עסק צריך עורך דין להגנת הפרטיות כשהמידע האישי שהוא מחזיק מציב בפניו החלטה משפטית: אילו חובות חלות עליו, על מה לחתום, מה לדווח ולמי, ואיך להשיב לרשות להגנת הפרטיות או למי שתובע אותו.
תיקון 13 לחוק הגנת הפרטיות, התשמ״א–1981, שנכנס לתוקף ב־14 באוגוסט 2025, הרחיב את החובות של עסקים שמחזיקים מידע אישי. מאז הרשות להגנת הפרטיות מוסמכת להטיל עיצומים כספיים לפי סעיף 23כו לחוק, ואדם יכול לתבוע פיצויים על הפרות מסוימות בלי להוכיח שנגרם לו נזק.
מתי פונים לעורך דין פרטיות
הסיבה הבסיסית היא לבדוק אילו חובות חלות על העסק מאז תיקון 13, ובהן השאלה אם סעיף 17ב1 לחוק מחייב אתכם למנות ממונה על הגנת הפרטיות. לפעמים השאלה מגיעה מבחוץ: לקוח ארגוני שולח לכם שאלון פרטיות ואבטחת מידע, או הסכם עיבוד מידע (DPA) לחתימה, ואתם צריכים להבין על מה אתם מתחייבים.
באירוע אבטחה הזמן קצר. כשהאירוע חמור והמאגר ברמת אבטחה בינונית או גבוהה, מדווחים לרשות להגנת הפרטיות באופן מיידי, לפי תקנה 11(ד) לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017. לפי עמדת הרשות להגנת הפרטיות, החובה קמה ברגע שנודע על האירוע, ולא כשהבדיקות מסתיימות.
גם פנייה מהרשות להגנת הפרטיות היא סיבה לפנות לעורך דין. היא יכולה להיות דרישה למסור מידע או מסמכים, הודעה על בירור מינהלי, או הודעה על כוונה להטיל עליכם עיצום כספי. על הודעה כזו אפשר לטעון בתוך 45 ימים (סעיפים 23כז–23כח לחוק). אם לא טענתם בתוך המועד, ההודעה עצמה נחשבת לדרישת תשלום.
כך גם כשמגיע מכתב התראה או תביעה, כולל בקשה לאישור תובענה ייצוגית.
תביעה אישית יכולה להגיע גם בלי הוכחת נזק. על הפרות שסעיף 15א לחוק מונה, כמו בקשה לעיין במידע שלא נענתה, בית משפט רשאי לפסוק לאדם פיצויים של עד 10,000 ש״ח לכל הפרה, בלי שיוכיח שנגרם לו נזק.
עסק שפועל מול חו״ל צריך לבדוק עוד שאלות. אם אתם מציעים מוצרים או שירותים לאנשים באיחוד האירופי, או מנטרים את ההתנהגות שלהם שם, ייתכן שאתם כפופים גם ל־GDPR, הרגולציה האירופית להגנת מידע, מכוח סעיף 3(2) שלה. ואם המידע שלכם נשמר אצל ספק ענן בחו״ל, העברת מידע אישי אל מחוץ לישראל כפופה לתנאים שקובעות התקנות על העברת מידע לחו״ל, וההסכם עם הספק צריך לעמוד בתקנות אבטחת המידע.
מוצר שאוסף מידע בעל רגישות מיוחדת, כמו מידע על בריאות, מזהה ביומטרי או מידע פיננסי, עשוי להעלות את רמת האבטחה שהמאגר צריך לפי התוספת הראשונה לתקנות אבטחת המידע. לפעמים הוא גם מחייב למנות ממונה על הגנת הפרטיות או למסור הודעה לרשות להגנת הפרטיות. ולבסוף, בהשקעה או ברכישה עושים בדיקת נאותות של פרטיות ואבטחת מידע, ועורך דין מלווה אותה מצד העסק הנבדק או מצד המשקיע או הרוכש.
מה עורך דין פרטיות עושה
עורך דין פרטיות ממפה אילו חובות חלות על העסק ומכוח מה, ומה כל אחת מהן דורשת בפועל. הוא מנסח ובודק את המסמכים: מדיניות פרטיות, הסכמי עיבוד מידע מול לקוחות וספקים, מסמך הגדרות מאגר, נוהל אבטחת מידע ונוהל לטיפול באירוע.
הוא גם מייעץ ומייצג. מול הרשות להגנת הפרטיות זה כולל דיווח על אירוע, מענה לדרישות וטענות נגד כוונה להטיל עיצום כספי. והוא מייצג אתכם גם מול מי ששולח לכם מכתב התראה או מגיש נגדכם תביעה. בכל אלה הוא עובד לצד צוות אבטחת המידע, על אותם אירועים, ספקים ושאלונים, כל אחד בתחומו.
הייעוץ המשפטי בהגנת הפרטיות והעבודה הטכנית באבטחת מידע הם שני תפקידים שונים. אנשי אבטחת המידע מגדירים את המערכות, מנטרים אותן ובודקים מה קרה באירוע. עורך הדין קובע מה החוק דורש, מה ייכתב בהסכם ומה מדווחים, למי ומתי. באירוע אבטחה שניהם עובדים באותן שעות.
ממונה על הגנת הפרטיות הוא תפקיד שלישי, שהחוק מגדיר בנפרד. אם חלה עליכם חובה למנות ממונה, סעיף 17ב3(ב) לחוק מאפשר למנות ממונה שאינו עובד העסק.
מה להכין לשיחה הראשונה
כדאי להגיע לשיחה עם תמונה של המידע ושל המסמכים. אלה הדברים שעוזר לרשום:
- איזה מידע אישי אתם מחזיקים ועל מי, למשל לקוחות, משתמשים, מטופלים או עובדים, וגם מידע שאתם מעבדים עבור לקוחות.
- איפה המידע נשמר: באילו מערכות, אצל אילו ספקי ענן ובאילו מדינות.
- אילו ספקים מקבלים גישה למידע, ועל מה חתמתם איתם.
- אילו מסמכים כבר יש לכם, כמו מדיניות פרטיות, הסכמים ונהלים, וכל מכתב, דרישה או כתב תביעה שקיבלתם.
- עד מתי אתם צריכים להשיב, לחתום או לדווח.
גם רשימה חלקית מספיקה כדי לפנות אלינו. ואם יש מועד שרץ, ציינו אותו כבר בפנייה הראשונה.
אין באמור ייעוץ משפטי
המאמר הזה, כמו שאר התוכן באתר, הוא מידע כללי בלבד. הוא לא ייעוץ משפטי ולא חוות דעת משפטית, והוא לא מתייחס לנסיבות של ארגון מסוים. הדין משתנה, ומה שהיה נכון ביום הפרסום עשוי לא להיות נכון היום. התשובה לשאלה שלכם תלויה בעובדות המקרה, ולכן אל תסתמכו על המאמר בלי ייעוץ שמתייחס אליהן. קריאת המאמר אינה יוצרת יחסי עורך דין–לקוח.
המאמר מתייחס לחוק הגנת הפרטיות כפי שהוא אחרי תיקון 13, שנכנס לתוקף ב־14 באוגוסט 2025, לתקנות אבטחת המידע, ולהודעה שפרסמה הרשות להגנת הפרטיות על החלטתה מ־21 ביולי 2026. המידע נכון ליום 7 באוקטובר 2026.