תיקון 13 לחוק הגנת הפרטיות: מה שצריך לדעת
לקוחות רבים שואלים אותנו בזמן האחרון על "תיקון 13". ריכזנו כאן, בגובה העיניים, תשובות קצרות לשאלות הנפוצות ביותר.
מה זה תיקון 13, ולמה פתאום כולם מדברים עליו?
תיקון 13 הוא העדכון הגדול ביותר לחוק הגנת הפרטיות הישראלי (חוק משנת 1981) מאז חקיקתו. הוא אושר בכנסת באוגוסט 2024 ונכנס לתוקף ב-14 באוגוסט 2025. מטרתו: להתאים את החוק לעידן הדיגיטלי ולקרב אותו לתקן האירופי המוכר (GDPR). השינוי המעשי החשוב ביותר: לרשות להגנת הפרטיות יש עכשיו סמכויות אכיפה אמיתיות, כולל קנסות מנהליים, ולכן החוק הפך מנושא תיאורטי לנושא שעסקים נדרשים אליו בפועל.
האם זה נוגע גם לעסק קטן כמו שלי?
כן. אם יש לכם רשימת לקוחות דיגיטלית (אקסל, מערכת תורים, וואטסאפ עסקי, אתר עם טופס השארת פרטים), יש לכם "מאגר מידע" והחוק חל עליכם. התיקון גם הרחיב את ההגדרה של "מידע אישי": גם מספר טלפון, כתובת IP ומזהים דיגיטליים נחשבים היום מידע אישי. החדשות הטובות: לעסק קטן טיפוסי החובות פשוטות יחסית, ורוב החובות הכבדות שאולי שמעתם עליהן (רישום מאגר, מינוי ממונה) כלל לא חלות עליו.
מה אני כן חייב לעשות בפועל? חמישה דברים
- שקיפות: כשאוספים פרטים מלקוח, לומר בפשטות מה אוספים, לאיזו מטרה, ולמי המידע עשוי לעבור. הודעת פרטיות קצרה באתר, בטופס או בהודעת וואטסאפ עונה על זה ברוב המקרים.
- הסכמה והסרה: לא לשלוח דיוור שיווקי בלי הסכמה, ולכבד מיד כל בקשת הסרה.
- מסמך הגדרות מאגר: מסמך קצר, פנימי, שמתעד אילו נתונים נשמרים, לאיזו מטרה, איפה הם יושבים ומי ניגש אליהם.
- אבטחת מידע בסיסית: סיסמאות חזקות, הרשאות גישה רק למי שבאמת צריך, עדכוני תוכנה שוטפים, וזהירות עם קבצים שמכילים פרטי לקוחות.
- זכויות אנשים על המידע שלהם: לענות בזמן סביר למי שמבקש לעיין במידע שנשמר עליו, לתקן אותו או למחוק אותו.
האם אני צריך לרשום מאגר מידע או למנות "ממונה הגנת פרטיות"?
ברוב המקרים לא. תיקון 13 דווקא ביטל את חובת הרישום שהייתה קיימת לרוב העסקים. חובת מינוי ממונה הגנת פרטיות (DPO) חלה בעיקר על גופים ציבוריים, על מי שסוחר במידע, ועל ארגונים שמעבדים מידע רגיש בהיקפים גדולים (בנקים, קופות חולים, חברות ביטוח וכדומה). מספרה, סטודיו, חנות, מוסך או משרד שירותים: כמעט תמיד לא נדרשים לא לרישום ולא לממונה. שימו לב: גם מי שפטור מרישום ומממונה עדיין כפוף לכל שאר חובות החוק (השקיפות, ההסכמה, האבטחה והזכויות שבסעיף הקודם).
מה הסיכון אם מתעלמים?
לרשות להגנת הפרטיות יש סמכות להטיל קנסות מנהליים, והם מדורגים לפי גודל העסק: לעסק זעיר (מחזור עד 4 מיליון ש"ח) עד 70,000 ש"ח להפרה, לעסק קטן (מחזור 4 עד 10 מיליון ש"ח) עד 140,000 ש"ח להפרה, ובכל מקרה לא יותר מ-5% מהמחזור השנתי. בנוסף, אדם שנפגע יכול לתבוע בעילות מסוימות פיצוי של עד 10,000 ש"ח בלי להוכיח נזק (למשל אם התעלמו מבקשת עיון או מחיקה שלו). ומעבר לקנסות: לעסק קטן, שמבוסס על אמון אישי של לקוחות, הנזק התדמיתי של אירוע פרטיות הוא לרוב היקר מכולם.
יש לי בוט AI שעונה ללקוחות בוואטסאפ (או שאני שוקל אחד). מה זה משנה?
שיחות הלקוחות שלכם הן מידע אישי לכל דבר, ולכן כל מה שנכתב למעלה חל גם עליהן. בנוסף, רשות הגנת הפרטיות פרסמה באפריל 2025 טיוטת הנחיה ייעודית למערכות בינה מלאכותית, שמבהירה בין היתר: צריך ליידע אנשים שהם מדברים עם מערכת אוטומטית ולא עם אדם, להסביר בפשטות איזה מידע נאסף ולמה, לתת דרך פשוטה להגיע לנציג אנושי, ולא לאסוף יותר מידע ממה שנחוץ לשירות. במילים אחרות: בוט AI זה בסדר גמור, כל עוד משחקים בקלפים פתוחים מול הלקוח.
אני עובד עם Braineez: מי אחראי על מה?
החלוקה פשוטה ומעוגנת בהסכם בינינו:
- אתם "בעל השליטה במאגר": המידע של הלקוחות שלכם שייך לכם, ואתם קובעים לאילו מטרות הוא משמש.
- Braineez היא "מחזיקה" מטעמכם: אנחנו מעבדים את המידע אך ורק כדי לספק לכם את השירות, לפי הוראותיכם, ולא לשום מטרה אחרת.
מה זה אומר אצלנו בפועל: חותמים אתכם על נספח עיבוד נתונים (DPA) שמפרט את מטרות העיבוד, אמצעי האבטחה, רשימת ספקי המשנה, והתחייבות למחיקה או החזרה של המידע בסיום ההתקשרות. המערכת בנויה כך שכל עסק רואה רק את הנתונים שלו, עם הצפנה, ניהול הרשאות ותיעוד פעולות. אתם מקבלים מאיתנו נוסח מוכן ליידוע הלקוחות שלכם, כולל הגילוי שמדובר במענה אוטומטי והאפשרות לעבור לנציג אנושי. מה שנשאר אצלכם: למסור ללקוחותיכם את הודעת היידוע, להשתמש במידע רק למטרות שהוגדרו, ולוודא שלדיוור שיווקי יש הסכמה כדין.
מה לגבי הודעות שיווקיות (וואטסאפ, SMS, אימייל)?
זה בעיקר עניין של "חוק הספאם" (סעיף 30א לחוק התקשורת), שקיים עוד לפני תיקון 13, אבל השניים הולכים יחד: שולחים שיווק רק למי שהסכים, כל הודעה כוללת אפשרות הסרה, ובקשת הסרה מכובדת מיד. אצל לקוחות Braineez זה נאכף אוטומטית: מי שביקש הסרה חסום לדיוור ברמת המערכת, כך שגם טעות אנוש לא תשלח לו הודעה שיווקית.
ממה מתחילים כבר השבוע? חמישה צעדים
- כתבו לעצמכם בעמוד אחד: איזה מידע על לקוחות יש לנו, איפה הוא יושב, ומי ניגש אליו.
- הוסיפו הודעת פרטיות קצרה בנקודות שבהן אתם אוספים פרטים (אתר, טופס, וואטסאפ).
- עשו סדר בהרשאות: הסירו גישה ממי שכבר לא צריך אותה (עובד שעזב, ספק ישן).
- ודאו שלכל דיוור שיווקי יש הסכמה ומנגנון הסרה שעובד.
- אם ספק חיצוני מעבד עבורכם מידע לקוחות (מערכת תורים, סוכנות דיגיטל, או שירות כמו Braineez), בקשו ממנו נספח עיבוד נתונים חתום.
חשוב לדעת: המידע בעמוד הזה הוא הסבר כללי ואינו ייעוץ משפטי. הוא אינו מחליף בדיקה פרטנית של העסק שלכם. לייעוץ מותאם, פנו לעורך דין העוסק בהגנת הפרטיות.
יש שאלות?
אנחנו כאן:
עודכן לאחרונה: יולי 2026