הרשות להגנת הפרטיות מאותתת כי נכנסנו לעידן של אכיפה מוגברת, וארגונים נדרשים להיערך בהתאם. בחודשים האחרונים הטילה הרשות עיצומים כספיים משמעותיים מכוח סמכויות האכיפה המורחבות שהוקנו לה בתיקון מס׳ 13 לחוק הגנת הפרטיות. ביולי 2026 הטילה הרשות על קופת חולים מאוחדת עיצום כספי בסך 256,000 ש״ח בשל אי־דיווח מיידי על אירוע אבטחה חמור, שבמסגרתו בוצעה גישה בלתי מורשית לרשומות רפואיות. היה זה העיצום הכספי הראשון שהוטל מאז כניסתו לתוקף של תיקון 13. הרשות הבהירה כי חובת הדיווח קמה ברגע שהארגון נודע על אירוע אבטחה חמור, וכי אין להמתין להשלמת הבירור הפנימי לפני הגשת דיווח ראשוני. בספטמבר 2026 הטילה הרשות על עיריית בית שמש עיצום כספי בסך 64,000 ש״ח בעקבות אירוע שבו נחשפו פרטים אישיים ומידע רפואי של כ־4,600 תושבים. חשוב להדגיש שהעיצום לא הוטל בשל עצם החשיפה, אלא בגין הפרות של דרישות רגולטוריות הנוגעות לתיעוד ולנהלים: העירייה לא ציינה גורם המעבד מידע במסמך הגדרות המאגר כנדרש, ונהלי אבטחת המידע שלה לא הסדירו כראוי את החובות החלות בקשר לנותני שירות חיצוניים בעלי גישה למאגר. בדומה לכך, בעניין הנוגע למשרד החינוך, שבו נחשף מידע רגיש על כ־21,000 תלמידים, ציינה הרשות בין ההפרות את היעדרם של מסמך הגדרות מאגר, נוהל אבטחת מידע העומד בדרישות הדין וסקר סיכוני אבטחת מידע, ודחתה את הטענה כי הסמכה לפי ISO/IEC 27001 מהווה תחליף לעמידה בדרישות אלה. המסר ברור: הרשות מתייחסת כיום ברצינות גם לחובות שנתפסו בעבר כ״מנהליות״. תיעוד פנימי תקין, זיהוי הגורמים המעבדים מידע ונהלי אבטחת מידע מעודכנים אינם עוד עניינים שאפשר להזניח.
במקביל, אנו עדים לעלייה חדה בהיקף ההליכים המשפטיים והאיומים בהגשת תובענות ייצוגיות בקשר לטכנולוגיות מעקב באינטרנט, ובפרט קובצי Cookie (עוגיות), פיקסלים למעקב וכלים דומים. ברחבי העולם הוגשו בשנת 2025 יותר מ־1,000 תביעות הנוגעות לאופן השימוש בבאנרים לקבלת הסכמה לעוגיות, וקצב הגשת התביעות אף גבר בשנת 2026. גם בישראל מוגשות יותר ויותר בקשות לאישור תובענות ייצוגיות נגד חברות המתקינות עוגיות או אמצעי מעקב אחרים במכשירי המשתמשים בלי לקבל מראש הסכמה תקפה. מוקד סיכון מרכזי הוא עוגיות של צדדים שלישיים ופיקסלים למעקב המופעלים עוד לפני שהמשתמש נתן את הסכמתו, וכן פיקסלים המוטמעים בדיוור שיווקי ומאפשרים לעקוב אם הנמענים פתחו את ההודעות ומתי. שימוש בכלים אלה באתר האינטרנט או בקמפיינים בדוא״ל, ללא מנגנוני הסכמה או יידוע מתאימים, עלול לחשוף את הארגון להליכים משפטיים.
מה מומלץ לעשות? אנו ממליצים לבדוק ולעדכן את אלה: (1) מסמכי הגדרות מאגרי המידע ופרטי הגורמים המעבדים מידע, כדי לוודא שהם משקפים במדויק את כלל הגורמים בעלי הגישה למידע; (2) נהלי אבטחת המידע, ובפרט ההוראות המסדירות התקשרויות עם נותני שירות חיצוניים; (3) נוהלי הטיפול באירועי אבטחת מידע, כדי להבטיח דיווח מיידי לרשות להגנת הפרטיות עם גילויו של אירוע חמור; וכן (4) הבאנרים לקבלת הסכמה לעוגיות באתר ופרקטיקות המעקב בדוא״ל, כדי לוודא שעוגיות של צדדים שלישיים, פיקסלים ואמצעי מעקב אחרים אינם מופעלים לפני שהמשתמש נתן הסכמה מדעת ובאופן אקטיבי. פעולות אלה יכולות וצריכות להיעשות כחלק ממהלך רחב יותר להבטחת עמידת הארגון בדרישות דיני הגנת הפרטיות.
צוות הפרטיות והגנת המידע במשרדנו עומד לרשותכם בביצוע בדיקות עמידה בדרישות הדין, בעדכון מסמכי הפרטיות ואבטחת המידע, בבחינת השימוש באמצעי מעקב דיגיטליים ובמתן ייעוץ בנוגע לחובות החלות בעת אירועי אבטחת מידע. טיפול יזום בנושאים אלה כרוך בעלויות נמוכות משמעותית מהתמודדות עם בירור של הרשות להגנת הפרטיות או עם דרישה במסגרת תובענה ייצוגית. נשמח לסייע לכם להיערך מבעוד מועד.
פרסום זה מוגש כשירות כללי ללקוחות המשרד וידידיו ואינו תחליף לעצה משפטית פרטנית. איננו ממליצים לפעול על פי המידע המובא לעיל ללא קבלת עצה משפטית מגורמים מוסמכים, בהסתמך על העובדות והנסיבות הספציפיות של כל מקרה.
