עיצומים כספיים לפי חוק הגנת הפרטיות: הסכומים, החישוב וההפחתות

תקציר מנהלים: אחרי תיקון 13, מנגנון הקנסות המנהליים הישן בוטל, ובמקומו הרשות להגנת הפרטיות מוסמכת להטיל עיצומים כספיים לפי חוק הגנת הפרטיות. מי שמחפש "קנס חוק הגנת הפרטיות" צריך להכיר שני דברים: הסכום לא תמיד קבוע, והוא מחושב לעיתים לפי מספר נושאי המידע, סוג המידע, מינימום סטטוטורי ולעיתים גם כפל סכום במאגרים גדולים במיוחד. בנוסף, החוק קובע מנגנון הפחתות מסודר, ובנסיבות מוגבלות גם אפשרות להתראה מינהלית במקום עיצום.

עיצום כספי לפי חוק הגנת הפרטיות: מה השתנה אחרי תיקון 13

המסגרת השתנתה מהיסוד. לפי מדריך הרשות לתיקון 13, מנגנון הקנסות המנהליים הישן בוטל, והרשות מוסמכת כיום להטיל עיצומים כספיים. זו לא רק החלפה טרמינולוגית. מנגנון העיצום החדש בנוי על קבוצות הפרה, סכומים לפי נושא מידע, סכומי מינימום, כפל סכום במאגרים גדולים והפחתות אפשריות לפי התוספת החמישית לחוק.

עוד נקודה מעשית: עיצום שהוטל על מחזיק אינו נעצר בהכרח אצל המחזיק. לפי מדריך הרשות, אם הוטל עיצום על מחזיק תימסר הודעה גם לבעל השליטה, ואם בעל השליטה לא פעל להפסקת ההפרה ניתן להטיל עליו את העיצום כאילו היה המפר.

כל הסכומים בעמוד זה הם סכומי בסיס (לפני הצמדה למדד); מתעדכנים כל 1 בינואר החל מ-2026, לפי סעיף 23לב(ב). נכון ליולי 2026 טרם אותר פרסום רשמי של הסכומים המעודכנים, ולכן העמוד מציג את סכומי הבסיס. נעדכן כשיפורסמו.

קבוצות העיצומים: כמה משלמים ועל מה

הדרך הנכונה להבין את המנגנון היא לפי קבוצות. חלק מההפרות מחויבות בסכום קבוע, חלקן בסכום לכל נושא מידע, ובחלקן יש גם רצפה.

קבוצה	איך מחושב העיצום	מינימום	הערות
רישום מאגרים והודעה לרשות	150,000 ש"ח	אין	כפל סכום במאגר עם מידע על 1,000,000 בני אדם ומעלה
מסירת הודעה לאדם	50 ש"ח לאדם, או 100 ש"ח לאדם במידע בעל רגישות מיוחדת	30,000 ש"ח	כולל סעיף 11, דיוור ישיר 17ו(א), ו-23ד(א)
עיבוד שלא כדין	4 ש"ח לנושא מידע, או 8 ש"ח אם יש מידע בעל רגישות מיוחדת	200,000 ש"ח	כולל שימוש בניגוד ל-2(9) והפרות 8(ב)-8(ד)
ממונה הגנת פרטיות / ממונה אבטחת מידע / דיוור ישיר / פנייה לקבוצה בלתי מסוימת ללא יידוע	2 ש"ח לנושא מידע, או 4 ש"ח אם יש מידע רגיש	20,000 ש"ח, או 40,000 ש"ח אם יש מידע בעל רגישות מיוחדת	כולל, בין היתר, אי-מינוי DPO במקרים מסוימים

בטבלאות של תקנות אבטחת מידע יש מנגנון נפרד, לפי רמת אבטחה.

קבוצה בתקנות אבטחת מידע	רמת אבטחה בינונית	רמת אבטחה גבוהה	דוגמאות
1	20,000 ש"ח	80,000 ש"ח	מבנה מאגר, הגנת מערכות, כוח אדם והדרכה, מידור, תיעוד
2	40,000 ש"ח	160,000 ש"ח	מסמך הגדרות מאגר, נוהל אבטחה, הרשאות גישה, בקרת גישה, תיעוד אירועי אבטחה, עדכון מערכות, אבטחת תקשורת, ביקורת תקופתית
3	80,000 ש"ח	320,000 ש"ח	סקר סיכונים, מבדקי חדירות ברמה גבוהה, דיווח לרשות על אירוע אבטחה חמור, בקרה על מיקור חוץ

לפי מדריך הרשות, במאגר עם מידע על 1,000,000 בני אדם ומעלה, כולל מיליון בדיוק, סכומי העיצומים לפי תקנות אבטחת מידע מוכפלים.

איך מחשבים עיצום כספי לפי חוק הגנת הפרטיות

יש ארבע שאלות בסיסיות:

1. לאיזו קבוצת הפרה שייך המקרה

החוק והתקנות לא עובדים לפי "קנס כללי". הפרת יידוע, עיבוד ללא הרשאה, אי-מינוי ממונה, אי-הודעה לרשות או כשל לפי תקנות אבטחת מידע, כל אחת שייכת לקבוצה אחרת.

2. האם הסכום הוא קבוע או תלוי במספר נושאי המידע

לדוגמה, בעיבוד שלא כדין החישוב הוא 4 ש"ח לנושא מידע, או 8 ש"ח אם יש מידע בעל רגישות מיוחדת, עם מינימום של 200,000 ש"ח. לעומת זאת, באי-רישום או אי-הודעה לרשות מדובר ב-150,000 ש"ח, עם אפשרות לכפל סכום במאגר גדול במיוחד.

3. האם יש מינימום

זה פרט שמפספסים הרבה. אם החישוב לפי מספר נושאי מידע יוצא נמוך, המינימום עלול "למשוך" את הסכום כלפי מעלה. למשל, בקבוצת ההודעה לאדם יש מינימום של 30,000 ש"ח.

4. האם חל כפל סכום

בכמה קבוצות, וגם לפי תקנות אבטחת מידע, מאגר עם מידע על 1,000,000 בני אדם ומעלה מגדיל את החשיפה באופן מיידי.

בפרקטיקה, זה אומר שלא מספיק לזהות את ההפרה. צריך למפות גם את גודל המאגר, האם מדובר במידע בעל רגישות מיוחדת, ומהי הקטגוריה המדויקת. אם אתם בוחנים חשיפה רחבה יותר לאחר תיקון 13, זה אחד הסעיפים שכדאי למפות במסמך מסודר.

דוגמאות חישוב שהרשות עצמה מציגה

מדריך הרשות כולל דוגמאות מספריות שימושיות, והן מלמדות איך החישוב עובד בפועל.

מקרה	נוסחת החישוב	סכום בסיס
פנייה ל-5,000 איש ללא יידוע, כשיש מידע בעל רגישות מיוחדת	100 ש"ח לאדם	500,000 ש"ח
עיבוד בחריגה מהרשאה במאגר של 200,000 איש עם מידע רגיש	8 ש"ח לנושא מידע	1,600,000 ש"ח
גוף ציבורי ללא DPO, מאגר של 100,000 איש עם מידע רגיש	4 ש"ח לנושא מידע	400,000 ש"ח
פנייה לקבוצה בלתי מסוימת ללא יידוע, ונאסף מידע על 500,000 איש עם מידע רגיש	4 ש"ח לנושא מידע	2,000,000 ש"ח

המסר ברור: בחלק ניכר מההפרות, עיצום כספי לפי חוק הגנת הפרטיות הוא פונקציה של היקף העיבוד. כשהמאגר גדול, גם הפרה שנשמעת "טכנית" הופכת מהר מאוד לחשיפה של מאות אלפי שקלים ומעלה.

מתי אפשר להפחית את העיצום

כאן יש חדשות טובות יחסית. התוספת החמישית לחוק קובעת הפחתות שחלקן חובה על ראש הרשות, וחלקן בשיקול דעת.

הפחתות חובה

ראש הרשות יפחית את העיצום בהתקיים הנסיבות הבאות:

נסיבה	שיעור הפחתה
לא הוטל על המפר עיצום כספי או אמצעי אכיפה מינהלית בשל הפרת אותה הוראה ב-5 השנים שקדמו	20%
לא הוטל על המפר עיצום כספי או אמצעי אכיפה מינהלית בשל הפרת אותה הוראה ב-3 השנים שקדמו	10%
המפר הפסיק את ההפרה מיוזמתו ודיווח לראש הרשות	30%
המפר נקט פעולות למניעת הישנות ולהקטנת הנזק, להנחת דעת ראש הרשות	20%
המפר חב במינוי DPO לפי סעיף 17ב1(א)(3) או 17ב1(א)(4) בלבד, ומינה ממונה לפני מסירת ההודעה על כוונת חיוב	10%

לגבי ההפחתה הראשונה, צריך לדייק: החוק מדבר על מצב שבו לא הוטל אמצעי אכיפה קודם בשל הפרת אותה הוראה. זה לא זהה לטענה שלא הייתה בעבר הפרה.

ההפחתה של 10% על מינוי ממונה רלוונטית רק לחייבים מכוח סעיף 17ב1(א)(3) ו-17ב1(א)(4), כלומר ניטור שוטף ושיטתי בהיקף ניכר או עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר. היא לא חלה על גוף ציבורי ולא על סוחר מידע. לפי החוק, ההפחתה הזו חלה כל עוד לא קבע שר המשפטים צו לפי סעיף 23כו(ד)(1)(ז). אם אתם באזור האפור של חובת מינוי, בדיקת החובה למינוי ממונה יכולה לעזור למפות את העמדה הראשונית.

הפחתות בשיקול דעת

ראש הרשות רשאי להפחית:

• עד 30% אם המפר שילם פיצוי בשל אותן הפרות.
• 20% בשל נסיבות אישיות של מפר יחיד.

התקרה המצטברת להפחתות לפי סעיפים 2-4 לתוספת היא 70%.

תקרות לעסק זעיר וקטן והפחתה לפי מחזור עסקאות

לפי סעיף 6 לתוספת החמישית, לבקשת המפר, קיימות תקרות לעסק זעיר ולעסק קטן.

• עסק זעיר: מחזור עד 4 מיליון ש"ח.
• עסק קטן: מחזור 4–10 מיליון ש"ח.

התקרות הן:

קבוצת הפרה	עסק זעיר	עסק קטן
קבוצה אחת	20,000 ש"ח	40,000 ש"ח
קבוצה שנייה	50,000 ש"ח	100,000 ש"ח
קבוצה שלישית	70,000 ש"ח	140,000 ש"ח

אם יש כמה הפרות מקבוצות שונות, התקרה הכוללת לא תעלה על התקרה הגבוהה מביניהן.

בנוסף, לפי סעיף 7 לתוספת, לבקשת המפר, אם העיצום עולה על 5% ממחזור העסקאות שלו, יופחת הסכום ל-5% מהמחזור. יש חריג חשוב: לעוסק שאין לו מחזור עסקאות, לא יופחת הסכום מתחת לתקרה המרבית של עסק זעיר לפי סעיף 6.

את הבקשה לפי סעיפים 6 או 7 צריך להגיש עם אישור מחזור בתוך 30 ימים ממסירת ההודעה על כוונת חיוב. זו לא הפחתה אוטומטית, ולכן מי שמסתמך עליה צריך להגיש בזמן ובצורה מסודרת.

מתי הרשות יכולה להסתפק בהתראה מינהלית במקום עיצום

מ-16.4.2026 נכנסו לתוקף תקנות הגנת הפרטיות (התראה מינהלית), התשפ"ו-2026. הן לא מבטלות את מנגנון העיצומים, אלא יוצרות מסלול חריג.

לפי התקנות, ראש הרשות רשאי למסור התראה מינהלית במקום עיצום אם מתקיימת אחת מארבע נסיבות סגורות:

1. הפרה של הוראה חדשה בשלושת החודשים הראשונים מיום תחילתה, ובתנאים הקבועים בתקנה.
2. הפרה ראשונה של הוראות מסוימות בתקנות אבטחת מידע, ברשימה סגורה.
3. שינוי מדיניות אכיפה לחומרה, כשההפרה בוצעה לפני הפרסום או בתקופת היערכות.
4. חוסר בהירות בהוראה, כשהרשות פרסמה לציבור את פרשנותה וההפרה בוצעה לפני הפרסום או בתקופת היערכות.

לשון החוק והתקנות כאן ברורה: ראש הרשות רשאי, לא חייב. זו אינה זכות של המפר, ולא ברירת מחדל. מי שקיבל התראה יכול לבקש את ביטולה לפי סעיף 23לז, והפרה חוזרת או נמשכת אחרי התראה מוסדרת בסעיף 23לח.

עיצומים על DPO, אבטחת מידע ומיקור חוץ

אחת הטעויות הנפוצות היא לראות בעיצומים עניין של "דליפה" בלבד. זה רחב יותר. בקבוצת ההפרות של ממונה הגנת פרטיות / ממונה אבטחת מידע נכללים, לפי מדריך הרשות, גם אי-מינוי DPO בגופים ציבוריים או אצל סוחרי מידע, ואי-מינוי ממונה אבטחת מידע לפי סעיף 17ב(א).

בנוסף, יש הפרות שבהן העיצום תלוי באי-קיום הוראת רשות קודמת, למשל אי-אספקת תנאים ומשאבים לממונה, אי-מעורבות כראוי, כפיפות שאינה תואמת את סעיף 17ב2(ג), מינוי אדם ללא ידע וכישורים, או מינוי בניגוד עניינים.

במילים פשוטות, מינוי "על הנייר" לא סוגר את הפינה. אם אתם שוקלים ממונה חיצוני, צריך לבדוק גם את שאלות המשאבים, הכפיפות הישירה למנכ"ל והיעדר ניגוד העניינים, ולא רק את עצם המינוי.

השורה התחתונה

העיצום הכספי אחרי תיקון 13 אינו מספר אחד שאפשר לשנן. צריך לזהות את סוג ההפרה, לבדוק אם החישוב הוא קבוע או לכל נושא מידע, לזכור את המינימום, ולבחון אם יש כפל סכום או הפחתות אפשריות. לדעתנו, ארגון שמטפל במידע על עשרות אלפי אנשים ומעלה צריך להכין מראש מפת חשיפה בסיסית: אילו הפרות רלוונטיות לו, מהו גודל המאגר, האם יש מידע בעל רגישות מיוחדת, והאם קיימות נסיבות הפחתה שניתן להוכיח במסמכים. זה תרגיל קצר יחסית, והוא שווה הרבה אם מגיעים לבירור מול הרשות.

שאלות נפוצות

מהו קנס חוק הגנת הפרטיות אחרי תיקון 13?
אין סכום אחיד אחד. לעיתים מדובר ב-150,000 ש"ח, ולעיתים ב-2 ש"ח, 4 ש"ח, 50 ש"ח או 100 ש"ח לכל נושא מידע, עם סכומי מינימום ולעיתים כפל סכום, לפי סוג ההפרה.

האם כל הפרת פרטיות מובילה מיד לעיצום כספי?
לא. יש הפרות שמאפשרות עיצום ישיר, ויש מצבים שבהם לפי מדריך הרשות נדרשת קודם הוראת רשות שלא קוימה. בנוסף, מ-16.4.2026 קיימת אפשרות חריגה להתראה מינהלית במקום עיצום, בנסיבות מוגדרות.

האם יש כבר סכומים מעודכנים ל-2026?
החוק קובע שהסכומים מתעדכנים ב-1 בינואר בכל שנה החל מ-2026, לפי סעיף 23לב(ב), וראש הרשות מפרסם את הסכומים המעודכנים ברשומות ובאתר הרשות. נכון ליולי 2026 טרם אותר פרסום כזה, ולכן הסכומים בעמוד הם סכומי הבסיס. חשוב לזכור: לפי סעיף 23לב(א), העיצום נקבע לפי הסכום המעודכן ביום מסירת דרישת התשלום.

איך מקבלים הפחתה של 10% בגלל מינוי ממונה?
רק אם חובת המינוי נובעת מסעיף 17ב1(א)(3) או 17ב1(א)(4), ורק אם הממונה מונה לפני מסירת ההודעה על כוונת חיוב. ההפחתה לא חלה על גוף ציבורי ולא על סוחר מידע, ולפי החוק היא חלה כל עוד לא נקבע צו לפי סעיף 23כו(ד)(1)(ז).

האם עסק קטן יכול להגביל את גובה העיצום?
כן, לבקשת המפר. התוספת החמישית קובעת תקרות לעסק זעיר ולעסק קטן, וכן הפחתה ל-5% ממחזור העסקאות במקרים המתאימים, בכפוף להגשת אישור מחזור בתוך 30 ימים.

לא בטוחים אם חובת מינוי ממונה חלה עליכם? עשו את הבדיקה - שתי דקות, בלי פרטים אישיים.

המידע באתר הוא סקירה כללית ואינו ייעוץ משפטי. יישום בארגון ספציפי מחייב בחינה פרטנית.