן ניהול מידע ופרטיות מבצעת בדיקת תחולה ממוקדת לתיקון 13, לרבות בחינת החובה למנות DPO, הדרכות, מיפוי הפערים ובניית תוכנית יישום מעשית המותאמת לארגון.

לא בטוחים מה חל על הארגון שלכם? פנו אלינו לבדיקת תיקון 13 ומינוי ממונה על הגנת הפרטיות.