תיקון 13 לחוק הגנת הפרטיות הוא השינוי המשמעותי ביותר בחוק מאז חקיקתו בשנות ה-80. עבור עסקים שמאחסנים מידע אישי על שרתי ענן - רשימות לקוחות, הזמנות, פרטי עובדים, תיקים רפואיים או פיננסיים - השאלה כבר אינה רק "האם השרת מאובטח", אלא "האם אנחנו יכולים להוכיח שהוא מאובטח לפי הדרישות". במדריך נסביר מה השתנה, איך זה מתחבר לתשתית הענן, ונסיים בצ'קליסט שאפשר לעבוד לפיו.
מה זה תיקון 13 לחוק הגנת הפרטיות?
תיקון 13 הוא תיקון מקיף לחוק הגנת הפרטיות, התשמ"א-1981, שאושר בכנסת בשנת 2024 ונכנס לתוקף ב-14 באוגוסט 2025. מטרתו המרכזית היא להתאים את החוק הישראלי לעידן הדיגיטלי ולהעניק לרגולטור - הרשות להגנת הפרטיות - כלים אמיתיים לאכוף אותו. העקרונות המרכזיים של התיקון:
- עדכון הגדרות - החוק משתמש במונחים רחבים ועדכניים יותר, כמו "מידע אישי" ו"עיבוד" (כל פעולה במידע), והגדרה מורחבת של "מידע בעל רגישות מיוחדת".
- צמצום חובת רישום מאגרים - חובת הרישום הצטמצמה לסוגים מסוימים של מאגרים, ובמקביל נקבעה לחלק מהמאגרים חובת הודעה לרשות.
- ממונה על הגנת הפרטיות - חובה למנות ממונה (DPO) בסוגים מסוימים של ארגונים.
- סמכויות אכיפה מנהליות - הרשות יכולה להטיל עיצומים כספיים, לערוך בדיקות ולתת הוראות, בלי צורך בהליך פלילי.
- החמרת סנקציות - הרחבת עבירות והקלה מסוימת בתביעות אזרחיות של נפגעים.
התיקון לא החליף את תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, שהן עדיין "ספר ההוראות" הטכני. ההבדל הוא שעכשיו לאי-עמידה בתקנות יש מחיר ממשי ומיידי.
מה השתנה ברישום מאגרי מידע?
לפני התיקון, כמעט כל מאגר עם מעל 10,000 אנשים או עם מידע רגיש חייב רישום אצל רשם המאגרים. אחרי התיקון חובת הרישום מצומצמת בעיקר לגופים ציבוריים ולסוחרי מידע (גופים שעיקר עיסוקם איסוף מידע לצורך מסירתו לאחרים) מעל היקף מסוים. עבור מאגרים אחרים שמכילים מידע בעל רגישות מיוחדת על מספר גדול מאוד של אנשים נקבעה חובת הודעה לרשות במקום רישום מלא.
חשוב להבין: הקלה בחובת הרישום איננה הקלה בחובות האבטחה. גם מאגר שאינו חייב ברישום כפוף לחוק ולתקנות אבטחת המידע, והרשות יכולה לבדוק אותו ולהטיל עליו עיצומים.
מי חייב למנות ממונה על הגנת הפרטיות (DPO)?
לפי התיקון, חובת מינוי ממונה על הגנת הפרטיות חלה על קבוצות מוגדרות של ארגונים, ובהן:
- גופים ציבוריים.
- סוחרי מידע מעל היקף מסוים.
- גופים שעיסוקם העיקרי כולל ניטור שיטתי וקבוע של אנשים בהיקף ניכר.
- גופים שעיסוקם העיקרי כולל עיבוד בהיקף ניכר של מידע בעל רגישות מיוחדת (למשל מידע רפואי).
הממונה אמור להיות בעל ידע מתאים בדיני פרטיות ובטכנולוגיה, לפעול באופן עצמאי ולדווח להנהלה. הרשות פרסמה הנחיות לגבי פרשנות המונחים "עיסוק עיקרי" ו"היקף ניכר"; אם אתם בתחום אפור, זו בדיוק נקודה לבדוק עם יועץ משפטי. לצד הממונה על הפרטיות, תקנות אבטחת המידע מחייבות בחלק מהמאגרים גם ממונה אבטחת מידע - תפקיד נפרד שאין לבלבל ביניהם.
אילו סמכויות אכיפה יש לרשות להגנת הפרטיות?
זה השינוי שהופך את התיקון לרלוונטי לכל עסק. הרשות מוסמכת כעת להטיל עיצומים כספיים מנהליים על הפרות של החוק והתקנות, כשגובהם תלוי בין היתר בסוג ההפרה, ברגישות המידע ובמספר האנשים במאגר - כך שבמאגרים גדולים הסכומים עלולים להיות משמעותיים מאוד. בנוסף, לרשות סמכויות פיקוח ובדיקה: דרישת מסמכים, כניסה לבדיקה, ומתן הוראות לתיקון ליקויים.
המשמעות המעשית: נוהל אבטחה שקיים רק "בראש" של איש ה-IT, או גיבוי שאף פעם לא נבדק, הם כבר לא רק סיכון תפעולי - הם חשיפה רגולטורית. בבדיקה שואלים "תראו לי", ולכן התיעוד חשוב לא פחות מהטכנולוגיה.
מה דורשות תקנות אבטחת המידע 2017 משרת ענן?
התקנות מסווגות מאגרים לרמות אבטחה - בסיסית, בינונית וגבוהה (ובנוסף מסלול מקל למאגר שמנוהל בידי יחיד) - לפי סוג המידע, מספר האנשים ומספר בעלי ההרשאות. ככל שהרמה גבוהה יותר, הדרישות מחמירות. הטבלה הבאה מתרגמת את הדרישות העיקריות לשפה של שרתי ענן:
| דרישה בתקנות | מה זה אומר בשרת ענן | רמות רלוונטיות |
|---|---|---|
| מסמך הגדרות מאגר ונוהל אבטחה | תיעוד אילו שרתים, מסדי נתונים וגיבויים מכילים מידע אישי, מי ניגש ולמה | כל הרמות |
| מיפוי מערכות | רשימת שרתים, רכיבי רשת, תוכנות וגרסאות, כולל אצל ספק הענן | בינונית, גבוהה |
| בקרת גישה והרשאות | משתמשים אישיים, הרשאות מינימליות, SSH במפתחות, MFA לממשקי ניהול | כל הרמות |
| תיעוד גישה (לוגים) | רישום אוטומטי של גישות למערכות המידע, שמירה לתקופה שנקבעה בתקנות ובדיקה תקופתית | בינונית, גבוהה |
| אבטחת תקשורת | הצפנת תעבורה (TLS, VPN), הפרדת רשתות, חומת אש | כל הרמות, בהתאם לסיכון |
| גיבוי ושחזור | גיבוי תקופתי שמאפשר שחזור, עותק במיקום נפרד, בדיקות שחזור | בינונית, גבוהה |
| סקר סיכונים ומבדקי חדירות | בדיקה תקופתית של חולשות בשרתים ובאפליקציה | גבוהה |
| אירועי אבטחה | נוהל טיפול באירועים, ודיווח לרשות על אירוע אבטחה חמור | כל הרמות (דיווח לפי ההגדרות) |
| מיקור חוץ | הסכם עם ספק הענן שמגדיר דרישות אבטחה, ופיקוח על עמידתו בהן | כל הרמות |
הטבלה היא תמצית ולא תחליף לנוסח התקנות. התדירויות המדויקות (למשל של סקרי סיכונים ומבדקי חדירות) ותקופות שמירת הלוגים קבועות בתקנות ותלויות ברמת האבטחה.
האם חובה לשמור מידע אישי על שרתים בישראל?
לא - החוק אינו קובע חובה כללית לאחסון בישראל. העברת מידע אישי ממאגר בישראל אל מחוץ לישראל מוסדרת בתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), שמתירות העברה בתנאים מסוימים - למשל למדינות שמוכרות כבעלות הגנה מספקת, או בהתחייבויות מתאימות של המקבל.
ועדיין, יש סיבות טובות לשמור את המידע בארץ:
- פשטות רגולטורית - אין צורך לבחון את תנאי ההעברה לחו"ל ולתעד אותם.
- דרישות מגזריות - גופים פיננסיים, מוסדות בריאות וגופים ממשלתיים כפופים לעיתים להנחיות נוספות של הרגולטור שלהם לגבי שימוש בענן.
- דרישות לקוחות - במכרזים ובהתקשרויות עם ארגונים גדולים נשאלת לעיתים קרובות השאלה "היכן המידע שלנו יושב?".
- שליטה ושקיפות - קל יותר לדעת בדיוק היכן נמצאים השרתים והגיבויים.
השרתים שלנו נמצאים בחוות שרתים בישראל; פרטים נוספים בעמוד שרת ענן בישראל. גם ענקיות הענן מציעות היום אזורים בישראל - השוואה מלאה במדריך ספק ענן ישראלי או AWS / Azure. שימו לב שגם כשהשרת הראשי בישראל, הגיבויים, הלוגים או כלי הניטור עלולים לשבת במקום אחר - כדאי למפות גם אותם.
מי אחראי - אתם או ספק הענן?
האחריות העיקרית לפי החוק מוטלת על בעל השליטה במאגר - העסק שאוסף את המידע ומחליט מה לעשות בו. ספק הענן הוא בדרך כלל "מחזיק" או נותן שירות במיקור חוץ. תקנות אבטחת המידע מחייבות את בעל המאגר לבחון את הסיכונים לפני התקשרות עם ספק, לקבוע בהסכם את דרישות האבטחה ולפקח על עמידתו בהן.
בפועל זה מודל של אחריות משותפת: הספק אחראי לאבטחה הפיזית של מרכז הנתונים, לחומרה ולשכבת הווירטואליזציה; אתם אחראים למערכת ההפעלה, לעדכונים, למשתמשים ולאפליקציה. בשירות ענן מנוהל חלק מהאחריות התפעולית (עדכונים, ניטור, גיבויים) עובר לצוות הספק - אבל האחריות המשפטית כבעלי המאגר נשארת אצלכם.
צ'קליסט מעשי: שמירת מידע אישי על שרת ענן
הרשימה הבאה מרכזת את הצעדים הטכניים והארגוניים שכדאי לבצע בכל שרת ענן שמכיל מידע אישי. היא לא מכסה את כל הדרישות המשפטיות, אבל היא בסיס טוב לשיחה עם היועץ המשפטי ועם ממונה האבטחה.
- מיפוי מידע - אילו מאגרים יש לכם, איזה מידע בכל אחד, כמה אנשים, ובאילו שרתים, מסדי נתונים וגיבויים הוא נמצא. בלי זה אי אפשר לקבוע רמת אבטחה.
- צמצום מידע - אל תשמרו מה שלא צריך. מחיקת מידע ישן היא אמצעי האבטחה הזול ביותר.
- הצפנה - TLS לכל התעבורה (גם בין שרת האפליקציה למסד הנתונים כשהם על שרתים נפרדים), הצפנת דיסקים או שדות רגישים, והצפנת גיבויים לפני שהם יוצאים מהשרת.
- בקרת גישה - משתמש אישי לכל עובד, ללא חשבונות משותפים; התחברות SSH במפתחות בלבד; MFA לפאנל הניהול ולחשבון אצל הספק; הגבלת פורטי ניהול לכתובות IP מורשות או ל-VPN. ראו צ'קליסט אבטחת שרת לינוקס.
- הרשאות מינימליות - כל משתמש ואפליקציה מקבלים רק את ההרשאות שהם צריכים; משתמש מסד הנתונים של האתר אינו root.
- תיעוד ולוגים - רישום התחברויות, פעולות ניהול וגישה למידע; שליחת הלוגים לשרת נפרד כדי שתוקף לא יוכל למחוק אותם; בדיקה תקופתית.
- עדכוני אבטחה - תהליך קבוע לעדכון מערכת ההפעלה, השרתים והאפליקציות, כולל תוספים.
- גיבויים - גיבוי מוצפן לפי כלל 3-2-1, עם עותק מחוץ לשרת ועותק שלא ניתן לשינוי, ובדיקות שחזור מתועדות. שירות גיבוי לענן יכול לכסות את החלק החיצוני.
- הסכם עם ספק הענן - הגדרת דרישות אבטחה, מיקום הנתונים והגיבויים, גישת עובדי הספק, דיווח על אירועים, ומה קורה למידע בסיום ההתקשרות.
- מיקום הנתונים - תיעוד היכן יושבים השרתים, הגיבויים והלוגים; אם יש העברה לחו"ל, בדיקה שהיא עומדת בתקנות.
- נוהל אירועי אבטחה - מי מחליט, איך בולמים, איך משמרים ראיות, ומתי מדווחים לרשות.
- הדרכה ובקרה - הדרכת עובדים בעלי הרשאות, וביקורת תקופתית שהנהלים מיושמים בפועל.
איך מתחילים בפועל?
הדרך היעילה היא לעבוד בשלבים: קודם מיפוי (מה יש ואיפה), אחר כך סגירת הפערים הקריטיים (גישה חשופה, היעדר גיבוי, היעדר הצפנה), ורק לאחר מכן כתיבת הנהלים והמסמכים. שלב המיפוי הוא גם הזדמנות טובה לאחד שרתים מפוזרים לתשתית אחת מסודרת - למשל במסגרת מעבר לענן - כך שקל יותר לנהל ולתעד אותה.
ואם אינכם בטוחים לאיזו רמת אבטחה המאגר שלכם שייך, אם אתם חייבים בממונה פרטיות, או אם העברת מידע לספק בחו"ל מותרת במקרה שלכם - אלה שאלות לעורך דין. אנחנו יכולים לעזור בצד הטכני: לתאר בדיוק היכן המידע שמור, אילו אמצעי אבטחה קיימים ומה חסר.