מה זה תיקון 13 לחוק הגנת הפרטיות ואיך זה משפיע על העסק שלך

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף באוגוסט 2025, וזו הרפורמה הגדולה ביותר בדיני הפרטיות בישראל מאז שהחוק המקורי נחקק ב-1981. אם יש לכם עסק שאוסף ושומר פרטים על אנשים, כמו שם, טלפון ותוכן הפנייה של ליד בוואטסאפ, החוק הזה עשוי להיות רלוונטי אליכם.

הפוסט הזה מסביר מה השתנה בפועל, עם מספרים אמיתיים מהמדריך הרשמי של משרד המשפטים, לא ניחושים ולא הפחדה סתמית.

חשוב לפני שממשיכים: הפוסט הזה נועד לתת תמונה כללית וברורה, הוא לא ייעוץ משפטי. אנחנו לא עורכי דין. אם יש לכם ספק איך החוק חל על העסק הספציפי שלכם, פנו לעורך דין או ליועץ פרטיות מוסמך.

מתי תיקון 13 נכנס לתוקף, ולמה זו רפורמה כל כך גדולה

הכנסת אישרה את תיקון 13 ב-5 באוגוסט 2024, והוא נכנס לתוקף שנה אחר כך, ב-14 באוגוסט 2025, לפי המדריך הרשמי של משרד המשפטים. זהו העדכון המקיף והמשמעותי ביותר לחוק הגנת הפרטיות מאז שנחקק, כולל הרחבה משמעותית של סמכויות האכיפה של הרשות להגנת הפרטיות, ושורה של חובות חדשות על עסקים שמחזיקים מידע אישי.

חובת הרישום כמעט בוטלה, אבל יש חובת הודעה חדשה

עד לתיקון, חובת הרישום חלה על קטגוריות רחבות יותר של מאגרי מידע. עכשיו היא צומצמה בעיקר למאגרים של גופים ציבוריים ולמאגרים שמטרתם העיקרית היא איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה, לרבות שירותי דיוור ישיר, כאשר יש בהם מידע על יותר מ-10,000 בני אדם.

במקום זה נוספה חובה חדשה: מאגר שאינו חייב ברישום, אך כולל מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם, חייב למסור הודעה לרשות להגנת הפרטיות בתוך 30 יום. רוב העסקים הקטנים והבינוניים שאוספים לידים רגילים, כמו שם, טלפון ומה שהלקוח מתעניין בו, פשוט לא מגיעים לסף הזה.

מתי חובה למנות ממונה הגנת פרטיות

החוק קובע חובת מינוי ממונה הגנת פרטיות (DPO) לגופים ציבוריים, לעסקי סחר במידע עם יותר מ-10,000 בני אדם במאגר, ולבעלי מאגרים שעיקר עיסוקם כרוך בניטור שיטתי בהיקף ניכר של בני אדם או בעיבוד מידע בעל רגישות מיוחדת בהיקף ניכר. החוק קובע במפורש שבנקים, חברות ביטוח, בתי חולים וקופות חולים מחויבים בכך.

עסק קטן שמשתמש בסוכן AI כדי לענות ללידים בוואטסאפ ולתעד את הפרטים שלהם במקום אחד, ברוב המקרים לא נכנס לאף אחת מהקטגוריות האלה. שווה לבדוק את זה ספציפית לעסק שלכם, אבל זו לא סיבה לפחד סתם.

מה חובת היידוע אומרת כשסוכן AI אוסף פרטים מליד

זה החלק שהכי נוגע לעסקים שמשתמשים בסוכן AI או בטופס באתר לאיסוף לידים. חובת היידוע שבחוק חלה כאשר פונים לאדם לקבלת מידע אישי לשם עיבודו במאגר. צריך להסביר האם מסירת המידע היא חובה או מרצון ומה קורה אם מסרבים, מה מטרת האיסוף, למי המידע יימסר ולאיזו מטרה, מיהו בעל השליטה במאגר וכיצד יוצרים איתו קשר, וכן שקיימות זכויות לעיין במידע ולבקש לתקן אותו.

בפועל: אם הסוכן שומר לצד השם והטלפון גם את תוכן הפנייה, תחום ההתעניינות או מידע נוסף על הליד כדי להעביר את הפנייה לצוות, מדובר בדרך כלל באיסוף מידע אישי למאגר וחלה חובת היידוע. אין צורך במנגנון מסובך, אבל שווה לוודא שהשיחה או האתר כוללים משפט פשוט וברור שמסביר למה אתם מבקשים את הפרטים ולמה הם משמשים.

דוגמה למשפט יידוע פשוט שאפשר לשלב בתוך שיחת וואטסאפ:

"כדי שנוכל לחזור אליכם עם המידע המדויק, נשמח לקבל את השם והטלפון שלכם. הפרטים ישמשו רק כדי ליצור איתכם קשר בנוגע לפנייה הזו, ולא יועברו לאף גורם שלישי."

זו דוגמה להמחשה בלבד, לא נוסח משפטי מחייב. אם הסוכן שלכם אוסף מידע רגיש יותר, כמו נתונים רפואיים או פיננסיים, הניסוח צריך להיות מדויק יותר, וכדאי שעורך דין יעבור עליו.

כמה עולה להפר את החוק: המספרים האמיתיים

המדריך הרשמי של משרד המשפטים מפרט את גובה העיצומים הכספיים לפי סוג ההפרה. אלה חלק מהמספרים:

המדריך גם נותן דוגמה רשמית: פנייה ל-5,000 בני אדם לאיסוף מידע אישי בלי למסור את ההודעה הנדרשת, כשמדובר במידע בעל רגישות מיוחדת, מגיעה לעיצום כספי של 500,000 ₪. ובכל מקרה, עיצום כספי כולל לא יעלה על 5% ממחזור העסקאות השנתי של המפר, עם תקרות מופחתות במיוחד לעסקים קטנים וזעירים (לפי המדריך הרשמי).

לצד העיצומים המנהליים, התיקון הוסיף גם עבירות פליליות חדשות. עיבוד מידע אישי מתוך מאגר ללא הרשאה של בעל השליטה, או בחריגה מההרשאה, הוא עבירה שעונשה עד שלוש שנות מאסר. כך גם פנייה לאדם לקבלת מידע אישי תוך מסירת פרטים לא נכונים בכוונה להטעות אותו לגבי איסוף המידע. בנוסף, התיקון הרחיב את האפשרות לתבוע פיצוי של עד 10,000 ₪ ללא הוכחת נזק וביטל את תקופת ההתיישנות המקוצרת של שנתיים בתביעות שנוצרו לאחר כניסתו לתוקף.

המספרים האלה מבוססים על המדריך הרשמי, לא על הערכה. אם עסק הפסיק את ההפרה מיוזמתו ודיווח עליה לרשות, הרשות רשאית, לבקשת המפר, להפחית 30% מהעיצום. אפשר לצרף נסיבות הפחתה נוספות, אבל ההפחתה הכוללת לא תעלה על 70%.

מה זה אומר בפועל: לפני ואחרי תיקון 13

לעסק קטן טיפוסי שאוסף לידים ולקוחות, ככה זה נראה בשפה פשוטה:

• לפני: חובת הרישום חלה על קטגוריות רחבות יותר של מאגרים פרטיים, בין היתר מאגרים עם מידע רגיש, יותר מ־10,000 אנשים או מידע שלא נמסר בהסכמה.

אחרי: חובת הרישום במגזר הפרטי צומצמה בעיקר למאגרים שמטרתם מסירת מידע לאחרים או שירותי דיוור ישיר בהיקף שנקבע בחוק. לרוב העסקים הקטנים אין חובת רישום, אבל החובות הנוגעות ליידוע, אבטחת מידע, מטרות השימוש וזכויות נושאי המידע עדיין חלות כאשר מדובר במאגר מידע.

לפני: לרשות היו סמכויות אכיפה מצומצמות יותר ומנגנון הקנסות המנהליים היה מוגבל.

אחרי: תיקון 13 הרחיב את סמכויות הפיקוח והאכיפה של הרשות והוסיף מנגנון רחב של עיצומים כספיים משמעותיים.

מה בעלי עסקים צריכים לעשות בפועל

בלי דרמה: רוב העסקים הקטנים אינם נדרשים אוטומטית לרשום מאגר או למנות ממונה על הגנת הפרטיות, אבל הם עדיין צריכים לבדוק כיצד המידע נאסף, נשמר ומועבר. אלה הצעדים הריאליים:

• דעו איזה מידע אתם אוספים ולמה: שם, טלפון, אימייל, כתובת, כל מה שהסוכן או הטופס שלכם שואל.
• ודאו שיש הודעה פשוטה וברורה כשאתם אוספים מידע, גם בתוך שיחת וואטסאפ.
• בדקו אם המאגר שלכם מתקרב ל-100,000 איש עם מידע רגיש, או אם אתם בענף שמחייב ממונה הגנת פרטיות (בנק, ביטוח, בריאות, סחר במידע).
• אל תאמינו לכל מי שמוכר לכם "פתרון קסם ל-GDPR ישראלי". תיקון 13 הוא לא GDPR, ואין בו חובה גורפת של באנר עוגיות באתר.
• אם יש לכם ספק אמיתי, זה הרגע להתייעץ עם עורך דין, לא לנחש.

סוכן AI שבנוי נכון אוסף רק את המידע שבאמת צריך כדי לעזור ללקוח, ושומר אותו במקום אחד מסודר, במקום שיהיה מפוזר בין וואטסאפ, מיילים ופתקים. זה מקל על עמידה בחוק, אבל לא פוטר אתכם מאחריות. ברוב מערכות השירות העסק הוא בעל השליטה במידע, ואילו ספק ה-AI או ה-CRM פועל כמחזיק המעבד את המידע עבורו. עם זאת, החלוקה המשפטית תלויה בהסכמים ובשימוש שכל צד עושה במידע.

אם אתם רוצים להבין איך לנהל את כל הלידים שנכנסים במקום אחד מסודר, יש לנו פוסט שלם על ניהול לידים.

שאלות נפוצות

האם תיקון 13 מחייב באנר עוגיות כמו ב-GDPR?

לא באופן גורף. תיקון 13 לא קובע שכל אתר חייב להציג באנר עוגיות. עם זאת, אם האתר משתמש בעוגיות פרסום, פיקסלים או כלי מעקב שאוספים מידע על הגולשים, צריך לבדוק אילו חובות יידוע והסכמה חלות לפי סוג המידע והשימוש שנעשה בו. לכן לא כל אתר חייב באנר, אבל גם לא נכון להתעלם מהנושא.

עסק קטן שאוסף לידים בוואטסאפ צריך למנות ממונה על הגנת פרטיות?

ברוב המקרים לא. חובת המינוי חלה בעיקר על גופים ציבוריים, עסקי סחר במידע גדולים, ומי שעוסק בהיקף ניכר בניטור שיטתי או במידע רגיש, כמו בנקים וקופות חולים. עסק קטן עם מאגר לידים רגיל בדרך כלל לא נכנס לקטגוריות האלה, אבל שווה לבדוק ספציפית מול עורך דין אם יש ספק.

האם מידע שסוכן AI אוסף בוואטסאפ נחשב מאגר מידע?

מידע שמכיל רק שם ודרכי התקשרות אינו בהכרח נחשב מאגר מידע, כל עוד מתקיימים תנאי החריג שבחוק. אם נשמרים גם תוכן השיחה, תחומי עניין, צרכים, רכישות או מידע נוסף על הליד, האוסף עשוי להיחשב מאגר מידע והחובות הרלוונטיות עשויות לחול עליו.

מה קורה אם הפרתי את החוק בלי לדעת?

אי ידיעה לא פוטרת מאחריות, אבל הרשות רשאית להפחית עיצום כספי במקרים של תיקון מיידי ודיווח עצמי מרצון. ככל שמזהים ומתקנים בעיה מהר יותר, כך עדיף.

איפה אפשר לקרוא את הנוסח הרשמי של החוק?

משרד המשפטים פרסם מדריך רשמי ומפורט, וניתן למצוא את נוסח החוק המלא כפי שתוקן בוויקיטקסט.

תיקון 13 לא נועד להפחיד עסקים קטנים. הוא נועד לגרום לכולם להתייחס ברצינות למידע שאנשים סומכים עליכם שתשמרו עליו. שוב: זה לא ייעוץ משפטי, רק תמונה ברורה של מה שהשתנה. אם יש לכם ספק אמיתי לגבי העסק שלכם, דברו עם עורך דין.