רגולציית פינטק בישראל: רישוי ופיקוח

עמוד השירות: עורך דין מסחר דיגיטלי ו-AI: תקנון, פרטיות ודיוור.

למה פינטק בישראל מתחיל מהרגולציה, לא מהמוצר

פינטק (Financial Technology) הוא שימוש בטכנולוגיה לאספקת שירותים פיננסיים — תשלומים, הלוואות, השקעות, ביטוח דיגיטלי וניהול נכסים. ישראל היא אחת ממרכזי הפינטק הגלובליים, עם מאות סטארטאפים שמשרתים לקוחות בארץ ובעולם. הצעדים המעשיים בנושא מרוכזים בעמוד ליווי משפטי למסחר דיגיטלי ובינה מלאכותית.

אבל בניגוד לתחומי טכנולוגיה אחרים — בפינטק, פעילות ללא רישיון היא עבירה פלילית. הפיקוח בישראל מפוצל בין שלוש רשויות לפחות, ולכל אחת תחום סמכות שונה. מי שבונה מוצר פיננסי בלי להבין את מפת הרגולציה — עלול להגיע לגיוס סיד עם בעיות שאי-אפשר לפתור בקלות.

שאלה על המקרה שלכם? כתבו בוואטסאפ · 050-431-3155

מי מפקח על מה — מפת הרשויות

הרגולציה בפינטק בישראל מחולקת לפי סוג השירות:

• בנק ישראל — המפקח על הבנקים מפקח על תאגידים בנקאיים, מכוח פקודת הבנקאות, 1941 וחוק הבנקאות (רישוי), התשמ״א-1981. חוק שירותי תשלום, התשע״ט-2019 מסדיר את היחסים בין נותני שירותי תשלום ללקוחותיהם, ואינו חוק רישוי.
• רשות ניירות ערך — מפקחת על מנהלי תיקים, יועצי השקעות ושוק ניירות הערך, מכוח חוק ניירות ערך, התשכ״ח-1968 וחוק הסדרת העיסוק בייעוץ השקעות, בשיווק השקעות ובניהול תיקי השקעות, התשנ״ה-1995; והיא גם נותנת רישיונות לחברות תשלומים ולנותני שירות ייזום תשלום (סעיף 2 לחוק הסדרת העיסוק בשירותי תשלום וייזום תשלום, התשפ״ג-2023) ולנותני שירות מידע פיננסי (סעיף 2 לחוק שירות מידע פיננסי, התשפ״ב-2021).
• רשות שוק ההון, ביטוח וחיסכון — מפקחת על מבטחים וסוכני ביטוח, קופות גמל וקרנות פנסיה — וכן, מכוח חוק הפיקוח על שירותים פיננסיים (שירותים פיננסיים מוסדרים), התשע״ו-2016, על נותני אשראי חוץ-בנקאי ונותני שירות בנכס פיננסי, ובכלל זה מטבע וירטואלי.
• הרשות לאיסור הלבנת הון ומימון טרור — ״הרשות המוסמכת״ לפי חוק איסור הלבנת הון, התש״ס-2000 (סעיף 29), שמקבלת את הדיווחים ומנהלת את מאגר המידע (סעיף 28). חובות הזיהוי (KYC), הדיווח ושמירת הרישומים חלות על הגופים הפיננסיים שנקבעו בחוק ובצווים שלפיו (סעיף 7).

חברה שפועלת בין תחומים — למשל גם תשלומים וגם השקעות — עשויה להזדקק לרישיונות ממספר רשויות במקביל.

איזה רישיון צריך — תלוי מה אתם מציעים

אין "רישיון פינטק" כללי. הרישיון שנדרש תלוי לחלוטין בסוג השירות — ואם מציעים כמה שירותים, יתכן שנדרשים כמה רישיונות במקביל:

• נותן שירותי תשלום (PSP): לפי חוק הסדרת העיסוק בשירותי תשלום וייזום תשלום, התשפ״ג-2023, מי שעוסק במתן שירותי תשלום — ניהול חשבון תשלום, הנפקת אמצעי תשלום, סליקה או ייזום תשלום — חייב ברישיון מרשות ניירות ערך (סעיף 2), אלא אם הוא פטור, למשל תאגיד בנקאי (סעיף 3). עיסוק בלי רישיון הוא עבירה (סעיף 55).
• מתן אשראי חוץ-בנקאי: מתן אשראי דרך עיסוק מחייב רישיון למתן אשראי מהמפקח על נותני שירותים פיננסיים ברשות שוק ההון (סעיף 12 לחוק הפיקוח על שירותים פיננסיים (שירותים פיננסיים מוסדרים), התשע״ו-2016), וחוזה הלוואה כפוף לתקרת ״העלות המרבית של האשראי״ שבחוק אשראי הוגן, התשנ״ג-1993 (סעיף 5).
• ניהול תיקי השקעות: רישיון מרשות ניירות ערך, עם דרישות הון עצמי ומבחני כשירות מנהלים.
• פלטפורמת גיוס המונים: הצעת ניירות ערך לציבור באמצעות אתר אינטרנט נעשית דרך ״רכז הצעה״ — חברה שנרשמה במרשם הרכזים שמנהל יושב ראש רשות ניירות ערך (סעיף 35לט לחוק ניירות ערך, התשכ״ח-1968; תקנות ניירות ערך (הצעת ניירות ערך באמצעות רכז הצעה), התשע״ז-2017).
• נכסים דיגיטליים (קריפטו): מתן שירות במטבע וירטואלי — החלפה (לרבות המרה, מכירה או העברה), ניהול או שמירה — הוא ״שירות בנכס פיננסי״ שמחייב רישיון מהמפקח על נותני שירותים פיננסיים ברשות שוק ההון (סעיפים 11א ו-12 לחוק הפיקוח על שירותים פיננסיים (שירותים פיננסיים מוסדרים)); נכס דיגיטלי שהוא נייר ערך כפוף גם לחוק ניירות ערך, ונותני שירות בנכס פיננסי כפופים לצו איסור הלבנת הון החל עליהם.

מה חייבת כל חברת פינטק — בלי קשר לרישיון

גם אחרי שקיבלתם את הרישיון הספציפי — יש רצפת ציות שחלה על כולם:

• KYC (הכר את לקוחך): זיהוי לקוחות ואימות זהות לפני פתיחת חשבון — חובה לפי חוק איסור הלבנת הון ותקנות הדיווח.
• AML (מניעת הלבנת הון): מערכת לניטור עסקאות חשודות ודיווח ליחידת מודיעין פיננסי (IMPA) במשרד המשפטים.
• אבטחת מידע: עמידה בתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017; מינוי ממונה על אבטחת מידע חובה לגופים המנויים בסעיף 17ב לחוק הגנת הפרטיות — ובהם בנק, חברת ביטוח, חברה העוסקת בדירוג או בהערכה של אשראי, ומי שמחזיק חמישה מאגרים החייבים ברישום או בהודעה.
• מידע פיננסי הוא מידע רגיש: מאז תיקון 13 לחוק הגנת הפרטיות (בתוקף מ-14.8.2025), מידע אישי על נתוני השכר של אדם ועל פעילותו הפיננסית הוא ״מידע בעל רגישות מיוחדת״ (סעיף 3). מאגר שאינו חייב ברישום ויש בו מידע כזה על יותר מ-100,000 בני אדם מחייב הודעה לרשות להגנת הפרטיות בתוך 30 ימים (סעיף 8א(ב)); וגוף שעיסוקו העיקרי כולל עיבוד מידע כזה בהיקף ניכר — ובהם תאגיד בנקאי ומבטח — חייב למנות ממונה על הגנת הפרטיות (סעיף 17ב1(א)(4)).
• הון עצמי מינימלי: כל רישיון מגדיר רף הון עצמי שיש לשמור לאורך כל הפעילות.
• דיווחים שוטפים: דוחות, הודעות ונתונים לרשות הרלוונטית, במועדים ובאופן שקבעה בהוראותיה (למשל סעיף 25(ב) לחוק הסדרת העיסוק בשירותי תשלום).
• ממשל תאגידי: הנהלה בכירה מוסמכת, כולל מנהל ציות ייעודי (Compliance Officer).

רישוי מדורג ופטורים — איך מתחילים בהיקף קטן

החוק עצמו מדרג את הדרישות: בחוק הפיקוח על שירותים פיננסיים מוסדרים יש ״רישיון בסיסי״ לפעילות בהיקף שאינו נרחב ו״רישיון מורחב״ מעליו — למשל צבר אשראי העולה על 25 מיליון שקלים (סעיף 11א), ובחוק הסדרת העיסוק בשירותי תשלום נקבע פטור מרישיון למי שנותן שירות תשלום בהיקף מצומצם, כפי שקבע שר האוצר בתקנות, בכפוף להודעה לרשות ניירות ערך (סעיף 3(א)(6) ו-(ב)).

אם קיימת מסגרת ניסוי ייעודית אצל הרשות הרלוונטית, תנאיה ומשכה נקבעים על ידה ומשתנים — בדקו מול הרשות לפני הגשת בקשה.

הגנת הצרכן בפינטק

מעבר לדרישות הרישוי, חברות פינטק כפופות גם לחוק הגנת הצרכן, התשמ״א-1981. זה אומר:

• שקיפות מלאה בעמלות, ריביות ותנאים — לפני ההסכמה, לא אחריה.
• זכות ביטול עסקה בתוך 14 יום לפי סעיף 14ג לחוק הגנת הצרכן, התשמ״א-1981 (עסקת מכר מרחוק).
• איסור על תנאים מקפחים בחוזה אחיד לפי חוק החוזים האחידים, תשמ״ג-1982.
• חובת מענה אנושי בשירות הטלפוני (סעיף 18ב לחוק הגנת הצרכן) חלה רק על עוסקים המנויים בתוספת השנייה לחוק — כמו ספקי תקשורת, חשמל ומים — ולא על חברות פינטק ככלל; חובות שירות נוספות עשויות לנבוע מהוראות המאסדר.

מה זה בנקאות דיגיטלית — ולמה הרגולציה לא תפסה את הקצב

הפעלתם ארנק דיגיטלי, פלטפורמת הלוואות, או שירות תשלומים? בישראל, זה דורש רישיון. לא משנה כמה המוצר חדשני — הרגולטורים מסווגים שירות לפי מה שהוא עושה בפועל, לא לפי מה שקוראים לו. פלטפורמה שמתווכת בפועל בין לווים למלווים עשויה להיות ״מערכת לתיווך באשראי״, שהפעלתה טעונה רישיון לפי חוק הפיקוח על שירותים פיננסיים (שירותים פיננסיים מוסדרים).

פינטק (Financial Technology) הוא השם הכולל לחברות שמשתמשות בטכנולוגיה לספק שירותים פיננסיים: תשלומים דיגיטליים, הלוואות Peer-to-Peer, ניהול השקעות אוטומטי (Robo-advisors), ארנקים דיגיטליים, ומטבעות קריפטוגרפיים. הבנקים הדיגיטליים (Neobanks) — כמו ONE ZERO בישראל — הם בנקים ללא סניפים שפועלים לגמרי דרך אפליקציה.

הבעיה היא שהמסגרת הרגולטורית הישנה נבנתה לבנקים מסורתיים. כשחברה פינטק נותנת שירות שנראה בנקאי אבל לא מוגדר כך בחוק — נוצר פער. פער זה נוצל בשני כיוונים: חדשנות שהרגולציה הישנה לא מנעה — ועסקים שפעלו ללא הגנות שהצרכן זכאי להן.

AML ו-KYC: לא רק בירוקרטיה

חוק איסור הלבנת הון, התש״ס-2000 מטיל חובות זיהוי, דיווח ושמירת רישומים על הגופים הפיננסיים שנקבעו בו, ובהם נותני שירות בנכס פיננסי, נותני אשראי וחברות תשלומים — לפי צו ייעודי לכל סוג גוף (סעיף 7). הדרישות המעשיות: זיהוי לקוח (KYC — Know Your Customer), ניטור עסקאות חשודות, ודיווח לרשות לאיסור הלבנת הון.

הנקודה שחברות פינטק קטנות מפספסות: דיווח על עסקאות חשודות לא מוגבל לסכומים גבוהים. דיווח על פעולה בלתי רגילה אינו מותנה, ככלל, בסכום מינימלי — גם עסקה של 500 שקל שנראית חשודה עשויה לחייב דיווח. הפרת חובות הדיווח עלולה להוביל לעיצום כספי (סעיף 14), ופעולה או מסירת מידע כוזב שנועדו למנוע דיווח או לגרום לדיווח בלתי נכון הן עבירה פלילית (סעיף 3(ב)).

הגנת צרכן בבנקאות דיגיטלית

חוק שירותי תשלום והוראות המאסדרים קובעים חובות ספציפיות: שקיפות בעמלות, זמני ביצוע מקסימליים, ומנגנון תלונות. בנוסף, חוק שירותי תשלום (שהחליף את חוק כרטיסי חיוב, שבוטל ב-14.10.2020) מגביל את אחריות המשלם לשימוש לרעה באמצעי תשלום שנעשה לפני שהודיע על כך: 75 ₪ ועוד 30 ₪ לכל יום עד ההודעה, ולא יותר מ-450 ₪ אם הודיע בתוך 30 ימים מהשימוש הראשון לרעה — או סכום החיובים בפועל, אם נמוך יותר (סעיף 24(ג)); לאחר ההודעה אינו אחראי כלל (סעיף 24(ב)). ההגבלה אינה חלה אם העמיד את הרכיב החיוני לרשות אחר (סעיף 24(ד)) או פעל במרמה (סעיף 26).

כספים שחברת תשלומים מקבלת מלקוחותיה אינם נחשבים לקבלת פיקדונות כספיים (סעיף 24(ז) לחוק הסדרת העיסוק בשירותי תשלום וייזום תשלום), וההגנה עליהם היא מנגנון ההפרדה: החברה חייבת לשמור אותם בחשבון ייעודי נפרד אצל גוף מנהל, והם אינם נחשבים לנכסיה — גם בהליכי חדלות פירעון (סעיף 24(א) ו-(ג)), אלא אם הרשות התירה ביטוח או ערבות במקומו (סעיף 24(ד)). זה פרט שצרכנים רבים אינם מכירים.

Open Banking ועתיד הפינטק בישראל

חוק שירות מידע פיננסי, התשפ״ב-2021 (״בנקאות פתוחה״) מחייב ״מקורות מידע״ — ובהם בנקים — לתת לנותן שירות מורשה (TPP — Third Party Provider) גישה למידע הפיננסי של לקוח, בהתאם להרשאת גישה שנתן הלקוח ובאמצעות מערכת ממשק ייעודית (סעיפים 39–40). זה יאפשר לחברות פינטק לגשת לנתוני חשבון הבנק של לקוח (בהסכמתו) ולספק שירותים מבוססי-נתונים: ניתוח הוצאות, השוואת מוצרים, תכנון תקציב.

זוהי הזדמנות עצומה — אך גם אחריות משפטית כבדה. גישה לנתוני בנק דורשת עמידה בחוק הגנת הפרטיות, מדיניות אבטחת מידע קפדנית, ורישיון למתן שירות מידע פיננסי מרשות ניירות ערך (סעיף 2 לחוק שירות מידע פיננסי) — או, לגוף פיננסי מפוקח, אישור מהמאסדר שלו.