תיקון 13 לחוק הגנת הפרטיות: היערכות מעשית לארגון
תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025. הוא נותן לרשות להגנת הפרטיות סמכויות פיקוח ואכיפה, כולל עיצומים כספיים משמעותיים על ארגונים שלא עומדים בדרישות החוק. בנוסף, התיקון מעדכן את ההגדרות של מידע אישי ומאגר מידע, מצמצם מאוד את חובת רישום המאגרים, ומחייב סוגים מסוימים של גופים למנות ממונה על הגנת הפרטיות (DPO). הצעד הראשון הוא למפות איזה מידע אישי נאסף באתר ובמערכות הארגון, לבדוק אם חלה עליכם חובת DPO, ולעדכן את מדיניות הפרטיות ואת ההסכמים מול הספקים.
ב-WEB-A מלווים את כל ההיערכות כתהליך אחד, עם ידע משפטי, הסמכות מתאימות והבנה טכנולוגית, לאורך כל הדרך.
תיקון 13 כבר בתוקף והאכיפה כבר כאן
הרשות להגנת הפרטיות קיבלה סמכויות להטיל עיצומים, וארגונים רבים עוד לא בדקו איפה הם עומדים. דברו איתנו ונעשה סדר.
היערכות לתיקון 13 צעד אחרי צעד
מה השתנה, על מי זה חל, מה בודקים באתר ובארגון, ומתי כדאי ליווי חיצוני.
מה השתנה בפועל: הגדרות, רישום או הודעה, אכיפה
חוק הגנת הפרטיות נחקק ב-1981, כש«מאגר מידע» היה לרוב רשימת לקוחות בקלסר. תיקון 13 מעדכן את הכללים לעידן הדיגיטלי: הגדרות מידע ומאגרים מעודכנות, סמכויות פיקוח ואכיפה מנהלית לרשות הגנת הפרטיות, ודגש על ניהול תקין של מידע אישי, לא רק על רישום פורמלי.
בפועל חשוב להבין שלושה קווים:
- הגדרות: מידע אישי ומאגרים מוגדרים באופן שמתאים לאתרים, CRM, דיוור ומערכות ענן.
- רישום או הודעה: חובת הרישום צומצמה מאוד. היא נשארה בעיקר למאגרים של גופים ציבוריים ולמאגרים שמטרתם העיקרית היא מסירת מידע לאחרים כעיסוק, כשיש בהם מידע על יותר מ-10,000 איש. מאגר עם מידע בעל רגישות מיוחדת על יותר מ-100,000 איש חייב בהודעה לרשות.
- אכיפה: לרשות יש כלי פיקוח ועיצומים כספיים. הגישה הנכונה היא היערכות מתועדת, בלי היסטריה.
לפני ואחרי תיקון 13
| נושא | לפני התיקון | אחרי התיקון |
|---|---|---|
| רישום מאגרים | כמעט כל מאגר חייב ברישום | רישום בעיקר לגופים ציבוריים ולסוחרי מידע מעל 10,000 איש, הודעה לרשות למאגר עם מידע בעל רגישות מיוחדת מעל 100,000 איש |
| סמכויות הרשות | כלים מנהליים מוגבלים | פיקוח, בירור מנהלי ועיצומים כספיים משמעותיים |
| ממונה על הגנת הפרטיות | לא הייתה חובה כללית | חובת מינוי לסוגי גופים שמוגדרים בחוק |
| הגדרות | «מידע רגיש», הגדרות משנות ה-80 | «מידע אישי» ו«מידע בעל רגישות מיוחדת», בהתאמה לעולם הדיגיטלי |
על מי חל תיקון 13 לחוק הגנת הפרטיות
תיקון 13 חל בעיקר על גופים שמעורבים באיסוף, אחסון, עיבוד או שימוש במידע אישי, גם אם אינם גופים ציבוריים גדולים. בפועל: בעלי מאגרי מידע; מי שמנהל או מחזיק מידע בפועל (CRM, דיוור, ספק שרתים); וספקים שמשתמשים במידע לצורך שירותים עסקיים.
דוגמאות נפוצות מהשטח: חנות עם רשימת לקוחות, אתר תדמית עם טופס יצירת קשר, אפליקציה עם רישום משתמשים, עסק ששולח ניוזלטר. כשמחזיקים מאגר מומלץ להחזיק מסמך הגדרות עדכני, למיפוי, בקרה וצמצום פערים.
מתי חובה למנות DPO ומתי מספיק ליווי חיצוני
תיקון 13 מחייב למנות ממונה על הגנת הפרטיות בארבעה מצבים עיקריים: גוף ציבורי, מאגר שמטרתו העיקרית מסירת מידע לאחרים כעיסוק עם מידע על יותר מ-10,000 איש, ארגון שעיסוקו העיקרי כרוך בניטור שיטתי של אנשים בהיקף ניכר, וארגון שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר. לא כל עסק חייב DPO, אבל עסקים שעובדים עם ספקים חיצוניים או אוספים הרבה מידע דרך האתר מרוויחים מליווי חיצוני. לבירור אם החובה חלה עליכם, כתבתי מאמר מפורט על מי חייב למנות ממונה הגנת פרטיות לפי תיקון 13.
צ'קליסט היערכות: אתר מול ארגון
| תחום | שאלה לבדיקה | פעולה מומלצת |
|---|---|---|
| אתר | יש מדיניות פרטיות מעודכנת ומקושרת מטפסים? | לכתוב או לעדכן מדיניות פרטיות לאתר |
| אתר | ברור מי בעל השליטה ומה מטרות האיסוף? | ליישר טפסים, עוגיות וניוזלטר למדיניות |
| ארגון | אילו מאגרים ומערכות מחזיקים מידע אישי? | מיפוי מאגרים ומסמך הגדרות |
| ארגון | עובדים עם ספקי שיווק או CRM חיצוניים? | הסכם DPA והרשאות מינימום |
| ארגון | חלה חובת מינוי DPO? | לבדוק מול מי מחויב למנות DPO |
| ארגון | מה נוהל אירוע אבטחה? | נוהל דיווח לרשות ותרגול |
מדיניות פרטיות, הסכמה וספקים חיצוניים
מהצד הדיגיטלי, תיקון 13 מתחבר ישירות למה שמופיע באתר: מדיניות פרטיות ברורה, קישור מטפסים, הסבר על מטרות האיסוף, והסכמי עיבוד מול ספקי שיווק או CRM. בלי זה, גם מיפוי מאגרים פנימי נשאר חלקי. כאן נכנסת כתיבת מדיניות פרטיות שמתאימה לטפסים ולניוזלטר, ואיתה מסדירים הסכם DPA מול ספקים, קובעים הרשאות מינימום ומפקחים על הורדות.
מה כולל ליווי WEB-A להיערכות לתיקון 13
מיפוי מאגרים ומערכות (איפה המידע יושב ומי ניגש אליו); מסמכים וגילוי בשלב האיסוף; צ'קליסט אתר (טפסים, תיבות הסכמה, עוגיות ופיקסלים); מדיניות פרטיות מותאמת; מיפוי ספקים והסכמי DPA; בדיקת חובת DPO ואבטחת האתר (HTTPS, הרשאות, הזדהות).
את הליווי מוביל אלי למבז, מומחה נגישות דיגיטלית מוסמך מטעם עמותת נגישות ישראל וממונה הגנת הפרטיות DPO מוסמך מאוניברסיטת בר אילן. אנחנו מחברים משפט וטכנולוגיה באותו תהליך.
בדקו איפה הארגון שלכם עומד
הרשות להגנת הפרטיות כבר יכולה להטיל עיצומים כספיים, וחלק גדול מהארגונים עוד לא בדקו את עצמם. בשיחה ראשונה בלי התחייבות נגיד לכם מה לבדוק קודם באתר ומה בארגון, לפני שמגיעה פנייה מהרשות או תביעה מגולש.
מידע כללי, אינו ייעוץ משפטי.
שאלות נפוצות
מהו תיקון 13 לחוק הגנת הפרטיות?
תיקון 13 הוא העדכון המרכזי לחוק הגנת הפרטיות משנת 1981. הוא מעדכן הגדרות, מחזק אכיפה מנהלית, מצמצם מאוד את חובת רישום המאגרים, ומחייב סוגים מסוימים של גופים למנות DPO.
מתי נכנס תיקון 13 לתוקף?
תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025. היערכות עסקית (מיפוי, מדיניות, DPA ובדיקת חובת DPO) רלוונטית גם אחרי מועד הכניסה לתוקף.
אילו סנקציות יש על הפרת החוק אחרי תיקון 13?
הרשות יכולה להטיל עיצומים כספיים על הפרות, למשל על אי מינוי ממונה כשיש חובה, על אי הודעה על מאגר או על הפרת תקנות אבטחת המידע. הסכום תלוי בסוג ההפרה ובמספר האנשים במאגר, ומתעדכן כל שנה לפי המדד. במקרים מסוימים הרשות יכולה להסתפק בהתראה מינהלית במקום עיצום. בנוסף, אדם שנפגע יכול לתבוע בבית משפט, ובחלק מההפרות גם פיצוי בלי הוכחת נזק.
מתי חייבים למנות ממונה על הגנת הפרטיות (DPO)?
החובה חלה על גופים ציבוריים, על סוחרי מידע עם יותר מ-10,000 איש במאגר, ועל ארגונים שעיסוקם העיקרי כרוך בניטור שיטתי או בעיבוד מידע בעל רגישות מיוחדת בהיקף ניכר. גם כשאין חובה, ליווי חיצוני מומלץ לעסקים עם ספקי שיווק ומאגרים פעילים.
מה הקשר בין תיקון 13 למדיניות פרטיות באתר?
האתר הוא נקודת המגע עם המשתמש: טפסים, עוגיות וניוזלטר חייבים לשקף מטרות איסוף, זהות בעל השליטה, והעברות לספקים. מדיניות מעודכנת היא חלק מהיערכות המעשית לתיקון.
שיחה אישית,
לא הצעת מחיר אוטומטית.
ספרו לנו על העסק והאתר, ונחזור אליכם עם דרך פעולה אישית לנגישות ולפרטיות, בלי התחייבות.