תיקון 13 לחוק הגנת הפרטיות: על מי זה חל, ומה נדרש בפועל

רוב מה שנכתב על תיקון 13 מתאר אותו כרעידת אדמה רגולטורית. זה מדויק מבחינת האכיפה, ומטעה מבחינת החובות. החוק משנת 1981 ותקנות אבטחת המידע משנת 2017 המשיכו לחול בדיוק כפי שהיו. מה שהשתנה הוא מי נושא באחריות, ומה קורה כשלא עומדים בה.

ההבחנה הזו חשובה מעשית. ארגון ששאל את עצמו ב-2024 “מה אנחנו צריכים לעשות” ומצא תשובה, לא צריך למחוק אותה. הוא צריך לבדוק שהיא מתועדת, שמישהו אחראי עליה בשם, ושהיא עומדת בבדיקה של גורם חיצוני.

מה בדיוק השתנה

חוק מחייבתיקון 13 אושר בכנסת ב-5 באוגוסט 2024, פורסם בספר החוקים 3287 ב-14 באוגוסט 2024, ונכנס לתוקף שנה לאחר מכן. שלושה שינויים נושאים את רוב המשקל.

האחריות עברה לבעל השליטה. החובות שהוטלו קודם על “מנהל המאגר”, תפקיד שבפועל היה לעיתים קרובות איש IT, חלות כעת על בעל השליטה במאגר, כלומר על הארגון. זה לא ניואנס משפטי. זה אומר שהתשובה “מנהל המערכות שלנו טיפל בזה” הפסיקה להיות תשובה.

הרישום צומצם, אבל לא בוטל. חובת רישום המאגרים הצטמצמה לשתי קטגוריות בלבד, ובמקומה נוצרה חובת הודעה לרשות בנסיבות מוגדרות. הפער בין “לא צריך לרשום” לבין “לא חלות עלינו חובות” הוא הפער שהכי הרבה ארגונים נופלים בו.

האכיפה קיבלה שיניים. הרשות קיבלה סמכות להטיל עיצומים כספיים מינהליים, לצד עילות פליליות חדשות ופיצוי ללא הוכחת נזק. עד יולי 2026 זו הייתה סמכות תיאורטית. כבר לא.

על מי החוק חל

חוק מחייבכמעט על כל ארגון. אם יש לכם רשימת עובדים, רשימת לקוחות או מאגר לידים, יש לכם מידע אישי, והחוק חל עליכם. השאלה המעשית אינה “האם חל” אלא אילו חובות ספציפיות נדלקות אצלכם, ולזה יש ארבעה מפתחות נפרדים:

• רמת האבטחה של המאגר: נגזרת מסוג המידע, ממספר בעלי ההרשאה ומהיקף נושאי המידע, וקובעת כמעט כל דרישה טכנית אחרת. כאן מוסבר איך נקבעת הרמה.
• סוג המידע: מידע בעל רגישות מיוחדת מפעיל דרישות מחמירות יותר, ומשפיע גם על חובת ההודעה וגם על חובת מינוי הממונה.
• אופי הפעילות: ניטור שיטתי של אנשים, או עיסוק מרכזי בעיבוד מידע רגיש, מפעילים חובות שלא חלות על ארגון שמנהל מאגר עובדים בלבד.
• היקף נושאי המידע: מספרים מסוימים מפעילים חובת הודעה לרשות. ההיקף לבדו אינו מפעיל את שאר החובות.

המלצה מקצועיתבפועל, ארגון בינוני שלא ביצע מיפוי מאגרים אינו יכול לענות על אף אחת מארבע השאלות האלה. לכן המיפוי אינו שלב מומלץ אלא תנאי מקדים לכל השאר.

רישום מאגר, והודעה לרשות

חוק מחייבחובת הרישום נותרה על מאגרים של גופים ציבוריים, ועל מאגרים שמטרתם העיקרית היא איסוף מידע לצורך מסירתו לאחרים כעיסוק או בתמורה, בהיקף העולה על 10,000 אנשים.

במקביל נוצרה חובת הודעה לרשות: מאגר שאינו חייב ברישום אך מכיל מידע בעל רגישות מיוחדת על יותר מ-100,000 אנשים, יש להודיע עליו לרשות בתוך 30 יום. ההודעה כוללת את פרטי בעל השליטה, את פרטי הממונה במקרים שבהם נדרש מינוי, ואת מסמך הגדרות המאגר לפי תקנות אבטחת המידע.

עמדת הרשותהמדריך המקצועי של הרשות מזהיר במפורש מפני הפרשנות הרווחת. היעדר חובת רישום אינו פוטר את המאגר משאר החובות, והן ממשיכות לחול במלואן.

מי עדיין חייב ברישום, מי חייב בהודעה, ומה לא השתנה ←

ממונה על הגנת הפרטיות

חוק מחייבסעיף 17ב1 מטיל חובת מינוי ממונה על ארבע קטגוריות: גופים ציבוריים; גופים שעיסוקם המרכזי הוא איסוף מידע לצורך מסירתו לאחרים, מעל 10,000 אנשים; בעלי שליטה או מחזיקים שפעילותם כרוכה בניטור שוטף ושיטתי של אנשים בהיקף ניכר; ובעלי שליטה או מחזיקים שעיסוקם המרכזי כרוך בעיבוד מידע בעל רגישות מיוחדת בהיקף ניכר.

עמדת הרשותב-14 ביולי 2026 פרסמה הרשות גילוי דעת סופי בנושא. שלוש נקודות ממנו רלוונטיות לארגון בינוני: ל“היקף ניכר” אין סף מספרי קבוע והוא נבחן בשקלול קריטריונים; ממונה יכול להיות עובד הארגון או נותן שירותים חיצוני, ובלבד שמדובר באדם מסוים ומזוהה בשם, אף שהרשות מציינת שעל פי רוב קיים יתרון בממונה שהוא עובד הארגון; והאיסור על ניגוד עניינים חל באותה מידה על ממונה פנימי וחיצוני, ופוסל תפקידים בעלי סמכות לקבוע מדיניות בעיבוד מידע, בין היתר מנהל שיווק, סמנכ”ל כספים, סמנכ”ל טכנולוגיות ומנהל IT.

הנקודה האחרונה היא זו שמפילה הכי הרבה ארגונים. המינוי הטבעי בארגון בינוני הוא מנהל ה-IT, וזה בדיוק המינוי שגילוי הדעת מסמן כבעייתי. מי חייב למנות ממונה, ארבעת התנאים ← · ממונה הגנת פרטיות כשירות ←

דיווח על אירוע אבטחה חמור

חוק מחייבתקנה 11(ד)(1) לתקנות הגנת הפרטיות (אבטחת מידע) קובעת: “אירע אירוע אבטחה חמור, יודיע על כך בעל המאגר לרשם באופן מיידי”. אין בתקנה 24 שעות ואין 72 שעות. מספרי השעות שמופיעים בחלק מהתוכן בעברית מגיעים מ-GDPR, והם אינם הדין הישראלי.

“באופן מיידי” נשמע עמום עד שבוחנים מה קרה למי שפירש אותו אחרת.

עמדת הרשותב-21 ביולי 2026 הטילה הרשות עיצום כספי בסך 256,000 ₪ על קופת חולים מאוחדת. הליקוי נודע בנובמבר 2025, והדיווח הרשמי הוגש בינואר 2026, כחודשיים לאחר מכן. זהו העיצום הראשון שהוטל מאז כניסת תיקון 13 לתוקף.

העמדה שהרשות ביססה בהחלטה הזו חשובה יותר מהסכום: חובת הדיווח קמה עם גילוי האירוע, ואין להמתין לסיום הבירור הפנימי. הנדרש הוא דיווח ראשוני המבוסס על המידע הידוע באותו רגע.

חוק מחייבנקודה שנייה שמתפרשת שגוי לעיתים קרובות: הודעה לנושאי המידע עצמם אינה אוטומטית. תקנה 11(ד)(2) קובעת שהרשם רשאי להורות לבעל המאגר להודיע לנושאי המידע, לאחר שנועץ בראש מערך הסייבר הלאומי. זו סמכות של הרגולטור, לא חובה עצמאית של הארגון.

מתי בדיוק מדווחים, למי, ומה כולל הדיווח ←

אכיפה: מה כבר קרה בפועל

חוק מחייבתיקון 13 מקנה לרשות סמכות להטיל עיצום כספי מינהלי. מבנה החישוב אינו סכום קבוע לכל הפרה: הוא נגזר מסוג ההפרה, ממספר נושאי המידע במאגר, ומהאם מדובר במידע בעל רגישות מיוחדת, ולצד זה נקבע סכום מינימום לכל הפרה. לכן שני ארגונים שביצעו את אותה הפרה עשויים לספוג סכומים שונים מאוד.

המלצה מקצועיתאנחנו נמנעים מלנקוב בסכומי מקסימום. הסכומים מופיעים בתוספת לחוק, וכל ציטוט שלהם צריך להיבדק מול הנוסח המעודכן ביום הפרסום ולא מול סיכום משני. מה שכן ניתן לומר בוודאות: העיצום הראשון בפועל היה בן שש ספרות, והוא הוטל על הפרה פרוצדורלית אחת, איחור בדיווח, ולא על הדליפה עצמה.

איך מתחילים

ארבעה צעדים, בסדר הזה. הסדר אינו שרירותי: כל צעד מספק את הקלט לזה שאחריו.

1. מיפוי מאגרים. אילו מאגרים קיימים, איזה מידע יש בכל אחד, מי ניגש אליו, ולאן הוא זורם, כולל ספקים חיצוניים. בלי זה אי אפשר לענות על אף שאלה אחרת.
2. קביעת רמת אבטחה לכל מאגר. הרמה קובעת אילו בקרות נדרשות, אילו חובות תיעוד חלות, ומה נחשב אירוע אבטחה חמור אצלכם.
3. הכרעה בשאלת הממונה, ותיעוד ההכרעה. גם החלטה שלא למנות היא החלטה שצריכה להיות מנומקת ומתועדת. ארגון שלא בדק ולא תיעד נמצא במצב גרוע יותר מארגון שבדק והגיע למסקנה שלילית.
4. נוהל דיווח כתוב, לפני שצריך אותו. מי מזהה, מי מחליט, מי מדווח, ובאיזה נוסח. אירוע אבטחה הוא הזמן הגרוע ביותר לכתוב נוהל.

טעויות שחוזרות

• להסיק מהיעדר חובת רישום שאין חובות. הרשות התייחסה לכך במפורש. הרישום ירד; החובות לא.
• למנות את מנהל ה-IT כממונה. המינוי האינטואיטיבי הוא בדיוק זה שגילוי הדעת מסמן כחשוד לניגוד עניינים.
• להמתין לסיום הבירור הפנימי לפני דיווח. זו הטענה שנדחתה בהחלטה של יולי 2026.
• להסתמך על ביטוח סייבר. הביטוח מכסה חלק מהנזק הכספי. הוא אינו מחליף חובה סטטוטורית ואינו נלקח בחשבון כעמידה בדרישות.
• לטפל בתיקון 13 כפרויקט משפטי בלבד. רוב הדרישות שנכשלים בהן, תיעוד גישה, בקרת ספקים, נוהל דיווח, הן תפעוליות, לא משפטיות.

שאלות נפוצות

אנחנו עסק עם 25 עובדים. תיקון 13 חל עלינו?

החוק חל, כי יש לכם מאגר עובדים ולקוחות. חלק ניכר מהחובות המחמירות תלוי ברמת האבטחה ובאופי הפעילות, ורוב העסקים בגודל הזה נופלים ברמה הבסיסית. הבדיקה המעשית היא איזה מידע יש לכם, לא כמה עובדים.

יש לנו עורך דין שטיפל בזה. צריך גם בדיקה טכנית?

הן עונות על שאלות שונות. חוות דעת משפטית קובעת אילו חובות חלות; סקר פערים בודק האם הבקרות בפועל עומדות בהן. ארגון יכול להחזיק מסמכי מדיניות תקינים ולהיכשל בתיעוד גישה או בבקרת ספקים.

מה קורה אם נגלה שאנחנו לא עומדים בדרישות?

תיעוד של תוכנית תיקון עם לוחות זמנים הוא מצב טוב יותר מהיעדר בדיקה. ההחלטה של יולי 2026 עסקה באיחור בדיווח, כלומר בהתנהלות אחרי הגילוי, ולא בעצם קיומו של הליקוי.

האם ISO 27001 מכסה אותנו מול תיקון 13?

לא במלואו. התקן והתקנות חופפים בחלק ניכר מהבקרות הטכניות, אבל התקן אינו כולל את החובות הפרטניות של הדין הישראלי, ממונה, הודעה לרשות, ודיווח לפי תקנה 11. הסמכה היא נכס, לא הוכחת ציות.

מי בארגון נושא באחריות בפועל?

בעל השליטה במאגר, כלומר הארגון. תיקון 13 העביר אליו את החובות שהוטלו קודם על מנהל המאגר. חלוקת האחריות הפנימית היא עניין ניהולי, והיא אינה משנה את זהות מי שנושא בה כלפי הרשות.

מקורות

• תיקון 13, פרסום בספר החוקים 3287
• מדריך מקצועי לתיקון 13, הרשות להגנת הפרטיות
• גילוי דעת: מינוי ממונה על הגנת הפרטיות, 14.7.2026
• תקנות הגנת הפרטיות (אבטחת מידע), התשע”ז-2017

העמוד מציג מידע מקצועי ואינו מהווה ייעוץ משפטי. תחולת החובות משתנה בין ארגונים, ובסוגיות בעלות השלכה משפטית מומלץ להיוועץ בעורך דין. עודכן: אוגוסט 2026.

רלוונטי להעמקה: עיצומים כספיים בתיקון 13 · GDPR לחברות ישראליות