תיקון 13 לחוק הגנת הפרטיות: הקנס הראשון כבר הוטל — צ'קליסט לעסק שמחזיק רשימת לקוחות

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025, וביולי 2026 הרשות להגנת הפרטיות הטילה את הקנס הראשון: 256,000 ₪ — על אי-דיווח מיידי של אירוע אבטחה. זה הרגע שבו "התיקון" הפסיק להיות תיאורטי.

מה השתנה, בקצרה

• רישום מאגרים — החובה בוטלה ברובה לעסקים פרטיים. פחות בירוקרטיה.
• ממונה הגנת פרטיות (DPO) — חובה לגופים ציבוריים, לסוחרי מידע על 10,000+ אנשים, למי שמנטר באופן שיטתי בהיקף משמעותי, ולמי שמעבד מידע רגיש בהיקף גדול. רוב העסקים הקטנים לא בקטגוריה — אבל מרפאה, משרד עו"ד או חברת ביטוח קטנה יכולים להיות.
• דיווח על אירועי אבטחה — חובת דיווח מיידית לרשות על אירוע חמור. זה הסעיף שעליו ניתן הקנס הראשון.
• עיצומים כספיים — מ-150 אלף ₪ ועד מיליונים, לפי סוג ההפרה; עד 5% מהמחזור על אי-מינוי ממונה כשחובה.
• הודעה לרשות — מי שמעבד מידע רגיש על 100,000+ אנשים מודיע תוך 30 יום.

צ'קליסט לעסק קטן

1. מה יש לכם. רשימת לקוחות עם טלפון ומייל — זה מאגר. אם יש גם מידע רפואי, פיננסי או משפטי — זה מאגר עם "מידע רגיש", והכללים מחמירים.
2. מי רואה מה. הרשאות לפי תפקיד. נציג מכירות לא צריך לראות היסטוריית תשלומים של כל הלקוחות. עובד שעזב — מנותק באותו יום.
3. איפה זה יושב. אקסל שנשלח במייל בין עובדים הוא לא "מאובטח". מערכת עם כניסה מזוהה, הרשאות ולוג — כן.
4. מה קורה אם דלף. נוהל בן שלוש שורות: מי מגלה → למי מדווחים בעסק → מי מדווח לרשות. הקנס הראשון היה על השורה השלישית.
5. מה אומרים ללקוח. טופס ליד או בוט שאוספים פרטים צריכים שורה אחת: לאיזו מטרה, ומי מקבל את המידע.
6. מחיקה. לקוח שמבקש להימחק — צריך שתוכלו לעשות את זה, ולדעת שעשיתם.

איך TaskFlow עוזר

הרשאות לפי תפקיד, כניסה עם קוד לוואטסאפ, טוקנים מוצפנים, ולוג של מי עשה מה. זה לא תחליף לייעוץ משפטי — אבל זה סוגר את הצעדים 2, 3 ו-6 מהרשימה בלי פרויקט.