תיקון 13 לחוק הגנת הפרטיות — מה השתנה ומה עסק צריך לעשות

הערה על מספרים: מדריך זה אינו נוקב בסכומי עיצומים. הסכומים מדורגים בתוספת לחוק ומתעדכנים, והפרסומים בשוק חלוקים ביניהם — לכן כל סכום קונקרטי יש לאמת מול נוסח החוק העדכני ומול פרסומי הרשות להגנת הפרטיות, ולא מול מאמר.

---

תיקון 13 לחוק הגנת הפרטיות, התשמ״א-1981 נכנס לתוקף ב-14 באוגוסט 2025, והוא השינוי המשמעותי ביותר בדיני הפרטיות בישראל מזה שנים. הטעות הנפוצה בהבנתו היא לחפש מה השתנה בהגדרות. מה שהשתנה באמת הוא מי אוכף, ואיך.

מדריך זה מרחיב את פרק הציות מתוך משפט מסחרי לעסקים ורשתות.

מה באמת השתנה — מאכיפה על הנייר לאכיפה בפועל

עד לתיקון, הפרות של חוק הגנת הפרטיות היו בעיקרן עבירות פליליות. זה נשמע חמור, ובפועל היה ההפך — הליך פלילי דורש תשתית ראייתית גבוהה, משאבי תביעה וזמן, ולכן האכיפה בפועל הייתה נדירה. עסקים למדו להתייחס לחוק כאל המלצה.

התיקון הפך את היוצרות. הרשות להגנת הפרטיות הוסמכה להטיל עיצומים כספיים מנהליים ישירות — בלי כתב אישום, בלי בית משפט, ובלי להוכיח יסוד נפשי פלילי. מבחינת עסק, זו נקודת המפנה: הסיכון עבר מ״תיאורטי ורחוק״ ל״מנהלי ומיידי״.

לצד סמכות העיצום הורחבו גם סמכויות הפיקוח והחקירה של הרשות, ונוספה חובת מינוי ממונה על הגנת הפרטיות לקטגוריות מוגדרות. כן נעשו שינויים בהגדרות היסוד של החוק ובמשטר הרישום של מאגרי מידע.

ממונה על הגנת הפרטיות — מי חייב

זו החובה הקונקרטית שהכי הרבה עסקים שואלים עליה. היא אינה חלה על כולם, אלא על קטגוריות מוגדרות:

• גופים ציבוריים, וכן מי שמעבד מידע עבורם;
• גופים שעיסוקם סחר במידע;
• ארגונים שפעילותם כרוכה בניטור שיטתי של אנשים;
• ארגונים שעיקר פעילותם עיבוד מידע רגיש בהיקף ניכר.

מה נדרש מהממונה — ידע ממשי בדיני פרטיות ובאבטחת מידע, היכרות עם הארגון, ובעיקר עצמאות מקצועית: הוא אמור לדווח להנהלה ולא להיות כפוף למי שאת פעילותו הוא מבקר. תפקידו כולל ייעוץ והדרכה, בקרה שוטפת על עמידה בחובות, טיפול בפניות נושאי מידע, והיותו נקודת הקשר מול הרשות.

הטעות הנפוצה — מינוי פורמלי של מנהל הסייבר או היועץ המשפטי הפנימי ״גם כממונה פרטיות״, בלי הסמכה, בלי זמן ייעודי ובלי עצמאות. הפירוט על הקטגוריות ועל דרישות הכשירות — מי חייב למנות ממונה על הגנת הפרטיות? מינוי כזה עלול להיחשב כאי-קיום החובה, ובנוסף הוא מייצר ניגוד עניינים מובנה.

לצד זאת קיימת חובה נפרדת, ותיקה יותר, של ממונה אבטחת מידע לפי תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017. שני התפקידים אינם זהים, ובארגונים מסוימים אף אינם יכולים להתמלא בידי אותו אדם.

מה עסק צריך לעשות בפועל

הצעדים לפי סדר התועלת, ורובם אינם דורשים תקציב.

1. מיפוי — אילו מאגרים יש לכם בכלל. רוב העסקים מגלים שיש להם יותר ממה שחשבו: רשימת לקוחות ב-CRM, גיליון לידים, מערכת דיוור, תיקי מועמדים בגיוס, הקלטות שיחות, צילומי מצלמות. כל אחד מהם מאגר.

2. לאיזו רמת אבטחה אתם כפופים. תקנות אבטחת מידע מדרגות את החובות לארבע רמות — מאגר המנוהל בידי יחיד, ורמות אבטחה בסיסית, בינונית וגבוהה — לפי סוג המידע, היקפו ומספר בעלי ההרשאה. זו הבדיקה הראשונה שכל עסק צריך לעשות, שכן היא קובעת את כל היתר.

3. יידוע בעת האיסוף. סעיף 11 לחוק מחייב, כשפונים לאדם לקבלת מידע, ליידע אותו אם חלה עליו חובה חוקית למסור אותו, מה מטרת האיסוף, ולמי יימסר המידע. בפועל זה מתורגם למשפט אחד ליד כל טופס — הפירוט בהאם כל אתר חייב מדיניות פרטיות?

4. מטרת השימוש. מידע שנאסף למטרה אחת אינו חופשי לשימוש למטרה אחרת. רשימת לידים שנאספה לצורך הצעת מחיר אינה רשימת דיוור שיווקית.

5. זכויות נושא המידע. אדם רשאי לעיין במידע שעליו ולבקש את תיקונו. עסק צריך תהליך שיודע לטפל בפנייה כזו בזמן סביר — לא אלתור.

6. מעבדי מידע חיצוניים. ספק ה-CRM, חברת הדיוור, מוקד השירות, מפתח האתר — כולם נוגעים במידע שלכם. ההתקשרות איתם צריכה להסדיר בכתב מה מותר להם לעשות בו, ומה קורה בסיום ההתקשרות.

7. אירוע אבטחה. נוהל כתוב לתגובה, כולל מי מחליט ומי מדווח. אירוע אבטחה חמור מחייב דיווח לרשות בהתאם לתקנות.

שלוש טעויות שחוזרות אצל עסקים

״אנחנו קטנים, זה לא רלוונטי לנו.״ חובות היסוד — יידוע, הגבלת מטרה, זכות עיון ואבטחת מידע — אינן תלויות בגודל. מה שתלוי בהיקף הוא רמת האבטחה הנדרשת וחובת מינוי הממונה, לא עצם התחולה.

״יש לנו מדיניות פרטיות באתר, אז אנחנו מסודרים.״ מדיניות פרטיות היא מסמך יידוע, לא תוכנית ציות. היא אינה מחליפה מיפוי מאגרים, הגדרת רמת אבטחה, נהלים והסדרה מול ספקים. גרוע מכך — מדיניות שמצהירה על מנגנונים שאינם קיימים בפועל היא בעצמה מצג שגוי.

״הספק אחראי.״ ההתקשרות עם ספק אינה מעבירה אליו את האחריות כלפי נושאי המידע. היא מסדירה את היחסים ביניכם — ולכן חשוב שתהיה בכתב — אך מול הרשות ומול הלקוח, בעל המאגר נשאר בעל המאגר.

מה שכדאי לדעת על הסכומים

הסכומים מדורגים — בתוספת לחוק, לפי סוג ההפרה ולפי רמת האבטחה החלה על המאגר, ובחלק מהמצבים גם לפי היקף הפעילות של המפר. המשמעות היא שאין מספר אחד, ושסכום שנקרא במאמר על עסק אחד אינו רלוונטי לעסק אחר.

מה שכן ניתן לומר בביטחון — שיעור העיצום מושפע מהתנהלות הארגון: האם ההפרה ראשונה, האם ההפרה תוקנה, והאם הארגון קיים חובות מבניות כמו מינוי ממונה. במילים אחרות, ההיערכות עצמה היא רכיב בהפחתה, לא רק בהימנעות.

איך לאמת סכום קונקרטי — מול נוסח החוק העדכני והתוספת שבו, ומול פרסומי הרשות להגנת הפרטיות. זהו בדיוק סוג הנתון שאין להסתמך עליו ממאמר, כולל זה.

מתי כדאי לערב עורך דין

כשאתם לא יודעים לאיזו רמת אבטחה אתם כפופים — זו שאלת הסף שממנה נגזרות כל יתר החובות, ורוב העסקים טועים בה לכיוון המקל. כשעולה שאלת חובת מינוי ממונה — טעות כאן היא הפרה מבנית ונמשכת, לא נקודתית. כשמתרחש אירוע אבטחה — שם המועדים קצרים וההחלטות הראשונות קובעות את החשיפה. ובעת התקשרות עם ספק שנוגע במידע לקוחות — שם ההסדרה זולה, ובדיעבד היא כבר לא.

לסקירת התחום — משפט מסחרי.