תקנות הגנת הפרטיות GDPR

תקנות הגנת הפרטיות בנושא איסוף מידע רגיש

חוק הגנת הפרטיות הגדיר, עד תיקון 13, מהו מידע רגיש: "נתונים על אישיותו של אדם, צנעת אישותו, מצב בריאותו, מצבו הכלכלי, דעותיו ואמונתו".

תיקון 13 החליף את ההגדרה הזו במושג חדש: מידע בעל רגישות מיוחדת. זו רשימה סגורה, שכוללת בין השאר מידע על חיי המשפחה והנטייה המינית, מידע בריאותי, מידע גנטי, ומידע על שכר ופעילות כלכלית. אם אתם עובדים עם מסמכים פנימיים שמבוססים על ההגדרה הישנה, כדאי לעדכן אותם.

חובת הרישום השתנתה מאוד. לפני תיקון 13, בעל מאגר היה חייב לרשום אותו אם נשמר בו מידע רגיש. מאז התיקון, חובת הרישום חלה בעיקר על מאגרים שמטרתם העיקרית איסוף מידע אישי כדי למסור אותו לאחרים כעסק, עם מידע על יותר מ-10,000 איש, ועל מאגרים של גופים ציבוריים.

מאגר עם מידע בעל רגישות מיוחדת על יותר מ-100,000 איש, שלא חייב ברישום, חייב במקום זה בחובת הודעה לרשות.

יישום תקנות הגנת הפרטיות

ארגון שהוא בעל מאגר מידע או מחזיק בו מחויב לתכנן וליישם בקרות תהליכיות וטכנולוגיות להגנה על המידע הרגיש.

תקנות הגנת הפרטיות מפרטות בהרחבה את הכלים והתהליכים שנדרשים להגנה על המידע האישי, ובהם הגנה על הסודיות, השלמות והזמינות של המידע, והבטחת יכולת התאוששות אם מתרחש אסון:

• אירוע אבטחה חמור במאגר ברמת אבטחה בינונית או גבוהה מחייב דיווח מיידי לרשות להגנת הפרטיות (בעבר: רשם מאגרי המידע). את הדיווח מגישים בטופס המקוון של הרשות.
• מאגרי מידע שפגיעה בהם היא סיכון גבוה לפרטיות, ומסווגים ברמת אבטחה גבוהה, חייבים לבצע סקר סיכונים ומבדק חדירה לפחות פעם ב-18 חודשים.
• גופים מסוימים חייבים למנות ממונה אבטחת מידע עם הכשרה מתאימה: גוף ציבורי, בנק, חברת ביטוח, חברה לדירוג אשראי, ומי שמחזיק 5 מאגרים שחייבים ברישום או בהודעה. מאז תיקון 13 גופים מסוימים חייבים גם בממונה על הגנת הפרטיות (DPO).

מה השתנה בתיקון 13, ומה זה אומר לכם?

תיקון 13 הוא העדכון המקיף ביותר לחוק הגנת הפרטיות מאז 1981. הוא שינה את החוק עצמו בהרבה מישורים: הגדרות, רישום, חובת הודעה, ממונה על הגנת הפרטיות, מונחים וסמכויות אכיפה.

תקנות אבטחת המידע נשארו בתוקף, אבל ההגדרות החדשות מחייבות לבחון מחדש באיזו רמת אבטחה נמצא כל מאגר, והאכיפה על הפרתן החמירה. אלה השינויים המרכזיים מבחינת ארגון:

1. סמכויות אכיפה ועיצומים כספיים – הרשות להגנת הפרטיות יכולה להטיל עיצומים ישירות. בפועל, הפרת תקנות אבטחה הפכה מסיכון תיאורטי לסיכון כספי.
2. מידע בעל רגישות מיוחדת – רשימה סגורה במקום ההגדרה הישנה של מידע רגיש.
3. רישום מצומצם, וחובת הודעה חדשה – פחות מאגרים חייבים ברישום, אבל מאגרים גדולים עם מידע רגיש במיוחד חייבים בהודעה.
4. ממונה על הגנת הפרטיות (DPO) – חובה חדשה לגופים ציבוריים, לסוחרי מידע עם מידע על יותר מ-10,000 איש, ולגופים שעיקר פעילותם כולל ניטור שוטף ושיטתי של אנשים או עיבוד מידע בעל רגישות מיוחדת, בהיקף ניכר.
5. מונחים חדשים – "בעל מאגר" הפך ל"בעל השליטה במאגר", ויש הגדרות חדשות של מידע ושל עיבוד.
6. אחריות ניהולית – ההנחיות של הרשות מדגישות את התפקיד של ההנהלה והדירקטוריון, כמו שראיתם בהודעה למעלה.

הרחבנו על כל שינוי בעמוד על תיקון 13 לחוק הגנת הפרטיות, והרשות פרסמה שאלות ותשובות רשמיות על התיקון.

מה קבעה הרשות על מינוי DPO בגילוי הדעת מיולי 2026?

ב-14 ביולי 2026 פרסמה הרשות להגנת הפרטיות גילוי דעת על מינוי ממונה על הגנת הפרטיות. מבחינת ארגון, אלה הנקודות שכדאי להכיר:

1. אין רף מספרי ל"היקף ניכר". בוחנים את מכלול הנסיבות: מספר האנשים, סוגי המידע, משך העיבוד ועוד.
2. ספקי שירות סופרים את כל הלקוחות יחד. ההיקף נבחן במצטבר, על פני כל הלקוחות שהספק מעבד עבורם מידע.
3. ספק של גוף ציבורי חייב גם הוא למנות ממונה משלו, אפילו אם הוא רק מאחסן את המידע.
4. ממונה חיצוני מותר, כל עוד מתמנה אדם מסוים ואין ניגוד עניינים.

הנקודות השנייה והשלישית חשובות במיוחד לספקי IT, ענן ותוכנה. את התפקיד עצמו, ומתי כדאי ממונה פנימי או חיצוני, פירטנו במאמר על ממונה על הגנת הפרטיות (DPO).

רגולציית הגנת הפרטיות האירופאית GDPR

GDPR (תקנות הגנת הפרטיות האירופאיות) הם ראשי התיבות של General Data Protection Regulation. בדומה לישראל, גם באירופה יש רגולציה:

GDPR היא רגולציית הגנת הפרטיות של מדינות האיחוד האירופי. התקנות האירופאיות חלות מ-25 במאי 2018, והמטרה שלהן,

בדומה לישראל, היא להגן על המידע האישי של אנשים באיחוד האירופי, באמצעות חובות והוראות לחברות ולארגונים שאוספים עליהם מידע אישי, מאחסנים אותו במאגרי מידע ומעבדים אותו. ה-GDPR מחזיר לכל אחד את השליטה במידע האישי שלו שחשוף ברשת.

למי ה-GDPR מיועד?

GDPR נועד להגן על כל אדם שהמידע האישי שלו נמצא במאגר כלשהו, והוא מיועד לכל הבעלים והמנהלים של מאגרי מידע מכל סוג. תקנות ה-GDPR חלות על גופים ממשלתיים, עסקיים, חברות ציבוריות וחברות פרטיות, וגם על חברות שלא נמצאות באירופה, אם הן מציעות מוצרים או שירותים לאנשים באיחוד או עוקבות אחרי ההתנהגות שלהם.

תקנות GDPR חלות על בעלי שליטה במידע ועל מעבדי מידע שמקום מושבם מחוץ לאיחוד האירופי, אם הם עושים אחד מאלה:

• מעבדים מידע של נושאי מידע שנמצאים באיחוד, במסגרת הצעה של מוצרים או שירותים, בתשלום או בחינם.
• מנטרים את ההתנהגות של אנשים שנמצאים באיחוד האירופי.

וכאן התובנה שהרבה חברות ישראליות מפספסות: האיחוד האירופי מכיר בישראל כמדינה עם רמת הגנה נאותה, ואישר את זה מחדש בדוח מינואר 2024.

ההכרה הזו מאפשרת להעביר מידע מהאיחוד לישראל בלי מנגנונים נוספים. היא לא פוטרת חברה ישראלית שמוכרת ללקוחות באירופה מ-GDPR.

אם יש לכם אתר שמכוון ללקוחות בגרמניה או בצרפת, ה-GDPR חל עליכם ישירות, עם כל הזכויות, החובות והקנסות. בנוסף, בישראל הותקנו ב-2023 תקנות מיוחדות למידע שהועבר לישראל מהאזור הכלכלי האירופי.

תקנות GDPR בנושא איסוף מידע פרטי

GDPR מגדיר מידע פרטי כמידע שנוגע לאדם "טבעי" (כלומר אדם פרטי ולא ארגון או תאגיד), שאפשר לזהות אותו במישרין או בעקיפין, באמצעות מזהה כמו שם, מספר מזהה, מידע על מיקום, מזהה אינטרנטי, או מאפיינים פיזיים, פיזיולוגיים, גנטיים, מנטליים, כלכליים או תרבותיים-חברתיים של אותו אדם.

ה-GDPR מעניק לנושא המידע (האדם שעליו נאסף המידע) את הזכויות הבאות:

• הזכות למידע בסיסי – הודעת הפרטיות חייבת לתת מידע רלוונטי בשפה פשוטה וברורה.
• זכות גישה – לנושא המידע יש זכות לקבל את כל הפרטים לגבי המידע עליו. ככלל בלי תשלום (אפשר לגבות תשלום סביר רק בבקשות מופרזות או בעותקים נוספים), ותוך חודש מהבקשה, עם אפשרות הארכה במקרים מורכבים.
• נושאי המידע רשאים לבקש שינויים במידע בעקבות טעויות.
• הזכות למחיקה ("הזכות להישכח") – לנושא המידע יש זכות לדרוש מחיקה של המידע עליו, במקרים שמפורטים בסעיף 17 (למשל כשהמידע כבר לא נחוץ, או כשהוא חזר בו מהסכמה). זו לא זכות מוחלטת: יש חריגים, למשל חובה חוקית לשמור את המידע.
• הזכות להגביל את העיבוד – נושא המידע יכול לבקש לעצור את פעולות העיבוד שמתבצעות במידע שלו.
• זכות לקבל הודעה על מחיקה, תיקון או הגבלה
• הזכות להתנגד לעיבוד – נושא המידע יכול לא להסכים לפעולות העיבוד שמתבצעות במידע שלו.
• זכות העברת המידע – לנושא המידע יש זכות לקבל את כל המידע שהוא מסר לבעל השליטה, ולהעביר אותו לגורם אחר.
• זכות להתנגד לעיבוד למטרות שיווק ישיר
• זכות להתנגד לעיבוד למטרות מדעיות, היסטוריות או סטטיסטיות
• הזכות לא להיות מוערך ("לקבל ציון") על בסיס עיבוד אוטומטי – לנושא המידע יש זכות שלא תתקבל לגביו החלטה עם השפעה משפטית או משמעותית שמבוססת רק על עיבוד אוטומטי, וזכות לבקש שאדם יבחן את ההחלטה.
• הזכות לקבל הודעה על הפרת המידע – כשאירוע אבטחה יוצר סיכון גבוה לזכויות ולחירויות של נושאי המידע, צריך להודיע להם בלי דיחוי מיותר. את רשות הפיקוח צריך לעדכן תוך 72 שעות.
• הזכות לחזור בו מההסכמה בכל עת – נושא המידע יכול בכל עת לבטל את ההסכמה שנתן למסירת המידע.
• הזכות להגיש תלונה לרשות המפקחת
• זכות לפיצויים – לנושא המידע יש זכות לקבל פיצוי כספי על פגיעה בזכויות או בחירויות שלו.
• הזכות להסבר על עיבוד הנתונים – לנושאי המידע יש זכות לקבל תיאור ברור, חד משמעי ומדויק של עיבוד המידע האישי שלהם.

יישום תקנות הגנת הפרטיות GDPR עוד בשלב התכנון

רגולציית GDPR קובעת שארגונים צריכים להגן על הפרטיות כבר משלב התכנון של המוצר או השירות (Privacy by Design), ולאורך כל חייו.

ארגון ששולט במידע מחויב לתכנן וליישם בקרות תהליכיות וטכנולוגיות להגנה על המידע האישי.

ארגון שמעבד את המידע צריך לוודא שהמידע נשמר בצורה נאותה, גם אצלו וגם אצל מעבדי מידע אחרים שנותנים לו שירות.

GDPR מפרט את הכלים והתהליכים שנדרשים להגנה על המידע האישי, ובהם הגנה על הסודיות, השלמות והזמינות של המידע, והבטחת יכולת התאוששות אם מתרחש אסון:

• בעלי השליטה במידע חייבים לדווח לרשות הפיקוח על אירוע אבטחה תוך 72 שעות מרגע שנודע להם, אלא אם לא סביר שהוא יוצר סיכון לזכויות של נושאי המידע.
• עיבוד שעלול ליצור סיכון גבוה לפרטיות מחייב הערכת השפעה (DPIA) לפני שמתחילים.
• ארגונים מסוימים חייבים למנות DPO (קצין הגנת מידע) עם עצמאות וסמכויות: רשויות ציבוריות, ארגונים שעיקר פעילותם ניטור שיטתי של אנשים בהיקף גדול, וארגונים שעיקר פעילותם עיבוד של מידע רגיש בהיקף גדול (סעיף 37).

תיעוד: סעיפים רבים ב-GDPR דורשים במפורש לשמור ראיות שמוכיחות שהארגון עומד ברגולציה, ועקרון האחריותיות (סעיף 5(2)) קובע שהארגון צריך להיות מסוגל להוכיח עמידה. במילים פשוטות: מה שלא מתועד, מבחינת הרגולטור לא קרה.

הפרת תקנות GDPR

רגולציית הפרטיות האירופאית קובעת סנקציות חמורות, בדמות קנסות של מיליוני יורו.

בנוסף, ארגון אירופאי חייב לעבוד רק עם ספקים שנותנים ערובות מספקות להגנה על המידע (סעיף 28), ולכן גוף שלא עומד בדרישות יתקשה מאוד לעבוד מול גופים אירופאים.

הכללים של ה-GDPR חלים על כל בעל שליטה במידע או עסק שמעבד מידע ונמצא באיחוד האירופי, וגם על גופים מחוץ לאיחוד כמו שפירטנו למעלה.

במקרה של הפרת תקנות ה-GDPR הרגולטור יכול להטיל קנס כבד במיוחד: עד 4% מהמחזור השנתי העולמי או 20 מיליון יורו, הגבוה מביניהם.