התשובה הקצרה
תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025. לעסק קטן שמחזיק נתוני לקוחות הוא משנה בעיקר שלושה דברים. הראשון: כל טופס או פנייה שאוספים בהם פרטים צריכים לכלול הודעת יידוע (סעיף 11). השני: הרשות להגנת הפרטיות יכולה להטיל עיצומים כספיים לפי מספר האנשים, למשל ₪50 לכל אדם על איסוף בלי יידוע. השלישי: לקוח יכול לתבוע פיצוי של עד ₪10,000 בלי להוכיח נזק. רישום מאגרים בוטל כמעט לגמרי במגזר הפרטי. חובות האבטחה, העיון והתיקון נשארו בתוקף.
מה השתנה, ולמה זה נוגע גם לעסק של שלושה אנשים
תיקון 13 מתואר כשינוי הגדול ביותר בחוק הגנת הפרטיות מזה כ-40 שנה, ומקרב את הדין הישראלי לרגולציה האירופית (GDPR). הוא נכנס לתוקף ב-14 באוגוסט 2025, ולפי סקירות של משרדי עורכי דין, תקופת ההסתגלות הראשונית באכיפה כבר הסתיימה ו-2026 צפויה להיות שנה של אכיפה.
הנקודה החשובה לעסק קטן: החוק לא עוסק רק בחברות ענק. כל עסק שמנהל רשימת לקוחות במחשב, בגיליון, ב-CRM או אפילו בוואטסאפ עם הערות, מעבד מידע אישי. ההבדל הוא בהיקף ובסוג המידע, וזה מה שקובע אילו חובות חלות עליכם.
האם יש לכם "מאגר מידע"?
התיקון הגדיר מחדש "מאגר מידע" כאוסף של מידע אישי שמעובד באמצעים דיגיטליים. יש החרגה אחת שחשוב להכיר: אוסף שמכיל רק שם, כתובת ופרטי התקשרות של עד 100,000 איש, שלא מגלה עליהם שום דבר נוסף, ושאין לבעלים מידע אחר עליהם, לא נחשב מאגר.
בפועל, רוב העסקים הקטנים חוצים את הקו מהר. ברגע שליד כל לקוח רשום מה קנה, מתי ביקר, כמה שילם, מה הבעיה שלו או הערה מהשיחה, זה כבר יותר מפרטי התקשרות. CRM של עסק קטן הוא כמעט תמיד מאגר מידע.
רישום: כמעט בוטל
החדשות הטובות: במגזר הפרטי חובת רישום המאגר בוטלה כמעט לגמרי. היא נשארה בעיקר לגופים ציבוריים ולמאגרים שמטרתם העיקרית היא מסירת מידע לאחרים כעסק (כמו שירותי דיוור ישיר) עם 10,000 איש ומעלה. מאגר עם מידע בעל רגישות מיוחדת על יותר מ-100,000 איש צריך להודיע לרשות. לעסק קטן רגיל, כנראה שאין חובת רישום. שאר חובות החוק חלות במלואן.
מידע בעל רגישות מיוחדת: בדקו אם הוא אצלכם
התיקון מגדיר קטגוריה של "מידע בעל רגישות מיוחדת", ועיצומים על הפרות שנוגעות לה כפולים. לפי הסקירות, הקטגוריה כוללת בין השאר:
- מידע רפואי ומצב בריאותי
- שכר ופעילות פיננסית
- נתוני מיקום ותעבורה
- הערכות אישיות
- עבר פלילי
- דעות פוליטיות ואמונות דתיות
- מידע שחלה עליו חובת סודיות לפי דין
מי צריך לשים לב במיוחד: קליניקות ומטפלים (הצהרת בריאות, פרטי טיפול), יועצי משכנתאות ומתכנני פיננסים (הכנסות וחובות), סוכני ביטוח, רואי חשבון, מאמני כושר שאוספים שאלון בריאות, ובעצם כל עסק ששומר הקלטות שיחה שבהן לקוחות מספרים על עצמם. אם זה אתם, ההמלצה היא לצמצם: לאסוף רק מה שצריך, להגביל מי רואה את זה, ולמחוק כשכבר לא צריך.
חובת היידוע: מה כותבים ליד כל טופס
זו החובה הכי מעשית בתיקון, וגם החשיפה הכי גדולה של עסק קטן, כי העיצום מחושב לפי מספר האנשים שפניתם אליהם. כשמבקשים מאדם מידע אישי, בטופס באתר, בדף נחיתה, בשאלון קליטה או בבוט בוואטסאפ, צריך לומר לו:
- האם יש חובה חוקית למסור את המידע, או שהמסירה תלויה ברצונו, ומה יקרה אם יסרב.
- למה המידע נאסף: המטרה.
- למי המידע יימסר, ולמה.
- שיש לו זכות לעיין במידע.
- שיש לו זכות לבקש לתקן אותו.
כדאי להוסיף גם את שם העסק ודרך ליצור קשר, וקישור למדיניות הפרטיות המלאה. ההודעה לא צריכה להיות ארוכה. היא צריכה להיות ליד כפתור השליחה, ולא בעמוד אחר.
מסירת הפרטים אינה חובה, אך בלעדיהם לא נוכל לחזור אליך. נשתמש בהם כדי לטפל בפנייה שלך ולתאם שירות. הפרטים נשמרים במערכת ניהול הלקוחות של {שם העסק} ואצל ספקים שמפעילים אותה עבורנו, ולא יימסרו לאחרים לשיווק. באפשרותך לעיין במידע ולבקש לתקן אותו בפנייה ל-{מייל}. פרטים נוספים במדיניות הפרטיות.
השאלון עוזר לנו להתאים לך טיפול בטוח. המילוי אינו חובה, אך בלי חלק מהפרטים ייתכן שלא נוכל לבצע את הטיפול. המידע נשמר אצל {שם העסק} בלבד, נגיש רק למטפל/ת, ולא יימסר לאחר. אפשר לעיין בו ולבקש לתקן אותו בכל עת.
עיצומים ופיצוי: כמה זה עולה
| ההפרה | החשיפה | הערה |
|---|---|---|
| איסוף מידע בלי הודעת יידוע | ₪50 לכל אדם שפנו אליו, ₪100 במידע רגיש | מינימום ₪30,000 להפרה |
| הפרות רישום והודעה לרשות | ₪150,000 | בעיקר למאגרים גדולים |
| מאגר של יותר ממיליון איש | הסכומים כפולים | לרוב לא רלוונטי לעסק קטן |
| פיצוי בתביעה אזרחית | עד ₪10,000 בלי הוכחת נזק | למשל איסוף בלי יידוע, סירוב לעיון או לתיקון |
לפי הסקירות יש גם תקרות לעסקים קטנים (מחזור שנתי של ₪4–10 מיליון) ולעסקים זעירים (עד ₪4 מיליון), וסך העיצומים לא יעלה על 5% מהמחזור השנתי. תקופת ההתיישנות לתביעה אזרחית התארכה מ-2 שנים ל-7. במילים אחרות: טופס בלי הודעת יידוע שרץ היום יכול להפוך לתביעה גם בעוד כמה שנים.
ממונה על הגנת הפרטיות: האם אתם חייבים?
לפי הסקירות, חובת מינוי ממונה (DPO) חלה בעיקר על גופים ציבוריים, סוחרי מידע עם מידע על יותר מ-10,000 איש, גופים שעיקר פעילותם ניטור שיטתי של אנשים בהיקף משמעותי, גופים שעיקר פעילותם עיבוד מידע רגיש בהיקף משמעותי, ובנקים, חברות ביטוח, בתי חולים וקופות חולים.
רוב העסקים הקטנים לא בקבוצות האלה. מי שעלול להיות קרוב לגבול הוא עסק שעיקר עבודתו מידע רגיש, כמו מרפאה עם אלפי מטופלים. גם אם אין חובה, מינוי של אדם אחד שאחראי על פרטיות בעסק (גם אם זה אתם) עולה מעט ומקצר כל טיפול בבקשה או בתקלה.
אבטחה, עיון ותיקון: החובות שלא השתנו
תקנות אבטחת המידע (2017) ממשיכות לחול, וקובעות רמות אבטחה לפי סוג המאגר. לעסק קטן, המשמעות המעשית היא סדר יומיום:
- הרשאות: כל עובד רואה רק מה שהוא צריך. מי שעזב, נחסם באותו יום.
- סיסמאות חזקות ואימות דו-שלבי במייל, בוואטסאפ העסקי ובכל מערכת שמאפשרת אותו. חשבון מייל פרוץ פותח את הדלת לכל השאר.
- בלי קבצים מסתובבים: לא לשלוח רשימות לקוחות באקסל במייל או בוואטסאפ.
- גיבוי של המידע החשוב, וידיעה איפה הוא.
- נוהל אירוע: מה עושים אם טלפון נגנב או חשבון נפרץ. גם עמוד אחד מספיק.
לפי הסקירות, זכויות העיון והתיקון הן מהתחומים שהרשות צפויה להתמקד בהם באכיפה. כשלקוח מבקש לראות מה שמור עליו, צריכה להיות לכם דרך לענות לו.
היי {שם}, קיבלנו את בקשתך לעיין במידע שנשמר עליך ב-{שם העסק}. מצורף סיכום: {פרטי קשר, היסטוריית שירות, הערות}. אם משהו לא מדויק, כתוב/כתבי לנו ונתקן. אם תרצה/י שנמחק מידע שכבר לא נדרש, אפשר לבקש גם את זה.
ספקים, AI ומידע שעובר הלאה
מערכת ה-CRM, ספק המייל, הוואטסאפ העסקי וכלי ה-AI שאתם משתמשים בהם מחזיקים מידע בשבילכם. בחרו ספקים שאומרים בבירור איפה המידע מאוחסן, מי ספקי המשנה שלהם, ומה הם עושים עם הנתונים. לפי טיוטת הנחיה של הרשות, חוק הגנת הפרטיות חל גם על מערכות AI, ואיסוף מידע בגריפה מהאינטרנט (scraping) דורש הסכמה.
עשרה צעדים לעסק קטן
מקורות
- A&E CPA, אוגוסט 2025: מדריך לתיקון 13 (PDF)
- Mondaq: Annual Privacy Review 2025, Outlook for 2026
- Mondaq: Major Amendment To Privacy Law In Israel
הנתונים מגיעים ממחקרים וסקרים מחו"ל ומספקים מסחריים, ומוצגים ככיוון ולא כהבטחה. מדדו אצלכם.
איפה RAY נכנס לתמונה
החובות בחוק הן שלכם, כבעלי המאגר. מה שמערכת יכולה לעשות הוא להקל עליכם לעמוד בהן. ב-RAY:
- כל המידע על הלקוחות במקום אחד, ולא מפוזר בגיליונות ובטלפונים
- הרשאות לפי תפקיד, וההפרדה בין עסקים נאכפת בשרת
- אנחנו לא משתמשים בנתונים שלכם לשיווק או לאימון מודלים, ומה עוד לא מיושם כתוב בדף האבטחה