היכרות עם תיקון 13 לחוק הגנת הפרטיות
כבר בשנת 2006, קבע המתמטיקאי הבריטי קלייב האמבי כי ״דאטה זה הנפט החדש". אם נמשיך את האנלוגיה הזו לימינו, דליפת מידע בסטארט-אפ היא שוות ערך לאסון אקולוגי של דליפת נפט: יקרה, מזיקה לתדמית, ובעיקר יוצרת חשיפה לסנקציות כבדות מצד הרגולטור.
במשך שנים, האקוסיסטם היזמי בישראל הושפע מהמוטו המפורסם של מארק צוקרברג: “Move fast and break things”. יזמים בתחילת דרכם, נטו להאמין שסוגיות של רגולציה ופרטיות הן נחלתם הבלעדית של תאגידי ענק, וכי "אף אחד לא מחפש את הסטארט-אפ הקטן". אולם, כללי המשחק השתנו ככל שהעולם החל לתת חשיבות מרבית לזכויות הפרטיות של המשתמשים ובפרט עם החלת תקנות ה-GDPR באירופה בשנת 2018. בהתאם למגמה זו, באוגוסט 2024 גם בישראל חיזקו את חוק הגנת הפרטיות, התשמ"א-1981, באמצעות תיקון מס' 13, באופן שמקרב את הדין בישראל לסטנדרטים המקובלים בעולם (ובפרט לתפיסה האירופית).
המשמעות עבור היזם הישראלי היא שפרטיות כבר איננה עוד בגדר תוספת או המלצה, אלא חובה חוקית. התיקון מגביר משמעותית את החשיפה לחברות בהיבטי הגנת הפרטיות ואבטחת מידע. אי-ציות אינו מסתכם רק בקנס כספי, אלא טומן בחובו סיכון קיומי למיזם ואף חשיפה אישית להליכים פליליים נגד נושאי משרה.
תיקון 13 נולד מתוך הצורך לסגור את הפער שנוצר בין החוק הישראלי המיושן משנת 1981 לבין המציאות הטכנולוגית המשתנה. בעוד שה-GDPR האירופי הפך לסטנדרט העולמי, הדין הישראלי נותר מאחור. התיקון החדש משנה זאת, ויוצר מהפכה: הוא מעביר את כובד המשקל מביורוקרטיה של "רישום מאגרים" לאחריותיות מהותית בניהול המידע.
עדכון ההגדרות בחוק
ההגדרות החדשות בחוק לוכדות ברשתן כמעט כל אפליקציה או שירות דיגיטלי מודרני.
התיקון מרחיב ומגדיר מחדש את המונח "מידע אישי" וכולל כעת ״כל נתון הנוגע לאדם מזוהה או לאדם הניתן לזיהוי״, כאשר אדם הניתן לזיהוי הוא מי שניתן לזהותו במאמץ סביר, במישרין או בעקיפין, ובכלל זה נתוני מיקום (GPS), כתובות IP, מזהי מכשירים (Device ID) והרגלי גלישה.
בנוסף, החוק מגדיר קטגוריה חדשה של "מידע בעל רגישות מיוחדת", הכוללת, בין היתר, מידע רפואי וגנטי, מידע ביומטרי, מידע על דעות ואמונות, עבר פלילי, צנעת חיי המשפחה ונטייה מינית, וכן נתוני מיקום, נתוני שכר ופעילות פיננסית.
עבור סטארט-אפ המפתח, לדוגמה, אפליקציית כושר, פינטק או רשת חברתית, המשמעות היא: אחזקה ב"חומר נפץ" רגולטורי. גודל החברה, היעדר רווחיות, או היקף הכנסות נמוך, אינם מספקים חסינות.
חשיפה לקנסות – גם על מיזמים או גופים קטנים
אחד החידושים המרכזיים בתיקון הוא מנגנון העיצומים הכספיים. החוק קובע מדרג קנסות בהתאם לחומרת ההפרה ולגודל העסק, כך שגם סטארט-אפים קטנים נכנסים לתמונה. אמנם, לעסקים קטנים נקבעו תקרות מופחתות, אך החשיפה עדיין משמעותית מאוד עבור חברה בשלביה הראשוניים. כך למשל, עסק זעיר (מחזור של עד 4 מיליון ש"ח) עשוי לספוג קנס של עד 70,000₪ להפרה בודדת. הפרות טכניות נפוצות, כמו אי-דיווח על דליפת מידע, היעדר נהלי אבטחת מידע, או שימוש במידע למטרה חורגת, עלולות לגרור קנסות מצטברים. במקרים של הפרה הנוגעת לאבטחת מידע במאגרים גדולים, הסכומים יכולים לזנק למאות אלפי שקלים. הטלת קנסות כאמור עלולה גם לפגוע במוניטין של החברה "ולהבריח" משקיעים פוטנציאליים.
בעוד שהקנסות המנהליים מהווים איום משמעותי, איום משמעותי נוסף מגיע מכיוון האכיפה האזרחית. תיקון 13 קובע כי בית המשפט רשאי לפסוק פיצויים של עד 10,000₪ ללא הוכחת נזק בגין הפרות של החוק (כגון אי-מתן מענה לבקשת עיון של משתמש, או הפרת חובת הדיווח). עבור סטארט-אפ צעיר, עלויות ההגנה המשפטית בתביעות מסוג זה, עוד לפני שנפסק שקל אחד של פיצוי, עלולות לחרוץ את גורלו.
ממונה על הגנת הפרטיות: איפה עובר הקו?
נקודה קריטית נוספת ליזמים היא החובה שעוגנה בתיקון, במקרים מסוימים, למנות ממונה על הגנת פרטיות. תפקיד הממונה הוא להבטיח כי החברה תפעל בהתאם להוראות החוק, תוך קידום השמירה על הפרטיות ואבטחת המידע במאגרי המידע, והוא אינו חייב להיות עובד הארגון.
חובת המינוי איננה חובה גורפת, וחלה על מגוון גופים שונים, כאשר העיקריים מבניהם עבור חברות הסטארט-אפ הם: חברות שבידם מאגר מידע שמטרתו העיקרית היא איסוף מידע אישי למסירתו לאחר כדרך עיסוק או בתמורה, כשבמאגר מידע אישי על יותר מ-10,000 בני אדם; וחברות שהמוצר או המודל העסקי שלהן נשען על "ניטור שיטתי" של מידע הנוגע למשתמשים רבים (אשר כולל, בין היתר, מעקב אחר התנהגות משתמשים באפליקציה, פרסום מבוסס התנהגות ושימוש ב-AI לניתוח העדפות אישיות ויצירת פרופילים).
במילים פשוטות: אם הליבה העסקית היא "להכיר את המשתמש" דרך מעקב וניתוח נתונים, סיכוי גבוה שקמה חובה על פי התיקון למנות ממונה על הגנת הפרטיות.
מה עושים מחר בבוקר?
היערכות מוקדמת יכולה למנוע את רוב הסיכונים. פרטיות היא לא רק נטל משפטי, אלא נכס של אמון מול לקוחות ומשקיעים. אלו חמש הפעולות שכדאי להתחיל מהן:
- מיפוי המידע: להבין איזה מידע נאסף, היכן הוא נשמר, למי יש גישה אליו ולאן הוא מועבר. בלי מיפוי אין שליטה אמיתית במידע.
- שקיפות ויידוע: עדכנו את מדיניות הפרטיות כך שתשקף באופן ברור את סוגי המידע, מטרות השימוש, שיתופים עם צדדים שלישיים ותקופות שמירה, ובמקומות שבהם נדרשת הסכמה, לוודא שהיא מתקבלת בצורה תקינה ומתועדת.
- יישום זכויות משתמש: בנו מנגנון (אפילו ידני בהתחלה) לטיפול בפניות עיון/תיקון/מחיקה לפי המקרה, עם נהלי זמן תגובה ותיעוד. התעלמות מפניות מסוג זה הן טריגר קלאסי לתסבוכת משפטית.
- אבטחת מידע: וודאו עמידה בתקנות הגנת הפרטיות, לרבות הצפנה, ניהול הרשאות ונהלי עבודה סדורים.
- בדיקת הצורך בממונה להגנת פרטיות: התייעצו עם גורם משפטי המתמחה בדיני הגנת הפרטיות, על מנת לבחון האם הפעילות שלכם דורשת מינוי "ממונה על הגנת הפרטיות".
סיכום
תיקון 13 הוא קריאת השכמה לאקוסיסטם היזמי הישראלי. השאלה "למי אכפת מהדאטה שלי"? מקבלת תשובה ברורה: לרגולטור, ללקוחות, ולתובעים פוטנציאליים. יזמים שישכילו להטמיע תרבות של Privacy By Design כבר מהיום הראשון, לא רק יצמצמו את החשיפה לקנסות ותביעות, אלא גם יחזקו את אמון המשתמשים והלקוחות, ויבנו מוצר בשל יותר להשקעה ולסקייל גלובלי.