תיקון 13 לחוק הגנת הפרטיות - מה זה אומר על העסק שלך?
ב-2024 התיקון נכנס לתוקף. רוב העסקים לא מודעים שהם כבר לא תואמים. בדוק אם אתה.
מה זה תיקון 13?
ב-2024 נכנס לתוקף תיקון 13 לחוק הגנת הפרטיות הישראלי - התיקון המשמעותי ביותר ב-25 שנה. הוא חל על כל גוף שמחזיק במידע אישי של אזרחים ישראלים. כן, גם העסק שלך.
הקנסות הגיעו ל-עד 3.2 מיליון ש"ח למפר.
המחיר של אי-תאימות הופך ממסוכן לקטסטרופלי.
מה השתנה בפועל?
1. מאגרים נרשמים (מ-300,000 רישומים)
אם יש לך מאגר מידע אישי על מעל 300,000 לקוחות - חובה לרשום אותו ברשם המאגרים. רוב העסקים הקטנים מתחת לסף, אבל בדוק את עצמך.
2. תיעוד גישה למידע (audit log)
כל גישה למידע אישי חייבת להיות מתועדת:
- מי ניגש
- מתי
- מה שינה / קרא / מחק
- מאיפה (IP)
ברוב מערכות ה-CRM הישנות - אין דבר כזה. לא קיים. תיקון 13 מחייב תיעוד מלא.
3. אבטחת מידע מתקדמת
- הצפנה במנוחה ובתעבורה
- אימות דו-שלבי (2FA) לבעלי הרשאות גבוהות
- בקרת גישה מבוססת תפקיד
- ניהול פרצות מתועד
4. מימוש זכויות חזק יותר
לקוח שמבקש לצפות במידע עליו - אתה חייב לתת לו תוך 30 יום.
לקוח שמבקש למחוק - אתה חייב למחוק מהמערכת ומכל הגיבויים.
זכות הניידות (data portability) - חובה לאפשר ייצוא של המידע בפורמט מובנה.
5. הודעה על הפרת אבטחה
אם הייתה הפרה - חובה להודיע לרשם תוך 72 שעות, ולכל מי שעלול להיפגע.
איך זה נראה למי שלא מחזיק?
זה לא תיאורטי. ב-2025 פורסמו עיצומים על:
- חברת שיווק (לא נחשפה) - 800,000 ש"ח על אי-תיעוד גישה
- סוכנות ביטוח - 1.2 מיליון על שמירת נתונים מעבר לזמן הנדרש
- חנות אונליין - 600,000 על אי-תגובה לבקשות מחיקה
איך MyCrm+ עוזר
נבנינו אחרי תיקון 13, אז אנחנו תואמים מלידה:
Audit Log אוטומטי: כל פעולה (יצירה, עריכה, מחיקה, ייצוא, גישה) של ליד נרשמת אוטומטית עם זמן, משתמש, IP. ניתן לייצא ל-CSV בכל רגע.
הצפנה: כל הנתונים מוצפנים ב-PostgreSQL (Supabase) ובמעבר (TLS 1.3). סיסמאות hashed bcrypt.
2FA: תמיכה מובנית - אפליקציות אימות סטנדרטיות (Google Authenticator, Authy).
RLS (Row Level Security): כל לקוח רואה רק את המידע שלו. אין דליפה אפילו בתאוריה.
מחיקה: כפתור "מחק חשבון" → מחיקה מלאה מהמערכת + רישום ב-audit log שהמחיקה בוצעה.
ייצוא: כל לקוח יכול לבקש ייצוא של כל המידע שלך עליו. אצלנו זה כפתור.
DPA: יש לנו הסכם עיבוד נתונים חתום וזמין לכל לקוח שמבקש.
בדיקה עצמית - 5 שאלות
- ✅ אתה יכול להראות מי ניגש למידע של לקוח X בשבועיים האחרונים?
- ✅ אם לקוח מבקש מחיקה, יש לך תהליך מתועד? תוך כמה זמן זה קורה?
- ✅ הסיסמאות במערכת מוצפנות בצורה מקצועית? (לא md5, לא sha1)
- ✅ יש לך 2FA לכל מי שיש לו גישה למאגר?
- ✅ אם תהיה הפרה, יש לך תהליך לדיווח תוך 72 שעות?
אם ענית "לא" על שתיים או יותר - אתה לא תואם. הזמן לפעול הוא עכשיו, לא אחרי הקנס הראשון.
פתח חשבון ב-MyCrm+ - תאימות מלאה מהיום הראשון.