תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025. הוא הרחיב את ההגדרה של מידע אישי, ביטל כמעט לגמרי את חובת רישום המאגרים במגזר הפרטי, והוסיף חובת הודעה לרשות על מאגר עם מידע רגיש על יותר מ-100,000 איש. גופים מסוימים חייבים עכשיו במינוי ממונה על הגנת הפרטיות, וכל עסק שאוסף מידע חייב למסור הודעה לפי סעיף 11, לאבטח את המידע ולאפשר עיון ותיקון. נכון לאוקטובר 2026, הרשות להגנת הפרטיות רשאית להטיל עיצומים כספיים של עשרות ומאות אלפי שקלים, ובתי המשפט רשאים לפסוק פיצויים בלי הוכחת נזק.
מה זה תיקון 13 ולמה הוא נוגע לכל עסק
חוק הגנת הפרטיות נחקק ב-1981. במשך שנים רבות הוא עסק בעיקר ברישום מאגרי מידע, והסנקציות שבו היו מוגבלות. תיקון מס׳ 13 שינה את התמונה. הכנסת אישרה אותו ב-5 באוגוסט 2024, והוא נכנס לתוקף ב-14 באוגוסט 2025. הרשות להגנת הפרטיות מתארת אותו כעדכון המקיף והמהותי ביותר לדיני הפרטיות בישראל מאז חקיקת החוק.
התיקון נוגע כמעט לכל עסק, כי כמעט כל עסק מחזיק מידע אישי באמצעי דיגיטלי: רשימת לקוחות במערכת ניהול, טופס יצירת קשר באתר, קובצי עובדים, תיקי מטופלים או נתוני תשלום. השאלה המעשית איננה אם החוק חל עליכם, אלא אילו מהחובות שבו חלות עליכם, ומה המחיר של אי-עמידה בהן.
שלושה שינויים מרכזיים כדאי להכיר כבר בהתחלה:
- הגדרות רחבות יותר. "מידע אישי" הוא היום כל נתון על אדם מזוהה או אדם שניתן לזהות במאמץ סביר.
- פחות רישום, יותר אחריות. רוב העסקים כבר לא חייבים לרשום מאגר, אבל כל החובות המהותיות נשארו, ונוספו חדשות.
- אכיפה כספית. הרשות רשאית להטיל עיצומים כספיים בסכומים שיכולים להגיע למאות אלפי שקלים ויותר.
ההגדרות החדשות: מה נחשב מידע אישי ומי אחראי
מידע אישי ומאגר מידע
לפי סעיף 3 לחוק, "מידע אישי" הוא נתון הנוגע לאדם מזוהה או לאדם הניתן לזיהוי. אדם ניתן לזיהוי אם אפשר לזהותו במאמץ סביר, במישרין או בעקיפין, למשל לפי שם, מספר זהות, מזהה ביומטרי, נתוני מיקום או מזהה מקוון. כלומר, גם כתובת דוא"ל, מספר טלפון או מזהה של משתמש באתר עשויים להיחשב מידע אישי.
"מאגר מידע" הוא אוסף של פרטי מידע אישי המעובד באמצעי דיגיטלי. החוק מוציא מההגדרה שני מקרים בלבד:
- אוסף לשימוש אישי שאינו למטרות עסק.
- אוסף שכולל רק שם, מען ודרכי התקשרות, של 100,000 בני אדם או פחות, שאינו מלמד בעצמו על מידע נוסף עליהם, ובתנאי שלבעל האוסף אין אוסף אחר עם מידע נוסף על אותם אנשים.
המשמעות: רשימת תפוצה פשוטה עשויה לצאת מההגדרה. אבל ברגע שאתם שומרים לצד השמות גם היסטוריית רכישות, תאריכי לידה או הערות שירות, יש לכם מאגר מידע.
מידע בעל רגישות מיוחדת
התיקון הגדיר רשימה סגורה של סוגי מידע רגיש, שעליהם חלות חובות וסנקציות מחמירות יותר:
| סוג המידע | דוגמאות מהחיים העסקיים |
|---|---|
| מצב בריאותי ומידע רפואי | קליניקות, מכוני כושר ששומרים הצהרות בריאות, חברות ביטוח |
| מידע גנטי ומזהה ביומטרי | שעון נוכחות בטביעת אצבע, זיהוי פנים |
| נתוני שכר ופעילות פיננסית | תלושי שכר, פרטי חשבונות, היסטוריית אשראי |
| הערכת אישיות | מבחני מיון לעבודה, אבחונים מקצועיים |
| עבר פלילי, מוצא, דעות פוליטיות ואמונות דתיות | טופסי קבלה לעבודה, ארגונים קהילתיים |
| צנעת חיי המשפחה ונטייה מינית | שירותי ייעוץ, אפליקציות היכרויות |
| נתוני מיקום מסוימים ומידע שחלה עליו חובת סודיות בדין | שירותי מעקב, מידע שמוסר לקוח לבעל מקצוע חסוי |
שימו לב לשורה של נתוני השכר. כמעט כל מעסיק מחזיק מידע כזה על עובדיו, ולכן כמעט כל מעסיק מחזיק מידע בעל רגישות מיוחדת.
בעל שליטה ומחזיק
החוק מבחין בין שני תפקידים. בעל שליטה הוא מי שקובע את מטרות עיבוד המידע, בדרך כלל העסק עצמו. מחזיק הוא גורם חיצוני שמעבד את המידע בעבור בעל השליטה, למשל ספק ענן, חברת שכר, מוקד שירות במיקור חוץ או פרילנסר שמנהל לכם את מערכת הלקוחות. לפי סעיף 17, כל אחד מהם אחראי לאבטחת המידע שבמאגר.
"עיבוד" מוגדר כמעט כל פעולה על מידע אישי: קבלה, איסוף, אחסון, העתקה, עיון, גילוי, העברה או מתן גישה. כשאתם מתקשרים עם ספק שיקבל גישה למידע, כדאי להסדיר בכתב את חובותיו. אפשר להתחיל ממחולל הסכם הסודיות, ובעבודה עם נותן שירות עצמאי גם ממחולל ההסכם למתן שירותים לפרילנסר.
רישום מאגר או הודעה לרשות: מי עדיין חייב
לפני התיקון, חובת הרישום חלה על מספר גדול של מאגרים. לפי מדריך הרשות, התיקון ביטל כמעט לחלוטין את חובת הרישום לגבי המגזר הפרטי. במקומה נוספה חובת הודעה למאגרים גדולים עם מידע רגיש. לפי סעיף 8א, המצב היום הוא:
| סוג המאגר | החובה |
|---|---|
| מאגר שמטרתו העיקרית איסוף מידע כדי למסור אותו לאחרים כדרך עיסוק או בתמורה, כולל שירותי דיוור ישיר, ויש בו מידע על יותר מ-10,000 בני אדם | רישום במרשם מאגרי המידע |
| מאגר של גוף ציבורי, אלא אם יש בו רק מידע על עובדי הגוף | רישום במרשם מאגרי המידע |
| מאגר אחר שיש בו מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם | הודעה לרשות בתוך 30 ימים, כולל פרטי בעל השליטה, פרטי הממונה על הגנת הפרטיות אם נדרש, והעתק ממסמך הגדרות המאגר |
| כל מאגר אחר | אין חובת רישום או הודעה, אבל כל שאר החובות בחוק חלות |
מאגר שחייב בהודעה צריך לעדכן את הרשות בתוך 30 ימים על כל שינוי בזהות בעל השליטה או הממונה, על שינוי שמחייב עדכון של מסמך הגדרות המאגר, ועל הפסקת פעילות המאגר.
הרשות מדגישה במדריך שלה נקודה שקל לפספס: העובדה שמאגר כבר אינו חייב ברישום אינה פוטרת את בעל השליטה בו מאף חובה אחרת לפי החוק.
איסוף מידע: חובת יידוע ועיקרון המטרה
מה חייבת לכלול ההודעה למי שמוסר לכם מידע
סעיף 11 קובע שכל פנייה לאדם לקבלת מידע אישי לשם עיבודו במאגר מידע צריכה להיות מלווה בהודעה. בהודעה מציינים:
- אם יש על האדם חובה חוקית למסור את המידע, או שהמסירה תלויה ברצונו, ומה התוצאה של אי-הסכמה.
- המטרה שלשמה מבקשים את המידע.
- שם בעל השליטה במאגר ודרכי ההתקשרות עימו. זו דרישה שנוספה בתיקון.
- למי יימסר המידע ולאילו מטרות.
- הזכות לעיין במידע והזכות לבקש לתקן אותו.
בפועל, ההודעה הזו מופיעה ברוב העסקים במדיניות הפרטיות של האתר, ליד טופס ההרשמה או בטופס הקליטה של לקוח או עובד. אם אין לכם מסמך כזה, או שהוא נכתב לפני התיקון, כדאי לעדכן אותו. מחולל מדיניות הפרטיות באתר בנוי לפי הדרישות האלה.
לצד מדיניות הפרטיות, כדאי שבאתר יהיה גם תקנון מעודכן. אפשר להכין טיוטה בעזרת מחולל תקנון אתר.
שימוש רק למטרה שנקבעה
לפי סעיף 8(ב), אסור לעבד מידע אישי במאגר אלא למטרת המאגר שנקבעה לו כדין. לפי סעיף 8(ג), אסור לעבד מידע ממאגר בלי הרשאה של בעל השליטה או בחריגה ממנה. סעיף 8(ד) מוסיף איסור חדש: בעל שליטה לא יעבד מידע שנאסף בניגוד לחוק או לכל דין אחר שמסדיר עיבוד מידע. מי שקיבל מידע מגורם אחר ולא ידע ולא היה עליו לדעת שהמידע נאסף שלא כדין, לא יישא באחריות לפי הסעיף הזה על העיבוד שקדם לידיעה.
דוגמה: חנות מקוונת אספה כתובות דוא"ל לצורך משלוח קבלות. אם היא מתחילה לשלוח לאותן כתובות הצעות שיווקיות של עסק אחר, היא עלולה לעבד את המידע שלא למטרה שלשמה נאסף. הדרך הנכונה היא להגדיר מראש את המטרות, לציין אותן בהודעה, ולבקש הסכמה כשהיא נדרשת.
הזכויות של הלקוחות והעובדים שלכם
זכות עיון
לפי סעיף 13, כל אדם זכאי לעיין במידע האישי עליו שמוחזק במאגר, בעצמו, באמצעות בא כוח שהרשה אותו בכתב או באמצעות אפוטרופוס. בעל השליטה צריך לאפשר את העיון בעברית, בערבית או באנגלית. האופן, התנאים והתשלום נקבעים בתקנות.
זכות לתיקון ולמחיקה
לפי סעיף 14, מי שמצא שהמידע עליו אינו נכון, שלם, ברור או מעודכן רשאי לבקש לתקן אותו או למחוק אותו. אם בעל השליטה מסכים, הוא צריך לבצע את השינוי ולהודיע עליו לכל מי שקיבל ממנו את המידע. אם הוא מסרב, הוא חייב להודיע על כך למבקש באופן שנקבע בתקנות. גם מחזיק חייב לתקן מידע כשבעל השליטה הסכים לתיקון או כשבית משפט הורה עליו.
דיוור ישיר
מי שמנהל מאגר לדיוור ישיר צריך לכבד בקשה של אדם למחוק ממנו את פרטיו, ובקשה שלא למסור את פרטיו לאחרים (סעיף 17ו). אי-היענות לבקשות כאלה היא אחת ההפרות שבגינן אפשר להטיל עיצום כספי.
כדאי למנות אדם אחד בעסק שאחראי לטפל בבקשות כאלה, ולתעד כל בקשה ואת התשובה לה. הפרת זכות העיון או התיקון יכולה להוביל גם לעיצום וגם לתביעה אזרחית, כפי שיפורט בהמשך.
ממונה על הגנת הפרטיות ואבטחת מידע
מי חייב למנות ממונה על הגנת הפרטיות
אחד החידושים הבולטים בתיקון הוא החובה למנות ממונה על הגנת הפרטיות. לפי סעיף 17ב1, החובה חלה על ארבע קבוצות:
| מי חייב | דוגמאות |
|---|---|
| גוף ציבורי, כבעל שליטה או כמחזיק | משרדי ממשלה, רשויות מקומיות |
| מאגר שמטרתו העיקרית מסירת מידע לאחרים כדרך עיסוק, עם יותר מ-10,000 בני אדם | סוחרי מידע, ספקי שירותי דיוור ישיר |
| מי שעיסוקיו העיקריים כוללים ניטור שוטף ושיטתי של בני אדם בהיקף ניכר | ספקי סלולר, ספקי חיפוש מקוון, מי שעוקב באופן שיטתי אחר מיקום או התנהגות |
| מי שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר | בנקים, חברות ביטוח, בתי חולים כלליים, קופות חולים |
מה זה "היקף ניכר"? החוק מפרט שיקולים: מספר האנשים, שיעורם באוכלוסייה מסוימת, היקף המידע וסוגיו, משך ותדירות העיבוד, משך שמירת המידע והתחום הגאוגרפי. הרשות פרסמה ב-14 ביולי 2026 גילוי דעת שמפרש את החובה. כדאי לקרוא אותו לפני שמחליטים שהחובה אינה חלה עליכם.
מה הממונה עושה
- משמש סמכות מקצועית, מייעץ להנהלה ולעובדים ומכין תוכנית הדרכה.
- מכין תוכנית בקרה שוטפת על עמידה בחוק ומדווח להנהלה על ליקויים.
- מוודא שיש נוהל אבטחת מידע ומסמך הגדרות מאגר, ושהם אושרו בהנהלה.
- מוודא טיפול בפניות של אנשים שהמידע עליהם נמצא במאגר. דרכי ההתקשרות איתו מתפרסמות לציבור.
- משמש איש הקשר עם הרשות.
הממונה מדווח ישירות למנהל הכללי או למי שכפוף לו ישירות. הוא צריך ידע מעמיק בדיני הפרטיות, הבנה בטכנולוגיה ובאבטחת מידע והיכרות עם פעילות הארגון. הוא יכול להיות גורם חיצוני, אבל אסור שימלא תפקיד נוסף שיעמיד אותו בניגוד עניינים (סעיפים 17ב2 ו-17ב3).
ממונה על אבטחת מידע
זו חובה נפרדת (סעיף 17ב). היא חלה על בעל שליטה או מחזיק בחמישה מאגרים שחייבים ברישום או בהודעה, על גוף ציבורי, ועל בנק, חברת ביטוח וחברה לדירוג אשראי.
אבטחת מידע ואירועי אבטחה
תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, ממשיכות לחול, ועכשיו יש מאחוריהן סנקציה כספית ישירה. התקנות מחלקות את המאגרים לרמות אבטחה, ולכל רמה חובות משלה. בין החובות המרכזיות שמופיעות במדריך הרשות:
- מסמך הגדרות מאגר ונוהל אבטחת מידע.
- ניהול הרשאות גישה, ובקרה ותיעוד של הגישה.
- הדרכת עובדים, ועדכון שוטף של מערכות המאגר.
- תיעוד אירועי אבטחת מידע, ודיווח לרשות על אירוע אבטחה חמור.
- בקרה ופיקוח על ספק חיצוני שמעבד את המידע.
- במאגרים ברמת אבטחה גבוהה: סקר סיכונים ומבדקי חדירות.
לפי מדריך הרשות, הפרות של חובות כמו דיווח על אירוע אבטחה חמור או פיקוח על מיקור חוץ נמצאות בקבוצת העיצומים הגבוהה ביותר בתקנות: 80,000 ₪ למאגר ברמת אבטחה בינונית ו-320,000 ₪ למאגר ברמה גבוהה, ובמאגר עם יותר ממיליון נושאי מידע הסכומים מוכפלים. אלה סכומי הבסיס שבמדריך, לפני עדכון לפי המדד. הסכום המעודכן ליום ההפרה עשוי להיות מעט גבוה יותר.
עיצומים ותביעות: כמה עולה הפרה
עיצומים כספיים של הרשות
פרק ד׳3 לחוק מסמיך את ראש הרשות להטיל עיצום כספי. לפני ההחלטה הוא שולח הודעה על כוונת חיוב, ולמפר יש 45 ימים לטעון את טענותיו. על דרישת תשלום אפשר לערער בתוך 45 ימים. הסכומים מתעדכנים לפי המדד. אלה הסכומים העיקריים בסעיף 23כו, בנוסחם המעודכן לשנת 2026:
| ההפרה | העיצום ב-2026 |
|---|---|
| עיבוד במאגר שחייב ברישום בלי שנרשם, או אי-מסירת הודעה על מאגר שחייב בהודעה | 153,540 ₪, וכפל הסכום אם יש במאגר מידע על מיליון בני אדם ומעלה |
| סירוב לאפשר עיון, אי-טיפול כנדרש בבקשת תיקון, אי-היענות לבקשת מחיקה מדיוור ישיר | 15,350 ₪ |
| איסוף מידע מאדם בלי ההודעה שבסעיף 11, או פנייה בדיוור ישיר בניגוד לחוק | 51.18 ₪ לכל אדם (102.36 ₪ במידע רגיש), ולא פחות מ-30,710 ₪ |
| פנייה לקבוצה בלתי מסוימת בלי הודעה, אי-מינוי ממונה על אבטחת מידע, אי-מינוי ממונה פרטיות בגוף ציבורי או אצל סוחר מידע | 2.05 ₪ לכל אדם במאגר (4.09 ₪ במידע רגיש), ולא פחות מ-20,470 ₪ (40,940 ₪ במידע רגיש) |
| עיבוד למטרה שאינה כדין, או עיבוד בלי הרשאה של בעל השליטה | 4.09 ₪ לכל אדם במאגר (8.19 ₪ במידע רגיש), ולא פחות מ-204,720 ₪ |
| אי-מסירת מסמך או חומר מחשב למפקח | 307,080 ₪ |
דוגמה מספרית
לעסק יש מאגר לקוחות של 30,000 איש. טופס ההרשמה באתר פתוח לכל הגולשים, ואין לידו הודעה לפי סעיף 11. זו פנייה לקבוצה בלתי מסוימת. אם אין במאגר מידע רגיש, העיצום הבסיסי הוא 30,000 × 2.05 ₪ = 61,500 ₪. אם יש במאגר מידע רגיש, למשל הצהרות בריאות, העיצום הוא 30,000 × 4.09 ₪ = 122,700 ₪.
על הפרה נמשכת, אחרי שנמסרה דרישת תשלום, מתווסף אחוז אחד מהעיצום לכל יום. על הפרה חוזרת בתוך שנתיים מתווסף סכום ששווה לעיצום כולו (סעיף 23ל).
הפחתות ותקרות
לפי מדריך הרשות, אפשר להפחית את העיצום בנסיבות מסוימות, עד 70% בסך הכול. בין הנסיבות: הפסקת ההפרה ביוזמת המפר ודיווח לרשות, צעדים למניעת הישנות, מינוי ממונה פרטיות בפועל, והיעדר הפרות קודמות. לעסקים קטנים, במחזור שנתי של 4 עד 10 מיליון ₪, ולעסקים זעירים, במחזור של עד 4 מיליון ₪, נקבעו תקרות מיוחדות. בכל מקרה העיצום הכולל לא יעלה על 5% ממחזור העסקאות השנתי. בנסיבות שנקבעו בתקנות, הרשות רשאית גם להסתפק בהתראה מינהלית במקום עיצום.
תביעות של לקוחות ועובדים
מעבר לאכיפה של הרשות, תיקון 13 הרחיב את הסיכון בתביעות אזרחיות.
- פיצויים לדוגמה בלי הוכחת נזק (סעיף 15א). בית המשפט רשאי לפסוק עד 10,000 ₪ בשל הפרות מסוימות: אי-מתן עיון, אי-תיקון מידע שהוסכם לתקנו, אי-הודעה על סירוב, איסוף בלי הודעה לפי סעיף 11 ועוד. בחלק מההפרות הזכות קמה רק אחרי שהאדם פנה לבעל השליטה וחלפו 30 ימים, ובאי-רישום מאגר 90 ימים.
- פיצוי בלי הוכחת נזק על פגיעה בפרטיות (סעיף 29א). בתביעה על עוולה של פגיעה בפרטיות, בית המשפט רשאי לפסוק פיצוי של עד 50,000 ₪ בלי הוכחת נזק, ועד כפל הסכום אם הפגיעה נעשתה בכוונה. הסכומים צמודים למדד ממאי 2007.
- התיישנות. לפי מדריך הרשות, תקופת ההתיישנות המקוצרת של שנתיים בוטלה. על עילה שנוצרה אחרי כניסת התיקון לתוקף חלה ההתיישנות הכללית, שבע שנים בדרך כלל.
לכן כדאי לטפל ברצינות גם בפנייה של לקוח בודד שמבקש לראות את המידע עליו. פנייה שלא נענתה במועד עלולה להפוך לתביעה.
רשימת פעולות לעסק
- מיפוי. רשמו אילו מאגרים יש לכם, איזה מידע יש בכל אחד, כמה אנשים, והאם יש בו מידע בעל רגישות מיוחדת.
- בדיקת רישום והודעה. בדקו אם אתם סוחרי מידע או גוף ציבורי, ואם יש לכם מידע רגיש על יותר מ-100,000 איש.
- בדיקת חובת מינוי. בדקו אם אתם חייבים בממונה על הגנת הפרטיות, בממונה על אבטחת מידע, או בשניהם.
- עדכון ההודעות. ודאו שבכל נקודת איסוף יש הודעה שכוללת את חמשת הפרטים של סעיף 11.
- מסמכי אבטחה. הכינו או עדכנו מסמך הגדרות מאגר ונוהל אבטחת מידע לפי רמת האבטחה.
- ספקים. עברו על ההסכמים עם כל ספק שמעבד מידע בשבילכם, והוסיפו חובות אבטחה, סודיות ופיקוח.
- נוהל פניות. קבעו מי מטפל בבקשות עיון, תיקון ומחיקה, ותעדו כל טיפול.
- נוהל אירוע אבטחה. קבעו מראש מי מחליט, מי מתעד ומי מדווח לרשות כשהאירוע חמור.
טעויות נפוצות
- "אנחנו עסק קטן, החוק לא חל עלינו". החוק חל על כל מאגר מידע. גודל העסק משפיע על התקרות של העיצום, לא על עצם החובה.
- "המאגר שלנו לא רשום, אז אין חובות". רוב העסקים אינם חייבים ברישום, אבל חובות היידוע, האבטחה, העיון והתיקון חלות על כולם.
- מדיניות פרטיות שהועתקה מאתר אחר. ההודעה צריכה לתאר את המטרות שלכם ואת הגורמים שלכם, ולכלול את שם בעל השליטה ודרכי ההתקשרות.
- שכחה של מידע על עובדים. נתוני שכר הם מידע בעל רגישות מיוחדת, ולכן גם מאגר העובדים מחייב תשומת לב.
- הנחה שהספק אחראי לבד. בעל השליטה והמחזיק אחראים שניהם לאבטחה. אם הוטל על הספק עיצום בשל הפרת תקנות האבטחה, ובעל השליטה לא פעל להפסקת ההפרה כפי שהורתה הרשות, אפשר להטיל את העיצום גם עליו (סעיף 23כו(י)).
- שימוש חוזר במידע למטרה חדשה. מידע שנאסף למטרה אחת אינו פתוח לכל שימוש עסקי אחר.
מתי כדאי לפנות לעורך דין
- אתם מחזיקים מידע רפואי, ביומטרי, פיננסי או מידע רגיש אחר בהיקף גדול, ולא ברור אם אתם חייבים במינוי ממונה או בהודעה לרשות.
- קיבלתם מהרשות הודעה על פיקוח, על בירור מינהלי או על כוונת חיוב. יש מועדים קצרים לטעון טענות ולבקש הפחתה.
- אירע אצלכם אירוע אבטחת מידע ויש לקבל החלטות מהירות על דיווח ועל הודעה ללקוחות.
- אתם מעבירים מידע לספקים, לחברות קשורות או לחו"ל, או משתמשים במידע לפרסום ממוקד.
- הוגשה נגדכם תביעה בגין פגיעה בפרטיות או בגין אי-מתן זכות עיון.
עורך דין שעוסק בדיני פרטיות ובמשפט מסחרי יכול לבנות עבורכם תוכנית עמידה בחוק לפי סוג המידע והיקפו. אפשר למצוא עורכי דין מתאימים בעמוד עורכי דין למשפט מסחרי.
שאלות נפוצות
ממתי חל תיקון 13 לחוק הגנת הפרטיות?
התיקון נכנס לתוקף ב-14 באוגוסט 2025. הכנסת אישרה אותו ב-5 באוגוסט 2024, ונקבעה תקופת היערכות של שנה.
האם העסק שלי חייב לרשום מאגר מידע?
ברוב המקרים לא. חובת הרישום נשארה בעיקר לגופים ציבוריים ולמאגרים שמטרתם העיקרית מסירת מידע לאחרים, עם יותר מ-10,000 בני אדם. מאגר עם מידע רגיש על יותר מ-100,000 איש חייב בהודעה לרשות בתוך 30 ימים.
האם עסק קטן חייב למנות ממונה על הגנת הפרטיות?
החובה חלה על גופים ציבוריים, על סוחרי מידע, על מי שעיסוקו העיקרי ניטור שיטתי של בני אדם בהיקף ניכר, ועל מי שעיסוקו העיקרי עיבוד מידע רגיש בהיקף ניכר. עסק קטן רגיל בדרך כלל אינו בקבוצות האלה, אבל כדאי לבדוק לפי גילוי הדעת של הרשות.
האם נתוני שכר של עובדים הם מידע רגיש?
כן. לפי ההגדרה בחוק, מידע על נתוני שכר של אדם ועל פעילותו הפיננסית הוא מידע בעל רגישות מיוחדת.
מה צריך לכתוב בטופס שאוסף פרטים באתר?
הודעה שמציינת אם המסירה חובה או רשות ומה התוצאה של סירוב, את מטרת האיסוף, את שם בעל השליטה ודרכי ההתקשרות, למי יימסר המידע ולמה, ואת הזכות לעיין במידע ולבקש לתקן אותו.
כמה עולה עיצום על אי-מתן זכות עיון?
נכון לשנת 2026, העיצום על סירוב לאפשר עיון הוא 15,350 ₪. בנוסף, בית משפט רשאי לפסוק פיצויים לדוגמה של עד 10,000 ₪ בלי הוכחת נזק.
האם ספק הענן או חברת השכר אחראים לאבטחת המידע במקומי?
לא במקומכם, אלא לצדכם. לפי סעיף 17 לחוק, גם בעל השליטה במאגר וגם המחזיק אחראים כל אחד לאבטחת המידע.
תוך כמה זמן אפשר לתבוע על פגיעה בפרטיות?
לפי מדריך הרשות, ההתיישנות המקוצרת של שנתיים בוטלה. על עילה שנוצרה אחרי כניסת התיקון לתוקף חלה תקופת ההתיישנות הכללית, בדרך כלל שבע שנים.
מקורות
- חוק הגנת הפרטיות, התשמ״א-1981, בנוסחו אחרי תיקון מס׳ 13 – סעיפים 3, 8, 8א, 11, 13, 14, 15א, 17, 17ב–17ב3, 23כו–23לו, 29א (ספר החוקים הפתוח)
- חוק הגנת הפרטיות (תיקון מס׳ 13), התשפ״ד-2024 – ספר החוקים, אתר הכנסת
- מדריך מקצועי לתיקון 13 לחוק הגנת הפרטיות – הרשות להגנת הפרטיות
- גילוי דעת: מינוי ממונה על הגנת הפרטיות בארגון לפי דרישות תיקון 13 (14 ביולי 2026) – הרשות להגנת הפרטיות
- הרשות להגנת הפרטיות – אתר הרשות
המידע במאמר כללי, נכון ל-18.10.2026, ואינו ייעוץ משפטי. לפני החלטה כדאי להתייעץ עם עורך דין.
