המאמר נותן תמונה כללית ואינו ייעוץ משפטי. לשאלות משפטיות ספציפיות כדאי לפנות לעורך דין המתמחה בפרטיות.
תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025. הוא הרחיב את סמכויות האכיפה של הרשות להגנת הפרטיות, כולל הטלת עיצומים כספיים, והרחיב את האפשרות לתבוע פיצוי ללא הוכחת נזק. לפי דיווחים, באמצע 2026 פורסם עיצום כספי ראשון לפי התיקון, נגד קופת חולים.
לפי כלכליסט, רוב העסקים הקטנים והבינוניים לא היו ערוכים לתיקון כשנכנס לתוקף. החדשות הטובות: רוב הפערים נסגרים בצעדים פשוטים יחסית.
שש שאלות שכל עסק צריך לשאול את עצמו
- איזה מידע אישי אנחנו אוספים, ולמה? שמות, טלפונים, תעודות זהות, מידע רפואי או פיננסי. כל סוג מידע צריך מטרה ברורה.
- איפה המידע נמצא? במערכת אחת, או גם באקסלים, במיילים ובטלפונים של העובדים? מידע מפוזר קשה להגן עליו.
- מי ניגש למה? הרשאות לפי תפקיד, ולא "כולם רואים הכול".
- מה קורה כשעובד עוזב? נוהל שסוגר גישות באותו יום, כולל מייל ווואטסאפ עסקי.
- מה האתר אוסף? טפסים, עוגיות, הרשמה. לאן הפרטים מגיעים, והאם מדיניות הפרטיות מתארת את זה נכון.
- מה העובדים מדביקים לכלי AI? מייל של לקוח שמודבק ל-ChatGPT כדי לנסח תשובה הוא העברת מידע אישי לגורם חיצוני.
AI ופרטיות: הסיכון החדש
הסיכון שהכי פחות מדברים עליו הוא שימוש לא מוסדר בכלי AI. עובדים משתמשים בהם כי הם חוסכים זמן, וזה טוב. הבעיה מתחילה כשאין כללים: מה מותר להעלות, באילו כלים, ועם אילו הגדרות. מדיניות שימוש קצרה ורשימת כלים מאושרים פותרות את רוב הבעיה.
מה עושים בפועל
- ממפים את מאגרי המידע: מה יש, איפה, ומי אחראי.
- מצמצמים: מוחקים מידע ישן שאין בו צורך, ומרכזים את השאר במקום מאובטח.
- מגדירים הרשאות ונוהל כניסה ועזיבה של עובדים.
- בודקים את האתר ומעדכנים את מדיניות הפרטיות.
- כותבים מדיניות שימוש ב-AI ומדריכים את הצוות.
סקר סיכונים מסודר עושה את כל זה בשיטתיות, ונותן תוכנית עבודה לפי סדר עדיפויות.
מקורות: כלכליסט · המדריך לתיקון 13 · שיבולת, עדכון אכיפה
