חוק הגנת הפרטיות ותיקון 13: מהרגולציה החדשה ועד ניהול מסמכים נכון בארגון

חוק הגנת הפרטיות עומד בשנים האחרונות במרכז השיח הארגוני בישראל, ובצדק. תיקון 13 לחוק, שנכנס לתוקף ב-14 באוגוסט 2025, שינה את כללי המשחק עבור כל ארגון שמחזיק, מעבד או שומר מידע אישי על עובדים, לקוחות, ספקים או מטופלים. מדובר לא רק בעדכון משפטי טכני, אלא בשינוי תפיסתי של ממש: הארגון כבר לא נדרש רק "לרשום מאגר מידע", אלא לקחת אחריות מהותית על האופן שבו המידע נאסף, מאוחסן, מוגן ולבסוף גם נמחק.

במאמר זה נסקור את הרקע לתיקון, את השינויים המרכזיים שהוא מביא, ונסביר מדוע ניהול מסמכים, שירותי ארכיב וגניזה הם בפועל הכלי המעשי ביותר להשגת ציות אמיתי לחוק.

הרקע לתיקון 13: מחוק תקדימי ב-1981 להתאמה לעידן הדיגיטלי

חוק הגנת הפרטיות המקורי נחקק כבר בשנת 1981, בעולם שבו מאגרי מידע היו לרוב קבצים פיזיים או מערכות ממוחשבות פשוטות יחסית. באותה תקופה, הרעיון של רשת חברתית, ענן ציבורי, אפליקציות סלולריות או איסוף מידע אוטומטי מהתנהגות גולשים כלל לא היה קיים. עם השנים, הפער בין נוסח החוק לבין המציאות הטכנולוגית הלך והתרחב. ארגונים אספו כמויות מידע עצומות, שיתפו נתונים בין מערכות, עבדו עם ספקי ענן זרים ונדרשו להתמודד עם איומי סייבר שלא היו קיימים כלל בעת חקיקת החוק המקורי.

בינתיים, בעולם כולו, ובראשם האיחוד האירופי עם רגולציית ה-GDPR, נקבעו סטנדרטים מחמירים בהרבה בכל הנוגע לזכויות נושאי המידע, לשקיפות, לאבטחת מידע ולסמכויות האכיפה של רגולטורים. ישראל, שרצתה לשמור על מעמדה כמדינה בעלת רמת הגנת פרטיות נאותה מבחינת האיחוד האירופי, ולאפשר לחברות ישראליות להמשיך ולעבד מידע של אזרחי אירופה בלי חסמים, נדרשה לצמצם את הפער. כך נולד הצורך בתיקון 13, שמטרתו המרכזית הייתה לעבור ממודל של רגולציה טכנית, שהתמקדה בעיקר ברישום פורמלי של מאגרי מידע, למודל של אחריות מהותית על הגנת המידע ועיבודו לאורך כל מחזור חייו.

עיקרי התיקון: מה משתנה באכיפה, בעונשים ובניהול הארגוני?

השינוי הבולט ביותר שמביא תיקון 13 הוא הרחבה משמעותית של סמכויות האכיפה והפיקוח של הרשות להגנת הפרטיות. הרשות קיבלה כלים דומים לאלה של רגולטורים כלכליים אחרים, ובהם היכולת להטיל עיצומים כספיים על ארגונים שמפרים את הוראות החוק, בטווח שנע ממאות אלפי שקלים ועד מיליוני שקלים במקרים חמורים או חוזרים, וכן היכולת לפרסם את דבר ההפרה בפומבי. במקביל, התיקון האריך את תקופת ההתיישנות להגשת תביעות אזרחיות מטעם נושאי מידע משנתיים לשבע שנים, ואפשר תביעת פיצויים גם ללא הוכחת נזק בפועל, מה שמגדיל משמעותית את החשיפה המשפטית של ארגונים שאינם מנוהלים כראוי.

שינוי מהותי נוסף נוגע להגדרות עצמן. המונח "מידע רגיש" הוחלף במונח "מידע בעל רגישות מיוחדת", וההגדרה הורחבה כך שהיא כוללת כיום, בין היתר, נתוני מיקום, מידע גנטי וביומטרי ומידע פיננסי, לצד הקטגוריות המוכרות כמו מידע רפואי ופלילי. בנוסף, ארגונים המעבדים מידע רגיש הנוגע ליותר ממאה אלף בני אדם נדרשים להודיע לרשות תוך פרק זמן קצוב מרגע גילוי אירוע חריג. התיקון גם קבע חובת מינוי ממונה על הגנת הפרטיות, ממונה הגנת פרטיות שנדרש להכשרה מקצועית ולידע בדיני הגנת פרטיות, בגופים ציבוריים ובארגונים המעבדים מידע בהיקף משמעותי.
יחד עם זאת, החוק גם צמצם במקביל את חובת הרישום הפומבי של מאגרי מידע עבור חלק ניכר מן הארגונים, ובכך הזיז את מוקד הציות מרישום פורמלי לניהול מהותי בפועל.

החוליה המקשרת: מדוע ניהול מסמכים וגניזה הם לב-לבו של הציות לחוק?

השאלה המעשית שכל מנהל, מנהל תפעול או קצין ציות שואל את עצמו היא: איך בפועל מיישמים את כל זה? התשובה נמצאת, פעמים רבות, לא במחלקה המשפטית בלבד, אלא בארון התיוק ובשרת הקבצים. חלק ניכר מן המידע האישי והרגיש שארגון מחזיק אינו יושב במאגר נתונים מרוכז אחד, אלא מפוזר בין תיקי עובדים, חוזים עם ספקים, מסמכים רפואיים, אישורי תשלום, טפסי קליטה, תעודות זהות סרוקות, חשבוניות ותכתובות. כל אחד מן המסמכים הללו הוא, למעשה, יחידת מידע שחוק הגנת הפרטיות חל עליה.

כאשר ניהול המסמכים בארגון לוקה בחסר, כאשר הארכיב הפיזי אינו מסודר, כאשר לא ברור מי רשאי לגשת לאיזה תיק, וכאשר קבצים דיגיטליים מפוזרים בין מחשבים אישיים, תיקיות רשת ותיבות דואר, הארגון חשוף לסיכון כפול. מצד אחד, סיכון תפעולי של אובדן מידע, כפילויות וטעויות. מצד שני, סיכון משפטי ממשי, שכן במקרה של תקרית, ביקורת רגולטורית או תביעה, הארגון יתקשה מאוד להוכיח מי ניגש למידע, מתי, ולאיזו מטרה. במילים אחרות, ציות לחוק הגנת הפרטיות אינו מסמך מדיניות שנשמר במגירה, אלא תוצאה ישירה של הסדר, השליטה והבקרה שיש לארגון על המסמכים שהוא מחזיק בפועל.

ניהול מחזור חיי מסמך וביעור מידע: למה אסור לשמור מסמכים לנצח?

אחד העקרונות המרכזיים שהחוק, בדומה לתקנים בינלאומיים כמו ה-GDPR, מבקש להטמיע הוא עקרון צמצום המידע: ארגון רשאי להחזיק מידע אישי רק כל עוד יש לו צורך עסקי, חוקי או רגולטורי אמיתי בכך, ולא מעבר לכך. בפועל, ארגונים רבים נוטים לפעול בכיוון ההפוך, מתוך חשש או הרגל, ושומרים מסמכים לצמיתות "ליתר ביטחון". גישה כזו אינה רק בעייתית מבחינת ציות, היא גם מגדילה את החשיפה: ככל שיש יותר מידע ישן ולא רלוונטי, כך גדל הנזק הפוטנציאלי במקרה של דליפה, פריצה או חשיפה בלתי מורשית.

כאן נכנסת לתמונה מערכת ארכיב וגניזה מתקדמת, המאפשרת לארגון להגדיר מדיניות שמירה וביעור, Retention and Destruction, לכל סוג מסמך בנפרד. תיקי עובדים, מסמכים פיננסיים, חוזים עם ספקים ומסמכים רפואיים כפופים לרוב לתקופות שמירה שונות על פי דין, ומעבר לתקופות אלו נדרש ביעור מבוקר של המידע. פלטפורמה כמו Archive1Cloud מאפשרת להגדיר מראש כללי שמירה לכל קטגוריית מסמכים, לתייג מסמכים לפי תאריך יצירה או תאריך תפוגה, ולהפעיל תהליך ביעור מתועד ומבוקר בזמן הנכון, במקום להשאיר את ההחלטה לזיכרון של עובד בודד או לאקראיות של תיקיות ישנות על שרת.

אבטחת מידע, הרשאות ואחזור בענן

מעבר לשאלת כמה זמן שומרים מידע, החוק מציב דרישות ברורות גם באשר לאופן שבו המידע מוגן לאורך כל התקופה שבה הוא נשמר. תקנות אבטחת המידע, המתלוות לחוק הגנת הפרטיות, דורשות ממאגרי מידע מרמות אבטחה שונות לנקוט באמצעים כמו הצפנה, בקרת גישה מדורגת, תיעוד פעולות ומנגנוני זיהוי משתמשים. פלטפורמת ארכיב דיגיטלי בענן מספקת מענה ישיר לדרישות הללו: הרשאות גישה נקבעות ברמת משתמש, מחלקה ואף ברמת תיקייה בודדת, כך שכל עובד רואה רק את המידע שהוא אמור לראות בהתאם לתפקידו. כל פעולה במערכת, פתיחת מסמך, הורדה, שיתוף, עריכה או מחיקה, מתועדת בלוג פעולות מלא, המכונה לעיתים תיעוד Audit Trail, המאפשר לארגון להראות בבירור מי ניגש למידע ומתי.

יתרון מעשי נוסף נוגע לטיפול בבקשות של נושאי מידע. תיקון 13 מחזק את זכויות הפרט, ובהן הזכות לעיין במידע שנאסף עליו, לתקן אותו או לבקש את מחיקתו. כאשר מסמכים מאורגנים בארכיב דיגיטלי עם אינדוקס וזיהוי טקסטואלי מלא, ארגון יכול לאתר תוך זמן קצר את כל המסמכים הרלוונטיים הקשורים לאדם מסוים, לספק לו מענה מלא, ולתעד את הטיפול בבקשה מתחילתה ועד סופה. לעומת זאת, בארגון שבו המידע מפוזר בין תיקיות רשת, מחשבים אישיים וארכיון פיזי לא ממופה, מענה לבקשה כזו עלול לקחת שבועות, ולעיתים אף לא להיות שלם.

צעדים מעשיים להיערכות: ממיפוי מסמכים ועד מעבר לארכיב מתקדם

ההיערכות לדרישות תיקון 13 אינה חייבת להיות תהליך מסובך, אך היא דורשת סדר פעולות ברור. הצעד הראשון והחשוב ביותר הוא ביצוע סקר מיפוי מסמכים מקיף, פיזי ודיגיטלי כאחד, שמטרתו לזהות היכן בדיוק שוכן מידע אישי ורגיש בארגון: אילו תיקיות, אילו ארונות, אילו מערכות ואילו תיבות דואר. בלי מיפוי כזה, כל ניסיון ליישם מדיניות שמירה, הרשאות או אבטחה יישאר חלקי בלבד. הצעד השני הוא עדכון נהלים פנים-ארגוניים: הגדרת מי אחראי על אישור גישה למידע, מי מוסמך לאשר בקשות עיון ותיקון, ומה קורה במקרה של אירוע חריג.

הצעד השלישי, ולעיתים המשמעותי ביותר בפועל, הוא שילוב פתרונות גניזה וניהול מסמכים מורשים, שמאפשרים להעביר את כל הממצאים ממיפוי המסמכים לכדי מערכת עבודה בפועל. מעבר מארכיון מפוזר בין מחשבים, כוננים משותפים וקלסרים פיזיים אל פלטפורמת ארכיב דיגיטלי מרכזית, כמו Archive1Cloud, מאפשר לארגון להגדיר במקום אחד את מדיניות ההרשאות, את תקופות השמירה, את תהליכי הביעור ואת מנגנוני התיעוד הנדרשים לפי החוק. כך הציות לחוק הגנת הפרטיות הופך מפעולה חד-פעמית של עדכון נוהל לתהליך ניהולי מתמשך, שמלווה את הארגון בכל פעולה יומיומית שהוא מבצע על מסמכים ומידע.

שאלות נפוצות

מה זה תיקון 13 לחוק הגנת הפרטיות ולמי הוא חל?
תיקון 13 לחוק הגנת הפרטיות הוא עדכון מקיף לחוק המקורי משנת 1981, שנכנס לתוקף באוגוסט 2025. הוא חל על כל ארגון בישראל, פרטי, ציבורי או עסקי, המחזיק או מעבד מידע אישי על עובדים, לקוחות, מטופלים, תלמידים או כל אדם אחר, ואינו מוגבל לחברות טכנולוגיה בלבד. גם עסק קטן המחזיק תיקי עובדים ולקוחות בסיסיים כפוף לעקרונות החוק, גם אם אינו נדרש למינוי ממונה הגנת פרטיות.

מהם העיצומים הכספיים שניתן להטיל על ארגון שמפר את החוק?
הרשות להגנת הפרטיות קיבלה במסגרת התיקון סמכות להטיל עיצומים כספיים על ארגונים המפרים את הוראות החוק, בטווח שיכול לנוע בין מאות אלפי שקלים למיליוני שקלים במקרים של הפרות חמורות או חוזרות. מעבר לכך, הוארכה תקופת ההתיישנות להגשת תביעות אזרחיות משנתיים לשבע שנים, ונקבעה אפשרות לתביעת פיצויים גם ללא הוכחת נזק ממשי, מה שמגדיל את החשיפה הכוללת של ארגונים לא ערוכים.

האם כל ארגון חייב למנות ממונה על הגנת הפרטיות?
לא כל ארגון מחויב במינוי ממונה הגנת פרטיות. החובה חלה בעיקר על גופים ציבוריים ועל ארגונים המעבדים מידע בהיקף משמעותי או מידע בעל רגישות מיוחדת, כגון מידע רפואי, פיננסי, ביומטרי או נתוני מיקום, בהיקפים גדולים. עם זאת, גם ארגונים שאינם מחויבים פורמלית נהנים מהטמעת גורם אחראי פנימי שמרכז את נושא הציות, שכן הדבר מקל משמעותית על עמידה בדרישות החוק בפועל.

כיצד מערכת ארכיב דיגיטלי מסייעת בעמידה בדרישות מדיניות שמירה וביעור מידע?
מערכת ארכיב דיגיטלי מתקדמת מאפשרת להגדיר מראש כללי שמירה נפרדים לכל סוג מסמך, בהתאם לדרישות הדין הרלוונטיות לאותו סוג מידע, ולתייג מסמכים לפי תאריך יצירה או תאריך תפוגה. כאשר תקופת השמירה החוקית מסתיימת, המערכת מאפשרת להפעיל תהליך ביעור מבוקר ומתועד, כך שהמידע אינו נשמר מעבר לנדרש, ובכך הארגון מיישם הלכה למעשה את עקרון צמצום המידע שהחוק דורש, במקום להסתמך על זיכרון עובד או על נוהג לא פורמלי.

מה ההבדל בין ניהול מסמכים על מחשבים ותיקיות רגילות לבין מערכת ארכיב ייעודית מבחינת ציות לחוק?
כאשר מסמכים מאוחסנים בתיקיות רשת רגילות או במחשבים אישיים, קשה מאוד לדעת בוודאות מי ניגש למידע, מתי, ולאיזו מטרה, וקשה גם לאכוף מדיניות שמירה וביעור אחידה. מערכת ארכיב ייעודית מספקת הרשאות גישה מדורגות, תיעוד מלא של כל פעולה על מסמך, הצפנה, ומנגנון חיפוש שמאפשר לאתר בקלות את כל המסמכים הקשורים לאדם מסוים כאשר מתקבלת בקשת עיון או מחיקה. כך הארגון עובר ממודל של אחסון פסיבי למודל של שליטה ובקרה אמיתית על המידע שהוא מחזיק.

 

מקורות:
תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף היום | EBN משרד עורכי דין
תיקון 13 לחוק הגנת הפרטיות – iCount