בקצרה: תיקון 13 בתוקף מ‑14.8.2025 וחל כמעט על כל עסק בישראל שאוסף מידע אישי, כולל טופס "צור קשר" באתר. לפניכם 12 צעדים מעשיים, מהמיפוי ועד התיעוד. רובם דורשים סדר, לא עורך דין.
ב‑14 באוגוסט 2025 נכנס לתוקף תיקון 13 לחוק הגנת הפרטיות, התשמ"א‑1981, הרפורמה המקיפה ביותר בחוק מאז חקיקתו. התיקון אושר בכנסת באוגוסט 2024, וניתנה לארגונים שנה שלמה להתארגן. השנה הזו נגמרה: החובות בתוקף, והרשות להגנת הפרטיות קיבלה לראשונה סמכויות אכיפה מנהליות רחבות, כולל עיצומים כספיים שיכולים להגיע למיליוני שקלים.
בבלוג כבר פרסמנו מדריך מעמיק להיערכות טכנולוגית וניהול סיכונים במסגרת תיקון 13, מאת שי אהרון, ראש תחום GRC בחברה. המאמר הזה הוא הגרסה המעשית והמקוצרת: רשימת פעולות אחת, לתלות על הקיר, למי שרוצה לדעת מאיפה מתחילים מחר בבוקר.
על מי זה חל? על כל גוף שמנהל או מעבד מידע אישי בישראל: עצמאי שאוסף מיילים לניוזלטר, חנות אינטרנט ששומרת כתובות למשלוח, ואפילו אתר תדמית עם טופס "צור קשר". התיקון נועד לקרב את הדין הישראלי לסטנדרטים בינלאומיים כמו ה‑GDPR האירופי.
הצ'קליסט
1. מפו את המידע שאתם מחזיקים. אילו פרטים אישיים נאספים באתר ובמערכות (טפסים, הזמנות, ניוזלטר, לוגים), היכן הם נשמרים ומי ניגש אליהם. בלי מפה אי אפשר לעמוד בשום חובה אחרת.
2. בדקו אם אתם חייבים במינוי ממונה הגנת פרטיות (DPO). החובה חלה בין היתר על גופים ציבוריים, סוחרי מידע, גופים שמבצעים ניטור שיטתי בהיקף ניכר, וגופים שמעבדים מידע רגיש בהיקף ניכר. שימו לב: הרשות הודיעה על מדיניות אי‑אכיפה זמנית בעניין זה רק עד 31.10.2025, מועד שכבר חלף.
3. בדקו את חובת ההודעה על מאגרים. חובת הרישום הכללית צומצמה, אך נקבעה חובת הודעה לרשות עבור מאגרים מסוימים, למשל כאשר קיים מידע בעל רגישות מיוחדת על יותר מ‑100,000 בני אדם. ההודעה מוגשת בטופס מקוון של הרשות וכוללת בין היתר את מסמך הגדרות המאגר ואת פרטי הממונה.
4. עדכנו את מדיניות הפרטיות באתר. ההגדרות בחוק ("מידע", "מידע בעל רגישות מיוחדת", "עיבוד") הורחבו, ולכן מדיניות ישנה כנראה כבר לא מדויקת.
5. הקפידו על צמידות מטרה. אחת מחובות הליבה בתיקון: להשתמש במידע רק למטרה שלשמה נאסף. מייל שנמסר לצורך משלוח קבלה אינו רשימת תפוצה שיווקית.
6. תקנו את טפסי ההסכמה. תיבות סימון להסכמה צריכות להיות ריקות כברירת מחדל, עם הסבר ברור למה המידע ישמש.
7. הכינו מענה לפניות נושאי מידע. זכות עיון, תיקון ומחיקה מחייבת נוהל מסודר ואדם אחראי לטיפול בפניות.
8. עדכנו את מסמך הגדרות המאגר. המסמך נדרש גם במסגרת ההודעה לרשות, וצריך לשקף את המצב בפועל.
9. ודאו עמידה בתקנות אבטחת המידע. כולל בקרות גישה, הצפנה היכן שנדרש, ושמירת לוגים לתקופה הקבועה בתקנות. כאן ספק האחסון שלכם הוא שותף קריטי: פתרונות כמו פלאגין SPD להגנת הפרטיות בוורדפרס ושירות הרחקת הלוגים נבנו בדיוק לדרישה הזו.
10. סדרו הסכמים עם ספקים ומעבדי משנה. כל מי שמחזיק את המידע עבורכם (אחסון, CRM, דיוור) צריך הסדרה חוזית של האחריות.
11. הכינו נוהל אירוע אבטחה. מי מודיע למי, תוך כמה זמן, ומה מתועד. באירוע אמיתי אין זמן לאלתר.
12. תעדו הכול. עקרון ה‑Accountability שבבסיס התיקון קובע שלא מספיק לעמוד בחוק, צריך גם להיות מסוגלים להוכיח זאת. הרשות כבר החלה בהליכי פיקוח רוחב במגזרים כמו רשויות מקומיות וחברות מסחר מקוון.
מה קורה למי שלא מתיישר?
התיקון מעניק לרשות להגנת הפרטיות סמכויות פיקוח, בירור מנהלי ואכיפה, כולל עיצומים כספיים משמעותיים שבמקרים חמורים מגיעים למיליוני שקלים, וחלקם אף ללא אפשרות "לרפא" את ההפרה בדיעבד. במקביל נשמר גם המסלול הפלילי, והרשות פרסמה נוהל שקובע מתי מקרה ינותב לכל מסלול.
שורה תחתונה: רוב הצעדים ברשימה אינם דורשים עורך דין. הם דורשים סדר. התחילו מהמיפוי (סעיף 1), והשאר יתבהר.
קריאה נוספת בבלוג SPD: המדריך המלא להיערכות לתיקון 13 · מה ההבדל בין סקר פרטיות לתסקיר פרטיות · עדכון חוק הגנת הפרטיות והרחקת לוגים
רוצים שנעבור על זה יחד? צוותי SPD זמינים 24/7: ניטור, הגנה ותמיכה על תשתית ישראלית. דברו איתנו: 03‑6221258 · spd.co.il/contact
מקורות: הרשות להגנת הפרטיות · law.co.il — כניסת תיקון 13 לתוקף · Goldfarb Gross Seligman — סקירת התיקון
המאמר הוא סקירה כללית ואינו מהווה ייעוץ משפטי. ליישום מלא מומלץ להתייעץ עם עורך דין המתמחה בהגנת הפרטיות.
