איך תיקון 13 לחוק הגנת הפרטיות משפיע על העסק שלכם?

תיקון 13 לחוק הגנת הפרטיות לא רק עדכן את ההגדרות, אלא שינה מהותית את נקודת המבט על מה נחשב מידע אישי. אם בעבר היה מדובר בעיקר בשם, תעודת זהות וטלפון, היום גם כתובת IP, מיקום גיאוגרפי, היסטוריית גלישה, מזהים דיגיטליים ואפילו התנהגות אונליין נכנסים תחת ההגדרה. מעבר לכך, התיקון מייצר קטגוריה מיוחדת של “מידע רגיש במיוחד”, הכוללת נתונים ביומטריים (כגון טביעת אצבע או זיהוי פנים), מידע גנטי, עבר פלילי, נטייה מינית, נתונים רפואיים ופרטים פיננסיים. משמעות ההגדרה הרחבה היא שכל עסק שמחזיק או אוסף נתונים מסוג זה מחויב ברמה גבוהה יותר של שמירה, אבטחה ושקיפות מול הלקוחות.

לפני תיקון 13, כמעט כל מאגר (אפילו רשימת לקוחות בסיסית) היה חייב ברישום אצל רשם מאגרי המידע. החובה הזו יצרה עומס בירוקרטי מיותר ופגעה בעיקר בעסקים קטנים ובינוניים. התיקון משנה את הגישה: לא כל מאגר חייב ברישום, אלא רק מאגרים שעומדים בתנאים מסוימים, למשל גופים ציבוריים, חברות שמחזיקות מידע רגיש במיוחד על עשרות אלפי אנשים או עסקים שסוחרים במידע אישי בהיקפים גדולים. המשמעות היא הקלה מהותית לעסקים קטנים. עם זאת חשוב להדגיש כי גם אם מאגר לא חייב ברישום, הוא עדיין כפוף לכל הדרישות המהותיות של החוק – החל באיסוף שקוף ובהסכמה מודעת, ועד חובת אבטחת מידע ברמה נאותה.

עד לתיקון 13, החוק אמנם הציב כללים, אבל בפועל לא הייתה לרשות להגנת הפרטיות יכולת אמיתית לאכוף אותם. כעת התמונה השתנתה לחלוטין. לפי הפורום לעתיד הפרטיות, התיקון מעניק לרשות סמכויות חדשות שמכניסות “שיניים” לחוק: אפשרות להטיל קנסות מנהליים גבוהים, להוציא צווי הפסקת פעילות במקרים של הפרה, ואף לאפשר לאזרחים לדרוש פיצוי ללא הוכחת נזק. כלומר, לא צריך להוכיח שנגרם נזק כספי כדי לקבל פיצוי ועצם הפגיעה בפרטיות מספיקה. זהו שינוי דרמטי שמעלה את רמת האחריות על כל עסק ומייצר הרתעה אמיתית.

אחת החובות החדשות שמביא איתו התיקון היא מינוי ממונה הגנת פרטיות (Data Protection Officer – DPO) בארגונים גדולים. מדובר בתפקיד מקביל לקצין הגנת מידע ב-GDPR האירופי. הממונה צריך להיות עצמאי, בעל ידע מקצועי בתחום דיני הפרטיות ואבטחת מידע, וללא ניגוד עניינים מול הנהלת החברה. לפי פרסומים של המכון הישראלי למדיניות טכנולוגיה, וכן משרדי עורכי הדין Shibolet ו־Barnea, התפקיד של ה-DPO כולל: ליווי ההנהלה בקבלת החלטות, ווידוא שהארגון עומד בהוראות החוק, הדרכת עובדים, לשמש כתובת לפניות הציבור ולהיות נקודת קשר מול הרגולטור. המשמעות היא שבארגונים גדולים, הפרטיות כבר לא עניין צדדי, אלא תחום ניהול מרכזי עם אחריות ברורה.