דלף מידע לקוחות מהחברה: מה החוק מחייב, ומה החשיפה בפועל

עמוד השירות: הגנה מפני בקשה לאישור תובענה ייצוגית.

אירוע דליפה מתחיל כשאלה טכנית ונגמר כשאלה משפטית. בשעות הראשונות ההנהלה מנסה להבין מה יצא, ובמקביל נוצרות שלוש חשיפות: מול הרשות להגנת הפרטיות, מול נושאי המידע שעלולים לתבוע, ומול הקבוצה שעשויה להפוך לתובענה ייצוגית. שלושתן נשענות על מסמכים שנוצרים — או שלא נוצרים — באותן שעות. זה מה שהדין דורש, בלשון ההוראות עצמן.

השעה הראשונה: מה תקנה 11 באמת דורשת

חובת הדיווח על אירוע אינה בחוק אלא בתקנות: תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017, שהותקנו מכוח סעיף 36 לחוק (תיקון 13 הוסיף לחוק גם את סעיף 17(ב), המסמיך במפורש להתקין תקנות בעניין אבטחת מידע). זה הנוסח:

שלוש מסקנות מעשיות. ראשית, ״באופן מיידי״ — לא 72 שעות. מי שמנהל את האירוע לפי לוח הזמנים האירופי מאחר. שנית, ההודעה לרשם היא שתי חובות ולא אחת: הודעה על האירוע, ודיווח על הצעדים שננקטו בעקבותיו — כלומר תיעוד הטיפול הוא חלק מהחובה עצמה. שלישית, ההודעה ללקוחות אינה אוטומטית: היא באה, אם באה, מכוח הוראת הרשם לפי פסקה (2), ולאחר התייעצות עם ראש הרשות הלאומית להגנת הסייבר. חברה רשאית כמובן להודיע ביוזמתה, ולעיתים יש לכך טעם מסחרי וראייתי — אך זו החלטה, לא חובה הקמה מעצם האירוע.

ומה המחיר של איחור: פרט (21) לתוספת השלישית לחוק קובע עיצום כספי על מי שלא הודיע לראש הרשות באופן מיידי על אירוע אבטחה חמור, או שלא דיווח על הצעדים שנקט — 80,000 ₪ במאגר שחלה עליו רמת אבטחה בינונית ו-320,000 ₪ ברמה הגבוהה, וכפל הסכום במאגר ברמה הגבוהה שיש בו מידע על 1,000,000 בני אדם ומעלה (סעיף 23כו(ח)). אלה סכומי הבסיס, המתעדכנים לפי המדד ב-1 בינואר בכל שנה (סעיף 23לב(ב)). הפרט מדבר על הודעה ״לראש הרשות״: תיקון 13 החליף בחוק את ״הרשם״ ב״ראש הרשות״ (סעיף 1(2) לחוק המתקן).

שאלה על המקרה שלכם? כתבו בוואטסאפ · 050-431-3155

מה נדרש עוד לפני האירוע — וזה מה שייבדק אחריו

סעיף 17(א) לחוק קובע שבעל השליטה במאגר והמחזיק בו, כל אחד מהם, אחראים לאבטחת המידע. האחריות אינה עוברת לספק. מכאן שלוש חובות שוטפות בתקנה 11, שכל אחת מהן הופכת לראיה ביום שאחרי:

• תיעוד כל אירוע אבטחה — כל מקרה שהתגלה בו אירוע המעלה חשש לפגיעה בשלמות המידע, לשימוש בו בלא הרשאה או לחריגה מהרשאה; ״ככל האפשר״ על בסיס רישום אוטומטי (תקנה 11(א)).
• נוהל התמודדות — נוהל האבטחה חייב לכלול הוראות להתמודדות עם אירועים לפי חומרתם ולפי רגישות המידע, לרבות ביטול הרשאות, צעדים מיידיים אחרים, ודיווח לבעל המאגר (תקנה 11(ב)).
• דיון תקופתי — במאגר שחלה עליו רמת אבטחה בינונית, דיון באירועי האבטחה אחת לשנה לפחות; ברמה הגבוהה — אחת לרבעון לפחות (תקנה 11(ג)).

שלוש אלה הן, בפועל, רשימת המסמכים שתתבקש ראשונה בבירור מינהלי או בהליך אזרחי. חברה שאין לה נוהל, לוג ופרוטוקול דיון — נכנסת לאירוע בלי הגנה.

תיקון מס׳ 13: מה השתנה מ-14.8.2025

חוק הגנת הפרטיות (תיקון מס׳ 13), התשפ״ד-2024 פורסם בספר החוקים 3287 ביום 14.8.2024, וסעיף 74(א) שבו קובע שתחילתו ״שנה מיום פרסומו״ — כלומר 14 באוגוסט 2025. אלה השינויים שנוגעים ישירות לעסק שמחזיק מאגר לקוחות:

חובת הרישום צומצמה

סעיף 8א(א)(1) מותיר חובת רישום בשני מקרים בלבד: מאגר שמטרתו העיקרית היא איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה — לרבות שירותי דיוור ישיר — ויש בו מידע על יותר מ-10,000 בני אדם; ומאגר שבעל השליטה בו הוא גוף ציבורי כהגדרתו בפסקה (1) להגדרה שבסעיף 23, אלא אם כן הוא כולל מידע על עובדי אותו גוף בלבד. רוב מאגרי הלקוחות העסקיים אינם חייבים עוד ברישום. לפי הוראת המעבר שבסעיף 76(א) לחוק המתקן, מאגר שהיה רשום ביום התחילה ממשיך להיות רשום גם אם אינו חייב עוד — אלא אם כן הודיע בעל השליטה לראש הרשות שחובת הרישום אינה מתקיימת לגביו, ואז יימחק מן המרשם.

חובת הודעה חדשה, בסף אחר

במקום הרישום נכנסת חובת הודעה: לפי סעיף 8א(ב)(1), מי שבמאגר שלו — שאינו חייב ברישום — יש מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם, יודיע לרשות בתוך 30 ימים על זהות בעל השליטה, מענו ודרכי ההתקשרות עמו, על זהות הממונה על הגנת הפרטיות ודרכי ההתקשרות עמו — אם נדרש מינויו — וימסור העתק ממסמך הגדרות המאגר. סעיף 8א(ב)(2) מוסיף חובת עדכון בתוך 30 ימים על כל שינוי בפרטים אלה ועל הפסקת פעילות המאגר.

ממונה על הגנת הפרטיות

סעיף 17ב1(א) מחייב במינוי ממונה על הגנת הפרטיות ארבע קבוצות: גוף ציבורי (למעט גוף ביטחוני); בעל מאגר שמטרתו העיקרית איסוף מידע למסירה לאחר כדרך עיסוק או בתמורה עם יותר מ-10,000 בני אדם; מי שעיסוקיו העיקריים כרוכים בעיבוד מידע המחייב ניטור שוטף ושיטתי של בני אדם בהיקף ניכר — ובכלל זה ספק סלולרי וספק שירות חיפוש מקוון; ומי שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר — ובכלל זה תאגיד בנקאי, מבטח, בית חולים כללי וקופת חולים. סעיף 17ב1(ב) מפרט את המבחנים ל״היקף ניכר״.

הממונה אינו תפקיד סמלי: סעיף 17ב2 מחייב את בעל השליטה לספק לו את התנאים והמשאבים לתפקידו ולוודא שהוא מעורב כראוי בכל נושא הנוגע לדיני הגנת הפרטיות, וקובע שידווח ישירות למנהל הכללי או לעובד הכפוף לו ישירות. סעיף 17ב3 דורש ידע מעמיק בדיני הגנת הפרטיות, הבנה בטכנולוגיה ובאבטחת מידע והיכרות עם פעילות הגוף; מתיר שהממונה לא יהיה עובד הגוף; ואוסר עליו למלא תפקיד נוסף או להיות כפוף לנושא משרה באופן שעלול להעמידו בחשש לניגוד עניינים.

העיצום הכספי: הסכומים שבחוק

פרק ד׳3 לחוק, שנוסף בתיקון מס׳ 13, מקים מערך אכיפה מינהלי. סעיף 23כו אינו קובע ״קנס על דליפה״ אלא סכומים שונים לפי סוג ההפרה. אלה הסכומים כלשון הסעיף, כלומר סכומי הבסיס. לפי סעיף 23לב(ב) הם מתעדכנים לפי מדד המחירים לצרכן ב-1 בינואר בכל שנה, החל ב-2026, וראש הרשות מפרסם את הסכומים המעודכנים ברשומות ובאתר הרשות להגנת הפרטיות (סעיף 23לב(ג)):

שימו לב למבנה: שתי שורות בטבלה מחושבות לפי מספר האנשים במאגר ולא בסכום קצוב. בארגון שמחזיק מידע על מאות אלפי לקוחות, עיצום של ״2 ₪ לאדם״ אינו סכום קטן — וזה, ולא סכום נקוב, הוא מה שהופך את אי-מינוי הממונה לסיכון כספי ממשי.

ההפחתות והתקרות — מה שמשנה את הסכום בפועל

התוספת החמישית לחוק קובעת מנגנון הפחתה שכדאי להכיר לפני שנשלחת תשובה לרשות:

• היעדר אכיפה קודמת — 20% אם בחמש השנים שקדמו להפרה לא הוטל עיצום או אמצעי אכיפה מינהלית בשל הפרת אותה הוראה, ו-10% אם כך בשלוש השנים שקדמו לה.
• הפסקה מיוזמת המפר ודיווח עצמי לראש הרשות — 30%. זו ההפחתה הגדולה ביותר ברשימה, והיא בדיוק מה שנקבע בשעות הראשונות.
• פעולות למניעת הישנות ולהקטנת הנזק, להנחת דעתו של ראש הרשות — 20%.
• מינוי ממונה על הגנת הפרטיות בידי מי שחב בכך לפי סעיף 17ב1(א)(3) ו-(4) בלבד, טרם מסירת ההודעה על כוונת חיוב — 10%.
• פיצוי ששולם או שנפסק לחובת המפר בשל אותן הפרות — עד 30%.
• הפחתה מצטברת מכל אלה לא תעלה על 70% מסכום העיצום.

ולצד ההפחתות — תקרות. ״עסק זעיר״ הוא מי שמחזור העסקאות שלו בשנה שקדמה להפרה לא עלה על 4 מיליון ₪, ו״עסק קטן״ — מי שמחזורו עלה על 4 מיליון ולא עלה על 10 מיליון ₪. לבקשת המפר מופחתים לגביו הסכומים כך שלא יעלו על 20,000 ₪ (זעיר) או 40,000 ₪ (קטן) בהפרות שלפי סעיף 23כו(א) ו-(ב); על 50,000 ₪ או 100,000 ₪ בהפרות שלפי סעיפים קטנים (ג) עד (ו); ועל 70,000 ₪ או 140,000 ₪ בהפרה שלפי סעיף קטן (ז). בנוסף, לפי סעיף 7 לתוספת החמישית — עלה סכום העיצום על 5% ממחזור העסקאות של המפר, יופחת לשיעור זה, לבקשתו ובצירוף אישור רואה חשבון או יועץ מס מייצג שיוגש בתוך 30 ימים ממסירת ההודעה על כוונת חיוב.

החשיפה האזרחית: סעיף 29א

סעיף 29א(ב)(1) מאפשר לבית המשפט לחייב נתבע בתביעה אזרחית לפי סעיף 4 לחוק בפיצוי בלא הוכחת נזק, ובפסקה (2) — בכפל הסכום כשהוכח שהפגיעה בפרטיות נעשתה בכוונה לפגוע. הסכום הנקוב בחוק הוא 50,000 ₪, אך סעיף 29א(ד) מצמיד אותו למדד המחירים לצרכן ומעדכן אותו ב-16 בכל חודש, כשהמדד הבסיסי הוא מדד מאי 2007. נכון לעדכון 16.9.2026 התקרה היא 72,564.15 ₪, וכפל הסכום 145,128.31 ₪. סעיף 29א(ג) מוסיף שלא ייפסק פיצוי בלא הוכחת נזק יותר מפעם אחת בשל אותה פגיעה בפרטיות.

בתובענה ייצוגית, לעומת זאת, בית המשפט לא יפסוק פיצויים בלא הוכחת נזק, אף שאין בכך כדי למנוע פיצוי בשל נזק שאינו נזק ממון (סעיף 20(ה) לחוק תובענות ייצוגיות); ולכן מכפלה של מספר חברי הקבוצה בתקרה המוצמדת אינה מדד לחשיפה בתובענה כזו. ראו על כך בהרחבה במסלול התביעה הייצוגית בדליפת מידע לקוחות.

החשיפה הייצוגית: השער, המבחנים והסעדים

נקודה שנוטים לפספס: חוק הגנת הפרטיות אינו כולל הוראה ייצוגית משלו, ואין בתוספת השנייה לחוק תובענות ייצוגיות פרט ייעודי לפגיעה בפרטיות. השער המקובל הוא פרט 1 — ״תביעה נגד עוסק, כהגדרתו בחוק הגנת הצרכן, בקשר לענין שבינו לבין לקוח, בין אם התקשרו בעסקה ובין אם לאו״. לכן השאלה הראשונה בכל בקשה כזו היא אם הנתבע הוא עוסק ואם המבקש הוא לקוח שלו — ולא רק אם המידע דלף.

אישור הבקשה מותנה בארבעת התנאים המצטברים שבסעיף 8(א) לחוק: שאלות מהותיות של עובדה או משפט המשותפות לכלל חברי הקבוצה, ואפשרות סבירה שיוכרעו לטובת הקבוצה; היות ההליך הייצוגי הדרך היעילה וההוגנת להכרעה; יסוד סביר להניח שעניינם של חברי הקבוצה ייוצג וינוהל בדרך הולמת; ויסוד סביר להניח שינוהל בתום לב. בתיקי דליפה, התנאי הראשון הוא שדה הקרב: הנזק — ובעיקר הוכחתו כשאלה משותפת לכלל הקבוצה ולא כשאלה פרטנית לכל נפגע.

ואם התובענה הוכרעה לטובת הקבוצה — סעיף 20 קובע את אופן הסעד. בית המשפט רשאי להורות על פיצוי לכל מי שהוכיח זכאות, על כך שכל חבר קבוצה יוכיח את זכאותו, או על פיצוי כספי בסכום כולל כשניתן לחשבו במדויק על יסוד הראיות. ולפי סעיף 20(ג)(1), כשפיצוי כספי לחברי הקבוצה אינו מעשי — בין משום שלא ניתן לזהותם ולשלם בעלות סבירה ובין מסיבה אחרת — רשאי בית המשפט להורות על כל סעד אחר לטובת הקבוצה או לטובת הציבור; סעד כספי לטובת הציבור מועבר לקרן שהוקמה לפי סעיף 27א.

ארבע טענות שחוזרות בנושא — ואינן נכונות

״יש 72 שעות לדווח.״ אין. 72 השעות הן כלל של ה-GDPR האירופי. הדין הישראלי דורש הודעה ״באופן מיידי״ לפי תקנה 11(ד)(1) — דרישה מחמירה יותר, לא מקלה.

״חייבים מייד להודיע לכל הלקוחות.״ לא. ההודעה לנושאי המידע ניתנת לפי הוראת הרשם, מכוח תקנה 11(ד)(2), ולאחר התייעצות עם ראש הרשות הלאומית להגנת הסייבר.

״הקנס על דליפת מידע הוא 500,000 ₪.״ אין בחוק סכום כזה ואין בו ״קנס על דליפה״. סעיף 23כו קובע סכומים שונים לפי סוג ההפרה — 15,000 ₪, 150,000 ₪, 300,000 ₪, סכומים לפי מספר האנשים במאגר, ומינימום של 30,000 ₪ או 200,000 ₪ בהפרות מסוימות — ועל הפרת תקנות האבטחה חלים הסכומים שבתוספת השלישית לפי רמת האבטחה.

״כל עסק עם מאגר לקוחות חייב ברישום.״ לא מאז 14.8.2025. סעיף 8א(א)(1) צמצם את חובת הרישום לשני מקרים בלבד, ומרבית מאגרי הלקוחות העסקיים אינם נכללים בהם. מה שכן נוסף הוא חובת ההודעה שבסעיף 8א(ב) בסף של 100,000 בני אדם במידע בעל רגישות מיוחדת.

סדר פעולות בשבוע הראשון

• לקבוע אם האירוע ״חמור״ — ההכרעה הזו קובעת אם נולדה חובת ההודעה המיידית, והיא מתועדת עם הנימוק והשעה.
• להקפיא את הראיות — לוגים, תצורות, גיבויים, תכתובת. תקנה 11(א) כבר מחייבת תיעוד; באירוע ההיקף גדל.
• להודיע לרשות ולתעד את הצעדים — שתי החובות שבתקנה 11(ד)(1), ובמקביל הבסיס להפחתה של 30% בשל הפסקה מיוזמת המפר ודיווח עצמי.
• לסגור את הפרצה ולהוכיח זאת — הפחתה נוספת של 20% מותנית בפעולות למניעת הישנות ולהקטנת הנזק להנחת דעתו של ראש הרשות.
• למפות את המאגר — כמה נושאי מידע, אילו סוגי מידע, האם יש ״מידע בעל רגישות מיוחדת״, ומהי רמת האבטחה החלה. אלה המשתנים שקובעים גם את סכום העיצום וגם את גודל הקבוצה הפוטנציאלית.
• לבדוק את שרשרת הספקים — סעיף 17(א) מטיל אחריות על בעל השליטה ועל המחזיק. חוזה מול ספק אינו מעביר את האחריות, אך מסדיר את ההשתתפות בנזק.
• לתאם מסרים — הודעה לציבור, ללקוחות עסקיים ולרגולטורים אחרים מנוסחת פעם אחת. ניסוח שנעשה לפני מיפוי העובדות הוא מקור שכיח לחשיפה נוספת.

שאלות נפוצות

תוך כמה זמן חייבת חברה לדווח על דליפת מידע?

תקנה 11(ד)(1) לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 קובעת שבאירוע אבטחה חמור יודיע בעל המאגר לרשם ״באופן מיידי״, וכן ידווח לרשם על הצעדים שנקט בעקבות האירוע. אין בדין הישראלי מועד קצוב של 72 שעות כמו ב-GDPR האירופי, והניסוח ״מיידי״ מחמיר ממנו ולא מקל. חובת הודעה נפרדת, בתוך 30 ימים, חלה לפי סעיף 8א(ב) לחוק הגנת הפרטיות על מי שמחזיק מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם במאגר שאינו חייב ברישום, אך זו הודעה על עצם קיום המאגר ולא על אירוע.

האם חייבים להודיע ללקוחות שהמידע שלהם דלף?

לא באופן אוטומטי. תקנה 11(ד)(2) מסמיכה את הרשם — ולא את החברה — להורות לבעל המאגר להודיע על אירוע האבטחה לנושא מידע שעלול להיפגע ממנו, וזאת לאחר שנועץ בראש הרשות הלאומית להגנת הסייבר. כלומר ההודעה ללקוחות אינה חובה עצמאית הקמה מעצם האירוע, אלא נגזרת מהוראת הרשם. לצד זאת, חברה רשאית להודיע ביוזמתה, ולעיתים יש לכך טעם מסחרי וראייתי; החלטה כזו נבחנת גם מול חובות גילוי אחרות שעשויות לחול עליה לפי דין אחר או לפי חוזה.

מה גובה העיצום הכספי שאפשר להטיל על חברה בגין הפרת חוק הגנת הפרטיות?

סעיף 23כו לחוק הגנת הפרטיות, התשמ״א-1981, כנוסחו בתיקון מס׳ 13, קובע סכומים שונים לפי סוג ההפרה: 150,000 ₪ על עיבוד מידע במאגר חייב ברישום בלי שנרשם ועל הפרות רישום והודעה נוספות, וכפל הסכום אם יש במאגר מידע אישי על מיליון בני אדם ומעלה; 15,000 ₪ על סירוב לאפשר עיון ועל הפרות דומות; 50 ₪ לכל אדם שאליו נעשתה פנייה בלא ההודעה שדורש סעיף 11, או 100 ₪ לאדם כשמדובר במידע בעל רגישות מיוחדת, ולא פחות מ-30,000 ₪; 2 ₪ לכל אדם שמידע עליו במאגר — או 4 ₪ במידע בעל רגישות מיוחדת — בהפרות ובהן אי-מינוי ממונה על אבטחת מידע או ממונה על הגנת הפרטיות; ולא פחות מ-200,000 ₪ בהפרות שבסעיף 23כו(ה), ובהן עיבוד מידע למטרה שאינה כדין. על הפרת תקנות אבטחת המידע חלים הסכומים שבתוספת השלישית, לפי רמת האבטחה שחלה על המאגר. אין בחוק סכום אחיד של 500,000 ₪ על דליפת מידע. אלה סכומי הבסיס שבחוק; לפי סעיף 23לב(ב) הם מתעדכנים ב-1 בינואר בכל שנה, החל ב-2026.

איך נתבעת חברה בתובענה ייצוגית בגין דליפת מידע?

חוק הגנת הפרטיות אינו כולל הוראה ייצוגית משלו, ואין בתוספת השנייה לחוק תובענות ייצוגיות, התשס״ו-2006 פרט ייעודי לפגיעה בפרטיות. לכן השער המקובל הוא פרט 1 לתוספת השנייה — תביעה נגד עוסק כהגדרתו בחוק הגנת הצרכן, בקשר לעניין שבינו לבין לקוח, בין אם התקשרו בעסקה ובין אם לאו. אישור הבקשה מותנה בארבעת התנאים שבסעיף 8(א): שאלות מהותיות משותפות לכלל חברי הקבוצה עם אפשרות סבירה שיוכרעו לטובתה, יעילות והגינות ההליך הייצוגי, ייצוג וניהול הולמים, וניהול בתום לב. אם התובענה מוכרעת לטובת הקבוצה, סעיף 20 קובע את אופן פסיקת הסעד, ולפי סעיף 20(ג) רשאי בית המשפט — כשפיצוי אישי אינו מעשי — להורות על סעד לטובת הקבוצה או לטובת הציבור, שיועבר לקרן שלפי סעיף 27א.

אילו מאגרי מידע חייבים ברישום אחרי תיקון 13?

סעיף 8א(א)(1) לחוק, כנוסחו בתיקון מס׳ 13, צמצם את חובת הרישום לשני מקרים: מאגר שמטרתו העיקרית היא איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה — לרבות שירותי דיוור ישיר — ויש בו מידע אישי על יותר מ-10,000 בני אדם; ומאגר שבעל השליטה בו הוא גוף ציבורי כהגדרתו בפסקה (1) להגדרה שבסעיף 23, אלא אם כן המאגר כולל מידע על עובדי אותו גוף בלבד. רוב מאגרי הלקוחות העסקיים אינם נכללים עוד בחובת הרישום. לפי הוראת המעבר שבסעיף 76(א) לחוק המתקן, מאגר שהיה רשום ביום התחילה ממשיך להיות רשום גם אם אינו חייב עוד ברישום, אלא אם כן הודיע בעל השליטה לראש הרשות שחובת הרישום אינה מתקיימת לגביו.

מה בפועל מפיל ארגון בהליך בירור מינהלי של הרשות להגנת הפרטיות?

מסמכים ונהלים, לא רק האירוע עצמו. לפי הודעת הרשות מיום 16.9.2026, שנבדקה ביום 22.9.2026, הוטל עיצום בסך 64,000 ₪ על עיריית בית שמש בגין הפרת תקנה 2(א)(7) לתקנות הגנת הפרטיות (אבטחת מידע) — ספק חיצוני שהיה בעל גישה מתמשכת למאגר לא צוין כמחזיק במסמך הגדרות המאגר — ובגין הפרת תקנה 15(א)(3), משום שנוהל אבטחת המידע לא הסדיר את ההתקשרות עם גורמים חיצוניים בעלי גישה. הטענה ל״פער מנהלי בתום לב״ בשל כניסת תיקון 13 לתוקף כשבוע לפני האירוע נדחתה, משום שעמדה לרשות הגופים שנת היערכות.