תיקון 13 לחוק הגנת הפרטיות: מה כל בעל עסק צריך לדעת

דיסקליימר: הכותבת אינה עורכת דין, הפוסט אינו מהווה ייעוץ משפטי ואינו מהווה תחליף להתייעצות עם עו״ד.  ייעוץ מקצועי: עו״ד מסחרית לין סיני 

מרגישים אירופה? באוגוסט 2025 נכנס לתוקף בישראל תיקון 13 לחוק הגנת הפרטיות, השואב השראה מתקנת הגנת המידע הכללית (GDPR) שנחקקה בשנת 2018 באיחוד האירופי. השורה התחתונה: כאזרחים, התיקון לחוק נועד להגן ולשרת אותנו, באמצעות שליטה טובה יותר על המידע האישי שלנו הנמצא בידי ארגונים ועסקים. כבעלי עסקים, התיקון הזה חל גם עלינו (על כולנו, כן), ודורש מאיתנו לנהל את המידע האישי של הלקוחות והמתענינים שלנו תוך שמירה על סטנדרטים גבוהים יותר של פרטיות, שקיפות ואבטחה.

כבעלי עסקים של אדם אחד אין לנו עורכת דין צמודה שיכולה להסביר ולפרש את החוק ואלו סעיפים מתוכו רלוונטיים לעסק שלך, לכן כתבתי מדריך אינפורמטיבי בלבד שמטרתו לעשות לך סדר בבלגן:

• מה בעלות ובעלי עסקים של אדם אחד צריכים לדעת על תיקון 13 לחוק הגנת הפרטיות; 

• אלו פעולות עליך לבצע כדי להגן על עצמך מתביעות וקנסות;

• מתי ולמה מומלץ להיוועץ בעו״ד.

• 
  

מה בעצם אומר תיקון 13 לחוק הגנת הפרטיות?

מטרת התיקון היא להבטיח ללקוחות מידה רבה יותר של שליטה בנוגע למידע האישי שעסקים וארגונים מחזיקים אודותיהם:

• שקיפות: הלקוחות זכאים לדעת איזה מידע נאסף אודותיהם; מה העסק עושה עם המידע הזה; באיזה אופן הוא מאובטח; כיצד באפשרותם לדרוש את מחיקת המידע; ומה יהיו השלכות המחיקה.

• הסכמה: הלקוחות זכאים להביע את הסכמתם המפורשת לאיסוף מידע אודותיהם (או כמובן אי הסכמה) 

• אבטחה: הלקוחות זכאים לאבטחה הולמת של המידע שלהם באמצעות סיסמאות חזקות ובמקרה הצורך במערכות מידע עם תקני אבטחת מידע מתאימים.

• מינימום מידע: הלקוחות זכאים למזעור הפגיעה בפרטיותם באמצעות שמירה של מידע נחוץ ומעודכן בלבד. לבקשת הלקוחות יש למחוק מידע שאין בו צורך, שגוי או לא מעודכן. 

• 
  

על מי חל תיקון 13 לחוק הגנת הפרטיות?

תיקון 13 לחוק הגנת הפרטיות מפרט רשימת חובות החלות על עסקים בהקשר של הגנת הפרטיות. יש חובות שחלות על כל עסק שמחזיק במידע אישי על לקוחות (בלי קשר לגודל העסק, הותק שלו, מספר המועסקים או המחזור השנתי) ובהן יעסוק המדריך. חובות ספציפיות, כמו מינוי ממונה על פרטיות או הודעה לרשויות, אינן חלות על עסקים של אדם אחד ולא אתיחס אליהן במסגרת המדריך הזה.

מה זה מידע אישי?

התיקון קובע כי "מידע אישי" הוא "כל נתון הנוגע לאדם מזוהה או לאדם הניתן לזיהוי". 

סוגים נפוצים של מידע אישי

• מידע שלקוחות או מתעניניים עשויים למסור לך ביוזמתם כמו שם, מספר ת.ז., מספר טלפון, כתובת מייל (למשל באמצעות מילוי טופס לצורך קבלת מוצר מידע חינמי) ונשמר בכל פורמט דיגיטלי שהוא.

• מידע שנאסף אודות לקוחות שביצעו רכישה, כמו הסטורית רכישות/הזמנות או נתוני מיקום.

• מידע שנאסף אוטומטית כמו עוגיות שמתחקות אחרי הסטורית הגלישה של המבקרים באתר או בדף הנחיתה שלך, או פיקסלים שמאפשרים לך להציג לו פרסומות ברחבי הרשת בתום הביקור באתר.

מידע אישי ״בעל רגישות מיוחדת״

סוגים מסוימים של מידע מוגדרים כמידע אישי בעל רגישות מיוחדת והחוק מתייחס אליהם אחרת.

דוגמאות למידע בעל רגישות מיוחדת:

• מידע רפואי (גופני/נפשי)

• מידע פיננסי (נתוני שכר, הכנסות, השקעות וכו)

• אמונה דתית

• מוצא אתני

• נטייה מינית

• נתוני תעבורה (של טלפוו/ספק אינטרנט)

חשוב! גם עסקים של אדם אחד עשויים לנהל מידע בעל רגישות מיוחדת, וככאלה עליהם להקפיד במיוחד על התנהלות חוקית. הסנקציות במקרה של הפרה בעסק שמחזיק במידע בעל רגישות מיוחדת יהיו חמורות יותר (כמו קנסות או אזכור העסק ברשימות עסקים מפרי חוק).

אם אתם עוסקים במקצועות הטיפול, הכושר והתזונה, מציעים שירותים בתחום פיננסי/כלכלי/משפטי או אוספים מידע בעל רגישות מיוחדת מכל סיבה אחרת, ודאו שאתם מיישמים את החוק כלשונו בלי עיגולי פינות.

צ׳קליסט: מה לעשות כדי להתאים את העסק שלך לדרישות של תיקון 13? 

1. לנסח מדיניות פרטיות

החלק המהותי ביותר בתיקון הוא יידוע הלקוחות והמתענינים המבקרים באתר או בדף הנחיתה שלך באשר למדיניות הפרטיות שלך. החוק לא קובע דרך ספציפית ליידע את הלקוחות - החלק המהותי הוא לוודא שהמידע יימסר להם, ובצורה ברורה. הדרך המקובלת ביותר היא עמוד יעודי בשם ״מדיניות פרטיות״ באתר שהקישור אליו נמצא במקום נגיש שקל למצוא.

מדיניות הפרטיות עצמה היא מסמך משפטי שמטרתו לידע את הלקוחות שלך לגבי הפרטים הבאים:

• איזה מידע הם עשויים להתבקש למסור לך ואיך (לדוגמה: איסוף שם, מייל, מגדר, גיל ועיר מגורים באמצעות טופס לצורך הרשמה לחוג)

• איזה מידע נאסף אודותיהם אוטומטית (לדוגמה: שמירת ״עוגיות״ (״קוקיז״) באופן אוטומטי ע״י הדפדפן, מידע על עמודים שנצפו או דפוסי גלישה באמצעות פיקסל יעודי או מפות חום

• איזה שימוש נעשה במידע (למשל, שיבוץ נרשמים לחוג בקבוצת הגיל המתאימה, או שימוש בסטטיסטיקות גלישה באתר לצורך שיפור חווית המשתמש)

• באלו תנאים (אם בכלל) המידע עשוי להימסר לצד ג

• כיצד המידע נשמר, ותחת איזו אבטחה 

• כיצד ניתן לעיין במידע ו/או לדרוש את מחיקתו, ומה יהיו השלכות המחיקה (לדוגמה, אם המשתמש יוסר מרשימת הדיוור הוא לא יקבל הודעה מוקדמת על מבצעים) 

כמו כל מסמך משפטי, הדרך הטובה ביותר לנסח מדיניות פרטיות היא להעזר בעו״ד. שירות כזה כרוך כמובן בתשלום - לא משהו שעסק קטן לא יכול לעמוד בו (אזור 1000 ₪ פלוס מינוס לפני מע״מ). אפשר כמובן לנסח אותה גם בעצמכם, אבל אז יש שני דברים שחשוב לזכור: 1. צ׳ט ג׳יפיטי וחבריו עלולים להטעות אתכם ולהמציא חוקים שלא קיימים; 2. להעתיק מדיניות מאתר אחר היא הפרה של זכויות יוצרים שעלולה להגמר בתביעה ופיצוי כספי כבד.

2. להציג את מסמך ״מדיניות פרטיות״ ללקוחות ולמבקרים באתר שלך

בין אם יש לך אתר ובין אם יש לך רק דף נחיתה, חובה להציג למבקרים את מדיניות הפרטיות.

באתר שלך צריך להוסיף עמוד טקסט רגיל בו יופיע הטקסט של מדיניות הפרטיות. בדומה להצהרת הנגישות, חשוב שיהיה קל להגיע לעמוד של מדיניות הפרטיות בקלות מכל מקום באתר. רוב העסקים ממקמים את הקישור למדיניות הפרטיות בפוטר, לצד התקנון והצהרת הנגישות (אפשר לגלול את הפוסט הזה עד הסוף ולראות איפה נמצא הקישור למדיניות הפרטיות פה באתר שלי). 

בעמוד נחיתה אפשר להוסיף קישור שיפנה למדיניות הפרטיות בעמוד נפרד, או לכתוב את מדיניות הפרטיות בעמוד הנחיתה עצמו, לפי העדפתך.

ברוב מערכות ניהול אתרים או מערכות דיוור יצירת עמוד חדש היא פעולה פשוטה מבחינה טכנית שלא מצריכה עזרה מקצועית, אבל אפשר כמובן לחסוך לעצמך את הטרחה ולבקש מבונת אתרים לבצע אותה.   

3. לעדכן טפסי הרשמה ותיבות סימון 

התיקון לחוק הפרטיות לא מאפשר יותר לצרף אנשים לרשימת תפוצה שלא בידיעתם; אין יותר הפתעות, וכל פעולה שיווקית חייבת להיות שקופה וגלויה.

אגב, בלי קשר לחוק, זו גם המלצה של מומחים לחווית משתמש: כדאי לוודא תמיד שהגולשים מבינים בדיוק מה יקרה אחרי שילחצו על כפתור או ימלאו פרטים אישיים בטופס. במילים אחרות, התאמת האתר שלך לדרישות תיקון 13 עוזרת להבטיח חווית משתמש טובה יותר עבור הגולשים שיבקרו בו.

כדי לעמוד בדרישת השקיפות חובה להוסיף לכל הטפסים באתר שדה הסכמה מפורשת לאיסוף הפרטים והסבר על המטרה לשמה הם ישמשו. השדה חייב לידע את הלקוחות בצורה ברורה, בלי התחכמויות או שנינויות, למה אתם צריכים את המידע הזה ומה תעשו איתו.

לדוגמה, אם יש לך באתר טופס שממלאים בו כתובת מייל כדי לקבל מוצר מידע חינמי, והכתובת הזאת מתווספת אוטומטית גם לרשימת הדיוור שלך, יש לציין בצורה מפורשת שמילוי הטופס מהווה הסכמה לקבלת מיילים שיווקיים. 

חשוב לוודא שתיבת הסימון לצד השדה לא מסומנת כברירת מחדל - הלקוח חייב לסמן אותה בעצמו.

חשוב לדעת! צירוף משתמשים ללא הסכמתם המפורשת לרשימת דיוור היא מעתה הפרה כפולה של שני חוקים נפרדים - גם התיקון החדש לחוק הגנת הפרטיות, וגם תיקון לסעיף 30א לחוק התקשורת הידוע בכינויו ״חוק הספאם״, והסנקציות יהיו משמעותיות יותר בהתאם (כולל חשיפה לתביעות ייצוגיות).

4. להתקין באתר או דף הנחיתה שלך באנר ״עוגיות״ (״cookies״)

במסגרת הדרישה לשקיפות יש לידע את הגולשים שעצם ביקורם באתר מוביל לשליחה אוטומטית של מידע טכני מהדפדפן ושרת האינטרנט שלהם הנשמרים ברשומות האתר, ולשמירה של ״עוגיות״ (״cookies״) מסוימות בדפדפן שלהם. חשוב - באתרים שמחוברים לגוגל אנליטיקס או מכילים פיקסלים חיצוניים (לצרכי רימרקטינג לדוגמה) חלה חובה לידע את הגולשים על כך. 

הדרך המומלצת ביותר לידע את הגולשים באופן התואם את דרישת החוק היא להתקין באתר באנר או חלון פופ-אפ קופצים עם הסבר קצר וכפתור אישור. כדי להתקין באנר עוגיות באתר שלך כדאי לפנות לבונת אתרים או להתיעץ עם שירות הלקוחות של הפלטפורמה שהאתר שלך בנוי עליה. 

5. למפות את המידע ששמור אצלך ולעדכן אמצעי אבטחה

בנוסף לתקנות אבטחת המידע משנת 2017, המחייבות בקרות בסיסיות כמו ניהול סיסמאות, הרשאות, תיעוד גישה וגיבויים, תיקון 13 מאפשר מעתה ללקוחות לפנות אליכם ולדרוש את הסרת המידע האישי שלהם מהרשומות שלכם. לכן חשוב לדעת בדיוק איזה מידע קיים בידיכם, איפה הוא נשמר, איזו אבטחה יש עליו ולמי יש גישה אליו. 

זה הזמן לעשות סדר:

• למחוק קבצים ורשומות מיותרים

• לוודא שאין שותפי עריכה לא עדכניים לתיקיות שמאוחסן בהן מידע אישי של לקוחות

• להגדיר מי מוסמכים לגשת למידע בנוסף אליכם  (גם בעסק של אדם אחד יתכן מצב שאדם חיצוני נחשף לדאטא, כגון יועצת פיננסית או יועץ שיווק)

• לעדכן ולחזק סיסמאות

• לשקול שדרוג מהדרייב למערכות מידע מאובטחות (במיוחד אם אתם מנהלים מידע בעל רגישות מיוחדת)

• אם אתם כבר משתמשים במערכות מידע, לבדוק את תקני האבטחה שלהן והאם הם מתאימים לסוג המידע שאתם שומרים

6. להגדיר איך לקוחות יכולים לפנות אליך בקשר למידע שלהם ולהבטיח טיפול יעיל ומהיר בכל פנייה

לקוחות עשויים לפנות אליך מעתה ולדרוש לעיין במידע שנשמר עליהם, לעדכן או למחוק אותו. החוק דורש מענה לפניות תוך 30 ימים. אי מענה או מענה באיחור מהווים הפרה ועלולים להוביל לתשלום פיצוי כספי משמעותי.

חשוב לתכנן תהליך טיפול מסודר בפניות, ולנתב את הפניות לערוץ שבו יהיה לך הכי קל לראות ולטפל בהן במהירות, בין אם זה למייל שלך, לטלפון או לווטסאפ. חשוב לא פחות לתעד את הפניות ואת המענה על מנת שתוכלו להוכיח עמידה בדרישות החוק במקרה של תביעה.

מתי ולמה כדאי לפנות ליעוץ משפטי?

מטרת המדריך היא לעזור לך להבין איזה פעולות עליך לנקוט כדי לעמוד בדרישות תיקון 13 לחוק הגנת הפרטיות - אבל רק עורכת דין יכולה לבדוק את הפעולות שביצעת ולאשר לך שאכן ביצעת הכל בצורה נכונה.

בכל נושא משפטי הדרך הטובה ביותר להבטיח שהעסק שלך פועל כחוק ומוגן מפני תביעות היא להתיעץ באופן פרטני עם עו״ד. פגישת ייעוץ חד פעמית תעלה הרבה פחות מהקנסות שיכולים לחול על הפרות של התיקון לחוק הגנת הפרטיות או חוקים אחרים שחלים על העסק שלך; ואי ידיעת החוק אינה פוטרת מעונש.

יש מצבים שבהם ייעוץ משפטי הוא קריטי במיוחד: למשל, אם במסגרת העסק שלך עליך לאסוף מידע בעל רגישות מיוחדת, כגון מידע רפואי, משפטי או פיננסי, אני ממליצה בחום לא להסתפק במדריכים אינטרנטיים או בבינה מלאכותית, ולפנות לייעוץ משפטי פרטני על מנת להבטיח שהעסק שלך פועל כחוק. 

הנה כמה דוגמאות לעסקים שמומלץ להם לקבל ייעוץ משפטי:

• עסקים שמחזיקים במידע בעל רגישות מיוחדת (מקצועות הטיפול, תזונה, כושר, פיננסים ועוד)

• עסקים שמעבירים מידע לחו״ל (Google Workspace, Mailchimp, Meta)

• עסקים המשתמשים במערכות CRM או AI שמעבדות מידע באופן אוטומטי

• עסקים המחזיקים מאגר גדול במיוחד (מעל 100,000 רשומות)