חוק הגנת הפרטיות ותיקון 13 הוא החוק המרכזי בישראל שמסדיר איך עסקים וארגונים צריכים לטפל במידע אישי. תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף במלואו ב-2018, הוסיף דרישות אבטחת מידע מחייבות שכל עסק שמחזיק מאגר מידע חייב לעמוד בהן.
במדריך הזה נסביר מה החוק דורש, מה תיקון 13 שינה, ומה עסקים צריכים לעשות כדי לעמוד בדרישות.
חשוב להבין את השפעת חוק הגנת הפרטיות ותיקון 13 על פעילות העסק.
רקע: חוק הגנת הפרטיות
חוק הגנת הפרטיות, התשמ"א-1981, הוא החוק הישראלי שמגן על פרטיות האזרחים. החוק מסדיר איך אפשר לאסוף מידע אישי, מה מותר לעשות איתו, ואיך צריך לשמור עליו.
מה נחשב "מידע אישי"?
מידע אישי הוא כל מידע שמזהה אדם או מאפשר לזהות אותו: שם, תעודת זהות, כתובת, טלפון, אימייל, מידע רפואי, מידע פיננסי, ועוד.
מה זה "מאגר מידע"?
מאגר מידע הוא אוסף של נתונים אישיים המוחזק באמצעים אלקטרוניים. אם יש לכם CRM עם פרטי לקוחות, רשימת תפוצה, מערכת שכר, או כל בסיס נתונים אחר עם מידע אישי – יש לכם מאגר מידע.
תיקון 13 לחוק הגנת הפרטיות – מה חדש?
תיקון 13 לחוק הגנת הפרטיות (שנקרא גם "תקנות אבטחת מידע") הוסיף דרישות אבטחה מפורטות שכל בעל מאגר מידע חייב לעמוד בהן. התיקון נכנס לתוקף בשלבים והחל מ-2018 הוא מחייב במלואו.
עיקרי תיקון 13
סיווג מאגרי מידע – המאגרים מסווגים לארבע רמות אבטחה לפי רגישות המידע וכמות האנשים במאגר: בסיסית, בינונית, גבוהה, ומנהל מאגר.
מינוי ממונה אבטחת מידע – מאגרים ברמה גבוהה חייבים למנות ממונה על אבטחת מידע.
מסמך הגדרות המאגר – כל בעל מאגר חייב להכין מסמך שמפרט מה המטרה של המאגר, אילו סוגי מידע נשמרים, ומי מורשה לגשת.
נהלי אבטחה – יש להגדיר נהלים לאבטחת המידע, לגיבוי, לטיפול באירועי אבטחה, ולמחיקת מידע.
אבטחה פיזית וטכנית – דרישות ספציפיות לגבי הגנה על מערכות המחשוב.
רמות האבטחה לפי תיקון 13
רמה בסיסית
מאגרים קטנים עם מידע לא רגיש. דורש אמצעי אבטחה בסיסיים כמו סיסמאות, גיבוי, ובקרת גישה פשוטה.
רמה בינונית
מאגרים גדולים יותר או עם מידע רגיש יותר. דורש נהלים מתועדים, הכשרת עובדים, ובקרות נוספות.
רמה גבוהה
מאגרים גדולים מאוד או עם מידע רגיש במיוחד. דורש ממונה אבטחת מידע, סקרי סיכונים, ובקרות מתקדמות.
מה עסקים צריכים לעשות?
שלב 1: מיפוי מאגרי המידע
הצעד הראשון הוא להבין אילו מאגרי מידע יש לכם. לרוב העסקים יש: מערכת CRM או ניהול לקוחות, מערכת שכר או HR, רשימות תפוצה ושיווק, ומערכות נוספות.
שלב 2: סיווג המאגרים
לכל מאגר צריך לקבוע את רמת האבטחה הנדרשת לפי כמות האנשים במאגר וסוג המידע.
שלב 3: הכנת מסמכים
יש להכין מסמך הגדרות לכל מאגר ונהלי אבטחה מתאימים.
שלב 4: יישום אמצעי אבטחה
ליישם את אמצעי אבטחת המידע הנדרשים: בקרת גישה וסיסמאות חזקות, גיבוי סדיר ובדוק, הגנה מפני וירוסים ותוכנות זדוניות, הצפנה במקרים הנדרשים, וסינון דואר נכנס.
שלב 5: הכשרת עובדים
העובדים צריכים להבין את החשיבות של הגנה על מידע ואת הנהלים הרלוונטיים.
שלב 6: רישום מאגרים
מאגרים מסוימים חייבים ברישום אצל רשם מאגרי המידע.
מה הסנקציות על אי-עמידה?
חוק הגנת הפרטיות קובע עונשים כבדים על הפרות: קנסות כספיים משמעותיים, אחריות אישית של מנהלים, ואפילו עונשי מאסר במקרים חמורים.
מעבר לסנקציות החוקיות, דליפת מידע גורמת לנזק תדמיתי קשה ולאובדן אמון הלקוחות.
הקשר בין תיקון 13 ל-GDPR
ה-GDPR האירופי וחוק הגנת הפרטיות הישראלי דומים בעקרונות אבל שונים בפרטים. עסק ישראלי שעובד עם לקוחות אירופיים צריך לעמוד בשני החוקים.
איך R-Net עוזרת בעמידה בתיקון 13?
אנחנו מסייעים לעסקים לעמוד בדרישות חוק הגנת הפרטיות ותיקון 13 בכל היבט הטכנולוגי: מיפוי ואבחון מערכות קיימות, יישום בקרות גישה ואבטחה, הקמת מערך גיבוי תקין, הגנה מפני איומי סייבר, וניטור ותחזוקה שוטפת.
שאלות נפוצות
האם כל עסק חייב לעמוד בתיקון 13?
כל עסק שמחזיק מאגר מידע עם מידע אישי חייב לעמוד בדרישות. הרמה הנדרשת תלויה בגודל המאגר וברגישות המידע.
מה ההבדל בין חוק הגנת הפרטיות ל-GDPR?
שניהם מגנים על פרטיות אבל החוק הישראלי חל בישראל וה-GDPR חל באירופה. עסק שעובד עם אירופה צריך לעמוד בשניהם.
האם צריך עורך דין או אפשר להסתדר לבד?
להיבטים המשפטיים כדאי להתייעץ עם עורך דין. להיבטים הטכנולוגיים – חברת מחשוב מקצועית יכולה לעזור.
מה קורה אם יש דליפת מידע?
יש חובת דיווח לרשם מאגרי המידע ולנפגעים. יש גם לתעד את האירוע ולנקוט בצעדים למניעת הישנות.
כמה עולה להתאים עסק לתיקון 13?
העלות תלויה בגודל העסק ובמצב הקיים. לרוב עסקים קטנים, ההתאמה היא חלק מניהול IT תקין ולא דורשת השקעה גדולה נוספת.
סיכום
חוק הגנת הפרטיות ותיקון 13 הם לא רק חובה חוקית – הם הגיון עסקי. הגנה נכונה על מידע של לקוחות ועובדים מונעת נזקים, בונה אמון, ומגנה על העסק.
רוצים לבדוק אם אתם עומדים בדרישות? צרו קשר בטלפון 077-4000179 או דרך טופס יצירת קשר לשיחת ייעוץ חינם.
קראו עוד: אבטחת מידע לעסקים, אבטחה וסייבר, גיבוי בענן, סינון דואר.
