תיקון 13
לחוק הגנת הפרטיות.

מה השתנה, ואיזו החלטה נדרשת?

תיקון 13 נכנס לתוקף ב-14 באוגוסט 2025. הוא עדכן את הגדרות המידע והגורמים האחראים, שינה את חובות הרישום וההודעה, הוסיף חובת DPO במקרים שנקבעו בחוק והרחיב את סמכויות האכיפה.

מתרגמים את השינוי להחלטות: מי קובע את מטרות העיבוד, איזה מידע כלול בכל מאגר, האם נדרשים רישום או הודעה, האם הפעילות נכנסת לקטגוריית DPO, ומה צריך לתקן בתהליכי האיסוף והעבודה עם ספקים.

הגדרת "מידע אישי" רחבה

אחת מנקודות המוצא לאחר התיקון היא ההגדרה הרחבה של מידע אישי: נתון הנוגע לאדם מזוהה או לאדם שניתן לזהותו. המשמעות היא שמיפוי פרטיות צריך להתייחס לא רק לשם ולמספר זהות, אלא לכלל הנתונים שמאפשרים לקשור מידע לאדם, בהתאם לנסיבות.

לצד זאת קיימת קטגוריה של מידע בעל רגישות מיוחדת, שלה משמעות בין היתר בהקשר של חובת ההודעה על מאגרים ובהערכת הסיכון של הפעילות.

רישום והודעה הם שני מסלולים שונים

הרישום נותר לשתי קבוצות בסעיף 8א(א)(1): מאגר לאיסוף מידע למסירה לאחר כדרך עיסוק או בתמורה ובו יותר מ-10,000 אנשים; ומאגר שבשליטת גוף ציבורי מהסוג המוגדר בחוק, למעט מידע על עובדיו בלבד.

מסלול ההודעה חל על מאגר שאינו חייב ברישום ובו מידע בעל רגישות מיוחדת על יותר מ-100,000 אנשים: בתוך 30 ימים מוסרים את הפרטים ומסמך הגדרות המאגר. רישום ישן שנשאר במרשם אינו פוטר מהודעה כשזו נדרשת.

חובת מינוי ממונה הגנת פרטיות - DPO

התיקון קובע חובת מינוי לגבי קבוצות מסוימות של גופים ופעילויות. בין השאלות שיש לבחון: האם מדובר בגוף ציבורי, האם עיקר הפעילות כולל מסירת מידע אישי לאחרים בנסיבות הקבועות בחוק, האם מתקיים ניטור שוטף ושיטתי של בני אדם בהיקף ניכר, והאם עיקר הפעילות כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר.

הרשות הבהירה בגילוי דעת סופי מיולי 2026 כי תפקיד הממונה אינו סמלי. בין תפקידיו קידום תרבות פרטיות, ייעוץ, הדרכה, בקרה, טיפול בפניות נושאי מידע וקשר עם הרשות. נדרשים גם ידע בדיני פרטיות, הבנה הולמת בטכנולוגיה ואבטחת מידע והיכרות עם פעילות הארגון.

עיצומים ופיצוי: אין סכום אחד לכל הפרה

סעיף 23כו קובע מסלולי עיצום שונים לפי החובה שהופרה, סוג המידע והיקפו. 150,000 ש"ח והכפלה במאגר עם מיליון אנשים ומעלה שייכים להפרות המנויות בסעיף 23כו(א), ולא לכל הפרת פרטיות.

סעיף 15א מאפשר לבית המשפט לפסוק עד 10,000 ש"ח ללא הוכחת נזק בהפרות שמנויות בו. בחלק מהחלופות נדרשים פנייה מוקדמת וחלוף זמן, ולכן אין להציג זאת כפיצוי אוטומטי לכל אדם או לכל פער.

לדוגמה, הודעת איסוף חסרה בטופס נבחנת לפי חובת היידוע שבסעיף 11. היעדר DPO נבחן לפי קטגוריית החובה והמסלול החל. טיפול בשניהם מתחיל בזיהוי ההוראה המדויקת.

מה עסק צריך לעשות בפועל?

1. למפות את המידע. להבין אילו נתונים נאספים, ממי, באילו מערכות ולשם מה.
2. למפות מאגרים וספקים. לזהות מערכות ענן, CRM, דיוור, אנליטיקה, AI ושאר גורמים שמקבלים גישה למידע.
3. לבדוק רישום או הודעה. לסווג כל מאגר לפי ההסדר המעודכן.
4. לבחון חובת DPO. לא לפי גודל החברה בלבד, אלא לפי מאפייני הפעילות והעיבוד.
5. לעבור על מסמכים ותהליכים. הודעות פרטיות, מדיניות, הסכמים עם ספקים, הרשאות ונהלי עבודה צריכים להתאים לפעילות בפועל.