תיקון 13 לחוק הגנת הפרטיות: המדריך המלא לארגונים

תקציר מנהלים: תיקון 13 לחוק הגנת הפרטיות שינה את נקודת האיזון בדיני הפרטיות בישראל. מ-14.8.2025 יש בחוק הגדרות חדשות למידע אישי, חובת מינוי ממונה על הגנת הפרטיות בארבע קטגוריות של ארגונים, חובת הודעה חדשה לרשות במאגרים מסוימים, איסורי עיבוד מפורשים, חובת יידוע רחבה יותר, פיצויים לדוגמה ללא הוכחת נזק ומנגנון עיצומים כספיים חדש. לא מדובר רק בעוד עדכון טכני לחוק הגנת הפרטיות, אלא במסגרת אכיפה וצייתנות שארגונים צריכים לתרגם למסמכים, תהליכים ואחריות ניהולית.

עדכון אחרון: 21.7.2026

מה השתנה בחוק הגנת הפרטיות בעקבות התיקון

אם מזקקים את התיקון לרמת הנהלה, יש כאן חמישה שינויים מרכזיים.

הראשון הוא שינוי בשפה ובמושגים. ההגדרה הישנה של "מידע" הוחלפה ב"מידע אישי", שמוגדר כ"כל נתון הנוגע לאדם מזוהה או לאדם הניתן לזיהוי". לצדה נוספה הגדרה רחבה של "אדם הניתן לזיהוי", והביטוי "מידע רגיש" הוחלף ב"מידע בעל רגישות מיוחדת". זאת לא קוסמטיקה. ההגדרות קובעות אילו מאגרים ופעולות ייחשבו מעתה לחלק מליבת החוק.

השני הוא מעבר מחוק שממוקד ברישום מאגרים לחוק שממוקד בהתנהגות, ציות ואכיפה. חובת הרישום הפרטית צומצמה מאוד, אבל במקביל נוספו איסורי עיבוד מפורשים, חובת הודעה לרשות במאגרים מסוימים, וחובת מינוי ממונה במקרים שנקבעו בסעיף 17ב1.

השלישי הוא אכיפה. מנגנון הקנסות המנהליים הישן בוטל, ובמקומו נקבעו עיצומים כספיים בסכומים שיכולים להיות מהותיים מאוד, לרבות חישוב לכל נושא מידע במאגר.

הרביעי הוא חיזוק זכויות נושאי המידע. סעיף 11 הורחב, סעיף 15א יצר מסלול של פיצויים לדוגמה ללא הוכחת נזק בחלק מההפרות, ובוטלה ההתיישנות המקוצרת של שנתיים בתביעות אזרחיות לגבי עילות שנוצרו אחרי כניסת התיקון לתוקף.

החמישי הוא העמקה של ממשק הפרטיות עם ניהול ארגוני. ממונה, מסמך הגדרות מאגר, נוהל אבטחה, טיפול בפניות, יחסי בעל שליטה-מחזיק, תיעוד שיקולים, הדרכות ובקרות. בפרקטיקה, מי שממשיך להתייחס לפרטיות כאל נספח למדיניות האתר מפספס את מבנה החוק החדש.

ציר הזמן שצריך להכיר

יש תאריכים שמבדילים בין ידע כללי לבין היערכות אמיתית.

אירוע	תאריך	המשמעות המעשית
אישור תיקון 13 בכנסת	5.8.2024	נקודת ההתחלה של המשטר החדש
תחילת תוקף של התיקון	14.8.2025	ממועד זה החובות בחוק חלות
תום מדיניות אי-האכיפה הזמנית בעניין מינוי ממונה	31.10.2025	מדיניות הרשות הסתיימה; החובה עצמה הייתה בתוקף כבר מ-14.8.2025
תחולת תקנות מידע מהאזור הכלכלי האירופי גם על מידע "ישראלי" באותו מאגר	1.1.2025	רלוונטי למאגרים מעורבים עם מידע מה-EEA
פרסום טיוטת גילוי דעת בנושא מינוי ממונה	23.7.2025	הנוסח הראשוני של עמדת הרשות; הוחלף בנוסח הסופי
פרסום גילוי הדעת הסופי בנושא הסכמה	25.2.2026	עמדת הרשות המעודכנת לגבי הסכמה מדעת ורצון חופשי
תחילת תקנות התראה מינהלית	16.4.2026	נוספה אפשרות חריגה להתראה במקום עיצום
פרסום גילוי הדעת הסופי בנושא מינוי ממונה	15.7.2026	עמדת הרשות המחייבת לעניין אכיפה; החליף את הטיוטה מ-2025

לצד זה, בינואר 2024 האיחוד האירופי אשרר את מעמד התאימות של ישראל, וב-13.4.2026 פרסמה הרשות גילוי דעת סופי בנושא פרשנות תקנה 2(4) להעברת מידע לחו"ל.

על מי חל התיקון בפועל

על השאלה הזו אי אפשר לענות במשפט אחד, כי תיקון 13 בנוי משכבות.

ברמת היסוד, החוק חל על "מאגר מידע", שמוגדר כאוסף פרטי מידע אישי המעובד באמצעי דיגיטלי, בכפוף לחריגים מסוימים. אחד החריגים המעשיים הוא אוסף הכולל רק שם, מען ודרכי התקשרות לגבי 100,000 בני אדם או פחות, שאינו מלמד כשלעצמו על מידע אישי נוסף, ובלבד שאין לבעל האוסף אוסף אחר עם פרטים נוספים על אותם אנשים.

מי שנושא בחובות המרכזיות הוא "בעל שליטה במאגר מידע", כלומר מי שקובע, לבדו או יחד עם אחר, את מטרות עיבוד המידע שבמאגר, או גוף שהוסמך בחיקוק לעבד מידע. לצדו עומד "מחזיק", שהוגדר בהרחבה כגורם חיצוני לבעל השליטה המעבד מידע עבורו.

מכאן נובעות שלוש השלכות פרקטיות:

1. גם ארגון פרטי קטן יחסית יכול להיות כפוף לחובות משמעותיות אם הוא מחזיק מידע עבור גוף ציבורי.
2. גם מאגר שלא חייב ברישום יכול להיות חייב בהודעה לרשות, באבטחת מידע, ביידוע, במינוי ממונה ובציות להוראות העיבוד.
3. חוזה עיבוד עם ספק לא מעביר את האחריות המשפטית החוצה. החוק מבחין בין בעל שליטה למח זיק, אבל שניהם נמצאים בתוך המסגרת הרגולטורית.

אם אתם רוצים לבדוק רק את שאלת החובה למנות ממונה, ריכזנו אותה בנפרד ב-מדריך על מי חייב למנות DPO.

מי חייב למנות ממונה על הגנת הפרטיות

סעיף 17ב1 קובע ארבע קטגוריות סגורות של חייבים במינוי.

גופים ציבוריים, וגם מי שמעבד מידע עבורם

בעל שליטה במאגר מידע שהוא גוף ציבורי כהגדרתו בסעיף 23 חייב במינוי, וגם מחזיק במאגר מידע כאמור. המשמעות המעשית רחבה: לא רק משרד ממשלתי, רשות מקומית או גוף שנקבע בצו, אלא גם ספק פרטי שמעבד עבורם מידע.

המדריך של הרשות מציין בין הדוגמאות קופות חולים, בתי חולים, מוסדות להשכלה גבוהה וארגוני עובדים. לגבי גוף ספציפי שנכלל בצו, מומלץ לבדוק את הנוסח העדכני של הצו, משום שהקביעה בו היא פרטנית לכל גוף והצו מתוקן בתדירות גבוהה.

לגופים ביטחוניים יש הסדר נפרד של מפקח פרטיות פנימי, ולא חובת DPO רגילה.

סוחרי מידע ושירותי דיוור ישיר

סעיף 17ב1(א)(2) דורש שני תנאים במצטבר: מטרתו העיקרית של המאגר היא איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה, לרבות שירותי דיוור ישיר, ויש במאגר מידע על יותר מ-10,000 בני אדם.

כדאי לדייק כאן בשני מקומות.

הראשון הוא הסף. החוק מדבר על יותר מ-10,000. מאגר עם 10,000 בדיוק אינו נכנס לחובה הזאת.

השני הוא אופי הפעילות. לפי גילוי הדעת של הרשות בנושא מינוי ממונה, "כדרך עיסוק" ו"בתמורה" הם תנאים חלופיים בתוך הרכיב הראשון. כלומר, מסירה קבועה כחלק מהעיסוק גם ללא תמורה יכולה להספיק, ולהפך. זו עמדת הרשות בגילוי הדעת, לא לשון החוק.

ניטור שוטף ושיטתי בהיקף ניכר

סעיף 17ב1(א)(3) חל על בעל שליטה או מחזיק שעיסוקיו העיקריים כוללים או כרוכים בעיבוד מידע המחייב, נוכח טיבו, היקפו או מטרתו, ניטור שוטף ושיטתי של בני אדם בהיקף ניכר.

החוק עצמו נותן שתי דוגמאות: ספק רט"ן וספק שירות חיפוש מקוון.

בגילוי הדעת הרשות מציגה דוגמאות נוספות: התחקות אחר פעילות משתמשים באפליקציות ואתרים, פרופיילינג לפרסום ממוקד, התאמת תוכן, דירוג אשראי, חיתום ביטוחי, איתור הונאות, אפליקציות מיקום, מחשוב לביש ונתוני בריאות, רכב חכם, IoT ביתי, מאגרי צילומים של מצלמות מעקב וספקי אינטרנט. אלה דוגמאות פרשניות של הרשות.

עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר

סעיף 17ב1(א)(4) חל על בעל שליטה או מחזיק שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר. החוק נוקב מפורשות בתאגיד בנקאי, מבטח, בית חולים כללי וקופת חולים.

הרשימה של "מידע בעל רגישות מיוחדת" רחבה וכוללת, בין היתר, מצב בריאות, מידע רפואי, מידע גנטי, מזהה ביומטרי, עבר פלילי, דעות פוליטיות, אמונות דתיות, השקפת עולם, הערכת אישיות מקצועית, נתוני שכר ופעילות פיננסית, נתוני מיקום ותעבורה, מידע החב סודיות לפי דין, ומידע נוסף שקבע שר המשפטים בתוספת השנייה.

לפי גילוי הדעת, הרשימה המפורשת בחוק של בנק, מבטח, בית חולים וקופת חולים היא רשימה מכלילה ולא ממצה. שוב, זו עמדת הרשות, לא לשון החוק.

סיכום החובות המרכזיות לפי נושא

הטבלה הבאה לא מחליפה קריאה של הסעיפים, אבל היא נותנת מפת עבודה טובה לישיבת הנהלה ראשונה.

נושא	מה קובע החוק	למי זה רלוונטי במיוחד
הגדרות מידע אישי ומידע בעל רגישות מיוחדת	סעיף 3	כל ארגון שמעבד מידע על אנשים
חובת מינוי ממונה	17ב1-17ב3	גופים ציבוריים, מחזיקים עבורם, סוחרי מידע, מנטרים שיטתיים, מעבדי מידע רגיש בהיקף ניכר
רישום מאגרים	8א(א)	בעיקר גופים ציבוריים וסוחרי מידע עם יותר מ-10,000 בני אדם
הודעה לרשות	8א(ב)	מאגר עם מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם שאינו חייב ברישום
איסורי עיבוד	8(ב)-8(ד)	כל בעל שליטה ומחזיק
חובת יידוע	11	כל מי שפונה לאדם לקבלת מידע אישי לשם עיבוד במאגר
פיצויים לדוגמה	15א	חשיפה אזרחית במקרי הפרה מסוימים
עיצומים כספיים	פרק ד'3 והתקנות	כל ארגון עם חשיפת ציות
העברת מידע לחו"ל	תקנה 2(4) והתקנות הרלוונטיות	ארגונים עם ספקים או מערכות מחוץ לישראל
אבטחת מידע	תקנות אבטחת מידע, התשע"ז-2017	כל מאגר, לפי רמת האבטחה החלה עליו

רישום מאגרים והודעה לרשות: פחות רישום, יותר אחריות

אחת הטעויות הנפוצות אחרי התיקון היא לחשוב שבגלל שחובת הרישום צומצמה, הרגולציה נחלשה. בפועל קרה ההפך.

חובת הרישום לגופים פרטיים בוטלה כמעט לחלוטין, ונשארה בשני מצבים עיקריים: מאגר של גוף ציבורי, למעט מאגר עובדיו בלבד, ומאגר שמטרתו העיקרית איסוף מידע לשם מסירה לאחר כדרך עיסוק או בתמורה, לרבות דיוור ישיר, ויש בו מידע אישי על יותר מ-10,000 בני אדם.

אבל במקביל נוספה חובת הודעה חדשה בסעיף 8א(ב). אם יש לכם מאגר עם מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם, והמאגר אינו חייב ברישום, צריך למסור הודעה לרשות בתוך 30 יום. ההודעה כוללת את פרטי בעל השליטה ודרכי ההתקשרות, את פרטי הממונה אם קיימת חובה למנותו, ואת העתק מסמך הגדרות המאגר לפי תקנה 2 לתקנות אבטחת מידע. גם שינוי בפרטים מחייב עדכון בתוך 30 יום.

הנקודה החשובה היא זו: היעדר רישום אינו פוטר משום חובה אחרת. מאגר שלא נרשם יכול עדיין להיחשף לעיצומים, לפניות נושאי מידע, לחובת מינוי ממונה, ולחובות אבטחה ויידוע מלאות.

איסורי עיבוד חדשים: לא רק "איך שומרים", אלא גם "לשם מה משתמשים"

התיקון הכניס לסעיף 8 איסורי עיבוד מפורשים, וזו אחת ההתפתחויות המהותיות ביותר בחוק.

סעיף 8(ב) אוסר עיבוד מידע אישי שלא למטרת המאגר שנקבעה כדין.

סעיף 8(ג) אוסר עיבוד ללא הרשאה מבעל השליטה או בחריגה מהרשאה.

סעיף 8(ד) אוסר באופן גורף עיבוד מידע שמקורו בהפרת דין. המדריך של הרשות מבהיר שיש לכך סייגים, ובהם אחסון באקראי ובתום לב, פטור למי שלא ידע ולא היה עליו לדעת, ואי-תחולה על הפרת דין קלת ערך.

מבחינת ניהול סיכונים, זה מחייב מעבר מהתמקדות ב-IT בלבד לשאלות של הרשאות, מטרות שימוש, מקורות מידע ותיעוד הרשאות. בחברות מוצר, למשל, מוקד החשיפה אינו רק אם בסיס הנתונים מאובטח, אלא גם אם צוותים פנימיים משתמשים בנתונים בהתאם למטרות שהוגדרו ובגבולות ההרשאה.

חובת היידוע והסכמה: מה חייבים לומר לאדם, ומה זה עדיין לא פותר

סעיף 11 בנוסחו לאחר התיקון דורש שכל פנייה לאדם לקבלת מידע אישי לשם עיבוד במאגר תכלול, בין היתר, אם חלה חובה חוקית למסור את המידע או שהמסירה תלויה בהסכמה ומהי תוצאת אי-ההסכמה, את מטרת הבקשה, למי יימסר המידע ומטרות המסירה, וכן הודעה על זכות העיון וזכות לבקש תיקון.

כאן נכנסת הבחנה שצריך לשמור עליה בקפדנות.

לשון החוק קובעת את חובת היידוע המינימלית.

עמדת הרשות בגילוי הדעת הסופי בנושא הסכמה מ-25.2.2026 הולכת צעד נוסף. לפי עמדת הרשות, עמידה בסעיף 11 היא דרישת המינימום לחובת היידוע, אבל אינה מבטיחה עמידה בדרישת ההסכמה מדעת. הרשות מדגישה שיש להציג את כלל סוגי המידע הנאספים ואת כלל מטרות העיבוד, ושהצגה חלקית אינה מספיקה. היא גם מתייחסת לצורת ההצגה, לטקטיקות אפלות, לפערי כוח, ולמצבים שבהם תידרש הסכמה אקטיבית נפרדת, למשל בפרופיילינג שאינו קשור ישירות לתכלית העסקה בין צדדים עם פערי כוח, ובשירותי דיוור ישיר בחוזה אחיד.

לדעתנו, זה אחד המקומות שבהם ארגונים נוטים להישען על נוסח ותיק של מדיניות פרטיות ולגלות מאוחר מדי שהמסמך לא מתאר באמת את מה שהמוצר עושה.

אבטחת מידע אחרי התיקון: החובות לא נעלמו

התיקון לא החליף את תקנות אבטחת מידע, אלא חיבר אותן למסגרת אכיפה חדה יותר.

התקנות עדיין מחלקות מאגרים לרמות אבטחה. מאגר המנוהל בידי יחיד הוא קטגוריה מצומצמת, ובין היתר לא יחול על מאגר עם מידע על 10,000 אנשים ומעלה, או על מאגר שמטרתו העיקרית איסוף מידע למסירה לאחר כדרך עיסוק, או על מאגר עם מידע החב סודיות מקצועית לפי דין או אתיקה מקצועית.

רמה בינונית חלה, בין היתר, על מאגר שמטרתו העיקרית איסוף מידע למסירה לאחר כדרך עיסוק, על מאגר שבעליו גוף ציבורי, ועל מאגר שמכיל סוגי מידע מסוימים כגון מידע רפואי, עבר פלילי, מידע ביומטרי, נתוני תקשורת או מצב כלכלי, בכפוף לחריגים שנקבעו בתוספת.

רמה גבוהה חלה על מאגר מהסוגים המנויים בתוספת הראשונה שיש בו מידע על 100,000 אנשים ומעלה או שמספר בעלי ההרשאה בו עולה על 100.

ברמה גבוהה קיימות גם חובות ייחודיות של סקר סיכונים ומבדקי חדירות, כל אחד לפחות אחת ל-18 חודשים.

מבחינת ממשק עם ה-DPO, סעיף 17ב2(א)(3) מטיל על הממונה לוודא קיומם של נוהל אבטחת מידע ומסמך הגדרות מאגר, שיובאו לאישור ההנהלה. זה לא הופך את הממונה לאחראי הטכני לאבטחה, אבל כן מציב אותו בעמדת פיקוח ובקרה על היבטי הציות.

עיצומים כספיים, התראה מינהלית והפחתות

כל הסכומים הם סכומי בסיס (לפני הצמדה למדד); מתעדכנים כל 1 בינואר החל מ-2026 לפי סעיף 23לב(ב).

זה החלק שבו התיקון משנה בפועל את שיחת ההנהלה.

קבוצת הפרה	סכום בסיס	מינימום
רישום מאגרים והודעה לרשות	150,000 ש"ח	-
מסירת הודעה לאדם	50 ש"ח לאדם, או 100 ש"ח לאדם במידע בעל רגישות מיוחדת	30,000 ש"ח
עיבוד שלא כדין	4 ש"ח לנושא מידע, או 8 ש"ח אם יש מידע בעל רגישות מיוחדת	200,000 ש"ח
ממונה הגנת פרטיות / ממונה אבטחת מידע / דיוור ישיר / פנייה לקבוצה בלתי מסוימת ללא יידוע	2 ש"ח לנושא מידע, או 4 ש"ח אם יש מידע רגיש	20,000 ש"ח, או 40,000 ש"ח אם יש מידע בעל רגישות מיוחדת

בקבוצת רישום המאגרים וההודעה לרשות נקבע כפל סכום במאגר עם מידע על 1,000,000 בני אדם ומעלה. בנפרד, גם בתקנות אבטחת המידע נקבע כפל סכומים למאגרים עם מידע על 1,000,000 בני אדם ומעלה.

המדריך של הרשות מציג כמה דוגמאות שממחישות את הסקייל. פנייה ל-5,000 איש ללא יידוע, כשמדובר במידע בעל רגישות מיוחדת, מובילה ל-500,000 ש"ח. עיבוד בחריגה מהרשאה במאגר של 200,000 איש עם מידע רגיש מוביל ל-1,600,000 ש"ח. גוף ציבורי ללא DPO, במאגר של 100,000 איש עם מידע רגיש, מוביל ל-400,000 ש"ח.

יש גם מנגנוני הפחתה. בתוספת החמישית נקבעו הפחתות חובה, למשל אם לא הוטל על המפר עיצום כספי או אמצעי אכיפה מינהלית בשל הפרת אותה הוראה בפרקי הזמן הקבועים שם, אם ההפרה הופסקה מיוזמתו ודווחה לראש הרשות, ואם ננקטו פעולות למניעת הישנות ולהקטנת הנזק. יש גם הפחתה של 10% למפר שחב במינוי ממונה מכוח סעיף 17ב1(א)(3) או מכוח סעיף 17ב1(א)(4), ומינה ממונה טרם מסירת ההודעה על כוונת החיוב. ההפחתה הזאת לא חלה על גוף ציבורי ולא על סוחר מידע.

לצד זאת, מ-16.4.2026 קיימות תקנות התראה מינהלית. הן קובעות רשימה סגורה של ארבע נסיבות שבהתקיים אחת מהן או יותר ראש הרשות רשאי למסור התראה מינהלית במקום להטיל עיצום. זו אפשרות חריגה ובשיקול דעת, לא זכות של המפר ולא ברירת מחדל.

להרחבה מספרית ולפירוט קבוצות ההפרה, ריכזנו עמוד ייעודי על עיצומים כספיים לפי חוק הגנת הפרטיות.

פיצויים לדוגמה ללא הוכחת נזק: מסלול אזרחי שצריך לקחת ברצינות

סעיף 15א מאפשר לבית המשפט לפסוק עד 10,000 ש"ח ללא הוכחת נזק בחלק מהעילות. זו לא זכות אוטומטית, ובחלק מהמקרים יש תנאי מוקדם.

כך למשל, כאשר בעל שליטה עיבד מידע במאגר שחייב רישום בלי שנרשם, נדרש שהאדם יפנה בדרישה לרשום את המאגר ויחלפו 90 ימים. כאשר הייתה פנייה לקבלת מידע לפי סעיף 11 בלי הודעה כנדרש, נדרש שהאדם יפנה בדרישה למסור את ההודעה ויחלפו 30 ימים. בעילות אחרות, כגון אי-מתן זכות עיון במועד ובדרך שבתקנות, אין תנאי מוקדם נוסף.

המשמעות המעשית כפולה. מצד אחד, לא נכון להציג את הסעיף כאילו כל פגם טכני יוצר אוטומטית חשיפה של 10,000 ש"ח. מצד שני, לא נכון לזלזל בו. הסכום נקבע לפי שיקולים של עידוד מימוש זכויות, היקף ההפרה, חומרתה, התנהגות המפר ונסיבותיו, ולא לפי גובה הנזק.

נוסף על כך, בוטלה ההתיישנות המקוצרת של שנתיים בתביעות אזרחיות. לפי המדריך של הרשות, מעתה חלה ההתיישנות הכללית, 7 שנים ומעלה, לגבי עילות שנוצרו אחרי כניסת התיקון לתוקף.

העברת מידע לחו"ל: השאלה כבר אינה רק "איפה השרת"

העברת מידע אל מחוץ לישראל מוסדרת בתקנות הייעודיות. תקנה 1 אוסרת העברת מידע אישי ממאגר ישראלי לחו"ל אלא אם מדינת היעד מבטיחה רמת הגנה שאינה נופלת מהדין הישראלי, ותקנה 2 קובעת חלופות היתר.

אחת החלופות החשובות ביותר היא תקנה 2(4), שמאפשרת העברה כאשר מקבל המידע התחייב בהסכם עם בעל השליטה לקיים את התנאים לאחזקת מידע ושימוש בו החלים על מאגר בישראל, בשינויים המחויבים.

עמדת הרשות בגילוי הדעת הסופי מ-13.4.2026, כפי שאומתה בפרסום חיצוני, היא שהמבחן ל"שינויים המחויבים" הוא אובייקטיבי בלבד. לפי אותה עמדה, ההסכם צריך לכלול התחייבויות מהותיות זהות או דומות מהותית לדין הישראלי, לרבות איסור שימוש חורג מהמטרה, זכויות עיון, תיקון ומחיקה, חובת סודיות, ועמידה בתקנות אבטחת מידע או הסמכה ל-ISO/IEC 27001 תוך קיום הבקרות הרלוונטיות.

אם המאגר כולל גם מידע שמקורו באזור הכלכלי האירופי, חלות גם התקנות הייעודיות למידע כזה. בארגונים בינלאומיים, זה בדרך כלל אזור שבו כדאי לבחון יחד את הסכמי העיבוד, נספחי ההעברה, ומסמך הגדרות המאגר.

איך אנחנו ממליצים לארגונים להיערך

כאן אנחנו עוברים מהטקסט החוקי לסדר עבודה.

1. למפות מאגרים, מטרות, תפקידי צדדים וסוגי מידע

בלי מיפוי בסיסי, כמעט בלתי אפשרי לענות נכון על שאלות של רישום, הודעה, DPO, אבטחה, יידוע והעברה לחו"ל. המיפוי צריך לכלול לפחות: מי בעל השליטה, מי המחזיקים, מה מטרות העיבוד, אילו קטגוריות מידע קיימות, האם יש מידע בעל רגישות מיוחדת, כמה אנשים כלולים במאגר, איפה המידע נשמר ולמי ניתנת גישה.

2. לבחון אם קיימת חובת מינוי ממונה

זו לא רק שאלה של גודל. ארגון קטן יחסית יכול להיות חייב במינוי אם הוא מחזיק מידע עבור גוף ציבורי. ארגון טכנולוגי ללא גוף ציבורי יכול להיות חייב אם פעילות הליבה שלו בנויה על ניטור שיטתי או על עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר. אם אתם לא בטוחים, כלי הבדיקה שלנו נותן נקודת פתיחה מהירה, ואחר כך אפשר להעמיק.

3. לעדכן מסמכי ליבה

בפרקטיקה, ארבעה מסמכים עולים כמעט בכל בדיקה: מסמך הגדרות מאגר, נוהל אבטחת מידע, מנגנון יידוע והסכמה, והסכמים עם מחזיקים וספקים. בארגונים רבים המסמכים קיימים, אבל לא מתארים את הפעילות האמיתית או לא עודכנו לנוסח החוק החדש.

4. לבדוק את מערך ההרשאות והשימושים בפועל

סעיפים 8(ב)-8(ד) הופכים את שאלת "מי משתמש במה ולשם מה" לשאלת ליבה. זה כולל הרשאות עובדים, גישה של ספקים, שימושים משניים במידע, אימון מערכות, אנליטיקה, פרסום ממוקד, והעברות פנימיות בין יחידות עסקיות.

5. להגדיר מנגנון טיפול בפניות נושאי מידע

סעיף 17ב2(א)(4) מטיל על הממונה לוודא טיפול בפניות, וסעיפים 13-14 מעגנים זכויות עיון ותיקון. ארגון שלא יודע מי מקבל פנייה, מי בודק זהות, מי מחפש את המידע, מי מחליט, ובאיזה לוח זמנים, יתקשה מאוד לעמוד גם בדין וגם בציפיות הרשות.

6. להכריע אם הממונה יהיה פנימי או חיצוני

החוק מתיר במפורש מינוי של מי שאינו עובד הארגון. לפי המדריך של הרשות, רצוי שהממונה יהיה חלק אינטגרלי מהארגון, אך מתכונת ההעסקה נבחנת לגופו של כל ארגון. ברבים מהמקרים, במיוחד מחוץ לארגונים גדולים מאוד, ממונה חיצוני הוא פתרון יעיל אם הוא מקבל גישה, זמן, שיתוף פעולה ודיווח ישיר בהתאם לחוק. ריכזנו את השיקולים בעמוד על ממונה חיצוני.

7. לתעד החלטות באזורי אי-ודאות

החוק לא קובע סף מספרי ל"היקף ניכר". גילוי הדעת גם הוא אינו קובע סף חד-ערכי. לכן, במקרי גבול, תיעוד הניתוח הוא חלק מההיערכות עצמה. לדעתנו, ארגון שבחן את השאלה בכתב, שקל את שיקולי סעיף 17ב1(ב), והגיע להחלטה מנומקת, נמצא במצב טוב יותר מארגון שפשוט הניח שהחובה אינה חלה עליו.

השורה התחתונה

התיקון אינו תיקון "למשפטנים בלבד". הוא משנה את הדרך שבה ארגונים בישראל צריכים לנהל מידע אישי: מי אחראי, מה מותר לעשות, מה צריך לומר לאדם, מתי צריך לדווח לרשות, ואיך נראית אכיפה כספית אמיתית. אם אתם גוף ציבורי, מחזיק עבור גוף ציבורי, סוחר מידע, מפעילי מוצר שמבוסס על ניטור, או ארגון שמעבד מידע בעל רגישות מיוחדת בהיקף גדול, נקודת המוצא הנכונה היא לא "נראה אחר כך", אלא מיפוי, ניתוח ותיעוד עכשיו.

שאלות נפוצות

מתי התיקון נכנס לתוקף?

ב-14.8.2025. זו תחילת התוקף של התיקון לפי מדריך הרשות. מדיניות אי-האכיפה הזמנית של הרשות בעניין מינוי ממונה הסתיימה ב-31.10.2025, אבל החובה עצמה הייתה בתוקף כבר מ-14.8.2025.

האם חוק הגנת הפרטיות החדש ביטל את רישום המאגרים?

לא לגמרי. החובה בוטלה כמעט לחלוטין לגבי גופים פרטיים, אבל נשארה לגבי מאגר של גוף ציבורי, ולגבי מאגר שמטרתו העיקרית איסוף מידע לשם מסירה לאחר כדרך עיסוק או בתמורה, לרבות דיוור ישיר, כשיש בו מידע אישי על יותר מ-10,000 בני אדם. נוסף על כך קיימת חובת הודעה לרשות במאגרים מסוימים לפי סעיף 8א(ב).

האם תיקון 13 לחוק הגנת הפרטיות מחייב כל ארגון למנות DPO?

לא. החובה חלה רק על ארבע הקטגוריות שבסעיף 17ב1. אם אתם רוצים לבדוק את זה בצורה ממוקדת, מומלץ לעיין גם ב-מדריך על מי חייב למנות DPO.

מה הפיצוי ללא הוכחת נזק לפי חוק הגנת הפרטיות?

סעיף 15א מאפשר לבית המשפט לפסוק עד 10,000 ש"ח ללא הוכחת נזק, אך לא בכל מקרה ולא אוטומטית. בחלק מהעילות יש תנאי מוקדם של דרישה בכתב וחלוף 30 ימים או 90 ימים, לפי סוג ההפרה.

מה ההבדל בין חובת יידוע לבין הסכמה תקפה?

חובת היידוע נקבעת בלשון סעיף 11. עמדת הרשות בגילוי הדעת הסופי בנושא הסכמה היא שעמידה בסעיף 11 היא רק דרישת המינימום, ואינה מבטיחה שההסכמה היא "הסכמה מדעת". לכן ארגון יכול לעמוד פורמלית ביידוע ועדיין להיתקל בקושי אם מטרות העיבוד, סוגי המידע או אופן ההצגה אינם ברורים מספיק.

לא בטוחים אם החובה חלה עליכם? עשו את הבדיקה - שתי דקות, בלי פרטים אישיים.

המידע באתר הוא סקירה כללית ואינו ייעוץ משפטי. יישום בארגון ספציפי מחייב בחינה פרטנית.