חוק הגנת הפרטיות: מה זה ומה עסק קטן צריך לדעת

חוק הגנת הפרטיות: מה הוא קובע ועל מי הוא חל

חוק הגנת הפרטיות, התשמ"א-1981, הוא החוק הישראלי שמסדיר איסוף, שמירה, שימוש והעברה של מידע אישי. הוא חל על כל עסק שמחזיק מידע על אנשים: רשימת לקוחות, טופס יצירת קשר באתר, תיקי מטופלים, פרטי עובדים או רשימת תפוצה לניוזלטר.

בפועל כמעט כל עסק קטן נמצא בתחולת החוק. נניח שמאמנת כושר עצמאית שומרת באקסל שמות, טלפונים והערות על מצב בריאותי של מתאמנים. גם היא מחזיקה מאגר מידע. מה שמשתנה מעסק לעסק הוא היקף החובות: כמה מידע יש, כמה הוא רגיש, כמה אנשים ניגשים אליו והאם המידע נמסר לאחרים.

לצד החוק פועלות תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, שקובעות אילו אמצעי אבטחה נדרשים בכל סוג מאגר. הגוף שמפקח על החוק הוא הרשות להגנת הפרטיות שבמשרד המשפטים.

התוכן כאן הוא מידע כללי. לשאלה ספציפית על העסק שלכם, למשל אם אתם חייבים למנות ממונה או לרשום מאגר, כדאי לפנות לעורך דין שעוסק בפרטיות.

מה השתנה בתיקון 13 שנכנס לתוקף באוגוסט 2025

תיקון 13 לחוק אושר בכנסת באוגוסט 2024 ונכנס לתוקף ב-14 באוגוסט 2025. הוא הרחיב הגדרות, צמצם את חובת הרישום והגדיל מאוד את סמכויות האכיפה. אלה השינויים המרכזיים לפי סיכומים של משרדי עורכי דין ופרסומים מקצועיים:

המשמעות לעסק קטן: פחות טפסים מול המדינה ויותר אחריות פנימית. במקום לרשום את המאגר, צריך לנהל ולתעד אותו בעצמכם, למשל ב"מסמך הגדרות מאגר" שמפרט איזה מידע נאסף, למה ומי ניגש אליו.

המושגים שתפגשו: מידע אישי, מידע רגיש, בעל שליטה ומחזיק

מידע אישי

תיקון 13 הרחיב את ההגדרה וקירב אותה לרגולציה האירופית (GDPR). בגדול מדובר במידע שמזהה אדם או מאפשר לזהות אותו: שם, טלפון, כתובת מייל, וגם נתונים אחרים שמקושרים ללקוח מסוים.

מידע בעל רגישות מיוחדת

קטגוריה שהחוק מגן עליה בהקפדה יתרה, וגם היא הורחבה בתיקון. היא כוללת בין השאר מידע רפואי ומידע על מצב נפשי. קליניקות, מכוני כושר, מטפלים ומעסיקים שמחזיקים מידע רפואי על עובדים נוגעים בקטגוריה הזו.

מאגר מידע

אוסף מסודר של מידע אישי שנשמר באמצעי ממוחשב. מערכת CRM, גיליון לקוחות בגוגל שיטס, רשימת תפוצה בכלי דיוור ותוכנה לניהול תורים הם דוגמאות למאגרים.

בעל שליטה ומחזיק

בעל השליטה במאגר הוא מי שקובע למה ואיך משתמשים במידע, כלומר בדרך כלל העסק עצמו. המחזיק הוא מי שמעבד את המידע עבורו, כמו חברת אחסון, מנהלת חשבונות או ספק תוכנה. כשאתם מעבירים מידע לנותני שירות חיצוניים, למשל במסגרת מיקור חוץ, האחריות על המידע נשארת שלכם, ולכן כדאי לבדוק מה הספק מתחייב לעשות כדי לשמור עליו.

האם העסק שלכם צריך לרשום מאגר או למנות ממונה

לרוב העסקים הקטנים התשובה לשתי השאלות היא לא, אבל יש חריגים. הטבלה מסכמת את המצבים הנפוצים לפי הפרסומים המקצועיים על התיקון:

המונח "היקף ניכר" לא מוגדר בחוק במספר אחד, והרשות פרסמה ב-2025 טיוטת הנחיה בנושא. אם העסק שלכם מבוסס על נתוני משתמשים, כמו אפליקציה, פלטפורמת פרסום או שירות מעקב, כאן כדאי להתייעץ עם עורך דין.

גם כשאין חובת רישום, שאר החובות בחוק חלות עליכם: יידוע, אבטחה, שימוש במידע רק למטרה שלשמה נאסף ומתן זכות עיון ותיקון. לפני שמעבירים מידע לספק או לשותף, כדאי לקרוא מה לבדוק בהסכם סודיות.

חובת יידוע ואבטחת מידע: מה זה אומר ביום-יום

חובת יידוע

כשאתם אוספים מידע מאדם, למשל בטופס באתר, צריך להסביר לו כבר בשלב האיסוף אם הוא חייב למסור את המידע לפי חוק או שזה תלוי ברצונו, ולמה המידע ישמש. בפועל עושים זאת במשפט קצר ליד הטופס ובקישור למדיניות פרטיות.

רמות האבטחה בתקנות

תקנות אבטחת המידע מחלקות מאגרים לארבעה סוגים, וככל שהסיכון גבוה יותר, הדרישות מחמירות:

• מאגר שמנוהל בידי יחיד: יחיד או עסק בבעלותו, שרק הוא ועוד שני בעלי הרשאה לכל היותר ניגשים למאגר. המאגר לא נכנס לקטגוריה הזו אם מטרתו העיקרית היא מסירת מידע לאחרים, אם יש בו מידע על 10,000 אנשים ויותר, או אם המידע כפוף לסודיות מקצועית, כמו אצל עורכי דין, רופאים ופסיכולוגים.
• רמה בסיסית: ברירת המחדל לכל מאגר שלא נכנס לסוגים האחרים.
• רמה בינונית: מאגר של גוף ציבורי, מאגר שמטרתו מסירת מידע לאחרים או מאגר שיש בו מידע רגיש.
• רמה גבוהה: מאגר ברמה בינונית שיש בו מידע על יותר מ-100,000 אנשים או שיותר מ-100 בעלי הרשאה ניגשים אליו.

השיוך המדויק תלוי בפרטים, ולכן כדאי לבדוק אותו מול נוסח התקנות או עם איש מקצוע.

אמצעים בסיסיים שמתאימים כמעט לכל עסק

• הצפנת האתר והטפסים (HTTPS).
• סיסמאות חזקות ואימות דו-שלבי בכל מערכת שיש בה פרטי לקוחות.
• הרשאות לפי תפקיד: עובד שמתאם תורים לא צריך גישה לנתוני תשלום.
• עדכון שוטף של מערכות, תוספים ושרתים.
• גיבוי מוצפן ובדיקה מדי פעם שהשחזור עובד.

מה הסיכון: עיצומים, תביעות ופיצוי בלי הוכחת נזק

תיקון 13 נתן לחוק כלי אכיפה ממשיים. יש שלושה ערוצי סיכון עיקריים:

1. עיצום כספי מהרשות: הרשות להגנת הפרטיות יכולה להטיל עיצומים מנהליים, שלפי פרסומים מקצועיים יכולים להגיע למאות אלפי שקלים ויותר, לפי חומרת ההפרה. בין ההפרות שנזכרות: אי-מתן זכות עיון, אי-מחיקת מידע לפי בקשה ואי-מינוי ממונה כשיש חובה כזו.
2. תביעה אזרחית: אדם שזכויותיו לפי החוק הופרו יכול לתבוע, ובית המשפט רשאי לפסוק לו פיצוי של עד 10,000 ש"ח גם בלי שיוכיח נזק.
3. אחריות פלילית: במקרים חמורים, כמו עיבוד מידע בלי הרשאה מבעל השליטה במאגר או הטעיה כדי להשיג מידע אישי, נקבעו עונשים של עד שלוש שנות מאסר.

נניח שחנות קטנה למוצרי תינוקות מקבלת במייל בקשה של לקוחה לדעת איזה מידע שמור עליה, ואף אחד לא עונה. התעלמות כזו עלולה להיחשב פגיעה בזכות העיון. נוהל פשוט שקובע מי מטפל בבקשות כאלה ותוך כמה זמן מקטין את הסיכון.

דיוור שיווקי בלי הסכמה (ספאם) מוסדר בחוק נפרד, חוק התקשורת, שיש לו כללים משלו. אם אתם שולחים ניוזלטר או SMS שיווקי, בדקו גם אותו.

צעדים מעשיים לעסק קטן: רשימת בדיקה

הרשימה הבאה מתאימה לעסק קטן שמחזיק מידע על לקוחות לשימוש עצמי. עסק עם מידע רגיש או בהיקף גדול צריך גם בדיקה מקצועית.

1. מפו את המידע. רשמו כל מקום שבו נשמרים פרטים אישיים: אתר, CRM, תוכנת הנהלת חשבונות, וואטסאפ עסקי, גיליונות ותיקיות בענן.
2. סמנו מידע רגיש. מידע רפואי או נפשי מחייב זהירות מוגברת ורמת אבטחה גבוהה יותר.
3. כתבו מסמך הגדרות מאגר. איזה מידע נאסף, לאיזו מטרה, מי ניגש אליו, איפה הוא שמור וכמה זמן.
4. צמצמו. אל תאספו מידע שאין לכם שימוש בו, ומחקו מידע ישן שכבר לא נחוץ. מידע שלא קיים לא יכול לדלוף.
5. עדכנו את מדיניות הפרטיות והטפסים. הוסיפו ליד כל טופס הסבר קצר על מטרת האיסוף ועל כך שמסירת המידע תלויה ברצון הפונה, אם זה המצב.
6. הגדירו הרשאות ואבטחה. אימות דו-שלבי, סיסמה נפרדת לכל עובד וביטול הגישה של עובד שעזב באותו יום.
7. בדקו ספקים. ודאו שבהסכם עם ספק תוכנה, מעצב אתרים או מנהלת חשבונות כתוב איך הם שומרים על המידע ומה קורה איתו בסיום ההתקשרות.
8. קבעו נוהל לבקשות עיון ותיקון. כתובת מייל אחת, אדם אחראי ותגובה בזמן סביר.
9. בדקו אם אתם בקבוצות המחויבות. סחר במידע, ניטור שיטתי, עיבוד בהיקף ניכר או מידע רגיש על יותר מ-100,000 אנשים הם סימנים לפנות לעורך דין בעניין רישום, הודעה לרשות או מינוי ממונה.

שאלות נפוצות

האם עסק קטן חייב לרשום מאגר מידע ברשות להגנת הפרטיות?

מאז תיקון 13 רוב העסקים הפרטיים לא חייבים ברישום. החובה נשארה בעיקר לגופים ציבוריים ולגופים שעוסקים בסחר במידע, אבל חובות האבטחה והיידוע חלות על כולם.

האם החוק חל גם על עוסק פטור או על עצמאי בלי עובדים?

כן. החוק חל לפי המידע שאתם מחזיקים, בלי קשר לסוג התיק במס. עצמאי שעובד לבד ייכנס בדרך כלל לקטגוריה של מאגר שמנוהל בידי יחיד, ולכן דרישות האבטחה ממנו מקלות יותר.

אפשר לבקש מהרשות חוות דעת מראש על שאלה ספציפית?

כן. התיקון מאפשר לפנות לרשות ולבקש חוות דעת מקדימה על מקרה מסוים. לפי פרסומים מקצועיים, הרשות עונה בדרך כלל תוך 60 יום.

האם רשימת לקוחות באקסל נחשבת מאגר מידע?

כן. אוסף מסודר של פרטים אישיים שנשמר במחשב או בענן נחשב מאגר מידע, וחלות עליו חובות האבטחה לפי התקנות.