נכתב בתאריך 26 באוגוסט 2026
נקודות חשובות מהמאמר
תיקון 13 הוא העדכון המקיף ביותר לדיני הפרטיות בישראל מאז 1981. הנה מה שאתם חייבים לדעת מיד:
- ✓ עמידה בתקנות הגנת הפרטיות הפכה לחובה קריטית. הרשות יכולה להטיל קנסות של עד מאות אלפי שקלים על הפרות.
- ✓ התיקון חל על כולם – מעסקים קטנים שמחזיקים רשימת תפוצה ועד תאגידי ענק.
- ✓ ארגונים רבים יחויבו כעת למנות ממונה הגנת פרטיות (DPO) בעל ידע משפטי וטכנולוגי.
- ✓ אדם שפרטיותו נפגעה יכול לתבוע פיצוי של עד 10,000 ש"ח ללא צורך בהוכחת נזק.
- ✓ חובת רישום מאגרי מידע צומצמה, אך במקומה הוטלה "חובת הודעה" חלופית על ארגונים.
אם אתם מנהלים עסק, חברה או ארגון בישראל בשנת 2026, יש נושא אחד שאסור לכם להתעלם ממנו: תיקון 13 לחוק הגנת הפרטיות. הרגולציה השתנתה, כללי המשחק הוחמרו, והרשות להגנת הפרטיות קיבלה סמכויות אכיפה שכמותן לא ראינו בעבר. אם עד היום נושא הפרטיות היה משהו שדוחים לסוף הרשימה, היום זו כבר סכנה עסקית של ממש שיכולה לעלות בקנסות של מאות אלפי שקלים.
הבשורה הטובה היא שעם היערכות נכונה, אפשר להפוך את האיום הזה ליתרון תחרותי. לקוחות בוטחים יותר בעסקים ששומרים על המידע שלהם. במדריך הזה, נסביר לכם בגובה העיניים מה בדיוק אומר החוק החדש, על מי הוא חל, ואיך אתם יכולים להכין את העסק שלכם צעד אחר צעד. בלי מונחים משפטיים מסובכים – רק תכל'ס מה צריך לעשות כדי לישון בשקט.
מהו בעצם תיקון 13 לחוק הגנת הפרטיות ולמה דווקא עכשיו?
כדי להבין את גודל השינוי, צריך לחזור קצת אחורה. חוק הגנת הפרטיות הישראלי נחקק אי שם בשנת 1981. מאז, העולם השתנה לחלוטין. האינטרנט נולד, הרשתות החברתיות פרצו לחיינו, והמידע האישי של כולנו הפך למוצר הכי יקר בשוק. החוק הישן פשוט לא הצליח להתמודד עם המציאות הדיגיטלית של ימינו.
תיקון 13, שאושר סופית בכנסת ונכנס ברובו לתוקף, נועד לסגור את הפער הזה. הוא לוקח את ישראל צעד ענק קדימה ומתאים אותה לסטנדרטים הבינלאומיים המחמירים ביותר. המטרה שלו כפולה: מצד אחד, להגן עלינו כאזרחים ועל המידע האישי שלנו. מצד שני, להבהיר לעסקים מה מותר ומה אסור לעשות עם נתונים של לקוחות ועובדים.
עבור בעלי עסקים, המשמעות היא שאי אפשר יותר לאסוף מידע "רק שיהיה". כל פיסת מידע שאתם שומרים – שם, טלפון, היסטוריית רכישות או מצב רפואי – דורשת ניהול מדויק, אבטחה קפדנית ושקיפות מלאה מול הלקוח. מי שלא יתיישר לפי הכללים החדשים, צפוי להרגיש את נחת זרועה של הרשות להגנת הפרטיות.
הקשר ההדוק בין החוק הישראלי לתקנות ה-GDPR האירופיות
אם שמעתם את המונח GDPR בשנים האחרונות, אתם בוודאי יודעים שזוהי רגולציית הפרטיות המחמירה של האיחוד האירופי. תיקון 13 לא נולד בחלל ריק – הוא הושפע עמוקות מהתקנות הללו. למעשה, אחת הסיבות המרכזיות לקידום התיקון הייתה הרצון לשמור על מעמדה של ישראל כמדינה שמספקת "הגנה נאותה" (Adequacy) למידע בעיני האיחוד האירופי.
למה זה כל כך חשוב לעסקים בישראל? כי אם ישראל הייתה מאבדת את המעמד הזה, חברות ישראליות היו מתקשות מאוד לקבל ולעבד מידע מלקוחות או שותפים באירופה. זה היה יוצר כאב ראש אדיר ומכה כלכלית קשה למגזר ההייטק והשירותים.
לכן, התיקון מיישר קו עם עקרונות ה-GDPR: שקיפות, צמצום מידע (איסוף רק מה שבאמת צריך), והגברת זכויות הלקוחות. אם העסק שלכם כבר ערוך ל-GDPR, העבודה שלכם לקראת החוק הישראלי תהיה קלה בהרבה. ואם לא – זה בדיוק הזמן להתחיל.
הגדרות חדשות שחובה להכיר: מידע אישי, רגיש ועיבוד
התיקון החדש מרחיב ומדייק מונחי יסוד בחוק. ההגדרה של "מידע אישי" הורחבה משמעותית. כעת, כל נתון שאפשר לקשר לאדם ספציפי – גם אם זה מצריך הצלבה של כמה נתונים יחד – נחשב למידע אישי. זה כולל כתובות IP, נתוני מיקום בטלפון, מזהים דיגיטליים וקוקיז מתקדמים.
שינוי דרמטי נוסף נוגע להגדרה של "מידע רגיש". הרשימה התארכה והיא כוללת כיום נתונים ביומטריים, מידע על מוצא, נתונים גנטיים, וכמובן מידע רפואי. אם אתם, למשל, מנהלים קליניקה ומחזיקים תיקים רפואיים, או מנהלים משרד העוסק בתחום של משרד עורך דין רשלנות רפואית, האחריות שלכם על המידע הזה היא עצומה ודורשת אבטחה ברמה הגבוהה ביותר.
התיקון גם מגדיר מחדש מהו "עיבוד מידע". עד היום דיברנו בעיקר על החזקת מידע במאגר. היום, כל פעולה שאתם עושים עם הנתונים – איסוף, אחסון, שינוי, העברה לאחרים ואפילו מחיקה – נחשבת לעיבוד ודורשת עמידה בכללי החוק.
על מי חל התיקון והאם גם עסקים קטנים צריכים לחשוש?
אחת הטעויות הנפוצות ביותר של בעלי עסקים היא המחשבה שדיני הגנת הפרטיות חלים רק על בנקים, חברות ביטוח ותאגידי הייטק ענקיים. המציאות בשנת 2026 שונה לחלוטין. תיקון 13 חל על כל עסק, ארגון או עמותה שאוספים מידע אישי על אנשים בישראל.
יש לכם חנות וירטואלית עם רשימת לקוחות? אתם רואי חשבון או משרד שמתמחה בתחום עו ד מיסים ושומרים דוחות פיננסיים של לקוחות? יש לכם אפליקציה שאוספת מספרי טלפון? החוק חל עליכם במלואו. גם אם אתם עסק של אדם אחד ששומר קובץ אקסל עם שמות וטלפונים של לקוחות – אתם כפופים לחוק.
עם זאת, המחוקק הבין שלא הגיוני לדרוש מעסק קטן בדיוק את אותן דרישות אבטחה של בנק. לכן, התקנות מבדילות בין סוגי מאגרים לפי היקף המידע ורגישותו. אבל האחריות הבסיסית לשמור על המידע ולא לאסוף נתונים ללא צורך – מוטלת על כולם במידה שווה.
צמצום חובת הרישום לעומת חובת ההודעה החדשה
אחד השינויים המבורכים בתיקון 13 הוא ביטול החובה המיושנת לרשום כל מאגר מידע קטן אצל רשם מאגרי המידע. בעבר, כל עסק היה צריך למלא טפסים ארוכים כדי לרשום את רשימת הלקוחות שלו. התיקון מצמצם מאוד את החובה הזו, ומקל על הנטל הבירוקרטי עבור עסקים קטנים שמחזיקים מידע רק לצורך מתן שירות יומיומי.
אבל – וזה אבל גדול – הפטור מרישום לא פוטר מאחריות. במקום חובת הרישום הרחבה, התיקון מציג מנגנון חדש: "חובת הודעה". ארגונים שמחזיקים מאגרי מידע משמעותיים יצטרכו להודיע לרשות על קיום המאגר ולמסור פרטים בסיסיים, גם אם המאגר אינו טעון רישום רשמי מורכב.
כמו כן, חשוב להבין שגם אם אתם פטורים מרישום, אתם עדיין חייבים לעמוד בכל שאר הדרישות: אבטחת מידע, יידוע לקוחות, טיפול בבקשות עיון במידע ודיווח על אירועי סייבר. הפטור הוא רק על הניירת הראשונית, לא על המהות.
| נושא מרכזי | המצב הישן (לפני התיקון) | המצב החדש (תיקון 13) |
|---|---|---|
| רישום מאגרי מידע | חובת רישום רחבה וכמעט גורפת לכל מאגר. | צמצום משמעותי של החובה, במקביל ליצירת 'חובת הודעה' למאגרים מסוימים. |
| ממונה הגנת פרטיות (DPO) | ללא חובה חוקית מוגדרת בדין הישראלי. | חובה מנדטורית לגופים ציבוריים וגופים פרטיים גדולים/רגישים. |
| קנסות ועיצומים | קנסות נמוכים, סמכויות אכיפה מוגבלות. | עיצומים כספיים של מאות אלפי שקלים וסמכויות חקירה נרחבות. |
| פיצוי ללא הוכחת נזק | לא היה קיים בחוק הפרטיות באותו היקף. | עד 10,000 ש"ח פיצוי סטטוטורי לכל נפגע. |
ממונה הגנת פרטיות (DPO): מי חייב למנות ומה התפקיד שלו?
אחד החידושים המשמעותיים ביותר בתיקון 13 הוא החובה למנות ממונה על הגנת הפרטיות, או באנגלית Data Protection Officer (DPO). עד כה, רק חברות שפעלו מול אירופה מינו בעל תפקיד כזה. מעתה, זוהי דרישת חובה גם לארגונים רבים בישראל.
אז מי חייב למנות DPO? ראשית, כל הגופים הציבוריים והממשלתיים. שנית, גופים פרטיים שעומדים בקריטריונים מסוימים, כגון: ארגונים שעיקר פעילותם הוא איסוף ועיבוד של מידע רגיש בהיקף גדול (למשל, קופות חולים, חברות ביטוח), או חברות שמבצעות מעקב וניטור שיטתי אחרי אנשים (כמו חברות אשראי או אפליקציות מיקום).
למרות שלא כל עסק קטן חייב במינוי רשמי, מומלץ מאוד לכל ארגון להגדיר אחראי פנימי שירכז את נושא הפרטיות. כשיש גורם אחד שזהו תפקידו, קל יותר לוודא שהנהלים מיושמים ושאין פרצות שנופלות בין הכיסאות של מחלקות שונות בארגון.
מהן הדרישות מממונה הגנת הפרטיות?
אי אפשר למנות סתם עובד אקראי לתפקיד. החוק דורש שלממונה יהיה ידע מקצועי משולב: הבנה משפטית של דיני הפרטיות, לצד הבנה טכנולוגית של מערכות מידע ואבטחת סייבר. הוא צריך להבין איך נתונים זורמים בתוך הארגון ומחוצה לו.
מעבר לידע, הדרישה הקריטית ביותר היא עצמאות. ה-DPO חייב להיות בעל סמכות לפעול באופן בלתי תלוי. אסור להנהלה להורות לו כיצד לפעול בנושאים מקצועיים, ואסור לפטר אותו רק בגלל שהצביע על ליקויים בארגון. הוא למעשה משמש כ"שומר הסף" הפנימי, שתפקידו להגן על הלקוחות והעובדים, ולדווח ישירות להנהלה הבכירה או לדירקטוריון.
תפקידיו היומיומיים כוללים הדרכת עובדים, ביצוע תסקירי השפעה על פרטיות (Privacy Impact Assessments) לפני השקת שירותים חדשים, ניהול פניות של צרכנים שמבקשים למחוק או לעיין במידע שלהם, וכמובן – ניהול משברים במקרה של דלף מידע חלילה.
סמכויות האכיפה החדשות: קנסות כבדים וסנקציות פליליות
אם בעבר הרשות להגנת הפרטיות נתפסה כגוף חלש ללא שיניים אמיתיות, תיקון 13 משנה את התמונה מהקצה אל הקצה. הרשות מקבלת כעת סמכויות אכיפה, חקירה וענישה שמעמידות אותה בשורה אחת עם רגולטורים חזקים כמו רשות התחרות או רשות ניירות ערך.
השינוי הבולט ביותר הוא המעבר לעיצומים כספיים. הרשות לא צריכה ללכת לבית משפט כדי לקנוס עסק. היא יכולה להטיל קנסות מנהליים ישירות על מי שמפר את החוק. הסכומים יכולים להיות כואבים מאוד. לדוגמה, אי קיום הוראות אבטחת מידע או עיבוד מידע ללא הרשאה יכולים לגרור קנסות של מאות אלפי שקלים. עבור ארגונים גדולים, הקנסות יכולים להצטבר לסכומים פסיכיים של מיליונים.
בנוסף לקנסות, הרשות קיבלה סמכות לבצע ביקורות פתע בעסקים, לדרוש מסמכים, לתפוס מחשבים ולהיעזר במומחים חיצוניים בחקירות. אם אתם מוצאים את עצמכם תחת חקירה כזו, זה לא הזמן לאלתר. כדאי מאוד להתייעץ מיידית עם גורם משפטי, ממש כפי שהייתם קוראים את זומנת לחקירה במשטרה? מדריך הישרדות ל-24 השעות הראשונות במקרה של חקירה פלילית רגילה.
אזהרת סיכון עסקי:
אי-עמידה בדרישות אבטחת המידע החדשות לא רק חושפת אתכם לקנסות מצד הרשות, אלא מגבירה משמעותית את הסיכון לפריצות סייבר ודלף מידע. אירוע כזה עלול להרוס את המוניטין של העסק ולגרור תביעות ענק מצד הלקוחות.
פיצויים ללא הוכחת נזק והארכת תקופת ההתיישנות
מעבר לקנסות המדינה, התיקון מעניק כוח אדיר לאזרח הקטן. אם בעבר היה קשה לתבוע חברה על פגיעה בפרטיות כי היה צריך להוכיח שהנגרם נזק כספי ממשי, כעת החוק מאפשר לבית המשפט לפסוק פיצוי סטטוטורי (ללא הוכחת נזק) של עד 10,000 ש"ח על כל הפרה.
תחשבו על התרחיש הבא: עובד בארגון בטעות שולח מייל עם נתונים רגישים ל-100 אנשים בגלל טעות בכתובת ה-BCC. כל אחד מאותם 100 אנשים יכול לתבוע את הארגון. במקרים כאלה, עורכי דין מתחום הנזיקין, כמו למשל משרד עורכי דין נזיקין, מגישים תביעות ייצוגיות שיכולות למוטט עסק כלכלית.
חידוש נוסף שמגדיל את החשיפה המשפטית של ארגונים הוא הארכת תקופת ההתיישנות. עד לתיקון, ניתן היה לתבוע על פגיעה בפרטיות רק עד שנתיים מיום האירוע. התיקון השווה את המצב לדין האזרחי הרגיל, וכעת התיישנות על עוולות של פגיעה בפרטיות עומדת על שבע שנים שלמות. זה אומר שהארגון שלכם חשוף לתביעות על אירועי עבר למשך זמן רב הרבה יותר.
אחריות אישית של מנהלים ודירקטוריון
אי אפשר יותר להפיל את האשמה רק על מחלקת המחשוב (IT). התיקון לחוק, יחד עם פסיקות אחרונות, שם את האחריות הישירה על כתפי ההנהלה הבכירה והדירקטוריון. תפקידם אינו רק לאשר תקציבים, אלא לפקח באופן אקטיבי על מדיניות הפרטיות ואבטחת המידע של הארגון.
דירקטוריון שלא יוודא כי בוצעו סקרי סיכונים, שלא ימנה בעלי תפקידים מתאימים, ושלא ידרוש דיווחים שוטפים על מצב אבטחת המידע – עלול למצוא את עצמו חשוף לתביעות אישיות במקרה של דלף מידע. החוק קובע אחריות פלילית ואישית למנהלים ונושאי משרה שלא מנעו עבירות פרטיות בארגונם.
השפעת החוק החדש על שיווק דיגיטלי ושימוש במידע לקוחות
עבור מחלקות שיווק ופרסום, תיקון 13 הוא סוג של רעידת אדמה. עד היום, עסקים רבים אספו כמה שיותר מידע על גולשים – מה הם אוהבים, איפה הם גולשים, על מה הם מקליקים – והשתמשו בזה לפרסום ממוקד (פרופיילינג) ללא הגבלה של ממש.
הכללים החדשים מחייבים שקיפות מלאה. אם אתם אוספים מידע למטרות שיווק, אתם חייבים להסביר זאת ללקוח בצורה פשוטה וברורה מראש (ולא באותיות הקטנות של עמוד 42 בתקנון). עליכם לקבל הסכמה מדעת לעיבוד המידע הזה, במיוחד אם מדובר בהצלבת נתונים או יצירת פרופיל אישי של הלקוח.
בנוסף, קיים "עקרון צמידות המטרה". המשמעות היא שאם לקוח מסר לכם את מספר הטלפון שלו רק כדי שתשלחו לו חשבונית, אסור לכם לקחת את המספר הזה ולהשתמש בו כדי לשלוח לו מבצעי סמס ללא אישורו המפורש. משרדי עורכי דין מהשורה הראשונה, כמו משרד כספי סרור ושות, מדגישים כי הפרדה חכמה של נתונים למטרות שונות היא הדרך הבטוחה ביותר להימנע מתביעות במקרים אלו.
מפת דרכים: צ'קליסט מעשי להיערכות הארגון
אז הבנו שהחוק החדש מחמיר ושחייבים לפעול. אבל מאיפה מתחילים? במקום להיבהל, כדאי לגשת לזה כפרויקט מסודר. הכנו עבורכם מפת דרכים היברידית – שמשלבת את הדרישות המשפטיות עם הצעדים התפעוליים שאתם צריכים לבצע בשטח כדי ליישם את החוק בצורה מלאה.
צ'קליסט תפעולי: כך תכינו את הארגון שלכם
-
✓
מיפוי נתונים מלא: זהו איזה מידע אישי ורגיש אתם שומרים, איפה הוא נשמר (ענן, שרת פיזי, קלסרים), ומי בארגון חשוף אליו. -
✓
צמצום מידע עודף: מחקו כל מידע שאתם כבר לא באמת צריכים לצורך הפעילות העסקית השוטפת שלכם. -
✓
בחינת הצורך במינוי DPO: בדקו מבחינה משפטית האם הארגון שלכם מחויב למנות ממונה הגנת פרטיות רשמי. -
✓
עדכון מסמכי מדיניות: רעננו את תנאי השימוש ומדיניות הפרטיות באתר שלכם בהתאם לדרישות השקיפות החדשות. -
✓
הכנת נוהל אירוע סייבר: כתבו מראש תוכנית מגירה – מה עושים, למי מתקשרים ואת מי מיידעים במקרה של דלף מידע.
שלב 1: מיפוי נתונים והערכת סיכונים יסודית
אי אפשר להגן על מה שלא יודעים שקיים. השלב הראשון והחשוב ביותר הוא פרויקט "מיפוי נתונים" (Data Mapping). שבו עם ראשי המחלקות השונות (שיווק, משאבי אנוש, שירות לקוחות, כספים) ותשאלו: איזה מידע אתם אוספים? למה? מאיפה הוא מגיע? כמה זמן אנחנו שומרים אותו?
במהלך המיפוי, אתם תגלו הרבה "זבל נתונים" – למשל, קורות חיים של מועמדים מלפני 5 שנים ששוכבים בתיקיית הורדות של מנהלת משאבי האנוש. המידע הזה מיותר, לא משרת שום מטרה עסקית, אבל במקרה של פריצה הוא יהווה הפרת פרטיות חמורה. לאחר המיפוי, בצעו הערכת סיכונים וקבעו אילו מאגרים דורשים אבטחה מוגברת.
שלב 2: התאמת אתרי אינטרנט, אפליקציות ומדיניות פרטיות
חלון הראווה של העסק שלכם הוא האתר שלו. כל גולש שמגיע לאתר שלכם צריך לדעת בדיוק מה קורה עם המידע שלו. עליכם לנסח ולעלות לאתר מדיניות פרטיות ברורה, פשוטה ולא מתחכמת. המדיניות צריכה להסביר אילו סוגי קוקיז אתם מפעילים, האם אתם מעבירים נתונים לצד שלישי, וכיצד הגולש יכול לבקש לעיין במידע שלו או למחוק אותו.
זכרו, העתקה של מדיניות פרטיות מאתר אחר היא טעות קשה. המדיניות חייבת לשקף בדיוק את המציאות הטכנולוגית של האתר שלכם. כמו כן, ודאו שיש לכם בארונית הכלים גם הצהרת נגישות מעודכנת, שכן רגולציה באה בדרך כלל בחבילות, ואתרי אינטרנט הם יעד מרכזי לביקורות של רשויות האכיפה.
שלב 3: הדרכות עובדים והטמעת נהלים בשגרה
המערכות הטכנולוגיות המתקדמות ביותר בעולם לא יעזרו אם העובד שלכם ישאיר את המחשב פתוח בבית קפה, או ילחץ על לינק פישינג במייל. הגורם האנושי הוא החוליה החלשה ביותר בכל מערך אבטחת מידע והגנת פרטיות.
לכן, תיקון 13 מחייב (ובצדק) הדרכות תקופתיות לכלל העובדים. עובדי הארגון חייבים להבין ששמירה על סודיות ופרטיות הלקוחות היא חלק מרכזי מהתפקיד שלהם. צרו נהלים פנימיים ברורים: איך שולחים קבצים רגישים (רק עם סיסמה), מה עושים במקרה של אובדן טלפון נייד של העבודה, ואיך מזהים ניסיון דיוג (פישינג).
למידע נוסף בנושא: עמידה בתקנות הגנת הפרטיות.
הטיפ של דן
"מהניסיון שלי, הטעות הכי גדולה של מנהלים היא להגיד 'לי זה לא יקרה' או 'אני עסק קטן, אף אחד לא יחפש אותי'. הרשות להגנת הפרטיות שינתה פאזה, והקנסות היום הם אוטומטיים וכואבים מאוד. אל תחכו למכתב התראה מהרשות או חלילה לאירוע של פריצת סייבר כדי להתעורר.
היערכות נכונה היום תחסוך לכם מאות אלפי שקלים של קנסות ומשברים תדמיתיים מחר. קחו יועץ מומחה, תעשו סדר בנתונים שלכם, ותהפכו את השמירה על הפרטיות לתעודת כבוד של העסק שלכם אל מול הלקוחות."
שאלות נפוצות
מהו תיקון 13 לחוק הגנת הפרטיות ומהם השינויים המרכזיים בו?
תיקון 13 הוא העדכון המקיף ביותר לחוק הגנת הפרטיות הישראלי מאז 1981, ומטרתו להתאים את החוק למציאות הדיגיטלית ולתקנות האירופיות (GDPR). השינויים המרכזיים כוללים: הרחבת סמכויות האכיפה של הרשות (כולל קנסות של מאות אלפי שקלים), ביטול חובת הרישום למאגרים רבים והחלפתה בחובת הודעה, חובה על ארגונים מסוימים למנות ממונה הגנת פרטיות (DPO), והחמרת הענישה הפלילית והאזרחית, כולל אפשרות לפיצוי ללא הוכחת נזק.
על מי חל תיקון 13 לחוק הגנת הפרטיות והאם הוא נוגע גם לעסקים קטנים?
החוק והתיקון חלים על כל עסק, חברה, ארגון או עמותה בישראל שאוספים ומעבדים מידע אישי, ללא קשר לגודלם. זה נוגע בהחלט גם לעסקים קטנים כמו חנויות אינטרנטיות, רואי חשבון, קליניקות פרטיות ואפילו עסקים של אדם אחד המנהלים רשימות תפוצה. עם זאת, רמת האבטחה הנדרשת מותאמת לגודל המאגר ולרגישות המידע, כך שמעסק קטן לא נדרשים אותם אמצעים טכנולוגיים כבדים כמו מבנק, אך עקרונות השמירה על הפרטיות זהים.
מהן הסנקציות וההשלכות של אי-עמידה בדרישות החוק?
אי-עמידה בחוק עלולה להוביל לסנקציות חמורות. הרשות להגנת הפרטיות מוסמכת כעת להטיל קנסות מנהליים (עיצומים כספיים) היכולים להגיע עד למאות אלפי שקלים על כל הפרה, כגון ניהול מאגר בניגוד לחוק או אי-דיווח על אירוע אבטחה. בנוסף, לקוחות ועובדים יכולים לתבוע את הארגון אזרחית ולקבל פיצוי של עד 10,000 ש"ח ללא הוכחת נזק. במקרים חמורים, קיימות גם סנקציות פליליות ואחריות אישית על מנהלים.
האם תיקון 13 כולל חובה למנות ממונה על הגנת הפרטיות (DPO)?
כן, התיקון קובע חובה רשמית למנות ממונה הגנת פרטיות (DPO) עבור גופים ציבוריים וממשלתיים, וכן עבור גופים פרטיים העונים על קריטריונים ספציפיים. חברות פרטיות יחויבו בכך אם הן מעבדות מידע רגיש בהיקף נרחב, או אם עיקר פעילותן כולל ניטור ומעקב שיטתי אחר אנשים. גם אם החוק לא מחייב אתכם למנות DPO באופן רשמי, ההמלצה החד-משמעית היא להגדיר אחראי פנימי בארגון שירכז את הנושא.
מה נדרש מבעל עסק לעשות כדי לעמוד בדרישות התיקון לחוק?
על בעל עסק לנקוט מספר צעדים מעשיים: 1. ביצוע מיפוי נתונים יסודי כדי להבין איזה מידע אישי נאסף ואיפה הוא נשמר. 2. צמצום מידע עודף ומחיקת נתונים שאין בהם צורך עסקי. 3. עדכון מדיניות הפרטיות ותנאי השימוש מול הלקוחות, תוך הקפדה על שקיפות מלאה. 4.
הטמעת נהלי אבטחת מידע בהתאם לתקנות (כגון סיסמאות, גיבויים והגבלת הרשאות גישה). 5. הדרכת עובדים שוטפת בנושאי אבטחה ופרטיות.
מה מוגדר כמידע רגיש לפי תיקון 13?
ההגדרה של "מידע רגיש" הורחבה והיא כוללת נתונים בעלי פוטנציאל פגיעה משמעותי באדם אם ייחשפו. זה כולל: נתונים על מצב בריאותי רפואי או נפשי, נתונים ביומטריים, נתונים גנטיים, מידע על דעות פוליטיות, מידע על אמונה דתית, נתונים על עבר פלילי, ומידע פיננסי מהותי (כגון היסטוריית אשראי). החזקת מידע מסוג זה דורשת רמת אבטחה גבוהה משמעותית וקבלת הסכמה מפורשת מהלקוח לאיסופו.
כיצד תיקון 13 משפיע על שיווק דיגיטלי ושימוש במידע לקוחות?
התיקון מחייב אנשי שיווק לעבוד בשקיפות גמורה. אי אפשר יותר לאסוף נתונים ולעשות בהם פרופיילינג או פרסום ממוקד מבלי ליידע את הלקוח מראש ובצורה ברורה. חובה לקבל הסכמה מדעת לשימושים שיווקיים, ויש להקפיד על "עקרון צמידות המטרה" – אסור להשתמש במידע שנאסף למטרה אחת (למשל, כתובת מייל למשלוח קבלה) למטרה אחרת (שיווק בניוזלטר) ללא אישור חד-משמעי מהלקוח. בנוסף, חובה לספק ללקוחות דרך קלה לבקש את מחיקת המידע שלהם.
לסיכום
לסיכום, שנת 2026 הביאה איתה מציאות רגולטורית חדשה. תיקון 13 לחוק הגנת הפרטיות הוא לא עוד המלצה, אלא דרישת חובה שכל עסק וארגון בישראל חייבים ליישם. קנסות כבדים, תביעות אזרחיות ונזק תדמיתי אדיר מחכים למי שיבחר להתעלם מהחוק. מנגד, ארגון שמשקיע באבטחת מידע וניהול נכון של פרטיות, מרוויח את הדבר החשוב ביותר: את אמון הלקוחות שלו.
תהליך ההיערכות דורש תשומת לב, הבנה משפטית והתאמות טכנולוגיות. אל תישארו עם זה לבד ואל תחכו לרגע האחרון. אם אתם זקוקים להכוונה אישית כיצד להכין את העסק שלכם, אנו מזמינים אתכם להיכנס לעמוד צור קשר. הצוות שלנו והמומחים בפורטל כאן כדי להעניק לכם שקט נפשי והגנה מלאה.
