תיקון 13 עובר לאכיפה: האם הארגון שלכם מוכן לביקורת הבאה?

במשך תקופה ארוכה ארגונים התייחסו לתיקון 13 לחוק הגנת הפרטיות כאל פרויקט היערכות: ללמוד את הוראות החוק, לעדכן מסמכים, למפות מאגרי מידע ולבחון האם קיימת חובה למנות ממונה הגנת פרטיות.

השלב הזה הסתיים ועברנו לשלב האכיפה.

על פי פרסום בגלובס, הרשות להגנת הפרטיות מנהלת יותר ממאה תיקי אכיפה נגד גופים במשק, בעקבות חשדות להפרות שונות, ובהן ליקויים בדיווח על אירועי אבטחה.
הפרסום הגיע לאחר הטלת עיצום כספי בסך 256 אלף שקל על קופת חולים מאוחדת, בעקבות עיכוב בדיווח על אירוע שבו נחשף מידע רפואי רגיש.

המסר לארגונים ברור: תיקון 13 לחוק הגנת הפרטיות, אינו עוד סעיף ברשימת הדרישות המשפטיות. הוא משנה את רמת האחריות הניהולית, מרחיב את כלי האכיפה ומחייב ארגונים להראות כיצד הם שולטים במידע האישי שבאחריותם – לפני אירוע, במהלכו ולאחריו.

מה השתנה בעקבות תיקון 13 לחוק הגנת הפרטיות?

תיקון 13, שנכנס לתוקף ב-14 באוגוסט 2025, הוא אחד השינויים המקיפים ביותר שנעשו בחוק הגנת הפרטיות הישראלי מאז חקיקתו.

התיקון מחזק את סמכויות הפיקוח והאכיפה של הרשות להגנת הפרטיות, מרחיב את האפשרות להטיל עיצומים כספיים ומעדכן הגדרות מרכזיות הנוגעות למידע אישי ולמידע בעל רגישות מיוחדת. לצד צמצום של חלק מחובות הרישום הטכניות, הוא מעביר את מרכז הכובד לאחריותיות ארגונית מהותית.

הארגון נדרש לדעת ולהוכיח:

• איזה מידע אישי הוא אוסף ומעבד.
• לאילו מטרות המידע משמש.
• מי רשאי לגשת אליו.
• עם אילו ספקים וצדדים שלישיים הוא משותף.
• כיצד נשמר המידע ומתי הוא נמחק.
• כיצד מזוהים ומנוהלים אירועי אבטחה.
• מי מקבל החלטות בנושאי פרטיות ודיווח.
• כיצד הארגון מתעד את הפעולות ואת שיקול הדעת שלו.

במילים אחרות, לא מספיק להחזיק מדיניות פרטיות, נוהל אבטחת מידע או מסמך שנכתב לקראת ביקורת. נדרש מנגנון ניהולי פעיל, מתועד ומדיד.

למידע נוסף ניתן לקרוא על ליווי ויישום חוק הגנת הפרטיות ותיקון 13 באינפוגארד.

אירוע אבטחה אינו מתחיל ברגע שבו הושלמה החקירה

אחת הנקודות המשמעותיות שעולות ממגמת האכיפה היא חשיבותו של מועד הדיווח.

בעת אירוע אבטחה, ארגונים נוטים לבקש תחילה להבין את התמונה המלאה:
מה קרה, כמה רשומות נחשפו, מי אחראי, האם המידע הועתק ומה היקף הנזק. הבירור הטכני חשוב, אך הוא אינו יכול להתנהל במנותק מבחינת חובות הדיווח והציות.

עמדת הרשות, כפי שהיא משתקפת במקרה שפורסם, היא שאין להמתין לסיום החקירה הפנימית כדי להתחיל לבחון וליישם את חובת הדיווח.

לכן ארגון אינו יכול לבנות את תהליך התגובה שלו רק סביב צוותי IT, סייבר או Incident Response. מרגע שמתגלה חשד לחשיפה של מידע אישי, נדרש חיבור מיידי בין כמה פונקציות:

• אבטחת מידע וסייבר.
• הנהלה וניהול סיכונים.
• ייעוץ משפטי וציות.
• ממונה הגנת הפרטיות.
• תקשורת ארגונית, בהתאם לחומרת האירוע.
• בעלי המערכות והיחידות העסקיות הרלוונטיות.

כאשר חלוקת האחריות אינה מוגדרת מראש, הארגון עלול לבזבז זמן קריטי על השאלה מי מוסמך לקבל החלטה, מי פונה לרשות ואיזה מידע צריך להיכלל בדיווח.

מוכנות לאירוע נבנית לפני האירוע

ארגון שמנסה לבנות את תהליך הדיווח בזמן אירוע כבר נמצא בנקודת נחיתות.

כדי לעמוד בדרישות החוק והרגולציה, נדרש נוהל תגובה שמחבר בין הטיפול הטכנולוגי לבין הטיפול בפרטיות. הנוהל צריך להגדיר מנגנון הסלמה ברור, זמני תגובה, אופן תיעוד, גורמים מאשרים וקריטריונים ראשוניים להערכת חומרת האירוע.

היערכות נכונה כוללת, בין היתר:

מיפוי מידע ומערכות

כדי להעריך אירוע במהירות, הארגון צריך לדעת מראש איזה מידע נשמר בכל מערכת, מהי רגישותו, מי בעל המערכת ואילו אוכלוסיות עשויות להיות מושפעות.

ללא מיפוי כזה, גם אירוע טכנולוגי שנראה נקודתי עלול להתפתח לחקירה ממושכת רק כדי להבין אילו נתונים היו מעורבים.

מטריצת אחריות

יש להגדיר מי אחראי על הזיהוי, מי מעריך את ההשפעה על הפרטיות, מי מחליט על דיווח ומי מתקשר עם הרשות, עם לקוחות ועם גורמים נוספים.

תיעוד החלטות

גם כאשר מתקבלת החלטה שלא לדווח, חשוב לתעד את העובדות שהיו ידועות, את הערכת הסיכון, את הגורמים שהשתתפו בהחלטה ואת הנימוקים המקצועיים.

תיעוד אינו פעולה אדמיניסטרטיבית בלבד. הוא חלק מהיכולת של הארגון להציג אחריותיות ולהסביר את פעולותיו בביקורת.

תרגול תקופתי

נוהל שלא נוסה עלול להיכשל ברגע האמת. תרגיל שולחני המשלב סייבר, פרטיות, משפטים והנהלה מאפשר לזהות פערים בתקשורת, בסמכויות ובקבלת ההחלטות לפני אירוע אמיתי.

תפקיד ה-DPO בעידן של אכיפה פעילה

תיקון 13 קובע חובת מינוי ממונה הגנת פרטיות – DPO – בסוגים מסוימים של ארגונים, ובהם גופים ציבוריים וארגונים המעבדים מידע אישי בעל רגישות מיוחדת או מידע בהיקף משמעותי, בהתאם לתנאים שנקבעו בחוק.

עם זאת, גם ארגון שאינו חייב פורמלית במינוי DPO צריך לשאול שאלה ניהולית פשוטה: מי מוביל בפועל את תחום הפרטיות?

DPO אפקטיבי אינו רק גורם שמעדכן את מדיניות הפרטיות באתר. תפקידו ליצור חיבור שוטף בין החוק לבין פעילות הארגון.

בין תחומי האחריות המרכזיים:

• מיפוי תהליכי עיבוד מידע אישי.
• מעקב אחר חובות החוק והרגולציה.
• בחינת סיכוני פרטיות בפרויקטים ובמערכות חדשות.
• עבודה מול ספקים ומעבדי מידע.
• טיפול בבקשות של נושאי מידע.
• השתתפות בתהליכי תגובה לאירועי אבטחה.
• הדרכת עובדים ובעלי תפקידים.
• בקרה על תוכניות העבודה ותיעוד פעולות הציות.
• דיווח להנהלה על פערים וסיכונים מהותיים.

ה-DPO אינו מחליף את מנהל אבטחת המידע, את היועץ המשפטי או את צוות ה-IT. הוא פועל לצדם ומוודא שהשפעת האירוע על אנשים, על זכויותיהם ועל חובות הארגון נבחנת כחלק בלתי נפרד מתהליך קבלת ההחלטות.

ארגונים שאין בהם צורך או יכולת לפתוח תקן פנימי יכולים להסתייע ב-שירותי ממונה הגנת הפרטיות DPO במיקור חוץ, המאפשרים לנהל מדיניות, תהליכים, ספקים, תיעוד ובקרה במסגרת פעילות שוטפת ומדידה.

האחריות אינה נעצרת במערכות הפנימיות

חלק משמעותי מהמידע האישי של ארגונים מעובד כיום מחוץ לגבולות הארגון:
במערכות ענן, מערכות CRM, ספקי דיוור, מוקדי שירות, מערכות שכר, כלי אנליטיקה וספקי תמיכה.

לכן מיפוי מערכות פנימיות בלבד אינו מספיק.

הארגון צריך להבין:

• אילו ספקים מקבלים גישה למידע אישי.
• מה מטרת ההעברה.
• היכן המידע נשמר.
• אילו קבלני משנה מעורבים.
• כיצד הספק מדווח על אירוע אבטחה.
• בתוך כמה זמן הוא מחויב לעדכן את הארגון.
• מה קורה למידע בסיום ההתקשרות.
• אילו מנגנוני פיקוח ובקרה קיימים בפועל.

סעיף חוזי כללי שלפיו הספק ישמור על סודיות אינו תחליף לבדיקת סיכונים, לחלוקת אחריות ולמנגנון דיווח ישים.

במציאות שבה חובת הדיווח עשויה להיבחן מרגע שנודע על אירוע, עיכוב מצד ספק עלול להפוך במהירות לחשיפה רגולטורית של הארגון עצמו.

החיבור בין תיקון 13 לתקני ISO

עמידה בתקן ISO אינה מעניקה חסינות מהפרת חוק, ואינה מחליפה בחינה משפטית של דרישות תיקון 13. עם זאת, תקני ניהול יכולים לספק תשתית יעילה להטמעת הדרישות כחלק משגרת העבודה.

ISO/IEC 27001 – ניהול אבטחת מידע מבוסס סיכון

תקן ISO/IEC 27001 מספק מסגרת להקמה ולניהול של מערכת ניהול אבטחת מידע — ISMS. הוא מבוסס על זיהוי סיכונים, בחירת בקרות, הגדרת אחריות, ניטור, ביקורת ושיפור מתמשך.

עקרונות אלה מתחברים ישירות לצורך לנהל מידע אישי בצורה מבוקרת: מיפוי נכסים, הרשאות, ניהול ספקים, תגובה לאירועים, תיעוד ובחינת אפקטיביות הבקרות.

ISO/IEC 27701 – מערכת ניהול פרטיות

התקן הרלוונטי והממוקד יותר הוא ISO/IEC 27701, המגדיר דרישות והנחיות להקמה, ליישום ולשיפור מתמשך של מערכת ניהול מידע פרטיות – PIMS.

גרסת ISO/IEC 27701:2025 מתמקדת באחריות של ארגונים המעבדים מידע המאפשר זיהוי אישי ומספקת מסגרת סדורה לניהול סיכוני פרטיות, אחריותיות, תהליכים ובקרות.

החיבור בין תיקון 13 לבין ISO 27701 מאפשר להפוך את דרישות הפרטיות ממענה נקודתי למערכת ניהולית:

• הגדרת תפקידים ואחריות.
• ניהול רשומות של פעילויות עיבוד.
• הערכת סיכוני פרטיות.
• ניהול ספקים ומעבדי מידע.
• טיפול בזכויות נושאי מידע.
• תכנון תגובה לאירועים.
• ביקורות תקופתיות ושיפור מתמשך.
• הצגת ראיות לעמידה בתהליכים.

למידע נוסף ניתן לקרוא על ייעוץ וליווי בתחומי תקינה ורגולציה ועל תקן ISO 27001 לניהול אבטחת מידע.

לא רק מסמכים: מה ארגונים צריכים לבדוק עכשיו?

השלב הראשון אינו בהכרח כתיבה מחדש של כל הנהלים. מומלץ להתחיל בהערכת מצב ממוקדת שתבחן האם קיימת התאמה בין המסמכים לבין העבודה בפועל.

1. האם ברור איזה מידע אישי נמצא בארגון?

יש לזהות את המאגרים, המערכות, הממשקים, הטפסים, קובצי הייצוא והמידע המועבר לספקים.

2. האם בוצע סיווג של המידע?

לא כל מידע מייצר אותו סיכון. יש לזהות מידע בעל רגישות מיוחדת, מידע רפואי, פיננסי, ביומטרי, מידע על עובדים ומידע על אוכלוסיות רגישות.

3. האם תהליך הדיווח על אירועים ברור?

יש לוודא שעובדים, ספקים וצוותים טכנולוגיים יודעים למי לפנות כאשר קיים חשד לחשיפה, לשימוש לא מורשה או לשליחת מידע לגורם שגוי.

4. האם ה-DPO מעורב בזמן?

ממונה הגנת הפרטיות צריך להיות משולב בפרויקטים, בהתקשרויות ובאירועים מראש – ולא לקבל עדכון לאחר שהמערכת כבר עלתה לאוויר או לאחר שהאירוע הסתיים.

5. האם ניתן להציג ראיות?

רגולציה נבחנת באמצעות תיעוד: פרוטוקולים, הערכות סיכון, אישורי הנהלה, בדיקות ספקים, הדרכות, בקרות, תרגילים ותיעוד טיפול בפערים.

6. האם האתר והנכסים הדיגיטליים תואמים את פעילות האיסוף בפועל?

יש לבדוק:

• טפסים, Cookies
• כלי אנליטיקה
• מערכות דיוור
• רכיבי צד שלישי
• מנגנוני הסכמה
• העברות מידע.

ניתן להתחיל באמצעות סקר פערים להגנת הפרטיות באתרים ובאפליקציות או בתהליך מקיף של התאמת אתרים לחוק הגנת הפרטיות ולתיקון 13.

פרטיות היא פונקציה ניהולית, לא רק משפטית

גל האכיפה המתפתח ממחיש שינוי עמוק:
הגנת פרטיות אינה יכולה להישאר באחריות בלעדית של המחלקה המשפטית או להצטמצם למסמכים המפורסמים באתר.

היא דורשת ניהול משולב של אנשים, מערכות, ספקים ותהליכים.

הנהלת הארגון צריכה לקבל תמונת מצב ברורה: היכן נמצא המידע, מהם הסיכונים, אילו פערים נותרו פתוחים, מי אחראי לטפל בהם ומה יקרה במקרה של אירוע.

ה-DPO צריך לקבל עצמאות, גישה למידע ויכולת להציף פערים. מנהל אבטחת המידע צריך לחבר בין הסיכונים הטכנולוגיים לבין רגישות המידע. בעלי המערכות צריכים להבין שהם אינם מנהלים רק מערכת עסקית, אלא גם מידע אישי שעליו חלות חובות.

מידע נוסף:
האם גל התביעות הבא כבר בדרך אלינו? תיקון 13 לחוק הגנת הפרטיות

השאלה אינה האם הרשות תאכוף – אלא מה הארגון יוכל להציג

העידן שבו ניתן היה להציג מדיניות כללית ולהסתפק בהצהרה שהארגון מתייחס לפרטיות ברצינות הולך ומסתיים.

כאשר מתרחש אירוע או נפתחת ביקורת, הארגון נדרש להציג תהליך:

1. מיפוי
2. הערכת סיכונים
3. בעלי תפקידים
4. החלטות
5. דיווחים
6. בקרות
7. תיקון פערים

היערכות נכונה לתיקון 13 אינה צריכה להתחיל בפחד מקנסות או תביעות. היא צריכה להתחיל בהבנה שניהול מידע אישי הוא חלק מהאחריות העסקית, התפעולית והניהולית של הארגון.

ארגון שיודע היכן נמצא המידע שלו, מי אחראי עליו וכיצד הוא מגיב כאשר משהו משתבש, מצמצם לא רק את החשיפה הרגולטורית – אלא גם את הנזק ללקוחות, לעובדים, למוניטין ולהמשכיות העסקית.

איך אינפוגארד מסייעת לארגונים להיערך?

אינפוגארד מלווה ארגונים בתרגום דרישות חוק הגנת הפרטיות ותיקון 13 לתוכנית עבודה ישימה ומדידה.

הליווי יכול לכלול:

• סקר פערים מול דרישות החוק והתקנות.
• מיפוי מאגרים ותהליכי עיבוד מידע.
• בחינת החובה והצורך במינוי DPO.
• שירותי DPO במיקור חוץ.
• כתיבה ועדכון של מדיניות ונהלים.
• תסקירי השפעה על הפרטיות – PIA.
• בדיקות ספקים והסכמי עיבוד מידע.
• בניית נוהל תגובה ודיווח על אירועי אבטחה.
• תרגילים והדרכות לבעלי תפקידים.
• ליווי לתקני ISO 27001 ו-ISO 27701.
• בקרה שוטפת ומוכנות לביקורת.

המטרה אינה רק לסמן שהארגון “עומד בדרישות”, אלא לבנות מנגנון פרטיות ואבטחת מידע שניתן להפעיל, למדוד ולהציג כאשר הוא נבחן.

לשיחה עם מומחי הפרטיות, הרגולציה ואבטחת המידע של אינפוגארד

מידע נוסף באתר:

1. חוק הגנת הפרטיות ותיקון 13
   ליווי ויישום חוק הגנת הפרטיות ותיקון 13
2. שירותי ממונה הגנת הפרטיות DPO
   שירותי DPO במיקור חוץ
3. תקינה ורגולציה
   ייעוץ וליווי בתחומי תקינה ורגולציה
4. סקר פערים להגנת הפרטיות באתרים ובאפליקציות
   סקר פערים להגנת הפרטיות
5. התאמת אתרים לתיקון 13
   התאמת אתרים לחוק הגנת הפרטיות ולתיקון 13

המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו בא להחליף ייעוץ מקצועי, רגולטורי, משפטי או טכנולוגי. כל ארגון נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים.
המאמר נכתב בשיתוף מומחי אבטחת המידע והסייבר של Infoguard מקבוצת IDOR, ונערך על ידי ROY KISCH, חובב אבטחת מידע, סייבר ומנהל השיווק של קבוצת חברות עידור (Messagent, Infoguard, Idornext).