תיקון 13 לחוק הגנת הפרטיות: מדריך מעשי לבעלי עסקים (2026)

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025, והוא הרפורמה הגדולה ביותר בחוק הישראלי מזה עשורים. הוא חל על כל עסק שאוסף, מעבד או שומר מידע אישי, כלומר כמעט על כל עסק בישראל: טופס יצירת קשר, רשימת תפוצה, CRM, פיקסל של Meta. במאמר הזה נפרק מה החוק דורש, מה זה אומר בפועל לאתר ולקמפיינים שלכם, מהן הסנקציות, ואיפה הדין הישראלי שונה מה-GDPR. הנקודה האחרונה חשובה, כי רוב מסמכי המדיניות שאנחנו רואים באתרים ישראליים מעתיקים סעיפים אירופיים שפשוט לא קיימים כאן.

מה זה תיקון 13 ומה הוא דורש

תיקון 13 מקרב את החוק הישראלי לסטנדרטים של ה-GDPR, אבל הוא לא מעתיק אותו. זו הטעות שעולה הכי הרבה כסף. העקרונות המרכזיים: הסכמה מדעת (סעיף 3), חובת יידוע מורחבת בעת איסוף המידע (סעיף 11), זכות עיון (סעיף 13), וזכות לבקש תיקון או מחיקה של מידע שאינו נכון, שלם, ברור או מעודכן (סעיף 14).

שימו לב להבדל: זו אינה "הזכות להישכח" הגורפת של ה-GDPR. הזכות הישראלית מותנית בכך שהמידע פגום. גם "ניידות נתונים" ו"הגבלת עיבוד" אינן זכויות בדין הישראלי. לכן, אל תבטיחו במדיניות הפרטיות שלכם זכויות שאין לכם דרך לספק. הבטחה כזו לא מגנה עליכם, היא רק יוצרת התחייבות שלא תעמדו בה.

בנוסף, חובת היידוע שבסעיף 11 היא הלב של התיקון מבחינת עסק קטן. בכל פעם שאתם מבקשים מידע אישי, האדם צריך לדעת: האם יש חובה חוקית למסור אותו, לאיזו מטרה הוא נאסף, למי הוא יימסר, ומהן זכויותיו. טופס לידים בלי המידע הזה הוא הפרה.

על מי החוק חל, ומה זה "מידע בעל רגישות מיוחדת"

נקודה שמבלבלת הרבה עסקים: החוק חל על כל מאגר של מידע אישי, בלי סף מינימלי. אם יש לכם טופס יצירת קשר שנשמר ב-CRM, החוק חל עליכם, גם עם 50 לידים. הסף של 10,000 אנשים אינו תנאי לתחולת החוק אלא טריגר לחובות ספציפיות, למשל רישום מאגר במרשם. וגם זה רק כשהמאגר נועד מלכתחילה למסירת מידע לאחרים כדרך עיסוק.

"מידע בעל רגישות מיוחדת" מעלה את רמת החובות, אך אינו מה שקובע אם החוק חל. לקטגוריה הזו נכנסים: בריאות, גנטיקה, ביומטריה, מוצא, עבר פלילי, דעות פוליטיות או אמונה, נתוני שכר ופעילות פיננסית, נתוני מיקום ועוד. כלומר, קליניקה, יועץ משכנתאות או מטפל רגשי נמצאים ברמת חובות גבוהה יותר מחנות בגדים, גם אם המאגר שלהם קטן.

מה עושים עם זה: כתבו רשימה של כל מקום שבו אתם אוספים מידע אישי (אתר, וואטסאפ, טפסי גוגל, CRM, מערכת תורים, חשבוניות). זו הרשימה שהצ'קליסט הבא עובד עליה.

הסנקציות: עיצומים כספיים ופיצוי ללא הוכחת נזק

הסנקציות חדות. העיצומים הכספיים בסעיף 23כו בנויים בשכבות: סכומים קבועים של ₪15,000 עד ₪300,000 לפי סוג ההפרה, ולצידם עיצומים המחושבים לפי מספר האנשים. למשל, ₪50 לכל אדם שאליו פניתם בלי למסור הודעה כנדרש בסעיף 11, עם רצפה של ₪30,000. כלומר, החשיפה בהפרה שנוגעת למאגר גדול אינה חסומה בתקרה נוחה.

בנוסף, סעיף 15א מאפשר לבית המשפט לפסוק פיצוי ללא הוכחת נזק של עד ₪10,000. אבל רק בגין רשימה סגורה של הפרות, ובחלק מהן רק לאחר שהאדם דרש מכם לתקן וחלפו 30 או 90 יום. המשמעות המעשית: מי שמגיב לפניות מהר ומתעד את התגובה מצמצם את החשיפה הזו לפני שהיא מתחילה.

צ'קליסט לבעל עסק: 8 דברים לבדוק השבוע

1. מאגר המידע. דעו איזה מידע יש לכם, איפה הוא שמור, ומי ניגש אליו. בלי הרשימה הזו אי אפשר לעמוד באף חובה אחרת.
2. מדיניות פרטיות באתר. מעודכנת, מדויקת לעסק, ומקושרת מכל עמוד. היא חייבת לכלול אילו נתונים נאספים (שם, מייל, IP, cookies), למה, עם מי הם משותפים (Google Analytics? Meta? מערכת דיוור?), כמה זמן נשמרים, ומהן זכויות המשתמש.
3. הסכמה בטפסים. תיבת "מסכים לקבל מסרים שיווקיים" לא מסומנת מראש. המשתמש מסמן בעצמו, ואתם שומרים תיעוד: מתי, איך, מאיזה עמוד.
4. באנר Cookie Consent אמיתי. אפשרות לדחות, בחירת קטגוריות (פונקציונליות, אנליטיקה, שיווק), והאתר ממשיך לעבוד גם אחרי דחייה.
5. פיקסלים ומעקב המרות. Google Tag Manager, GA4 ו-Meta Pixel נטענים רק אחרי הסכמה. זה החלק שרוב האתרים בישראל מפספסים.
6. וואטסאפ ודיוור. שליחה שיווקית רק למי שהסכים, עם דרך ברורה להסרה בכל הודעה. הסכמה לקבל הצעת מחיר אינה הסכמה לניוזלטר.
7. ספקים. כל שירות שמחזיק עבורכם מידע (CRM, דיוור, אחסון, סליקה) הוא חלק מהמאגר שלכם. בדקו מה כתוב בהסכם איתם על אבטחה ומחיקה.
8. מנגנון עיון, תיקון ומחיקה. כתובת מייל או טופס ייעודי, תהליך מוגדר, ותגובה בתוך 30 יום. המחיקה חייבת לרדת מכל המערכות, לא רק מהאתר.

מה זה אומר לאתר ולקמפיינים שלכם

הרבה בעלי עסקים חושבים על תיקון 13 כעניין משפטי בלבד. בפועל הוא נוגע ישירות למדידה ולפרסום. אם הפיקסל של Meta נטען לפני הסכמה, זו הפרה. אם הוא נטען רק אחרי הסכמה, הקמפיין מודד פחות המרות, ואת זה צריך לתכנן. הפתרון הנכון הוא Consent Mode של Google ותצורה דומה ב-Meta, שמדווחות בהתאם להסכמה. את ההגדרה המלאה פירטנו במדריך למעקב המרות ב-GA4, Google Ads ו-Meta Pixel.

בוואטסאפ הכללים נוקשים עוד יותר, כי הפלטפורמה עצמה דורשת אישור מראש להודעות שיווקיות. מה מותר ומה אסור, כולל חוק הספאם, מוסבר במאמר על שיווק בוואטסאפ לעסקים.

ולבסוף, אבטחת מידע היא חלק מהחוק, לא תוספת. אתר וורדפרס שלא עודכן שנה הוא חשיפה משפטית, לא רק טכנית. הצ'קליסט החודשי נמצא במאמר על תחזוקת אתרים ואבטחה. ואם אתם בונים אתר חדש, החובות החוקיות מסוכמות גם במדריך לבניית אתרים לעסקים קטנים.

טעויות נפוצות שאנחנו רואים באתרים ישראליים

טעות #1: באנר "האתר משתמש בעוגיות" בלבד. זה לא מספיק. צריך אפשרות אקטיבית לדחות ולבחור קטגוריות. רוב האתרים בישראל עדיין משתמשים בבאנר הישן, וזו חשיפה ישירה.

טעות #2: Meta Pixel ו-Google Analytics נטענים לפני הסכמה. הסקריפטים האלה אוספים מידע ברגע שהעמוד נטען. הם חייבים להיטען רק אחרי לחיצה על "מסכים".

טעות #3: תיבת "קראתי ואני מסכים" מסומנת כברירת מחדל. פסול תחת תיקון 13. המשתמש חייב לסמן בעצמו.

טעות #4: מדיניות פרטיות גנרית שהועתקה מאתר אחר. המדיניות חייבת להיות מדויקת לעסק שלכם: אילו כלים, למי מועברים נתונים, לכמה זמן. מדיניות כללית לא עומדת בדרישות, ומדיניות שמבטיחה זכויות GDPR שאין בישראל רק מזיקה.

טעות #5: אין מנגנון בקשת מחיקה. המשתמש לא מוצא איך לפנות. בלי מנגנון ברור ותגובה בזמן, אתם חשופים גם לפיצוי ללא הוכחת נזק.

ממונה הגנת פרטיות ודיווח על אירועי אבטחה: איפה לא להעתיק את ה-GDPR

ממונה הגנת פרטיות (DPO), רק אם אתם באמת חייבים. סעיף 17ב1 קובע רשימה סגורה: גופים ציבוריים; מי שמאגרו נועד למסירת מידע לאחרים כדרך עיסוק ויש בו מעל 10,000 אנשים; מי שעיסוקו העיקרי כרוך בניטור שוטף ושיטתי של אנשים בהיקף ניכר; ומי שעיסוקו העיקרי הוא עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר. עסק רגיל עם 10,000 לקוחות במאגר אינו חייב במינוי. ההיקף לבדו אינו הטריגר. בדקו את עצמכם מול הרשימה לפני שאתם קונים שירות DPO חיצוני. אם אתם כן נכנסים אליה, דרכי ההתקשרות עם הממונה חייבות להיות מפורסמות לציבור באופן נגיש.

הודעה על אירועי אבטחה. כאן חשוב לא להעתיק את ה-GDPR: אין בדין הישראלי חלון של 72 שעות. תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 קובעות דיווח מיידי לרשות על "אירוע אבטחה חמור", וזאת רק למאגרים ברמת אבטחה בינונית או גבוהה (תקנה 11(ד); תקנה 21(3) אינה מחילה אותה על מאגר ברמה הבסיסית). מה שכן חל על כולם: חובת תיעוד אירועי אבטחה ונוהל התמודדות. הכינו את הנוהל מראש, כי ביום שצריך אותו אין זמן לכתוב אותו.

מה Simple Web עושה בעניין

בכל אתר שאנחנו בונים מ-2025 מוטמע מערך Consent Management מלא: באנר אקטיבי עם קטגוריות, טעינה מותנית של סקריפטים, תיעוד הסכמות, ומדיניות פרטיות שכתובה לעסק הספציפי. בנוסף, אנחנו בונים תהליך בקשת מחיקה שמתחבר ל-CRM ולכלי הדיוור, כך שבקשה אחת יורדת מכל המערכות. את הפרטים על התשתית שאנחנו בונים תמצאו בעמוד בניית אתר תדמית.

ללקוחות קיימים אנחנו מבצעים Privacy Audit: בוחנים את האתר, הטפסים והפיקסלים, מזהים חשיפות ומתקנים. האודיט עולה ₪1,500. לפני זה אפשר להתחיל בבדיקת פרטיות חינמית של 20 דקות, שמראה אם יש בכלל בעיה.

Simple Web היא סוכנות שיווק מבוססת AI מבני ברק, שותפי Meta מוסמכים ומומחי פרסום בגוגל, עם 200+ לקוחות ו-28 ביקורות 5★ בגוגל.

תיקון 13 אולי נראה כמו עוד גזירה רגולטורית, אבל בפועל הוא הזדמנות לבנות אמון. אתר שמכבד פרטיות מייצר לידים איכותיים יותר, והעלות של אי ציות גבוהה בהרבה מעלות הציות. רוצים לדעת איפה האתר שלכם עומד? צרו קשר לבדיקת פרטיות חינמית של 20 דקות.

מקורות

• תיקון 13 לחוק הגנת הפרטיות — gov.il — נוסח התיקון, מועד התחילה והסעיפים המצוטטים במאמר
• הרשות להגנת הפרטיות — gov.il — סמכויות האכיפה, הנחיות ותקנות אבטחת מידע
• מרכז העזרה של Google Analytics — הגדרות Consent Mode ושמירת נתונים ב-GA4