קרוב לשנה וחצי חלפו מאז כניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות, וברשות להגנת הפרטיות במשרד המשפטים לא מהססים להפעיל את ארגז הכלים והסמכויות החדשות שהוענקו להם. התיקון, שנכנס לתוקף באוגוסט 2025, נועד להגביר משמעותית את כושר ההרתעה והאכיפה מול גופים המפירים את הוראות החוק, וכעת כבר ניכר יישומו המעשי בשטח.
● איילון עיכבה תשלום למבוטח וחטפה: ביהמ"ש הכפיל את הפיצוי
● קיבלו הארכה: עו"ד ורו"ח יוכלו להירשם כשותפות עד מרץ 2027
נכון לפרסומי הרשות, עד כה נקבעו הפרות והוטלו עיצומים כספיים בארבעה מקרים בולטים - קופת חולים מאוחדת עם עיצום בסך 256 שקל, מנורה מבטחים עם עיצום דומה, עיריית בית שמש עם עיצום של 64 אלף שקל וחברת א.ד קרטינג חוצות עם עיצום של 12 אלף שקל. מדובר ביותר מחצי מיליון שקל מארבעה מקרים בודדים.
לפי נתוני רשות הגנת הפרטיות במשרד המשפטים, מאז אוגוסט 2025 ועד היום נפתחו ברשות להגנת הפרטיות 178 הליכים חדשים, הכוללים הליכי פיקוח, בירורים מנהליים וביקורות עומק (אודיט), כך נודע לגלובס. מתוכם, 158 תיקים נמצאים כעת בסטטוס "בטיפול" ונמצאים בשלבי בירור סמוי, בירור גלוי או ממתינים לקבלת החלטה וסיכום - בעוד ש-20 תיקים בלבד נסגרו עד כה (חלקם הקנסות שהוצגו מעלה, ובחלקם הוחלט שלא להטיל סנקציה). במקביל להליכים אלה, ברשות מנהלים עוד כ-244 תיקי פיקוח רוחב - משמע, הרשות בוחנת סקטורים או תחומים רחבים, ולא חברה ספציפית.
כיום, הרשות מנהלת עשרות הליכי פיקוח ובירורים מנהליים מול גופים משמעותיים במשק במגוון מגזרים, בהם בעיקר בנקים, חברות ביטוח ובתי השקעות מובילים; קופות חולים ומוסדות רפואיים; רשויות מקומיות ברחבי הארץ, לצד שימוש במצלמות ובמערכות עירוניות; חברות תקשורת, ענן וספקיות טכנולוגיה; ורשתות קמעונות ומסחר.
"שינוי עמוק בתחום"
הנושאים השכיחים ביותר בהליכים הנפתחים, כך לפי הרשות, הם אירועי אבטחת מידע חמורים וחשד לדלף מידע, בדיקת חובת היידוע ומדיניות פרטיות (סעיף 11 לחוק), וכן בדיקת היבטי שימוש במידע ביומטרי והפעלת מצלמות מעקב.
על בסיס החלטות האכיפה שפורסמו, בהן הטלת עיצומים כספיים, הסעיפים שבהם נעשה השימוש הרב ביותר הם אי-דיווח מיידי על אירוע אבטחה חמור (כבר הוטלו שני עיצומים כספיים: קופת חולים מאוחדת ומנורה מבטחים); הפרת חובת מבקש מידע/חובת היידוע (א.ד קרטינג חוצות); וליקויים במסמך הגדרות מאגר והיעדר התייחסות כדין להתקשרות עם מחזיקים חיצוניים בנוהלי האבטחה (עיריית בית שמש).
עו"ד מרים פרידמן, שותפה בתחום פרטיות ואבטחת מידע במשרד ארנון, תדמור-לוי, אומרת לגלובס כי הנתונים הללו מצביעים על "שינוי עמוק באופן שבו ארגונים בישראל נדרשים להתייחס להגנת הפרטיות".
לדבריה, "במשך שנים, ארגונים רבים התייחסו לחובות לפי דיני הפרטיות הישראליים בעיקר כעניין של ציות פורמלי, ופחות חשוב מציות לדיני הפרטיות הזרים, ולעיתים כאל סוגיה שנמצאת באחריות מחלקת המחשוב או הייעוץ המשפטי. תיקון 13 משנה את המשוואה: הפרת חובות בתחום עלולה להפוך לסיכון כספי, משפטי ותדמיתי משמעותי, שמחייב מעורבות של ההנהלה הבכירה".
עו"ד פרידמן מסבירה, כי המגמה המעניינת בהחלטות האחרונות היא שהרשות לא מתמקדת רק בתוצאה - משמע, לא רק אם המידע נגנב או נחשף - אלא גם בהתנהלות הארגון שקדמה לאירוע, ואיך הארגון הגיב.
"גם ארגון שנפל קורבן למתקפת סייבר עלול למצוא עצמו חשוף לסנקציות, לא בהכרח בשל עצם המתקפה, אלא משום שלא עמד בחובות הדיווח, התיעוד או הפיקוח המוטלות עליו. זהו הבדל מהותי, משום שהוא מעביר את הדגש ממניעת אירועים בלבד לאחריות ניהולית מתמשכת".
עוד הוסיפה פרידמן, כי "הכיוון כבר מסתמן: הגנת הפרטיות אינה יכולה להישאר עניין שמטפלים בו רק לאחר שמתרחשת תקלה. היא הופכת לחלק בלתי נפרד מניהול הסיכונים השוטף של כל ארגון המחזיק במידע אישי".
"היקפי פעילות מרשימים"
ד"ר עו"ד דן חי, מומחה להגנת הפרטיות ובעלים של משרד עוה"ד דן חי ושות', אומר לגלובס כי אין ספק שהרשות באה לעבוד. "כאשר נכנס התיקון לתוקף, הצהירה הרשות להגנת הפרטיות כי תפעל בנחישות ובהיקף גדול לאכוף את החוק לאחר תיקונו. העובדה כי כ-178 תיקים פתוחים ברשות להגנת הפרטיות אכן מאוששת את הצהרת הרשות, וצריכה להדליק נורת אזהרה בקרב חברות וארגונים במשק הישראלי".
לדבריו, "ניתן היה להבחין כי חברות וארגונים רבים, ובפרט עסקים קטנים ובינוניים, טרם השלימו את ההתאמות הנדרשות לפני כניסת התיקון לתוקף. לטעמי, ראוי היה לשקול מתן פרק זמן נוסף להיערכות המשק, נוכח היקף השינויים, מורכבותם והמשמעויות הכלכליות והתפעוליות שלהם".
עוד אמר כי "נראה שהרשות פועלת בהיקפים גדולים, ואפשר לומר אפילו מרשימים, בפעולות האכיפה שלה. אין ספק שהליכים כאלו לוקחים זמן, דבר שקצת 'הרדים' ארגונים רבים במשק, אבל הם קורים בשטח".
