תיקון 13: הרפורמה שישראל לא הייתה מוכנה לה
ב-14 באוגוסט 2025 נכנס לתוקף תיקון 13 לחוק הגנת הפרטיות. לא אירוע טכני, לא עדכון בירוקרטי. רפורמה שמשנה את כללי המשחק לכל ארגון שמחזיק מידע על אנשים. כמעט כולם.
מאמרים קצרים שנועדו לעזור להבין חובות, תהליכים והחלטות תפעוליות, בלי להציג את המערכת כתחליף לייעוץ מקצועי.
העמוד מרכז תכנים פתוחים לקריאה בשלב זה.
ב-14 באוגוסט 2025 נכנס לתוקף תיקון 13 לחוק הגנת הפרטיות. לא אירוע טכני, לא עדכון בירוקרטי. רפורמה שמשנה את כללי המשחק לכל ארגון שמחזיק מידע על אנשים. כמעט כולם.
תיקון 13 נכנס לתוקף באוגוסט 2025. חצי שנה אחרי, רוב העסקים עדיין עושים את אותן חמש טעויות. הנה הן, אחת-אחת.
תיקון 13 הפך את מינוי ממונה הגנת הפרטיות מהמלצה נאה לחובה חוקית, אבל לא לכולם. מי בדיוק חייב, מי כשיר לתפקיד, ולמה השאלה 'האם אני חייב' היא לרוב השאלה הלא נכונה.
בקשת נושא מידע היא לא אירוע יוצא דופן, היא חלק מהשגרה. הנה איך לטפל בה נכון, בזמן, ולפי הדין הישראלי.
הרשות להגנת הפרטיות פרסמה כלי דיגיטלי לזיהוי סיכוני פרטיות (גרסת בטא). מה הוא באמת עושה, האם DPIA חובה בישראל, ומתי נכון לערוך תסקיר מלא.
תקנות ההתראה המינהלית בתוקף מ-16 באפריל 2026: מתי הרשות להגנת הפרטיות תסתפק בהתראה במקום עיצום כספי, מה ההתראה כוללת, ולמה היא אינה פטור.
הנחיית 2017 של הרשות להגנת הפרטיות קובעת את כללי המצלמות במקום העבודה, והם תקפים גם היום. מה מותר, מה אסור, ומה קובעת הבהרת ה-LPR מאפריל 2026.
הרשות להגנת הפרטיות פרסמה את הנחיה 1/2024: בתאגידים שמידע אישי בליבת פעילותם, הדירקטוריון נדרש לדיונים קבועים באבטחת מידע. מה בדיוק נדרש, ומה מותר להאציל.
הרשות להגנת הפרטיות פרסמה באפריל 2025 טיוטת הנחיה על בינה מלאכותית ופרטיות. היא לא מחייבת עדיין. אבל מי שיחשוב שזה לא רלוונטי עלול להתבדות.
כל ארגון ישראלי שמשתמש בשירותי ענן, CRM או כלי שיווק מבוססי ענן מעביר מידע מחוץ לגבולות ישראל. ההסדר מעוגן בתקנות משנת 2001, שקדמו לתיקון 13 בעשרות שנים. השאלה היא אם הסכמי הספקים שלכם מעודכנים.
חובת הדיווח לרשות על אירוע אבטחה חמור היא מיידית (תקנה 11(ד)(1)). לא כל אירוע מחייב דיווח, וההבחנה קריטית. מדריך: מי, מתי, ואיך להיות מוכנים לרגע שהוא יגיע.
מרשם פעולות עיבוד נחשב להמצאה של תקנת הפרטיות האירופית. בפועל, הדרישה לתעד עיבוד מידע מלווה את החוק הישראלי כבר ארבעים וחמש שנה. השאלה היא רק מי באמת עושה את זה.
עסקים ישראלים רבים מעתיקים מנגנוני הסכמה מאירופה בלי לדעת שהדין הישראלי שונה. תיקון 13 לא יצר 'עילת הסכמה' כוללת. הוא חיזק דרישות ספציפיות. ההבדל הוא לא סמנטי.
מועד התגובה לבקשת עיון, 30 יום, נובע מזכות העיון שבסעיף 13 ומתקנות העיון שקדמו לתיקון 13. הזכויות ברורות. הבעיה היא בתהליך הפנימי של ארגונים שלא הכינו אותו.
מחקרים בתעשייה מצביעים על ספקי צד שלישי כמקור מרכזי להפרות מידע. כך תנהלו ספקים נכון: תקנה 15, הסכמי DPA, בדיקת נאותות וקבלני משנה.
מערכות כניסה ביומטריות, טביעות אצבע וזיהוי פנים מתפשטות במקומות עבודה. הרשות להגנת הפרטיות קבעה קווים אדומים ברורים.
הדרך הזולה ביותר לציית לחוק הפרטיות היא לבנות אותו לתוך המוצר מההתחלה. 7 עקרונות שכל צוות פיתוח צריך לאמץ.
בתחילת 2026 פרסמה הרשות להגנת הפרטיות הנחיה ייעודית על מצלמות במעונות יום לפעוטות. היא לא נולדה מרצון טוב. היא נולדה מסדרה של אירועים שזעקו מכותרות החדשות.
תסקיר השפעה על הפרטיות הוא לא מסמך שממלאים, הוא תהליך חשיבה. בישראל אין חובת DPIA סטטוטורית, אבל זו פרקטיקה מומלצת. חמישה מצבים שכל ארגון שעושה משהו חדש עם מידע צריך להכיר.
תיקון 13 חייב ארגונים מסוימים למנות ממונה הגנת פרטיות. DPO-as-a-Service הוא הפתרון שמשנה את המשחק לעסקים קטנים ובינוניים.
תקנות אבטחת המידע, התשע"ז-2017, קבעו דרישות מפורטות. הנה חמש הדרישות הנפוצות ביותר כנקודת כשל, ואיך מתקנים אותן.
חובת הדיווח לרשות על אירוע אבטחה חמור היא מיידית (תקנה 11(ד)(1)), לא "תוך 72 שעות". הנה תוכנית פעולה שלב-אחר-שלב שתכין אתכם לרגע הזה.
שמונה מקורות רשמיים, ולכל אחד עמוד תקציר בעברית וקישור למקור עצמו. התקציר עוזר להתמצא, והנוסח הרשמי הוא שקובע. לצד כל מקור מופיע התאריך שבו WebLaw בדקה אותו מול האתר הרשמי.
החוק הוא המסגרת המרכזית בישראל להגנה על פרטיות ולדיני מאגרי מידע. הוא מסדיר, בין היתר, פגיעה בפרטיות, עיבוד מידע אישי במאגרים, זכויות נושאי מידע, חובות ארגוניות וסמכויות פיקוח ואכיפה.
התקנות קובעות מסגרת ארגונית וטכנולוגית לאבטחת מידע אישי במאגרי מידע. הן מבחינות בין רמות אבטחה וכוללות דרישות הנוגעות למסמך הגדרות מאגר, ניהול הרשאות, תיעוד, בקרה, אירועי אבטחה והתקשרות עם גורם חיצוני.
התקנות מסדירות תנאים להעברת מידע ממאגר מידע בישראל אל מחוץ לגבולות המדינה. הן מונות בסיסים אפשריים להעברה וקובעות תנאים משלימים שנועדו לשמור על ההגנה על המידע גם לאחר העברתו.
גילוי הדעת הסופי מפרט את עמדת הרשות ביחס להיקף חובת המינוי, תפקידי הממונה, הידע והכישורים הנדרשים ממנו, מעמדו בארגון ומתכונת העסקתו.
ההנחיה מציגה את עמדת הרשות ביחס לתפקיד הדירקטוריון בפיקוח על קיום חובות התאגיד לפי תקנות אבטחת המידע בחברה שבה עיבוד מידע אישי הוא בליבת הפעילות, או שפעילותה צפויה ליצור סיכון מוגבר לפרטיות.
המסמך מסביר את עמדת הרשות לגבי חובת היידוע בעת פנייה לאדם לקבלת מידע אישי, ואת המידע שצריך להימסר כדי לאפשר שקיפות ביחס לאיסוף ולשימוש.
גילוי הדעת מציג את פרשנות הרשות לעקרון ההסכמה בדיני הגנת הפרטיות ולהיבטים הנוגעים לאיכות ההסכמה ולתוקפה בסביבה דיגיטלית.
המסמך סוקר סיכוני פרטיות בשימוש באמצעים דיגיטליים למעקב אחר עובדים, ומציג את עמדת הרשות לגבי מידתיות, מטרה, שקיפות, הסכמה, אבטחת מידע והשימוש במידע שנאסף.
התקצירים הם מידע כללי, לא ייעוץ משפטי ולא תחליף לקריאת המקור הרשמי. תחולת חוק או הנחיה על עסק מסוים תלויה בעובדות ובנסיבות.
קראו את התוכן, התחילו מבדיקת האתר החינמית, או השאירו פרטים לקבלת שיחה והצעת מחיר מותאמת.