תיקון 13 לחוק הגנת הפרטיות: מה עסק חייב לעשות עכשיו

מה השתנה ב-14 באוגוסט 2025

עמוד השירות: עורך דין מסחר דיגיטלי ו-AI: תקנון, פרטיות ודיוור.

תיקון מס׳ 13 לחוק הגנת הפרטיות, התשמ״א-1981 פורסם ביום 14 באוגוסט 2024, וקבע כי תחילתו שנה מיום פרסומו — כלומר 14 באוגוסט 2025. זהו השינוי המהותי ביותר בדיני הגנת המידע בישראל מזה עשורים, והוא נוגע לכל עסק שמנהל רשימת לקוחות.

שלוש תזוזות מרכזיות: הגדרות החוק עודכנו (״מידע אישי״, ״מידע בעל רגישות מיוחדת״, ״בעל שליטה״, ״מחזיק״); חובת הרישום צומצמה דרמטית והוחלפה בחובת הודעה; ומערך האכיפה של הרשות להגנת הפרטיות הורחב לעיצומים כספיים בסכומים משמעותיים, לצד עבירות פליליות חדשות והרחבת הפיצוי בלא הוכחת נזק.

שאלה על המקרה שלכם? כתבו בוואטסאפ · 050-431-3155

רישום מאגר מידע: מי עדיין חייב — וכמה זה עולה

עד התיקון, חובת הרישום חלה כמעט על כל מאגר במשק. היום, לפי סעיף 8א(א), מאגר חייב ברישום רק בהתקיים אחד משניים:

• מטרתו העיקרית היא איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה — לרבות שירותי דיוור ישיר — ויש בו מידע אישי על יותר מ-10,000 בני אדם;
• בעל השליטה במאגר הוא גוף ציבורי כהגדרתו בפסקה (1) להגדרה שבסעיף 23 לחוק, אלא אם המאגר כולל מידע על עובדי אותו גוף בלבד.

המשמעות המעשית: חנות מקוונת, משרד, מרפאה או חברת שירותים שמנהלים מאגר לקוחות לצורכי הפעילות שלהם — אינם חייבים עוד ברישום. ראש הרשות אף רשאי לפטור מרישום מאגר שחייב בו, אם שוכנע שהרישום אינו דרוש להבטחת קיום החוק.

ומה לגבי העלות? השאלה ״כמה עולה רישום מאגר מידע״ הייתה נפוצה, והתשובה היום פשוטה: אין אגרת רישום. סעיף 36א לחוק, בנוסחו לאחר התיקון, מסמיך את שר המשפטים לקבוע אגרות בעבור עיון במאגרי מידע בלבד; תתי-הסעיפים הנוספים שבו בוטלו. העלות האמיתית אינה אגרה אלא עמידה בחובות: מסמך הגדרות מאגר, נוהל אבטחה, סקר סיכונים והסדרה חוזית מול ספקים. בעסק מקוון כל אלה מתורגמים בסוף לשני מסמכים שהמשתמש רואה — תקנוני אתרים ומדיניות פרטיות — ולכן הם נכתבים אחרי המיפוי ולא לפניו.

למי שכבר רשום יש הוראת מעבר: מאגר שהיה רשום ביום התחילה ממשיך להיות רשום גם אם אינו חייב ברישום — אלא אם בעל השליטה הודיע לראש הרשות שלא מתקיימת לגביו חובת רישום, ואז יימחק המאגר מהמרשם.

חובת ההודעה החדשה — מאגרים גדולים עם מידע רגיש

במקום הרישום הגורף נקבעה בסעיף 8א(ב) חובה ממוקדת: אם מספר בני האדם שיש עליהם מידע בעל רגישות מיוחדת במאגר שאינו חייב ברישום עלה על 100,000, על בעל השליטה להודיע לרשות תוך 30 ימים. ההודעה כוללת את זהות בעל השליטה, מענו ודרכי ההתקשרות עמו; את זהות הממונה על הגנת הפרטיות ודרכי ההתקשרות עמו, אם נדרש מינויו; והעתק ממסמך הגדרות המאגר הנדרש לפי תקנות אבטחת המידע. כל שינוי בפרטים אלה, וכן הפסקת פעילות המאגר, מדווחים גם הם בתוך 30 ימים.

״מידע בעל רגישות מיוחדת״ מוגדר בחוק ברשימה סגורה ורחבה: צנעת חיי המשפחה, האישות והנטייה המינית; מצב בריאותי; מידע גנטי; מזהה ביומטרי המשמש לזיהוי; מוצא; עבר פלילי; דעות פוליטיות, אמונות דתיות והשקפת עולם; הערכת אישיות מקצועית; נתוני מיקום ותעבורה; נתוני שכר ופעילות פיננסית; ומידע שחלה עליו חובת סודיות לפי דין.

האם בכלל יש לכם ״מאגר מידע״?

ההגדרה עצמה השתנתה. ״מאגר מידע״ הוא אוסף פרטי מידע אישי המעובד באמצעי דיגיטלי, למעט שניים: אוסף לשימוש אישי שאינו למטרות עסק; ואוסף הכולל רק שם, מען ודרכי התקשרות, לגבי 100,000 בני אדם או פחות, שאינו מלמד כשלעצמו על מידע נוסף — ובלבד שלבעל האוסף או לתאגיד בשליטתו אין אוסף אחר עם פרטים אחרים על אותם אנשים.

לכן רשימת דיוור נקייה של אלף נמענים עשויה שלא להיחשב מאגר; אבל ברגע שמצטרפת אליה היסטוריית רכישות, נתוני גלישה או פילוח לקוחות — היא מאגר לכל דבר. באתר מסחר זה כמעט תמיד המצב.

מדיניות פרטיות: מה חייב להופיע בה

הגרעין הקשיח של מדיניות הפרטיות נמצא בסעיף 11 לחוק. כל פנייה לאדם לקבלת מידע אישי לשם עיבודו במאגר חייבת להיות מלווה בהודעה שמצוינים בה: אם חלה חובה חוקית למסור את המידע, או שהמסירה תלויה ברצון ובהסכמה — ומהי תוצאת אי־ההסכמה; המטרה שלשמה מבוקש המידע; שמו של בעל השליטה במאגר ודרכי ההתקשרות עמו; למי יימסר המידע ומטרות המסירה; וקיומן של זכות העיון לפי סעיף 13 והזכות לבקש תיקון לפי סעיף 14.

סביב הגרעין הזה נבנית מדיניות שימושית: אילו סוגי מידע נאספים בפועל (כולל נתוני גלישה ומזהים מקוונים), בסיס העיבוד, ספקים ומעבדי משנה, העברה אל מחוץ לישראל, תקופות שמירה, ואמצעי אבטחה. שתי אזהרות מעשיות: מדיניות שסותרת את הפרקטיקה גרועה מהיעדר מדיניות — היא ראיה כתובה נגד בעל המאגר; ותבנית מועתקת שמבטיחה דברים שאינכם עושים היא בדיוק הסתירה הזו.

הגנת פרטיות באתרי מסחר — הנקודות הייחודיות

אתר מסחר אוסף מידע בשלושה ערוצים במקביל: מה שהלקוח מוסר בטופס, מה שנאסף אוטומטית בגלישה, ומה שמגיע מכלי צד שלישי. לכל אחד דין משלו:

• הודעה בעת האיסוף — טופס ההרשמה והצ׳קאאוט הם ה״פנייה״ שסעיף 11 מדבר עליה. קישור למדיניות הפרטיות בסמוך לשדות, ולא רק בפוטר.
• מעקב ועוגיות — איסוף נתוני גלישה ומזהים מקוונים הוא איסוף מידע אישי כשניתן לייחס אותו לאדם הניתן לזיהוי. מה נדרש בפועל בהסכמה לעוגיות.
• דיוור ישיר — פנייה אישית המבוססת על השתייכות לקבוצת אוכלוסין שנקבעה לפי אפיון. החוק מקנה לאדם זכות לדרוש שמידע עליו יימחק ממאגר המשמש לדיוור ישיר, וכן שלא יימסר לאחרים; אי־היענות לדרישה כזו היא הפרה שבצדה עיצום כספי. פירוט כללי הדיוור הישיר.
• ספקים — כל ספק שמעבד מידע בעבורכם הוא ״מחזיק״, וההתקשרות עמו מחייבת הסכם מפורט לפי תקנה 15 לתקנות אבטחת המידע. מה חייב להופיע בהסכם כזה.
• שמירה ומחיקה — תקופות שמירה שמוגדרות מראש הן גם הגנה משפטית וגם צמצום נזק באירוע אבטחה.

ממונה על הגנת הפרטיות: מי חייב למנות

סעיף 17ב1 קובע חובת מינוי ממונה על הגנת הפרטיות על: כל גוף ציבורי (למעט גוף ביטחוני); בעל שליטה במאגר שמטרתו העיקרית איסוף מידע לשם מסירתו לאחר כדרך עיסוק או בתמורה, עם מידע על יותר מ-10,000 בני אדם; בעל שליטה או מחזיק שעיסוקיו העיקריים כרוכים בעיבוד המחייב ניטור שוטף ושיטתי של בני אדם בהיקף ניכר; ובעל שליטה או מחזיק שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר — ובכלל זה תאגיד בנקאי, מבטח, בית חולים כללי וקופת חולים.

הממונה משמש סמכות מקצועית, מכין תוכנית הדרכה ותוכנית בקרה, מוודא קיומם של נוהל אבטחה ומסמך הגדרות מאגר, מוודא טיפול בפניות של אנשים שמידע עליהם נמצא במאגר, ומשמש איש קשר מול הרשות. דרכי ההתקשרות עמו מפורסמות לציבור באופן נגיש ופשוט, והוא מדווח ישירות למנהל הכללי או למי שכפוף לו ישירות. חובה נפרדת וּותיקה יותר היא מינוי ממונה על אבטחת מידע לפי סעיף 17ב.

חובות ומועדים אחרי תיקון 13: טבלה מסכמת

דוגמה היפותטית: חנות מקוונת מחזיקה ב-1.10.2026 מאגר של 12,000 לקוחות: שם, כתובת למשלוח, טלפון, דואר אלקטרוני ותחומי עניין שהלקוחות סימנו, בלי מידע בעל רגישות מיוחדת, ומשתמשת בו רק לניהול ההזמנות ולפנייה ללקוחותיה. המאגר אינו חייב ברישום, כי מטרתו העיקרית אינה מסירת מידע לאחר (סעיף 8א(א)), ואין חובת הודעה לרשות (סעיף 8א(ב)). עדיין חלות עליה ההודעה בכל טופס (סעיף 11), חובות תקנות אבטחת המידע, והסכם עם חברת השילוח שמקבלת גישה לכתובות (תקנה 15). אם מכירת רשימת הלקוחות לאחרים תהפוך למטרה העיקרית של המאגר, הוא יהיה חייב ברישום, וחובה תהיה למנות ממונה על הגנת הפרטיות (סעיפים 8א(א)(1)(א) ו-17ב1(א)(2)).

מה לשמור

• את נוסח ההודעה לפי סעיף 11 שהוצג בכל טופס, ומאיזה תאריך הוא בשימוש.
• את מסמך הגדרות המאגר ואת תיעוד הבחינה השנתית שלו (תקנה 2).
• את נוהל האבטחה (תקנה 4).
• את התיעוד של כל אירוע אבטחה (תקנה 11(א)).
• את ההסכמים עם ספקים שמקבלים גישה למאגר (תקנה 15).
• בקשות עיון ותיקון, ומתי ואיך נענו (סעיפים 13–14).

אבטחת מידע: מה החוק דורש בפועל

תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 ממיינות מאגרים לרמות אבטחה — בסיסית, בינונית וגבוהה, ולצדן מסלול מקל למאגר המנוהל בידי יחיד — וקובעות לכל רמה חובות. הליבה המשותפת: מסמך הגדרות המאגר (תקנה 2), נוהל אבטחה (תקנה 4), מיפוי מערכות וסקר סיכונים (תקנה 5), ניהול הרשאות, זיהוי ואימות, בקרה ותיעוד גישה, ניהול מאובטח של המערכות, אבטחת תקשורת, ביקורות תקופתיות וגיבוי.

תקנה 11 מחייבת תיעוד של כל אירוע שמעלה חשש לפגיעה בשלמות המידע או לשימוש בלא הרשאה, ובאירוע אבטחה חמור — הודעה מיידית לרשות ודיווח על הצעדים שננקטו; הרשות אף רשאית להורות על הודעה לנושאי המידע שעלולים להיפגע. בין דרישות התקנות לבין מסמך מדיניות הפרטיות קיים קשר ישיר: מה שהצהרתם עליו כלפי חוץ צריך להיות מגובה בנוהל פנימי.

אכיפה: עיצומים, פיצויים ותביעות

התיקון בנה מדרג עיצומים כספיים בסעיף 23כו. למשל: עיצום של 150,000 ₪ על עיבוד מידע במאגר חייב ברישום שלא נרשם, על אי־מסירת ההודעה לפי סעיף 8א(ב) ועל הפרות נוספות — ובכפל הסכום אם במאגר מידע על מיליון בני אדם ומעלה (אלה סכומי הבסיס שבחוק; לפי סעיף 23לב(ב) הם מתעדכנים ב-1 בינואר בכל שנה, החל ב-2026). מדרגים אחרים מחושבים לפי מספר האנשים שהמידע עליהם מעובד, עם רצפות מינימום, כך שהיקף המאגר משפיע ישירות על גובה החשיפה: למשל, על עיבוד מידע אישי במאגר למטרה שאינה כדין — 4 ₪ לכל אדם שמידע עליו נמצא במאגר (8 ₪ במידע בעל רגישות מיוחדת), ואם הסכום נמוך מ-200,000 ₪, ראש הרשות רשאי להטיל 200,000 ₪ (סעיף 23כו(ה)).

במישור האזרחי: סעיף 15א מאפשר לבית המשפט לפסוק פיצויים לדוגמה עד 10,000 ₪ בגין הפרות מוגדרות — בהן פנייה לקבלת מידע אישי בלי ההודעה שדורש סעיף 11 (לאחר שהאדם פנה בדרישה וחלפו 30 ימים), אי־רישום מאגר חייב ברישום (לאחר דרישה ו-90 ימים), אי־מתן זכות עיון, ואי־תיקון מידע. במקביל, סעיף 29א מאפשר פיצוי בלא הוכחת נזק בשל עוולת פגיעה בפרטיות — הסכום הנקוב בחוק הוא 50,000 ₪, וסעיף 29א(ד) מצמיד אותו למדד, כך שהתקרה התקפה בעדכון 16.9.2026 היא 72,564.15 ₪, וכפל הסכום 145,128.31 ₪ כשהוכח שהפגיעה נעשתה בכוונה לפגוע.

שאלות ותשובות

האם עדיין צריך לרשום מאגר מידע?

ברוב המקרים לא. אחרי תיקון 13, חובת הרישום חלה רק על מאגר שמטרתו העיקרית איסוף מידע לשם מסירתו לאחר כדרך עיסוק או בתמורה ויש בו מידע על יותר מ-10,000 בני אדם, ועל מאגר של גוף ציבורי — למעט מאגר שכולל מידע על עובדיו בלבד.

כמה עולה רישום מאגר מידע?

אין אגרת רישום. סעיף 36א לחוק מסמיך היום לקבוע אגרות בעבור עיון במאגרי מידע בלבד. העלות הרלוונטית היא עלות העמידה בחובות המהותיות — מסמך הגדרות מאגר, נוהל אבטחה, סקר סיכונים והסדרה חוזית מול ספקים.

מה חייב להופיע במדיניות הפרטיות של אתר מסחר?

לכל הפחות הפרטים שבסעיף 11: האם המסירה חובה או וולונטרית ומה תוצאת אי־ההסכמה, מטרת האיסוף, שם בעל השליטה ודרכי ההתקשרות עמו, למי יימסר המידע ולאילו מטרות, וזכויות העיון והתיקון. מעבר לכך: סוגי המידע הנאספים בפועל, ספקים ומעבדי משנה, העברה לחו״ל, תקופות שמירה ואמצעי אבטחה.

מתי חייבים למנות ממונה על הגנת הפרטיות?

לפי סעיף 17ב1: בגוף ציבורי; בבעל שליטה במאגר שמטרתו מסירת מידע לאחר כדרך עיסוק עם מידע על יותר מ-10,000 בני אדם; ובבעל שליטה או מחזיק שעיסוקיו העיקריים כרוכים בניטור שוטף ושיטתי של בני אדם בהיקף ניכר או בעיבוד מידע בעל רגישות מיוחדת בהיקף ניכר.

מה העיצום על איסוף מידע בלי ההודעה שדורש סעיף 11?

לפי סעיף 23כו(ג): 50 ₪ לכל אדם שאליו נעשתה הפנייה בלי ההודעה, ו-100 ₪ לכל אדם כשהפנייה נגעה למידע בעל רגישות מיוחדת; אם הסכום נמוך מ-30,000 ₪, ראש הרשות רשאי להטיל 30,000 ₪. כשהפנייה נעשתה לקבוצה בלתי מסוימת של בני אדם, העיצום לפי סעיף 23כו(ד) הוא 2 ₪ לכל אדם שמידע עליו נמצא במאגר (4 ₪ במידע בעל רגישות מיוחדת), עם רצפה של 20,000 ₪ (40,000 ₪ במידע כזה). אלה סכומי בסיס, המתעדכנים ב-1 בינואר בכל שנה (סעיף 23לב(ב)). במישור האזרחי, אם האדם דרש לקבל את ההודעה וחלפו 30 ימים, בית המשפט רשאי לפסוק פיצויים לדוגמה עד 10,000 ₪ (סעיף 15א(א)(2)).

המאגר נרשם לפני תיקון 13. האם הוא עדיין רשום, ואיך מוחקים אותו?

מאגר שהיה רשום כשהתיקון נכנס לתוקף ממשיך להיות רשום גם אם אינו חייב עוד ברישום, אלא אם בעל השליטה הודיע לרשות שלא חלה עליו חובת רישום (סעיף 76(א) לחוק הגנת הפרטיות (תיקון מס׳ 13), התשפ״ד-2024). לפי עמוד השירות ״מחיקת רישום מאגר מידע״ של הרשות ב-gov.il (נבדק ב-9.10.2026), הבקשה מוגשת בטופס מקוון בלבד, בצירוף תצהיר של בעל השליטה החתום בידי עורך דין, ואין תשלום בעדה. המחיקה אינה פוטרת מיתר החובות שבחוק, ובהן חובת ההודעה לפי סעיף 8א(ב) כשיש במאגר מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם.