תיקון 13 לחוק הגנת הפרטיות: חובות המנכ״ל והדירקטוריון

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף באמצע אוגוסט 2025 ומעביר את מוקד האחריות מהיחידה המשפטית או מחלקת ה-IT אל שולחן ההנהלה. בארגונים שבהם עיבוד מידע אישי הוא חלק מליבת הפעילות או כרוך בסיכון מוגבר, הדירקטוריון נדרש לקיים חובת פיקוח אקטיבית ולא להסתפק באישור מדיניות גנרית, והמנכ״ל נדרש לתרגם את הפיקוח הזה למשאבים, לסמכויות ולתיעוד בפועל.

נניח שדירקטוריון מאשר מדי שנה מסמך מדיניות פרטיות אחיד, ללא התייחסות לסיכונים הספציפיים של הארגון, ומניח שהנושא "מטופל" ברמה המקצועית. תחת תיקון 13 ההנחה הזו כבר אינה מספקת: ככל שהמידע קרוב יותר לליבת העסק, כך הפיקוח צריך להיות ממוקד יותר, מתועד יותר, ומעוגן בהחלטות קונקרטיות ולא בניסוח כללי.

ממשל אחריותי במקום רישום פורמלי: מה בעצם השתנה?

עד כה, עיקר העומס הרגולטורי היה טכני-פורמלי: רישום מאגרי מידע במרשם. תיקון 13 הופך את הכיוון. חלק גדול מהעסקים כבר אינם חייבים ברישום, אבל במקביל נוצרה חובה חדשה שפונה ישירות לדרג הניהולי: מאגר עם מידע בעל רגישות מיוחדת על יותר מ-100,000 איש, שלא חייב ברישום, צריך למסור הודעה לרשות בתוך 30 יום. המשמעות היא שעל ההנהלה לדעת בכל רגע נתון כמה אנשים מיוצגים במאגרי המידע הרגישים שלה, לא רק מה כתוב בנוהל.

במקביל, התקנות מדרגות את מאגרי המידע לשלוש רמות אבטחה, בסיסית, בינונית וגבוהה, וקובעות מהן החובות שחלות על כל מאגר, בהתאם לרמת הסיכון. סיווג שגוי של מאגר, או סיווג שלא עודכן מאז שנוספה מערכת חדשה, מייצר פער ממשי בין מה שהדירקטוריון חושב שהוא מפקח עליו לבין המצב בפועל. לצד זה, התיקון מחזק את כלי האכיפה של הרשות להגנת הפרטיות ומאפשר לה להתמודד טוב יותר עם איומי סייבר ודלף מידע, כך שפער סיווג שלא טופל בזמן הופך לחשיפה אמיתית ולא תיאורטית.

מתי חובת מינוי ממונה הגנת פרטיות חלה, ולמי הוא צריך לדווח?

לא כל ארגון חייב במינוי ממונה הגנת הפרטיות, אבל הרשימה רחבה מכפי שרבים מניחים. החובה למנות ממונה על הגנת הפרטיות תחולה על גופים ציבוריים, על גופים הסוחרים במידע אישי של יותר מ־10,000 איש, על גופים המנהלים מידע רגיש בהיקף ניכר, שפעילותם כרוכה בניטור שיטתי של אנשים או בעיבוד מידע רגיש. החוק מציין במפורש כי בנקים, חברות ביטוח, בתי חולים וקופות חולים חייבים במינוי ממונה, אך לא מדובר ברשימה סגורה, כך שגם חברות טכנולוגיה, פינטק או שירותי בריאות דיגיטליים צריכות לבדוק את עצמן מול הקריטריונים הללו.

שאלה שעולה פחות, אך קריטית לממשל תקין: מי מתאים לשמש כממונה. כשהיועץ המשפטי הפנימי מעורב בקבלת החלטות עסקיות וניהוליות בנוגע לשימוש במידע, נוצר ניגוד עניינים מובנה מול חובת הפיקוח העצמאית של ה-DPO. באופן דומה, מנהל אבטחת מידע שאחראי על יישום ההגנות עצמן מתקשה לשמש גם כגורם המפקח עליהן באופן בלתי תלוי. הדירקטוריון צריך לבחון את מבנה הדיווח הזה, לא רק את עצם קיומו של ממונה.

• גופים ציבוריים ורשויות מקומיות
• גופים שעיסוקם מסירת מידע אישי לאחר, עם מידע על למעלה מ-10,000 בני אדם
• גופים שעיסוקם כרוך בניטור שיטתי ושוטף של אנשים בהיקף ניכר
• ארגונים שעיסוקם העיקרי עיבוד מידע בעל רגישות מיוחדת בהיקף משמעותי

תפקיד הדירקטוריון: אישור, מעקב ותיעוד

הפיקוח של הדירקטוריון לפי תיקון 13 אינו מושג מופשט, אלא מתורגם לסדרת מסמכים והחלטות שצריכים להיות קיימים ומתועדים. הרשות להגנת הפרטיות הבהירה שבדירקטוריון מוטלת חובת פיקוח אקטיבית הכוללת בין היתר קביעת ואישור מדיניות הגנת הפרטיות ואבטחת המידע של התאגיד. זה אומר שמסמך המדיניות צריך לעלות לדיון דירקטוריון בפועל, עם שאלות ותיקונים, לא רק חתימה פורמלית.

מעבר למדיניות עצמה, הדירקטוריון צריך לקבל תמונת מצב תקופתית: עדכון סיווג רמות האבטחה של המאגרים המרכזיים, דיווח על אירועים חריגים שטופלו, ואישור ההחלטה על מינוי הממונה והיקף סמכויותיו. פרוטוקול ישיבה שמתעד דיון כזה הוא הראיה המעשית לכך שהפיקוח התקיים, להבדיל ממצג שבו הנושא עלה כסעיף טכני בסוף סדר היום.

תפקיד המנכ״ל: ממשל שהופך למשאבים ולתהליך

אם הדירקטוריון אחראי על הכיוון האסטרטגי, המנכ״ל אחראי על כך שהכיוון הזה יקבל ביטוי תפעולי. זה כולל לוודא שלממונה הגנת הפרטיות יש גישה ישירה להנהלה ולא רק לדרג הטכני, שיש לו תקציב וסמכות לבקש מידע מכל מחלקה, ושקיים נוהל ברור שמגדיר מתי אירוע חורג מהטיפול השוטף ועובר לדיווח מיידי להנהלה ולדירקטוריון.

חלק שלא תמיד מקבל תשומת לב מספקת הוא הפיקוח על ספקים וקבלני משנה שמעבדים מידע אישי בשם הארגון. חוזה עם ספק ענן או עם מערכת CRM חיצונית שאינו כולל התייחסות לאבטחת מידע ולזכויות נושאי המידע משאיר את הארגון חשוף, גם אם הפעילות הפנימית תקינה לגמרי. המנכ״ל, לא רק מחלקת הרכש, נדרש לוודא שהנושא הזה נסגר.

החלוקה בין המנכ״ל לדירקטוריון: טבלת השוואה

דגלים אדומים שמעידים שהפיקוח אינו מספיק

• ממונה הגנת הפרטיות מדווח רק למנהל ה-IT ואינו מגיע לדיוני דירקטוריון
• פרוטוקולי הדירקטוריון מהשנה האחרונה אינם מזכירים כלל את נושא הפרטיות או האבטחה
• סיווג רמת האבטחה של מאגרי המידע לא עודכן מאז הוספת מערכת או ספק חדש
• אין החלטת מינוי כתובה לממונה הגנת הפרטיות, רק מינוי בעל פה
• נוהל האסקלציה לאירוע חריג אינו מגדיר מתי ואיך מדווחים להנהלה ולדירקטוריון

הערה לארגונים הפועלים מול גופים פיננסיים באירופה

ארגונים ישראלים שמספקים שירותי טכנולוגיה או עיבוד נתונים לגופים פיננסיים באיחוד האירופי עשויים להידרש לעמוד גם ברגולציית חוסן תפעולי דיגיטלי אירופית מקבילה, לצד תיקון 13. מדובר בשכבת דרישות נוספת, רלוונטית בעיקר לחברות שעובדות מול לקוחות פיננסיים אירופיים, ולא לרוב העסקים שפועלים בשוק הישראלי.

מה לבדוק ברמת הדירקטוריון בחודש הקרוב?

• לוודא שקיים פרוטוקול דירקטוריון שמתעד דיון עדכני במדיניות הפרטיות והאבטחה
• לוודא שהחלטת מינוי הממונה על הגנת הפרטיות קיימת בכתב, כולל הגדרת סמכויותיו
• לבדוק שסיווג רמת האבטחה של כל מאגר מידע מרכזי עודכן בשנה האחרונה
• לוודא שקיים נוהל אסקלציה כתוב שמגדיר מתי אירוע מגיע לדיווח להנהלה ולדירקטוריון
• לבדוק שחוזים עם ספקים וקבלני משנה מרכזיים כוללים התייחסות לעיבוד מידע אישי

עו״ד זיו און מלווה הנהלות ודירקטוריונים בבניית מבנה ממשל שעומד בדרישות תיקון 13, בשילוב רקע של למעלה מ-20 שנות ניסיון בליטיגציה ובדיני ביטוח, הסמכה כחתם ביטוחי סייבר מלונדון, והסמכות CISO ו-DPO. כל הבדיקה והליווי נעשים תחת חיסיון עורך דין-לקוח, כך שהממצאים נשארים מוגנים ואינם הופכים לראיה נגד ההנהלה. מי שרוצה לבדוק את מבנה הממשל של הארגון מול דרישות תיקון 13 מוזמן לפנות ל-CyberSure לשיחת אבחון ראשונית, בכל אזור בארץ.