תיקון 13 לחוק הגנת הפרטיות: מה בעלי אתרים ועסקים בישראל צריכים לדעת?

התיקון נכנס לתוקף ב־14 באוגוסט 2025, והוא משנה ומרחיב חלק מהכללים הנוגעים לאיסוף מידע אישי, שימוש בו, אחריות ארגונית, רישום ודיווח על מאגרי מידע, מינוי ממונה על הגנת הפרטיות וסמכויות האכיפה של הרשות להגנת הפרטיות.

עבור בעלי אתרים המשמעות היא פשוטה: אם האתר שלכם אוסף מידע על גולשים — באמצעות טופס יצירת קשר, הרשמה, מערכת CRM, כלי אנליטיקה, פיקסלים שיווקיים או טכנולוגיות מעקב אחרות — כדאי לבדוק כיצד המידע נאסף, מה נאמר לגולש בזמן האיסוף, מי מקבל את המידע וכיצד הוא נשמר.

מהו תיקון 13 לחוק הגנת הפרטיות?

חוק הגנת הפרטיות הישראלי נחקק בשנת 1981, הרבה לפני עידן האתרים, אפליקציות המובייל, Google Analytics, פרסום ממוקד ומערכות ענן.

תיקון 13 נועד לעדכן חלק משמעותי מהמסגרת המשפטית ולהתאים אותה טוב יותר לעולם שבו כמעט כל עסק אוסף ומעבד מידע דיגיטלי.

אחד השינויים החשובים הוא ההגדרה הרחבה יותר של "מידע אישי". לפי החוק המעודכן, מדובר בנתון הנוגע לאדם מזוהה או לאדם שניתן לזהותו במאמץ סביר, במישרין או בעקיפין. הדבר עשוי לכלול לא רק שם, טלפון או כתובת דוא"ל, אלא גם מזהים מקוונים, נתוני מיקום ומידע נוסף שניתן לקשר לאדם.

במילים פשוטות: לא צריך לבקש מהגולש מספר תעודת זהות כדי להיחשב כמי שמעבד מידע אישי.

האם תיקון 13 רלוונטי גם לאתר תדמית קטן?

במקרים רבים, כן.

אתר יכול לאסוף מידע גם כאשר בעל העסק אינו חושב עליו כעל "מאגר מידע". למשל, כאשר גולש ממלא טופס "צור קשר", משאיר מספר טלפון, נרשם לניוזלטר או כאשר האתר משתמש בכלים שמייצרים מידע על אופן הגלישה והשימוש באתר.

כתובת IP, מזהים מקוונים ומידע התנהגותי עשויים בנסיבות המתאימות להיחשב מידע אישי כאשר ניתן לקשר אותם לאדם מזוהה או ניתן לזיהוי.

לכן השאלה הנכונה אינה רק "האם יש לי מאגר לקוחות?", אלא גם: איזה מידע האתר שלי אוסף מהרגע שבו גולש נכנס אליו?

אילו דברים באתר כדאי לבדוק בעקבות תיקון 13?

עבור אתר עסקי טיפוסי, כדאי לעבור קודם כל על ארבעה אזורים מרכזיים.

טפסים ואיסוף פרטים

כאשר מבקשים מאדם מידע אישי לצורך שמירתו או שימוש בו במאגר מידע, סעיף 11 לחוק מחייב למסור לו מידע מסוים, לרבות מטרת האיסוף, האם מסירת המידע היא חובה או תלויה ברצונו, למי המידע עשוי להימסר, זהות בעל השליטה במאגר ופרטים הנוגעים לזכויות עיון ותיקון.

מדיניות פרטיות

מדיניות פרטיות טובה צריכה לשקף את מה שקורה באתר בפועל. אם האתר מפעיל מערכות אנליטיקה, פרסום, CRM, צ'אט או שירותים חיצוניים, לא מספיק להעתיק נוסח כללי מאתר אחר.

Cookies וכלי מעקב

לא כל Cookie זהה. קיימות עוגיות הדרושות לתפעול האתר ולעומתן עוגיות אנליטיקה, שיווק, רימרקטינג וכלי צד שלישי. כאשר נעשה שימוש בטכנולוגיות שאוספות מידע אישי, שאלת ההסכמה והשקיפות הופכת משמעותית במיוחד. הרשות להגנת הפרטיות אף המליצה ביחס לעוגיות שאינן חיוניות על הליך הסכמה נפרד ואקטיבי במקרים הרלוונטיים.

אבטחת המידע

תיקון 13 אינו מחליף את תקנות הגנת הפרטיות בנושא אבטחת מידע. עסקים המחזיקים מידע אישי עדיין צריכים לוודא שהמידע נשמר ומנוהל בהתאם לדרישות החלות עליהם, לרבות הרשאות, גישה למערכות, תיעוד ואמצעי אבטחה מתאימים.

האם כל אתר חייב באנר Cookies?

זו אחת השאלות הנפוצות ביותר בעקבות תיקון 13, וגם אחת הנקודות שבהן כדאי להיזהר מהצהרות גורפות.

תיקון 13 אינו אומר במשפט אחד ש"כל אתר בישראל חייב באנר Cookies" או ש"כל Cookie אסור לפני אישור".

מה שצריך לבדוק הוא אילו טכנולוגיות פעילות באתר, איזה מידע הן אוספות, לשם מה הוא נאסף, האם הוא מועבר לצד שלישי ומהו מנגנון ההסכמה המתאים.

לדוגמה, קובץ שנדרש כדי לשמור סל קניות או להגן על האתר אינו זהה מבחינת מטרתו לפיקסל פרסומי שעוקב אחרי פעילות הגולש לצורך רימרקטינג.

לכן פתרון נכון אינו רק להציג חלונית עם כפתור "אישור", אלא לדעת אילו כלים פועלים באתר ולנהל את ההסכמות בהתאם.

מה השתנה לגבי מאגרי מידע?

אחד הדברים המעניינים בתיקון 13 הוא שחובת הרישום דווקא צומצמה.

לא כל מאגר מידע חייב עוד ברישום ברשות להגנת הפרטיות. החובה נותרה בעיקר לגבי מאגרים של גופים ציבוריים ומאגרים שעיקר מטרתם איסוף מידע אישי לצורך מסירתו לאחרים כדרך עיסוק או בתמורה, כאשר הם כוללים מידע על 10,000 אנשים לפחות.

עם זאת, העובדה שמאגר אינו חייב ברישום אינה אומרת שחוק הגנת הפרטיות אינו חל עליו.

בנוסף נוצרה חובת הודעה לרשות במקרים מסוימים שבהם מוחזק מידע בעל רגישות מיוחדת על יותר מ־100,000 בני אדם.

מהו ממונה על הגנת הפרטיות – DPO?

תיקון 13 יצר חובה חדשה למינוי ממונה על הגנת הפרטיות, או DPO, עבור סוגים מסוימים של ארגונים.

החובה חלה, בין היתר, על גופים ציבוריים וכן על ארגונים מסוימים שעיקר פעילותם כולל עיבוד מידע בהיקף ניכר, ניטור שוטף ושיטתי של בני אדם או עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר.

כלומר, אין כלל פשוט שלפיו "כל חברה עם יותר מ־100,000 רשומות חייבת DPO". בחינת החובה נעשית בהתאם לסוג הפעילות, המידע והיקף העיבוד. הרשות להגנת הפרטיות פרסמה ביולי 2026 גילוי דעת מפורט בנושא.

מה לגבי קנסות ואכיפה?

כאן נמצא אחד השינויים המשמעותיים ביותר של תיקון 13.

התיקון הרחיב בצורה ניכרת את סמכויות הרשות להגנת הפרטיות והעניק לה סמכות להטיל עיצומים כספיים בגין הפרות של הוראות החוק ותקנות שונות מכוחו.

וזה כבר אינו רק איום תיאורטי. ביולי 2026 הודיעה הרשות כי הטילה עיצום כספי בסך 256,000 ש"ח על קופת חולים מאוחדת בגין אי־דיווח מיידי על אירוע אבטחה חמור — מקרה שהרשות הגדירה כעיצום הראשון מסוגו מאז כניסת תיקון 13 לתוקף.

לכן עבור עסקים, פרטיות היא כבר לא רק עוד סעיף קטן בתחתית האתר.

אז מה בעל אתר צריך לעשות בפועל?

הדרך הטובה ביותר להתחיל היא לבצע מיפוי פשוט של האתר:

• לבדוק אילו טפסים וכלים אוספים מידע אישי
• לזהות את כל כלי הצד השלישי כגון Google Analytics, Google Ads, Meta Pixel, מערכות CRM, צ'אט, סרטונים מוטמעים וכלי מדידה
• לבדוק מה נטען לפני שהגולש נתן הסכמה ומה נטען לאחריה
• לעדכן את נוסחי היידוע ומדיניות הפרטיות כך שישקפו את פעילות האתר בפועל
• ליצור מנגנון מסודר לניהול ותיעוד העדפות והסכמות
• לוודא שגם אופן שמירת המידע והגישה אליו עומדים בדרישות החלות על העסק

המטרה אינה להוסיף עוד מסמך משפטי לאתר. המטרה היא לדעת מה האתר עושה עם המידע של הגולשים ולהיות מסוגלים להראות שהדבר נעשה בצורה מסודרת ושקופה.

איך Privacy Safe יכולה לעזור?

Privacy Safe נועדה לעזור לבעלי אתרים לנהל את תחום הפרטיות באתר בצורה פשוטה וברורה.

במקום לנסות להבין לבד אילו Cookies וכלי מעקב פועלים באתר ומתי הם מופעלים, Privacy Safe מאפשרת לרכז את תהליך ניהול ההסכמות במקום אחד ולהציג לגולשים מנגנון ברור לבחירת העדפות הפרטיות שלהם.

שאלות נפוצות

מתי תיקון 13 נכנס לתוקף?

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב־14 באוגוסט 2025, שנה לאחר פרסומו.

האם תיקון 13 חל גם על עסקים קטנים?

גודל העסק אינו הקריטריון היחיד. גם עסק קטן עשוי לאסוף ולעבד מידע אישי ולכן עשויות לחול עליו הוראות שונות של חוק הגנת הפרטיות.

האם Google Analytics נחשב איסוף מידע אישי?

הדבר תלוי באופן ההטמעה ובנתונים הנאספים. מזהים מקוונים ונתונים שניתן לקשר לאדם עשויים להיכנס להגדרת מידע אישי ולכן מומלץ לבדוק את ההגדרות והכלים המופעלים באתר.

האם כל עסק חייב למנות DPO?

לא. החובה חלה על קבוצות מסוימות של ארגונים בהתאם לאופי פעילותם, סוג המידע והיקף העיבוד.

האם כל עסק חייב לרשום מאגר מידע?

לא. תיקון 13 צמצם משמעותית את חובת הרישום, אך גם מאגר שאינו חייב ברישום עדיין כפוף לחובות אחרות לפי החוק.

האם מספיק להתקין באנר Cookies?

לא בהכרח. באנר הוא רק חלק אחד מהתהליך. חשוב לבדוק מה האתר אוסף, אילו טכנולוגיות נטענות, כיצד מתקבלת הסכמה, מה כתוב במדיניות הפרטיות ומה קורה בפועל מאחורי הקלעים.

למידע רשמי נוסף ניתן לעיין בשאלות ותשובות של הרשות להגנת הפרטיות.