נניח שהעסק שלכם הוא מחזיק, כלומר מעבד מידע אישי עבור לקוחות רבים. למשל ספק תוכנה או ענן, לשכת שכר, מוקד טלפוני או מערכת לזימון תורים במרפאות. ייתכן שבדקתם את תיקון 13 והגעתם למסקנה שאתם קטנים מדי: המאגר של כל לקוח צנוע, ולכן המבחנים של "היקף ניכר" לא חלים עליכם. מאז 14 ביולי 2026 לנימוק הזה יש בעיה.
מתי חייבים למנות ממונה
סעיף 17ב1(א) לחוק הגנת הפרטיות, התשמ״א–1981, מחייב למנות ממונה על הגנת הפרטיות בארבעה מצבים. שניים מהם ברורים יחסית: מי שהוא בעל השליטה במאגר של גוף ציבורי או המחזיק בו (פסקה (1)), ומי שעוסק בסחר במידע על יותר מ־10,000 בני אדם (פסקה (2)). שני האחרים תלויים בהיקף. האחד הוא ניטור שוטף ושיטתי של בני אדם "בהיקף ניכר" (פסקה (3)), והשני הוא עיסוק עיקרי שכולל עיבוד של מידע בעל רגישות מיוחדת "בהיקף ניכר" (פסקה (4)).
סעיף 17ב1(ב) מפרט לפי מה בודקים אם ההיקף ניכר. בודקים כמה בני אדם המידע נוגע להם ואיזה חלק הם מהאוכלוסייה, כמה מידע יש, כמה סוגי מידע, כמה זמן ובאיזו תדירות מעבדים אותו, כמה זמן שומרים אותו, ועל איזה אזור גאוגרפי הוא חל. אבל החוק לא אומר איך סופרים נותן שירותים שמעבד מידע עבור לקוחות רבים.
מה הרשות להגנת הפרטיות הוסיפה
גילוי הדעת הסופי של הרשות להגנת הפרטיות על מינוי ממונה, מ־14 ביולי 2026, עונה על השאלה הזו בפסקה 9.12. אצל מחזיק, שזה המונח בחוק למי שמעבד מידע עבור אחר, ההיקף נבחן במצטבר. כלומר, מביאים בחשבון את כל האנשים שהמידע עליהם נמצא במאגרים של כל הלקוחות שהוא מעבד עבורם מידע. זו הדוגמה שהרשות להגנת הפרטיות עצמה נותנת:
"מחזיק המספק שירותי עיבוד ל־1,000 מאגרי מידע שבכל אחד מהם מוחזק מידע בעל רגישות מיוחדת על 100 נושאי מידע בלבד – ייחשב כמי שמעבד מידע בעל רגישות מיוחדת בהיקף ניכר."
מחזיקים רבים עשויים להיראות בדיוק כך. יש להם שירות אחד, מאות לקוחות וכמה מאות רשומות אצל כל לקוח, אבל הם אף פעם לא חיברו את המספרים.
שתי הבהרות חשובות
הראשונה: זו הנחיה של הרשות להגנת הפרטיות, לא הלכה פסוקה. גילוי דעת מסביר איך הרשות להגנת הפרטיות מתכוונת להפעיל את הסמכויות שלה, ואף בית משפט עוד לא הכריע בשאלת הספירה המצטברת. זו העמדה שתפגשו אם הרשות להגנת הפרטיות תפתח אצלכם בירור, וזו סיבה מספיקה לתכנן לפיה. אבל היא לא חוק.
השנייה: ההנחיה עוסקת רק בשאלה אם חובת המינוי חלה עליכם. היא לא אומרת דבר על האופן שבו יחושב עיצום כספי.
מה סופרים, ומה לא
הספירה המצטברת חלה רק על שני המצבים שתלויים בהיקף, ורק כשהמידע הוא מהסוג הרלוונטי. לכן קודם כול צריך לסווג את המידע. סופרים מידע בעל רגישות מיוחדת, או בני אדם שמנוטרים. מחזיק שהשירות שלו שומר פרטי קשר רגילים של אלפי אנשים לא נספר בכלל לעניין מידע בעל רגישות מיוחדת.
אם המידע כן מהסוג הרלוונטי, סופרים על פני כל הלקוחות ולא לפי כל לקוח בנפרד. השאלה היא מה הסך הכולל אצל כל בעלי השליטה שאתם משרתים, כולל לקוחות עם מאגרים זעירים.
ואם אינכם יודעים לומר על כמה בני אדם אתם מחזיקים מידע רגיש במצטבר, גם זו תשובה, אבל היא דורשת עבודה. זה למעשה הממצא הראשון של סקר פערים.
מה נובע אם הספירה תופסת אתכם
אם אתם בפנים, חלים עליכם אותם דברים שחלים על כל ארגון שחייב במינוי. צריך למנות אדם אחד, בעל הידע שהחוק דורש, שאין לו תפקיד שמתנגש עם התפקיד הזה (סעיף 17ב3(א) ו־(ג)). הוא צריך להיות כפוף ולדווח ישירות למנכ״ל, או למי שכפוף ישירות למנכ״ל, וצריך לתת לו את המשאבים שהתפקיד דורש (סעיף 17ב2(ב) ו־(ג)). צריך גם לפרסם איך פונים אליו. החוק מתיר במפורש למנות ממונה שאינו עובד הארגון (סעיף 17ב3(ב)).
ואם הספירה לא תופסת אתכם, גם זו תשובה. כדאי שתהיה לכם בכתב, באותה רמת פירוט, לקראת שאלון הלקוח הבא שישאל עליה.
מה המאמר הזה אינו
זה מידע כללי, לא ייעוץ משפטי. המאמר משקף את חוק הגנת הפרטיות אחרי תיקון 13 ואת גילוי הדעת של הרשות להגנת הפרטיות מ־14 ביולי 2026, נכון ליום 27 בספטמבר 2026. החוק והעמדות של הרשות להגנת הפרטיות משתנים, והתשובה לשאלה שלכם תלויה בנסיבות המקרה. קריאת המאמר אינה יוצרת יחסי עורך דין–לקוח. הספירה המצטברת היא פרשנות של הרשות להגנת הפרטיות, ובית משפט עוד לא הכריע בה.