החוק לא שואל אם ידעתם
תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-2025 ושינה את מה שמצופה מכל גוף שמחזיק מידע אישי בישראל. לא מדובר בהנחיה כללית, אלא בחובות ספציפיות עם לוחות זמנים, עיצומים כספיים, ואחריות אישית שיכולה להגיע עד לדרג הניהולי הבכיר ונושאי משרה.
הנקודה שמפתיעה עסקים רבים היא עד כמה החוק פוגש את הפעילות היומיומית שלהם, לא רק את מחלקת המשפטים. כל טופס שלקוח ממלא, כל ספק שמקבל גישה למידע, כל עובד שמטפל בנתוני לקוחות, כולם חלק מהמסגרת החוקית שתיקון 13 יוצר. ואת כולם צריך לתעד.
מה תיקון 13 קובע בפועל
החוק מגדיר שלוש חובות עיקריות שרלוונטיות לכמעט כל עסק ישראלי.
חובת ההסכמה: עסק לא רשאי לאסוף, לשמור, לעבד או להעביר מידע אישי על אדם ללא הסכמה מדעת מצדו. ההסכמה צריכה להינתן לגבי מטרה ספציפית, להיות מובנת, ולהיות ניתנת לביטול. המשמעות המעשית: לקוח שהסכים בעבר לקבל ניוזלטר לא הסכים בהכרח לכך שמידע עליו יעבור לשותף שיווקי. כל מטרת שימוש דורשת הסכמה נפרדת ומתועדת.
חובת מינוי ממונה: ארגונים מעל סף מסוים, שקבוע בתקנות, מחויבים למנות ממונה הגנת פרטיות DPO. זהו גורם שאחראי לוודא שהארגון עומד בכל דרישות החוק, לנהל את מאגרי המידע, לטפל בפניות של נושאי מידע, ולדווח לרשות להגנת הפרטיות במקרה של אירוע דליפה. הממונה אינו בהכרח עובד פנימי, ניתן למנות גורם חיצוני שמבצע את התפקיד, אבל המינוי עצמו חובה ואי ביצועו מהווה הפרה של החוק.
חובת האבטחה: הארגון חייב ליישם אמצעי אבטחה מתאימים לרמת הסיכון של המידע שברשותו, לבצע הערכת סיכונים, ולתעד את ההחלטות שקיבל בנוגע לאבטחה. במקרה של דליפת מידע, הארגון מחויב לדווח לרשות ובמקרים מסוימים גם לנושאי המידע שנפגעו.
מה קורה כשלא עומדים בחוק
הרשות להגנת הפרטיות קיבלה בתיקון 13 סמכויות אכיפה שלא היו לה קודם. עיצום כספי על הפרת חובת ההסכמה יכול להגיע לעשרות אלפי שקלים לכל אירוע. הפרות חוזרות או הפרות שנעשו ביודעין חשופות לסנקציות גבוהות יותר.
מעבר לעיצום עצמו, הרשות מוסמכת לפרסם את שמות הגופים שהפרו את החוק, מה שיוצר נזק תדמיתי שקשה לכמת. לקוחות שמגלים שמידע עליהם עובד ללא הסכמתם יכולים להגיש תלונה לרשות, וכל תלונה כזו פותחת הליך בדיקה שמחייב את הארגון לספק מסמכים ולענות על שאלות.
השאלה שהרשות שואלת ראשונה בכל בדיקה היא אחת: האם יש לכם תיעוד של ההסכמה? לא מדיניות פרטיות באתר, לא תיבת סימון שבה אף אחד לא קרא כלום, אלא הסכמה מדעת שניתנה על ידי האדם הספציפי למטרה הספציפית.
הטופס החתום הוא הראיה
כאן נכנס הטופס לתמונה, לא כפתרון נוח, אלא כחובה ראייתית. הדרך היחידה להוכיח שאדם הסכים לעיבוד המידע שלו היא להציג מסמך שהוא חתם עליו, שמתועד בו מה בדיוק הוא הסכים לו ומתי.
טופס נייר שנסרק וחסר תאריך, או מייל ישן שנמחק, לא יספיקו. הרשות מצפה לתיעוד שניתן לאמת אותו. תאריך, זיהוי החותם, גרסת המסמך שעליה ניתנה ההסכמה. חתימה דיגיטלית על טופס דיגיטלי יוצרת בדיוק את הרכיבים האלה מובנים בתוכה, ללא צורך בתהליכים נוספים.
הנקודה אינה טכנולוגית. הנקודה היא שכל טופס הסכמה שנשלח ללא אפשרות חתימה מאומתת הוא טופס שלא ניתן להסתמך עליו בפני הרשות.
מה ממונה הגנת פרטיות עושה ביחס לטפסים
חלק מרכזי מתפקיד ה-DPO הוא למפות כל נקודה שבה הארגון אוסף מידע, לבדוק האם קיים טופס הסכמה מתאים לכל אחת מהן, ולוודא שהטפסים האלה נשמרים בצורה שניתן לאחזר אותם. בארגונים שעוד עובדים עם ניירת, ממונה הגנת הפרטיות מגלה לרוב שהמצב בשטח רחוק מהמצב החוקי הנדרש.
הכוונה אינה להפחיד, אלא להציג את המציאות כפי שהיא – תיקון 13 בתוקף. הרשות להגנת הפרטיות כבר מקבלת תלונות. ואם ביקורת מגיעה, הארגון שיציג ארכיון מסודר של הסכמות חתומות ומתועדות נמצא במצב שונה לחלוטין מהארגון שמחפש קבצים ישנים.
חברת פורס מאז'ור מלווה ארגונים בישראל ביישום תיקון 13, כולל מינוי ממונה הגנת פרטיות, מיפוי מאגרי מידע ובניית תהליכי הסכמה תקינים.