התיקון עדכן הגדרות, הרחיב סמכויות אכיפה והוסיף חובת מינוי ממונה בקטגוריות מסוימות. מה זה אומר טכנית לקובץ לקוחות, ומה נשאר שאלה למשפטן ולא למפתח.
עיקרי הדברים
- לפי גילוי הדעת של הרשות, התיקון אושר בכנסת ב-5 באוגוסט 2024 וכל הוראותיו נכנסו לתוקף ב-14 באוגוסט 2025.
- התיקון עדכן את ההגדרה של "עיבוד", ולפי גילוי הדעת עיבוד מידע אישי הוא כל פעולה המבוצעת על מידע אישי, לרבות עצם אחסון המידע או העיון בו.
- חובת מינוי ממונה על הגנת הפרטיות נקבעה בסעיף 17ב1 לחוק, ובקטגוריות שמנויות שם, ולא באופן גורף לכל עסק.
- גילוי הדעת מציין שהפרשנות בו תשמש את הרשות בהפעלת סמכויותיה, לרבות הסמכות להטיל עיצומים כספיים.
- אף אחת מהעובדות האלה לא אומרת מה חל עליכם. זו שאלה נפרדת, ולא שאלה הנדסית.
תיקון 13 לחוק הגנת הפרטיות אושר בכנסת ב-5 באוגוסט 2024 ונכנס לתוקף ב-14 באוגוסט 2025, לפי גילוי דעת של הרשות להגנת הפרטיות. הוא עדכן הגדרות מרכזיות, הרחיב את סמכויות האכיפה של הרשות, והוסיף חובת מינוי ממונה על הגנת הפרטיות בקטגוריות מוגדרות.
זהו תיאור עובדתי של מה שהתיקון עוסק בו, ולא ייעוץ משפטי. השאלה אילו חובות חלות על עסק מסוים היא שאלה לעורך דין או לרשות להגנת הפרטיות.
מה השתנה ברמת ההגדרות, ולמה זה משנה למפתח
הגדרות הן החלק שמעניין מי שבונה מערכות, כי הן קובעות אילו פעולות בכלל נספרות. גילוי הדעת של הרשות מציין שלפי ההגדרה המעודכנת של "עיבוד" בחוק, עיבוד מידע אישי הוא כל פעולה המבוצעת על מידע אישי, לרבות עצם אחסון המידע או העיון בו.
מבחינה הנדסית זו אמירה משמעותית, כי היא לא מבחינה בין מערכת שמעבדת נתונים לבין מערכת שרק מחזיקה אותם. שרת קבצים ישן שאיש לא נוגע בו מחזיק מידע, וגיליון אלקטרוני שמישהו פותח פעם בחודש נצפה. שני המקרים האלה נופלים תחת אותה מילה.
| מונח | מה הוא מציין בהקשר של קובץ לקוחות | למה זה רלוונטי טכנית |
|---|---|---|
| מידע אישי | הנתונים על אנשים שבקובץ | קובע איזה קובץ בכלל בתמונה |
| עיבוד | כל פעולה, לרבות אחסון או עיון | מרחיב מעבר למערכות "פעילות" |
| בעל שליטה | הגורם שהמאגר בשליטתו | קובע מי הכתובת לשאלות |
| מחזיק | גורם חיצוני שמעבד עבור אחר | ספקים ושירותים חיצוניים נכנסים לתמונה |
| מידע בעל רגישות מיוחדת | קטגוריות שמנויות בהגדרה שבחוק | מגדיר קטגוריה נפרדת עם התייחסות משלה |
כל מונח בטבלה מוגדר בנוסח החוק. הטבלה מסבירה למה הוא מופיע בשיחה על קובץ אקסל, לא מה נגזר ממנו.
מי הוא מי סביב קובץ לקוחות אחד?
זו השאלה הראשונה שמערכת אמיתית נתקלת בה, כי קובץ לקוחות כמעט אף פעם לא יושב במקום אחד. גילוי הדעת של הרשות מסביר שבהתאם להגדרה המעודכנת, כאשר גורם חיצוני מאחסן מידע או מעיין בו עבור גוף אחר, אותו גורם הוא בבחינת "מחזיק" לפי החוק.
מבחינת מפה טכנית, זה מתרגם לשאלות שאפשר לענות עליהן בלי משפטן:
- מי הגורם שהחליט מה נאסף ולשם מה.
- אילו ספקים חיצוניים נוגעים בקובץ בפועל, כולל אחסון גיבוי ותמיכה.
- אילו עובדים יכולים לפתוח אותו היום.
- באילו מקומות נוספים קיימים עותקים של אותו קובץ.
- מי היה מקבל התראה אם הקובץ היה יוצא החוצה.
התשובות האלה הן נתונים, לא מסקנות. הן גם בדיוק מה שדרוש כדי לשאול שאלה מדויקת אצל עורך דין במקום שאלה כללית.
מה הרשות פרסמה בנוגע לחובת מינוי ממונה
הרשות להגנת הפרטיות פרסמה גילוי דעת ייעודי בנושא מינוי ממונה על הגנת הפרטיות לפי דרישות תיקון 13. המסמך מציין שהחובה למנות ממונה נקבעה בגופים ציבוריים ובשורה של ארגונים נוספים שפעולתם כרוכה בסיכון גבוה לפרטיות, ומפרט את הקטגוריות לפי סעיפי החוק.
בין הקטגוריות שהמסמך דן בהן מופיע, למשל, בעל שליטה במאגר שמטרתו העיקרית היא איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה, כשיש במאגר מידע על יותר מ-10,000 בני אדם. המסמך מפרט קטגוריות נוספות ומדגיש שהפירוט בו אינו ממצה, ושבמקרה של ספק ניתן לפנות בשאלה ספציפית לרשות להגנת הפרטיות.
מה כן אפשר לעשות בלי להכריע שום שאלה משפטית
הפער בין "לא יודעים אם זה חל עלינו" לבין "לא יודעים בכלל מה יש לנו" הוא פער הנדסי, ואפשר לסגור אותו בלי אף הכרעה משפטית.
- לרשום איפה הקובץ יושב, בכמה עותקים, ובאילו שירותים.
- לדעת מי ניגש אליו, מתי, ובאיזו הרשאה.
- לדעת מאיפה הנתונים הגיעו ולאיזו מטרה נאספו.
- לדעת מה יוצא החוצה: ייצוא לקובץ, שליחה בדוא"ל, העלאה לכלי חיצוני.
- לדעת מה נמחק ומתי, ולא רק מה נשמר.
הפריט הרביעי הוא זה שמפתיע. קובץ לקוחות שנשלח למישהו כדי לנתח אותו בכלי חיצוני יצא מגבולות הארגון, וזה שיקול נפרד לגמרי שמתואר בהערכת סיכון בהעברת נתוני לקוחות לכלי AI. האינוונטר עצמו והדרך לבנות אותו מפורטים במיפוי נתונים אישיים בעסק קטן.
מה הרשות פרסמה על סמכויות האכיפה
היבט שני של התיקון, מלבד ההגדרות, הוא מה שהרשות יכולה לעשות. בגילוי הדעת בנושא מינוי ממונה מצוין שהפרשנות המוצגת בו תשמש את הרשות בעת הפעלת הסמכויות המוקנות לה, לרבות הסמכות להטיל עיצומים כספיים בגין הפרה של החובה למנות ממונה על הגנת הפרטיות ושל הוראות אחרות בחוק הנוגעות למעמדו ולמתכונת העסקתו.
שתי נקודות שנובעות מכך למי שמנהל מערכות, ושתיהן עובדתיות:
- מסמכי הרשות אינם רק הסבר. הם מצהירים על הפרשנות שתשמש אותה בפועל, ולכן כדאי לקרוא את המקור ולא סיכום שלו.
- המונחים בחוק מוגדרים שם ולא בשפה עסקית יומיומית, כך ש"לקוח", "רשומה" או "רשימה" אינם מונחים שמתאימים אחד לאחד למונחי החוק.
מה שנגזר מזה לגבי עסק ספציפי אינו נושא לתיאור טכני. זו בדיוק הנקודה שבה השאלה עוברת לעורך דין או לרשות עצמה.
למה גיליון אלקטרוני הוא הפריט הכי קשה לתאר?
לא בגלל התוכן, אלא בגלל ההתנהגות. מסד נתונים אפשר לתאר: יש סכימה, יש הרשאות, יש יומן. גיליון מתפצל.
- הוא נשלח כקובץ מצורף, וכל נמען מחזיק עותק.
- הוא נשמר בשולחן העבודה, בענן, ובתיקיית גיבוי ישנה.
- אין בו יומן גישה שאפשר לשאול אותו מי פתח מה.
- שינוי בו לא מותיר עקבות ברמת השורה.
- הוא ממשיך להתקיים אחרי שהמערכת שהחליפה אותו כבר עלתה.
זו הסיבה שהמעבר ממערכת מבוססת גיליונות לבסיס נתונים מתואר לרוב כשיפור תפעולי, בעוד שהיתרון הגדול הוא בכלל היכולת לענות על שאלות. הצד המעשי של המעבר מפורט בשיטת מעבר מארבעים גיליונות אקסל.
מקורות
שאלות נפוצות
התיקון חל על כל עסק שמחזיק רשימת לקוחות?
זו שאלה משפטית, והתשובה תלויה בנסיבות. מה שכן מתועד בגילוי הדעת של הרשות הוא שחובת מינוי ממונה נקבעה בקטגוריות מוגדרות לפי סעיפי החוק, ולא באופן גורף. את התחולה על עסק ספציפי מבררים מול עורך דין או מול הרשות.
מה נחשב "עיבוד" של מידע?
לפי גילוי הדעת של הרשות, בהתאם להגדרה המעודכנת בחוק, עיבוד מידע אישי הוא כל פעולה המבוצעת על מידע אישי, לרבות עצם אחסון המידע או העיון בו. המשמעות היא שהמונח אינו מוגבל לפעולות חישוב או ניתוח על הנתונים.
מתי התיקון נכנס לתוקף?
לפי גילוי הדעת של הרשות להגנת הפרטיות, תיקון מספר 13 אושר בכנסת ביום 5 באוגוסט 2024, וכל הוראותיו, לרבות החובה למנות ממונה על הגנת הפרטיות, נכנסו לתוקף ביום 14 באוגוסט 2025.
מה אפשר להתחיל לעשות בלי עורך דין?
לתעד. איפה הנתונים יושבים, כמה עותקים יש, מי ניגש, מה יוצא החוצה ומה נמחק. אלה נתונים ולא מסקנות, והם מה שהופך פגישה עם עורך דין לשאלה ממוקדת במקום לסקירה כללית שמסתיימת בהמלצה לבדוק הכל.
להמשך קריאה
שירות רלוונטי
פיתוח MVP
להפוך רעיון למוצר מאומת תוך שבועות, לא חודשים.
על הכותב
יהונתן סעדיה
מפתח פרילנסר לאוטומציה, אתרים ו-MVP
אני יהונתן סעדיה, מפתח בכיר שבונה אוטומציה עסקית, אתרים מותאמים ומוצרי MVP לעסקים קטנים ובינוניים בארה"ב, אירופה וישראל. המדריכים האלה נכתבים מתוך עבודה אמיתית עם לקוחות, לא מתיאוריה.
בוא נעבוד יחדיש לך פרויקט דומה?
ספר לי מה אתה רוצה לבנות או איזה תהליך להפוך לאוטומטי. אני חוזר תוך 24 שעות עסקים עם כמה שאלות ממוקדות, ואז עוברים על זה יחד בשיחת היכרות חינמית של 30 דקות, בלי התחייבות. בסוף יש לך היקף עבודה, לוח זמנים ומחיר קבוע - או תשובה כנה שלא שווה לבנות את זה.