היערכות לתיקון 13: מה החוק דורש, ואיך נערכים
עודכן לאחרונה: . מדריך קריאה. המידע בעמוד כללי ואינו ייעוץ משפטי.
איך נערכים לתיקון 13?
ממפים אילו מאגרי מידע אישי יש בארגון ולאיזו מטרה נקבע כל אחד, בודקים אחת לשנה אם הצטבר מידע עודף, מחליטים מה נמחק, ומתעדים את הבדיקה ואת ההחלטות. תיקון 13 בתוקף מ-14 באוגוסט 2025, והוא הרחיב את סמכויות האכיפה של הרשות להגנת הפרטיות.
RTBFIL מסייעת בחלק אחד מההיערכות: איתור מידע אישי בתיבות הדואר ובאתרי SharePoint של Microsoft 365, כדי לאפשר בדיקה, תיעוד וטיפול מבוקר.
צ'קליסט היערכות לתיקון 13
צ'קליסט תיקון 13 שלהלן עוקב אחרי סדר העבודה: קודם מה מחזיקים ולמה, אחר כך מה עודף, ובסוף התיעוד. ליד כל סעיף: מקור החובה, ומי מבצע.
סימון בעמוד: חובה חובה רגולטורית, דרישה שמקורה בחוק או בתקנות · מומלץ פעולה מקצועית מומלצת · RTBFIL יכולת RTBFIL, פעולה שהתוכנה מבצעת · ארגון / ייעוץ באחריות הארגון או ייעוץ משפטי.
- מיפוי המאגרים והמטרות. אילו מאגרי מידע יש בארגון, ומה המטרה שנקבעה כדין לכל אחד. בלי מטרה מוגדרת אין בסיס לבחינה של מידע עודף. כאן גם נבדק אם מאגר חייב ברישום או בהודעה לרשות: רישום מאגר מידע אחרי תיקון 13. מומלץ ארגון / ייעוץ
- סיווג רמת האבטחה של כל מאגר לפי תקנות אבטחת מידע, כי היא קובעת את היקף החובות. חובה ארגון / ייעוץ
- בדיקת תחולת חובת מינוי ממונה על הגנת הפרטיות, ומינוי אם החובה חלה. את התחולה בודקים מול גילוי הדעת העדכני של הרשות להגנת הפרטיות, ואת מה שהחוק קובע על המינוי ועל התפקיד ריכזנו בעמוד ממונה על הגנת הפרטיות. חובה ארגון / ייעוץ
- איתור המידע האישי בתיבות הדואר וב-SharePoint בסריקה שקוראת תוכן. מומלץ RTBFIL
- בדיקה שנתית של מידע עודף לפי תקנה 2(ג): האם יש במאגר מידע רב מן הנדרש למטרותיו. חובה RTBFIL מספקת את הממצאים לתיבות הדואר ול-SharePoint ארגון / ייעוץ הבדיקה עצמה ושאר המאגרים
- החלטה על כל ממצא: שמירה, כשיש מטרה או חובת שימור, או מחיקה, בהתאם למדיניות הארגון, לחובות שימור ולייעוץ משפטי לפי הצורך. אדם מאשר, אחד-אחד. ארגון / ייעוץ RTBFIL תור האישורים שבו ההחלטה נרשמת
- כיבוד הקפאות משפטיות. RTBFIL מזהה Litigation Hold במקורות הנתמכים; הטיפול בפריטים מוקפאים כפוף למדיניות השמירה, ל-Retention ולהרשאות המוגדרות בארגון. חובה RTBFIL זיהוי ההקפאה ארגון / ייעוץ הגדרת ההקפאות
- תיעוד הבחינה וההחלטות לפי תקנה 19(ב): מה נבחן, מה נמצא, מי החליט, מה נמחק ומתי. חובה RTBFIL יומן הביקורת, לפעולות שנעשו בתוכנה
- תהליך לטיפול בפניות של נושאי מידע, לרבות בקשות עיון ותיקון, ובמקרים הרלוונטיים גם מחיקה, בהתאם לדין ולנסיבות. חובה ארגון / ייעוץ מחוץ לתוכנה
מהו תיקון 13, ומתי נכנס לתוקף?
תיקון 13 עדכן את חוק הגנת הפרטיות, תשמ"א-1981, והרחיב את סמכויות האכיפה של הרשות להגנת הפרטיות: סמכויות חקירה ופיקוח, וסמכות להטיל עיצומים כספיים. חובת מינוי ממונה על הגנת הפרטיות עשויה לחול על ארגונים מסוגים מסוימים, בהתאם לחוק ולמאפייני הפעילות. את תחולת החובה יש לבדוק מול גילוי הדעת העדכני של הרשות להגנת הפרטיות. התיקון אושר ב-5 באוגוסט 2024 ונכנס לתוקף ב-14 באוגוסט 2025.
הבסיס בדין, בקצרה: החוק אינו מטיל חובה כללית למחוק מידע אישי ביוזמת הארגון. מחיקה עשויה להידרש בנסיבות מסוימות לפי דין, צו, פנייה רלוונטית של נושא מידע או החלטה מוסמכת. לעניין בחינה של מידע עודף, שתי הוראות מרכזיות הן סעיף 8(ב) לחוק ותקנה 2(ג) לתקנות אבטחת מידע. תחולתן בפועל תלויה בין היתר במטרת המאגר, בסוג המידע, בנסיבות ההחזקה ובהוראות הדין הרלוונטיות. הגדרת "עיבוד" בחוק כוללת גם אחסון. השאלה אם החזקת מידע מסוים מותרת או נדרשת תלויה במטרת המאגר, בחובות שימור, בנסיבות ההחזקה ובחריגים הקבועים בדין. תקנה 2(ג) מחייבת לבחון אחת לשנה אם המידע שבמאגר אינו רב מן הנדרש למטרותיו, ותקנה 19(ב) מחייבת לתעד באופן סביר את ביצוע הבחינה.
מטרת ההיערכות אינה "להיות תואמים" במשפט אחד. היא לדעת מה מחזיקים, לאיזו מטרה, מה מתוך זה כבר אין הצדקה להחזיק, ולהיות מסוגלים להראות למבקר או לרשות שהבדיקה נעשתה. הקושי המעשי: המידע האישי שנצבר בארגון אינו יושב רק במערכות מסודרות. קורות חיים, צילומי תעודת זהות וטפסים רפואיים נשלחו פעם אחת במייל ונשארו בתיבות הדואר ובאתרי SharePoint.
למי נדרשת היערכות לתיקון 13?
| סוג ארגון או תרחיש | מה חל | מי עושה מה |
|---|---|---|
| ארגון שמחזיק מאגר מידע אישי: עובדים, לקוחות, ספקים | חובה לעניין בחינה של מידע עודף, שתי הוראות מרכזיות: סעיף 8(ב) לחוק ותקנה 2(ג) לתקנות אבטחת מידע, עם תיעוד לפי תקנה 19(ב). התחולה בפועל תלויה במטרת המאגר, בסוג המידע, בנסיבות ההחזקה ובהוראות הדין. | RTBFIL איתור מידע אישי בתיבות הדואר וב-SharePoint ותיעוד ההחלטות. ארגון / ייעוץ הגדרת מטרות המאגר וההחלטה מה נמחק. |
| ארגון שעובד ב-Microsoft 365: Exchange Online ו-SharePoint | חובה אותן הוראות. Microsoft 365 כולל יכולות חיפוש, סיווג ו-eDiscovery. | RTBFIL תהליך ייעודי לאיתור מידע אישי, סקירת הקשר, החלטה אנושית מתועדת, טיפול מבוקר ויומן ביקורת, במקורות הנתמכים על ידי המוצר. |
| ארגון שחובת מינוי ממונה על הגנת הפרטיות עשויה לחול עליו | חובה חובת מינוי ממונה על הגנת הפרטיות עשויה לחול על ארגונים מסוגים מסוימים, בהתאם לחוק ולמאפייני הפעילות. את תחולת החובה יש לבדוק מול גילוי הדעת העדכני של הרשות להגנת הפרטיות. | ארגון / ייעוץ בדיקת התחולה והמינוי. RTBFIL יכולה לספק ממצאים ותיעוד מפעולות שבוצעו במערכת. היא אינה ממנה ממונה ואינה קובעת את תחולת חובת המינוי. |
| ארגון עם חובות שימור: רשומות רפואיות, פיננסיות, שכר, הליך משפטי | חובה חובות שימור לפי דין, חוזה, מדיניות ארגונית מאושרת או הליך משפטי רלוונטי עשויות להגביל או למנוע מחיקה. | RTBFIL תבניות מדיניות הניתנות להתאמה וזיהוי Litigation Hold. ארגון / ייעוץ קביעת אילו חובות שימור חלות ומהי תקופת השימור. |
היקף החובות תלוי ברמת האבטחה של המאגר לפי תקנות אבטחת מידע: בסיסית, בינונית או גבוהה. הסיווג הוא בדיקה פרטנית של הארגון ויועציו, והמדריך הזה אינו קובע אותו.
מה RTBFIL עושה, ומה היא אינה עושה?
אילו מקורות מידע RTBFIL סורקת?
תיבות הדואר ב-Exchange Online ואתרי SharePoint, כלומר איתור מידע אישי ב-Microsoft 365 וב-SharePoint. Microsoft 365 כולל יכולות חיפוש, סיווג ו-eDiscovery. RTBFIL מיועדת לספק תהליך ייעודי לאיתור מידע אישי, סקירת הקשר, החלטה אנושית מתועדת, טיפול מבוקר ויומן ביקורת, במקורות הנתמכים על ידי המוצר. למידע על יכולות המוצר, ראו: RTBFIL לאיתור ולסקירה של מידע אישי ב-Microsoft 365 וב-SharePoint. הטבלה מחברת כל צורך בהיערכות ליכולת המתאימה:
| הצורך | מה RTBFIL עושה |
|---|---|
| לדעת איפה יושב מידע אישי בתיבות הדואר וב-SharePoint | RTBFIL סריקת תוכן: טקסט, PDF סרוק ותמונות אחרי OCR, ארכיונים. תעודת זהות בספרת ביקורת, כרטיס אשראי ב-Luhn, ובדיקת הקשר בחלון של 150 תווים. קובץ שאי אפשר לפתוח מגיע לרשימת בדיקה ידנית עם הסיבה. |
| הבדיקה השנתית של מידע עודף (תקנה 2(ג)) | RTBFIL סריקה חוזרת לפי מדיניות שמירה שהארגון קובע. RTBFIL כוללת תבניות מדיניות שניתן להתאים לצורכי הארגון. ארגון / ייעוץ קביעת תקופת שימור והבסיס המשפטי לה נשארים באחריות הארגון ויועציו. |
| החלטה של אדם על כל פריט | RTBFIL תור אישורים ממתינים: סוג, פריט, קטגוריה, בעלים ומקור לכל שורה. מסך בדיקת הקשר חי פותח את הקובץ עצמו מ-Microsoft 365 לפני ההחלטה. RTBFIL אינה שולחת פעולת מחיקה ללא אישור מתועד של משתמש מורשה. ארגון / ייעוץ ההחלטה. |
| הקפאות משפטיות וחובות שימור | RTBFIL RTBFIL מזהה Litigation Hold במקורות הנתמכים. הטיפול בפריטים ובהחלטות מחיקה כפוף למדיניות השמירה, ל-Retention, ל-Litigation Hold ולהרשאות המוגדרות בארגון. |
| תיעוד שאפשר להציג למבקר (תקנה 19(ב)) | RTBFIL יומן ביקורת בשרשרת hash: כל שורה חותמת על קודמתה, כפתור אימות שלמות בודק את השרשרת, ודוח מיוצא ל-CSV ליועץ המשפטי, לממונה ולמבקר. מתעד את מה שנעשה בתוכנה; תיעוד של שאר ההיערכות הוא של הארגון. |
| שהמידע לא ייצא מהארגון תוך כדי | RTBFIL התקנה על שרת של הארגון, ב-Docker. החוצה יוצאות רק קריאות ל-Microsoft 365 ובקשת אימות רישיון עם שלושה פרטים: מפתח רישיון, מזהה התקנה ומזהה הארגון ב-Microsoft 365. |
מה היא אינה עושה
אינה סורקת Teams, שרתי קבצים מקומיים או מערכות צד שלישי: אין קוד שנוגע בהם. אינה מטפלת בבקשות של נושאי מידע, אינה מדווחת לרשות, אינה ממנה ממונה ואינה מנהלת רישום מאגרי מידע. אופן המחיקה והשחזור ב-Exchange Online תלוי במדיניות השמירה של הארגון, ב-Recoverable Items, ב-Retention וב-Litigation Hold. RTBFIL אינה שולחת פעולת מחיקה ללא אישור מתועד של משתמש מורשה.
תוכנה, ליווי מקצועי, ייעוץ משפטי: מה כל אחד נותן
התוכנה (RTBFIL) היא פתרון לאיתור מידע אישי בתיבות דואר ארגוניות ובאתרי SharePoint: מוצאת, מביאה להחלטה של אדם, מוחקת מה שאושר ומתעדת. ההתקנה היא התקנת Docker על שרת של הארגון, בידי צוות ה-IT של הארגון. התמיכה שאנחנו נותנים היא תמיכה בתוכנה, במייל ובטלפון, מישראל.
ליווי מקצועי בהיערכות, כלומר מיפוי מאגרים, כתיבת מסמך הגדרות המאגר, נהלים והדרכות, הוא עבודה של ממונה על הגנת הפרטיות או של יועץ בתחום. RTBFIL אינה מציעה שירות כזה. התוכנה נותנת לליווי כזה את הממצאים ואת התיעוד.
האם RTBFIL מחליפה ייעוץ משפטי?
לא. ייעוץ משפטי קובע מהי מטרת כל מאגר, מהי רמת האבטחה שלו, אילו חובות שימור עשויות להגביל מחיקה, ואיך מטפלים בפניות של נושאי מידע. RTBFIL אינה משרד עורכי דין ואינה מספקת ייעוץ משפטי, והמדריך הזה אינו מסווג את המאגרים שלכם ואינו מבטיח עמידה בחוק.
אכיפה ועיצומים: מה קבוע בדין
תיקון 13 הרחיב את סמכויות האכיפה והעיצומים המנהליים של הרשות להגנת הפרטיות. סוג ההפרה, מאפייני המאגר, רמת האבטחה, היקף המידע והנסיבות העובדתיות עשויים להשפיע על אופן האכיפה.
לדוגמה, ביולי 2026 הודיעה הרשות להגנת הפרטיות על עיצום כספי שהוטל על קופת חולים מאוחדת בגין אי-קיום חובת דיווח מיידי על אירוע אבטחה חמור. מקרה זה אינו קשור בהכרח לשמירת מידע עודף ואינו קובע מה יחול על ארגון אחר.
למידע מחייב ועדכני יש לעיין בנוסח החוק, בפרסומי הרשות ובייעוץ משפטי לפי הצורך.
שאלות נפוצות
האם תיקון 13 מחייב למחוק מיילים ישנים?
לא באופן ישיר. חוק הגנת הפרטיות אינו מטיל חובה כללית למחוק מידע אישי ביוזמת הארגון. מחיקה עשויה להידרש בנסיבות מסוימות לפי דין, צו, פנייה רלוונטית של נושא מידע או החלטה מוסמכת. לעניין בחינה של מידע עודף, שתי הוראות מרכזיות הן סעיף 8(ב) לחוק ותקנה 2(ג) לתקנות אבטחת מידע. הגדרת "עיבוד" בחוק כוללת גם אחסון. השאלה אם החזקת מידע מסוים מותרת או נדרשת תלויה במטרת המאגר, בחובות שימור, בנסיבות ההחזקה ובחריגים הקבועים בדין. ההחלטה מה למחוק נעשית בהתאם למדיניות הארגון, לחובות שימור ולייעוץ משפטי לפי הצורך.
ממתי תיקון 13 לחוק הגנת הפרטיות בתוקף?
מ-14 באוגוסט 2025. התיקון אושר במליאת הכנסת ב-5 באוגוסט 2024 ונכנס לתוקף ב-14 באוגוסט 2025.
מה העיצום על הפרה של חוק הגנת הפרטיות אחרי תיקון 13?
תיקון 13 הרחיב את סמכויות האכיפה והעיצומים המנהליים של הרשות להגנת הפרטיות. סוג ההפרה, מאפייני המאגר, רמת האבטחה, היקף המידע והנסיבות העובדתיות עשויים להשפיע על אופן האכיפה ועל גובה העיצום. למידע מחייב ועדכני יש לעיין בנוסח החוק (סעיף 23כו ואילך), בפרסומי הרשות ובייעוץ משפטי לפי הצורך.
איך בודקים אם יש מידע אישי בתיבות הדואר ובאתרי SharePoint של הארגון?
בסריקה שקוראת תוכן ולא שמות קבצים: טקסט, PDF סרוק ותמונות אחרי זיהוי תווים (OCR), וקבצים בתוך ארכיונים. מספר תעודת זהות עובר בדיקת ספרת ביקורת וכרטיס אשראי בבדיקת Luhn, ואחר כך נבחן ההקשר סביב המספר. Microsoft 365 כולל יכולות חיפוש, סיווג ו-eDiscovery. RTBFIL מיועדת לספק תהליך ייעודי לאיתור מידע אישי, סקירת הקשר, החלטה אנושית מתועדת, טיפול מבוקר ויומן ביקורת, במקורות הנתמכים על ידי המוצר.
מה צריך לתעד אחרי הבדיקה השנתית?
תקנה 19(ב) לתקנות אבטחת מידע קובעת שמי שמוטלת עליו חובה לבצע פעולה שאינה יצירת מסמך נדרש לתעד באופן סביר את אופן ביצועה. בפועל: מה נבחן, מתי, מה נמצא, מי החליט מה לגבי כל ממצא, ומה נמחק. יומן הביקורת של RTBFIL רושם את הפרטים האלה לפעולות שנעשו בתוכנה, בשרשרת hash שמזהה כל שינוי, ומיוצא ל-CSV.
האם תוכנה יכולה להחליף יועץ משפטי בהיערכות לתיקון 13?
לא. התוכנה מוצאת מידע אישי שתם הצורך בו ומתעדת מי החליט למחוק אותו ומתי. היא אינה מטפלת בבקשות של נושאי מידע, אינה מדווחת לרשות, אינה ממנה ממונה, אינה מנהלת רישום מאגרי מידע ואינה מחליפה ייעוץ משפטי. סיווג המאגרים, קביעת רמת האבטחה ומטרות המאגר הם החלטות של הארגון ושל יועציו.
האם RTBFIL מוחקת מידע אוטומטית?
לא. הסריקה אוטומטית, המחיקה לא. כל ממצא מגיע לתור אישורים, אדם רואה אותו ומאשר או דוחה, ורק מחיקה שאושרה נשלחת ל-Microsoft 365. RTBFIL מזהה Litigation Hold במקורות הנתמכים, והטיפול בפריטים מוקפאים כפוף למדיניות השמירה ולהגדרות הארגון.
מקורות רשמיים
- מדריך מקצועי: תיקון מס' 13 לחוק הגנת הפרטיות, הרשות להגנת הפרטיות. פורסם 14.8.2025, עודכן 21.8.2025.
- שאלות ותשובות: תיקון מס' 13 לחוק הגנת הפרטיות, הרשות להגנת הפרטיות. פורסם 14.8.2025, עודכן 18.8.2025.
- גילוי דעת בנושא ממונה על הגנת הפרטיות בארגון, ארגז הכלים של הרשות להגנת הפרטיות. עודכן 29.7.2026.
- הודעת הרשות להגנת הפרטיות על העיצום הכספי שהוטל על קופת חולים מאוחדת. פורסם 21.7.2026.
- חוק הגנת הפרטיות, תשמ"א-1981, נוסח עדכני ליום 14.8.2025 (נבו): סעיף 3 (הגדרת "עיבוד"), סעיף 8(ב), סעיף 23כו. עמוד החוק באתר הרשות: חוק הגנת הפרטיות, התשמ"א-1981 (עודכן 22.4.2025, לפני כניסת התיקון לתוקף; העמוד מפנה לנוסח המעודכן ברשומות).
- תקנות הגנת הפרטיות (אבטחת מידע), תשע"ז-2017 (נבו): תקנה 2(ג), תקנה 19(ב). עמוד התקנות באתר הרשות: תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 (עודכן 25.10.2023).
- הרשות להגנת הפרטיות, אתר הרשות: הנחיות, פעילות אכיפה, רישום מאגרי מידע.
עוד תשובות, על החוק ועל התוכנה: שאלות נפוצות על תיקון 13.
למידע משפטי מחייב ועדכני יש לעיין בנוסח החוק והתקנות ובפרסומי הרשות להגנת הפרטיות.