ב-14 אוגוסט 2025 ייכנס לתוקף תיקון 13 לחוק הגנת הפרטיות - שינוי רגולטורי נרחב שמקנה סמכויות חדשות לרשות להגנת הפרטיות, מחייב מינוי ממונה פרטיות בארגונים מסוימים ומציב דרישות חדשות בפני חברות הטכנולוגיה הישראליות.
עבור חברות טכנולוגיה - מפלטפורמות פרסום ודאטה, דרך אפליקציות בריאות דיגיטלית, חברות גיימינג, ועד סטארט-אפים בתחום הסייבר - המשמעות היא שינוי מהותי באופן איסוף, ניהול ושימוש במידע אישי. חברות שאינן נערכות בזמן עלולות להיחשף לקנסות, לפגיעה במוניטין ולאובדן אמון מצד לקוחות ושותפים עסקיים.
סמכויות אכיפה מוגברות
"תיקון 13 הוא השינוי המשמעותי ביותר בדיני הפרטיות בישראל מזה שנים רבות", מסביר עו"ד אליעד שולומוביץ', ראש תחום הגנת הפרטיות במשרד ש. פרידמן, אברמזון ושות'. "הוא יסייע לשמר את מעמד התאימות (Adequacy) של ישראל מול האיחוד האירופי, שמאפשר סחר ושיתופי פעולה מחקריים עם מדינות האיחוד ללא מגבלות בירוקרטיות ורגולטוריות בשל היבטי פרטיות ואבטחת מידע".
"בתיקון הנוכחי מקווה מדינת ישראל לדלג על עשרות שנים של פיגור רגולטורי ולהדביק את פער הקידמה, גם בתחום אבטחת המידע וניהולו. התקבל נוסח מחמיר יחסית לישראל, כי היא נדרשת לעדכון גדול בתחום", מסבירה מיכל וינטראוב, Senior Director of Products, בחברת BigID, שמציינת כי גם בעקבות התיקון המצב אינו טוב: "חשוב להבין שנעשה שימוש במידע הפרטי שלנו על ידי כל החברות המסחריות שיש לנו איתן קשר, והמידע הזה, כרגע, לא מקבל את ההגנות הנדרשות. לכן, התיקון הוא צעד מתבקש ונחוץ, גם אם לא מספק לגמרי בפני עצמו. הוא מעביר את האחריות על הגנת הפרטיות אל הארגונים עצמם, ודורש מהם לא רק לעמוד בדרישות החוק אלא גם לאמץ תפיסה תרבותית חדשה, שבה פרטיות אינה מטלה רגולטורית אלא עיקרון אתי ומקצועי".
חובת מינוי ממונה פרטיות
על פי שולומוביץ', אחד השינויים המרכזיים הוא חובת מינוי ממונה הגנת פרטיות (DPO) בארגונים מסוימים. הממונה ישמש יועץ ללא אחריות אישית ישירה להפרות החוק, שתפקידו להיות מקור הידע הנוגע לפרטיות הארגון, להשריש "תרבות" של פרטיות ולהדריך את ההנלה והעובדים.
"המינוי יהיה חובה עבור ארבע קטגוריות עיקריות", הוא מסביר. "גופים ציבוריים וכל מי שמעבד מידע אישי עבורם; חברות דיוור ישיר ועסקים שאוספים מידע לשם העברתו לצדדים שלישיים; ארגונים שפעילותם העיקרית כרוכה בניטור שוטף ושיטתי בהיקף ניכר, כגון ניטור אונליין, פרופיילינג או אפליקציות מעקב; וארגונים שהפעילות העיקרית שלהם כוללת עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר".
"היערכות אמיתית לתיקון 13 מתחילה בביצוע Privacy Audit מקיף - מיפוי מאגרי המידע, ניתוח הסיכונים והבנת הפערים מול הדרישות החדשות", אומרת אולגה גנקין, מנכ"לית אשנב מקבוצת Aman. "לאחר מכן יש להטמיע תהליכים ארגוניים חדשים: ניסוח מדיניות פרטיות, אבטחת מידע, טפסי הסכמה ומערך טיפול בבקשות מהציבור".
אתגרים טכנולוגיים
"התיקון משנה באופן מהותי את המציאות עבור מנהלי אבטחת מידע בארגונים", מסביר ניר אמקייס, מנהל חטיבת אבטחת המידע ONE Security מקבוצת וואן טכנולוגיות. "נדרשת בחינה מחודשת של ניהול הגישה למידע, בקרות טכנולוגיות, פיקוח על ספקים וניהול אירועי סייבר".
אמקייס מדגיש שהדרישות פוגשות לעיתים מציאות של מחסור בכוח אדם, קושי בתקצוב ופערים טכנולוגיים בין מערכות חדשות לישנות. "ההתמודדות עם תיקון 13 איננה רק עניין רגולטורי - היא דורשת מהמנהלים לאזן בין יציבות תפעולית, שינוי בתרבות הארגונית והקניית ערך עסקי לצד עמידה בדרישות החוק", הוא אומר.
גיא סגל, סמנכ"ל חברת הסייבר סיגניה, מוסיף: "אם האכיפה תתבצע בפועל, ארגונים יידרשו לשנות את אופן ההתייחסות שלהם לאבטחת מידע ולהגנת הפרטיות. הם יעמדו בפני חשיפה ממשית לקנסות והצורך בניהול סיכונים יהפוך לקריטי".
השפעה מיוחדת על תעשיית הגיימינג
"תיקון 13 מהווה שינוי מהותי עבור חברות המשחקים", אומר עילי דה-בר, מנכ"ל באפ טכנולוגיות. "חברות המשחקים כיום אוספות כמויות אדירות של מידע אישי - החל בהרגלי משחק, מיקומים גיאוגרפיים, התנהגות תוך-משחקית, ועד לפרטי התקשרות ונתוני תשלום".
דה-בר מציין שהחברות כעת חייבות להיערך מחדש: ליידע שחקנים בצורה ברורה, לאפשר גישה, תיקון ומחיקה של מידע, למנות ממונה פרטיות מקצועי ולבצע ניהול סיכונים מתמשך. "אחת הסוגיות המורכבות היא התאמת מנגנוני איסוף הדאטה בזמן אמת, כך שיפעלו על בסיס הסכמה מדעת", הוא אומר.
הרחבת הגדרת המידע האישי
החוק מרחיב את ההגדרה של "מידע אישי" כך שתכלול גם נתונים כמו כתובת IP, מיקום גיאוגרפי, תחומי עניין ודפוסי גלישה. כל ארגון חייב לאסוף ולהשתמש במידע אישי רק למטרות מוגדרות וברורות לפי בסיס חוקי תקף.
ריצ'ארד פודלס, ראש תחום חדשנות הנדסית והצלחת לקוח ב-IBM ישראל, מציין: "לא מדובר בעוד שינוי טכני, אלא בדרישה כוללת לשקיפות, בקרה ואחריות על כל שלב במחזור חיי הדאטא. הארגון נדרש לקבוע מדיניות ברורה לשימוש, שיתוף ומחיקה של מידע, ולתעד הסכמות משתמשים".
פודלס מדגיש שהמשמעות היא שניהול הדאטא הופך מאחריות טכנית לאסטרטגיה ארגונית כוללת: "מנהלים, משפטנים, אנשי פרטיות ו-IT נדרשים כעת לעבוד יחד".
דרישות מיידיות לארגונים
שי נחום, מנכ"ל ומייסד חברת שירותי הסייבר Cyght, מפרט את הפעולות הנדרשות בהקדם: "יש לבצע מיפוי מאגרי מידע בארגון, כולל תיעוד סוגי מידע, מקור ומטרות עיבוד, כי מאגרים עם מידע רגיש עם יותר מ-100,000 איש חייבים בדיווח".
בנוסף, נחום מדגיש את הצורך בבדיקת חוקיות העיבוד וההסכמות, עדכון מדיניות הפרטיות ותנאי שימוש בשפה ברורה, וביצוע סקר פרטיות (PIA) לכל מערכת חדשה או תהליך שמטפל במידע אישי. "החוק דורש שקיפות גבוהה מול המשתמש", הוא מציין.
קריאה לדחיית מועד האכיפה
ד"ר עו"ד דן חי, ראש המרכז לחקר מידע DPI Group ומומחה לחוק הגנת הפרטיות, מוסיף כי "תיקון 13 לחוק הגנת הפרטיות הוא מהלך חשוב שמעמיק את ההגנה על זכויות הפרט ומקדם את התאמת הדין הישראלי לסטנדרטים הבינלאומיים, אולם לא ניתן להתעלם מהמציאות המורכבת בה מצויים עסקים ישראליים רבים כיום תחת אתגרים ביטחוניים, תפעוליים וכספיים כבדי משקל. דחייה מושכלת של תחילת האכיפה בכחצי שנה תאפשר יישום אחראי, יסודי ומאוזן של החוק, תחזק את אמון הציבור ותמנע סיכון רגולטורי מיותר".
הזדמנויות עסקיות לצד האתגרים
למרות האתגרים, מומחים מזהים גם הזדמנויות משמעותיות. נחום מציין: "ארגון שיפעל בשקיפות ייתן לאזרחים גישה למידע עליהם ויפעל למחיקת מידע עודף - יבלוט כחברה אחראית וערכית. המיפוי והבקרה שדורש החוק עוזרים לארגונים לזהות מידע כפול, ישן או מיותר - ולהתייעל תפעולית".
דה-בר מבאפ טכנולוגיות מדגיש את הפוטנציאל התחרותי: "דווקא בתקופה של חשש ציבורי מהפרת פרטיות, יש כאן הזדמנות לחברות לבסס יתרון תחרותי. מי שיפעלו בשקיפות, יטמיעו כלים אתיים כבר בשלב הפיתוח, ויאמצו סטנדרטים גבוהים - לא רק ימנעו קנסות, אלא גם ירוויחו אמון, נאמנות משתמשים ויתרון מובהק בשוק הגלובלי".
סגל מסיגניה מוסיף זווית ביטחונית: "בישראל, שבה לצד פעילות של קבוצות פשיעה קיימים גם איומים ברורים מצד מדינות עוינות, תיקון 13 עשוי להפוך למנוף משמעותי להגברת החוסן הלאומי בתחום הסייבר".
משמעות ארוכת טווח לתעשייה
שולומוביץ' מדגיש: "תחום הפרטיות צפוי להפוך לאחת החזיתות המשפטיות המרכזיות, בדומה לתחומי הנגישות והגנת הצרכן כיום".
תיקון 13 מסמן שינוי תפיסתי עמוק: פרטיות כבר אינה רק דרישה חוקית, אלא מרכיב מהותי באמון הציבור ובערך העסקי של ארגון. ארגונים שיבינו זאת מוקדם ויבחרו להשקיע בפרטיות לא רק כתגובה לרגולציה, אלא כעיקרון פעולה, יובילו את השוק - לא רק דרך ציות, אלא דרך אמון, חדשנות ואחריות.
טעינו? נתקן! אם מצאתם טעות בכתבה, נשמח שתשתפו אותנו