תיקון 13 לחוק הגנת הפרטיות

תיקון 13 לחוק הגנת הפרטיות משנה את כללי המשחק. הוא מרחיב את אחריות הארגון ובעלי השליטה במאגר, מחזק את סמכויות האכיפה של הרשות להגנת הפרטיות, ומגדיל את החשיפה לעיצומים כספיים, הליכים משפטיים וסנקציות במקרה של הפרת החוק. אם בעבר היה אפשר "לסמן וי" על אבטחת מידע, היום זה כבר לא מספיק.

רקע מדויק: חקיקת תיקון 13 הושלמה באוגוסט 2024, והוראותיו המרכזיות נכנסו לתוקף באוגוסט 2025 – העדכון המקיף ביותר לדיני הפרטיות בישראל מאז חוק הגנת הפרטיות משנת 1981, בהתאמה לרגולציות בינלאומיות ובראשן ה-GDPR.

מהו תיקון 13?

תיקון 13 מחזק את ההגנה על מידע אישי בישראל: הוא מרחיב את אחריות הארגון ובעלי השליטה במאגר, מגדיל את סמכויות האכיפה של הרשות (כולל עיצומים כספיים), ומחדד את הציפייה שארגונים ינהלו אבטחת מידע באופן אקטיבי ומתועד. תיקון 13 מעביר את הדגש מאמירה כללית להתנהלות מוכחת. אירוע אבטחה כבר אינו נתפס כתקלה טכנית בלבד, אלא כחשיפה משפטית ומנהלית ממשית.
עם זאת, היקף החובות המדויק משתנה מארגון לארגון – בהתאם לסוג המידע, סוג המאגר, תפקיד הארגון והתקנות החלות עליו.

למה תיקון 13 נולד דווקא עכשיו?

התיקון נועד להתאים את דיני הפרטיות בישראל לעידן הדיגיטלי: התעצמות השימוש במידע, טכנולוגיות מתקדמות והתגברות איומי הסייבר.
מהניסיון המקצועי שלנו בחברת אבטחת מידע לעסקים CyberSafe, פערים נפוצים באירועי אבטחה כוללים טעויות אנוש, הרשאות עודפות, חוסר ניטור והתנהלות לא מבוקרת מול ספקים חיצוניים.
הכיוון הרגולטורי ברור: פחות סובלנות לאירועים, יותר דרישה לניהול סיכונים מסודר.

על מי תיקון 13 חל?

חוק הגנת הפרטיות חל על עיבוד מידע אישי במאגר מידע דיגיטלי, אך החובות הספציפיות משתנות לפי סוג המידע, מספר נושאי המידע, מטרת המאגר, זהות בעל השליטה, והאם הארגון פועל כמחזיק עבור גורם אחר.
הגדרת "מידע אישי" הורחבה וכוללת גם מזהים מקוונים, נתוני מיקום ומידע המאפשר לזהות אדם במאמץ סביר.

בפועל, ארגונים שמחזיקים מאגרי לקוחות, מפעילים מערכות CRM או ERP, עובדים בענן או מתממשקים עם ספקים חיצוניים עשויים להיכנס לתחולת החוק. היקף הדרישות נבחן לפי סוג המאגר, המידע והפעילות.

שני שינויים מרכזיים שחשוב להכיר

שינוי חובת רישום מאגרי המידע

תיקון 13 צמצם משמעותית את חובת הרישום הכללית. כיום החובה נותרה בעיקר עבור מאגרים של גופים ציבוריים, ומאגרים שמטרתם מסירת מידע לאחרים כדרך עיסוק או בתמורה, כאשר הם כוללים מידע על 10,000 בני אדם ומעלה. פרטים בעמוד רישום מאגר מידע של הרשות.

חובת הודעה על מאגרים מסוימים

מאגר שאינו חייב ברישום, אך כולל מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם, עשוי להיות מחויב בהודעה לרשות בתוך 30 יום, בכפוף לתנאים הקבועים בחוק. פרטים בעמוד חובת ההודעה של הרשות.

מה השתנה בפועל בעקבות תיקון 13?

תיקון 13 מעביר את הדגש מהצהרה להוכחה תפעולית. הרגולטור מצפה לראות כיצד הארגון מנהל אבטחת מידע בפועל – בהתאם לרמת הסיכון ולדרישות החלות עליו.

ניהול סיכונים מתועד

הארגון נדרש להראות שמיפה את הסיכונים הרלוונטיים למידע האישי שהוא מחזיק – תהליך שמזהה איפה יש מידע רגיש, מי ניגש אליו, ומה עלול להשתבש.
השאלה המעשית: האם ידעתם מראש איפה אתם חשופים, או גיליתם זאת רק אחרי האירוע?

בקרות טכנולוגיות פעילות

הציפייה היא שהבקרות יפעלו, יהיו מעודכנות ומותאמות לסיכון – הגבלות הרשאה, הקשחת מערכות, הגנה על ענן ו-SaaS, ומנגנונים שמונעים דליפה ולא רק מתעדים אותה.
השאלה אינה אילו כלים יש, אלא מה הם מונעים בפועל.

זיהוי, תגובה ודיווח על אירועים

מסגרת הגנת הפרטיות אינה עוסקת רק במניעת אירועים, אלא גם ביכולת הארגון לזהות אירוע, להגיב אליו, לתעד אותו ולדווח עליו כאשר קיימת חובת דיווח.
חשוב לדייק: חובת הדיווח המיידי על אירוע אבטחה חמור מעוגנת בתקנות הגנת הפרטיות (אבטחת מידע) משנת 2017 (תקנה 11(ד)).
תיקון 13 חיזק את סמכויות האכיפה בגין הפרת החובות החלות לפי החוק והתקנות – הוא לא יצר את חובת הדיווח עצמה.

אחריות ברורה בהנהלה

התיקון מחדד שאבטחת מידע אינה רק עניין של מחלקת IT. מצופה בעל תפקיד מוגדר, מדיניות מאושרת ודיווח להנהלה. כשאין גורם אחראי ברור, זו כבר חשיפה רגולטורית.

החובות המרכזיות במסגרת חוק הגנת הפרטיות והתקנות

החוק והתקנות אינם קובעים שכל ארגון חייב להפעיל מוקד SOC או ניטור רציף. החובות משתנות לפי סוג המאגר והמידע. עם זאת, בארגונים המחזיקים מידע רגיש או מפעילים מערכות מורכבות, ניטור שוטף מסייע לזהות חריגות, לתעד אירועים ולהוכיח יישום בקרות אפקטיבי.

חשוב להפריד בין הדרישה המשפטית – שמקורה בחוק, בתקנות ובתיקון 13 לבין המלצות מקצועיות לצמצום סיכון. המסגרת מגדירה תוצאות (ניהול סיכונים, בקרה, דיווח), אבל אינה מכתיבה לכל ארגון אמצעי ספציפי כמו SOC.

כלומר: החוק אינו קובע שכל ארגון חייב מוקד SOC. ניטור שוטף הוא אחת הדרכים הפרקטיות לזהות חריגות, לתעד אירועים ולהדגים שהבקרות פועלות בפועל.

איך זה נראה ביום-יום של ארגון?

תרחיש נפוץ: עובד משתף קובץ לקוח בענן עם גורם חיצוני, אף אחד לא מנטר את זה, המידע זולג, והאירוע מתגלה רק אחרי תלונה. אירוע כזה עשוי ליצור חשיפה מכוח חוק הגנת הפרטיות ותקנות אבטחת המידע, בהתאם לסוג המאגר, להיקף החשיפה ולנסיבות האירוע.

תרחיש מייצג מהניסיון בשטח (אנונימי)

אחד הדפוסים החוזרים שאנחנו פוגשים בליווי ארגונים לקראת עמידה בדרישות: לארגון יש נהלים כתובים ומערכות אבטחה, אבל אין ראות אמיתית למה שקורה בזמן אמת. הרשאות גישה למאגרי מידע מצטברות לאורך שנים בלי בקרה, וחלקן כבר לא רלוונטיות. הפער הזה לרוב אינו מתגלה בזכות מתקפה, אלא בזכות שאלה של לקוח או מבקר. הצעד הראשון בליווי שלנו הוא מיפוי המידע וההרשאות, חיבור לניטור, והגדרת אחריות ניהולית ברורה. התרחיש מבוסס על מקרים אופייניים, נכתב באופן כללי ואנונימי ואינו מתייחס ללקוח מסוים.

איפה ארגונים נופלים הכי הרבה?

ברוב המקרים הכשל אינו בטכנולוגיה אלא בניטור ובתגובה. לרוב הארגונים יש נהלים, מסמכים וכלי אבטחה – אבל חסרה להם ראות אמיתית למה שקורה בזמן אמת.

אין ראות למה שקורה בפועל

גישה חריגה, שיתוף קובץ רגיש או שינוי הרשאות יכולים להישאר מתחת לרדאר ימים או שבועות, במיוחד בארגונים שעובדים בענן או עם מערכות SaaS רבות בלי גוף אחד שמרכז את התמונה.

אין חיבור בין מערכות

כל מערכת "רואה" רק חלק מהמציאות. כל חריגה נראית לגיטימית בפני עצמה, אבל התמונה הכוללת לא נבנית – וכך מתפספסות מתקפות איטיות ומתמשכות.

אין מי שמקבל החלטות בזמן אמת

גם כשמופקת התראה, לעיתים אין מי שיפרש אותה. ה-IT עסוק, אין בעל תפקיד ברור, והאירוע „מחכה” למחר.

כאן נכנסים שירותי SOC

שירותי SOC איכותיים מספקים הקשר, סדר עדיפויות ותגובה – לא רק התראות. זו המלצה מקצועית לצמצום סיכון, לא חובה שהחוק מטיל על כל ארגון.