תיקון 13 לחוק הגנת הפרטיות: מה עסק קטן ובינוני צריך לעשות

PUBLISHED 2026-11-02 ASSAF DARSHAN D² SECURITY

תיקון 13 לחוק הגנת הפרטיות בתוקף מאז 14 באוגוסט 2025. הוא חל על כל עסק שמחזיק מידע על לקוחות, מטופלים או עובדים במחשב, ונותן לרשות להגנת הפרטיות סמכות להטיל עיצומים כספיים בעצמה. המדריך מסביר מה השתנה, מה כבר היה חובה לפני התיקון ועדיין חובה, ומה כדאי לעשות בפועל. הוא נכתב לבעלי עסקים ולמנהלים, בלי להניח רקע משפטי או טכני.

בקצרה

החוק חל על כל עסק שיש לו מאגר מידע, בלי קשר לגודל העסק.
רוב העסקים כבר לא צריכים לרשום מאגר, אבל חייבים לאבטח אותו לפי תקנות אבטחת מידע.
ממונה הגנת פרטיות (DPO) חובה רק בסוגי ארגונים מסוימים.
אירוע אבטחה חמור מדווחים לרשות מיד, בלי לחכות לסוף הבירור.
על הפרות של תקנות האבטחה נקבעו עיצומים של עשרות עד מאות אלפי שקלים, עם תקרות מופחתות לעסק זעיר וקטן.

חשוב לדעת

העמוד מסכם את החוק, את התקנות ואת פרסומי הרשות להגנת הפרטיות, עם קישור לכל מקור. זה מידע כללי ולא ייעוץ משפטי. השאלה מה חל על העסק שלכם, למשל באיזו רמת אבטחה נמצא המאגר או אם חובה למנות ממונה, צריכה להיבחן מול עורך דין. D² Security היא חברת אבטחת מידע ולא משרד עורכי דין.

מה זה תיקון 13 ומתי הוא נכנס לתוקף

תיקון מס' 13 לחוק הגנת הפרטיות אושר בכנסת ב-5 באוגוסט 2024, פורסם ב-14 באוגוסט 2024 ונכנס לתוקף שנה אחר כך, ב-14 באוגוסט 2025. לפי הרשות להגנת הפרטיות, זה התיקון המקיף ביותר לחוק מאז שנחקק ב-1981.

העיקר מבחינת בעל עסק: הגדרות החוק עודכנו, חובת רישום המאגרים צומצמה, ארגונים מסוימים חייבים למנות ממונה הגנת פרטיות, ולרשות יש סמכויות פיקוח ואכיפה, כולל עיצומים כספיים, בלי צורך לפנות לבית משפט בכל מקרה. בנוסף, אדם שזכויותיו הופרו יכול לתבוע במקרים מסוימים פיצוי של עד 10,000 ש"ח בלי להוכיח נזק.

על מי הוא חל

על כל מי שמחזיק "מאגר מידע": אוסף ממוחשב של מידע אישי. בפועל זה כולל כמעט כל עסק עם מערכת CRM, תוכנת ניהול מטופלים, קובץ אקסל של לקוחות עם פרטים מעבר לשם וטלפון, או מערכת שכר.

יש חריג אחד שכדאי להכיר: אוסף שכולל רק שם, כתובת ודרכי התקשרות של עד 100,000 בני אדם, ולא מלמד כשלעצמו על מידע נוסף עליהם, אינו נחשב מאגר מידע, בתנאי שאין לעסק אוסף אחר עם פרטים נוספים על אותם אנשים. רשימת דיוור פשוטה יכולה להיכנס לחריג. מערכת שמתעדת גם הזמנות, תשלומים או פניות כבר לא.

החוק לא פוטר עסקים לפי מספר עובדים או מחזור. הגודל משפיע על גובה העיצום, לא על עצם החובה.

מה השתנה, ומה היה חובה גם קודם

נושא	מה קובע החוק היום
רישום מאגר	חובת רישום חלה בעיקר על מאגר של סוחר מידע עם מידע על יותר מ-10,000 בני אדם, ועל מאגר של גוף ציבורי. מאגר עם מידע רגיש על יותר מ-100,000 בני אדם חייב בהודעה לרשות בתוך 30 ימים (סעיף 8א).
ממונה הגנת פרטיות	חובה חדשה בארבעה סוגי ארגונים (סעיף 17ב1). פירוט בהמשך.
אבטחת מידע	תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, בתוקף מ-2018 וחלות על כל מאגר. התיקון קבע עיצום כספי לכל הפרה שלהן (התוספת השלישית לחוק).
אכיפה	הרשות מוסמכת לפקח, לברר הפרות ולהטיל עיצומים כספיים, וגם לבקש מבית משפט צו להפסקת עיבוד מידע.
פיצוי בלי הוכחת נזק	בית משפט רשאי לפסוק עד 10,000 ש"ח על הפרות מסוימות, בלי שהנפגע יוכיח נזק.

המסקנה: גם אם המאגר שלכם לא חייב ברישום, תקנות אבטחת המידע חלות עליו. כאן נמצאת רוב העבודה בעסק קטן ובינוני, וכאן גם רוב העיצומים.

מי חייב למנות ממונה הגנת פרטיות (DPO)

לפי סעיף 17ב1, החובה חלה על:

גוף ציבורי, ומי שמחזיק מאגר עבורו.
סוחר מידע: מי שמטרתו העיקרית לאסוף מידע אישי כדי למסור אותו לאחרים, כולל דיוור ישיר, עם מידע על יותר מ-10,000 בני אדם.
ארגון שעיסוקו העיקרי כרוך בניטור שוטף ושיטתי של בני אדם בהיקף ניכר.
ארגון שעיסוקו העיקרי כולל עיבוד מידע רגיש בהיקף ניכר, כמו בנקים, חברות ביטוח, בתי חולים וקופות חולים.

ביולי 2026 פרסמה הרשות להגנת הפרטיות גילוי דעת סופי על מינוי הממונה. לפי גילוי הדעת, ל"היקף ניכר" אין מספר קבוע, והוא נבחן לפי מספר האנשים, כמות המידע וסוגיו, משך העיבוד ונסיבות נוספות. הרשות ממליצה לשקול מינוי גם בארגון שאינו חייב בכך.

ממונה הגנת פרטיות הוא תפקיד אחר מממונה אבטחת מידע, שהחובה למנות אותו קיימת בחוק עוד לפני התיקון בארגונים מסוימים. אם אינכם בטוחים שהחובה חלה עליכם, זו שאלה לעורך דין.

תקנות אבטחת מידע: מה צריך להיות אצלכם

התקנות מחלקות מאגרים לארבע רמות, והחובות גדלות עם הרמה. בפשטות:

רמה	דוגמה
מאגר המנוהל בידי יחיד	עסק של אדם אחד שלכל היותר שני אנשים נוספים מורשים להשתמש במאגר שלו, עם חריגים.
בסיסית	מאגר שלא נכנס לרמות האחרות. למשל רשימת לקוחות בלי מידע רגיש, או מאגר עם מידע רגיש שיש לו עד עשרה בעלי הרשאה.
בינונית	מאגר עם מידע רגיש (למשל רפואי, פלילי או על מצבו הכלכלי של אדם) שיש לו יותר מעשרה בעלי הרשאה, מאגר של גוף ציבורי ומאגר של סוחר מידע.
גבוהה	מאגר של סוחר מידע או מאגר עם מידע רגיש, שיש בו מידע על 100,000 בני אדם ומעלה או שיש לו יותר מ-100 בעלי הרשאה.

ההגדרות המלאות כוללות חריגים, ולכן את הרמה המדויקת כדאי לקבוע עם יועץ. אלה החובות המרכזיות:

מסמך הגדרות מאגר (תקנה 2): איזה מידע נאסף, לשם מה, מי נוגע בו ואיפה הוא נשמר.
נוהל אבטחה (תקנה 4): כללים כתובים שמחייבים את מי שיש לו גישה למאגר.
מיפוי מערכות (תקנה 5(א)): רשימה מעודכנת של המערכות, התוכנות והתשתיות של המאגר.
הרשאות גישה: כל עובד רואה רק את מה שהוא צריך, והרשאות של מי שעזב מבוטלות.
ספקים חיצוניים (תקנה 15): לפני שספק מקבל גישה למאגר בוחנים את הסיכון, ובהסכם איתו כותבים מה מותר לו ואיך הוא מאבטח את המידע.
תיעוד אירועי אבטחה (תקנה 11(א)): רישום של כל מקרה שמעלה חשש לשימוש במידע בלי הרשאה, רצוי באופן אוטומטי.
ברמה הגבוהה (תקנה 5(ג) ו-5(ד)): סקר סיכוני אבטחת מידע ומבדק חדירות למערכות המאגר, אחת ל-18 חודשים לפחות, דיון בתוצאות ותיקון הליקויים.

הרשות להגנת הפרטיות ממליצה על סקר סיכונים ומבדק חדירות גם בארגונים שאינם חייבים בהם. פירוט על מבדקי חדירות לפי התקנות ולפי תקנים נוספים יש בעמוד בדיקת חדירה לעמידה ברגולציה.

אירוע אבטחה חמור: מתי ואיך מדווחים

לפי תקנה 11(ד), כשקורה אירוע אבטחה חמור מודיעים על כך לרשות להגנת הפרטיות באופן מיידי, ואחר כך מדווחים על הצעדים שננקטו. "חמור" תלוי ברמת המאגר: ברמה הגבוהה, כל שימוש במידע בלי הרשאה או פגיעה בשלמותו. ברמה הבינונית, אירוע כזה בחלק מהותי מהמאגר.

לפי הרשות, "מיידי" פירושו בסמוך ככל האפשר לגילוי ובלי דיחוי, ולא אחרי שהתחקיר הפנימי הסתיים. באתר הרשות יש טופס מקוון לדיווח ראשוני, ואפשר להשלים פרטים אחר כך. הרשות כבר הטילה עיצום של 256,000 ש"ח על חברת ביטוח שדיווחה באיחור של יותר משבועיים.

אם מתרחשת תקיפה פעילה, פנו גם למערך הסייבר הלאומי בטלפון 119. אנחנו מסייעים בניתוח אירוע, בלימה והתאוששות בתיאום מראש, עם מענה ראשוני תוך מספר שעות בימי עבודה. זה לא מוקד חירום 24/7.

כמה עולים העיצומים

החוק קובע סכומים קבועים לכל סוג הפרה. הסכומים מוצמדים למדד מ-2026, ולכן הסכום המעודכן מופיע בסוגריים. כמה דוגמאות שרלוונטיות לאבטחת מידע:

ההפרה	רמה בינונית	רמה גבוהה
לא דיווח מיידי על אירוע אבטחה חמור (פרט 21)	80,000 ש"ח (81,890)	320,000 ש"ח (327,560)
לא נערך מבדק חדירות אחת ל-18 חודשים או שהליקויים לא תוקנו (פרט 10)	לא חל	320,000 ש"ח (327,560)
לא נערך סקר סיכונים אחת ל-18 חודשים (פרט 9)	לא חל	320,000 ש"ח (327,560)

לעסק זעיר, עם מחזור של עד 4 מיליון ש"ח בשנה שקדמה להפרה, ולעסק קטן, עם מחזור של עד 10 מיליון ש"ח, נקבעו תקרות מופחתות לפי סוג ההפרה. על ההפרות שבטבלה התקרה היא 50,000 ש"ח לעסק זעיר ו-100,000 ש"ח לעסק קטן, לפני הצמדה. בנוסף, לבקשת המפר, עיצום שעולה על 5% ממחזור העסקאות יופחת ל-5%. הפחתות נוספות ניתנות למשל למי שהפסיק את ההפרה ודיווח עליה ביוזמתו.

הסכומים כאן לקוחים מסעיף 23כו לחוק ומהתוספות השלישית והחמישית. ההחלטה על עיצום בפועל, וגובהו, תלויות בנסיבות.

רשימת פעולות לעסק קטן ובינוני

סדר עבודה מעשי. את השלבים המשפטיים עושים עם עורך דין, ואת הטכניים עם איש אבטחת מידע.

רשמו אילו מאגרי מידע יש לכם: CRM, הנהלת חשבונות, שכר, תיקי לקוחות, טפסים באתר.
לכל מאגר: איזה מידע יש בו, על כמה אנשים, האם יש מידע רגיש, וכמה אנשים מורשים לגשת אליו.
קבעו מול יועץ את רמת האבטחה של כל מאגר, ובדקו אם חלה עליכם חובת רישום, הודעה או מינוי ממונה.
כתבו מסמך הגדרות מאגר ונוהל אבטחה, ועדכנו אותם כשמשהו משתנה.
עברו על ההרשאות: מי רואה מה, ומה קורה כשעובד עוזב.
רשמו את הספקים שנוגעים במידע (מחשוב, ענן, תוכנה, דיוור) ובדקו מה כתוב בהסכם איתם.
ודאו שיש גיבוי ושיש תיעוד של אירועי אבטחה.
החליטו מראש מי מחליט על דיווח לרשות ואיך, כדי שבזמן אירוע לא תתחילו מאפס.
ברמה הגבוהה: תאמו סקר סיכונים ומבדק חדירות, וקבעו מועד לבא אחריהם תוך 18 חודשים לכל היותר.
תעדו כל שלב. תיעוד הוא מה שתוכלו להציג לרשות, ללקוח או למבטח.

איפה אנחנו עוזרים

סקר אבטחה

מיפוי המערכות והפערים באבטחה מול מה שהתקנות דורשות, עם סדר עדיפויות לתיקון. סקרי אבטחה וסקירת תצורה

מבדק חדירות

בדיקה של מערכות המאגר, דוח בעברית עם תקציר להנהלה ובדיקה חוזרת אחת אחרי התיקונים. בדיקות חדירה: סוגים ותהליך

ייעוץ CISO

עזרה בכתיבת נוהל האבטחה, בבדיקת ספקים ובהכנה לאירוע, בתיאום ובהתאם לזמינות. ליווי שנתי

אירוע סייבר

ניתוח אירוע, בלימה והתאוששות בתיאום מראש. מענה ראשוני תוך מספר שעות בימי עבודה, לא מוקד 24/7.

אנחנו לא מעניקים אישור עמידה בחוק ולא נותנים ייעוץ משפטי. בדיקת אבטחה היא בדיקה מדגמית ונקודתית בזמן, והיא נותנת לכם תמונה טכנית ותיעוד שעליהם אפשר לבנות את העבודה מול עורך הדין.

שאלות נפוצות

מתי נכנס תיקון 13 לתוקף?

תיקון 13 לחוק הגנת הפרטיות אושר בכנסת ב-5 באוגוסט 2024, פורסם ב-14 באוגוסט 2024 ונכנס לתוקף ב-14 באוגוסט 2025. מאותו יום הרשות להגנת הפרטיות יכולה להטיל עיצומים כספיים לפי החוק המתוקן.

האם תיקון 13 חל גם על עסק קטן?

כן, אם העסק מחזיק מאגר מידע, למשל רשימת לקוחות במערכת CRM, תיקי מטופלים או נתוני עובדים. החוק לא פוטר עסקים לפי גודל. לעסק זעיר או קטן יש תקרות מופחתות לעיצומים, אבל החובות עצמן חלות עליו.

האם כל עסק חייב למנות ממונה הגנת פרטיות (DPO)?

לא. החובה בסעיף 17ב1 חלה על גופים ציבוריים, על סוחרי מידע עם מידע על יותר מ-10,000 בני אדם, על גופים שעיסוקם העיקרי כרוך בניטור שיטתי של בני אדם בהיקף ניכר, ועל גופים שעיסוקם העיקרי הוא עיבוד מידע רגיש בהיקף ניכר. הרשות ממליצה לשקול מינוי גם כשאין חובה. האם החובה חלה עליכם נבחן מול עורך דין.

האם עדיין צריך לרשום מאגר מידע?

רוב העסקים כבר לא. אחרי תיקון 13 חובת הרישום חלה בעיקר על סוחרי מידע עם מידע על יותר מ-10,000 בני אדם ועל גופים ציבוריים. מאגר עם מידע רגיש על יותר מ-100,000 בני אדם חייב בהודעה לרשות בתוך 30 ימים. ביטול הרישום לא מבטל את חובות אבטחת המידע.

מה נחשב אירוע אבטחה חמור, ותוך כמה זמן מדווחים?

במאגר ברמת אבטחה גבוהה, כל שימוש במידע בלי הרשאה או פגיעה בשלמותו. במאגר ברמה בינונית, אירוע כזה בחלק מהותי מהמאגר. לפי תקנה 11(ד) מודיעים לרשות להגנת הפרטיות באופן מיידי. לפי הרשות, מיידי פירושו בסמוך ככל האפשר לגילוי, בלי לחכות לסוף התחקיר.

כמה עולה עיצום על אי ביצוע מבדק חדירות?

במאגר שחלה עליו רמת האבטחה הגבוהה, העיצום הקבוע בחוק הוא 320,000 ש"ח, ובשנת 2026 אחרי הצמדה 327,560 ש"ח. לעסק זעיר (מחזור עד 4 מיליון ש"ח) התקרה לסוג הפרה זה היא 50,000 ש"ח, ולעסק קטן (עד 10 מיליון ש"ח) 100,000 ש"ח, לפני הצמדה.

האם בדיקת חדירה או סקר אבטחה הופכים את העסק לעומד בתיקון 13?

לא. תיקון 13 כולל חובות משפטיות, מסמכים ונהלים שבדיקה טכנית לא מחליפה. בדיקת חדירה וסקר אבטחה עונים על חלק מהדרישות הטכניות בתקנות אבטחת מידע ונותנים תיעוד שאפשר להציג. את התמונה המשפטית המלאה בודקים מול עורך דין.

מקורות

הסכומים והסעיפים נבדקו מול נוסח החוק והתקנות ב-2 בנובמבר 2026. החוק והנחיות הרשות מתעדכנים, ולכן לפני החלטה כדאי לבדוק את הנוסח העדכני.