תיקון 13 לחוק הגנת הפרטיות:
מה זה אומר עבורך?

ב-14 באוגוסט 2025 נכנס לתוקף תיקון 13 לחוק הגנת הפרטיות, שאושר בכנסת ב-5 באוגוסט 2024 — לפי מדריך הרשות להגנת הפרטיות, העדכון המקיף והמהותי ביותר לדיני הגנת הפרטיות בישראל מאז נחקק החוק. מטרת התיקון היא להתאים את החוק למציאות הדיגיטלית של ימינו, שבה כמעט כל ארגון עוסק, בצורה כזו או אחרת, באיסוף ובעיבוד מידע אישי.

אם אתה מנהל, בעלים או חלק מהנהלת חברה שמחזיקה או מעבדת מידע אישי – כדאי מאוד להבין מה השתנה, מי נדרש לפעול, ובאיזה לוח זמנים.

מה כולל תיקון 13 לחוק הגנת הפרטיות

תיקון 13 מביא שורה של חידושים שהופכים את תחום הגנת הפרטיות למחייב יותר, ברור יותר – ובעיקר אכיף הרבה יותר. בין הסעיפים המרכזיים:

• הגברת חובת השקיפות מול נושאי מידע – בעיקר באיסוף, בהעברה ובשיתוף של מידע עם צדדים שלישיים
• הרחבת סמכויות האכיפה של הרשות להגנת הפרטיות, כולל סמכות לפתוח בהליכי חקירה פליליים ומנהליים ולהטיל עיצומים כספיים
• הגדרות חדשות ורחבות ל"מידע אישי" ול"מידע בעל רגישות מיוחדת" (במקום "מידע רגיש")
• צמצום חובת רישום המאגרים, והוספת חובת הודעה לרשות על מאגרים עם מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם
• חובת מינוי ממונה הגנת פרטיות (DPO) בארגונים העומדים בקריטריונים מסוימים

מי חייב למנות ממונה הגנת פרטיות?

אחד השינויים המשמעותיים ביותר בתיקון הוא חובת מינוי ממונה הגנת פרטיות (DPO) — שבשיח המקצועי מכונה לעיתים גם "מנהל פרטיות". החובה חלה על ארבע קטגוריות של ארגונים:

• גופים ציבוריים המבצעים תפקיד ציבורי על פי דין (משרדי ממשלה, רשויות מקומיות, מוסדות להשכלה גבוהה, קופות חולים ועוד)
• סוחרי מידע – מחזיקי מאגר שעיסוקם העיקרי הוא איסוף מידע אישי על יותר מ-10,000 בני אדם והעברתו לאחרים כדרך עיסוק או בתמורה
• ארגונים המבצעים ניטור שיטתי בהיקף ניכר אחר מיקומם או פעולותיהם של אנשים
• ארגונים המעבדים מידע רגיש בהיקף ניכר כחלק מפעילותם העיקרית – למשל בנקים, חברות ביטוח, בתי חולים וקופות חולים

הממונה חייב לפעול באופן עצמאי, ללא ניגוד עניינים, עם גישה ישירה להנהלה הבכירה ועם משאבים מספקים לביצוע תפקידו. הממונה מדווח ישירות למנכ"ל או למי שכפוף לו במישרין, ולא ימלא תפקיד שמעמידו בחשש לניגוד עניינים. לפי מדריך הרשות, ממונה אבטחת מידע (CISO) יתקשה ברוב המקרים למלא גם את תפקיד ממונה הגנת הפרטיות. החוק מתיר להעסיק ממונה גם במיקור חוץ — ראו שירות DPO דרך שותפי VDPO.

מדריך מורחב בנושא זה — כולל פירוט תנאי הכשירות ומה קורה אם לא ממנים — זמין כאן.

הגדרות חדשות: מידע אישי ומידע בעל רגישות מיוחדת

התיקון החליף את ההגדרה הישנה של "מידע" בהגדרה רחבה של מידע אישי: כל נתון הנוגע לאדם מזוהה או לאדם הניתן לזיהוי במאמץ סביר — במישרין או בעקיפין, למשל לפי שם, מספר זהות, מזהה ביומטרי, נתוני מיקום או מזהה מקוון. המשמעות: כמעט כל מידע על לקוחות, עובדים או משתמשים שמוחזק במאגר כפוף לחוק.

ההגדרה מידע בעל רגישות מיוחדת החליפה את "מידע רגיש", וכוללת בין היתר:

• מידע על מצב בריאות, מידע גנטי ומזהה ביומטרי
• צנעת חיי המשפחה, צנעת האישות ונטייה מינית
• מוצא, עבר פלילי, דעות פוליטיות ואמונות דתיות
• הערכת אישיות, נתוני שכר ופעילות פיננסית
• נתוני מיקום ותעבורה שנוצרו אצל ספק תקשורת מורשה, ונתוני מיקום שמלמדים על אחת הקטגוריות הרגישות
• מידע שחלה עליו חובת סודיות לפי דין

מרישום להודעה: מה השתנה ברישום מאגרים

חובת רישום מאגרי המידע צומצמה משמעותית, ובמגזר הפרטי כמעט בוטלה. היא נשארת בעיקר על:

• מאגרים של גופים ציבוריים — למעט מאגר שכולל מידע על עובדי הגוף בלבד
• מאגרים שמטרתם העיקרית מסירת מידע לאחרים כדרך עיסוק או בתמורה (כולל דיוור ישיר), עם מידע על יותר מ-10,000 בני אדם

במקביל נוספה חובת הודעה: מאגר שיש בו מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם מחייב הודעה לרשות תוך 30 ימים, כולל עותק של מסמך הגדרות המאגר. ופטור מרישום אינו פטור משאר החובות — כל דרישות החוק והתקנות ממשיכות לחול. פירוט מה צריך להופיע במסמך הגדרות המאגר — במדריך מיפוי מאגרי מידע.

איסורים חדשים וחובת יידוע מורחבת

התיקון קובע איסורים חדשים על עיבוד מידע שלא כדין:

• עיבוד בניגוד למטרה — אין לעבד מידע אישי במאגר אלא למטרה שנקבעה לו כדין
• עיבוד ללא הרשאה — אין לעבד מידע ממאגר ללא הרשאה מבעל השליטה במאגר, או בחריגה ממנה
• מאגר שנאסף שלא כדין — אין לעבד מידע שנוצר, התקבל או נאסף בניגוד לחוק

גם חובת היידוע הורחבה. לפי סעיף 11 לחוק, פנייה לאדם לקבלת מידע אישי צריכה לפרט: האם חלה עליו חובה חוקית למסור את המידע ומה תוצאת אי-ההסכמה, למה המידע מבוקש, את שם בעל השליטה במאגר ודרכי ההתקשרות עמו, למי יימסר המידע ולאיזו מטרה, וכן את קיומן של זכות העיון וזכות התיקון.

למה תיקון 13 חשוב לארגון שלך?

עד היום, נושא פרטיות המידע לעיתים נדחק לשוליים – "עוד סעיף משפטי". אבל עם תיקון 13, זה כבר לא רק נושא משפטי – זה עניין תפעולי, ניהולי, וגם מוניטיני.

הרשות להגנת הפרטיות לא רק דורשת ציות – היא גם רשאית לבדוק, לחקור ולהטיל עיצומים כספיים משמעותיים על ארגונים שלא עומדים בדרישות החוק. כל ארגון שלא מסתגל בהתאם – חשוף לסיכון רגולטורי, כספי ותדמיתי.

מה המשמעות של תיקון 13 עבור הארגון שלך?

אם אתה מחזיק במאגר מידע (למשל: לקוחות, עובדים, מטופלים או משתמשים), או שאתה ספק שמעבד מידע עבור אחרים – המשמעות היא שאתה נדרש לפעול בצורה מתועדת, אחראית ומבוקרת. זה כולל בין השאר:

• ניסוח ועדכון מדיניות הפרטיות של הארגון
• וידוא שיש נהלים ברורים לטיפול בבקשות של נושאי מידע (עיון, תיקון, מחיקה)
• בחינה מחדש של ההתקשרויות עם ספקים – במיוחד אם הם נחשפים למידע אישי
• ניהול תיעוד מסודר של ההרשאות והבקרות על גישה למידע
• בחינה האם הארגון נכנס לאחת מארבע הקטגוריות המחייבות מינוי ממונה הגנת פרטיות

איך כדאי להתכונן לתיקון 13

• מיפוי מאגרי המידע שלכם – מה אתם שומרים, על מי, ולאיזו מטרה
• סיווג רמת האבטחה של כל מאגר לפי התקנות
• בדיקה של מי בארגון חשוף למידע אישי, ולמה
• סקירה של ההסכמים עם ספקים – כולל חוזי עיבוד מידע (DPA; הסבר על המונח במילון מונחי הפרטיות)
• בחינה של חובת מינוי ממונה הגנת פרטיות, ומינויו בפועל אם נדרש

המדריך המעשי: תיקון 13 בפועל

מאמרי ההמשך מפרקים את הדרישות לתהליכי עבודה:

• מינוי ממונה הגנת פרטיות — מי חייב, תנאי כשירות ועצמאות
• מיפוי מאגרי מידע — מסמך הגדרות המאגר, רשימת מצאי וחובת הודעה
• בקשות עיון ומחיקה — המועדים בתקנות ותהליך עבודה
• ניהול גורמים חיצוניים — ספקים, הסכמי עיבוד ובדיקות נאותות
• עדויות ושאלוני אבטחה מספקים — איך אוספים ומנהלים
• עיצום על עיריית בית שמש — לקחים מאכיפה בפועל
• מילון מונחים — ההסברים הפשוטים למונחים המורכבים

לסיכום

שאלות נפוצות

מתי נכנס תיקון 13 לתוקף?
הכנסת אישרה את חוק הגנת הפרטיות (תיקון מס' 13) ב-5 באוגוסט 2024, והוא נכנס לתוקף ב-14 באוגוסט 2025.

האם כל מאגר מידע צריך להירשם אחרי תיקון 13?
לא. חובת הרישום צומצמה, ונשארה בעיקר למאגרים של גופים ציבוריים ולמאגרים שמטרתם העיקרית מסירת מידע לאחרים כדרך עיסוק, עם מידע על יותר מ-10,000 בני אדם. מאגר שיש בו מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם מחייב הודעה לרשות תוך 30 ימים. מאגר שאינו חייב ברישום עדיין כפוף לכל שאר חובות החוק והתקנות.

מהו מידע בעל רגישות מיוחדת?
זו ההגדרה שהחליפה את "מידע רגיש". היא כוללת, בין היתר, מידע על מצב בריאות, מידע גנטי, מזהה ביומטרי, עבר פלילי, דעות פוליטיות ואמונות דתיות, הערכת אישיות, נתוני שכר ופעילות פיננסית, ומידע שחלה עליו חובת סודיות לפי דין.

מי חייב למנות ממונה הגנת פרטיות?
גופים ציבוריים, סוחרי מידע עם מידע על יותר מ-10,000 בני אדם, ארגונים שעיסוקם העיקרי כרוך בניטור שיטתי של בני אדם בהיקף ניכר, וארגונים שעיסוקם העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר — ובהם בנקים, חברות ביטוח, בתי חולים וקופות חולים.

מה הסנקציות על הפרת החוק אחרי תיקון 13?
לפי מדריך הרשות להגנת הפרטיות, הרשות רשאית להטיל עיצומים כספיים בסכומים משמעותיים, עד מיליוני ש"ח בגין כל הפרה. בנוסף, בתי המשפט רשאים לפסוק פיצוי של עד 10,000 ש"ח ללא הוכחת נזק בגין הפרות מסוימות, ותקופת ההתיישנות בתביעות אזרחיות הוארכה משנתיים לתקופה הכללית של שבע שנים.