תיקון 13 לחוק הגנת הפרטיות: מה העסק צריך לסדר עכשיו

כן, ברוב המקרים. החוק חל על כל מי שאוסף, משתמש או מעבד מידע אישי, ומאגר מידע הוא כל אוסף של מידע אישי שמעובד באמצעי דיגיטלי. יש חריג מצומצם, בתנאים, לרשימה שיש בה רק שם, כתובת ופרטי התקשרות. לעסקים קטנים וזעירים נקבעו תקרות לעיצומים, אבל החובות עצמן חלות.

ברוב המקרים כבר לא. אחרי התיקון חובת הרישום נשארה בעיקר לגופים ציבוריים ולעסקים שעיסוקם העיקרי הוא איסוף מידע כדי למסור אותו לאחרים, כשבמאגר יש מידע על 10,000 איש ומעלה. במקביל נוספה חובת הודעה לרשות על מאגר עם מידע בעל רגישות מיוחדת על יותר מ־100,000 איש. גם מאגר שלא חייב ברישום כפוף לכל שאר החובות.

גופים ציבוריים; עסקים שעיסוקם העיקרי הוא איסוף מידע כדי למסור אותו לאחרים, עם מידע על יותר מ־10,000 איש; מי שעיסוקו העיקרי כרוך בניטור שיטתי של אנשים בהיקף ניכר; ומי שעיסוקו העיקרי הוא עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר, כמו בנקים, חברות ביטוח, בתי חולים וקופות חולים. רוב העסקים הקטנים לא חייבים, אבל כדאי לבדוק.

לפי סעיף 11 לחוק: למה מבקשים את המידע, האם חובה למסור אותו ומה קורה אם לא, למי הוא יועבר ולמה, מי בעל השליטה במאגר ואיך פונים אליו, ושיש זכות לעיין במידע ולבקש לתקן אותו. ההודעה צריכה להיות בשפה פשוטה ולהופיע בזמן האיסוף עצמו.

יש שלושה סיכונים: עיצומים כספיים מהרשות, שמחושבים לפי סוג ההפרה ולפי מספר האנשים במאגר; תביעות אזרחיות עם פיצוי ללא הוכחת נזק על הפרות כמו איסוף בלי ההודעה הנדרשת או סירוב לבקשת עיון; ובמקרים חמורים גם עבירות פליליות. ההתיישנות המקוצרת בתביעות פרטיות בוטלה, כך שתביעה יכולה להגיע גם שנים אחר כך.

ממיפוי: אילו פרטים אתם אוספים, באילו טפסים ומערכות, מי ניגש אליהם ולאיזה ספק הם עוברים. מזה נגזרים הודעת הפרטיות, מדיניות הפרטיות, ההסכמים עם הספקים ומסמכי אבטחת המידע.