"תיקון 13 זה רק לחברות גדולות": על מי הוא חל באמת, ומה יכול להוביל לקנס

מאיפה הגיע המיתוס?

תיקון 13 נכנס לתוקף ב-14 באוגוסט 2025. שני שינויים בו נשמעים כמו הקלה לעסקים קטנים, ובמידה מסוימת הם באמת כאלה.

הראשון הוא רישום מאגרים. לפי המדריך המקצועי של הרשות, חובת רישום מאגרי מידע במגזר הפרטי "בוטלה כמעט לחלוטין". היא נשארה בעיקר לגופים ציבוריים ולמאגרים שמטרתם העיקרית היא מסירת מידע לאחרים, כשיש בהם מידע על 10,000 בני אדם ומעלה.

השני הוא חובת מינוי ממונה הגנת פרטיות (DPO). היא חלה על גופים ציבוריים ועל סוגים מסוימים של ארגונים: סוחרי מידע, ארגונים שעיסוקם העיקרי כרוך בניטור שיטתי של בני אדם בהיקף ניכר, וארגונים שמעבדים מידע בעל רגישות מיוחדת בהיקף ניכר.

האם מצלמות בעסק קטן נחשבות "מאגר מידע"?

התיקון עדכן את ההגדרות בחוק. "מידע אישי" הוא היום "כל נתון הנוגע לאדם מזוהה או לאדם הניתן לזיהוי", ו"מאגר מידע" הוא "אוסף פרטי מידע אישי המעובד באמצעי דיגיטלי". ההגדרה לא כוללת אוסף לשימוש אישי שאינו למטרות עסק.

הנחיה 4/2012 של הרשות קובעת כבר מ-2012 ש"חלק ניכר" מההקלטות של מצלמות מעקב נכנס לגדר מאגר מידע (סעיף 2.7), ושהעקרונות שלה רלוונטיים גם למצלמות שאינן מאגר. הנחיה 5/2017, שעוסקת במצלמות במקום העבודה, מוסיפה שאוסף הקלטות של עובדים נחשב בדרך כלל מאגר מידע, גם בלי טכנולוגיה מיוחדת כמו זיהוי פנים.

מה כן תלוי בגודל העסק?

הגודל משפיע בעיקר על שלושה דברים:

• רישום והודעה. רישום נשאר לגופים ציבוריים ולסוחרי מידע. חובת הודעה חדשה לרשות חלה על מאגר עם מידע בעל רגישות מיוחדת על יותר מ-100,000 איש.

• ממונה הגנת פרטיות. לפי הקטגוריות שלמעלה, ולא לפי מספר העובדים.

• גובה העיצום. חלק מהעיצומים מחושבים לפי מספר האנשים במאגר. למאגרים ברמת אבטחה בסיסית ולמאגרים שמנהל אדם יחיד נקבעו עיצומים של ₪1,000 עד ₪2,000 להפרה, על רשימה מוגדרת של הפרות של תקנות אבטחת המידע. לעסקים קטנים (מחזור שנתי של 4 עד 10 מיליון ש"ח) ולעסקים זעירים (עד 4 מיליון ש"ח) נקבעו תקרות לעיצום באותו הליך אכיפה, ובכל מקרה העיצום הכולל לא יעלה על 5% ממחזור העסקאות השנתי (המדריך המקצועי של הרשות לתיקון 13, עמ' 22).

כלומר, הגודל משנה כמה עלול לעלות, לא אם החוק חל.

מה יכול להוביל לעיצום כספי בעסק עם מצלמות?

במדריך המקצועי לא מצאנו סעיף עיצום שעוסק במצלמות בשמן. העיצומים מוגדרים לפי סוג ההפרה. אלה הסוגים שנוגעים ישירות למערכת מצלמות:

• סירוב לבקשת עיון. אי-מתן זכות עיון לפי סעיף 13 לחוק: עיצום של ₪15,000 לכל הפרה. במצלמות זה קורה כשאדם מבקש לראות צילום שלו. הנחיה 4/2012 מקלה כאן במקרה אחד: אם המערכת לא מאפשרת חיפוש לפי זהות המצולמים וההקלטות נשמרות עד 30 יום, בדרך כלל לא יהיה צורך לתת זכות עיון (סעיף 3.1.5.1).

• הפרה של תקנות אבטחת המידע. בין ההפרות ברשימה: הגנת מערכות (תקנה 6(א)), קביעה וניהול של הרשאות גישה (תקנה 8), תיעוד אירוע אבטחה (תקנה 11(א)) ואבטחת חיבור ברשת (תקנה 14(א)). הסכום תלוי ברמת האבטחה של המאגר ובסוג ההפרה: ₪1,000 עד ₪2,000 ברמה בסיסית, ובהפרות שברשימה הזו עד ₪80,000 או ₪160,000 להפרה ברמה גבוהה. במצלמות זה נראה כמו סיסמת ברירת מחדל במקליט, או אפליקציית צפייה שמותקנת אצל כל מי שעבד פעם בעסק. רמת האבטחה שחלה על מערכת המצלמות נקבעת לפי תקנות אבטחת המידע, ותלויה בין השאר במספר בעלי ההרשאה ובמספר האנשים במאגר. מערכת שמקליטה ושמנהל בעל העסק לבדו, עם שני בעלי הרשאה נוספים לכל היותר, עשויה להיחשב "מאגר המנוהל בידי יחיד". אם יש יותר בעלי הרשאה, צריך לבדוק איזו רמה חלה.

• עיבוד למטרה שאינה כדין. עיבוד מידע אישי בניגוד לסעיף 8(ב) לחוק: ₪4 לכל אדם במאגר, ₪8 אם יש בו מידע בעל רגישות מיוחדת, ולא פחות מ-₪200,000 להפרה. הנחיה 5/2017 נותנת דוגמה מוחשית לשימוש חורג: הקלטות ממצלמה שהותקנה לבקרת כניסה לא יכולות לשמש את המעסיק כדי למדוד את משך ההפסקות של עובד. אם הרשות תסווג מקרה כזה לפי סעיף 8(ב), זה כבר תלוי בנסיבות.

ואם אין עיצום, יש גם תביעות?

כן. התיקון הרחיב את האפשרות לתבוע פיצוי ללא הוכחת נזק, עד ₪10,000, בין השאר על אי-מתן זכות עיון ועל "פניה לאדם לקבלת מידע אישי אודותיו, ללא הודעה כנדרש בסעיף 11" (המדריך המקצועי של הרשות לתיקון 13, עמ' 13). בנוסף בוטלה ההתיישנות המקוצרת של שנתיים, כך שעל עילה שנוצרה אחרי כניסת התיקון לתוקף חלה תקופת ההתיישנות הכללית.

ובמקום העבודה: לפי הנחיה 5/2017, שימוש מוגזם במצלמות שפוגע בעובדים באופן לא מידתי חושף את המעסיק לסנקציות מנהליות ופליליות ולתביעות אזרחיות, ועלול לזכות עובד שהתפטר בפיצויי פיטורים.

איך נראה עסק קטן שמוכן, לעומת עסק שלא?

שתי חנויות מכולת באותו רחוב, לכל אחת ארבע מצלמות. לקוח מבקש לראות את הצילום של ויכוח שהיה לו ליד הקופה.

• בחנות הראשונה המצלמות הותקנו לפני כמה שנים. האפליקציה מותקנת בטלפון של הבעלים ושל שני עובדים לשעבר, המקליט שומר עד שהדיסק מתמלא, ואין שלט. הבעלים לא יודע מי אמור להחליט על הבקשה, אם הצילום עדיין קיים, ומה עושים עם לקוחות אחרים שמופיעים בו.

• בחנות השנייה יש מטרה כתובה לכל מצלמה, שלט בכניסה ורשימה של מי רשאי לצפות (הנחיה 4/2012, סעיף 3.1.6.3). משך השמירה נקבע מראש והמערכת מוחקת אוטומטית (סעיפים 3.1.4.3 ו-3.1.4.4). יש גם נוהל קצר לבקשות עיון, כולל טשטוש של אנשים אחרים בצילום (סעיף 3.1.5.4). אותה בקשה מטופלת כאן בשיחה ובבדיקה אחת.