תיקון 13 לחוק הגנת הפרטיות: מה כל עסק שמנהל אתר חייב לדעת

ב-14 באוגוסט 2025 נכנס לתוקף תיקון 13 לחוק הגנת הפרטיות — הרפורמה המשמעותית ביותר בחוק הישראלי מאז חקיקתו המקורית ב-1981. התיקון אינו עדכון טכני שולי; הוא משנה מן היסוד את האופן שבו ארגונים בישראל נדרשים לאסוף, לנהל ולאבטח מידע אישי, ומעניק לרשות להגנת הפרטיות סמכויות אכיפה חדשות ומשמעותיות, כולל עיצומים כספיים שיכולים להגיע למאות אלפי שקלים ובמקרים חמורים אף למיליונים.

עבור בעל עסק שמפעיל אתר אינטרנט — בין אם מדובר באתר תדמית עם טופס יצירת קשר, בחנות מסחר אלקטרוני או במערכת שמנהלת מאגרי לקוחות — משמעות התיקון היא שכללי המשחק השתנו. במאמר הזה נעשה סדר: נסביר מה השתנה, על מי החוק חל, ומהם הצעדים המעשיים שכל עסק צריך לנקוט כדי לעמוד בדרישות ולנהל את הפעילות בראש שקט.

החוק המקורי נחקק בעולם שבו לא היו אינטרנט, רשתות חברתיות, ענן או אלגוריתמים לעיבוד מידע. במשך עשורים הוא נותר מיושן ולא רלוונטי למציאות הדיגיטלית. תיקון 13 נועד לגשר על הפער הזה, להתאים את הדין הישראלי לסטנדרטים המודרניים בעולם — בהם רגולציית ה-GDPR האירופית — ולחזק את ההגנה על המידע האישי של אזרחי ישראל.

זו אולי הנקודה החשובה ביותר להבנה: החוק חל על כמעט כל עסק פעיל בישראל, ללא קשר לגודלו. אם העסק שלכם אוסף, שומר או מעבד מידע אישי של אנשים — אתם כפופים לחוק. זה כולל, בין היתר, עצמאי שאוסף כתובות מייל לניוזלטר, אתר תדמית עם טופס להשארת פרטים, חנות אינטרנט ששומרת פרטי לקוחות וכתובות למשלוח, וחברות בינוניות וגדולות המנהלות מאגרי מידע מורכבים על עובדים ולקוחות. בנוסף, החוק חל גם על חברות בינלאומיות שמציעות שירותים לתושבי ישראל, גם אם אין להן משרדים פיזיים בארץ.

במילים אחרות — אם יש לכם אתר עם טופס כלשהו שאוסף מידע, החוק נוגע אליכם.

התיקון עדכן והרחיב את ההגדרות של "מידע אישי" ו"מידע בעל רגישות מיוחדת". ככל שהמידע שהעסק מנהל רגיש יותר, כך מוטלות עליו חובות מחמירות יותר. חשוב לבצע מיפוי מדויק של סוגי המידע שהעסק אוסף ומחזיק.

לב הרפורמה. לראשונה, לרשות להגנת הפרטיות מוקנות סמכויות נרחבות של פיקוח, בירור מנהלי ואכיפה מנהלית — לרבות עריכת ביקורות, פתיחת הליכים מנהליים והטלת עיצומים כספיים משמעותיים. הרשות אף החלה בהליכי פיקוח רוחב במגזרים שונים, ובהם חברות סחר מקוון ואפליקציות בשימוש נפוץ. הסיכון הכספי והתדמיתי מאי-עמידה בחוק הפך ממשי.

התיקון קובע חובה למנות ממונה על הגנת הפרטיות (DPO) בגופים ציבוריים ובארגונים פרטיים מסוימים — בעיקר כאלה שעוסקים בסחר במידע, מבצעים ניטור שיטתי בהיקף ניכר, או מעבדים מידע רגיש בהיקף ניכר. הממונה אחראי על הובלת היישום וההטמעה של דרישות החוק בארגון.

בשונה מהעבר, כאשר רבים נדרשו לרשום את מאגרי המידע שלהם, התיקון צמצם משמעותית את חובת הרישום. כיום, בעיקר מאגרים של "ברוקרים" של מידע עם מעל 10,000 רשומות וגופים ציבוריים חייבים ברישום. עם זאת, צמצום חובת הרישום אינו מבטל את החובה לעמוד ביתר הוראות החוק — הוא רק מסיר נטל ביורוקרטי מסוים.

מעבר לצדדים המשפטיים והארגוניים, יש כמה צעדים מעשיים שבעל אתר צריך ליישם:

מדיניות פרטיות מעודכנת וברורה. האתר חייב להציג מדיניות פרטיות מפורטת, שמסבירה איזה מידע נאסף, לאיזו מטרה, כיצד הוא נשמר ומה זכויות הגולשים. המדיניות צריכה להיות נגישה, כתובה בשפה ברורה ומעודכנת בהתאם לדרישות התיקון.

הסכמה מדעת בטפסים. בכל טופס שאוסף מידע — יצירת קשר, הרשמה לניוזלטר, רכישה — יש להטמיע מנגנון הסכמה ברור, לרוב באמצעות צ'קבוקס שאינו מסומן כברירת מחדל, המפנה למדיניות הפרטיות. הגולש צריך לתת הסכמה אקטיבית ומודעת.

הודעה על איסוף מידע. יש ליידע את המשתמשים על איסוף המידע, לרבות שימוש בקובצי Cookies, בעת כניסתם לאתר.

אבטחת מידע ברמה נאותה. זהו אולי הצד הטכני החשוב ביותר. החוק מחייב לנקוט אמצעי אבטחה סבירים כדי להגן על המידע מפני דליפה, גישה בלתי מורשית או אובדן. אתר שנפרץ ומידע לקוחות דולף ממנו חושף את בעליו לא רק לנזק תדמיתי אלא גם לאחריות משפטית ולעיצומים.

השאלה הזו הפכה מתיאורטית לממשית מאז אוגוסט 2025. עם כניסת התיקון לתוקף, הרשות להגנת הפרטיות קיבלה לראשונה סמכות להטיל עיצומים כספיים, לפתוח הליכים מנהליים ואף לנקוט צעדים פליליים במקרים של הפרות חמורות. הרשות אף הודיעה כי החלה בהליכי פיקוח רוחב במגזרים שונים — סימן ברור לכך שהאכיפה איננה על הנייר בלבד.

הסיכון אינו כספי בלבד. אירוע דליפת מידע שנחשף לציבור פוגע קשות באמון הלקוחות ובמוניטין העסק — נזק שלעיתים קשה לתקן יותר מהקנס עצמו. לקוחות מצפים כיום שהמידע שלהם יישמר בבטחה, ועסק שמפגין רשלנות בתחום עלול לאבד אותם למתחרים. מנגד, עסק שמטפל בפרטיות ברצינות יכול להפוך את זה ליתרון תחרותי ולמסר שיווקי.

בעלי אתרים רבים נופלים באותן מלכודות. אחת הנפוצות היא העתקה של מדיניות פרטיות מאתר אחר — מסמך גנרי שאינו משקף את מה שהעסק באמת עושה עם המידע חסר ערך משפטי ואף עלול להזיק. טעות שנייה היא הסתמכות על צ'קבוקס מסומן מראש בטפסים; החוק דורש הסכמה אקטיבית, כך שהמשתמש צריך לסמן בעצמו. טעות שלישית, ואולי החמורה ביותר, היא התמקדות בצד המשפטי תוך הזנחה מוחלטת של הצד הטכני — מדיניות פרטיות מושלמת לא תעזור אם האתר עצמו אינו מאובטח, אינו מגובה וחשוף לפריצות.

הנקודה שרבים מפספסים היא שעמידה בתיקון 13 אינה רק עניין של מסמכים משפטיים וצ'קבוקסים — היא דורשת תשתית טכנית מאובטחת. כאשר החוק מחייב "אמצעי אבטחה סבירים", הכוונה לשורה של רכיבים מעשיים: אחסון מאובטח בשרתים מוגנים, תעודות SSL להצפנת התקשורת, חומות אש ופתרונות הגנה מפני מתקפות, גיבוי סדיר של המידע כדי למנוע אובדן, והקשחת מערכות כנגד פריצות.

עסק שמנהל את המידע שלו על תשתית מאובטחת, מגובה ומנוטרת, נמצא בעמדה טובה בהרבה לעמוד בדרישות החוק — הן מבחינת מניעת אירועים והן מבחינת היכולת להוכיח שנקט את האמצעים הנדרשים.

עמידה בתיקון 13 היא מאמץ משולב של היבטים משפטיים, ארגוניים וטכניים. בעוד שאת ההיבטים המשפטיים כדאי להסדיר עם יועץ מתאים, את התשתית הטכנית המאובטחת אפשר לבנות עם ספק מקצועי.

LiveDNS, חברה מוסמכת לתקן ISO 27001 לאבטחת מידע ולתקני ISO נוספים, מעמידה לרשות עסקים מגוון פתרונות שתומכים ישירות בעמידה בדרישות התיקון: אחסון אתרים מאובטח בשרתים בישראל, תעודות SSL, פתרונות הגנת סייבר מתקדמים, גיבוי מקצועי בענן, הקשחת אתרים כנגד פריצות ושירותי מומחה בתחום אבטחת המידע.

תיקון 13 אינו גזרה שיש להיאבק בה, אלא הזדמנות לחזק את אמון הלקוחות ולהעמיד את העסק על תשתית איתנה ומאובטחת. אם אתם רוצים לוודא שהתשתית הטכנית של האתר והמידע שלכם עומדת בסטנדרט הנדרש — צוות המומחים של LiveDNS זמין עבורכם בטלפון 03-9700600.

הערה: מאמר זה מספק מידע כללי ואינו מהווה ייעוץ משפטי. לקבלת חוות דעת מחייבת לגבי חובות הארגון שלכם, מומלץ לפנות לעורך דין המתמחה בתחום.