תיקון 13 לחוק הגנת הפרטיות: מה הוא משנה בשבילכם

מה זה תיקון 13 ולמה הרשות להגנת הפרטיות בכותרות

תיקון 13 לחוק הגנת הפרטיות אושר בכנסת באוגוסט 2024 ונכנס לתוקף באוגוסט 2025, שנה אחרי שפורסם. לפי כלכליסט, זה העדכון המקיף ביותר לחוק מאז שנחקק לפני יותר מארבעה עשורים. עיקר השינוי, לפי סקירות של משרדי עורכי דין, הוא בסמכויות האכיפה של הרשות להגנת הפרטיות במשרד המשפטים, שקיבלה כלים חדשים לחייב חברות, מוסדות וגופים ציבוריים לעמוד בחוק.

הרשות עלתה לכותרות כמה פעמים בחודש האחרון. ב-8 באוקטובר 2026 דיווח גלובס שהרשות קבעה כי משרד החינוך הפר את החוק בפרשה שבה דלף מידע רגיש על כ-21 אלף תלמידים. ב-22 באוקטובר דווח באתר ice על עיצום כספי של 256 אלף שקל שהוטל על מנורה מבטחים. שני הדיווחים ממחישים שהרשות משתמשת בסמכויות שקיבלה גם מול גופים גדולים, ממשרד ממשלתי ועד חברת ביטוח.

מה הרשות יכולה לעשות עכשיו, ואיך זה נראה בשטח

לפי סקירה של משרד עורכי הדין שבלת, התיקון העניק לרשות סמכויות אכיפה מנהליות, ולמפקחים שלה סמכויות חקירה פליליות. הרשות יכולה גם לבקש מבית המשפט צו שיעצור עיבוד של מידע אישי, כולל מחיקה שלו, כשהדבר נדרש כדי להפסיק הפרה. בנוסח המעודכן של החוק מופיעים סכומי בסיס לעיצומים, למשל 150 אלף שקל על הפרות מסוימות וסכום כפול כשהמאגר כולל מיליון אנשים ומעלה, והסכומים מתעדכנים מדי שנה.

המקרים הראשונים מראים איך זה עובד. לפי כלכליסט, ביולי 2026 הטילה הרשות את העיצום הראשון מכוח התיקון, 256 אלף שקל על קופת חולים מאוחדת, אחרי שהקופה דיווחה כחודשיים לאחר שנודע לה על תקלה שאפשרה למבוטחים לצפות במידע רפואי של קרובים. במקרה של מנורה, לפי ice, העיצום הבסיסי עמד על 640 אלף שקל והופחת ב-60%, בין היתר משום שהחברה דיווחה ביוזמתה ומינתה ממונה על הגנת הפרטיות. גלובס דיווח בספטמבר גם על עיצום של 64 אלף שקל לעיריית בית שמש, אחרי שמידע אישי של כ-4,600 תושבים נחשף דרך אתר העירייה.

חשוב להבין גם מה העיצומים האלה לא עושים. לפי כלכליסט, הכסף מהעיצום על מאוחדת מועבר לאוצר המדינה, ולא למבוטחים שהמידע שלהם נחשף. כלומר, עיצום על ארגון לא מתורגם אוטומטית לפיצוי עבורכם. מי שמבקש פיצוי אישי צריך לפעול בנפרד, בהליך אזרחי, כפי שמוסבר בהמשך.

המידע שלכם דלף? כך נראית חובת הדיווח של הארגון

שני העיצומים של 256 אלף שקל עסקו באותה שאלה: מתי ארגון חייב לדווח לרשות על אירוע אבטחה חמור. החובה מעוגנת בתקנה 11(ד) לתקנות הגנת הפרטיות (אבטחת מידע), ולפי שבלת היא קמה עם היוודע האירוע. מנורה טענה שהחובה מתחילה רק אחרי שהבדיקות הפנימיות מסתיימות, והרשות דחתה את הטענה, כך לפי ice.

לפי עמדת הרשות, כפי שתוארה ב-ice ובעדכון של שבלת, ארגון צריך למסור דיווח ראשוני סמוך לגילוי על סמך המידע שיש בידיו, ולהשלים פרטים בדיווחים נוספים. המשמעות היא שהרשות מצפה לשמוע על אירוע מוקדם, גם כשהארגון עדיין לא יודע את כל הפרטים. החובה הזאת עוסקת בדיווח לרשות, ולכן מה קורה מולכם כלקוחות ואילו צעדים כדאי לנקוט כשהמידע שלכם נחשף מפורט במדריך פרצת אבטחה.

עיון, תיקון ופיצוי: הזכויות שבידיכם

לפי סעיף 13 לחוק, כל אדם זכאי לעיין במידע האישי שמוחזק עליו במאגר מידע, והאופן, התנאים והתשלום נקבעים בתקנות. סעיף 14 מאפשר לבקש לתקן מידע אישי שגוי, ובמצבים מסוימים הארגון נדרש גם להודיע על התיקון למי שקיבל ממנו את המידע. בפועל אפשר לפנות לחברה סלולרית, לבנק או לחנות מקוונת ולבקש לראות מה שמור עליכם, בכפוף לחריגים שבחוק ובתקנות.

בעקבות התיקון, סעיף 15א לחוק מאפשר לבית המשפט לפסוק פיצויים לדוגמה, כלומר פיצויים שאינם תלויים בנזק, בסכום של עד 10,000 שקל. לפי שבלת, הסמכות הזאת נוגעת להפרות של כמה עילות שקשורות למאגרי מידע, כך שלא כל פגיעה בפרטיות מזכה בסכום הזה. ההחלטה אם לפסוק פיצוי ובאיזה סכום נשארת בידי בית המשפט.

יש גם דברים שהתיקון לא נתן. ד״ר רחל ארידור מהמכון הישראלי לדמוקרטיה אמרה לכלכליסט ב-2024 שחסרות בו זכויות כמו מחיקת מידע, ניידות מידע וחזרה מהסכמה, וחלקן נדחו לתיקון עתידי. מנגד, בגילוי דעת שפרסמה בפברואר 2026 כתבה הרשות שהסכמה עשויה לכלול גם את האפשרות לחזור בכם ולבקש להפסיק את העיבוד, עם חריגים כמו חובות רגולטוריות ואבטחת מידע.

אתרים, אפליקציות וחברות סלולר: מה השתנה מול המשתמש

באותו גילוי דעת, שפורסם ב-25 בפברואר 2026 לפי אתר law.co.il, הסבירה הרשות מתי הסכמה לעיבוד מידע נחשבת תקפה. לפי הרשות, אתם צריכים לדעת שמותר לסרב ולקבל מידע ברור על מטרות האיסוף ועל מי שעשוי לקבל את המידע, וההסכמה צריכה להיות חופשית, במיוחד כשיש פער כוחות כמו מול מעסיק או ספק של שירות חיוני. בחוזה אחיד, הסכמה לדיוור ישיר שלא קשור לעסקה צריכה לפי הרשות להיות בשיטת opt-in, כלומר בחירה אקטיבית שלכם.

לפי סעיף 17ב1 לחוק, חלק מהגופים חייבים למנות ממונה על הגנת הפרטיות. ברשימה נמצאים גופים ציבוריים, מאגרים שמטרתם העיקרית מכירת מידע או דיוור ישיר עם יותר מ-10,000 איש, גופים שעיקר פעילותם ניטור שיטתי בהיקף גדול, כמו ספקי רדיו טלפון נייד ושירותי חיפוש, וגופים שעיקר פעילותם עיבוד מידע רגיש בהיקף גדול, כמו בנקים, חברות ביטוח, בתי חולים כלליים וקופות חולים. כשאתם עוברים ספק או מפעילים esim חדש, החברה הסלולרית שמקבלת את פרטיכם שייכת לסוג הגופים שהחוק מזכיר במפורש.

התיקון גם הגדיר מהו מידע בעל רגישות מיוחדת. לפי החוק הוא כולל בין היתר מידע רפואי וגנטי, אמצעי זיהוי ביומטריים, נתוני מיקום ותעבורה, דעות פוליטיות ואמונות דתיות, וגם נתוני שכר ופעילות כלכלית. כדאי לזכור את הרשימה הזאת לפני שמעלים מסמכים רפואיים או תלושי שכר לשירותים מקוונים, כולל כלי בינה מלאכותית, ולקרוא קודם מה מדיניות הפרטיות שלהם אומרת על שמירת המידע.

לפני שפונים לרשות: מה כדאי להכין

צעד ראשון סביר הוא פנייה ישירה לארגון, בכתב, עם בקשה לעיין במידע, לתקן אותו או לקבל הסבר על אירוע שבו נחשף. שמרו עותק של הפנייה, של התשובה ושל כל הודעה שקיבלתם, כי בלי תיעוד קשה להראות מה קרה ומתי. אם לא קיבלתם מענה או שהתשובה לא מספקת, אפשר לפנות לרשות להגנת הפרטיות.

בהודעה שפרסמה לקראת הבחירות לכנסת, כפי שדווח ב-ynet, ציינה הרשות שאפשר לפנות אליה במוקד *3103 ובדוא״ל ppa@justice.gov.il. באותה הודעה הזכירה הרשות שפגיעה במזיד בפרטיות, בתנאים שקבועים בחוק, היא עבירה פלילית שהעונש עליה עד חמש שנות מאסר. פרטי הקשר והנהלים עשויים להשתנות, ולכן כדאי לוודא אותם באתר הרשות ב-gov.il לפני שפונים.

המידע כאן הוא הסבר כללי נכון ל-30 באוקטובר 2026, ואינו ייעוץ משפטי. נוסח החוק, התקנות וגילויי הדעת של הרשות מתעדכנים, ולכן במקרה אישי כדאי לבדוק את הנוסח העדכני ולהתייעץ עם עורך דין שעוסק בדיני פרטיות. מדריכים מעשיים נוספים על אבטחת חשבונות והגנה על המידע בטלפון ובמחשב מרוכזים בעמוד מדריכי טכנולוגיה.