תיקון 13 לחוק הגנת הפרטיות - המדריך המלא למפתחים, ארגוני תוכנה ומנהלי מערכות

על פי המקורות הרשמיים של הרשות להגנת הפרטיות והכנסת, להלן עיקרי השינויים הכלולים בתיקון

1. הגדרות חדשות  למושג "מידע אישי"

התיקון מרחיב משמעותית את ההגדרה של "מידע אישי". ההגדרה החדשה היא "כל נתון הנוגע לאדם מזוהה או לאדם הניתן לזיהוי".

דוגמאות למידע אישי כוללות:

• כתובת IP

• מזהה מכשיר (Device ID)

• נתוני מיקום

• קבצי Cookies

• מזהה משתמש פנימי במערכת (UserID)

• מזהה פרופיל ב‑Firebase או AWS Cognito

• נתוני שימוש באפליקציה (כגון Google Analytics)

הגדרה חדשה מחליפה את המושג "מידע רגיש" ומרחיבה אותו כך שיותם לסטנדרט GDPR. בקטגוריה זו נכלל מידע רפואי, מידע מגנטי, מידע על נטייה מינית, מידע ביומטרי, מידע פלילי, נתוני מיקום מדויקים ונתוני זיהוי ביומטריים (FaceID, טביעת אצבע).

• לדוגמא אפליקציית כושר שמודדת דופק ושינה — נחשבת כעת כמחזיקה מידע בעל רגישות מיוחדת, ולכן נדרשת לרמת אבטחה גבוהה יותר.

3. הרחבת סמכויות האכיפה

התיקון מעניק לרשות להגנת הפרטיות 

 סמכויות חדשות ורחבות סמכות להטיל עיצומים כספיים משמעותיים

כולל נטלת קנסות על אי‑עמידה בתקנות אבטחת מידע, איסוף מידע ללא בסיס חוקי, שימוש במידע מעבר למטרה המקורית ואי‑דיווח על אירועי אבטחה חמורים

סמכות לחקירה פלילית

חוקרי הרשות יכולים לבצע חקירות, לתפוס חומרי מחשב ולדרוש מסמכים.

סמכות לקבלת צו משפטי

בית משפט יכול להורות על הפסקת עיבוד מידע, מחיקת מידע ואו חסימת מערכת או שירות 

4. שינוי דרמטי בחובת רישום מאגרי מידע

בעבר כמעט כל מאגר היה חייב ברישום. כעת החובה לרישום מאגרי מידע מצומצמת משמעותית.

חובת רישום נשארת רק עבור גופים ציבוריים, מאגרים המשמשים לסחר במידע ומאגרים עם מידע רגיש בהיקף של מעל 100,000 איש (יש חובת הודעה לרשות)

למשל מערכת CRM של בית עסק קטן אינה חייבת ברישום מאגר מידע במידה ואין מידע רגיש בהיקף גדול. באופן דומה מערכת דיוור עם נתוני לקוחות גם אינה חייבת ברישום מאגר מידע אלא אם יש סחר במידע. לעומת זאת אפליקציית בריאות עם 200,000 משתמשים שמנהלת מידע רגיש חייבת ברישום מאגר המידע.

5. חובות אבטחת מידע מחמירות

התיקון מחזק את תקנות אבטחת המידע הקיימות ומטיל חובות חדשות ובכלל זה:

• ניהול סיכוני אבטחת מידע
• הצפנת מידע רגיש
• בקרות גישה מחמירות
• ניטור ואיתור חריגות
• תיעוד פעולות גישה (Audit Logs)
• ניהול ספקים (Vendor Management)
• בדיקות חדירות תקופתיות

למשל מערכת SAAS שמחזיקה נתוני לקוחות חייבת:

• לנהל הרשאות לפי עיקרון Least Privilege
• להצפין מידע במנוחה (At Rest) ובמעבר (In Transit)
• לתעד גישה של מפתחים ל‑DB
• לבצע בדיקות חדירות שנתיות