תיקון 13 לחוק הגנת הפרטיות: מה נדרש ממיזם דיגיטלי לפני העלייה לאוויר

מיזמים רבים דוחים את ההיבט המשפטי לשלב שבו ״יהיו לקוחות וכסף״, ובינתיים מסתפקים במדיניות פרטיות ובתנאי שימוש שהועתקו מאתר אחר או הופקו בכלי בינה מלאכותית. אבל החשיפה אינה מחכה להכנסות: היא יכולה להתחיל כבר עם איסוף המידע הראשון על משתמש.

תיקון 13 לחוק הגנת הפרטיות הרחיב משמעותית את כלי האכיפה והוסיף חובות חדשות. מסמך שנראה מקצועי אינו מעיד שמישהו בדק את המוצר, את זרימת המידע ואת החובות שחלות על המיזם.

מדיניות פרטיות אינה תבנית

מדיניות פרטיות מציגה למשתמשים כיצד המיזם אוסף מידע ומשתמש בו. היא צריכה להיגזר מבחינה של הפעילות בפועל: איזה מידע נאסף ולאיזו מטרה, למי יש גישה אליו, כיצד הוא עובר בין מערכות, ספקים וכלי AI, באילו מדינות הוא מעובד ומה מעמדו של כל גורם בשרשרת.

השאלה אינה רק איך המסמך נוסח, אלא מה נבדק לפני שנכתב. נוסח גנרי עלול להבטיח דברים שהמוצר אינו מקיים, להשמיט שימושים מהותיים או לתאר מנגנוני אבטחה שאינם קיימים.

מדיניות פרטיות אינה מכשירה שימוש אסור במידע. מסמך שאינו תואם את הפעילות עלול להפוך מהצהרת שקיפות לראיה לפער בין מה שהובטח למשתמשים לבין מה שנעשה בפועל.

פטור מרישום אינו פטור מהחוק

צמצום חובת רישום המאגרים אינו מבטל את החובות המהותיות החלות עליהם. בהתאם למאפייני הפעילות, נדרשים בין היתר מסמך הגדרות מאגר, יידוע בעת איסוף מידע, סיווג רמת האבטחה ויישום הדרישות הנגזרות ממנה, הסדרת התקשרויות עם ספקים ובחינת העברת מידע לחו״ל.

גם חובת הדיווח על אירוע אבטחה חמור אינה משהו שמתחילים לבדוק רק לאחר דליפה. צריך לדעת מראש אילו אירועים מחייבים דיווח, מי מטפל בהם וכיצד מתקבלת החלטה בזמן.

בחלק מהמיזמים נדרש גם מינוי ממונה על הגנת הפרטיות, ממונה על אבטחת מידע, או שניהם. אלה תפקידים שונים, וחובת המינוי תלויה בתנאים שבדין, לרבות אופי הפעילות והיקפה. גם מיזם שמעבד מידע עבור לקוחות עסקיים עשוי להיות חייב במינוי: היותו ״רק ספק״ אינה פוטרת אותו כשלעצמה.

״מידע רגיש״ רחב ממה שנדמה

מידע אישי אינו רק שם ומספר תעודת זהות. גם מזהה מקוון או נתון מיקום עשויים להיות מידע אישי, אם הם מאפשרים לזהות אדם במאמץ סביר, במישרין או בעקיפין.

״מידע בעל רגישות מיוחדת״ אינו מוגבל למידע רפואי. ההגדרה כוללת, בין היתר, נתוני שכר ופעילות פיננסית וסוגים מסוימים של הערכות אישיות ונתוני מיקום. לכן גם מיזם בתחום הגיוס, הכושר או השירותים הפיננסיים עשוי לעבד מידע כזה. מה שקובע הוא המידע שנאסף ומעובד, לא התווית העסקית של המוצר.

ועוד שתי נקודות שקל לפספס: הצפנה כשלעצמה אינה הופכת מידע לאנונימי, וגם תובנה שמערכת AI מסיקה על אדם מזוהה או ניתן לזיהוי עשויה להיות מידע אישי.

פונים לאירופה? צריך לבדוק גם את ה־GDPR

מיזם ללא נוכחות באיחוד האירופי עשוי להיות כפוף ל־GDPR אם הוא מכוון הצעת מוצרים או שירותים לאנשים הנמצאים באיחוד, או מנטר את התנהגותם שם. עצם האפשרות לפתוח את האתר מאירופה אינה מספיקה כשלעצמה.

גם בהתקשרויות עם לקוחות ארגוניים, דרישות פרטיות ואבטחת מידע עשויות להפוך לתנאי מסחרי: הסכם עיבוד מידע, הסדרת ספקי משנה, העברות לחו״ל והתחייבויות לטיפול באירועים.

פערים בהסדרת עיבוד המידע עלולים לעכב עסקה או למנוע אותה, גם כשהמוצר עצמו כבר מוכן.

האכיפה כבר כאן

ב־21 ביולי 2026 הודיעה הרשות להגנת הפרטיות על הטלת עיצום כספי בסך 256,000 ש״ח על קופת חולים מאוחדת, בגין אי־דיווח מיידי על אירוע אבטחה חמור. הדוגמה ממחישה שהחשיפה נוגעת גם לאופן הטיפול באירוע ולמועד הדיווח עליו.

תיקון 13 מאפשר הטלת עיצומים כספיים משמעותיים, שסכומם תלוי בסוג ההפרה ובמאפייני המאגר והמפר. כך למשל, עיבוד מידע ללא הרשאה או למטרה שאינה כדין עלול לגרור עיצום של 200,000 ש״ח לפחות בסכום הבסיס, ובית המשפט רשאי לפסוק פיצוי של עד 10,000 ש״ח ללא הוכחת נזק בגין הפרות מסוימות. במקרים הקבועים בחוק, פגיעה בפרטיות היא גם עבירה פלילית שעונשה עד חמש שנות מאסר. לעסקים קטנים נקבעו מנגנוני הפחתה ותקרות, אך הם חלים על העיצום בלבד.

בנסיבות הקבועות בחוק, הרשות יכולה לפנות לבית המשפט בבקשה להפסיק עיבוד מידע ואף למחוק מידע ממאגר. במיזם שהפעילות שלו נשענת על מידע, הגבלת השימוש בו עלולה לפגוע במוצר עצמו.

למה ״אחר כך״ יקר יותר

ההחלטות המשמעותיות מתקבלות בתחילת הדרך: איזה מידע שומרים, למשך כמה זמן, מי רשאי לגשת אליו ולאילו ספקים הוא מועבר.

מיזם שבנה מוצר בלי לבחון את השאלות האלה עלול לגלות, בבדיקת נאותות של משקיע או בתהליך התקשרות עם לקוח ארגוני, שהפתרון דורש שינוי במוצר, בהסכמי הספקים ובתהליכי העבודה, ולא רק עדכון של מדיניות הפרטיות.

ליווי מוקדם מאפשר להתאים את ההיערכות לפעילות ולשלב שבו נמצא המיזם, ולצמצם את הצורך בתיקונים יקרים בהמשך.

הליווי שלנו

• סקירה משפטית של פרטיות ודרישות אבטחת מידע: מיפוי הפעילות, סיווג מעמד המיזם וזיהוי החובות החלות עליו, בתיאום עם הגורמים הטכנולוגיים.
• מדיניות פרטיות ותנאי שימוש שנגזרים מהמוצר ומהמודל העסקי.
• הסכמי עיבוד מידע והסכמי ספקים ולקוחות שמסדירים שימושים מותרים, חובות וחלוקת אחריות.
• ליווי שוטף בשינויים במוצר, בספקים ובשווקי היעד.

לפני העלייה לאוויר, כדאי לוודא שהמוצר, ההסכמים וההצהרות למשתמשים תואמים זה לזה, ושאתם מבינים על מה אתם אחראים.

האמור במאמר אינו מהווה ייעוץ משפטי ואינו תחליף לבחינה פרטנית של הפעילות.