בקצרה: הזכות לפרטיות בישראל מעוגנת בחוק יסוד: כבוד האדם וחירותו ומוסדרת בעיקר בחוק הגנת הפרטיות, התשמ״א-1981, ובתקנות שהותקנו מכוחו, ובראשן תקנות אבטחת המידע. לצידם קיימת חקיקה מגזרית בתחומי הבריאות, הבנקאות, האשראי והתקשורת, ופסיקה שעיצבה בעיקר את פרטיות העובדים. תוכנית ציות טובה בונה על מיפוי, מדיניות, אבטחה, זכויות נושאי מידע ובקרה, ואחרי תיקון 13 הרשות להגנת הפרטיות אוכפת את החוק באמצעות פיקוח ועיצומים כספיים.
דיני הפרטיות בישראל הם מערך של חוקי יסוד, חוקים, תקנות, הנחיות של הרגולטור ופסיקה. ארגון שרוצה לעמוד בדרישות צריך להכיר את כל השכבות האלה, ובמיוחד את השינויים שהביא תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025. המאמר הזה מסכם את המסגרת המשפטית, את דרישות הציות הנוכחיות, את הדרך לבנות תוכנית ציות ואת כלי האכיפה.
השכבה החוקתית
חוק יסוד: כבוד האדם וחירותו, משנת 1992, קובע שכל אדם זכאי לפרטיות ולצנעת חייו, ושאין נכנסים לרשות היחיד של אדם שלא בהסכמתו, אין עורכים חיפוש בגופו או בכליו, ואין פוגעים בסוד שיחו, בכתביו או ברשומותיו. מכאן שהזכות לפרטיות היא זכות חוקתית, וכל פגיעה בה על ידי רשות ציבורית צריכה לעמוד בתנאים של פסקת ההגבלה.
חוק הגנת הפרטיות
חוק הגנת הפרטיות, התשמ״א-1981, הוא החוק המרכזי. הפרקים החשובים לארגונים:
- פרק א׳ — פגיעה בפרטיות: קובע שאסור לפגוע בפרטיות של אדם ללא הסכמתו, ומונה את סוגי הפגיעה, כמו בילוש או התחקות, האזנה, צילום ברשות היחיד, פרסום ענייניו הפרטיים, ושימוש במידע בניגוד למטרה שלשמה נמסר. פגיעה בפרטיות היא עוולה אזרחית, ובמקרים מסוימים גם עבירה פלילית.
- פרק ב׳ — הגנת הפרטיות במאגרי מידע: הלב של הרגולציה לארגונים — הגדרות, רישום והודעה, מטרת המאגר, חובת היידוע, זכויות עיון ותיקון, אבטחת מידע, ממונים ודיוור ישיר.
- פרק ד׳ — מסירת מידע מגופים ציבוריים: מגביל העברת מידע בין גופים ציבוריים.
- פרקי האכיפה שנוספו בתיקון 13: סמכויות פיקוח ובירור, עיצומים כספיים, צווים ועבירות פליליות.
התקנות
מכוח החוק הותקנו תקנות שמפרטות את החובות:
- תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 — קובעות רמות אבטחה למאגרים לפי סוג המידע והיקפו, ומפרטות חובות כמו מסמך הגדרות מאגר, נוהל אבטחה, ניהול הרשאות, תיעוד, בקרה, ודיווח לרשות על אירוע אבטחה חמור.
- תקנות בעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי — מוסיפות חובות לגבי מידע כזה, כמו מחיקה ודיוק.
- תקנות בעניין העברת מידע למאגרים מחוץ לגבולות המדינה — קובעות מתי מותר להעביר מידע אישי לחו״ל.
ההסבר המקצועי: תוכנית ציות טובה אינה תיקייה של מסמכים. היא תהליך חי: מסמכים שתואמים את מה שקורה בפועל, בעלי תפקידים שמכירים אותם, ובקרה שבודקת שהם מיושמים. כשהרשות בודקת ארגון, היא מתעניינת לא רק בשאלה אם יש נוהל, אלא אם הוא מבוצע.
חקיקה מגזרית
| תחום | חקיקה מרכזית | מה היא מוסיפה |
|---|---|---|
| בריאות | חוק זכויות החולה, התשנ״ו-1996 | חובת סודיות רפואית ותנאים למסירת מידע רפואי |
| מידע גנטי | חוק מידע גנטי, התשס״א-2000 | הגבלות על בדיקות גנטיות ועל שימוש בתוצאותיהן |
| אשראי | חוק נתוני אשראי, התשע״ו-2016 | מאגר נתוני אשראי ממלכתי וכללי שימוש |
| תקשורת ודיוור | חוק התקשורת (בזק ושידורים), סעיף 30א | הסכמה מראש לדברי פרסומת אלקטרוניים |
| ביומטריה | חוק הכללת אמצעי זיהוי ביומטריים, התש״ע-2009 | הסדרת המאגר הביומטרי הממלכתי |
| האזנה | חוק האזנת סתר, התשל״ט-1979 | איסור האזנה לשיחות ללא הסכמה או היתר |
בנוסף, רגולטורים מגזריים כמו המפקח על הבנקים ורשות שוק ההון מפרסמים הוראות בתחום ניהול סיכוני סייבר והגנת מידע שחלות על הגופים שבפיקוחם.
פסיקה מרכזית
בתי המשפט עיצבו את דיני הפרטיות בעיקר בשני תחומים. בתחום יחסי העבודה, בית הדין הארצי לעבודה קבע בפרשת איסקוב ענבר כללים לגבי חדירה של מעסיק לתיבת הדוא״ל של עובד: הבחנה בין תיבה מקצועית לתיבה פרטית, דרישה למדיניות ידועה מראש, ועקרונות של מטרה לגיטימית ומידתיות. בתחום התביעות הייצוגיות, בתי המשפט דנו בתביעות נגד חברות בגין איסוף והעברה של מידע ללא הסכמה, ואחרי תיקון 13 — עם האפשרות לפסוק פיצוי של עד 10,000 ש״ח ללא הוכחת נזק על הפרות מסוימות — צפוי שהתחום יתרחב.
דרישות הציות הנוכחיות
- מיפוי מאגרים וזיהוי מידע בעל רגישות מיוחדת.
- רישום מאגר או הודעה לרשות כשהחובה חלה.
- עיבוד מידע רק למטרה שנקבעה, ובהרשאה של בעל השליטה.
- יידוע בכל נקודת איסוף לפי סעיף 11.
- יישום תקנות אבטחת המידע לפי רמת האבטחה.
- מינוי ממונה על הגנת הפרטיות וממונה על אבטחת מידע כשהחובה חלה.
- טיפול בבקשות עיון, תיקון ומחיקה.
- פיקוח על ספקים ועל העברות מידע לחו״ל.
- עמידה בגילויי הדעת וההנחיות של הרשות להגנת הפרטיות.
איך בונים תוכנית ציות?
שלב 1: אבחון
מיפוי המאגרים, תהליכי העבודה, הספקים וזרימות המידע, וזיהוי פערים מול החוק והתקנות.
שלב 2: ממשל
הגדרת בעלי תפקידים, מינוי ממונים, ודיווח להנהלה ולדירקטוריון.
שלב 3: מסמכים ונהלים
מדיניות פרטיות, נוסחי יידוע, מסמכי הגדרות מאגר, נוהל אבטחה, נוהל זכויות נושאי מידע, נוהל אירועי אבטחה, ומדיניות שמירה ומחיקה.
שלב 4: יישום
אמצעי אבטחה, הסכמים עם ספקים, הדרכות, ושילוב פרטיות בתהליכי פיתוח ורכש.
שלב 5: בקרה ושיפור
בקרות תקופתיות, דוח שנתי להנהלה, ועדכון התוכנית לפי שינויים בפעילות ובחקיקה.
אכיפה בישראל
הרשות להגנת הפרטיות, שפועלת במשרד המשפטים, היא הרגולטור. אחרי תיקון 13 עומדים לרשותה כלים משמעותיים: מינוי מפקחים וסמכויות פיקוח, בירור מנהלי, התראה מנהלית, התחייבות להימנע מהפרה, ועיצומים כספיים לפי סוג ההפרה ולעיתים לפי מספר נושאי המידע, עד תקרה של 5% מהמחזור השנתי. הרשות יכולה גם לבקש מבית המשפט לעניינים מינהליים צו להפסקת עיבוד או למחיקת מידע, בתנאים שקבועים בחוק. במקביל קיימות עבירות פליליות, כמו עיבוד מידע ללא הרשאה, והתיישנות של שבע שנים על עילות אזרחיות שנוצרו אחרי התיקון.
להשוואה עם אירופה וארה״ב ראו פרטיות בישראל, באירופה ובארה״ב: השוואה.
העברת מידע לחו״ל
ארגונים ישראליים רבים מאחסנים מידע בשירותי ענן בחו״ל או מעבירים אותו לחברות קשורות ולספקים מחוץ לישראל. התקנות בעניין העברת מידע למאגרים מחוץ לגבולות המדינה קובעות שהעברה כזו מותרת רק בתנאים מסוימים, למשל כשהמדינה המקבלת מבטיחה רמת הגנה שאינה פחותה מזו שבישראל, או כשנושא המידע הסכים להעברה, ובחלק מהמקרים בכפוף להתחייבות של המקבל לשמור על המידע. לפני העברה כדאי לבדוק לאן המידע עובר, על איזה בסיס, ומה ההסכם עם המקבל קובע לגבי אבטחה, שימוש ומחיקה.
המבט קדימה
אחרי תיקון 13 צפוי שהרשות תרחיב את פעילות הפיקוח, תפרסם הנחיות נוספות ותעמיק את האכיפה. במקביל, תחומים כמו בינה מלאכותית, ביומטריה ומעקב מקוון מעוררים שאלות חדשות שהחוק הקיים עונה עליהן רק בחלקן. ארגונים שבונים היום תוכנית ציות גמישה, עם בעלי תפקידים ותהליכי בקרה, יוכלו להתאים את עצמם לשינויים הבאים בקלות רבה יותר.
שאלות נפוצות
מה החוק המרכזי להגנת הפרטיות בישראל?
חוק הגנת הפרטיות, התשמ״א-1981, שתוקן בתיקון מס׳ 13, יחד עם התקנות שהותקנו מכוחו, ובראשן תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017.
מי אוכף את דיני הפרטיות בישראל?
הרשות להגנת הפרטיות במשרד המשפטים, שיכולה לפקח, לברר, להתרות ולהטיל עיצומים כספיים. בנוסף ניתן להגיש תביעות אזרחיות, ובמקרים מסוימים קיימת אחריות פלילית.
האם הזכות לפרטיות היא זכות חוקתית בישראל?
כן. חוק יסוד: כבוד האדם וחירותו קובע שכל אדם זכאי לפרטיות ולצנעת חייו.
מה כוללת תוכנית ציות לדיני הפרטיות?
אבחון ומיפוי, הגדרת בעלי תפקידים, מסמכים ונהלים, יישום אמצעי אבטחה והדרכה, ובקרה ושיפור שוטפים.
המידע במאמר הוא כללי ומבוסס על נוסח חוק הגנת הפרטיות, התשמ״א-1981, כפי שתוקן בתיקון מס׳ 13. הוא אינו מהווה ייעוץ משפטי, ובכל מקרה פרטני כדאי להתייעץ עם עורך דין המתמחה בדיני פרטיות.
