מאז תיקון 13 לחוק הגנת הפרטיות, התשמ״א–1981, הרשות להגנת הפרטיות יכולה להטיל עיצום כספי, מה שרוב האנשים מכנים "קנס". העיצום מוטל על בעל השליטה במאגר מידע, או על מחזיק שמעבד בו מידע, בגלל הפרות שהחוק מפרט. לכל הפרה החוק קובע סכום קבוע או סכום לכל אדם במאגר, ואפשר להפחית אותו רק במקרים ובשיעורים שהחוק עצמו קובע. עד אוקטובר 2026 הטילה הרשות להגנת הפרטיות שלושה עיצומים כאלה: 256,000 ש״ח על קופת חולים, 64,000 ש״ח על עירייה ו־12,000 ש״ח על חברת קרטינג בגלל טופס ההרשמה שלה.
על מה מטילים עיצום, ובאיזה סכום
החוק מונה רשימה ארוכה של הפרות. אלה כמה דוגמאות שרלוונטיות לרוב העסקים:
| ההפרה | הסכום |
|---|---|
| סירוב לבקשה לעיין במידע, אי־תיקון מידע, או אי־הסרה של אדם ממאגר לדיוור ישיר (סעיף 23כו(ב)) | 15,000 ₪ |
| איסוף מידע מאנשים בלי ההודעה שהחוק דורש, או דיוור ישיר שלא כדין, לכל אדם שפנו אליו (סעיף 23כו(ג)) | 50 ₪ |
| איסוף כזה מקהל לא מוגדר, למשל דרך טופס או קישור באתר, לכל אדם במאגר (סעיף 23כו(ד)) | 2 ₪ |
| אי־מינוי ממונה על אבטחת מידע, או אי־מינוי ממונה על הגנת הפרטיות בגוף ציבורי או אצל מי שסוחר במידע, לכל אדם במאגר (סעיף 23כו(ד)) | 2 ₪ |
| עיבוד מידע למטרה שאינה כדין, או בלי הרשאה של בעל השליטה, לכל אדם במאגר (סעיף 23כו(ה)) | 4 ₪ |
כשהסכום מחושב לפי אדם, החוק קובע גם רף מינימום שהרשות להגנת הפרטיות רשאית להטיל. באיסוף בלי הודעה או בדיוור ישיר שלא כדין הרף הוא 30,000 ש״ח. בהפרות של 2 ש״ח לאדם הוא 20,000 ש״ח, או 40,000 ש״ח כשמדובר במידע רגיש. ובעיבוד מידע שלא כדין הוא 200,000 ש״ח.
הפרה של תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017, מתומחרת אחרת. כאן הסכום קבוע בתוספת השלישית לחוק לפי ההוראה שהופרה ורמת האבטחה של המאגר, והוא נע בין 1,000 ש״ח במאגר שמנהל אדם יחיד ל־320,000 ש״ח במאגר ברמת אבטחה גבוהה.
גם ספק שמעבד מידע עבור לקוח, כלומר מחזיק, יכול לקבל עיצום בעצמו. ויש מצב שבו גם הלקוח, בעל השליטה, משלם: אם הוטל על הספק עיצום על הפרה של תקנות אבטחת המידע, ההפרה לא הופסקה, והלקוח לא פעל להפסיק אותה כפי שהרשות להגנת הפרטיות הורתה לו. במקרה כזה הלקוח צפוי לעיצום באותו סכום (סעיף 23כו(י)).
מה מגדיל את הסכום
הגורם הראשון הוא מספר האנשים במאגר, כי סכום לאדם מצטבר מהר. מידע בעל רגישות מיוחדת, כמו מידע רפואי, נתוני שכר, מידע ביומטרי או עבר פלילי, מכפיל את הסכום לאדם. במדריך של משרד המשפטים יש דוגמה לקישור באתר שאוסף מידע בלי ההודעה הנדרשת, במאגר של 500,000 איש עם מידע רגיש. העיצום בדוגמה הזו מגיע ל־2,000,000 ש״ח.
במאגר ברמת אבטחה גבוהה שיש בו מידע על מיליון בני אדם ומעלה, הרשות להגנת הפרטיות רשאית להכפיל את הסכום על הפרה של תקנות אבטחת המידע. גם הזמן משחק תפקיד, וסעיף 23ל לחוק מטפל בזה בשני מצבים. אם ההפרה נמשכת אחרי שקיבלתם דרישת תשלום, מתווסף לעיצום 1% על כל יום. ואם חזרתם על הפרה של אותה הוראה, אחרי מועד התשלום ובתוך שנתיים מההפרה הקודמת שעליה הוטל עיצום, העיצום מוכפל.
מה מפחית את הסכום
התוספת החמישית לחוק (סעיף 23לא) מונה כמה מצבים שבהם הסכום יורד. אלה העיקריים:
- 30% אם הפסקתם את ההפרה מיוזמתכם ודיווחתם עליה לראש הרשות להגנת הפרטיות.
- 20% אם בחמש השנים שלפני ההפרה לא הוטלו עליכם עיצום או אמצעי אכיפה מינהלי על אותה הוראה, ו־10% אם לא הוטלו בשלוש השנים שלפניה.
- 20% אם פעלתם כדי שההפרה לא תחזור וכדי להקטין את הנזק, וראש הרשות להגנת הפרטיות השתכנע שהצעדים מספיקים.
- עד 30% אם שילמתם פיצוי על אותן הפרות, או שנפסק נגדכם פיצוי כזה.
ביחד, ההפחתות מגיעות לכל היותר ל־70%. מעבר להן יש שתי תקרות, שחלות גם על עיצום שכבר הופחת. אבל הן לא חלות מעצמן, וצריך לבקש אותן.
התקרה הראשונה מיועדת לעסק זעיר או קטן, כלומר עסק שהמחזור שלו בשנה שלפני ההפרה היה עד 4 מיליון ש״ח, או עד 10 מיליון ש״ח. גובה התקרה תלוי בגודל העסק ובסוג ההפרה, והטבלה המלאה מופיעה במאמר תיקון 13: מה עסקים צריכים לדעת, יחד עם התמונה הרחבה. התקרה השנייה פתוחה לכל מפר, בכל גודל: אפשר לבקש שהעיצום לא יעלה על 5% ממחזור העסקאות שלו. בשני המקרים צריך אישור על גובה המחזור מרואה חשבון (בחלק מהעסקים אפשר גם מיועץ מס מייצג), ואותו צריך להגיש בתוך 30 יום מהיום שקיבלתם את ההודעה על כוונת חיוב.
ההליך: מהודעה על כוונת חיוב ועד פרסום
לפני שהרשות להגנת הפרטיות מטילה עיצום, היא שולחת הודעה בכתב על כוונת חיוב. ההודעה מפרטת את ההפרה, את הסכום ואת הזכויות שלכם. מרגע שקיבלתם אותה יש לכם 45 יום לטעון נגד העיצום ונגד הסכום (סעיפים 23כז–23כח). אם לא טענתם, ההודעה הופכת בסוף התקופה לדרישת תשלום.
מהיום שקיבלתם את דרישת התשלום יש לכם 45 יום לשלם, ובאותם 45 יום אפשר גם לערער לבית משפט השלום (סעיף 23מה). הערעור לא עוצר את התשלום, אלא אם הרשות להגנת הפרטיות הסכימה לכך או שבית המשפט הורה כך. העיצום גם מתפרסם באתר הרשות להגנת הפרטיות, עם ההפרה, הסכום וההפחתות. כשהמפר הוא תאגיד, ככלל מתפרסם גם השם שלו, והפרסום נשאר ארבע שנים.
במקרים מסוימים הרשות להגנת הפרטיות יכולה לתת התראה במקום עיצום, למשל בהפרה ראשונה של חלק מהוראות אבטחת המידע. את זה מאפשרות תקנות הגנת הפרטיות (התראה מינהלית), התשפ״ו–2026.
העיצום על קופת החולים
לפי הרשות להגנת הפרטיות, הקופה ידעה על האירוע כבר בנובמבר 2025, אבל דיווחה עליו רק ב־27 בינואר 2026. על אי־דיווח מיידי כזה לפי תקנה 11(ד) לתקנות אבטחת המידע החוק קובע 80,000 ש״ח במאגר ברמת אבטחה בינונית ו־320,000 ש״ח ברמה גבוהה. ההודעה של הרשות להגנת הפרטיות לא מפרטת את החישוב. היא אומרת רק שהעיצום נקבע "לאחר הפחתות בהתאם להוראות החוק".
"חובת הדיווח המיידי קמה עם היוודע על התרחשותו של אירוע אבטחה חמור, ויש לקיימה בסמוך למועד הגילוי וללא דיחוי. עמדה לפיה יש להמתין להשלמת כלל הבדיקות מרוקנת מתוכן את דרישת 'המיידיות'."
טופס הרשמה בלי הודעת יידוע
ב־5 באוגוסט 2026 הטילה הרשות להגנת הפרטיות עיצום של 12,000 ש״ח על חברה שמפעילה פעילות קרטינג. טופס ההרשמה המקוון שלה אסף מספרי זהות, תאריכי לידה ופרטים על ילד הנרשמת, בלי ההודעה שסעיף 11 לחוק מחייב: לאילו מטרות נאסף המידע, למי יימסר, מי בעל השליטה במאגר ואיך פונים אליו, והזכות לעיין במידע ולתקן אותו. מדיניות פרטיות מלאה עלתה לאתר רק אחרי שנפתח הבירור. הסכום התחיל ב־20,000 ש״ח וירד ל־12,000 ש״ח, כי לחברה לא היו הפרות קודמות והיא פעלה כדי למנוע את הישנות ההפרה. הרשות להגנת הפרטיות דחתה את הטענה שמדובר בזוטי דברים, וסירבה להסתפק בהתראה מינהלית.
"חובת היידוע היא אחת מחובות היסוד המהותיות בדיני הגנת הפרטיות, ולא חובה טכנית."
ספק שלא נרשם במסמכי המאגר
ב־16 בספטמבר 2026 הטילה הרשות להגנת הפרטיות עיצום של 64,000 ש״ח על עיריית בית שמש, אחרי שתקלה במערכת ה־GIS שלה חשפה מידע מתחום הרווחה, ובו מידע רפואי, על כ־4,600 תושבים. העיצום הוטל על שתי הפרות של תקנות אבטחת המידע שנמצאו בבירור. חברה שתמכה במערכת והייתה לה גישה למאגר במשך כמעט שנתיים הייתה מחזיק, אבל העירייה לא ציינה אותה כמחזיקה במסמך הגדרות המאגר (תקנה 2(א)(7)). ונוהל אבטחת המידע שלה לא הסדיר מה מותר לגורם חיצוני שמקבל גישה: מטרות השימוש, סוגי המידע, המערכות שאליהן הוא ניגש ומשך ההתקשרות (תקנה 15(א)(3)). על כל הפרה נקבעו 40,000 ש״ח, והסכום הכולל, 80,000 ש״ח, הופחת ב־20%, כי בחמש השנים שקדמו להפרה לא הוטל על העירייה עיצום בשל אותן הוראות. טענת העירייה שתיקון 13 נכנס לתוקף רק שבוע לפני האירוע נדחתה, כי לארגונים עמדה שנה שלמה להיערכות.
הודעת הרשות להגנת הפרטיות על העיצום, 16 בספטמבר 2026
עיצום, פיצויים ועבירה פלילית
עיצום כספי הוא הליך מינהלי. הרשות להגנת הפרטיות מטילה אותו, והכסף הולך לאוצר המדינה. אבל זה לא הסיכון היחיד. אדם יכול לתבוע אתכם בבית משפט ולקבל פיצויים לדוגמה לפי סעיף 15א לחוק, עד 10,000 ש״ח לכל הפרה, בלי להוכיח שנגרם לו נזק. זה אפשרי בשש עילות שהחוק מונה, למשל בקשת עיון שלא נענתה, ועיצום שכבר הוטל עליכם לא מונע תביעה כזו.
חלק מההפרות הן גם עבירות פליליות. עיבוד מידע ממאגר בלי הרשאה של בעל השליטה, למשל, דינו עד שלוש שנות מאסר. עם זאת, סעיף 23מז(ב) קובע שאחרי שנמסרה הודעה על כוונת חיוב לא יוגש כתב אישום על אותה הפרה, אלא אם התגלו עובדות חדשות.
מאיפה מתחילים
כדאי להתחיל בחמישה דברים. קודם כול, לסווג כל מאגר לרמת האבטחה שלו, כי הרמה הזו קובעת את סכום העיצום על הפרות של אבטחת המידע. שנית, לבדוק שכל טופס שאוסף מידע אישי כולל את הודעת היידוע שהחוק מחייב, כי על היעדרה הוטל העיצום על חברת הקרטינג. שלישית, לרשום כל ספק שיש לו גישה למאגר כמחזיק במסמך הגדרות המאגר, ולקבוע בנוהל האבטחה מה מותר לו, כי על שני הפערים האלה הוטל העיצום על העירייה. רביעית, להחזיק נוהל לדיווח ראשוני מיידי על אירוע אבטחה חמור, כי בדיוק על אי־דיווח כזה הוטל העיצום על קופת החולים. וחמישית, להכין מראש את אישור המחזור. צריך להגיש אותו בתוך 30 יום, עוד לפני שנגמרים 45 הימים לטיעון.
אין באמור ייעוץ משפטי
המאמר הזה, כמו שאר התוכן באתר, הוא מידע כללי בלבד. הוא לא ייעוץ משפטי ולא חוות דעת משפטית, והוא לא מתייחס לנסיבות של ארגון מסוים. התשובה במקרה שלכם תלויה בעובדות שלו. הדין משתנה, ומה שהיה נכון ביום הפרסום עשוי שלא להיות נכון היום, ולכן אין להסתמך על המאמר בלי ייעוץ שמתייחס למקרה שלכם. קריאת המאמר אינה יוצרת יחסי עורך דין–לקוח.
הסעיפים והסכומים במאמר הם מחוק הגנת הפרטיות כנוסחו אחרי תיקון 13, שנכנס לתוקף ב־14 באוגוסט 2025. הסכומים מובאים כפי שנקבעו בחוק, וסעיף 23לב(ב) מעדכן אותם לפי המדד ב־1 בינואר בכל שנה, החל מ־2026. תיאור שלושת העיצומים מבוסס על ההודעות שפרסמה הרשות להגנת הפרטיות. המידע נכון ליום 14 באוקטובר 2026.