על מי חל החוק?
על כמעט כולם. כל ארגון שאוסף או מחזיק מידע על אנשים מזוהים — לקוחות, עובדים, ספקים, משתמשים באתר — מנהל 'מאגר מידע' כהגדרתו בחוק. גודל הארגון לא משנה את עצם התחולה; הוא משנה בעיקר את היקף החובות.
מהם עקרונות היסוד של החוק?
- הסכמה — איסוף ושימוש במידע מחייבים הסכמה מדעת של נושא המידע.
- צמידות מטרה — מידע שנאסף למטרה אחת אסור בשימוש למטרה אחרת בלי בסיס חוקי.
- מידתיות — אוספים רק את המידע שנדרש למטרה.
- אבטחת מידע — חובה להגן על המידע לפי תקנות אבטחת המידע.
- שקיפות וזכויות — לנושא המידע יש זכות עיון במידע עליו וזכות לבקש תיקון או מחיקה.
מה השתנה בתיקון 13?
תיקון 13, שנכנס לתוקף ב-14 באוגוסט 2025, הוא העדכון המשמעותי ביותר לחוק מאז חקיקתו: הגדרות רחבות בנוסח GDPR, חובת ממונה הגנת פרטיות (DPO) בארגונים מסוימים, סמכויות פיקוח לרשות, ועיצומים כספיים שיכולים להגיע למיליוני שקלים. פירטנו הכול במדריך תיקון 13.
מה דורשות תקנות אבטחת המידע?
תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, מתרגמות את החוק לדרישות תפעוליות: סיווג המאגר לרמת אבטחה, מסמך הגדרות מאגר, נהלים, בקרת גישה, תיעוד אירועים ודיווח על אירועי אבטחה חמורים. ריכזנו את הדרישות במדריך תקנות אבטחת המידע.
ומה עם ארגונים שעובדים מול אירופה?
ארגון ישראלי שמציע שירותים לתושבי האיחוד האירופי או עוקב אחר התנהגותם כפוף גם ל-GDPR — עם קנסות של עד 20 מיליון אירו או 4% מהמחזור העולמי. ישראל נהנית מהכרת נאותות (Adequacy) של האיחוד, מה שמקל על העברות מידע — אבל לא פוטר מציות. הרחבנו במדריך GDPR לארגונים ישראליים.
איך חוק הגנת הפרטיות פוגש את ה-AI?
כל הדבקה של מסמך עם פרטי לקוחות בכלי AI חיצוני היא 'שימוש' ו'העברה' של מידע אישי, על כל החובות הנלוות. מחקר של Cyberhaven מצא שכ-11% ממה שעובדים מדביקים בכלי AI הוא מידע רגיש של הארגון — ולפי דוח IBM Cost of a Data Breach 2024, אירוע דליפה ממוצע עולה 4.88 מיליון דולר.
החוק חל על מידע הנוגע לאדם מזוהה או ניתן לזיהוי — ולכן מסמך שעבר אנונימיזציה אמיתית לפני ההזנה מוציא את הפעולה מגדר עיבוד מידע אישי. זו הדרך הפרקטית לאפשר עבודה עם AI בלי לוותר על ציות. הרשימה המלאה של מה שאסור להזין — במדריך הזה.