תיקון 13 — מה השתנה

התיקון אושר בכנסת ב-5 באוגוסט 2024, פורסם ברשומות ב-14 באוגוסט 2024, ונכנס לתוקף ב-14 באוגוסט 2025 — שנה מיום הפרסום. מועדי התחילה של הוראות מסוימות עשויים להיות שונים, ולכן התחולה המדויקת על ארגון ספציפי נבדקת לגופה.

היקף האכיפה. התיקון הרחיב משמעותית את סמכויות הפיקוח והאכיפה של הרשות להגנת הפרטיות והוסיף עיצומים כספיים בסכומים גבוהים, הנגזרים בין היתר מסוג ההפרה, ממספר האנשים שהמידע נוגע להם ומרגישות המידע. במקביל הורחב הפיצוי ללא הוכחת נזק בגין הפרות של הוראות המאגרים.

לא. חובת הרישום צומצמה לסוחרי מידע (10,000 בני אדם ומעלה) ולגופים ציבוריים, ונוספה חובת הודעה למאגרים עם מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם. הצמצום חל קדימה: רישומים היסטוריים ממשיכים להתקיים עד שבעל השליטה מודיע לרשות שהחובה אינה חלה עליו, ומסמך הגדרות המאגר עדיין נדרש מתוקף תקנות אבטחת המידע.

ההגדרה הורחבה כך שגם אחסון או עיון בלבד נכנסים לגדרה. המשמעות המעשית היא שספק ענן, שירות גיבוי או קבלן IT שרק מחזיק מידע ואינו עושה בו דבר הוא גורם עם חובות, ולא צינור נייטרלי.

החובה אינה גורפת ותלויה בסוג הפעילות, בהיקף המידע וברגישותו. ארגון שהמידע האישי הוא לב פעילותו נמצא בסיכון גבוה יותר להיות בחובה, אך התחולה נקבעת לגופו של ארגון. פירוט בעמוד הממונה.

כן. הן לא בוטלו ולא הוחלפו וחלות במקביל לתיקון. הן שקובעות את הדרישות התפעוליות — סיווג מאגר, נוהל כתוב, בקרת הרשאות, הסדרת ספקים ותיעוד. ארגון שקרא רק את התיקון קרא את המסגרת ולא את הדרישות.

לא באמצעות סעיף בהסכם. החוק מטיל אחריות לאבטחת המידע על בעל השליטה ועל המחזיק גם יחד, וההסכם ביניהם קובע את חלוקת התפקידים לביצוע בפועל — לא את שאלת האחריות. סעיף שיפוי מסדיר את ההתחשבנות בין הצדדים ואינו מגן מפני חשיפה כלפי הרגולטור. שימו לב גם לכיוון ההפוך: ספק שמחזיק מידע עבור לקוח נושא באחריות ישירה מכוח החוק, מעבר לאחריותו החוזית.

לא. העמוד מציג סקירה כללית ואינו מהווה ייעוץ משפטי או חוות דעת. התחולה על ארגון ספציפי, היקף החובות והצעדים הנדרשים מחייבים בדיקה פרטנית.