תיקון 13: מה עסקים צריכים לדעת

עו״ד ארתור קרטון · 27 בספטמבר 2026 · תיקון 13 והחובות המעשיות · עודכן 7 באוקטובר 2026

תיקון 13 לחוק הגנת הפרטיות, התשמ״א–1981, נכנס לתוקף ב־14 באוגוסט 2025. הוא הרחיב את החובות של עסקים, ושינה גם את אופי הפיקוח: הרשות להגנת הפרטיות כבר לא רק מנהלת רישום של מאגרים, היא אוכפת. ב־21 ביולי 2026 היא הטילה עיצום כספי של 256,000 ש״ח על קופת חולים שלא דיווחה מיד על אירוע אבטחה חמור. הרשות להגנת הפרטיות קבעה כי "חובת הדיווח המיידי קמה עם היוודע על התרחשותו של אירוע אבטחה חמור", ודחתה את הטענה שאפשר לחכות עד שהחקירה הפנימית תסתיים.

במאמר הזה ריכזנו את מה שעסק צריך לדעת, ובמיוחד חברה שמעבדת מידע אישי עבור הלקוחות שלה: מתי חובה למנות ממונה על הגנת הפרטיות, איך הרשות להגנת הפרטיות מודדת את היקף העיבוד אצל ספק כזה, ומה החוק באמת אומר על עיצומים ועל פיצויים.

ארבעת המצבים שמחייבים מינוי ממונה

סעיף 17ב1(א) לחוק מונה ארבעה מצבים שבהם חובה למנות ממונה על הגנת הפרטיות. כל אחד מהם מספיק לבדו, כלומר אם אחד מהם חל עליכם, אתם חייבים למנות ממונה.

1. הראשון, בפסקה (1): גוף ציבורי שהוא בעל השליטה במאגר מידע, וגם כל מי שמחזיק במאגר של גוף כזה. גוף ציבורי, כהגדרתו בסעיף 23 לחוק, הוא למשל משרד ממשלה, רשות מקומית, קופת חולים, בית חולים או מוסד להשכלה גבוהה, ויש עוד. אין כאן מבחן של גודל. השאלה היא רק אם הלקוח הוא גוף ציבורי ואם אתם מחזיקים או מעבדים את המידע האישי שלו.
2. השני, בפסקה (2): בעל שליטה במאגר שעיקר המטרה שלו היא לאסוף מידע אישי כדי למסור אותו לאחרים, כעיסוק או תמורת תשלום (די באחד מהשניים), למשל שירותי דיוור ישיר. זה המצב היחיד שיש בו סף מספרי קשיח: מידע על יותר מ־10,000 בני אדם. מי שרק מחזיק במאגר כזה אינו נכלל במצב הזה.
3. השלישי, בפסקה (3): בעל שליטה או מחזיק שהעיסוקים העיקריים שלו כוללים עיבוד שמחייב מעקב שוטף ושיטתי אחרי אנשים, כמו אחרי ההתנהגות, המיקום או הפעולות שלהם, בהיקף ניכר. מספיק שפעילות הליבה שלכם כרוכה בפועל במעקב כזה, גם אם המעקב אינו המטרה שלה.
4. הרביעי, בפסקה (4): בעל שליטה או מחזיק שהעיסוק העיקרי שלו כולל עיבוד של מידע בעל רגישות מיוחדת בהיקף ניכר. עיבוד לצורך נלווה בלבד, כמו העסקת עובדים, לא נספר. "היקף ניכר" נבחן לפי כמה שיקולים שסעיף 17ב1(ב) מונה, בלי סף מספרי, והם לא חייבים להתקיים כולם יחד.

טעות נפוצה: 10,000 בני אדם אינו סף כללי לחובת מינוי ממונה. המספר הזה שייך רק למצב השני, של מי שעיסוקו איסוף מידע כדי למסור אותו לאחרים. אין לו קשר למצבים של מעקב אחרי אנשים או של מידע רגיש.

המצב שספקים מפספסים: מחזיקים במאגר של גוף ציבורי

המצב הראשון לא חל רק על הגוף הציבורי עצמו. החוק מטיל את החובה גם על מי שמחזיק במאגר שלו, וזו כל הנקודה: אם מידע אישי של גוף ציבורי יושב על השרתים שלכם, אתם מחזיקים, והחובה למנות ממונה היא שלכם ולא רק של הלקוח.

והרף נמוך. כל פעולה על המידע נחשבת עיבוד, גם אם אתם רק מאחסנים אותו או רק צופים בו. לכן מספיק שהלקוח הוא גוף ציבורי ושאתם עושים פעולה כלשהי על המידע האישי שלו. במצב כזה אתם מחזיקים, והחובה למנות ממונה חלה עליכם.

שימו לב גם למה שאין כאן: אין מבחן של "היקף ניכר", אין שיקול דעת, ואין תלות בגודל החברה. ספק עם שנים־עשר עובדים, כמו חברת תוכנה, לשכת שכר או מוקד טלפוני, שיש לו לקוח אחד שהוא רשות מקומית ושהוא מחזיק את המידע האישי שלה, נכלל במצב הזה. חברה עם מאתיים עובדים שאין לה לקוח ציבורי עשויה להישאר מחוצה לו.

כלל הצבירה: ההיקף נמדד על פני כל הלקוחות יחד

בגילוי דעת סופי מיום 14 ביולי 2026 על מינוי ממונה, קבעה הרשות להגנת הפרטיות כלל שמשנה את התמונה לספקי שירות. זו לשונו:

"את ההיקף של עיבוד המידע המבוצע בידי מחזיק, יש לבחון במצטבר תוך שקלול כל נושאי המידע במאגרים של כלל בעלי השליטה להם הוא מספק שירותי עיבוד מידע. כך לדוגמא, מחזיק המספק שירותי עיבוד ל־1,000 מאגרי מידע שבכל אחד מהם מוחזק מידע בעל רגישות מיוחדת על 100 נושאי מידע בלבד – ייחשב כמי שמעבד מידע בעל רגישות מיוחדת בהיקף ניכר."

בפועל, ספק שהניח שהחובה לא חלה עליו, כי אף לקוח שלו לא מגיע לבדו ל"היקף ניכר", לא בהכרח צודק. את הדוגמה של הרשות להגנת הפרטיות אפשר להריץ על רשימת הלקוחות שלכם: 1,000 מאגרים, עם מידע רגיש על 100 אנשים בכל אחד, הם יחד היקף ניכר, אף שאף לקוח לבדו אינו כזה. לכן, אם אתם מעבדים מידע עבור לקוחות, המספר שקובע אינו מספר האנשים אצל הלקוח הגדול ביותר שלכם. הוא הסכום של כל הלקוחות.

תקרות העיצומים: מה החוק באמת קובע

את החשיפה של עסק קטן לעיצום כספי קובעת התוספת החמישית לחוק. היא מחלקת את העסקים לשני מדרגים לפי המחזור, ובכל מדרג יש שלוש קבוצות של הפרות. אלה התקרות:

כמה כללים משנים את הסכום בפועל. מי שביצע כמה הפרות מכמה קבוצות לא ישלם את הסכום של כולן יחד, אלא לכל היותר את התקרה הגבוהה מביניהן. מי שהפסיק את ההפרה מיוזמתו ודיווח עליה לראש הרשות להגנת הפרטיות מקבל הפחתה של 30%. וסך כל ההפחתות מוגבל ל־70% מסכום העיצום.

ויש תנאי שקל לפספס. התקרות שבטבלה לא חלות מעצמן. הן חלות רק אם אתם מבקשים אותן ומצרפים אישור על המחזור, בתוך 30 יום מהיום שקיבלתם הודעה על כוונה להטיל עליכם עיצום. מי שמפספס את 30 הימים מפסיד את התקרה. אותו כלל חל על התקרה הנפרדת של 5% מהמחזור.

בשוק מסתובב טווח של "20,000–50,000 ₪". הוא שגוי, כי הוא מערבב את שני מדרגי המחזור למדרג אחד ומשמיט לגמרי את הקבוצה השלישית. בפועל יש שני מדרגים ושלוש קבוצות, כלומר שישה סכומים.

פיצויים בלי הוכחת נזק

לעסק קטן, הסיכון הגדול הוא בדרך כלל לא העיצום. הוא לקוח ארגוני שמפסיק לעבוד איתכם, עסקה שנתקעת בבדיקת נאותות, או תביעה של אדם פרטי. ותיקון 13 הוסיף לחוק את סעיף 15א, שמאפשר פיצויים של עד 10,000 ₪ לכל הפרה, בלי שצריך להוכיח נזק, בשש עילות שהחוק מונה.

זו דרך חדשה, נפרדת מהפיצויים שסעיף 29א אפשר כבר קודם: עד 50,000 ₪, או עד 100,000 ₪ כשהייתה כוונה לפגוע, ושני הסכומים צמודים למדד. בשלוש מתוך שש העילות, עיון, תיקון ומחיקה, אין צורך בדרישה מוקדמת, ולכן בקשת עיון שלא נעניתם לה יכולה לבדה לבסס תביעה. ורק אדם פרטי יכול לתבוע כך. לתאגיד אין עילה כזאת.

מאיפה מתחילים

השאלה הראשונה היא לא כמה הקנס, אלא איזה מצב חל עליכם, אם בכלל. כדי לבדוק את זה הכנו שאלון של שמונה שאלות, שלוקח שלוש דקות. התוצאה מסבירה גם על מה בחוק היא נשענת.

בדיקת פרטיות עצמית · 3 דק׳