חוק הגנת הפרטיות: חובות, סיכונים ופתרונות בענף התיירות

ענף התיירות והאירוח בישראל, הכולל מלונות, בתי הארחה, אכסניות, צימרים, דירות נופש, סוכנויות נסיעות וכו’, מתחיל להתמודד עם שינוי רגולטורי. תיקון 13 לחוק הגנת הפרטיות, התשמ”א–1981, שנכנס לתוקף בחודש אוגוסט 2025, משנה באופן מהותי את מערך החובות המוטלות על עסקים המעבדים מידע אישי של אורחים. מידע זה כולל נתונים מזהים, פרטי אשראי, כתובות, תעודות זהות, דרכונים ולעיתים אף נתונים רפואיים, ומידע נוסף, הרי שמדובר במידע רגיש שחלה עליו רמת הגנה מחמירה. בענף הנשען על אמון הציבור והמלצות חיוביות, ורגיש ממילא לתנודות בשל המצב הבטחוני, פגיעה בפרטיות האורחים עלולה לגרור השלכות משפטיות, כלכליות ותדמיתיות, הן לעסק והן לבעלים. מה עושים? סקירה בנושא פרטיות בענף התיירות.

עיקרי תיקון 13 לחוק הגנת הפרטיות

סמכויות אכיפה מנהליות רחבות של הרשות להגנת הפרטיות

הרשות להגנת הפרטיות קיבלה סמכויות פיקוח ואכיפה רחבות היקף, לרבות ביצוע ביקורות יזומות, דרישת מסמכים, חקירות מנהליות והטלת עיצומים כספיים. סמכויות אלו חלות גם על עסקים בענף התיירות, לרבות מלונות, בתי הארחה וצימרים.

עיצומים כספיים משמעותיים בסך מאות אלפי ש”ח

החוק מאפשר לרשות להטיל עיצומים כספיים מנהליים, שיכולים להגיע למיליוני שקלים, בהתאם לחומרת ההפרה, רגישות המידע, מספר הנפגעים וגודל הגוף המפר. גם הפרה שנעשתה בתום לב (דוגמת שליחת אישור הזמנה הכולל פרטים של אורח אחר, צילום תעודת זהות ללא צורך), עלולה להביא להטלת עיצום כספי.

תביעות אזרחיות ללא הוכחת נזק

התיקון מאפשר לכל אדם שנפגעה פרטיותו להגיש תביעה אזרחית, גם ללא הוכחת נזק, בסכום של עד 10,000 ש”ח. מדובר בשינוי מהותי, שכן די בעצם פעולה לא מדויקת של העסק כדי להצמיח עילת תביעה.

חובת מינוי ממונה הגנת פרטיות (DPO)

מלונות, רשתות אירוח ועסקים המעבדים מידע בהיקף נרחב מחויבים למנות ממונה הגנת פרטיות (Data Protection Officer), שתפקידו לפקח על עמידת הארגון בהוראות החוק, להדריך את העובדים, להוות גורם מקשר מול הרשות, ולגבש מדיניות פרטיות ונהלי אבטחת מידע.

חובת אבטחת מידע

תיקון 13 קובע כי אבטחת המידע מהווה חובה משפטית מהותית. כל עסק נדרש להטמיע מערכות הצפנה, בקרת הרשאות, זיהוי דו־שלבי, גיבויים מאובטחים, הדרכה, ניטור שוטף ונוהל תגובה לאירועי אבטחה. בנוסף, חובה לוודא שכל ספק חיצוני (למשל מערכת הזמנות, שירותי ענן או חברת סליקה) עומד בדרישות החוק וחתום על הסכם עיבוד מידע (DPA).

צילום תעודות זהות של אורחים

צילום תעודת זהות מהווה, על פי הדין, עיבוד של מידע אישי רגיש, שכן הוא כולל נתונים ביוגרפיים, מספר זהות ייחודי, תאריך לידה. ספח תעודת הזהות מכיל את מען (כתובת המגורים), וכן את פרטי בני משפחה. בהתאם להוראות סעיף 7 לחוק הגנת הפרטיות, התשמ”א–1981, ולפי גילוי הדעת של הרשות להגנת הפרטיות, מדובר בפעולה פולשנית מבחינת הזכות החוקתית לפרטיות, ולפיכך היא מותרת אך ורק כאשר אין בנמצא אמצעי פחות פוגעני להשגת אותה מטרה.

במילים אחרות, כאשר ניתן לאמת את זהות האדם באמצעות עיון חזותי בתעודה בלבד, או באמצעות הקלדת פרט מזהה מינימלי (כגון שם, תאריך לידה או ארבע הספרות האחרונות של תעודת הזהות), יש להעדיף דרכים אלו על פני צילום או סריקה. רק במקרים שבהם החוק עצמו מחייב שמירת עותק, או ניתנת הסכמה מדעת, ניתן לבצע צילום תעודת זהות, וגם אז בכפוף לעמידה מדויקת בתנאים שנקבעו.

כאשר צילום או סריקה מבוצעים כדין, יש לעמוד בכללים מצטברים וברורים:

1. יידוע מפורש של האדם המצולם, וקבלת הסכמה. טרם ביצוע הצילום, יש להבהיר את מטרת הצילום, החובה החוקית/ החוזית, את פעולת העיבוד, משך השמירה, ואת מי שעשוי לעיין במידע, ולקבל את ההסכמה של האדם.

2. הגנה טכנולוגית מלאה על הקובץ. הצפנת הסריקה, אחסון בשרת מאובטח או בענן התואם את תקנות אבטחת המידע, והגבלת הגישה רק לעובדים שהוסמכו לכך.

3. שמירה לתקופה מוגבלת בלבד. יש להגדיר מדיניות שמירה קצובה בזמן (בדרך כלל לא יותר מ-30–90 יום), ולהשמיד את הקובץ בתום הצורך, באמצעות מחיקה בלתי הפיכה.

4. תיעוד ובקרה. רישום מי ביצע את הצילום, לאיזו מטרה, ובאיזה אופן נשמר ונמחק הקובץ, כחלק מנוהל “תיעוד פעולות עיבוד” בהתאם לתיקון 13.

דליפת סריקות תעודות זהות נחשבת על ידי הרשות להגנת הפרטיות לאירוע אבטחת מידע חמור במיוחד, בשל הפוטנציאל הגבוה לגניבת זהות, הונאה פיננסית ושימוש לרעה בפרטים אישיים. אירוע כזה מחייב דיווח מיידי לרשות, חקירת מקור הדליפה, והודעה אישית לנפגעים בהתאם לחומרת הפגיעה. הרשות מוסמכת להטיל בגין הפרה זו עיצומים מנהליים בסכומים ניכרים, ולעיתים אף ננקטות תובענות ייצוגיות מצד ניזוקים.

מצלמות אבטחה וביטחון בעסקי תיירות

התקנת מצלמות אבטחה בעסק היא פעולה בעלת השלכות משפטיות ורגולטוריות משמעותיות, שכן היא כרוכה באיסוף שיטתי של מידע אישי על עובדים, לקוחות, ספקים ומבקרים. בהתאם לחוק הגנת הפרטיות, לתקנות הגנת הפרטיות (אבטחת מידע), תשע”ז–2017, ולהנחיות הרשות להגנת הפרטיות, הצבת מצלמות בעסק מותרת רק כאשר היא נדרשת למטרה לגיטימית ומידתית, ותוך שמירה על זכויות הפרט.

העיקרון המנחה הוא מידתיות. היינו, על בעל העסק לוודא שהפיקוח החזותי נדרש לצורך סביר (למשל, הגנה על ביטחון הנכסים, מניעת גניבות, מניעת ונדליזם, שמירה על בטיחות עובדים או לקוחות), ואין דרך חלופית שפוגעת פחות בפרטיות. הצבת מצלמות במרחבים אינטימיים או רגישים, כגון חדרי מנוחה, מלתחות, תאי שירותים, או אזורי עובדים שאינם פתוחים לקהל – אסורה כמעט לחלוטין.

הוראות בסיסיות להצבה ולשימוש במצלמות בענף התיירות:

1. הגדרת מטרות השימוש מראש. יש לקבוע בכתב את מטרות הצילום, אופן השימוש בחומר המצולם, זהות הגורמים המורשים לצפות בו ומשך זמן השמירה. מטרות אלו חייבות להיות ספציפיות ומוגבלות – לדוגמה: “שמירה על ביטחון הציבור ונכסי העסק”, ולא “מעקב כללי אחרי עובדים”.

2. יידוע ושקיפות. חובה להודיע לעובדים, ללקוחות, לספקים ולמבקרים על עצם קיומה של מערכת מצלמות, על מטרות השימוש, ועל זהות הגוף האחראי למידע. יש להציב שילוט ברור ובולט בכניסות ובאזורים המצולמים, הכולל את ניסוח מטרת הצילום ופרטי איש הקשר מטעם הארגון.

3. הגבלת הצילום והגישה. יש לתכנן את זוויות המצלמות כך שיתמקדו באזורים הרלוונטיים בלבד (כגון קופה, כניסה, מחסן), ולהימנע מצילום מיותר או רוחבי. בנוסף, יש להבטיח שרק בעלי הרשאה יוכלו לצפות או לגשת לחומרי הווידאו, תוך ניהול יומני גישה (audit logs) ותיעוד צפיות.

4. משך שמירה ומחיקה. אין לשמור צילומים מעבר לפרק זמן סביר (לרוב 30 יום בלבד), אלא אם קיימת הצדקה לכך במדיניות. עם תום התקופה, חובה למחוק את הקבצים באופן מאובטח, ולתעד את פעולת המחיקה.

5. אבטחת המידע. מאגר הווידאו נחשב על פי דין מאגר מידע. יש להבטיח כי הוא מאוחסן בשרת מאובטח או במערכת DVR/ענן עם הצפנה, סיסמאות חזקות, ואמצעי בקרה טכנולוגיים למניעת דליפה.

6. שימוש משני אסור. אסור להשתמש בצילומים לכל מטרה אחרת מזו שלשמה נאספו. בתוך כך, אסור להעביר סרטונים לגורמים חיצוניים, לפרסם במדיה החברתית או להשתמש בהם לביקורת עובדים, אלא אם ניתנה לכך הסכמה מדעת ומפורשת.

מוקדי מידע ושירות לקוחות בענף התיירות

מוקדים טלפוניים, מערכות CRM, טפסי “צור קשר”, דפי נחיתה ואתרי אינטרנט – כולם מהווים על פי דין מאגרי מידע לכל דבר ועניין, הכפופים להוראות חוק הגנת הפרטיות, התשמ”א–1981, ולתקנות אבטחת המידע. תיקון 13 לחוק חידד את אחריותם של ארגונים המפעילים מערכות אלו, וקבע כי כל איסוף, עיבוד או שמירה של נתונים אישיים חייבים להיעשות על פי עקרונות החוק והתקנות, במטרה להבטיח שימוש הוגן, מאובטח ושקוף במידע.

כך לדוגמה, הקלטת שיחות טלפון מותרת רק כאשר הלקוח מקבל הודעה מפורשת, בזמן אמת, על עצם ההקלטה, מטרתה והייעוד העתידי של הנתונים. הודעה כללית או אזכור עמום במדיניות פרטיות באתר אינם מספקים, ועל הארגון לוודא כי ההודעה נמסרת לפני תחילת ההקלטה, בשפה ברורה ונגישה. במקביל, חובה להגדיר משך שמירה קבוע ומוגבל בזמן, שלרוב אינו עולה על 90 ימים, אלא אם קיימת הצדקה תפעולית או משפטית מפורשת לשמירה ארוכה יותר. לאחר מכן, יש להשמיד את ההקלטות באופן מאובטח, בהתאם לנוהלי מחיקה ובקרה פנימיים.

כאשר במהלך השיחה נמסרים פרטים רגישים, כגון מספר כרטיס אשראי, מידע רפואי, נתוני מצב משפחתי או מספר זהות, מוטלת על הארגון חובה מוגברת לנקוט אמצעי הצפנה ובקרות גישה מחמירות. יש להבטיח כי רק עובדים מורשים ובעלי תפקיד רלוונטי יוכלו להאזין להקלטות או לצפות במידע הנלווה, תוך שימוש באמצעי זיהוי דו-שלביים וניהול יומני גישה.

דליפה או חשיפה של מידע רגיש ממוקד טלפוני, ממערכת CRM או מאתר אינטרנט נחשבת לפי תיקון 13 לאירוע אבטחת מידע חמור, המחייב נקיטת פעולות מיידיות: עצירת הדליפה, חקירת היקף הפגיעה, תיעוד הממצאים, והעברת דיווח לרשות להגנת הפרטיות בתוך פרק הזמן הקבוע בחוק. בנוסף, כאשר הפגיעה עלולה לגרום לנזק ממשי לאדם שפרטיו דלפו – קיימת חובה ישירה להודיע לנפגעים עצמם על ההפרה, בשפה ברורה ובמועד סביר, כדי שיוכלו להגן על עצמם או לשנות סיסמאות וכרטיסים.

סליקה ותשלומים

עסקים בענף האירוח נדרשים לעמוד בתקני אבטחת מידע בינלאומיים, ובראשם PCI DSS. החוק מחייב לוודא כי כל מערכת סליקה או תוכנת ניהול הזמנות עומדת בתקן זה. אנחנו ממליצים שלא לשמור נתוני אשראי כלל במערכות הפנימיות של בית העסק, אלא להשתמש בשירותי סליקה חיצוניים מאובטחים (Tranzila, Pelecard, PayPlus וכדומה).

גם בהתקשרות עם ספק חיצוני נדרשת אחריות משפטית: יש לחתום עמו על הסכם עיבוד מידע (DPA) הכולל חובת שמירה, דיווח הדדי על אירועי אבטחה, והצפנה מלאה בעת העברה ובאחסון.

שימוש בפלטפורמות הזמנות בינלאומיות (Airbnb, Booking.com וכו’)

עסקים רבים בענף מסתמכים על פלטפורמות ההזמנות הגדולות בעולם, אך חשוב להבין כי האחריות המשפטית למידע האישי של האורחים אינה ניתנת להעברה. גם אם הפלטפורמות מחזיקות במדיניות פרטיות מתקדמת לפי ה־GDPR, האחריות לפי החוק הישראלי נותרת אצל בעל העסק. בעל המאגר בישראל חייב להחזיק במדיניות פרטיות משלו, להודיע לאורחים על עיבוד המידע, לוודא אבטחתו, ולמנות ממונה הגנת פרטיות במידת הצורך.

במקרה של דליפה, החובה לדווח לרשות להגנת הפרטיות בישראל מוטלת על בעל העסק, גם אם האירוע אירע בשרתי הפלטפורמה.

נבהיר: מדיניות הפרטיות של Airbnb, Booking וכו’, מספקת הגנה משפטית עבורן, אך איננה פוטרת מאחריות את בעל העסק בישראל. לכן, על בעל העסק לנסח מדיניות פרטיות עצמאית בהתאם לדין החל בישראל, לקבוע נהלי עבודה פנימיים, להסדיר יחסים חוזיים עם ספקים ולוודא עמידה בתקנות אבטחת המידע.

לסיכום: אתגרים יחודיים והמלצות להגנת הפרטיות בענף התיירות

שימוש באפליקציות תיירותיות

אפליקציות תיירותיות הפכו לכלי מרכזי בתכנון ובהזמנת חופשות, אך במקביל גם למוקד מרכזי של סיכוני פרטיות. מאחורי כל הזמנה, מעקב מיקום או התאמה אישית של חוויית הטיול, מסתתרת מערכת רחבה של איסוף, עיבוד ושיתוף מידע אישי על המשתמשים, לעיתים מבלי שהם מודעים לכך. אפליקציות תיירות אוספות נתוני מיקום בזמן אמת, העדפות חיפוש, פרטי אשראי, הרגלי גלישה ולעיתים אף נתונים ביומטריים והתנהגותיים. מידע זה נועד לשפר את חוויית השירות, אך במקרים רבים הוא מועבר לגורמים חיצוניים, מנותח לצרכים שיווקיים או נשמר מעבר לנדרש – דבר היוצר חשיפה ממשית לפגיעה בפרטיות.

לאור זאת, הרשות להגנת הפרטיות יצאה בסדרה של המלצות ביום 24/4/2025 (“סדרה של המלצות לשימוש בטוח ומאוזן באפליקציות תיירות של ספקי שירותים שונים, כגון חברות תעופה, בתי מלון, סוכנויות נסיעות ועוד”). בין היתר, לבדוק את ההרשאות הנדרשות לפני ההתקנה; להגביל את הגישה למיקום רק בזמן שימוש באפליקציה; למחוק את החשבון והמידע לאחר סיום השימוש; להימנע מקישור לרשתות חברתיות; ולעדכן גרסאות תוכנה באופן שוטף. כמו כן, המליצה הרשות לגלות זהירות מיוחדת באפליקציות המשלבות בינה מלאכותית, הנוטות לבקש גישה נרחבת לנתוני משתמשים.

משרד עו”ד וולר ושות’: מומחים להגנת פרטיות בענף התיירות 

בענף התיירות, שבו כל הזמנה, רישום, התעניינות או פנייה מקוונת כרוכים באיסוף מידע אישי, הגנת הפרטיות היא לא רק חובה חוקית, אלא תנאי לאמון ולמצוינות עסקית. משרד עו”ד וולר ושות’, מהמובילים בישראל בתחום הגנת הפרטיות ויישום תיקון 13 לחוק הגנת הפרטיות, מלווה עסקים, מלונות, סוכנויות נסיעות, בתי הארחה וצימרים בהיערכות מלאה להוראות הדין.

המשרד מציע ללקוחותיו מעטפת משפטית, טכנולוגית ורגולטורית מלאה. בין היתר, ניסוח ועדכון מדיניות פרטיות לאתרי האינטרנט, דפי נחיתה וטפסי “צור קשר”; סקרי ציות; בקרה על מערכות CRM ומוקדי שירות, כולל ניהול הקלטות ושמירת נתונים; בניית נהלים לצילום תעודות זהות, מצלמות אבטחה והגנת מידע רגיש; רישום מאגרי מידע; מינוי DPO במיקור חוץ; טיפול באירועי סייבר ודליפות מידע מול הרשות להגנת הפרטיות; ליווי משפטי שוטף, הדרכות עובדים וניהול סיכוני פרטיות מתקדמים.

למה לבחור במשרד וולר ושות’?

משרדנו משלב ניסיון משפטי רב-שנים עם היכרות עמוקה עם עולם התיירות בישראל. אנו מאמינים כי הגנת הפרטיות אינה פעולה חד-פעמית, אלא תהליך מתמשך של אמון, שקיפות ואחריות. בחירה במשרד וולר ושות’ היא בחירה בביטחון משפטי, באחריות ובשקט נפשי, עם ליווי אישי של צוות מומחים שמבין לעומק את הממשק שבין חוק, טכנולוגיה ושירות לקוחות בענף התיירות.