תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף באוגוסט 2025. הוא מרחיב את ההגדרה של "מידע אישי" לכל נתון על אדם מזוהה או שניתן לזהותו, מצמצם מאוד את חובת רישום מאגרי המידע, קובע מי חייב למנות ממונה הגנת פרטיות (DPO), ומאפשר לרשות להגנת הפרטיות להטיל עיצומים כספיים. רוב העסקים הקטנים לא צריכים לרשום מאגר, אבל כל החובות האחרות בחוק ממשיכות לחול עליהם.
סביב תיקון 13 יש הרבה רעש, ובחלקו הוא מבהיל בלי צורך. הדבר החשוב לבעל עסק קטן הוא לא סכום העיצום, אלא להבין מה החוק רואה כמאגר מידע. רשימת לקוחות, רשומות דיוור וקבצי מידע בענן הם בדיוק הדוגמאות שהרשות עצמה נותנת.
הכל מתוך דפי הרשות להגנת הפרטיות באתר gov.il, נכון לאוקטובר 2026.
מתי זה נכנס לתוקף
הרשות להגנת הפרטיות קיימה ב-14 באוגוסט 2025 וובינר לציבור "לרגל כניסתו לתוקף של תיקון 13". ראש הרשות אמר שם משפט שמסכם את התיקון: הרגולציה עצמה איננה חדשה, אבל נוסף לה כעת "תג מחיר ברור".
מה זה "מידע אישי" עכשיו
לפי הרשות, ההגדרה החדשה רחבה: "כל נתון הנוגע לאדם מזוהה או לאדם הניתן לזיהוי". אדם ניתן לזיהוי הוא מי שאפשר לזהות במאמץ סביר, במישרין או בעקיפין, למשל לפי שם, מספר זהות, מזהה ביומטרי, נתוני מיקום או מזהה מקוון.
גם "מידע רגיש" הוחלף ב"מידע בעל רגישות מיוחדת", ורשימת הסוגים כוללת בין היתר מזהה ביומטרי לזיהוי ממוחשב, הערכת אישיות ונתוני מיקום מסוימים.
מי חייב לרשום מאגר מידע
זה השינוי שהכי הרבה עסקים קטנים שמחים לשמוע. לפי הרשות, חובת הרישום צומצמה משמעותית ונשארת רק ל:
- מאגר של גוף ציבורי (למעט מאגר שכולל רק מידע על עובדי הגוף).
- מאגר שמטרתו העיקרית איסוף מידע אישי כדי למסור אותו לאחר כדרך עיסוק או בתמורה, כולל שירותי דיוור ישיר, ויש בו מידע על 10,000 בני אדם ומעלה.
האזהרה שהרשות מוסיפה: מאגר שלא חייב ברישום לא פטור מאף חובה אחרת בחוק. כל המגבלות והחובות ממשיכות לחול עליו במלואן. ומאגר שכבר רשום נשאר רשום, אלא אם מבקשים מהרשות למחוק אותו.
ויש חובה חדשה: מאגר עם מידע בעל רגישות מיוחדת על יותר מ-100,000 איש, שלא חייב ברישום, צריך למסור הודעה לרשות בתוך 30 יום.
Want AI doing the heavy lifting in your marketing?
I build the systems that handle the boring 80 percent, so you get your week back. Done properly, with the human kept in.
מי חייב למנות ממונה הגנת פרטיות (DPO)
| מי | דוגמאות מהרשות |
|---|---|
| גוף ציבורי או מחזיק במאגר של גוף ציבורי | משרדי ממשלה, רשויות מקומיות, קופות חולים, מוסדות להשכלה גבוהה |
| מי שעיסוקו איסוף מידע כדי למסור אותו לאחר, עם מידע על יותר מ-10,000 איש | סחר במידע, שירותי דיוור ישיר |
| מי שעיסוקו מחייב ניטור שוטף ושיטתי של בני אדם בהיקף ניכר | חברת סלולר, ספק חיפוש מקוון |
| מי שעיסוקו העיקרי עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר | בנקים, חברות ביטוח, בתי חולים |
לעסק קטן רגיל, כמו יועצת או חנות אונליין קטנה, רוב הסעיפים האלה לא חלים. אבל שימו לב לסעיף של שירותי דיוור ישיר אם אתם שולחים בשם לקוחות.
מה השתנה באכיפה
- לפי הרשות, תיקון 13 מעגן לראשונה את סמכותה להטיל עיצום כספי, ובוטל מנגנון הקנסות המנהליים הקודם.
- פגיעה בפרטיות ברוב המצבים בסעיף 2 לחוק היא עבירה פלילית שעונשה 5 שנות מאסר, וכך גם הפרת חובת הסודיות בסעיף 16.
- התיקון הוסיף עבירות חדשות, כמו עיבוד מידע ממאגר בלי הרשאה מבעל השליטה, שדינה 3 שנות מאסר.
חמישה צעדים שהרשות ממליצה לעשות כבר היום
- למפות מאגרי מידע: אילו מאגרים יש לכם, איזה מידע אישי נשמר, מי ניגש אליו ולשם מה. טבלה פשוטה מספיקה כדי להתחיל.
- לקבוע נוהל אבטחת מידע כתוב: איך מגנים על המידע, מי מורשה לגשת, ואיך מתמודדים עם סיכונים.
- לצמצם מידע מיותר: פרטים ישנים, כפולים או כאלה שלא נדרשים עוד למטרה שלשמה נאספו.
- לכתוב מסמך מטרות מאגר: למה המידע נאסף, איך משתמשים בו ומי רשאי לגשת.
- לבדוק אם חלה עליכם חובת DPO: הרשות מעמידה כלי לבדיקה עצמית מהירה.
הדעה שלי: התחילו מצעד 3. רוב העסקים שאני מכירה מחזיקים קבצי לקוחות ישנים שאף אחד לא פתח שנים, ורשימות דיוור עם אנשים שלא ביקשו לשמוע מהם. מחיקה היא צעד הציות הזול ביותר שיש. צוותי מכירות שעובדים גם מול אירופה ימצאו עניין בGDPR לצוותי מכירות (באנגלית), ואם אתם בונים תהליכים עם כלי AI, ראו גם הטמעת AI ואוטומציה לעסקים. זה מידע כללי מתוך אתר הרשות להגנת הפרטיות, לא ייעוץ משפטי.
שאלות נפוצות
מתי נכנס לתוקף תיקון 13 לחוק הגנת הפרטיות?
באוגוסט 2025. הרשות להגנת הפרטיות קיימה ב-14 באוגוסט 2025 וובינר לציבור לרגל כניסתו לתוקף של התיקון.
האם עסק קטן חייב לרשום מאגר מידע אחרי תיקון 13?
ברוב המקרים לא. לפי הרשות, חובת הרישום נשארה לגוף ציבורי ולמאגר שמטרתו העיקרית מסירת מידע לאחר, כולל דיוור ישיר, עם מידע על 10,000 בני אדם ומעלה.
אם המאגר שלי לא חייב ברישום, אני פטור מהחוק?
לא. הרשות מדגישה שכל המגבלות והחובות בחוק ובתקנות ממשיכות לחול במלואן גם על מאגר שאינו חייב ברישום.
מה זה מידע אישי לפי תיקון 13?
לפי הרשות, כל נתון הנוגע לאדם מזוהה או לאדם הניתן לזיהוי במאמץ סביר, במישרין או בעקיפין, למשל לפי שם, מספר זהות, נתוני מיקום או מזהה מקוון.
מי חייב למנות ממונה הגנת פרטיות?
לפי הרשות: גופים ציבוריים, סוחרי מידע ושירותי דיוור ישיר עם מידע על יותר מ-10,000 איש, מי שמנטר בני אדם באופן שיטתי בהיקף ניכר, ומי שמעבד מידע בעל רגישות מיוחדת בהיקף ניכר.
