תיקון 13 לחוק הגנת הפרטיות:
המדריך המלא והצ'קליסט

ב-14 באוגוסט 2025 נכנס לתוקף תיקון 13 לחוק הגנת הפרטיות, שאושר בכנסת ב-5 באוגוסט 2024 — לפי מדריך הרשות להגנת הפרטיות, העדכון המקיף והמהותי ביותר לדיני הגנת הפרטיות בישראל מאז נחקק החוק. מטרת התיקון היא להתאים את החוק למציאות הדיגיטלית של ימינו, שבה כמעט כל ארגון עוסק, בצורה כזו או אחרת, באיסוף ובעיבוד מידע אישי.

אם אתה מנהל, בעלים או חלק מהנהלת חברה שמחזיקה או מעבדת מידע אישי – כדאי מאוד להבין מה השתנה, מי נדרש לפעול, ובאיזה לוח זמנים. המדריך מסביר מה זה תיקון 13, מתי נכנס לתוקף, מה הוא אומר לאתרי אינטרנט, מה ההבדל בינו לבין תקנה 13 ומה הסנקציות, ומסתיים בצ'קליסט להטמעה.

מה זה תיקון 13 לחוק הגנת הפרטיות ומה הוא כולל

תיקון 13 הוא תיקון מקיף לחוק הגנת הפרטיות, התשמ"א-1981. הוא הופך את תחום הגנת הפרטיות למחייב יותר, ברור יותר – ובעיקר אכיף הרבה יותר. בין הסעיפים המרכזיים:

• הגברת חובת השקיפות מול נושאי מידע – בעיקר באיסוף, בהעברה ובשיתוף של מידע עם צדדים שלישיים
• הרחבת סמכויות האכיפה של הרשות להגנת הפרטיות, כולל סמכות לפתוח בהליכי חקירה פליליים ומנהליים ולהטיל עיצומים כספיים
• הגדרות חדשות ורחבות ל"מידע אישי" ול"מידע בעל רגישות מיוחדת" (במקום "מידע רגיש")
• צמצום חובת רישום המאגרים, והוספת חובת הודעה לרשות על מאגרים עם מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם
• חובת מינוי ממונה הגנת פרטיות (DPO) בארגונים העומדים בקריטריונים מסוימים

מתי תיקון 13 נכנס לתוקף?

הכנסת אישרה את התיקון ב-5 באוגוסט 2024, והוא נכנס לתוקף ב-14 באוגוסט 2025. מאז אותו מועד חלות ההוראות החדשות — ובהן סמכות העיצום של הרשות, חובת היידוע המורחבת והאיסורים החדשים על עיבוד מידע שלא כדין.

שינוי אחד חל באופן מדורג: ביטול ההתיישנות המקוצרת של שנתיים בתביעות אזרחיות לפי חוק הגנת הפרטיות חל, לפי מדריך הרשות, רק על עילת תביעה שנוצרה לאחר כניסת התיקון לתוקף.

מי חייב למנות ממונה הגנת פרטיות?

אחד השינויים המשמעותיים ביותר בתיקון הוא חובת מינוי ממונה הגנת פרטיות (DPO) — שבשיח המקצועי מכונה לעיתים גם "מנהל פרטיות". החובה חלה על ארבע קטגוריות של ארגונים:

• גופים ציבוריים המבצעים תפקיד ציבורי על פי דין (משרדי ממשלה, רשויות מקומיות, מוסדות להשכלה גבוהה, קופות חולים ועוד)
• סוחרי מידע – מחזיקי מאגר שעיסוקם העיקרי הוא איסוף מידע אישי על יותר מ-10,000 בני אדם והעברתו לאחרים כדרך עיסוק או בתמורה
• ארגונים המבצעים ניטור שיטתי בהיקף ניכר אחר מיקומם או פעולותיהם של אנשים
• ארגונים המעבדים מידע רגיש בהיקף ניכר כחלק מפעילותם העיקרית – למשל בנקים, חברות ביטוח, בתי חולים וקופות חולים

הממונה חייב לפעול באופן עצמאי, ללא ניגוד עניינים, עם גישה ישירה להנהלה הבכירה ועם משאבים מספקים לביצוע תפקידו. הממונה מדווח ישירות למנכ"ל או למי שכפוף לו במישרין, ולא ימלא תפקיד שמעמידו בחשש לניגוד עניינים. לפי מדריך הרשות, ממונה אבטחת מידע (CISO) יתקשה ברוב המקרים למלא גם את תפקיד ממונה הגנת הפרטיות. החוק מתיר להעסיק ממונה גם במיקור חוץ — ראו שירות DPO דרך שותפי VDPO.

מדריך מורחב בנושא זה — כולל פירוט תנאי הכשירות ומה קורה אם לא ממנים — זמין כאן.

הגדרות חדשות: מידע אישי ומידע בעל רגישות מיוחדת

התיקון החליף את ההגדרה הישנה של "מידע" בהגדרה רחבה של מידע אישי: כל נתון הנוגע לאדם מזוהה או לאדם הניתן לזיהוי במאמץ סביר — במישרין או בעקיפין, למשל לפי שם, מספר זהות, מזהה ביומטרי, נתוני מיקום או מזהה מקוון. המשמעות: כמעט כל מידע על לקוחות, עובדים או משתמשים שמוחזק במאגר כפוף לחוק.

ההגדרה מידע בעל רגישות מיוחדת החליפה את "מידע רגיש", וכוללת בין היתר:

• מידע על מצב בריאות, מידע גנטי ומזהה ביומטרי
• צנעת חיי המשפחה, צנעת האישות ונטייה מינית
• מוצא, עבר פלילי, דעות פוליטיות ואמונות דתיות
• הערכת אישיות, נתוני שכר ופעילות פיננסית
• נתוני מיקום ותעבורה שנוצרו אצל ספק תקשורת מורשה, ונתוני מיקום שמלמדים על אחת הקטגוריות הרגישות
• מידע שחלה עליו חובת סודיות לפי דין

מרישום להודעה: מה השתנה ברישום מאגרים

חובת רישום מאגרי המידע צומצמה משמעותית, ובמגזר הפרטי כמעט בוטלה. היא נשארת בעיקר על:

• מאגרים של גופים ציבוריים — למעט מאגר שכולל מידע על עובדי הגוף בלבד
• מאגרים שמטרתם העיקרית מסירת מידע לאחרים כדרך עיסוק או בתמורה (כולל דיוור ישיר), עם מידע על 10,000 בני אדם ומעלה

במקביל נוספה חובת הודעה: מאגר שיש בו מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם מחייב הודעה לרשות תוך 30 ימים, כולל עותק של מסמך הגדרות המאגר. ופטור מרישום אינו פטור משאר החובות — כל דרישות החוק והתקנות ממשיכות לחול. פירוט מה צריך להופיע במסמך הגדרות המאגר — במדריך מיפוי מאגרי מידע. פירוט נוסף על מי חייב לרשום ומה כוללת ההודעה — רישום מאגרי מידע והודעה לרשות.

איסורים חדשים וחובת יידוע מורחבת

התיקון קובע איסורים חדשים על עיבוד מידע שלא כדין:

• עיבוד בניגוד למטרה — אין לעבד מידע אישי במאגר אלא למטרה שנקבעה לו כדין
• עיבוד ללא הרשאה — אין לעבד מידע ממאגר ללא הרשאה מבעל השליטה במאגר, או בחריגה ממנה
• מאגר שנאסף שלא כדין — אין לעבד מידע שנוצר, התקבל או נאסף בניגוד לחוק

גם חובת היידוע הורחבה. לפי סעיף 11 לחוק, פנייה לאדם לקבלת מידע אישי צריכה לפרט: האם חלה עליו חובה חוקית למסור את המידע ומה תוצאת אי-ההסכמה, למה המידע מבוקש, למי יימסר המידע ולאיזו מטרה, וכן את קיומן של זכות העיון וזכות התיקון.

תיקון 13 ואתרי אינטרנט: מה צריך לבדוק באתר שלכם

אתר אינטרנט יכול לשמש לפנייה לאנשים לקבלת מידע אישי, ואז חלה עליו חובת היידוע. גם "מזהה מקוון" נכלל במפורש בהגדרת מידע אישי בחוק, לפי מדריך הרשות.

כשהאתר פונה לאדם כדי לקבל ממנו מידע אישי לעיבוד במאגר, הפנייה צריכה לכלול הודעה לפי סעיף 11 לחוק. לפי המדריך, היא כוללת:

• האם חלה על האדם חובה חוקית למסור את המידע, או שהמסירה תלויה ברצונו, ומהי תוצאת אי-ההסכמה
• המטרה שלשמה המידע מבוקש
• למי יימסר המידע ולאילו מטרות
• קיומה של זכות עיון במידע האישי (סעיף 13) וקיומה של זכות לבקש תיקון (סעיף 14)

מדריך הרשות מביא דוגמה לחומרת ההפרה: פנייה לקבוצה בלתי מסוימת של אנשים לאיסוף מידע אישי, למשל באמצעות לינק באתר, ללא הודעה כנדרש. אם נאסף כך מידע על 500,000 איש וקיים בו מידע בעל רגישות מיוחדת, סכום העיצום בדוגמה הוא 2,000,000 ש"ח. זו דוגמה חישובית מהמדריך, לא תחזית לארגון מסוים.

לכן, לגבי כל נקודת פנייה באתר, כדאי לבדוק שההודעה כוללת את הפרטים שלמעלה. על בקשות עיון ותיקון ראו ניהול בקשות עיון. סכומי העיצום גבוהים יותר כשהמידע הוא בעל רגישות מיוחדת, כמפורט בטבלת העיצומים.

מדריך הרשות אינו מתייחס לעוגיות ולכלי מעקב, ולכן לא נכתב כאן עליהם דבר. לשאלה אם הם חלים על האתר שלכם מומלץ להיוועץ בייעוץ משפטי פרטני.

תקנה 13 לעומת תיקון 13: מה ההבדל?

שני המונחים נשמעים דומים, אבל מדובר בדברים שונים. תיקון 13 הוא תיקון לחוק הגנת הפרטיות עצמו. תקנה 13 היא הוראה בתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 — תקנות נפרדות שקובעות את דרישות האבטחה במאגר לפי רמת האבטחה שלו (בסיסית, בינונית או גבוהה).

לפי מדריך הרשות, שתי הוראות בתקנה 13 הן הפרות שניתן להטיל עליהן עיצום כספי:

• תקנה 13(ב) — הפרדת מערכות המאגר (מידור). העיצום: 20,000 ש"ח למאגר ברמת אבטחה בינונית, 80,000 ש"ח ברמה גבוהה
• תקנה 13(ג) — עדכון מערכות המאגר. העיצום: 40,000 ש"ח ברמה בינונית, 160,000 ש"ח ברמה גבוהה

במאגר שיש בו מידע על יותר ממיליון נושאי מידע, הסכומים מוכפלים. נוסח התקנה עצמה מחייב יותר מהתיאור כאן, ולכן יש לעיין בו בתקנות. פירוט הקבוצות והסכומים — תקנות אבטחת מידע ועיצומים.

עיצומים וסנקציות: מה הסיכון לארגון?

הרשות להגנת הפרטיות רשאית לבדוק, לחקור ולהטיל עיצומים כספיים על ארגונים שלא עומדים בדרישות החוק. בנוסף לעיצום המנהלי יש גם חשיפה אזרחית ופלילית. להלן עיקרי הסכומים לפי מדריך הרשות (מאי 2025):

המדריך מציין גם הקלות: הרשות רשאית להפחית את העיצום, על פי בקשת המפר, עד 70% בנסיבות מסוימות (למשל הפסקת ההפרה ביוזמת המפר ודיווח עליה, או מינוי ממונה שהארגון חייב בו). העיצום הכולל לא יעלה על 5% ממחזור העסקאות השנתי של המפר, ולעסקים קטנים וזעירים נקבעו תקרות נמוכות יותר.

מעבר לעיצומים:

• פיצוי אזרחי — בתי המשפט רשאים לפסוק עד 10,000 ש"ח ללא הוכחת נזק בגין הפרות מסוימות, כגון פנייה לאיסוף מידע ללא הודעה לפי סעיף 11 או אי-מתן זכות עיון. ההתיישנות בתביעות אזרחיות הוארכה משנתיים לתקופת ההתיישנות הכללית (שבע שנים או יותר)
• עבירות פליליות חדשות — בין היתר עיבוד מידע ממאגר ללא הרשאה מבעל השליטה, ופנייה לאדם בהטעיה מכוונת בעניין חובת היידוע: מאסר עד שלוש שנים לכל אחת

מה המשמעות של תיקון 13 עבור הארגון שלך?

אם אתה מחזיק במאגר מידע (למשל: לקוחות, עובדים, מטופלים או משתמשים), או שאתה ספק שמעבד מידע עבור אחרים – המשמעות היא שאתה נדרש לפעול בצורה מתועדת, אחראית ומבוקרת. זה כולל בין השאר:

• ניסוח ועדכון מדיניות הפרטיות של הארגון
• וידוא שיש נהלים ברורים לטיפול בבקשות של נושאי מידע (עיון, תיקון, מחיקה)
• בחינה מחדש של ההתקשרויות עם ספקים – במיוחד אם הם נחשפים למידע אישי
• ניהול תיעוד מסודר של ההרשאות והבקרות על גישה למידע
• בחינה האם הארגון נכנס לאחת מארבע הקטגוריות המחייבות מינוי ממונה הגנת פרטיות

צ'קליסט להטמעת תיקון 13

הצעדים הבאים מבוססים על החובות שמפורטות במדריך הרשות:

1. מפו את מאגרי המידע — מה אתם שומרים, על מי, ולאיזו מטרה (מיפוי מאגרי מידע)
2. סווגו את רמת האבטחה של כל מאגר לפי תקנות אבטחת המידע: בסיסית, בינונית או גבוהה
3. בדקו חובת רישום והודעה — רישום למאגרי גופים ציבוריים ולמאגרי סחר במידע (10,000 בני אדם ומעלה); הודעה לרשות תוך 30 ימים על מאגר עם מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם
4. בדקו חובת מינוי ממונים — ממונה הגנת פרטיות (מי חייב) וממונה אבטחת מידע, שחל, בין היתר, על מי שמחזיק בחמישה מאגרים החייבים ברישום או בהודעה, על גוף ציבורי, בנק וחברת ביטוח
5. הטמיעו הודעה לפי סעיף 11 בכל פנייה לאדם לקבלת מידע אישי, כולל באתר
6. עדכנו את מדיניות הפרטיות והפנו אליה מהאתר ומהטפסים
7. קבעו נוהל לבקשות עיון, תיקון ומחיקה (תהליך מקצה לקצה)
8. סקרו ספקים — הסכמי עיבוד מידע (DPA), ובקרה ופיקוח על גורמים חיצוניים (ניהול גורמים חיצוניים)
9. הגדירו הרשאות גישה והדרכה לעובדים, ותעדו אירועי אבטחה, כולל בחינת חובת דיווח לרשות על אירוע אבטחה חמור

המדריך המעשי: תיקון 13 בפועל

מאמרי ההמשך מפרקים את הדרישות לתהליכי עבודה:

• רישום מאגרים והודעה לרשות — מי חייב לרשום, מתי חובה להודיע ומה כוללת ההודעה
• תקנות אבטחת מידע ועיצומים — שלוש קבוצות הפרות וסכומים לפי רמת האבטחה
• מינוי ממונה הגנת פרטיות — מי חייב, תנאי כשירות ועצמאות
• מיפוי מאגרי מידע — מסמך הגדרות המאגר, רשימת מצאי וחובת הודעה
• בקשות עיון ומחיקה — המועדים בתקנות ותהליך עבודה
• ניהול גורמים חיצוניים — ספקים, הסכמי עיבוד ובדיקות נאותות
• עדויות ושאלוני אבטחה מספקים — איך אוספים ומנהלים
• עיצום על עיריית בית שמש — לקחים מאכיפה בפועל
• מילון מונחים — ההסברים הפשוטים למונחים המורכבים

לסיכום

שאלות נפוצות

מה זה תיקון 13 לחוק הגנת הפרטיות?
תיקון 13 הוא תיקון מקיף לחוק הגנת הפרטיות, התשמ"א-1981, שאושר בכנסת ב-5 באוגוסט 2024. הוא עדכן את הגדרות החוק, צמצם את חובת רישום המאגרים והוסיף במקומה חובת הודעה על מאגרים גדולים ורגישים, חייב מינוי ממונה הגנת פרטיות בקטגוריות מסוימות, הוסיף איסורים על עיבוד מידע שלא כדין והרחיב את סמכויות האכיפה של הרשות להגנת הפרטיות, כולל עיצומים כספיים.

מתי נכנס תיקון 13 לתוקף?
הכנסת אישרה את חוק הגנת הפרטיות (תיקון מס' 13) ב-5 באוגוסט 2024, והוא נכנס לתוקף ב-14 באוגוסט 2025.

האם תיקון 13 חל על אתרי אינטרנט?
חובת היידוע חלה על כל פנייה לאדם לקבלת מידע אישי לצורך עיבודו במאגר מידע, וגם כשהפנייה נעשית באתר. פנייה כזו צריכה לכלול הודעה לפי סעיף 11 לחוק: אם חלה חובה חוקית למסור את המידע ומה תוצאת אי-ההסכמה, למה המידע מבוקש, למי יימסר ולאיזו מטרה, וכן קיומן של זכות העיון וזכות התיקון. מדריך הרשות מביא כדוגמה פנייה לקבוצה בלתי מסוימת באמצעות לינק באתר, ללא הודעה כנדרש.

מה ההבדל בין תיקון 13 לתקנה 13?
תיקון 13 הוא תיקון לחוק הגנת הפרטיות עצמו. תקנה 13 היא הוראה בתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, שעוסקות בדרישות האבטחה במאגר. לפי מדריך הרשות, תקנה 13(ב) עוסקת בהפרדת מערכות המאגר (מידור) ותקנה 13(ג) בעדכון מערכות המאגר, וכל אחת מהן עילה להטלת עיצום כספי.

האם כל מאגר מידע צריך להירשם אחרי תיקון 13?
לא. חובת הרישום צומצמה, ונשארה בעיקר למאגרים של גופים ציבוריים ולמאגרים שמטרתם העיקרית מסירת מידע לאחרים כדרך עיסוק, עם מידע על 10,000 בני אדם ומעלה. מאגר שיש בו מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם מחייב הודעה לרשות תוך 30 ימים. מאגר שאינו חייב ברישום עדיין כפוף לכל שאר חובות החוק והתקנות.

מהו מידע בעל רגישות מיוחדת?
זו ההגדרה שהחליפה את "מידע רגיש". היא כוללת, בין היתר, מידע על מצב בריאות, מידע גנטי, מזהה ביומטרי, עבר פלילי, דעות פוליטיות ואמונות דתיות, הערכת אישיות, נתוני שכר ופעילות פיננסית, ומידע שחלה עליו חובת סודיות לפי דין.

מי חייב למנות ממונה הגנת פרטיות?
גופים ציבוריים, סוחרי מידע עם מידע על יותר מ-10,000 בני אדם, ארגונים שעיסוקם העיקרי כרוך בניטור שיטתי של בני אדם בהיקף ניכר, וארגונים שעיסוקם העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר — ובהם בנקים, חברות ביטוח, בתי חולים וקופות חולים.

מה הסנקציות על הפרת החוק אחרי תיקון 13?
לפי מדריך הרשות להגנת הפרטיות, הרשות רשאית להטיל עיצומים כספיים בסכומים משמעותיים, עד מיליוני ש"ח בגין כל הפרה, לפי קטגוריית ההפרה, מספר נושאי המידע ורמת האבטחה של המאגר. בנוסף, בתי המשפט רשאים לפסוק פיצוי של עד 10,000 ש"ח ללא הוכחת נזק בגין הפרות מסוימות, ותקופת ההתיישנות בתביעות אזרחיות הוארכה משנתיים לתקופת ההתיישנות הכללית, שבע שנים או יותר לפי דיני ההתיישנות הכלליים.