תיקון 13 נכנס לתוקף.
מה העסק שלך צריך לבדוק?

קודם כל: "מידע אישי" זה הרבה יותר ממה שחשבתם

ההגדרה החדשה בחוק: מידע אישי הוא כל נתון הנוגע לאדם מזוהה או לאדם הניתן לזיהוי במאמץ סביר, במישרין או בעקיפין - ובמפורש גם באמצעות מזהה מקוון, נתוני מיקום או מזהה ביומטרי. רשימת תפוצה, פרטי לקוח ב-CRM, עוגיית מעקב ויומני שרת יכולים כולם להיות מידע אישי.

בתוך זה נקבעה רשימה מוגדרת של "מידע בעל רגישות מיוחדת", הכוללת בין השאר: מצב בריאותי, מידע גנטי, מזהה ביומטרי, עבר פלילי, דעות פוליטיות או אמונות דתיות, מוצא, נטייה מינית, נתוני שכר ופעילות פיננסית, נתוני מיקום מסוגים מסוימים והערכת אישיות מקצועית. החלוקה הזו קובעת אילו חובות חלות עליכם - ומשפיעה על שיעורי עיצומים מסוימים.

רישום מאגרים כמעט בוטל. במקומו באה חובת הודעה

חובת הרישום במרשם המאגרים נשארה לשני סוגי מאגרים לפי סעיף 8א, בכפוף להוראות המעבר ולסמכות הרשות לפטור מרישום: מאגר שמטרתו העיקרית היא איסוף מידע אישי כדי למסור אותו לאחרים כדרך עיסוק או בתמורה (כולל שירותי דיוור ישיר), שיש בו מידע על יותר מ-10,000 בני אדם; ומאגרים שבעל השליטה בהם הוא גוף ציבורי לפי פסקה (1) להגדרה בסעיף 23, למעט מאגר שיש בו מידע על עובדי הגוף בלבד.

אבל יש חובה חדשה שחשוב להכיר: אם במאגר שלכם, שאינו חייב ברישום, יש מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם - עליכם להודיע לרשות תוך 30 יום, לצרף את מסמך הגדרות המאגר ולדווח תוך 30 יום על השינויים המנויים בסעיף 8א(ב)(2), ובהם שינוי בפרטי בעל השליטה או הממונה ודרכי הקשר, שינוי המחייב עדכון מסמך הגדרות המאגר או הפסקת הפעילות.

מי חייב למנות ממונה על הגנת הפרטיות (DPO)?

סעיף 17ב1 מטיל חובת מינוי על ארבע קטגוריות: בעלי שליטה שהם גופים ציבוריים או מחזיקים במאגר כאמור, למעט גוף ביטחוני; בעלי מאגר שמטרתו העיקרית מסירת מידע לאחרים כדרך עיסוק או בתמורה, עם מידע על יותר מ-10,000 בני אדם; בעלי שליטה או מחזיקים שעיסוקם העיקרי כרוך בעיבוד המחייב ניטור שוטף ושיטתי של בני אדם בהיקף ניכר, כולל מעקב אחר התנהגות, מיקום או פעולות; ובעלי שליטה או מחזיקים שעיסוקם העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר, כגון בנקים, מבטחים, בתי חולים כלליים וקופות חולים.

הממונה יכול להיות חיצוני לארגון, אך חייב לדווח ישירות למנהל הכללי או לעובד הכפוף אליו ישירות, אסור שתפקיד נוסף או כפיפות יעמידו אותו בחשש לניגוד עניינים, ונדרשים ידע מעמיק בדיני הפרטיות, הבנה הולמת בטכנולוגיה ובאבטחת מידע והיכרות עם פעילות הארגון ומטרותיו בהתאמה לעיבוד. הארגון חייב לספק משאבים ולערב אותו כראוי בנושאי פרטיות. הרשות דחתה את האכיפה של חובה זו עד 31 באוקטובר 2025 - המועד חלף, וב-26 ביולי 2026 פורסם גילוי הדעת הסופי של הרשות המפרט את היקף החובה והכישורים הנדרשים.

ההודעה בעת איסוף המידע (סעיף 11) התרחבה

כשאתם מבקשים מידע מלקוח, משתמש או עובד, ההודעה צריכה לכלול כיום גם: האם המסירה היא חובה חוקית או מרצון ומהי תוצאת אי-ההסכמה; שם בעל השליטה במאגר, מקום מושבו ודרכי ההתקשרות עימו; וקיומן של זכות העיון במידע וזכות בקשת התיקון. הרבה טפסים ומדיניות פרטיות שכתובים בנוסח ישן לא מכסים את הדרישות החדשות. הרשות כבר אוכפת: ב-2026 הוטל עיצום כספי על עסק שאסף מידע בטופס מקוון בלי הודעה מלאה כנדרש.

כמה זה עולה אם מתעלמים

סכום העיצום תלוי בהפרה ובמסלול החוקי. לדוגמה, סעיף 23כו(ג) קובע לפנייה לאדם לקבלת מידע בלי הודעת סעיף 11 סכומי בסיס של 50 שקלים לאדם או 100 שקלים במידע בעל רגישות מיוחדת, ואפשרות להעמיד סכום נמוך על 30,000 שקלים. בפנייה לקבוצה בלתי מסוימת קיים מסלול שונה בסעיף 23כו(ד). אי-מינוי DPO בקטגוריות 1 ו-2 מוסדר בסעיף 23כו(ד)(1)(ג): סכומי בסיס של 2 או 4 שקלים לאדם, עם אפשרות להעמיד סכום נמוך על 20,000 או 40,000 שקלים לפי רגישות המידע, לא לפי סף של 100,000 אנשים. בקטגוריות 3 ו-4 יש מסלול הוראה להפסקת הפרה בסעיף 23כה(ד)(5), והחוק מאפשר הרחבה בצו של העיצום על אי-ציות להוראה. אין להחיל נוסחה אחת על כל החייבים. הסכומים כפופים למנגנון העדכון בחוק.

במקביל, תיקון 13 הוסיף "פיצויים לדוגמה": בית משפט רשאי לפסוק עד 10,000 שקלים ללא הוכחת נזק על הפרות מסוימות - למשל הודעת איסוף חסרה, אם האדם דרש תיקון וחלפו 30 יום. זו חשיפה לתביעות גם בלי קשר לרשות.

סעיף 23לא והתוספת החמישית מאפשרים הפחתות בתנאים המפורטים בחוק, בין היתר לעסק זעיר וקטן ובנסיבות של תיקון, שיתוף פעולה ודיווח. מנגנון ה-5% ממחזור העסקאות הוא מנגנון הפחתה מותנה, לא שיעור הקנס ולא תקרה אוטומטית בלי בדיקת תנאיו. תקנות ההתראה המינהלית מאפשרות התראה בנסיבות מוגדרות; אין פטור כללי על הפרה ראשונה.

דוגמה: מה זה אומר על עסק אמיתי

סטודיו עם אתר, טופס ורשימת תפוצה של 3,000 לקוחות: בהנחה שאינו גוף ציבורי, אינו סוחר מידע וליבת פעילותו אינה ניטור שיטתי או עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר, אינו חייב ברישום, בהודעה לפי סעיף 8א(ב) או בממונה - אבל כן חייב בהודעת סעיף 11 מלאה בטופס, במדיניות פרטיות מעודכנת ובאבטחת מידע לפי התקנות. חברת SaaS בת 12 עובדים עם 180,000 משתמשים: מספר העובדים לא משנה. אם במאגר שאינו חייב ברישום יש מידע בעל רגישות מיוחדת על יותר מ-100,000 אנשים - חלה חובת ההודעה; אם ליבת העיסוק שלה כרוכה בניטור שיטתי של משתמשים בהיקף ניכר - תיתכן גם חובת מינוי ממונה. בשני המקרים מתחילים באותה בדיקה: איזה מידע יש, איפה הוא, מי מקבל אליו גישה ומה מוצהר ללקוחות.

צ'ק-ליסט מעשי להיערכות

1. מיפוי: איזה מידע אישי קיים, איפה הוא נשמר, מי בעל השליטה ומי מחזיקים וספקים.
2. עדכון הודעות סעיף 11 ומדיניות הפרטיות לדרישות החדשות.
3. בדיקת חובת רישום או הודעה לפי הקטגוריות.
4. בדיקת חובת מינוי ממונה - ואם ממנים, תיאום מעמד, דיווח ישיר להנהלה והימנעות מניגוד עניינים.
5. הסכמי עיבוד מידע מול ספקים.
6. אבטחת מידע לפי תקנות 2017 ברמה המתאימה למאגר.
7. תהליך מסודר לטיפול בבקשות עיון ותיקון ובבקשות מחיקה לפי העילות שבדין.
8. תיעוד: מה נבדק, מה תוקן ומתי.

שאלות נפוצות