תיקון 13 לחוק הגנת הפרטיות: מה עסק קטן חייב לעשות, ומה לא

תיקון 13 לחוק הגנת הפרטיות בתוקף מ-14.8.2025, והוא הרפורמה הגדולה ביותר בחוק מאז נחקק. לעסק קטן שמחזיק רשימת לקוחות - בגיליון, בטלפון או במערכת - המשמעות בשורה אחת: כמעט בוודאות לא חייבים לרשום מאגר ולא חייבים למנות ממונה, אבל כן חייבים ליידע בנקודת האיסוף, לאבטח ברמה סבירה, להשתמש בפרטים רק למטרה שנמסרו לה, ולענות לבקשת עיון או מחיקה. ומה שהשתנה באמת: הרשות להגנת הפרטיות יכולה עכשיו לקנוס בעצמה, בלי בית משפט.

שלושת התיקונים שמתבלבלים ביניהם

חיפוש של «תיקון 73 לחוק הגנת הפרטיות» מתוקן אוטומטית על ידי מנוע החיפוש ל«תיקון 13» - כלומר הבלבול כבר צרוב באינדקס. שלושת התיקונים שבעלי עסקים מערבבים הם שלושה חוקים שונים:

התיקון	החוק	על מה הוא חל	מתי בתוקף
תיקון 40	חוק התקשורת (חוק הספאם, סעיף 30א)	למי מותר לשלוח הודעה פרסומית ומה חייב להופיע בה	מ-2008
תיקון 13	חוק הגנת הפרטיות	איסוף, שמירה, שימוש ואבטחה של פרטים אישיים	מ-14.8.2025
תיקון 73	חוק הגנת הצרכן	הקלטת שיחות מכירה בעסקאות מרחוק ומסירתן ללקוח	מ-22.3.2027

אותו ליד עובר דרך שלושתם: הטופס שהוא ממלא (תיקון 13), ההודעה הפרסומית שנשלחת לו אחר כך (חוק הספאם), ושיחת המכירה שמוקלטת (תיקון 73). המדריך הזה עוסק בראשון. את שלושתם בעמוד אחד, כשאלות ותשובות, ריכזנו ברגולציית השיווק בישראל.

מה השתנה בתיקון 13

1. הגדרות רחבות יותר. «מידע» הוא כל נתון על אדם מזוהה או שניתן לזהותו - שם וטלפון בגיליון הם מידע. «מידע בעל רגישות מיוחדת» החליף את «מידע רגיש», וכולל בין השאר מידע רפואי, גנטי וביומטרי, נטייה מינית, דעות פוליטיות ואמונה, ועבר פלילי.
2. תפקידים בשמות חדשים. «בעל שליטה במאגר» הוא מי שקובע למה אוספים ומה עושים - העסק. «מחזיק» הוא מי שמעבד עבורו - ספק ה-CRM, מערכת הדיוור, האחסון. לכל אחד חובות משלו.
3. חובת הרישום צומצמה. במקום רישום של כמעט כל מאגר, רישום נדרש בעיקר למאגרים שעיקרם סחר במידע ולגופים ציבוריים, ובמקומו חובת הודעה לרשות למאגרים גדולים עם מידע בעל רגישות מיוחדת. רשימת לקוחות של עסק קטן לא נכנסת לאף אחת מהקטגוריות.
4. חובת היידוע (סעיף 11) הורחבה. בעת איסוף הפרטים מודיעים: מי בעל השליטה ואיך פונים אליו, האם המסירה חובה או רצון ומה קורה בסירוב, למה הפרטים ישמשו, למי יועברו, ומה הזכויות של מי שמסר.
5. ממונה על הגנת הפרטיות. חובת מינוי חלה על גופים ציבוריים, על סוחרי מידע ועל גופים שעיסוקם העיקרי הוא עיבוד מידע בעל רגישות מיוחדת בהיקף גדול או מעקב שיטתי אחרי אנשים. רוב העסקים הקטנים אינם שם.
6. אכיפה מנהלית. הרשות להגנת הפרטיות יכולה להטיל עיצום כספי בעצמה, בהליך מנהלי, לפי סוג ההפרה ובהתחשב בגודל המאגר. עד התיקון כמעט כל אכיפה דרשה הליך בבית משפט.

האם זה חל על העסק שלכם?

כן, אם יש אצלכם רשימה של אנשים עם פרטים מזהים. זה כולל רשימת לקוחות בגיליון, לידים שהשאירו טלפון בטופס, אנשי הקשר בטלפון העסקי, רשימת תפוצה, ורשימת עובדים. גיליון אחד עם שמות וטלפונים הוא מאגר מידע לפי החוק, והעסק הוא בעל השליטה בו. השאלה אינה אם החוק חל, אלא אילו מהחובות חלות - ולעסק קטן רובן פשוטות.

חמש חובות שכן חלות על עסק קטן

1. יידוע בנקודת האיסוף

הטופס באתר, דף הנחיתה, טופס הלידים במודעה - כל מקום שבו אדם משאיר פרטים צריך לשאת הודעה קצרה. לא מסמך משפטי: ארבע עובדות, בעברית פשוטה, ליד הכפתור או בקישור ממנו. נוסח שאפשר להתאים:

הפרטים נאספים על ידי [שם העסק] כדי לחזור אליכם בעניין פנייתכם. המסירה מרצון; בלי טלפון לא נוכל לחזור. הפרטים נשמרים במערכות שלנו ואצל ספקי המערכת שלנו בלבד, ולא יימסרו לאחרים. לעיון, תיקון או מחיקה: [כתובת מייל].

מי שמתכוון לשלוח גם הודעות פרסומיות מוסיף לזה תיבת הסכמה נפרדת, כי חוק הספאם דורש הסכמה מפורשת לדיוור, והשארת טלפון לצורך חזרה אינה הסכמה כזו.

2. מטרה אחת

הפרטים משמשים למטרה שלשמה נמסרו. ליד שהשאיר טלפון ב«חזרו אליי» מסר אותו כדי שיחזרו אליו - לא כדי להצטרף לרשימת תפוצה, ולא כדי שהפרטים יימכרו. שימוש למטרה אחרת דורש הסכמה חדשה. זה הכלל שרוב ההפרות של עסקים קטנים נופלות בו, בלי כוונה.

3. אבטחת מידע סבירה

תקנות אבטחת המידע מ-2017 ממשיכות לחול, והרמה נקבעת לפי גודל המאגר ורגישותו. לרוב העסקים הקטנים זו הרמה הבסיסית, וגם היא דורשת כמה דברים שאפשר לסיים בשבוע:

• מסמך הגדרות מאגר: מה שומרים, למה, מי ניגש, ואיפה זה נמצא. עמוד אחד.
• ניהול הרשאות: לכל עובד משתמש משלו, ולא סיסמה אחת לכולם. עובד שעזב מאבד גישה באותו יום.
• סיסמאות ונעילה: סיסמה חזקה, אימות דו-שלבי איפה שיש, מסך נעול.
• גיבוי: עותק נפרד, ובדיקה שאפשר לשחזר ממנו.
• נוהל לאירוע: מה עושים כשמחשב נגנב או כשקובץ נשלח בטעות. מי מודיע למי.

4. הספקים שלכם הם «מחזיקים»

מערכת ה-CRM, מערכת הדיוור, האחסון בענן, הטפסים - כל ספק שהפרטים עוברים דרכו מעבד אותם עבורכם. החוק מצפה שההתקשרות איתו תסדיר מה מותר לו לעשות במידע, שהוא מאבטח אותו, ושאתם יודעים איפה המידע נשמר. כשהשרתים מחוץ לישראל חלות גם תקנות ההעברה. בפועל: לפני שבוחרים ספק קוראים את מדיניות הפרטיות שלו, ובודקים שאפשר למחוק דרכו רשומה של אדם אחד. זה אחד משבעת הקריטריונים בבחירת CRM לעסק קטן.

5. זכות עיון, תיקון ומחיקה

כל אדם רשאי לעיין במידע שנשמר עליו (סעיף 13 לחוק) ולדרוש לתקן או למחוק מידע שאינו נכון או מעודכן (סעיף 14). המבחן המעשי: אם לקוח כותב מחר «תמחקו אותי», יודעים למצוא כל מה שיש עליו - בגיליון, במערכת, בטלפון, בדיוור - ולמחוק בתוך זמן סביר? במערכת אחת זו פעולה. בחמישה גיליונות ושלושה טלפונים זה החיפוש שבו נופלים.

מה לא חובה לרוב העסקים הקטנים

• רישום מאגר ברשות. צומצם לסוחרי מידע ולגופים ציבוריים; רשימת לקוחות רגילה לא נרשמת.
• ממונה על הגנת הפרטיות. נדרש מגופים שעיסוקם מידע רגיש בהיקף גדול. אפשר למנות אחראי פנימי בלי התואר, וזה מומלץ.
• מדיניות פרטיות באורך עשרה עמודים. החובה היא יידוע ברור בנקודת האיסוף. עמוד מדיניות באתר הוא הדרך הנוחה לקיים אותו, לא דרישה לאורך.
• הסכמה חתומה לכל איסוף. הסכמה יכולה להיות גם במעשה - מי שממלא טופס אחרי שקרא את ההודעה הסכים למטרה שבה. חובת היידוע לא נעלמת, וההסכמה לדיוור פרסומי נשארת נפרדת.

מה קורה למי שמפר

שלוש חשיפות, מהקלה לכבדה: עיצום כספי שהרשות מטילה בהליך מנהלי, בסכום שתלוי בסוג ההפרה ובהיקף המאגר; תביעה אזרחית של מי שנפגע, כי פגיעה בפרטיות היא עוולה; ולקוח שביקש למחוק, לא נענה, וכותב על זה. ברוב המקרים האחרון מגיע ראשון. העסקים שמסתבכים הם לא אלה שאספו פרטים, אלא אלה שלא ידעו איפה הפרטים נמצאים כשמישהו ביקש אותם.

צ'קליסט תיקון 13 לעסק קטן

• רשימה של כל המקומות שבהם נשמרים פרטי אנשים: גיליונות, מערכת, טלפונים, דיוור
• הודעת יידוע קצרה בכל טופס ודף נחיתה, עם כתובת לפניות
• תיבת הסכמה נפרדת לדיוור פרסומי, לא מסומנת מראש
• מסמך הגדרות מאגר של עמוד אחד
• משתמש נפרד לכל עובד, והסרת גישה ביום העזיבה
• בדיקה שאצל כל ספק אפשר למחוק רשומה של אדם אחד
• מי עונה לבקשת עיון או מחיקה, ובתוך כמה ימים

מה אומרים המקורות

• תיקון 13 לחוק הגנת הפרטיות התקבל בכנסת באוגוסט 2024 ונכנס לתוקף ב-14.8.2025. לשון החוק היא המקור המחייב להגדרות, לחובות ולפטורים.
• תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 קובעות את רמות האבטחה - בסיסית, בינונית וגבוהה - ואת מה שכל רמה דורשת, ממסמך הגדרות המאגר ועד נוהל אירוע אבטחה.
• הרשות להגנת הפרטיות מפרסמת הנחיות ליישום התיקון, בין השאר לחובת היידוע ולמינוי ממונה, והיא הגוף שמטיל את העיצומים.

שורה תחתונה: תיקון 13 לא דורש מעסק קטן עורך דין צמוד. הוא דורש לדעת איפה פרטי האנשים נמצאים, להגיד להם למה אוספים, ולהיות מסוגלים למחוק. מי שמחזיק את הלקוחות במערכת אחת עם הרשאות ומחיקה עומד ברוב הצ'קליסט בלי להרגיש.

המדריך הזה הוא מידע כללי ואינו ייעוץ משפטי. לתחולה המדויקת של תיקון 13 על העסק שלכם מומלץ להתייעץ עם עורך דין.