פורסם 5 ביולי 2026
תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף באוגוסט 2025, והוא משנה שלושה דברים מרכזיים עבור עסקים: רוב מאגרי המידע אינם חייבים יותר ברישום אבל כולם חייבים בניהול אחראי ומתועד, חלק מהגופים מחויבים למנות ממונה הגנת פרטיות, והרשות להגנת הפרטיות קיבלה סמכות להטיל עיצומים כספיים בעצמה, בסכומים שיכולים להגיע למיליוני שקלים. מי שמחזיק מידע על לקוחות, עובדים או מתעניינים נדרש להיערכות מעשית, לא להצהרה כללית באתר.
מה השתנה בתיקון 13 לחוק הגנת הפרטיות
עד התיקון, החוק התבסס במידה רבה על רישום מאגרים אצל רשם מאגרי המידע. בפועל רבים מהעסקים כלל לא רשמו, ולרשות לא היו כלים אפקטיביים לאכוף. התיקון הופך את הסדר: פחות בירוקרטיה של רישום, יותר אחריות שוטפת על מי שמנהל את המידע, ואכיפה מנהלית מהירה.
כדאי לקרוא גם: מערכת ניהול מלאי לעסק קטן: איך בוחרים, מה זה עולה ומה חובה · תקן PCI DSS לעסקים: מה חובה, איך מתחילים וכמה זה עולה · תקן CE ליבוא וייצוא מוצרים: מה חובה לדעת
בין השינויים המרכזיים: הגדרות מעודכנות של "מידע אישי" ושל "מידע בעל רגישות מיוחדת", הבחנה ברורה בין בעל המאגר לבין מי שמחזיק ומעבד את המידע מטעמו, חובת יידוע מורחבת בעת איסוף מידע (למה הוא נאסף, למי הוא יימסר, ומה מקור החובה למסור אותו), וסמכויות פיקוח וחקירה רחבות יותר לרשות להגנת הפרטיות.
סיווג מאגרי מידע: מי עוד חייב ברישום
חובת הרישום בוטלה עבור הרוב המכריע של המאגרים, ונשארה בעינה עבור קבוצות מוגדרות. באופן כללי מדובר בגופים ציבוריים, במי שעיסוקו העיקרי הוא איסוף מידע אישי כדי למסור אותו לאחרים כדרך עיסוק (מתווכי דאטה, לשכות מידע עסקי), ובמאגרים גדולים במיוחד שמכילים מידע בעל רגישות מיוחדת. גם מי שפטור מרישום נדרש לנהל מסמך מסודר שמתאר את המאגר, את מטרותיו ואת אמצעי האבטחה.
"מידע בעל רגישות מיוחדת" הוא המושג שמכריע את רמת החובות. הוא כולל, בין השאר, מידע רפואי ונפשי, מידע גנטי וביומטרי, נתונים על חיי אישות, מידע פלילי, מידע פיננסי ונתוני מיקום, דעות פוליטיות, אמונה ומקור אתני. קליניקה קטנה עם 2,000 מטופלים חשופה יותר מחנות עם 20,000 לקוחות שמחזיקה רק שם וטלפון.
ממונה הגנת פרטיות: מי חייב, ומה התפקיד
חובת מינוי ממונה הגנת פרטיות אינה חלה על כל עסק. היא חלה, בין השאר, על גופים ציבוריים, על בנקים, מבטחים וגופים בתחום דירוג ונתוני אשראי, על מי שעיסוקו מסירת מידע לאחרים, ועל מי שמנהל מאגר עם מידע בעל רגישות מיוחדת על מספר גדול של אנשים (רף שמדובר בו בסדר גודל של 100,000 ומעלה).
הממונה נדרש לכשירות מקצועית, לעצמאות ולדיווח ישירות לדרג ההנהלה, בלי ניגוד עניינים מול תפקידים אחרים בארגון. אפשר למנות ממונה במשרה חלקית או במיקור חוץ, וזו הדרך שרוב הגופים הבינוניים בוחרים. חשוב לא לבלבל בין ממונה הגנת פרטיות לבין ממונה אבטחת מידע: הראשון אחראי על חוקיות השימוש במידע, השני על ההגנה הטכנולוגית עליו.
עיצומים כספיים: הכלי שהפך את החוק לאפקטיבי
זה החלק שמייצר את תשומת הלב. הרשות להגנת הפרטיות יכולה להטיל עיצום כספי בהליך מנהלי, בלי הכרעה של בית משפט מראש. גובה העיצום נגזר מסוג ההפרה, ממספר האנשים שהמידע עליהם נכלל במאגר וממכפילים שקבועים בחוק, למשל בהפרה נמשכת, בהפרה חוזרת או כשמדובר בתאגיד גדול. הסכומים צמודים ומתעדכנים, ולכן נכון להתייחס אליהם כטווחים.
בפועל, הפרות טכניות בעסק קטן נמצאות בטווח של אלפי עד עשרות אלפי שקלים, הפרות משמעותיות של אבטחת מידע או שימוש במידע בניגוד למטרה שלשמה נאסף עולות לעשרות ומאות אלפים, ובמאגרים גדולים עם מידע רגיש, כשההפרה נמשכת בזמן, החשיפה המצטברת יכולה להגיע למיליוני שקלים. לכך מתווספת חשיפה לתביעות אזרחיות ולתביעות ייצוגיות.
טבלת היערכות: סוג העסק מול החובות
| סוג העסק או המאגר | רישום או הודעה לרשות | ממונה הגנת פרטיות | עיקר ההיערכות | חשיפה משוערת לעיצום |
|---|---|---|---|---|
| עסק קטן, עד אלפי לקוחות, מידע בסיסי (שם, טלפון, דוא"ל) | בדרך כלל לא | לא חובה | מסמך הגדרות מאגר, הרשאות, גיבוי, הודעת פרטיות מעודכנת | אלפים עד עשרות אלפי ש"ח |
| קליניקה, מרפאה, מכון כושר, יועץ עם מידע בריאותי | בדרך כלל לא | לא חובה ברוב המקרים | אבטחה מוגברת, הסכמה מדעת, נוהל מחיקה, תיעוד גישה | עשרות אלפי ש"ח ומעלה |
| חנות מקוונת עם נתוני תשלום ונתוני התנהגות | בדרך כלל לא | לא חובה | מיפוי צדדים שלישיים, הסכמי עיבוד, הצפנה, נוהל אירוע | עשרות עד מאות אלפי ש"ח |
| חברת שירותים עם מאגר גדול (מעל 100 אלף) ומידע רגישות מיוחדת | בדרך כלל כן | חובה | ממונה, סקר סיכונים, בדיקות חדירה, מסמך אבטחה מלא | מאות אלפים עד מיליוני ש"ח |
| עסק שעיסוקו מסירת מידע לאחרים (דאטה, לידים, מועדוני לקוחות) | כן | חובה | הוכחת מקור המידע, תיעוד הסכמות, בקרת קבלנים | מאות אלפים עד מיליוני ש"ח |
| גוף ציבורי, בנק, מבטח, גוף דירוג אשראי | כן | חובה | מערך ציות מלא, דיווח להנהלה, ביקורות תקופתיות | הגבוה ביותר |
| ספק או קבלן שמעבד מידע עבור לקוחותיו | תלוי באופי הפעילות | תלוי בהיקף ובסוג המידע | הסכם עיבוד מידע, הפרדת סביבות, מחיקה בסיום התקשרות | בינונית עד גבוהה |
הטווחים בטבלה הם הערכות לצורך תעדוף בלבד. סיווג מחייב בדיקה של המאגר הספציפי.
חמישה צעדים מעשיים להיערכות
- מיפוי המידע: איזה מידע נאסף, מאיפה, איפה הוא יושב ומי נוגע בו. בפועל זה כולל CRM, גיליונות אקסל, קופה, טפסים באתר וגם מערכת ניהול המלאי וההזמנות, שמחזיקה לעיתים פרטי לקוחות שאיש לא זכר שהם שם.
- סיווג רגישות: קביעה האם יש במאגר מידע בעל רגישות מיוחדת, וכמה אנשים הוא כולל. שני הנתונים האלה קובעים את כל שאר החובות.
- בסיס חוקי והסכמה: בדיקה שיש הסכמה או בסיס אחר לאיסוף, ושהודעת הפרטיות מסבירה למה המידע נאסף ולמי הוא נמסר.
- אבטחת מידע: הרשאות לפי תפקיד, אימות דו שלבי, גיבוי מנותק ונוהל תגובה לאירוע. הבסיס מפורט במדריך אבטחת סייבר לעסק קטן: 12 צעדים שאפשר ליישם בלי איש IT, וזה גם הצעד שמצמצם הכי הרבה חשיפה ביחס לעלות.
- תיעוד: מסמך אחד שמרכז את הכל. בהליך אכיפה, מי שיכול להראות תהליך מסודר נמצא בעמדה שונה לחלוטין ממי שמציג רק כוונות טובות.
שלוש טעויות שחוזרות אצל עסקים קטנים
- "ביטלו את הרישום, אז אין חובות": ביטול הרישום הוא הקלה בירוקרטית. חובות האבטחה, היידוע והשימוש למטרה שלשמה נאסף המידע נשארו, ואף התחדדו.
- העברת אחריות לספק: מי שמעביר מידע לספק חיצוני נשאר אחראי כלפי הלקוחות. בלי הסכם עיבוד מידע ובקרה בסיסית, דליפה אצל הספק היא בעיה של העסק.
- איסוף עודף: טפסים שדורשים תעודת זהות או תאריך לידה בלי צורך אמיתי יוצרים חשיפה מיותרת. צמצום שדות הוא הצעד הזול ביותר.
שאלות נפוצות
האם עסק קטן חייב למנות ממונה הגנת פרטיות?
ברוב המקרים לא. החובה חלה על קבוצות מוגדרות, בעיקר גופים ציבוריים, גופים פיננסיים, עוסקים במסירת מידע ומאגרים גדולים עם מידע רגיש. עסק קטן עדיין חייב בחובות האבטחה, היידוע והשימוש התקין במידע.
האם צריך עדיין לרשום מאגר מידע ברשות?
לרוב המאגרים לא נדרש רישום. עדיין נדרשת הודעה או רישום עבור מאגרים מסוימים, בעיקר של גופים ציבוריים, של מי שעיסוקו מסירת מידע לאחרים ושל מאגרים גדולים עם מידע בעל רגישות מיוחדת. במקרה של ספק, כדאי בדיקה פרטנית.
מי אחראי אם ספק חיצוני מדליף מידע של לקוחות?
האחריות אינה עוברת לספק באופן אוטומטי. בעל המאגר נדרש להסדיר את ההתקשרות בכתב, להגדיר מה הספק רשאי לעשות במידע, ולוודא מחיקה בסיום. הספק עצמו נושא בחובות משלו כמי שמחזיק את המידע.
מה טווח העלות של היערכות לתיקון 13?
בעסק קטן, היערכות סבירה נעה בטווח משוער של אלפי עד עשרות אלפי שקלים, כולל ייעוץ, נהלים ושיפורי אבטחה. בארגון בינוני עם מאגר רגיש, כולל ממונה במיקור חוץ וסקר סיכונים, הטווח גבוה יותר. העלויות משתנות לפי היקף המערכות.
מתי החוק חל בפועל?
התיקון אושר ב-2024 והוראותיו המרכזיות נכנסו לתוקף באוגוסט 2025. מי שטרם התחיל בהיערכות נמצא כבר בתוך התקופה שבה האכיפה אפשרית, ולכן כדאי להתחיל במיפוי ובסיווג ולא בפתרונות טכנולוגיים.
לסיכום
תיקון 13 הגנת הפרטיות לא מבקש מעסקים להפוך למשרדי ציות. הוא מבקש שתי יכולות: לדעת איזה מידע יש ואיפה הוא נמצא, ולהראות שנעשה משהו סביר כדי להגן עליו. מי שמסדיר את שני אלה, מתעד אותם ומעדכן פעם בשנה, נמצא במקום טוב גם מול הרשות וגם מול הלקוחות. מי שמחכה לאירוע הראשון כדי להתחיל, משלם על ההיערכות בתנאים גרועים בהרבה.
כותב טכנולוגיה ותעשייה
עידו רזניק כותב על טכנולוגיה מנקודת המבט של מי שצריך להשתמש בה, לא של מי שמוכר אותה. אחרי שנים בתפעול ובניהול פרויקטים בתעשייה, הוא עבר לכתיבה ומתמקד בחדשנות תעשייתית, אנרגיה, סייבר לעסקים קטנים וכלים דיגיטליים. מאמין שכל טכנולוגיה מסובכת אפשר להסביר בשלוש פסקאות.
