תיקון 13 לחוק הגנת הפרטיות: מה זה אומר לאתר ולעסק

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף באוגוסט 2025, והוא אחד השינויים המשמעותיים ביותר בחוק מאז שנחקק. אם העסק שלכם אוסף פרטים דרך טופס באתר, מנהל לקוחות ב-CRM, מפעיל חנות אינטרנטית או שומר רשימת תפוצה, התיקון רלוונטי גם אליכם. בקצרה: ההגדרות הורחבו, חובת היידוע כשאוספים מידע מפורטת יותר, חובת רישום המאגרים צומצמה לסוגים מסוימים של מאגרים, ולרשות להגנת הפרטיות יש היום סמכויות אכיפה ועיצומים כספיים משמעותיים. במאמר נסביר מה השתנה ונתרגם את זה לצעדים מעשיים לאתר ולמערכות.

המאמר הוא הסבר כללי ואינו ייעוץ משפטי. כדי לדעת מה חל על העסק שלכם, כדאי להתייעץ עם עורך דין שמתמחה בפרטיות.

מה זה תיקון 13 לחוק הגנת הפרטיות וממתי הוא בתוקף

חוק הגנת הפרטיות הישראלי נחקק ב-1981, הרבה לפני אתרים, אפליקציות ומערכות ענן. תיקון 13 אושר בכנסת באוגוסט 2024 ונכנס לתוקף כעבור שנה, באוגוסט 2025. המטרה הייתה לעדכן את החוק למציאות שבה כמעט כל עסק מחזיק מידע אישי במערכות דיגיטליות, ולתת לרשות להגנת הפרטיות כלים לאכוף אותו.

הכיוונים המרכזיים של התיקון:

• עדכון והרחבה של ההגדרות, כולל מה נחשב מידע אישי ומידע רגיש.
• צמצום חובת רישום מאגרי מידע לסוגים מסוימים של מאגרים.
• חובה למנות ממונה הגנת פרטיות בגופים מסוימים.
• הרחבה משמעותית של סמכויות הפיקוח והאכיפה של הרשות, כולל עיצומים כספיים.

התיקון לא חל רק על חברות גדולות. עסק קטן עם רשימת לקוחות במערכת ממוחשבת מחזיק בדרך כלל מאגר מידע, וחלק מהחובות חלות עליו.

מה נחשב מידע אישי ומידע בעל רגישות מיוחדת

מידע אישי הוא כל מידע שקשור לאדם מזוהה, או לאדם שאפשר לזהות באמצעים סבירים. זה כולל את המובן מאליו, כמו שם, טלפון, מייל ותעודת זהות, אבל גם היסטוריית רכישות, הערות שנציג כתב בכרטיס לקוח, או מזהים שמאפשרים לקשר פעילות לאדם מסוים.

מידע בעל רגישות מיוחדת הוא המונח החדש שמחליף את "מידע רגיש" בנוסח הקודם. הוא כולל, בין השאר, מידע על בריאות, מידע גנטי, מזהים ביומטריים כמו טביעת אצבע או זיהוי פנים, עבר פלילי, מוצא, אמונות ודעות, וצנעת חייו האישיים של אדם. על מידע כזה חלות דרישות מחמירות יותר.

כמה דוגמאות מעסקים רגילים:

• קליניקה או מכון כושר שאוספים הצהרת בריאות.
• אפליקציה שמשתמשת בזיהוי פנים או בטביעת אצבע.
• מערכת משאבי אנוש שמחזיקה מידע על עובדים.
• טופס באתר שמבקש לתאר "את הבעיה הרפואית שלכם".

התיקון גם מבחין בין "בעל שליטה במאגר", הגוף שקובע למה המידע נאסף ואיך משתמשים בו, ובדרך כלל זה העסק עצמו, לבין "מחזיק", ספק שמחזיק או מעבד את המידע עבורו, כמו חברת אחסון או מערכת CRM בענן. האחריות העיקרית נשארת אצל העסק, גם כשהמידע יושב אצל ספק.

חובת יידוע: מה כותבים כשאוספים פרטים

כשמבקשים מאדם פרטים, צריך ליידע אותו על כמה דברים. לפי החוק כפי שתוקן, היידוע כולל בין השאר:

• מי אוסף את המידע ואיך אפשר ליצור קשר.
• לאיזו מטרה ישמש המידע.
• האם יש חובה חוקית למסור אותו, או שזה תלוי ברצונו, ומה המשמעות של אי מסירה.
• למי המידע עשוי להימסר, ולאיזו מטרה.
• הזכות לעיין במידע ולבקש לתקן אותו.

באתר, זה מתורגם בדרך כלל לשורה קצרה ליד הטופס וקישור למדיניות פרטיות מפורטת. לדוגמה, ליד טופס יצירת קשר:

הפרטים שתמסרו ישמשו אותנו כדי לחזור אליכם בנוגע לפנייה. מסירת הפרטים אינה חובה לפי חוק, אך בלעדיה לא נוכל לחזור אליכם. פרטים נוספים, כולל זכותכם לעיין במידע ולתקן אותו, במדיניות הפרטיות.

הסכמה לקבלת דיוור שיווקי היא עניין נפרד, שמוסדר גם בחוק הספאם. השתמשו בתיבת סימון נפרדת שאינה מסומנת מראש. על מה צריך להופיע במדיניות עצמה כתבנו במאמר מדיניות פרטיות ועוגיות לאתר.

רישום מאגרי מידע: מי עדיין חייב

לפני התיקון, עסקים רבים היו חייבים לרשום את מאגרי המידע שלהם אצל הרשם. תיקון 13 צמצם מאוד את החובה הזו. היום חובת הרישום חלה בעיקר על מאגרים של גופים ציבוריים, ועל מאגרים שמטרתם העיקרית היא איסוף מידע כדי למסור אותו לאחרים כעיסוק, כמו סוחרי מידע ושירותי דיוור ישיר, מעל סף מסוים של מספר אנשים. על בעלים של מאגרים גדולים שכוללים מידע בעל רגישות מיוחדת חלה, במקרים מסוימים, חובה למסור לרשות הודעה על המאגר.

לרוב העסקים הקטנים והבינוניים זה אומר שאין צורך לרשום מאגר. אבל חשוב להבין: פטור מרישום אינו פטור מהחוק. חובת היידוע, חובות אבטחת המידע, זכות העיון והאיסור להשתמש במידע למטרה אחרת ממה שנאסף, חלים גם על מאגר שאינו רשום.

ממונה הגנת פרטיות: למי זה רלוונטי

התיקון מחייב גופים מסוימים למנות ממונה הגנת פרטיות, אדם עם ידע מתאים שמלווה את הארגון בנושא ומדווח להנהלה. החובה חלה בעיקר על גופים ציבוריים, על סוחרי מידע מעל סף מסוים, ועל גופים שעיסוקם העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף משמעותי, או ניטור שיטתי של אנשים בהיקף משמעותי.

עסק קטן רגיל בדרך כלל לא חייב במינוי. מי שכדאי לו לבדוק את זה לעומק: חברות שהמוצר שלהן מבוסס על מעקב אחרי משתמשים, מוצרי בריאות, ומערכות SaaS שמעבדות מידע רגיש של הרבה לקוחות.

אבטחת מידע, אירועי אבטחה ואכיפה

התקנות להגנת הפרטיות בנושא אבטחת מידע, שבתוקף מאז 2018, ממשיכות לחול. הן מחלקות מאגרים לרמות אבטחה לפי סוג המידע, כמותו ומספר בעלי ההרשאה, וקובעות דרישות כמו נוהל אבטחה, ניהול הרשאות, תיעוד גישה, גיבויים ובמקרים מסוימים דיווח לרשות על אירוע אבטחה חמור.

מה שהשתנה בתיקון 13 הוא בעיקר האכיפה. לרשות להגנת הפרטיות יש היום סמכויות פיקוח וחקירה רחבות, והיא יכולה להטיל עיצומים כספיים, שבמאגרים גדולים עשויים להגיע לסכומים גבוהים. במילים אחרות, הפרה של חובות אבטחה או יידוע כבר אינה רק סיכון תיאורטי.

בפועל, הצעדים שמורידים את רוב הסיכון הם בסיסיים: הרשאות לפי תפקיד, אימות דו-שלבי, עדכונים, גיבויים ונוהל ברור למקרה של דליפה. פירטנו אותם במאמר אבטחת אתר לעסק.

צ'קליסט לאתר, לטפסים ולמערכות

עברו על הרשימה הזו עם מי שמנהל את האתר ואת המערכות שלכם:

1. מיפוי: איפה נאסף מידע אישי? טפסים, וואטסאפ, CRM, חנות, ניוזלטר, צ'טבוט, וגם קבצי אקסל במחשבים של עובדים.
2. מזעור: האם אתם באמת צריכים כל שדה שאתם אוספים? שדה שלא נאסף לא יכול לדלוף.
3. יידוע: שורת יידוע ליד כל טופס, וקישור למדיניות פרטיות שמתארת את מה שהאתר באמת עושה.
4. הסכמה לדיוור: תיבת סימון נפרדת, לא מסומנת מראש, ותיעוד של ההסכמה.
5. מידע רגיש: האם אתם אוספים מידע בעל רגישות מיוחדת? אם כן, זה המקום להתייעץ עם מומחה.
6. הרשאות: מי בצוות רואה מה, והאם עובדים שעזבו עדיין מחוברים למערכות.
7. אימות דו-שלבי בכל מערכת שמחזיקה פרטי לקוחות, כולל המייל.
8. הצפנה: HTTPS באתר, וחיבור מאובטח לכל מערכת.
9. ספקים: רשימה של כל הספקים שמחזיקים מידע עבורכם, ומה ההסכם איתם קובע לגבי אבטחה וסודיות.
10. שמירה ומחיקה: כמה זמן שומרים לידים שלא הפכו ללקוחות, ומי מוחק אותם.
11. גיבויים: האם יש גיבוי, והאם מישהו בדק שאפשר לשחזר ממנו.
12. אירוע אבטחה: מי מחליט, את מי מעדכנים ומתי.
13. בקשות עיון ותיקון: לאן פונה לקוח שרוצה לראות או לתקן את המידע עליו, ומי מטפל בזה.

כשבונים מערכת ניהול או CRM, הרבה מהסעיפים האלה נפתרים כבר בשלב התכנון: הרשאות לפי תפקיד, תיעוד גישה, מחיקה אוטומטית של מידע ישן והצפנה של שדות רגישים. אם אתם מתכננים מערכת חדשה, אפשר לקרוא עוד בעמוד מערכות ניהול או לדבר איתנו על איך לבנות אותה נכון מההתחלה.