חוק הגנת הפרטיות לעסקים: מה חייבים לעשות אחרי תיקון 13

חוק הגנת הפרטיות חל על כל עסק או אתר שאוספים, שומרים או משתמשים במידע אישי על אנשים: לקוחות, לידים, מנויים לניוזלטר, עובדים וספקים. תיקון 13 לחוק נכנס לתוקף ב-14 באוגוסט 2025, הרחיב את ההגדרה של מידע אישי, צמצם מאוד את חובת הרישום של מאגרי מידע, הוסיף חובת מינוי ממונה הגנת פרטיות לגופים מסוימים והעניק לרשות להגנת הפרטיות סמכות להטיל עיצומים כספיים. רוב העסקים הקטנים לא צריכים לרשום מאגר, אבל כולם חייבים ליידע את מי שמוסרים להם מידע, לאבטח אותו ולאפשר לאנשים לעיין בו ולתקן אותו.

האם החוק חל עליכם?

כמעט בוודאות כן. החוק לא מבחין בין חברה גדולה לעוסק פטור עם אתר קטן: מי ששומר רשימת לקוחות באקסל, מפעיל טופס יצירת קשר, מחזיק קורות חיים של מועמדים או מצלם באמצעות מצלמות אבטחה, מחזיק מידע אישי. ההבדל בין עסק קטן לגוף גדול הוא בעיקר בחובות הנוספות (רישום, הודעה לרשות, ממונה) ובעוצמת האבטחה הנדרשת, ולא בעצם תחולת החוק.

הנקודה הראשונה לבדוק היא מי נחשב בעל השליטה במאגר. בדרך כלל זה העסק שמחליט למה המידע נאסף ומה עושים בו. ספקים שמטפלים במידע בשמכם, כמו מערכת דיוור, חברת שכר או שירות ענן, נחשבים מחזיקים, וגם עליהם חלות חובות, אבל האחריות להגדיר להם מה מותר ואסור נשארת אצלכם.

מה נחשב מידע אישי, ומה מידע בעל רגישות מיוחדת

לפי הנוסח המעודכן של החוק, מידע אישי הוא כל נתון על אדם מזוהה או כזה שאפשר לזהות בדרך סבירה, במישרין או בעקיפין. מעבר לשם ולתעודת הזהות, הכוונה גם למזהים ביומטריים, נתוני מיקום, מזהים מקוונים ונתונים על מצבו הבריאותי, הכלכלי או החברתי של אדם. למעשה, כתובת אימייל, מספר טלפון ומזהה מכשיר שמופיע בכלי אנליטיקס יכולים להיכנס להגדרה, כשאפשר לקשר אותם לאדם.

מידע בעל רגישות מיוחדת מקבל הגנה חזקה יותר. הוא כולל, בין היתר:

• מידע רפואי וגנטי ומידע ביומטרי
• נטייה מינית, חיי משפחה, מוצא, דעות פוליטיות והשקפה דתית
• עבר פלילי
• נתוני שכר ופעילות כלכלית
• נתוני מיקום ותעבורה
• הערכות אישיות ומידע החסוי בדין מקצועי

אם העסק שלכם מחזיק רשימות כאלה, למשל מרפאה, מכון כושר עם נתוני בריאות או חברת גיוס עם הערכות מועמדים, הדרישות עליכם כבדות יותר.

מה השתנה בתיקון 13

שימו לב: ביטול חובת הרישום לא מבטל את שאר החובות. כל ההוראות בחוק ובתקנות חלות גם על מאגר שאינו חייב ברישום.

מי חייב למנות ממונה הגנת פרטיות

1. גופים ציבוריים
2. סוחרי מידע שמחזיקים מידע על יותר מ-10,000 אנשים
3. גופים שעיקר עיסוקם מעקב שיטתי ורציף אחר אנשים
4. גופים שעיקר עיסוקם עיבוד מידע רגיש בהיקף משמעותי

עסק קטן שמנהל חנות או נותן שירותים ואוסף פרטי לקוחות רגילים לא נכנס בדרך כלל לאף אחת מהקבוצות. עסק שבו עיבוד נתוני בריאות או מעקב אחר התנהגות משתמשים הוא לב הפעילות, כדאי שיבדוק את עצמו, כי שם ההגדרה כבר רלוונטית.

החובות שחלות על כל עסק

ליידע לפני שאוספים

כשאתם מבקשים מאדם למסור מידע, סעיף 11 לחוק מחייב להודיע לו כמה דברים: אם חובה עליו למסור את המידע או שזה בהסכמתו, לאיזו מטרה המידע נאסף, מי הגוף שאוסף אותו ואיך יוצרים קשר, למי המידע יימסר ולאיזו מטרה, ושיש לו זכות לעיין במידע ולבקש לתקנו. בטופס באתר זה מתבצע בדרך כלל באמצעות משפט קצר ליד כפתור השליחה וקישור למדיניות פרטיות.

להשתמש במידע רק למטרה שלשמה נאסף

מידע שנמסר לצורך הזמנה לא יכול להפוך אוטומטית לרשימת תפוצה, ולא אפשר להעביר אותו לשותף עסקי רק כי זה משתלם. שימוש במידע למטרה אחרת מהמטרה שלשמה נמסר עלול להיות הפרה של החוק, ובשיווק נדרשת גם הסכמה מתאימה. הנושא הזה נבחן גם בחוק התקשורת, וכתבנו עליו בנפרד במאמר על ספאם והאפשרות לתבוע.

לאבטח את המידע

סעיף 17 מטיל על בעל השליטה במאגר ועל המחזיק אחריות להגן על המידע מפני גישה או שימוש לא מורשים. ההיקף נקבע לפי תקנות אבטחת מידע ולפי רמת הסיכון של המאגר. בפועל, גם בעסק קטן זה אומר סיסמאות חזקות, הרשאות גישה לפי תפקיד, גיבוי, עדכוני תוכנה, והקפדה שלא נשלחים קובצי לקוחות בוואטסאפ פרטי. במאגרים שחלה עליהם רמת אבטחה בינונית או גבוהה יש גם חובה לדווח לרשות על אירוע אבטחה חמור.

לאפשר עיון ותיקון

על פי סעיפים 13 ו-14, כל אדם רשאי לבקש לעיין במידע עליו שמוחזק במאגר, ואם המידע אינו נכון, שלם, ברור או מעודכן, לדרוש תיקון או מחיקה. כדאי לקבוע מראש מי אצלכם מקבל פניות כאלה ואיך מאמתים את זהות הפונה, כדי לא למסור מידע על אדם לגורם אחר.

מה זה אומר על האתר שלכם

• מדיניות פרטיות: עמוד שמפרט איזה מידע נאסף, לאיזו מטרה, למי הוא מועבר ואיך פונים בבקשת עיון. היא משלימה את התקנון ולא מחליפה אותו, וכתבנו על התקנון במאמר על ניסוח תקנון אתר.
• טפסים: בכל טופס שאוסף פרטים, ציינו את המטרה וקשרו למדיניות. אל תבקשו שדות שאינכם צריכים, כמו תאריך לידה בטופס פנייה כללי.
• כלי מעקב ואנליטיקס: פיקסלים, מזהי מכשיר ותוספים של צד שלישי עשויים לאסוף מזהים מקוונים, ולכן כדאי למפות אותם ולהזכיר אותם במדיניות.
• תשלומים ופרטי לקוח בחנות: אם אתם מפעילים חנות, הפרטים נאספים במסגרת תהליך ההזמנה. על ההיבטים המשפטיים של ההקמה פירטנו במאמר על פתיחת חנות אונליין.
• אישור התנאים: סימון תיבה לפני שליחה הוא הדרך המקובלת להראות שהמשתמש קרא ואישר, והתוקף של זה נבחן במסגרת הדין החל על חוזים מקוונים.

דוגמה: חנות אונליין עם כמה אלפי לקוחות

נניח שאתם מפעילים חנות לממתקים בהזמנה אישית ויש לכם כמה אלפי לקוחות ורשימת תפוצה. לא תצטרכו לרשום מאגר ברשם, כי אינכם סוחרי מידע, וכמעט בוודאות אין לכם חובת ממונה. מצד שני, עדיין מוטלות עליכם החובות הבאות:

1. ליידע בטופס ההרשמה ובקופה מי אתם, מה המטרה ולמי הנתונים עוברים (למשל חברת המשלוחים).
2. לשמור את הנתונים במערכת מוגנת בסיסמה ובהרשאות, ולא בקבצים מפוזרים.
3. להגדיר מי עונה כשלקוחה כותבת ומבקשת לראות או למחוק את הפרטים שלה.
4. לוודא שהספקים, כמו מערכת הדיוור והאחסון, מחויבים לשמור על סודיות ועל אבטחה.

אם בהמשך המאגר ישמש בעיקר לאיסוף מידע כדי למסור אותו לגורמים אחרים, ומספר האנשים בו יעבור את 10,000, תיחשבו לסוחר מידע, ואז חובת הרישום וגם חובת הממונה עשויות לחול. זה בדיוק סוג השינוי שכדאי לבדוק מראש.

טעויות נפוצות

• להניח שהחוק נוגע רק לחברות גדולות. החוק חל על כל מי שמחזיק מידע אישי, וגם על עסק של אדם אחד.
• להעתיק מדיניות פרטיות מאתר אחר. המסמך צריך לתאר את מה שקורה אצלכם בפועל, אחרת הוא יוצר פער בין ההצהרה לבין הנעשה.
• לאסוף יותר ממה שצריך. כל שדה נוסף הוא מידע שתצטרכו לאבטח, למחוק ולהסביר.
• לשמור מידע ללא הגבלת זמן. אם אין סיבה עסקית לשמור פרטי לקוח ישנים או קורות חיים, כדאי לקבוע מדיניות מחיקה.
• לשלוח דיוור שיווקי בלי הסכמה. זו חשיפה נפרדת, לפי חוק התקשורת, מעבר לחוק הגנת הפרטיות.
• להתעלם מפנייה לעיון במידע. פנייה כזו היא זכות חוקית, ושתיקה רק מגדילה את הסיכון להליך.

איך מתחילים לסדר את זה

הדרך הפרקטית היא להתחיל במיפוי: איזה מידע אישי אתם אוספים, מאיפה, איפה הוא נשמר, מי ניגש אליו ולמי הוא מועבר. אחרי המיפוי קל יותר לכתוב מדיניות פרטיות מדויקת, לתקן טפסים ולהחליט אם אחת מהחובות המיוחדות (רישום, הודעה לרשות או ממונה) חלה עליכם. אם העסק שלכם מטפל במידע רגיש, בהיקף גדול או מעביר מידע לחו״ל, שווה להיעזר בעורך דין שמתמחה בתחום, כי ההערכה תלויה בנסיבות. סקירה כללית של התחום מופיעה גם בדף על הסוגיות המשפטיות בהקמת אתר.

להרחבה: רכישת שם דומיין לעסק: איך בוחרים בלי לסכן את המותג

שאלות נפוצות

האם עסק קטן חייב לרשום מאגר מידע?

לרוב לא. מאז תיקון 13 חובת הרישום חלה בעיקר על גופים ציבוריים ועל סוחרי מידע שמטרת המאגר שלהם היא איסוף מידע על יותר מ-10,000 אנשים כדי למסור אותו לאחרים. שאר החובות בחוק, כמו יידוע ואבטחה, ממשיכות לחול.

מתי נכנס תיקון 13 לתוקף?

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025, שנה אחרי פרסומו ברשומות.

מי חייב למנות ממונה הגנת פרטיות?

גופים ציבוריים, סוחרי מידע שמחזיקים מידע על יותר מ-10,000 אנשים, גופים שעיקר עיסוקם מעקב שיטתי ורציף אחר אנשים, וגופים שעיקר עיסוקם עיבוד מידע רגיש בהיקף משמעותי.

מה חייבים לכתוב בטופס יצירת קשר באתר?

יש ליידע את הפונה אם מסירת המידע חובה או וולונטרית, לאיזו מטרה הוא נאסף, מי הגוף האוסף ולמי המידע יימסר, ושיש לו זכות לעיין במידע ולתקנו. בפועל מקובל לשלב משפט קצר וקישור למדיניות פרטיות.

האם אדם יכול לדרוש לראות את המידע שהעסק שומר עליו?

כן. לפי סעיפים 13 ו-14 לחוק, לכל אדם יש זכות לעיין במידע עליו שמוחזק במאגר ולבקש תיקון או מחיקה של מידע שאינו נכון, שלם, ברור או מעודכן.

מקורות

• חוק הגנת הפרטיות, התשמ״א-1981 (נבו)
• מדריך מקצועי לתיקון 13 לחוק הגנת הפרטיות (gov.il, הרשות להגנת הפרטיות)
• בקשה לרישום מאגר מידע (gov.il)
• גילוי דעת: מינוי ממונה על הגנת הפרטיות בארגון (gov.il)
• שאלות ותשובות: רישום מאגרי מידע וחובת ההודעה (gov.il, הרשות להגנת הפרטיות)
• תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 (נבו)

המידע במאמר הוא כללי ואינו מהווה ייעוץ מקצועי (פיננסי, מס, משפטי או רפואי). לפני החלטה כדאי להתייעץ עם בעל מקצוע מוסמך.