מאז שתיקון 13 נכנס לתוקף, לרשות להגנת הפרטיות יש סמכות להטיל עיצום כספי מינהלי בלי לעבור דרך בית משפט. עד יולי 2026 זו הייתה סמכות על הנייר. מאז היא הופעלה, ונכון לסוף יולי 2026 הרשות דיווחה על למעלה ממאה תיקי אכיפה פתוחים. הנתונים בעמוד הזה נלקחו מנוסח החוק כפי שפורסם בספר החוקים 3287, ולא מפרשנות של צד שלישי.
מבנה החישוב לפי סעיף 23כו
הסעיף מחלק את ההפרות לקטגוריות, ולכל קטגוריה נוסחה משלה. חלק מהן קובעות סכום קבוע, וחלק מחשבות לפי מספר האנשים שהמידע שלהם נמצא במאגר.
| הקטגוריה | איך מחושב |
|---|---|
| 23כו(א): רישום מאגר, הודעה לרשות ודיוור ישיר | 150,000 ₪. אם במאגר מידע על מיליון בני אדם ומעלה: כפל הסכום, 300,000 ₪ |
| 23כו(ב): זכות עיון, תיקון ומחיקה | 15,000 ₪ לכל הפרה |
| 23כו(ג): חובת היידוע לפי סעיף 11 ודיוור ישיר | 50 ₪ כפול מספר האנשים שאליהם נעשתה הפנייה, ו-100 ₪ במידע בעל רגישות מיוחדת. אם היוצא קטן מ-30,000 ₪, אפשר להטיל 30,000 ₪ |
| 23כו(ד): אי מינוי ממונה, היעדר רישומים, אי מילוי הוראת הרשות | 2 ₪ לכל אדם שמידע עליו במאגר, ו-4 ₪ במידע בעל רגישות מיוחדת. רף מינימום 20,000 ₪, ובמידע רגיש 40,000 ₪ |
| 23כו(ה): עיבוד שלא כדין, חריגה מהרשאה, אי הפסקת שימוש | 4 ₪ לכל אדם שמידע עליו במאגר, ו-8 ₪ במידע בעל רגישות מיוחדת. רף מינימום 200,000 ₪ |
| 23כו(ז): אי מסירת מסמך או חומר מחשב למפקח | 300,000 ₪ |
| 23כו(ח): הפרת תקנות אבטחת מידע | לפי טבלה בתוספת השלישית, עם עמודה לכל רמת אבטחה. מאגר המנוהל בידי יחיד 1,000 עד 2,000 ₪, רמה בסיסית 1,000 עד 4,000 ₪, רמה בינונית 20,000 עד 80,000 ₪, רמה גבוהה 80,000 עד 320,000 ₪ |
המשמעות המעשית של החישוב לפי נושא מידע היא שגודל המאגר הוא המשתנה הדומיננטי. מאגר של 50,000 לקוחות בהפרה לפי סעיף קטן (ה) עם מידע רגיש מגיע ל-400,000 ₪ לפני כל תוספת. אותה הפרה בדיוק בארגון עם 500 לקוחות נעצרת ברף המינימום.
מה מוסיף על הסכום
- מידע בעל רגישות מיוחדת מכפיל את התעריף לאדם בקטגוריות (ג), (ד) ו-(ה).
- מאגר על מיליון בני אדם ומעלה מכפיל את הסכום, אך רק בשתי נקודות: בקטגוריה (א), ובהפרת תקנות אבטחת מידע במאגר שחלה עליו רמת האבטחה הגבוהה, שם התקרה מגיעה ל-640,000 ₪.
- הפרה חוזרת לפי סעיף 23ל(ב): הפרה של אותה הוראה שבוצעה לאחר המועד לתשלום, בתוך שנתיים מהפרה קודמת שבשלה הוטל עיצום או הורשע המפר, מוסיפה סכום השווה לעיצום. כלומר כפל.
- הפרה נמשכת לפי סעיף 23ל(א): החלק המאה מסכום העיצום על כל יום שההפרה נמשכת לאחר שנמסרה דרישת התשלום. מאה ימים שווים עיצום נוסף במלואו. תקופת ערעור לא נספרת, אלא אם בית המשפט קבע אחרת.
ההפחתות שבתוספת החמישית
| העילה | השיעור |
|---|---|
| לא הוטל עיצום או אמצעי אכיפה על הפרת אותה הוראה בחמש השנים שקדמו | 20% |
| אותו דבר, בשלוש השנים שקדמו | 10% |
| המפר הפסיק את ההפרה מיוזמתו ודיווח עליה לראש הרשות | 30% |
| המפר נקט פעולות למניעת הישנות ההפרה ולהקטנת הנזק | 20% |
| מפר שחב במינוי ממונה הגנת פרטיות לפי סעיף 17ב1(א)(3) ו-(4) בלבד, ומינה אותו טרם ההודעה על כוונת חיוב | 10% |
| המפר שילם פיצוי, או שנפסק לחובתו פיצוי, בשל אותן הפרות | עד 30% |
| מפר שהוא יחיד, וההפרה נגרמה בשל נסיבות אישיות | 20% |
ההפחתות מצטברות, אך שיעור ההפחתה המצטבר לא יעלה על 70% מסכום העיצום. שתי העילות המשמעותיות ביותר הן הפסקת ההפרה עם דיווח עצמי ונקיטת פעולות לתיקון, שיחד מגיעות ל-50%. ארגון שמגלה הפרה, מפסיק אותה, מדווח ומתקן נמצא בעמדה שונה לחלוטין מארגון שממתין שהרשות תגיע אליו. שימו לב שההפחתה בגין ממונה הגנת פרטיות ניתנת דווקא למי שחייב במינוי לפי שתי קטגוריות מסוימות ומינה בפועל, ולא למי שמינה בהתנדבות.
תקרות לעסק זעיר ולעסק קטן
התוספת מגדירה עסק זעיר כמי שמחזור העסקאות שלו בשנה שקדמה להפרה לא עלה על 4 מיליון ₪, ועסק קטן כמי שמחזורו עלה על 4 מיליון ולא עלה על 10 מיליון ₪. התקרות אינן אחידות אלא נקבעות לפי קבוצת ההפרות:
| קבוצת ההפרות | עסק זעיר | עסק קטן |
|---|---|---|
| סעיף 23כו(א) ו-(ב), ופרטים מסוימים בתוספות | 20,000 ₪ | 40,000 ₪ |
| סעיף 23כו(ג) עד (ו), ופרטים מסוימים בתוספות | 50,000 ₪ | 100,000 ₪ |
| סעיף 23כו(ז) | 70,000 ₪ | 140,000 ₪ |
עסק זעיר או קטן שהפר כמה הפרות מקבוצות שונות לא יישא בסכום העולה על העיצום הגבוה מבין הקבוצות. התקרה מותנית בכך שהמפר יבקש אותה ויגיש אישור על גובה מחזור העסקאות בתוך 30 יום ממסירת ההודעה על כוונת חיוב. זו לא הפחתה אוטומטית.
תקרת 5% מהמחזור
מעל הכול יושבת תקרה אחת: אם סכום העיצום עולה על 5% ממחזור העסקאות של המפר, יפחית ראש הרשות את הסכום ל-5% מהמחזור. מחזור עסקאות מוגדר כהגדרתו בחוק מס ערך מוסף, לגבי מלכ”ר לפי חוק העמותות, ולגבי גוף ציבורי אחר לפי התקציב השנתי. לעוסק שאין לו מחזור עסקאות, הסכום לא יופחת מתחת לתקרה המרבית של עסק זעיר.
סדר החישוב
הסדר הזה משנה את התוצאה מהותית, והחוק קובע אותו במפורש בתוספת החמישית: קודם מחושב הסכום לפי הקטגוריה, כולל התעריף לאדם ורף המינימום. אחר כך מופעלות ההפחתות לפי סעיפים 2, 3 ו-4 לתוספת, בכפוף לתקרה של 70%. אחר כך מופעלת תקרת עסק זעיר או קטן, שנוסחה קובע במפורש שהיא חלה בין שהסכום הופחת ובין שלא. ורק בסוף מופעלת תקרת 5% מהמחזור, שגם נוסחה קובע שהיא חלה בין שהסכום הופחת לפי הסעיפים הקודמים ובין שלא.
מחשבון חשיפה לעיצום כספי לפי תיקון 13
הכלי מחשב אומדן להפרה אחת, לפי הסכומים הקבועים בסעיף 23כו לחוק הגנת הפרטיות ובתוספות השלישית והחמישית לו. זהו אומדן בלבד ואינו ייעוץ משפטי. סכום העיצום בפועל נקבע בידי ראש הרשות להגנת הפרטיות לפי שיקול דעתו.
נסיבות מפחיתות ומחמירות
אומדן החשיפה להפרה אחת
0 ש”ח
המספר שלמעלה הוא ההתחלה, לא המסקנה
בדיקת מוכנות קצרה מראה אילו מההפרות האלה באמת פתוחות אצלכם, ומה סוגר אותן מהר.
הסכומים שבחוק צמודים למדד המחירים לצרכן ומתעדכנים ב־1 בינואר בכל שנה, והעדכון הראשון נקבע לשנת 2026. המחשבון מציג את הסכומים כפי שנקבעו בנוסח החוק ואינו מבצע הצמדה. ההפחתות לעסק זעיר או קטן ולפי מחזור העסקאות מותנות בבקשה של המפר ובהגשת אישור רואה חשבון או יועץ מס מייצג בתוך 30 ימים ממסירת ההודעה על כוונת חיוב. סדר החישוב שבו נעשה שימוש נגזר מלשון התוספת החמישית, שלפיה ההפחתה לעסק זעיר או קטן וההפחתה לפי מחזור העסקאות חלות על סכום שכבר הופחת או שלא הופחת לפי סעיפים 2 עד 4. החוק אינו מכריע במפורש כיצד מתייחסות התקרות לתוספת בשל הפרה נמשכת או חוזרת, והמחשבון מחיל אותן על הסכום הכולל.
מה קרה בפועל: שני העיצומים הראשונים
קופת חולים מאוחדת, 256,000 ₪. ההחלטה פורסמה ב-21 ביולי 2026 וזהו העיצום הראשון שהוטל מכוח תיקון 13. הבסיס לא היה הדליפה עצמה אלא האיחור בדיווח עליה. תקלה במערכת אפשרה למבוטחים לצפות ברשומות רפואיות של בני משפחה. התקלה התגלתה בנובמבר 2025 והדיווח לרשות נמסר רק בינואר 2026. הסכום שפורסם הוא לאחר הפחתות. מאוחדת הודיעה שבכוונתה לבחון ערעור.
קרטינג חוצות, 12,000 ₪. ב-5 באוגוסט 2026, על הפרת חובת היידוע לפי סעיף 11. טופס ההרשמה של העסק לא כלל את ההודעה הנדרשת ולא הייתה מדיניות פרטיות מפורסמת. העיצום המקורי עמד על 20,000 ₪ והופחת ל-12,000 ₪ בשל היעדר הפרות קודמות ותיקון ההפרה.
המסקנה משני המקרים זהה, ולכן היא חשובה. בשניהם העיצום לא הוטל על פרצת אבטחה מתוחכמת אלא על כשל תהליכי פשוט: פעם אחת דיווח שאיחר, ופעם אחת טופס שלא כלל את הנוסח הנדרש. אלה בדיוק הדברים שנופלים בין הכיסאות בארגון שאין בו מי שאחראי עליהם.
הכלים הנוספים של הרשות
העיצום הכספי אינו הכלי היחיד. הרשות יכולה להוציא התראה מינהלית לפי סעיף 23לו, סמכות שהתקנות המסדירות אותה פורסמו באפריל 2026, ולקבל מהמפר התחייבות בליווי עירבון לפי סעיף 23לט. חשוב לדעת גם שהעיצום אינו מחליף אחריות פלילית, ותיקון 13 הוסיף עבירות פליליות חדשות שהעונש המרבי בגינן הוא שלוש שנות מאסר.
איך נראה התהליך מול הרשות
התהליך מתחיל בהודעה על כוונת חיוב לפי סעיף 23כז. למפר זכות טיעון לפי סעיף 23כח, והוא רשאי לטעון בכתב או בעל פה בתוך 45 ימים ממסירת ההודעה. ראש הרשות רשאי להאריך את התקופה מטעמים מיוחדים שיירשמו. מי שלא טען בתוך התקופה, ההודעה על כוונת חיוב הופכת בתומה לדרישת תשלום.
לאחר השימוע מחליט ראש הרשות אם להטיל עיצום ובאיזה סכום, ורשאי להפחית לפי התוספת החמישית. בדרישת התשלום מצוינת זכות הערעור בתוך 45 ימים. התשלום עצמו הוא בתוך 45 ימים מיום מסירת הדרישה. השימוע הוא ההזדמנות המעשית להציג את עילות ההפחתה, ולכן כדאי להגיע אליו עם תיעוד ולא עם הצהרות.
מה עושים כדי לא להגיע לשם
- נוהל דיווח על אירוע אבטחה שמוגדר מראש, עם מי מחליט ובאיזה לוח זמנים. מאוחדת נקנסה על איחור, לא על הדליפה.
- בדיקת חובת היידוע בכל טופס וכל נקודת איסוף מידע, ומדיניות פרטיות שמשקפת את המציאות.
- מיפוי מאגרי מידע וידיעה כמה אנשים בכל מאגר. בלי המספר הזה אי אפשר להעריך חשיפה בכלל.
- אחריות מוגדרת. מישהו צריך להיות אחראי על זה בשמו, בין אם ממונה חובה ובין אם לא.
אפשר להתחיל מבדיקת היערכות לתיקון 13, לבדוק אם אתם חייבים למנות ממונה, ולקרוא על דיווח על אירוע אבטחה חמור ועל רישום מאגר והודעה לרשות. רלוונטי גם: GDPR לחברות ישראליות.
שאלות ותשובות
כמה עולה הפרה של תיקון 13?
תלוי בקטגוריה ובגודל המאגר. הפרת רישום מאגר היא 150,000 ₪, פגיעה בזכות עיון היא 15,000 ₪ להפרה, והפרה לפי סעיף 23כו(ה) מחושבת לפי 4 ₪ לכל אדם שמידע עליו במאגר ו-8 ₪ במידע רגיש, עם רף מינימום של 200,000 ₪. בכל מקרה הסכום לא יעלה על 5% ממחזור העסקאות השנתי.
מהי תקרת העיצום לעסק קטן?
התקרה תלויה בקבוצת ההפרה ולא אחידה. עבור הפרות לפי סעיפים 23כו(א) ו-(ב) היא 20,000 ₪ לעסק זעיר ו-40,000 ₪ לעסק קטן. עבור הפרות לפי סעיפים (ג) עד (ו) היא 50,000 ו-100,000 ₪. עבור סעיף (ז) היא 70,000 ו-140,000 ₪. עסק זעיר הוא עד 4 מיליון ₪ מחזור, ועסק קטן בין 4 ל-10 מיליון ₪.
האם התקרה לעסק קטן ניתנת אוטומטית?
לא. היא מותנית בבקשה של המפר ובהגשת אישור על גובה מחזור העסקאות מרואה חשבון או מיועץ מס מייצג, בתוך 30 יום ממסירת ההודעה על כוונת חיוב.
האם הרשות כבר הטילה עיצומים בפועל?
כן. העיצום הראשון הוטל על קופת חולים מאוחדת בסך 256,000 ₪, בהחלטה שפורסמה ב-21 ביולי 2026, בשל איחור בדיווח על אירוע. השני הוטל על קרטינג חוצות בסך 12,000 ₪ ב-5 באוגוסט 2026, בשל הפרת חובת היידוע.
אפשר להקטין את העיצום?
כן, עד 70% במצטבר. העילות המשמעותיות ביותר הן הפסקת ההפרה מיוזמת המפר עם דיווח עצמי, 30%, ונקיטת פעולות למניעת הישנות ולהקטנת הנזק, 20%.
מה קורה אם מתעלמים מדרישת התשלום?
הפרה נמשכת מוסיפה את החלק המאה מסכום העיצום על כל יום שההפרה נמשכת לאחר מסירת דרישת התשלום. בנוסף, העיצום אינו מחליף אחריות פלילית.
הבהרה
העמוד הזה הוא מידע מקצועי בתחום אבטחת המידע והגנת הפרטיות, ואינו ייעוץ משפטי ואינו תחליף לו. הנתונים מתייחסים לנוסח החוק נכון לספטמבר 2026 והרגולציה ממשיכה להתעדכן. שאלות על תחולה, על סיווג הפרה לקטגוריה ועל דרכי השגה וערעור הן שאלות משפטיות, וכדאי ללבן אותן מול עורך דין המתמחה בתחום.
מקורות: חוק הגנת הפרטיות (תיקון מס’ 13), כפי שפורסם בספר החוקים 3287, לרבות סעיפים 23כו עד 23לא והתוספת השלישית והתוספת החמישית · הרשות להגנת הפרטיות, מדריך מקצועי ליישום תיקון 13 · law.co.il וגלובס, סיקור העיצומים על קופת חולים מאוחדת ועל קרטינג חוצות.