תיקון 13 מול GDPR: איך שני חוקי הפרטיות מתחברים – ומה זה אומר לעסק שלכם

שמעתם על תיקון 13, שמעתם גם על GDPR, ומישהו בדרך אמר לכם שזה בערך אותו דבר. זה לא בדיוק נכון – וגם לא לגמרי לא נכון. תיקון 13 קירב את חוק הגנת הפרטיות הישראלי הרבה יותר ל-GDPR האירופי, אבל הוא לא הופך אתכם אוטומטית ל"תואמי GDPR". ומצד שני, לא כל עסק ישראלי בכלל צריך להתעסק עם GDPR – לרוב מדובר בשאלה שלא רלוונטית בפועל, אבל שווה לבדוק את זה בעצמכם ולא להניח.

במאמר הזה אני עובר על מה שבאמת קורה כשמסתכלים על שני החוקים יחד: איך הם דומים ואיך הם שונים, מה הדין הישראלי הקיים – חוק הגנת הפרטיות, תיקון 13 ותקנות אבטחת המידע ביחד – כבר סגר לכם, מה GDPR עדיין עשוי לדרוש (ורק אם הוא בכלל חל עליכם), ואיך בודקים בחמש דקות אם זה נוגע לעסק שלכם או שאתם יכולים להירגע.

תיקון 13 ו-GDPR: קרובים, לא זהים

ה-GDPR (General Data Protection Regulation) הוא התקנה האירופית להגנת מידע אישי, בתוקף באיחוד האירופי מאז 2018. חוק הגנת הפרטיות הישראלי קיים עוד הרבה קודם לכן, ותיקון 13 – שאושר בכנסת באוגוסט 2024 ונכנס לתוקף באוגוסט 2025 – הוא העדכון המשמעותי ביותר שהחוק עבר מאז שנחקק. חלק גדול מהמטרה של תיקון 13 היה לצמצם את הפער בין הרגולציה הישראלית לרגולציה האירופית, ולכן קל להבין למה אנשים מתבלבלים בין השניים ומניחים שמדובר בגרסה ישראלית של אותו החוק.

יש נקודות דמיון אמיתיות אחרי תיקון 13. שני החוקים מכירים כיום בקטגוריה של מידע בעל רגישות מיוחדת (כמו מידע רפואי, ביומטרי, גנטי או פלילי) ודורשים לגביה זהירות מוגברת ואמצעי אבטחה חזקים יותר. שניהם מטילים חובת מינוי ממונה על הגנת הפרטיות (DPO) – אם כי על קבוצות שונות של ארגונים, לפי קריטריונים שונים. ושניהם הרחיבו משמעותית את סמכויות האכיפה של הרגולטור המקומי, כולל האפשרות להטיל עיצומים כספיים בלי להזדקק להליך פלילי מלא.

אבל יש גם הבדלים אמיתיים שלא נעלמים רק כי תיקון 13 נכנס לתוקף:

• הבסיס המשפטי לעיבוד מידע. ה-GDPR בנוי סביב שישה בסיסים משפטיים מוגדרים לעיבוד מידע, ובהם הסכמה, חובה משפטית ו"אינטרס לגיטימי". הדין הישראלי אינו בנוי סביב אותה רשימה של שישה בסיסים, ולכן אי אפשר פשוט לקחת את הבסיס שבחרתם לפי GDPR ולהניח שהוא עובד באותה צורה גם בישראל – וההפך.
• זכות המחיקה. ב-GDPR יש "זכות להישכח" רחבה יחסית, שמאפשרת במקרים רבים לדרוש מחיקת מידע גם כשהוא מדויק ועדכני. בחוק הישראלי הזכות מוגבלת בעיקר למידע שגוי, לא מעודכן או לא שלם – אין זכות מחיקה גורפת כמו ב-GDPR, וחשוב לא להציג את זה ככזו כלפי לקוחות שלכם, כי זו הבטחה שהחוק הישראלי עדיין לא נותן.
• האכיפה. הרשות להגנת הפרטיות קיבלה בתיקון 13 סמכות להטיל עיצומים כספיים משמעותיים, בהתאם לחומרת ההפרה, היקפה ומספר האנשים שנפגעו. הסכומים המדויקים תלויים בנסיבות הספציפיות, ומקורות שונים שבדקתי לצורך המאמר הזה לא תמיד מסכימים ביניהם על התקרות המדויקות. אם זה רלוונטי לעסק שלכם באופן ממשי, שווה לבדוק את הסכומים מול הנוסח הרשמי של החוק או מול הרשות להגנת הפרטיות עצמה, ולא להסתמך על מספר שראיתם במאמר כלשהו – כולל הזה.

מה זה בכלל "נאותות" (adequacy) – והאם זה משנה לי משהו

בפועל, הסטטוס הזה אומר שמידע אישי יכול לזרום מהאיחוד האירופי לישראל בלי שהעסק צריך להוסיף מנגנוני הגנה חוזיים נוספים (כמו סעיפים חוזיים סטנדרטיים) לכל העברה כזו. זה נוח, למשל, אם אתן מקבלות רשימת לקוחות מספק אירופי, מפעילות מרכז שירות שמקבל פניות ממדינה באיחוד, או אם חברה אירופית שולחת אליכן מידע כחלק משיתוף פעולה עסקי או מיקור חוץ.

אבל – וזו הנקודה שהכי הרבה בעלי עסקים מפספסים – סטטוס הנאותות עוזר בכיוון אחד בלבד: מהאיחוד אליכם. הוא לא אומר כלום על מה שקורה כשאתם, העסק הישראלי, פונים ישירות ללקוחות באיחוד האירופי, מוכרים להם מוצרים או שירותים, או עוקבים אחרי ההתנהגות שלהם באינטרנט. במקרה הזה, GDPR יכול לחול עליכם ישירות, בלי שום קשר לסטטוס הנאותות ובלי קשר לזה שאתם עומדים בתיקון 13 בצורה מופתית.

הדין הישראלי כבר מכסה חלק מהעבודה – הנה מה שאולי כבר עשיתם

אם כבר עשיתם עבודה מסודרת כדי לעמוד בחוק הגנת הפרטיות, בתיקון 13 ובתקנות הגנת הפרטיות (אבטחת מידע) – אתם כבר במקום טוב יחסית מול GDPR, ולא מתחילים מאפס, גם אם הוא כן חל עליכם. חשוב לדייק כאן: חלק מהדברים האלה הם דרישות ותיקות של חוק הגנת הפרטיות ושל תקנות אבטחת המידע (התשע"ז-2017), לא המצאה של תיקון 13 עצמו – תיקון 13 הרחיב ושינה חלקים משמעותיים בחוק, אבל הוא לא "חבילת ה-compliance" השלמה. כמה דוגמאות למה שכבר עשוי להיות אצלכם, ואיך זה מתקשר לצד האירופי:

• אם מיפיתם את המידע האישי שאתם אוספים ושומרים (מי המידע, איפה הוא נשמר, למי הוא מועבר) – כבר עשיתם חלק משמעותי מעבודת הבסיס שנדרשת גם לצורך "רישום פעילויות עיבוד" (Records of Processing Activities, או ROPA) לפי ה-GDPR, במקרים שבהם חובת הרישום הזו בכלל חלה (יש לה חריגים מסוימים לארגונים קטנים). פירטתי על זה במדריך מיפוי מידע אישי.
• אם יש לכם מסמך הגדרות מאגר עדכני והערכתם את רמת האבטחה הנדרשת – כבר ביצעתם עבודת תשתית שימושית גם מול חלק מדרישות האבטחה וניהול הסיכונים של ה-GDPR, גם אם זה לא זהה למושג הרחב יותר של "הגנת מידע בעיצוב ומברירת מחדל" (Data Protection by Design and by Default, לפי סעיף 25 ל-GDPR). הרחבתי על זה במדריך מסמך הגדרות מאגר.
• אם מיניתם ממונה על הגנת הפרטיות כשהחוק הישראלי מחייב זאת – יש לכם כבר תפקיד וגורם אחראי בארגון, שגם GDPR דורש (אם כי עם קריטריונים שונים לגבי מי בדיוק חייב במינוי). כתבתי מדריך נפרד על זה: ממונה על הגנת הפרטיות (DPO).
• אם עדכנתם את מדיניות הפרטיות שלכם כך שהיא באמת משקפת מה אתם אוספים ולמה – זה חופף לדרישת השקיפות שגם GDPR מציב במרכז.

חשוב גם להבחין בין "יש לי מדיניות פרטיות" לבין "אני עומד בחוק" – זו טעות נפוצה שפירטתי עליה במאמר מדיניות פרטיות זה לא עמידה בחוק. אחרי שעדכנתם או כתבתם מדיניות פרטיות, שווה גם להריץ אותה ב-Privacy Score – כלי חינמי שפיתחתי שבודק אותה ומחזיר ציון ונקודות לשיפור. חשוב להגיד את זה בבירור: הכלי מזהה פערים בולטים במדיניות עצמה, אבל הוא לא בודק עמידה ב-GDPR ולא מחליף בדיקה משפטית מקצועית.

מה GDPR עדיין עשוי לדרוש מעבר לדין הישראלי (אם הוא חל עליכם)

אם בדקתם (בסעיף הבא) וגיליתם ש-GDPR באמת רלוונטי לעסק שלכם, הנה כמה דברים שהוא עשוי לדרוש מעבר למה שכבר נדרש מכם לפי הדין הישראלי:

• בסיס משפטי רחב יותר לעיבוד מידע, כולל האפשרות להסתמך על "אינטרס לגיטימי" – אבל גם צורך לזהות בסיס משפטי מתאים לכל פעילות עיבוד בנפרד, ובמקרים הרלוונטיים גם להיות מסוגלים לתעד ולהצדיק את הבחירה, ולא רק להצהיר עליה באופן כללי במדיניות הפרטיות.
• זכות מחיקה רחבה יותר מזו שקיימת בחוק הישראלי, עם פחות תנאים מצטברים, ותהליך ברור למימוש שלה מול הלקוח.
• נציג באיחוד האירופי (EU representative). אם אין לכם נוכחות פיזית באיחוד האירופי אבל אתם פונים באופן שיטתי ללקוחות שם, GDPR עשוי לדרוש מכם למנות נציג רשמי באיחוד – גורם או חברה שאפשר לפנות אליהם במקום אליכם ישירות, לצורכי רגולציה. יש חריגים לעיבוד מזדמן ובסיכון נמוך, אז זו נקודה שכדאי לבדוק לגופה מול איש מקצוע ולא להניח לכיוון כזה או אחר.
• כללים להעברת מידע מחוץ לאזור הכלכלי האירופי, אם אתם מעבירים מידע של אנשים שנמצאים באיחוד האירופי לספקים או שירותים במדינות שאין לגביהן החלטת נאותות – שם עשויים להידרש מנגנוני העברה מתאימים לפי כללי ה-GDPR. ישראל עצמה, כפי שראינו למעלה, כן נהנית מהחלטת נאותות של האיחוד, כך שהעברת מידע אליה נמצאת במצב שונה לגמרי ממדינות שאין לגביהן החלטה כזו.
• סנקציות גבוהות משמעותית מהתקרות שמוכרות מהחוק הישראלי, כפי שציינתי למעלה.

הרשימה הזו לא ממצה, והיא גם לא מיועדת להפחיד – היא מיועדת לתת תמונה ריאלית של הפער, כדי שתדעו אם שווה לכם להשקיע זמן בבדיקה מעמיקה יותר, או שאתם יכולים לנשום לרווחה ולהמשיך הלאה.

בדיקה של חמש דקות: האם GDPR חל על העסק שלכם

GDPR חל על עסק מחוץ לאיחוד האירופי בעיקר בשני מקרים: אם יש לכם נוכחות ממשית באיחוד (למשל סניף, משרד או פעילות עסקית קבועה אחרת באיחוד), או אם אתם "פונים" לאנשים שנמצאים באיחוד האירופי – כלומר מציעים להם מוצרים או שירותים, או עוקבים אחרי ההתנהגות שלהם באינטרנט (למשל דרך עוגיות מעקב ופרסום ממוקד). חשוב לדייק: החוק לא מסתכל דווקא על אזרחות או תושבות, אלא על אנשים שנמצאים באיחוד האירופי במסגרת הפעילות הרלוונטית – אבל בשביל עסק קטן, ברוב המקרים הפרקטיים זה בכל זאת מתבטא בעיקר בלקוחות שאתם משווקים או מוכרים להם באירופה. התנאי השני (הפנייה) הוא זה שהכי הרבה עסקים ישראליים קטנים מפספסים, כי הם לא חושבים על עצמם כ"פונים לאירופה" גם כשהם בפועל כן.

הסימנים שמצביעים על "פנייה" לאנשים שנמצאים באיחוד האירופי

עברו על הרשימה ובדקו כמה מהסימנים האלה מתקיימים אצלכן, ולא רק תיאורטית:

• האתר שלכם מציג תוכן, מבצעים או שיווק שמכוונים במפורש למדינות באיחוד האירופי, ולא רק זמינים להם בצירוף מקרים.
• אתם מציגים מחירים באירו, או מאפשרים תשלום בו כאופציה קבועה באתר.
• יש לכם גרסת אתר בשפה אירופית (לא רק אנגלית כללית), שנועדה ללקוחות שם.
• אתם שולחים בפועל מוצרים או מספקים שירות ללקוחות באיחוד האירופי על בסיס קבוע, לא רק ללקוחות שמזדמנים לאתר במקרה.
• אתם מריצים קמפיינים ממומנים שמכוונים ספציפית לקהלים במדינות באיחוד האירופי.
• יש לכם תמיכת לקוחות בשפה אירופית, או אזכור מפורש של מדינות אירופיות כשוק יעד בחומרי השיווק שלכם.

אם רוב הסימנים האלה לא מתקיימים אצלכם – למשל, יש לכם לקוח אירופי מקרי פעם בשנה שמצא אתכם בגוגל ושילם בשקלים – כנראה שאתם לא בגדר "פנייה" לפי ה-GDPR, וזה לא הופך אתכם אוטומטית לחייבים בו. ההבחנה הזו חשובה: GDPR לא נועד לתפוס כל עסק שיש לו איזשהו מבקר מאירופה באתר, אלא עסקים שבאמת מכוונים לשוק הזה באופן מודע.

דוגמאות מהשטח: מתי זה כן קורה בפועל

כדי להמחיש את זה יותר קונקרטית – כמה סוגי עסקים שבהם השאלה הזו באמת עולה:

• חנות ווקומרס שמוכרת תכשיטים בעבודת יד, עם משלוחים קבועים לגרמניה וצרפת, מחירים באירו כאופציה, ופרסום ממומן שמכוון במפורש לקהלים אירופיים – כאן הסימנים ברורים, ושווה לבדוק ברצינות.
• פרילנסרית שמוכרת קורס דיגיטלי, שרוב הלקוחות שלה ישראלים אבל מדי פעם מישהו מחו"ל נרשם דרך המלצה – כאן, אם אין מיקוד שיווקי לאירופה, הסיכוי ש-GDPR חל בפועל נמוך משמעותית.
• סטודיו לעיצוב שעובד עם לקוח קבוע בהולנד, מנהל עבורו פרויקטים ומחזיק פרטי קשר של אנשי הקשר שלו – כאן כבר יש קשר עסקי מכוון ומתמשך עם גורם באיחוד, ולכן שווה לבדוק אילו פעילויות עיבוד נכנסות לתחולת ה-GDPR, גם אם מדובר בלקוח אחד.
• עמותה ישראלית שמגייסת תרומות, כולל מתורמים באירופה, דרך טופס תרומה באתר – גיוס תרומות נחשב הצעת שירות, ואם יש מיקוד לתורמים אירופיים, כדאי לבדוק את זה כמו כל עסק אחר.

מתי כדאי לבדוק את זה ברצינות מול עורך דין

אם זיהיתם כמה סימנים – למשל אתם מפעילים חנות עם משלוחים סדירים לאירופה, מפעילים דרופשיפינג ללקוחות אירופיים, מספקים שירותי תיירות או בריאות מרחוק ללקוחות מאירופה, או שאתם עמותה שמגייסת תרומות מתורמים אירופיים – זה הזמן לעצור ולבדוק את זה ברצינות מול עורך דין שמכיר את שני התחומים. זו קביעה משפטית שתלויה בעובדות הספציפיות של העסק שלכם, ואני לא מספק ייעוץ משפטי – התפקיד שלי הוא לעזור לכם להבין את התמונה ולבנות את התשתית הטכנית סביבה, לא לקבוע עבורכם קביעה משפטית סופית.

מה עם CCPA וחוקים אמריקאיים אחרים?

בשונה מ-GDPR, לארצות הברית אין חוק פדרלי מקיף להגנת פרטיות. יש חוקים ברמת המדינה – הבולט שבהם הוא ה-CCPA של קליפורניה – שחלים בעיקר על עסקים עם היקף פעילות משמעותי כלפי תושבי אותה מדינה ספציפית, לפי קריטריונים של מחזור, כמות המידע המעובד או אחוז ההכנסות ממכירת מידע. עבור רוב העסקים הישראלים הקטנים, זו שאלה שרלוונטית הרבה פחות מ-GDPR, ובדרך כלל עולה רק אם יש לכם פעילות מכוונת ומשמעותית כלפי תושבי קליפורניה או מדינה אמריקאית אחרת עם חוק דומה. אם זה המצב שלכם, זו בדיקה נפרדת שכדאי לעשות בפני עצמה – היא לא "נכללת" אוטומטית בבדיקת ה-GDPR שעברנו עליה למעלה, כי מדובר בחוק שונה עם קריטריונים שונים.

סיכום

תיקון 13 וה-GDPR קרובים יותר ממה שהיו פעם, אבל הם לא אותו חוק, וההנחה ש"עמדתי באחד אז עמדתי גם בשני" עלולה להטעות אתכם לשני הכיוונים – גם להערכת יתר של החשיפה שלכם, וגם להערכת חסר שלה. הצעד המעשי הוא לא לנחש: תעברו על הבדיקה העצמית למעלה, ואם אתן עדיין לא בטוחות איפה אתן עומדות – מוזמנות לדבר איתי.