היערכות לתיקון 13: צ'קליסט ב-10 צעדים

תקציר מנהלים: היערכות תיקון 13 מתחילה בשלוש שאלות פשוטות: איזה מידע אישי אתם מעבדים, האם אתם חייבים למנות ממונה על הגנת הפרטיות, והאם יש לכם מסמכי יסוד מעודכנים למאגרים ולאבטחת מידע. תיקון 13 נכנס לתוקף ב-14.8.2025, ובחלק מהארגונים הוא יוצר לא רק חובות תיעוד ויידוע, אלא גם חובת הודעה לרשות וסיכון לעיצומים כספיים. אם אתם מחפשים סדר עבודה מעשי, זה הצ'קליסט שהיינו שמים על שולחן המנכ"ל, היועץ המשפטי, ה-IT וה-HR יחד.

מפת עבודה ב-10 צעדים

לא כל ארגון צריך לעשות הכול באותו עומק, אבל כמעט כל ארגון צריך לעבור לפחות פעם אחת על עשרת הסעיפים הבאים.

צעד	מה בודקים	למה זה משנה
1	מיפוי מאגרי מידע ועיבוד	בלי מיפוי אין דרך לדעת אילו חובות חלות
2	סיווג המידע	מידע בעל רגישות מיוחדת משפיע על חובות וסיכונים
3	בדיקת חובת מינוי DPO	סעיף 17ב1 מטיל חובת מינוי בקטגוריות מוגדרות
4	בדיקת חובת מינוי ממונה אבטחת מידע	זו חובה נפרדת, לפי סעיף 17ב
5	מסמך הגדרות מאגר	נדרש לפי תקנה 2 לתקנות אבטחת מידע
6	נוהל אבטחת מידע והרשאות	נדרש לפי תקנות אבטחת מידע
7	עדכון מנגנוני יידוע והסכמה	סעיף 11 הורחב, ועמדת הרשות מחמירה בפרשנות
8	בדיקת רישום מאגר או הודעה לרשות	חובות 8א(א) ו-8א(ב) לא נעלמו
9	פרסום פרטי קשר של הממונה וטיפול בזכויות	חלק מחובות התפקיד לפי סעיף 17ב2(א)
10	תוכנית הדרכה, בקרה ותיעוד הנהלתי	זה מה שמבדיל בין מינוי על הנייר להטמעה אמיתית

1. התחילו במיפוי מאגרי המידע, לא במצגת על תיקון 13 לחוק הגנת הפרטיות

הטעות הנפוצה היא להתחיל מהכותרת הרגולטורית. נקודת הפתיחה הנכונה היא רשימת מאגרי המידע בפועל.

לפי סעיף 3, "מאגר מידע" הוא אוסף פרטי מידע אישי המעובד באמצעי דיגיטלי, בכפוף לחריגים. בפועל, צריך לרכז לפחות את סוגי המאגרים הבאים: מערכות לקוחות, עובדים, ספקים, מצלמות, מערכות CRM, מערכות שירות, מערכות SaaS, רשימות דיוור, ומאגרים שמוחזקים אצל ספקים חיצוניים.

המטרה בשלב הזה איננה רק "רשימת מערכות". צריך להבין מי בעל השליטה, מי מחזיק, מה מטרות העיבוד, מי ניגש למידע, והאם הוא מועבר מחוץ לארגון או מחוץ לישראל. בלי זה, אי אפשר להשיב אם חל המדריך שלנו לתיקון 13, אם צריך ממונה, ואם קיימת חובת הודעה לרשות.

2. סמנו אילו מאגרים כוללים מידע בעל רגישות מיוחדת

תיקון 13 מחליף את המונח הישן "מידע רגיש" ב"מידע בעל רגישות מיוחדת". הרשימה כוללת, בין היתר, מצב בריאות, מידע גנטי, מזהה ביומטרי, עבר פלילי, דעות פוליטיות, נתוני שכר ופעילות פיננסית, ונתוני מיקום.

הסיווג הזה משפיע כמעט על כל ההמשך:

• על בחינת חובת מינוי ממונה לפי סעיף 17ב1(א)(4)
• על חובת הודעה לרשות לפי סעיף 8א(ב), אם יש מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם
• על סכומי עיצומים בקבוצות שונות
• על רמת האבטחה לפי התקנות

בדוגמה מעשית, חברת HR-Tech שמעבדת תלושי שכר, הערכות עובדים ונתוני נוכחות עבור עשרות אלפי עובדים לא יכולה להסתפק בתיוג כללי של "מאגר עובדים". היא צריכה לזהות שמדובר גם בנתוני שכר, ולעיתים במידע נוסף בעל רגישות מיוחדת.

3. בדקו אם חלה עליכם חובת מינוי ממונה על הגנת הפרטיות

סעיף 17ב1 קובע ארבע קטגוריות של חייבים: גוף ציבורי או מחזיק עבורו, סוחר מידע או שירותי דיוור ישיר עם מידע על יותר מ-10,000 בני אדם, ארגון שעיסוקיו העיקריים כוללים ניטור שוטף ושיטתי בהיקף ניכר, וארגון שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר.

אם אתם לא בטוחים אם אתם נופלים בקטגוריות השלישית או הרביעית, הבעיה בדרך כלל היא המונח "היקף ניכר". סעיף 17ב1(ב) קובע מבחן רב-גורמי: מספר בני האדם, שיעורם באוכלוסייה, היקף המידע, משך ותדירות העיבוד, משך השמירה והתחום הגאוגרפי.

עמדת הרשות בגילוי הדעת בנושא מינוי ממונה היא שאין סף כמותי חד-ערכי, וששיקולי הסעיף אינם מצטברים. להערכתנו, ארגון שנמצא באזור ביניים צריך לתעד את הניתוח בכתב גם אם החליט שלא למנות. אם תרצו נקודת פתיחה מהירה, אפשר להתחיל ב-בדיקת החובה למנות DPO.

4. אל תבלבלו בין DPO לבין ממונה אבטחת מידע

אלה שני תפקידים שונים, עם בסיס משפטי שונה.

חובת מינוי ממונה אבטחת מידע לפי סעיף 17ב חלה, בין היתר, על גוף ציבורי, על בעל שליטה או מחזיק ב-5 מאגרים החייבים ברישום או בהודעה לרשות, ועל בנק, חברת ביטוח וחברה העוסקת בדירוג או הערכת אשראי.

מדריך הרשות מבהיר שמדובר בשני תפקידים שונים במהותם. עמדת הרשות היא שברוב המקרים כפל כובעים בין DPO לבין ממונה אבטחת מידע אינו מתיישב היטב, בין השאר בגלל האחריות האישית של ממונה אבטחת המידע לפי סעיף 17ב(ב), ולעיתים גם בגלל דרישת הדיווח הישיר למנכ"ל של ה-DPO.

5. הכינו או עדכנו מסמך הגדרות מאגר

סעיף 17ב2(א)(3) מטיל על הממונה לוודא קיומם של נוהל אבטחת מידע ומסמך הגדרות מאגר, לפי תקנות סעיפים 17(ב) ו-36, ולהביאם לאישור ההנהלה.

במילים פשוטות, אם אין לכם מסמך כזה, או אם הוא לא עודכן שנים, זה אחד המסמכים הראשונים שצריך לטפל בהם. גם כאשר אין חובת מינוי ממונה, המסמך עצמו עדיין יכול להידרש לפי תקנות אבטחת המידע.

מבחינת אכיפה, היעדר מסמך הגדרות מאגר הוא גם הפרה ייעודית בתקנות אבטחת מידע, עם עיצומים נפרדים לפי רמת האבטחה של המאגר.

6. בדקו את רמת האבטחה ואת נוהל אבטחת המידע

תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, ממשיכות להיות עמוד שדרה מעשי של הציות. אחרי תיקון 13, הן גם מקבלות שיניים אכיפתיות ברורות יותר.

צריך לבדוק לפחות שלושה דברים:

• האם המאגר הוא ברמה בסיסית, בינונית או גבוהה
• האם יש נוהל אבטחה מעודכן
• האם מיושמות חובות שמתאימות לרמה, לרבות הרשאות, תיעוד, הדרכות, ובמאגר ברמה גבוהה גם סקר סיכונים ומבדקי חדירות לפחות אחת ל-18 חודשים

מאגר ברמה גבוהה הוא, בין היתר, מאגר מהסוגים המנויים בתוספת הראשונה שיש בו מידע על 100,000 אנשים ומעלה או שמספר בעלי ההרשאה בו עולה על 100. זו נקודה שמפספסים הרבה ארגונים בצמיחה מהירה.

כל הסכומים הם סכומי בסיס (לפני הצמדה למדד); מתעדכנים כל 1 בינואר החל מ-2026, לפי סעיף 23לב(ב).

הטבלה הבאה אינה מציגה את כל קבוצות העיצומים בתקנות אבטחת מידע, אלא את שלוש הקבוצות כפי שסוכמו במדריך הרשות.

קבוצת עיצום בתקנות אבטחת מידע	רמה בינונית	רמה גבוהה	דוגמאות להפרות
קבוצה 1	20,000 ש"ח	80,000 ש"ח	מבנה מאגר, הגנת מערכות, כוח אדם והדרכה, מידור, תיעוד
קבוצה 2	40,000 ש"ח	160,000 ש"ח	מסמך הגדרות מאגר, נוהל אבטחה, הרשאות גישה, בקרת גישה, תיעוד אירועי אבטחה, עדכון מערכות, אבטחת תקשורת, ביקורת תקופתית
קבוצה 3	80,000 ש"ח	320,000 ש"ח	סקר סיכונים ומבדקי חדירות ברמה גבוהה, דיווח לרשות על אירוע אבטחה חמור, בקרה על מיקור חוץ

אם יש במאגר מידע על 1,000,000 בני אדם ומעלה, סכומי העיצום מוכפלים. במאגר בניהול יחיד וברמת אבטחה בסיסית, מדריך הרשות מציין עיצומים של 1,000–2,000 ש"ח, ובמיקור חוץ 4,000 ש"ח.

7. עדכנו את מנגנוני היידוע וההסכמה

סעיף 11, בנוסחו לאחר תיקון 13, מחייב לכלול בפנייה לאדם לקבלת מידע אישי לשם עיבוד במאגר: אם קיימת חובה חוקית למסור את המידע או שהמסירה תלויה בהסכמה, ומה תוצאת אי-ההסכמה; מהי מטרת הבקשה; למי יימסר המידע ומטרות המסירה; וקיומן של זכות עיון וזכות לבקש תיקון.

עמדת הרשות בגילוי הדעת הסופי בנושא הסכמה, מ-25.2.2026, מחמירה מעבר לרף המינימום של סעיף 11. הרשות מבהירה שעמידה בסעיף 11 אינה מבטיחה כשלעצמה הסכמה מדעת. לפי עמדת הרשות, יש להציג את כלל סוגי המידע ואת כלל מטרות העיבוד, והצגה חלקית בנוסח כמו "בין היתר" אינה מספיקה.

בפרקטיקה, זה מחייב לעבור מחדש על טפסי הצטרפות, דפי נחיתה, תהליכי onboarding, טפסי מועמדים, הסכמות לעובדים, ומסכי cookie או tracking כשאוספים מידע התנהגותי.

8. בדקו אם נדרשים רישום מאגר או הודעה לרשות

אחרי תיקון 13 לחוק הגנת הפרטיות, חובת הרישום הפרטית צומצמה מאוד, אבל לא נעלמה.

רישום מאגר נותר נדרש, בין היתר, למאגר של גוף ציבורי ולמאגר שמטרתו העיקרית איסוף מידע לשם מסירה לאחר כדרך עיסוק או בתמורה, לרבות דיוור ישיר, ויש בו מידע אישי על יותר מ-10,000 בני אדם.

בנוסף, סעיף 8א(ב) יצר חובת הודעה חדשה: מאגר עם מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם שאינו חייב ברישום מחייב הודעה לרשות בתוך 30 יום. ההודעה כוללת את פרטי בעל השליטה ודרכי ההתקשרות, את פרטי הממונה אם קיימת חובת מינוי, ואת העתק מסמך הגדרות המאגר.

זו נקודה שמחברת בין המשפטי, ה-IT וה-privacy operations. אם אף אחד בארגון לא יודע כמה בני אדם נכללים במאגרים הרגישים, לא תוכלו לדעת אם חלה חובת ההודעה.

9. אם מיניתם ממונה, ודאו שזה מינוי אמיתי

סעיפים 17ב2 ו-17ב3 לא מסתפקים בהכרזה פנימית.

הממונה צריך לקבל תנאים ומשאבים הדרושים למילוי נאות של התפקיד, להיות מעורב כראוי בכל נושא הנוגע לדיני הגנת הפרטיות, ולדווח ישירות למנכ"ל או לעובד הכפוף ישירות למנכ"ל. בנוסף, דרכי ההתקשרות עם הממונה צריכות להתפרסם לציבור באופן נגיש ופשוט.

סעיף 17ב3 מוסיף דרישות כשירות, מתיר מיקור חוץ, ואוסר ניגוד עניינים. מדריך הרשות מציג כלל אצבע לתפקידים בעייתיים: מנהל שיווק, מנהל לקוחות, מנהל כספים, מנהל מערכות מידע ו-CTO.

אם אתם שוקלים מתכונת חיצונית, פירטנו על כך בנפרד בעמוד על ממונה חיצוני להגנת הפרטיות.

10. קבעו מנגנון הדרכה, בקרה והחלטות מתועדות

זה השלב שהופך ציות לתהליך ניהולי ולא לפרויקט חד-פעמי.

לפי סעיף 17ב2(א), אחד מתפקידי הממונה הוא להכין תוכנית הדרכה ולפקח על ביצועה, ולהכין תוכנית לבקרה שוטפת על העמידה בהוראות החוק, לוודא את ביצועה ולדווח להנהלה על ממצאים והצעות לתיקון ליקויים.

מבחינה מעשית, היינו מצפים לראות לפחות:

• לוח אחריות בין משפטי, IT, HR, שיווק ומוצר
• תיעוד החלטות בסוגיות גבול, למשל בשאלת "היקף ניכר"
• מנגנון טיפול בפניות עיון ותיקון
• תהליך לדיווח ולטיפול באירועי אבטחה
• בדיקה מחזורית של נוסחי יידוע, ספקים ומאגרי מידע

להערכתנו, זה גם החומר שהארגון ירצה להראות ראשון אם תתחיל פנייה של הרשות.

השורה התחתונה

היערכות טובה לתיקון 13 אינה מתחילה בכתיבת מדיניות יפה, אלא במיפוי מדויק, בהחלטות ניהוליות ובמסמכים שניתן להראות. אם אתם ארגון קטן, אפשר לבצע חלק ניכר מהעבודה הזאת בצורה ממוקדת בתוך זמן קצר. אם אתם גוף ציבורי, ארגון בריאות, פינטק, אינשורטק, HR-Tech או חברת SaaS שמנטרת משתמשים, מומלץ לבנות תוכנית היערכות מסודרת ולא להסתפק בבדיקת וי.

לא בטוחים אם חובת המינוי חלה עליכם? עשו את הבדיקה: שתי דקות, בלי פרטים אישיים. לבדיקה

שאלות נפוצות

מתי הייתה הכניסה לתוקף של תיקון 13 לחוק הגנת הפרטיות?

תיקון 13 נכנס לתוקף ב-14.8.2025. לגבי חובת מינוי ממונה, הרשות הודיעה על מדיניות אי-אכיפה זמנית עד 31.10.2025, אך הדגישה שהחובה עצמה בתוקף מ-14.8.2025 ושעד המועד הזה יש להשלים את הליכי המינוי.

האם כל ארגון חייב להכין מסמך הגדרות מאגר?

לא כל ארגון חייב למנות ממונה, אבל מסמך הגדרות מאגר הוא חלק ממסגרת החובות לפי תקנות אבטחת מידע, וסעיף 17ב2(א)(3) קושר אותו גם לעבודת הממונה. אם יש לכם מאגרי מידע פעילים, מומלץ להתחיל בבדיקה אם המסמך קיים, מעודכן ומאושר הנהלה.

האם תיקון 13 לחוק הגנת הפרטיות ביטל את רישום המאגרים?

לא לגמרי. החובה בוטלה כמעט לחלוטין במגזר הפרטי, אבל נותרה לגבי מאגר של גוף ציבורי, ולגבי מאגר שמטרתו העיקרית איסוף מידע לשם מסירה לאחר כדרך עיסוק או בתמורה, לרבות דיוור ישיר, ויש בו מידע אישי על יותר מ-10,000 בני אדם.

מה צריך לכלול היידוע לפי סעיף 11?

הפנייה צריכה לכלול, בין היתר, אם קיימת חובה חוקית למסור את המידע או שהמסירה תלויה בהסכמה ומה תוצאת אי-ההסכמה, את מטרת הבקשה, למי יימסר המידע ומטרות המסירה, ואת קיומן של זכות עיון וזכות לבקש תיקון.

האם היערכות תיקון 13 מחייבת גם מינוי ממונה חיצוני?

לא בהכרח. קודם בודקים אם בכלל חלה חובת מינוי לפי סעיף 17ב1. אם החובה חלה, סעיף 17ב3(ב) מתיר במפורש למנות ממונה שאינו עובד הארגון. הבחירה בין פנימי לחיצוני תלויה בארגון, בהיקף העיבוד, במשאבים ובשאלת ניגוד העניינים.

צריכים ממונה חיצוני? ספרו לנו על הארגון ונחזור אליכם עם הערכה עניינית.

המידע באתר הוא סקירה כללית ואינו ייעוץ משפטי. יישום בארגון ספציפי מחייב בחינה פרטנית.