ביום 05.08.2024 אושרה במליאת הכנסת הצעת חוק הגנת הפרטיות (תיקון מס' 13), התשפ"ד-2024. ההצעה עברה בקריאה ראשונה במליאת הכנסת בינואר 2022, ומאז נידונה בוועדת חוק, חוקה ומשפט.
תיקון מס' 13 מחיל שינויים רבים לחוק הגנת הפרטיות, בעיקר:
עדכון ההגדרות בחוק
לפני התיקון החוק הגדיר סוגי מידע ספציפיים, כמו מידע על בריאותו או מצבו הכלכלי של אדם, כ"מידע רגיש". התיקון שינה את ההגדרה ל"כל נתון הנוגע לאדם מזוהה או לאדם הניתן לזיהוי". בנוסף, עודכנה ההגדרה ל"עיבוד מידע".
כמו כן, נוספה הגדרה חדשה, "מידע בעל רגישות מיוחדת", אשר לגביו יידרש רף גבוה יותר להגנה על המידע. ההגדרה החדשה כוללת סוגי מידע אישי רבים שייחשבו כרגישים במיוחד כמו מידע גנטי, מידע על נטייה מינית ומידע רפואי (למעשה, הגדרה זו מחליפה את ההגדרה של "מידע רגיש" בחוק הקיים ומרחיבה אותה). הגדרה זו זהה למעשה להגדרה ברגולציה האירופית להגנה על מידע (GDPR).
לבסוף, נוספה הגדרה ל"עיבוד" מידע שכוללת "כל פעולה שמבוצעת על מידע אישי, לרבות קבלתו, איסופו, אחסונו, העתקתו, עיון בו, גילויו, חשיפתו, העברתו, מסירתו או מתן גישה אליו". הגדרה זו תחליף את ההגדרה הנוכחית ל"שימוש" בחוק, שנוסחה "שימוש – לרבות גילוי, העברה ומסירה". כפי שניתן לראות, ההגדרה החדשה רחבה הרבה יותר.
הרחבת הסמכות לפסוק פיצויים ללא הוכחת נזק
התיקון מוסיף את סעיף 15א לחוק, שמרחיב את סמכות בתי המשפט לפסוק פיצוי כספי ללא הוכחת נזק בסך של עד 10,0000 ש"ח לאזרח התובע בגין הפרת הוראות החוק מכוח עילות נוספות הקבועות בחוק ביחס למאגרי מידע, כמו אי-מתן אפשרות לעיון במידע לגבי האדם או לתיקונו.
חובת מינוי ממונה הגנת הפרטיות בארגונים רבים במשק
תפקיד הממונה על הגנת הפרטיות הוא תפקיד שקיים באיחוד האירופי (במסגרת ה-GDPR – הרגולציה הכללית להגנה על מידע באיחוד האירופי), וכן במספר ארגונים ציבוריים כמו בנק ישראל ומשרד הפנים. לראשונה, נקבעה בחקיקה החובה למנות ממונה על הגנת הפרטיות בגופים ציבוריים ובכל ארגון שעיסוקו העיקרי כולל עיבוד מידע אישי רגיש בהיקף ניכר, כמו גם בכל ארגון שפעילותו כרוכה במעקב או התחקות שיטתית אחר אנשים בהיקף ניכר. תפקידו של ממונה הגנת הפרטיות בארגון הוא לפעול להבטחת קיום הוראות חוק הגנת הפרטיות ותקנותיו ולקידום השמירה על הפרטיות גם מעבר לדרישות החוק.
גופים ביטחוניים פטורים מחובת המינוי הזו. במקום זאת, החקיקה קובעת חובת מינוי מפקח פרטיות פנימי בכלל גופי הביטחון. המפקח הפנימי יונחה על ידי הרשות להגנת הפרטיות, יפקח על נהלי הגוף הביטחוני ומדיניותו בתחום הגנת הפרטיות, יברר הפרות של חוק הגנת הפרטיות, יקיים הכשרות והדרכות בנושאי פרטיות, וימסור דיווחים לראש הרשות.
הרחבת סמכויות הפיקוח והאכיפה של הרשות להגנת הפרטיות
לראשונה, עוגנה בחקיקה סמכות הרשות להטיל עיצומים כספיים בגין הפרת הוראות החוק והתקנות בתחום אבטחת המידע, בסכומים משמעותיים. הוסדרו סמכויות האכיפה המנהלית של הרשות, ועוגנו בחוק סמכויות החקירה הפלילית של חוקרי הרשות. כמו כן, עוגנה סמכות הרשות לפעול לקבלת צו שיפוטי שיורה על הפסקת עיבוד מידע אישי, כולל מחיקתו, במקרים בהם הדבר נדרש לשם הפסקת הפרה של הוראות החוק.
צמצום חובת רישום מאגרי מידע
– במסגרת התיקון תבוטל כמעט לחלוטין החובה החלה על גופים במגזר הפרטי לרשום את מאגרי המידע שבניהולם, למעט מאגרים המנוהלים בידי מי שעוסק בסחר במידע. כמו כן, נקבע הסדר לפיו ניתן לבקש מהרשות להגנת הפרטיות חוות דעת מקדמית בעניין עמידה בדרישות החוק או התקנות לפיו.
הגדרת עבירות פליליות לגבי שימוש במידע
במסגרת התיקון נוסף לחוק פרק ייעודי של עבירות פליליות במאגרי מידע, הכוללות בין היתר עיבוד מידע ללא הרשאה של בעל השליטה במאגר המידע, והטעיה מכוונת של אדם בעת פניה אליו לקבלת מידע אישי אודותיו. כמו כן, נקבע לראשונה בחוק איסור גורף על ביצוע כל פעולה במידע אישי שנאסף באופן לא חוקי.
כלל השינויים יחולו תוך שנה מיום פרסום החוק, כלומר החל מיום 05.08.2025.
בכלל זאת, התיקון נתון לביקורת משום שהוא לא מרחיב את האפשרויות לאיסוף מידע, כפי שנעשה באיחוד האירופי. גם לאחר התיקון, ניתן לאסוף מידע רק על בסיס הסכמה, ולא על כל בסיס אחר (כמו, למשל, חובה חוקית). בכך, נטען, חוק הגנת הפרטיות נותר מיושן ביחס לחקיקה המקבילה באיחוד האירופי. יצוין כי בדברי ההסבר לתיקון מס' 13 משנת 2022 (עם תחילת הליך החקיקה) נאמר כי משרד המשפטים מודע לכך, ו"בכוונת משרד המשפטים לפרסם תזכיר חוק נוסף שישלים את מהלך התיקון המהותי הנדרש לשם עדכון החוק הקיים והתאמתו למציאות בת זמננו. תיקון זה צפוי לכלול סוגיות מהותיות כגון הרחבה של הבסיסים המשפטיים המותרים לעיבוד מידע, מעבר להסכמה והסמכה בחיקוק" (עמ' 4 להצעת החוק).
