תיקון 13 מול GDPR
מה חופף, מה שונה, ומה חסר לכם
חברות רבות שכבר השקיעו בעמידה ב-GDPR מניחות שהן מכוסות גם מול החוק הישראלי - וזו הנחה מסוכנת. ההשוואה הזו מסבירה מה תיקון 13 לקח מה-GDPR, איפה הדין הישראלי שונה ממנו, ומה צריך להשלים בכל כיוון.
דברו איתנוהתשובה הקצרה
תיקון 13 קירב את חוק הגנת הפרטיות הישראלי לרוח ה-GDPR: הגדרות רחבות יותר, ממונה על הגנת הפרטיות, וסמכויות אכיפה ועיצומים משמעותיים לרשות להגנת הפרטיות. מי שבנה תוכנית GDPR רצינית מגיע עם רוב התשתית מוכנה.
אבל עמידה ב-GDPR אינה עמידה אוטומטית בדין הישראלי. נותרו חובות שאין להן מקבילה אירופית - רישום והודעה על מאגרי מידע, תקנות אבטחת מידע מפורטות עם רמות אבטחה, ודרישת דיווח מיידי על אירועי אבטחה חמורים - וגם ההפך נכון: מי שערוך רק לדין הישראלי אינו מכוסה מול אירופה.
ההשוואה המלאה
שבעת ההבדלים המרכזיים בין הדין הישראלי לאחר תיקון 13 לבין ה-GDPR.
| הדין הישראלי (תיקון 13) | GDPR | |
|---|---|---|
| מהות ותחולה | חוק הגנת הפרטיות (1981) כפי שעודכן בתיקון 13, בתוקף מ-14.8.2025; חל על עיבוד מידע אישי בישראל | רגולציה אירופית (2018); חלה גם על חברות מחוץ לאיחוד שמציעות שירותים לאנשים באירופה או עוקבות אחריהם |
| רישום והודעה על מאגרים | חובת רישום או הודעה לרשות לקטגוריות מסוימות - בין היתר גופים ציבוריים, סוחרי מידע ומאגרים גדולים של מידע רגיש | אין רישום מאגרים; במקומו חובת ניהול תיעוד פנימי של פעולות עיבוד (Records of Processing) |
| ממונה על הגנת הפרטיות | חובת מינוי לפי מבחנים ישראליים (תיקון 13); לצד תפקיד נפרד של ממונה אבטחת מידע לגופים מסוימים | חובת מינוי DPO לפי מבחני ה-GDPR - רשויות ציבוריות, ניטור שיטתי נרחב או עיבוד נרחב של מידע רגיש |
| דרישות אבטחת מידע | תקנות אבטחת מידע מפורטות ומחייבות, עם רמות אבטחה לפי סוג המאגר ורשימת דרישות קונקרטיות | דרישה עקרונית לאמצעים "הולמים לסיכון" - הארגון בוחר את האמצעים ומתעד את השיקולים |
| דיווח על אירוע אבטחה | אירוע חמור מחייב דיווח מיידי לרשות להגנת הפרטיות, עם היוודע האירוע | דיווח לרשות הפיקוח בתוך 72 שעות, כשהאירוע יוצר סיכון לזכויות נושאי המידע |
| זכויות נושאי מידע | עיון, תיקון ומחיקה בעילות שבחוק; היקף הזכויות צר יותר | סל זכויות רחב - כולל זכות מפורשת לניידות מידע (Data Portability), הגבלת עיבוד והתנגדות |
| אכיפה ועיצומים | עיצומים כספיים מדורגים שמטילה הרשות להגנת הפרטיות, לפי סוג ההפרה וגודל המאגר | קנסות של רשויות הפיקוח האירופיות, המחושבים בין היתר כשיעור מהמחזור הגלובלי |
ההשוואה תמציתית ואינה ממצה את הוראות שני הדינים; התחולה המדויקת תלויה בנסיבות כל ארגון.
עומדים ב-GDPR? זה מה שנשאר להשלים בישראל
שש ההשלמות הנפוצות שאנחנו פוגשים אצל חברות עם תוכנית GDPR קיימת.
- 1בדקו אילו מאגרים חייבים רישום או הודעה לרשות - מנגנון שאין לו מקבילה ב-GDPR
- 2ערכו מסמך הגדרות מאגר וסווגו כל מאגר לרמת אבטחה לפי תקנות אבטחת המידע
- 3בדקו את חובת המינוי הישראלית - ממונה הגנת פרטיות לפי תיקון 13, ולגופים מסוימים גם ממונה אבטחת מידע
- 4עדכנו את נוהל התגובה לאירועים: דיווח מיידי לרשות על אירוע חמור, לא רק חלון 72 השעות של אירופה
- 5התאימו את הודעות הפרטיות לדרישות היידוע של החוק הישראלי בכל נקודת איסוף
- 6ודאו שהסכמי עיבוד המידע עם ספקים מכסים גם את דרישות התקנות הישראליות
להעמקה: מדריך תקנות אבטחת המידע ורמות האבטחה, מדריך חובת מינוי ממונה על הגנת הפרטיות וסקירת האכיפה והעיצומים בפועל.
ובכיוון ההפוך: ערוכים לתיקון 13 ומתרחבים לאירופה?
חמשת הפערים המרכזיים שצריך לסגור לקראת פעילות מול לקוחות ומשתמשים באיחוד האירופי.
- 1מפו אילו זכויות נוספות תצטרכו לתמוך בהן - ובראשן ניידות מידע, הגבלת עיבוד והתנגדות
- 2הקימו תיעוד פעולות עיבוד (Records of Processing) לפי סעיף 30
- 3בדקו אם נדרש מינוי נציג באיחוד האירופי
- 4הסדירו מנגנון חוקי להעברות מידע אל מחוץ לאיחוד
- 5בצעו הערכות השפעה על פרטיות (DPIA) לעיבודים בסיכון גבוה
נקודה שכדאי להכיר: האיחוד האירופי מכיר בישראל כמדינה המעניקה רמת הגנה נאותה למידע אישי (Adequacy) - הכרה שנשמרה גם בסקירה שפרסמה נציבות האיחוד בתחילת 2024. ההכרה מקלה על העברות מידע מאירופה לישראל, אך אינה פוטרת חברה ישראלית שפועלת מול אירופה מעמידה ב-GDPR עצמו.
איך GRCistant עוזרת
אנחנו בונים לארגון מערך הגנת פרטיות ואבטחת מידע אחד שעונה על שני הדינים: מיפוי המאגרים והפערים מול תיקון 13 והתקנות הישראליות, התאמת תוכנית GDPR קיימת לדרישות המקומיות, וניהול המסמכים, הבקרות והראיות בפלטפורמה אחת - עם ליווי מומחה ובלי צורך בצוות אבטחה פנימי. אותה תשתית משרתת גם הסמכות ISO 27001 ו-SOC 2 כשמגיעים אליהן.
שאלות נפוצות
אנחנו עומדים ב-GDPR - האם זה מספיק כדי לעמוד בחוק הישראלי?
לא באופן אוטומטי, אבל זו נקודת פתיחה מצוינת. תיקון 13 קירב את הדין הישראלי ל-GDPR, כך שרוב התשתית - מיפוי מידע, הודעות פרטיות, נהלי אבטחה, ניהול ספקים - משרתת את שניהם. עם זאת נותרו חובות ייחודיות לישראל, ובהן חובות רישום והודעה על מאגרי מידע, תקנות אבטחת מידע מפורטות עם רמות אבטחה, טריגרים שונים למינוי ממונה על הגנת הפרטיות וכללי דיווח שונים על אירועי אבטחה.
האם תיקון 13 הוא "ה-GDPR הישראלי"?
זה תיאור מקובל אבל לא מדויק. תיקון 13 אימץ עקרונות ומנגנונים ברוח ה-GDPR - הגדרות רחבות יותר, ממונה הגנת פרטיות, סמכויות אכיפה ועיצומים משמעותיים - אך הוא נבנה על חוק הגנת הפרטיות הישראלי משנת 1981, על תקנות אבטחת המידע מ-2017 ועל מוסדות ייחודיים כמו מרשם מאגרי המידע. התוצאה: חפיפה גדולה, אבל לא זהות.
מה ההבדל בדיווח על אירוע אבטחה בין GDPR לדין הישראלי?
ב-GDPR נדרש דיווח לרשות הפיקוח בתוך 72 שעות מרגע המודעות לאירוע (כשמתקיימות עילות הדיווח). בישראל, על אירוע אבטחה חמור נדרש דיווח מיידי לרשות להגנת הפרטיות - והרשות הבהירה, בהחלטת העיצום הראשונה מכוח תיקון 13, שהחובה קמה עם היוודע האירוע ואין להמתין לסיום הבדיקות הפנימיות. כלומר, נוהל דיווח שנבנה סביב 72 שעות בלבד אינו מספיק לישראל.
האם עדיין צריך לרשום מאגרי מידע בישראל?
כן, אבל פחות מבעבר. תיקון 13 צמצם משמעותית את חובת הרישום הגורפת שהייתה בחוק הישן, והותיר חובות רישום והודעה לקטגוריות מסוימות - בין היתר גופים ציבוריים, מי שסוחר במידע, ומאגרים גדולים של מידע בעל רגישות מיוחדת, שלגביהם נדרשת הודעה לרשות. ב-GDPR, לשם השוואה, אין מנגנון רישום מאגרים כלל. את הבדיקה מה חל עליכם כדאי לעשות פרטנית.
יש לנו DPO לפי GDPR - האם הוא עונה גם על הדרישה הישראלית?
לא בהכרח. חובת מינוי ממונה על הגנת הפרטיות לפי תיקון 13 נקבעת לפי מבחנים ישראליים - למשל גופים ציבוריים, סוחרי מידע, גופים שעיסוקם המרכזי הוא עיבוד מידע בעל רגישות מיוחדת או ניטור - ולממונה נקבעו תפקידים ותנאי כשירות בחוק הישראלי. בפועל, אותו אדם יכול לרוב לשמש בשני הכובעים, אך צריך לוודא שהמינוי עומד בדרישות שני הדינים. בנוסף, הדין הישראלי מכיר גם בתפקיד נפרד של ממונה על אבטחת מידע, החל על גופים מסוימים.
על אילו חברות ישראליות חל בכלל ה-GDPR?
בעיקרון, ה-GDPR חל על חברות ישראליות שמציעות מוצרים או שירותים לאנשים באיחוד האירופי או עוקבות אחר התנהגותם - גם בלי נוכחות פיזית באירופה. לכן סטארטאפ ישראלי עם לקוחות או משתמשים אירופיים כפוף לרוב לשני הדינים במקביל: GDPR כלפי אירופה, וחוק הגנת הפרטיות ותיקון 13 כלפי פעילותו בישראל.
המידע בעמוד זה הוא כללי ואינו מהווה ייעוץ משפטי. התחולה המדויקת של שני הדינים תלויה בנסיבות הספציפיות ובנוסח המחייב של החוק, התקנות וה-GDPR.
הבהרה: המדריך מובא כמידע כללי בלבד ואינו מהווה ייעוץ משפטי או המלצה משפטית. המלצות מותאמות לארגון שלכם יינתנו רק במסגרת רכישת שירות.