תיקון 13: הרפורמה שישראל לא הייתה מוכנה לה
ב-14 באוגוסט 2025 נכנס לתוקף תיקון 13 לחוק הגנת הפרטיות. לא אירוע טכני, לא עדכון בירוקרטי. רפורמה שמשנה את כללי המשחק לכל ארגון שמחזיק מידע על אנשים. כמעט כולם.
מאמרים קצרים שנועדו לעזור להבין חובות, תהליכים והחלטות תפעוליות, בלי להציג את המערכת כתחליף לייעוץ מקצועי.
העמוד מרכז תכנים פתוחים לקריאה בשלב זה.
ב-14 באוגוסט 2025 נכנס לתוקף תיקון 13 לחוק הגנת הפרטיות. לא אירוע טכני, לא עדכון בירוקרטי. רפורמה שמשנה את כללי המשחק לכל ארגון שמחזיק מידע על אנשים. כמעט כולם.
תיקון 13 נכנס לתוקף באוגוסט 2025. חצי שנה אחרי, רוב העסקים עדיין עושים את אותן חמש טעויות. הנה הן, אחת-אחת.
תיקון 13 הפך את מינוי ממונה הגנת הפרטיות מהמלצה נאה לחובה חוקית, אבל לא לכולם. מי בדיוק חייב, מי כשיר לתפקיד, ולמה השאלה 'האם אני חייב' היא לרוב השאלה הלא נכונה.
בקשת נושא מידע היא לא אירוע יוצא דופן, היא חלק מהשגרה. הנה איך לטפל בה נכון, בזמן, ולפי הדין הישראלי.
הרשות להגנת הפרטיות פרסמה כלי דיגיטלי לזיהוי סיכוני פרטיות (גרסת בטא). מה הוא באמת עושה, האם DPIA חובה בישראל, ומתי נכון לערוך תסקיר מלא.
תקנות ההתראה המינהלית בתוקף מ-16 באפריל 2026: מתי הרשות להגנת הפרטיות תסתפק בהתראה במקום עיצום כספי, מה ההתראה כוללת, ולמה היא אינה פטור.
הנחיית 2017 של הרשות להגנת הפרטיות קובעת את כללי המצלמות במקום העבודה, והם תקפים גם היום. מה מותר, מה אסור, ומה קובעת הבהרת ה-LPR מאפריל 2026.
הרשות להגנת הפרטיות פרסמה את הנחיה 1/2024: בתאגידים שמידע אישי בליבת פעילותם, הדירקטוריון נדרש לדיונים קבועים באבטחת מידע. מה בדיוק נדרש, ומה מותר להאציל.
הרשות להגנת הפרטיות פרסמה באפריל 2025 טיוטת הנחיה על בינה מלאכותית ופרטיות. היא לא מחייבת עדיין. אבל מי שיחשוב שזה לא רלוונטי עלול להתבדות.
כל ארגון ישראלי שמשתמש בשירותי ענן, CRM או כלי שיווק מבוססי ענן מעביר מידע מחוץ לגבולות ישראל. ההסדר מעוגן בתקנות משנת 2001, שקדמו לתיקון 13 בעשרות שנים. השאלה היא אם הסכמי הספקים שלכם מעודכנים.
חובת הדיווח לרשות על אירוע אבטחה חמור היא מיידית (תקנה 11(ד)(1)). לא כל אירוע מחייב דיווח, וההבחנה קריטית. מדריך: מי, מתי, ואיך להיות מוכנים לרגע שהוא יגיע.
מרשם פעולות עיבוד נחשב להמצאה של תקנת הפרטיות האירופית. בפועל, הדרישה לתעד עיבוד מידע מלווה את החוק הישראלי כבר ארבעים וחמש שנה. השאלה היא רק מי באמת עושה את זה.
עסקים ישראלים רבים מעתיקים מנגנוני הסכמה מאירופה בלי לדעת שהדין הישראלי שונה. תיקון 13 לא יצר 'עילת הסכמה' כוללת. הוא חיזק דרישות ספציפיות. ההבדל הוא לא סמנטי.
מועד התגובה לבקשת עיון, 30 יום, נובע מזכות העיון שבסעיף 13 ומתקנות העיון שקדמו לתיקון 13. הזכויות ברורות. הבעיה היא בתהליך הפנימי של ארגונים שלא הכינו אותו.
מחקרים בתעשייה מצביעים על ספקי צד שלישי כמקור מרכזי להפרות מידע. כך תנהלו ספקים נכון: תקנה 15, הסכמי DPA, בדיקת נאותות וקבלני משנה.
מערכות כניסה ביומטריות, טביעות אצבע וזיהוי פנים מתפשטות במקומות עבודה. הרשות להגנת הפרטיות קבעה קווים אדומים ברורים.
הדרך הזולה ביותר לציית לחוק הפרטיות היא לבנות אותו לתוך המוצר מההתחלה. 7 עקרונות שכל צוות פיתוח צריך לאמץ.
בתחילת 2026 פרסמה הרשות להגנת הפרטיות הנחיה ייעודית על מצלמות במעונות יום לפעוטות. היא לא נולדה מרצון טוב. היא נולדה מסדרה של אירועים שזעקו מכותרות החדשות.
תסקיר השפעה על הפרטיות הוא לא מסמך שממלאים, הוא תהליך חשיבה. בישראל אין חובת DPIA סטטוטורית, אבל זו פרקטיקה מומלצת. חמישה מצבים שכל ארגון שעושה משהו חדש עם מידע צריך להכיר.
תיקון 13 חייב ארגונים מסוימים למנות ממונה הגנת פרטיות. DPO-as-a-Service הוא הפתרון שמשנה את המשחק לעסקים קטנים ובינוניים.
תקנות אבטחת המידע, התשע"ז-2017, קבעו דרישות מפורטות. הנה חמש הדרישות הנפוצות ביותר כנקודת כשל, ואיך מתקנים אותן.
חובת הדיווח לרשות על אירוע אבטחה חמור היא מיידית (תקנה 11(ד)(1)), לא "תוך 72 שעות". הנה תוכנית פעולה שלב-אחר-שלב שתכין אתכם לרגע הזה.
שמונה מקורות רשמיים, ולכל אחד עמוד תקציר בעברית וקישור למקור עצמו. התקציר עוזר להתמצא, והנוסח הרשמי הוא שקובע. לצד כל מקור מופיע התאריך שבו WebLaw בדקה אותו מול האתר הרשמי.
חוק הגנת הפרטיות הוא הבסיס לכל מה שעסק בישראל עושה עם מידע על אנשים: מה מותר לאסוף, איך מותר להשתמש בו, אילו זכויות יש ללקוחות ולעובדים שהמידע נוגע אליהם, ומה צריך לעשות כדי להגן עליו. תיקון 13, שנכנס לתוקף באוגוסט 2025, הוא העדכון המקיף ביותר שלו מאז 1981, והוא זה שהביא איתו את סמכויות הפיקוח והעיצומים הכספיים של הרשות להגנת הפרטיות.
תקנות אבטחת המידע הן החלק המעשי ביותר בדיני הפרטיות בישראל. הן מתרגמות את החובה הכללית להגן על מידע לרשימת דרישות מוגדרות, ובהן מסמך הגדרות המאגר, נוהל אבטחה, ניהול הרשאות, תיעוד גישה, טיפול באירועי אבטחה והסדרת ההתקשרות עם ספקים שמעבדים מידע עבורכם.
התקנות האלה נוגעות כמעט לכל עסק שעובד עם ספקים בענן, גם אם מעולם לא חשב על עצמו כמי שמעביר מידע לחו״ל. הן קובעות מתי מותר להעביר מידע אישי ממאגר בישראל אל מחוץ למדינה, אילו בסיסים מאפשרים את ההעברה, ואילו התחייבויות צריך לקבל מהצד שמקבל את המידע.
תיקון 13 חייב חלק מהארגונים למנות ממונה על הגנת הפרטיות, וגילוי הדעת הזה הוא המקום שבו הרשות להגנת הפרטיות מסבירה כיצד היא קוראת את החובה: על מי היא חלה, מה הממונה אמור לעשות, איזה ידע נדרש ממנו, ואיזה מעמד הוא צריך לקבל בארגון כדי שהתפקיד לא יישאר על הנייר.
הנחיה 1/2024 עוסקת בנקודה שחברות רבות מגלות מאוחר: אבטחת מידע אינה רק עניינו של מנהל מערכות המידע, אלא נושא שהדירקטוריון נדרש לפקח עליו. ההנחיה מפרטת את עמדת הרשות להגנת הפרטיות לגבי מה שצריך להגיע לשולחן הדירקטוריון, ומתי.
בכל פעם שאתם מבקשים מאדם מידע, בטופס באתר, בהרשמה לשירות או בשיחה עם נציג, החוק מחייב אתכם לומר לו כמה דברים לפני שהוא מוסר אותו. גילוי הדעת הזה מסביר את עמדת הרשות לגבי מה בדיוק צריך להיאמר, וכיצד הודעה כזו צריכה להיראות כדי שתהיה מובנת.
הסכמה היא אחד הבסיסים המרכזיים לעיבוד מידע אישי, וגם אחד המקומות שבהם עסקים טועים הכי הרבה. גילוי הדעת הזה, מפברואר 2026, מציג את עמדת הרשות לגבי מה שהופך הסכמה לתקפה, ומתי היא אינה באמת הסכמה גם אם סומן וי במקום הנכון.
מאז שעבודה מהבית הפכה לשגרה, מעסיקים רבים החלו להשתמש בכלים שמראים מה העובד עושה: תוכנות ניטור, צילומי מסך, מעקב אחר שעות פעילות ולעיתים גם מצלמה פתוחה. המסמך מציג את עמדת הרשות לגבי הגבול בין מעקב לגיטימי לבין פגיעה בפרטיות העובד, ומה צריך לבדוק לפני שמפעילים כלי כזה.
התקצירים הם מידע כללי, לא ייעוץ משפטי ולא תחליף לקריאת המקור הרשמי. תחולת חוק או הנחיה על עסק מסוים תלויה בעובדות ובנסיבות.
קראו את התוכן, התחילו מבדיקת האתר החינמית, או השאירו פרטים לקבלת שיחה והצעת מחיר מותאמת.