תיקון 13 לחוק הגנת הפרטיות: מה עסק קטן חייב לעשות כבר עכשיו

יש לכם קובץ Excel עם פרטי לקוחות? רשימת תפוצה לניוזלטר? מצלמת אבטחה בכניסה למשרד? מ-14 באוגוסט 2025, כל אחד מאלה מוגדר “מאגר מידע” לפי חוק הגנת הפרטיות המעודכן - ואין בחוק פטור לעסקים קטנים. גם עסק עם 3 עובדים חייב לעמוד בכללים.

התיקון הזה לא עבר בשקט - הוא משנה את חלוקת האחריות, מגדיל את סמכויות האכיפה של הרשות להגנת הפרטיות, ומחייב עסקים לדעת בדיוק אילו מאגרי מידע יש להם ואיך הם מוגנים. הנה מה שבאמת צריך לעשות, בלי הפחדות ובלי ניסוח משפטי.

מה השתנה בתיקון 13

לפי המדריך הרשמי של הרשות להגנת הפרטיות, התיקון מחדד שלושה דברים בעיקר:

• שקיפות - חובה ליידע אנשים איך המידע שלהם ישמש, בשפה נהירה, לא רק בסעיף נעלם בתחתית האתר.
• הסכמה - איסוף מידע לצרכים שאינם הכרחיים לשירות דורש הסכמה מפורשת, לא הסכמה מרומזת.
• אחריות ואכיפה - בעל מאגר המידע (כלומר אתם, בעל העסק) נושא באחריות ישירה, והרשות קיבלה כלי אכיפה נרחבים יותר, כולל קנסות מנהליים.

מה בעצם נחשב “מאגר מידע”

ההגדרה בחוק רחבה בכוונה. אלה כולם מאגרי מידע:

• מאגר לקוחות או ספקים - כל קובץ עם שמות, טלפונים, ת”ז או כתובות
• מאגר עובדים - תלושי שכר, חוזים, פרטים אישיים
• רשימת תפוצה לדיוור, כולל ניוזלטר במייל
• מאגר צילומי אבטחה (מצלמות במשרד)
• כל מסד נתונים של CRM, מערכת חתימה דיגיטלית, או פלטפורמת ניהול לקוחות

אם משהו מהרשימה הזו מוכר לכם - יש לכם מאגר מידע, ותיקון 13 חל עליכם.

האם עסק קטן פטור מכלום?

חובת הרישום הפורמלי של מאגר מידע ברשות להגנת הפרטיות חלה רק על גופים ציבוריים וסוחרי מידע עם מאגר של יותר מ-10,000 בני אדם. רוב העסקים הקטנים לא מגיעים לסף הזה, ולא צריכים לרשום את המאגר.

אבל זה לא פטור מהחוק עצמו. חובות השקיפות, ההסכמה, והאבטחה חלות על כל מאגר מידע, בכל גודל.

מה לעשות בפועל - צ’קליסט

1. מיפוי מאגרי המידע שלכם

עברו על כל המקומות שבהם אתם שומרים מידע אישי - קבצים, מערכות, אימיילים, אקסלים ישנים על שולחן העבודה. אי אפשר להגן על מאגר שלא ידעתם שקיים.

2. מדיניות פרטיות מעודכנת ונגישה

לא מסמך משפטי שאף אחד לא קורא - טקסט קצר וברור שמסביר איזה מידע נאסף ולמה.

3. אבטחת מידע טכנית בפועל

כאן החוק נוגע ישירות בתשתית ה-IT שלכם - ראו את מדריך אבטחת המידע וציות לתיקון 13 המלא שלנו:

• בקרת גישה - רק מי שצריך לגשת למאגר, מגיע אליו. הרחבנו על זה במדריך בקרת גישה - מדריך למנהלים.
• הצפנה - מידע רגיש בתעבורה ובמנוחה. פירטנו את הנושא במדריך הצפנת מידע.
• גיבויים מאובטחים - כדי שאובדן נתונים לא יהפוך להפרת פרטיות. ראו חשיבות הגיבויים לעסק שלך.
• יומני גישה - תיעוד מי נגע במאגר ומתי.

4. מנגנון הסכמה אמיתי

טופס יצירת קשר או הרשמה לדיוור חייב לבקש הסכמה מפורשת, לא “בהמשך שימוש באתר אתם מסכימים ל…“.

5. יכולת מחיקה ותיקון מידע

אם לקוח מבקש שתמחקו את המידע שלו, אתם צריכים להיות מסוגלים לעשות את זה בפועל, לא רק להצהיר שאתם יכולים.

מתי צריך עזרה מקצועית

אם אתם קוראים את הרשימה למעלה ולא בטוחים אילו מאגרים יש לכם, איפה הם מאוחסנים, או מי בעסק יכול לגשת אליהם - זה בדיוק הרגע לעצור ולמפות, לפני שרגולטור עושה את זה בשבילכם. מיפוי מאגרים, בקרת גישה והצפנה הם תשתית IT שכל עסק צריך בלי קשר לחוק - תיקון 13 רק הפך אותם מ”כדאי” ל”חובה מתועדת”.

סיכום

תיקון 13 לא מבקש מכם להפוך למשרד עורכי דין. הוא מבקש שתדעו איזה מידע יש לכם, שתגנו עליו בפועל, ושתהיו שקופים לגבי איך אתם משתמשים בו. אם התשתית הטכנית שלכם - גיבויים, הצפנה, בקרת גישה - כבר מסודרת, רוב הדרך כבר מאחוריכם.

רוצים למפות את מאגרי המידע שלכם ולבדוק שהתשתית הטכנית עומדת בדרישות? אנחנו ב-Rtek מלווים עסקים לציות מלא כחלק ממעטפת שירותי אבטחת המידע שלנו. צרו קשר לשיחת ייעוץ קצרה.