תיקון 13 לחוק הגנת הפרטיות הוא השינוי המשמעותי ביותר בתחום מזה עשרות שנים. הוא לא משנה בעיקר מה אסור — הוא משנה מה קורה למי שלא מקיים. עד היום האכיפה הייתה חלשה. מעכשיו יש לרשות שיניים.
מה השתנה בפועל
- עיצומים כספיים משמעותיים. הרשות להגנת הפרטיות יכולה להטיל קנסות מנהליים, שחלקם נגזרים מהיקף המאגר וממחזור הפעילות. זה השינוי המרכזי.
- סמכויות חקירה ואכיפה מורחבות, לרבות ביחס לעבירות פליליות בתחום.
- חובת מינוי ממונה על הגנת הפרטיות לגופים מסוימים — בהם גופים ציבוריים, גופים שעיסוקם העיקרי עיבוד מידע, ובעלי מאגרים גדולים.
- חובת מינוי ממונה אבטחת מידע בהתאם לקריטריונים.
- חובות שקיפות ויידוע מורחבות כלפי מי שנאסף עליו מידע.
- הגדרות חדשות ל"מידע" ול"מידע בעל רגישות מיוחדת", שמרחיבות את תחולת החוק.
התיקון נכנס לתוקף בשלבים, וחלק מהחובות הוחלו לאחר תקופת היערכות. מי שמנהל מאגר צריך לבדוק מה חל עליו ומתי — זו לא שאלה תיאורטית כשמדובר בעיצום כספי.
על מי זה חל — כנראה גם עליך
הטעות הנפוצה היא לחשוב שמדובר רק בתאגידי ענק. בפועל כמעט כל עסק מנהל מידע אישי:
- רשימת לקוחות עם טלפונים ומיילים;
- מערכת זימון תורים;
- מצלמות אבטחה שמצלמות אנשים;
- רשימת דיוור;
- תיקי עובדים ומועמדים;
- קליניקה או מרפאה — ואז מדובר במידע בעל רגישות מיוחדת.
ארבע פעולות שכל עסק צריך לעשות
- למפות מה יש לך. איזה מידע נאסף, מאיפה, איפה הוא מאוחסן, מי ניגש אליו, וכמה זמן הוא נשמר. בלי מיפוי אין מה לאבטח.
- לבדוק את בסיס האיסוף. האם מי שמסר את המידע יודע לאיזו מטרה, ומסר אותו מרצון. דיוור ישיר מחייב התייחסות נפרדת.
- לצמצם. הכלל הפשוט ביותר והיעיל ביותר: לא לאסוף מה שלא צריך, ולמחוק מה שלא נדרש עוד. מידע שאין לך — אי אפשר לדלוף ממך.
- להסדיר ספקים. ענן, דיוור, סליקה, תמיכה — כל מי שנוגע במידע צריך הסכם שמסדיר מה מותר לו.
אירוע אבטחה — מה שעושים בשעה הראשונה
אם מידע דלף, פעל מיד:
- לבודד ולעצור את הדליפה, ולשמר תיעוד — אל תמחק לוגים.
- לתעד את מה שידוע: מתי, מה דלף, על כמה אנשים.
- לבדוק חובת דיווח לרשות להגנת הפרטיות ולנושאי המידע. באירוע חמור קיימת חובת דיווח, ואי-דיווח חמור מהאירוע עצמו.
- להתייעץ לפני הפרסום — הניסוח כלפי לקוחות הוא גם מסמך משפטי.
ולאדם הפרטי — מה מגיע לך
התיקון מחזק גם את הצד שלך:
- זכות עיון — לדעת איזה מידע מוחזק עליך, ולדרוש לראותו.
- זכות תיקון ומחיקה של מידע שגוי או לא רלוונטי.
- זכות להסרה מדיוור, ולזה יש שיניים משלו.
- תביעה אזרחית בגין פגיעה בפרטיות — ובחלק מהמקרים פיצוי ללא הוכחת נזק.
- תלונה לרשות להגנת הפרטיות — ועכשיו היא גם יכולה לעשות משהו עם זה.
השורה התחתונה
עד היום הגנת הפרטיות הייתה נושא שדחו. היום היא סיכון כספי מדיד. עסק שמנהל מאגר ולא בדק את חובותיו מהתיקון — עושה את זה בלי לדעת כמה זה עלול לעלות.
צריך ייעוץ בנושא הזה?
חייגו 052-638-8340 · או שלחו הודעה בוואטסאפ
עו"ד יוסי דגה — זמין 24/7 לשיחת מעצר. משרד: מצדה 7, בני ברק. ייצוג בכל הארץ, לרבות מחוז הדרום — באר שבע, אשקלון, אשדוד וקריית גת. שיחה ראשונה היא בירור קצר: מה המצב, מה דחוף ומה עושים עכשיו.