דליפת מידע לקוחות ותביעה ייצוגית: העילה, המסלול והסעדים

עמוד השירות: עורך דין תביעות ייצוגיות וצרכניות.

דליפה של מאגר לקוחות היא אירוע שבו נפגעים רבים סובלים כל אחד נזק קטן וקשה לכימות — בדיוק המצב שבשבילו נוצר מכשיר התובענה הייצוגית. אבל המסלול אינו מובן מאליו: חוק הגנת הפרטיות, התשמ״א-1981 אינו כולל הוראה מפורשת המתירה תובענה ייצוגית, ולכן העילה נכנסת דרך פתח אחר. הנה המבנה המשפטי, סעיף אחרי סעיף.

נפגעתם מדליפת מידע: מה אפשר לדרוש?

בקצרה: לקוח שהמידע שלו דלף רשאי לעיין במידע האישי שהחברה מחזיקה עליו (סעיף 13 לחוק הגנת הפרטיות) ולבקש לתקן או למחוק מידע שאינו נכון, שלם, ברור או מעודכן (סעיף 14). בתביעה אישית בשל פגיעה בפרטיות (סעיף 4), בית המשפט רשאי לפסוק גם פיצוי ללא הוכחת נזק, עד התקרה שבסעיף 29א. בתובענה ייצוגית לפי פרט 1 לתוספת השנייה יש להוכיח נזק (סעיף 20(ה) לחוק תובענות ייצוגיות). את ההודעה שקיבלתם על הדליפה כדאי לשמור כפי שהיא.

שאלה על המקרה שלכם? כתבו בוואטסאפ · 050-431-3155

איך נכנסים לשער: סעיף 3 והתוספת השנייה

סעיף 3(א) לחוק תובענות ייצוגיות, התשס״ו-2006 קובע שלא תוגש תובענה ייצוגית אלא בתביעה המפורטת בתוספת השנייה, או בעניין שנקבע בהוראת חוק מפורשת כי ניתן להגיש בו תובענה ייצוגית. בחוק הגנת הפרטיות אין הוראה כזו. לכן דליפת מידע לקוחות נתבעת ברוב המקרים לפי פרט 1 לתוספת השנייה:

״עוסק״ מוגדר בחוק הגנת הצרכן כמי שמוכר נכס או נותן שירות דרך עיסוק, כולל יצרן. חברה שאספה פרטי לקוחות במהלך מכירה או מתן שירות היא עוסק, והמידע שנמסר לה הוא ״עניין שבינו לבין לקוח״. זו הסיבה שדליפה מאתר מסחרי, מרשת קמעונאית או מספק שירות נכנסת לפרט 1 — ואילו דליפה מגוף שאינו עוסק דורשת בסיס אחר.

העילה עצמה: מה בדיוק הופר

סעיף 2 לחוק הגנת הפרטיות מונה את המעשים המהווים פגיעה בפרטיות. בהקשר של דליפה רלוונטיים במיוחד פרט (9) — שימוש בידיעה על ענייניו הפרטיים של אדם או מסירתה לאחר, שלא למטרה שלשמה נמסרה; פרט (7) — הפרת חובת סודיות שנקבעה בדין; ופרט (8) — הפרת חובת סודיות שנקבעה בהסכם מפורש או משתמע, כגון מדיניות פרטיות שהחברה עצמה פרסמה. סעיף 4 קובע שפגיעה בפרטיות היא עוולה אזרחית שחלות עליה הוראות פקודת הנזיקין [נוסח חדש].

לצד זה עומד סעיף 17, שלפיו בעל שליטה במאגר מידע ומחזיק במאגר אחראים כל אחד לאבטחת המידע שבמאגר. זו חובה עצמאית, והפרתה היא הליבה הראייתית של תיק דליפה: לא עצם הפריצה, אלא הפער בין האמצעים שננקטו לבין אלה שנדרשו.

הסכומים: סעיף 29א, וההבחנה שמפספסים

סעיף 29א לחוק הגנת הפרטיות מאפשר בתביעה אזרחית לפי סעיף 4 פיצוי ללא הוכחת נזק עד סכום שהחוק נוקב בו ב-50,000 ₪, ועד כפל הסכום כשהוכח שהפגיעה נעשתה בכוונה לפגוע. כמו בחוק איסור לשון הרע, גם כאן הסכום צמוד: לפי סעיף 29א(ד) הוא מתעדכן ב-16 בכל חודש לפי מדד המחירים לצרכן, כשהמדד הבסיסי הוא מדד מאי 2007 — ולכן התקרה התקפה בעדכון 16.9.2026 היא 72,564.15 ₪, וכפל הסכום 145,128.31 ₪. אבל זהו סעד של תביעה אישית: סעיף 20(ה) לחוק תובענות ייצוגיות אוסר לפסוק בתובענה ייצוגית פיצויים לדוגמה או פיצויים בלא הוכחת נזק. בבקשת אישור בתיק דליפה יש לבסס נזק — ממוני או לא ממוני — ולא להישען על סעיף 29א.

כאן נדרשת הבחנה שנופלים בה שוב ושוב. תיקון 13 לחוק הוסיף את סעיף 15א, שמאפשר פיצויים לדוגמה עד 10,000 ₪ — אבל רק בגין רשימה סגורה של הפרות: אי-רישום מאגר החייב ברישום, אי-מסירת הודעה לפי סעיף 11 או 23ד, סירוב לאפשר עיון לפי סעיפים 13 ו-13א, אי-תיקון או אי-מחיקה של מידע ואי-הודעה על סירוב לתקנו, ואי-הודעה לראש הרשות על קבלת מידע דרך קבע לפי סעיף 23ד(ג). דליפת מידע כשלעצמה אינה ברשימה הזו. מי שבונה בקשת אישור על סעיף 15א בגין אירוע אבטחה — בונה על יסוד שאינו קיים.

חובת הדיווח: מה באמת כתוב, ומתי

חובת הדיווח על אירוע אבטחה אינה קבועה בחוק אלא בתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017. תקנה 11(ד) קובעת שבאירוע אבטחה חמור יודיע בעל המאגר לרשם (כיום — לראש הרשות להגנת הפרטיות) באופן מיידי, וידווח גם על הצעדים שנקט; ולרשם נתונה סמכות להורות לבעל המאגר, לאחר התייעצות עם ראש הרשות הלאומית להגנת הסייבר, להודיע על האירוע גם לנושא המידע שעלול להיפגע ממנו.

״אירוע אבטחה חמור״ מוגדר בתקנה 1 לפי רמת האבטחה החלה על המאגר: במאגר ברמת אבטחה גבוהה — אירוע שנעשה בו שימוש במידע מן המאגר בלא הרשאה או בחריגה ממנה, או שנפגעה שלמות המידע; במאגר ברמת אבטחה בינונית — אירוע כאמור לגבי חלק מהותי מן המאגר. שימו לב: אין בתקנות ״72 שעות״ — הדרישה היא הודעה מיידית. מאז תיקון 13, אי-הודעה כזו חשופה לעיצום כספי לפי סעיף 23כו(ח) ופרט 21 לתוספת השלישית לחוק: 80,000 ₪ במאגר ברמת אבטחה בינונית ו-320,000 ₪ במאגר ברמת אבטחה גבוהה (סכומי הבסיס; הם מתעדכנים ב-1 בינואר בכל שנה לפי סעיף 23לב(ב)), וכפל הסכום במאגר ברמה גבוהה שיש בו מידע על מיליון בני אדם ומעלה.

תיקון 13: מה השתנה מאוגוסט 2025

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025 ושינה את מאזן האכיפה. עיקרי הדברים הרלוונטיים לתיק דליפה: הוקם מסלול של עיצום כספי מינהלי — סעיף 23כו(א) מסמיך את ראש הרשות להטיל 150,000 ₪ בגין הפרות רישום והודעה, וכפל הסכום כשהמאגר כולל מידע אישי על מיליון בני אדם ומעלה; נוספה חובת מינוי ממונה על הגנת הפרטיות בגופים מסוימים (סעיפים 17ב1–17ב3); והורחבו סמכויות הפיקוח והבירור המינהלי.

למה זה משנה לתובע ייצוגי: הליך מינהלי שהתנהל מול הרשות מייצר תיעוד ומסקנות שניתן להסתמך עליהם בבקשת האישור. ולמה זה משנה לנתבע: אותו תיעוד עצמו עשוי לשמש נגדו, ולכן ניהול האירוע מול הרשות ומול הלקוחות הוא החלטה משפטית — לא רק טכנית. לעסק שקיבל בקשה לאישור: הגנה בבקשה לאישור תובענה ייצוגית.

את מי תובעים: בעל השליטה, המחזיק והספק

סעיף 17(א) מטיל את האחריות לאבטחת המידע על שניים במקביל: בעל השליטה במאגר והמחזיק בו. בפועל, מאגר לקוחות של חברה ישראלית יושב לא פעם אצל ספק חיצוני — ספק ענן, בית תוכנה או מרכז שירות — והדליפה מתרחשת אצלו. הדבר אינו מעביר את האחריות: מבחינת הלקוח, החברה שאליה מסר את פרטיו נותרת בעלת השליטה.

תקנה 15 לתקנות אבטחת המידע מסדירה את יחסי מיקור החוץ ומחייבת הסדרה בכתב של היקף השימוש במידע, מערכות הגישה ואופן הפיקוח. מסמך מיקור החוץ הוא אחד המסמכים הראשונים שנדרשים בהליך — ולעיתים הוא זה שקובע אם הנתבע הנכון הוא החברה, הספק, או שניהם כמעוולים במשותף לפי פקודת הנזיקין [נוסח חדש]. בבקשת אישור כדאי לברר את שרשרת ההחזקה לפני הגשה, ולא לגלות אותה בתשובה.

מבחני האישור: היכן תיקים נופלים

סעיף 8(א) לחוק תובענות ייצוגיות מציב ארבעה תנאים מצטברים: שהתובענה מעוררת שאלות מהותיות של עובדה או משפט המשותפות לכלל חברי הקבוצה ויש אפשרות סבירה שיוכרעו לטובתה; שתובענה ייצוגית היא הדרך היעילה וההוגנת להכרעה; שקיים יסוד סביר להניח שעניינם של חברי הקבוצה ייוצג וינוהל בדרך הולמת; ושייוצג וינוהל בתום לב.

בתיקי דליפה השאלה המשותפת בדרך כלל קיימת — האמצעים שנקט הנתבע היו זהים כלפי כל הלקוחות. הקושי הוא בנזק. לעניין המבקש עצמו סעיף 4(ב)(1) מקל: די שיראה כי לכאורה נגרם לו נזק. אך ברמת הקבוצה נדרש להראות מדוע החשיפה גרמה נזק בר-פיצוי, ולא רק אי-נוחות. תיקים שנבנים על פירוט מדויק של סוג המידע שדלף — מספרי זהות, אמצעי תשלום, מידע רפואי — ועל שימוש בפועל שנעשה בו, עומדים טוב יותר מתיקים שמסתפקים בעצם האירוע.

הסעדים: סעיף 20, וקרן הכספים

סעיף 20 קובע כיצד נפסק הסעד. בית המשפט רשאי להורות על תשלום לכל חבר קבוצה שהוכיח זכאות; לחייב כל חבר להוכיח את זכאותו; או לפסוק פיצוי כספי בסכום כולל ולקבוע את אופן חלוקתו — ובלבד שהסכום ניתן לחישוב מדויק על יסוד הראיות. יתרה שלא חולקה מועברת לקרן שהוקמה לפי סעיף 27א, ובית המשפט מייעד אותה לתחום הקרוב לנושא התובענה.

סעיף 20(ג) נותן מוצא כשתשלום פרטני אינו מעשי — למשל כשלא ניתן לזהות את הנפגעים בעלות סבירה: בית המשפט רשאי להורות על סעד אחר לטובת הקבוצה או לטובת הציבור. בתיקי דליפה זה לעיתים הסעד הממשי: שינוי מדיניות, מחיקת מידע עודף, ומימון הגנה מפני גניבת זהות.

ולעניין הזמן — סעיף 26 קובע הסדר התיישנות ייחודי: אושרה התובענה, רואים את כל חברי הקבוצה כאילו הגישו תביעה במועד הגשת הבקשה לאישור; ונדחתה הבקשה או נמחקה, לא תסתיים תקופת ההתיישנות של תביעת חבר קבוצה לפני שחלפה שנה מהיום שההחלטה הפכה חלוטה.

לעסק שחווה אירוע: שלוש שעות ראשונות

• עצירה ותיעוד — ניתוק הווקטור, שימור לוגים, ותיעוד מסודר של האירוע כנדרש בתקנה 11(א), שמחייבת תיעוד של כל אירוע אבטחה.
• סיווג — האם זהו ״אירוע אבטחה חמור״ לפי רמת האבטחה החלה על המאגר. הסיווג הוא שקובע אם קמה חובת הודעה מיידית לרשם.
• החלטה על הודעה ללקוחות — הרשם מוסמך להורות על כך, אך לעיתים ההודעה היזומה היא ההחלטה הנכונה גם לפני הוראה, הן מטעמי אמון והן כדי להקטין את הנזק ללקוחות.
• בדיקת נהלים — נוהל האבטחה לפי תקנה 4, סקר הסיכונים לפי תקנה 5, והסדרי מיקור החוץ לפי תקנה 15. אלה שלושת המסמכים שייבחנו ראשונים.

שאלות נפוצות

אפשר להגיש תביעה ייצוגית על דליפת מידע לקוחות?

כן, אך לא ישירות מכוח חוק הגנת הפרטיות. סעיף 3(א) לחוק תובענות ייצוגיות, התשס״ו-2006 מתיר הגשה רק בתביעה המפורטת בתוספת השנייה או בעניין שנקבע בהוראת חוק מפורשת, ובחוק הגנת הפרטיות אין הוראה כזו. לכן דליפה ממאגר לקוחות נתבעת לפי פרט 1 לתוספת השנייה: תביעה נגד עוסק, כהגדרתו בחוק הגנת הצרכן, בקשר לעניין שבינו לבין לקוח. העילה המהותית היא פגיעה בפרטיות לפי סעיף 2 לחוק הגנת הפרטיות — ובעיקר פרט (9), שימוש בידיעה על ענייניו הפרטיים של אדם או מסירתה לאחר שלא למטרה שלשמה נמסרה — יחד עם הפרת חובת אבטחת המידע שבסעיף 17.

כמה פיצוי אפשר לקבל על דליפת מידע?

סעיף 29א לחוק הגנת הפרטיות מאפשר בתביעה אזרחית פיצוי ללא הוכחת נזק עד סכום שהחוק נוקב בו ב-50,000 שקלים חדשים, ועד כפל הסכום כשהוכח שהפגיעה בפרטיות נעשתה בכוונה לפגוע. לפי סעיף 29א(ד) הסכומים מתעדכנים ב-16 בכל חודש לפי מדד המחירים לצרכן, כשהמדד הבסיסי הוא מדד מאי 2007, ולכן התקרה התקפה בעדכון 16.9.2026 היא 72,564.15 שקלים חדשים, וכפל הסכום 145,128.31 שקלים חדשים. בתובענה ייצוגית פיצוי בלא הוכחת נזק אינו נפסק (סעיף 20(ה) לחוק תובענות ייצוגיות), ולכן יש להוכיח נזק; אופן פסיקת הסעד וחלוקתו נקבע לפי סעיף 20, וכאשר תשלום פרטני אינו מעשי רשאי בית המשפט להורות על סעד לטובת הקבוצה או הציבור.

תוך כמה זמן חייבים לדווח על דליפת מידע?

חובת הדיווח קבועה בתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 ולא בחוק עצמו. תקנה 11(ד) קובעת שבאירוע אבטחה חמור יודיע בעל המאגר לרשם (כיום — לראש הרשות להגנת הפרטיות) באופן מיידי וידווח על הצעדים שנקט, ושהרשם רשאי להורות לו, לאחר התייעצות עם ראש הרשות הלאומית להגנת הסייבר, להודיע על האירוע גם לנושא המידע שעלול להיפגע. ״אירוע אבטחה חמור״ מוגדר בתקנה 1 לפי רמת האבטחה: במאגר ברמה גבוהה — כל שימוש במידע בלא הרשאה או פגיעה בשלמותו; במאגר ברמה בינונית — כאשר מדובר בחלק מהותי מן המאגר. אין בתקנות מועד של 72 שעות.

מה השתנה בתיקון 13 לחוק הגנת הפרטיות?

תיקון 13 נכנס לתוקף ב-14 באוגוסט 2025. הוא הקים מסלול אכיפה מינהלי: סעיף 23כו(א) מסמיך את ראש הרשות להגנת הפרטיות להטיל עיצום כספי של 150,000 שקלים חדשים בגין הפרות רישום והודעה, וכפל הסכום כשהמאגר כולל מידע אישי על מיליון בני אדם ומעלה; סעיף 23כו(ח) והתוספת השלישית קובעים עיצומים גם על הפרת תקנות אבטחת המידע, ובהן אי-דיווח על אירוע אבטחה חמור. התיקון הוסיף חובת מינוי ממונה על הגנת הפרטיות בגופים מסוימים לפי סעיפים 17ב1 עד 17ב3, הרחיב את סמכויות הפיקוח והבירור המינהלי, והוסיף בסעיף 15א פיצויים לדוגמה עד 10,000 שקלים חדשים בגין רשימה סגורה של הפרות — שאינה כוללת אירוע אבטחה כשלעצמו.

האם הרשות להגנת הפרטיות באמת מטילה עיצום על איחור בדיווח?

כן. לפי הודעת הרשות להגנת הפרטיות מיום 21.7.2026, כפי שנבדקה ביום 22.9.2026, הוטל עיצום כספי בסך 256,000 ₪ על קופת חולים ״מאוחדת״ בגין אי-קיום חובת הדיווח המיידי על אירוע אבטחה חמור לפי תקנה 11(ד) לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 — העיצום הראשון מסוגו מאז כניסתו לתוקף של תיקון 13. לפי אותה הודעה הקופה ידעה על האירוע כבר בנובמבר 2025 ודיווחה עליו לרשות רק ביום 27.1.2026. הרשות עמדה על כך שחובת הדיווח קמה עם היוודע האירוע, ושהמתנה להשלמת הבדיקות מרוקנת את דרישת המיידיות מתוכן.