תיקון 13 לחוק הגנת הפרטיות: מדריך מעשי לבעלי עסקים (2026)

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025, והוא הרפורמה הגדולה ביותר בחוק הישראלי מזה עשורים. הוא משפיע על כל עסק שאוסף, מעבד או שומר מידע אישי, ובפועל מדובר כמעט בכל עסק בישראל. במאמר הזה נפרק בדיוק מה החוק דורש, מה אתם חייבים לעשות באתר שלכם. נסביר גם מהן ההשלכות של אי עמידה - ואיפה בדיוק הדין הישראלי שונה מה-GDPR, כי רוב מסמכי המדיניות שאנחנו רואים באתרים ישראליים מעתיקים סעיפים אירופיים שפשוט לא קיימים כאן.

מה זה תיקון 13 ומה הוא דורש

תיקון 13 מקרב את החוק הישראלי לסטנדרטים של ה-GDPR, אבל הוא לא מעתיק אותו - וזו הטעות שעולה הכי הרבה כסף. העקרונות המרכזיים: הסכמה מדעת (סעיף 3), חובת יידוע מורחבת בעת איסוף המידע (סעיף 11), זכות עיון (סעיף 13), וזכות לבקש תיקון או מחיקה של מידע שאינו נכון, שלם, ברור או מעודכן (סעיף 14). שימו לב: זו אינה "הזכות להישכח" הגורפת של ה-GDPR - היא מותנית בכך שהמידע פגום. גם "ניידות נתונים" ו"הגבלת עיבוד" אינן זכויות בדין הישראלי. אל תבטיחו במדיניות הפרטיות שלכם זכויות שאין לכם דרך לספק.

נקודה שמבלבלת הרבה עסקים: החוק חל על כל מאגר של מידע אישי, בלי סף מינימלי. אם יש לכם טופס יצירת קשר שנשמר ב-CRM - החוק חל עליכם, גם עם 50 לידים. הסף של 10,000 אנשים אינו תנאי לתחולת החוק אלא טריגר לחובות ספציפיות (למשל רישום מאגר במרשם - וגם זה רק כשהמאגר נועד מלכתחילה למסירת מידע לאחרים כדרך עיסוק). "מידע בעל רגישות מיוחדת" - בריאות, גנטיקה, ביומטריה, מוצא, עבר פלילי, דעות פוליטיות או אמונה, נתוני שכר ופעילות פיננסית, נתוני מיקום ועוד - מעלה את רמת החובות, אך אינו מה שקובע אם החוק חל.

הסנקציות חדות. העיצומים הכספיים בסעיף 23כו בנויים בשכבות: סכומים קבועים של ₪15,000 עד ₪300,000 לפי סוג ההפרה, ולצידם עיצומים המחושבים לפי מספר האנשים - למשל ₪50 לכל אדם שאליו פניתם בלי למסור הודעה כנדרש בסעיף 11, עם רצפה של ₪30,000. כלומר החשיפה בהפרה שנוגעת למאגר גדול אינה חסומה בתקרה נוחה. בנוסף, סעיף 15א מאפשר לבית המשפט לפסוק פיצוי ללא הוכחת נזק של עד ₪10,000 - אך רק בגין רשימה סגורה של הפרות, וברובן רק לאחר שהאדם דרש מכם לתקן וחלפו 30 או 90 יום.

מה צריך לעשות באתר - צ'קליסט מעשי

1. באנר Cookie Consent אמיתי. לא "האתר משתמש בעוגיות, בהמשך השימוש אתה מסכים". צריך הסכמה אקטיבית: אפשרות לדחות, לבחור קטגוריות (פונקציונליות/אנליטיקה/שיווק), ולהמשיך לשימוש באתר גם אם המשתמש דחה. Tag Manager ו-Meta Pixel לא נטענים לפני הסכמה.

2. מדיניות פרטיות מעודכנת ומפורטת. חייבת לכלול: אילו נתונים נאספים (שם, מייל, IP, cookies), למה הם נאספים, עם מי הם משותפים (Google Analytics? Meta? Mailchimp?), כמה זמן הם נשמרים, וזכויות המשתמש. קישור חייב להיות זמין בכל עמוד, לא רק ב-Footer.

3. טפסי הרשמה עם Opt-in כפול. תיבת סימון של "מסכים לקבל מסרים שיווקיים" - לא יכולה להיות מסומנת אוטומטית. המשתמש חייב לבחור באקטיביות. בנוסף - חובה לשמור תיעוד של ההסכמה (מתי, איך, מאיזה IP).

4. זכות למחיקה ועריכה. המשתמש יכול לבקש למחוק את נתוניו. צריך תהליך ברור: איך פונים (מייל? טופס?), תוך כמה זמן מגיבים (עד 30 יום), ואיך מוחקים בפועל מכל המערכות - CRM, Mailchimp, Facebook, Google.

5. ממונה הגנת פרטיות (DPO) - רק אם אתם באמת חייבים. סעיף 17ב1 קובע רשימה סגורה: גופים ציבוריים; מי שמאגרו נועד למסירת מידע לאחרים כדרך עיסוק ויש בו מעל 10,000 אנשים; מי שעיסוקו העיקרי כרוך בניטור שוטף ושיטתי של אנשים בהיקף ניכר; ומי שעיסוקו העיקרי הוא עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר. עסק רגיל עם 10,000 לקוחות במאגר אינו חייב במינוי - ההיקף לבדו אינו הטריגר. בדקו את עצמכם מול הרשימה לפני שאתם קונים שירות DPO חיצוני. אם אתם כן נכנסים אליה, דרכי ההתקשרות עם הממונה חייבות להיות מפורסמות לציבור באופן נגיש ופשוט.

6. הודעה על אירועי אבטחה. כאן חשוב לא להעתיק את ה-GDPR: אין בדין הישראלי חלון של 72 שעות. תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 קובעות דיווח מיידי לרשות על "אירוע אבטחה חמור" - וזאת רק למאגרים ברמת אבטחה בינונית או גבוהה (תקנה 11(ד); תקנה 21(3) אינה מחילה אותה על מאגר ברמה הבסיסית). מה שכן חל על כולם: חובת תיעוד אירועי אבטחה ונוהל התמודדות. חשוב שתהיה פרוצדורה מוכנה מראש.

טעויות נפוצות שאני רואה באתרים ישראלים

טעות #1: באנר "האתר משתמש בעוגיות" בלבד. זה לא מספיק. צריך אפשרות אקטיבית לדחות ולבחור קטגוריות. רוב האתרים בישראל עדיין משתמשים בבאנר הישן, וזו חשיפה ישירה לתביעה.

טעות #2: Meta Pixel ו-Google Analytics נטענים לפני Consent. זו הפרה חמורה. הסקריפטים האלה אוספים מידע ברגע שהעמוד נטען. חובה שהם יטענו רק אחרי לחיצה על "מסכים".

טעות #3: תיבת "קראתי ואני מסכים" מסומנת כברירת מחדל. פסול לחלוטין תחת תיקון 13. המשתמש חייב לסמן בעצמו.

טעות #4: מדיניות פרטיות גנרית שהועתקה מאתר אחר. המדיניות חייבת להיות מדויקת לעסק שלכם - אילו כלים אתם משתמשים, למי אתם מעבירים נתונים, וכו'. מדיניות כללית לא עומדת בדרישות.

טעות #5: אין מנגנון בקשת מחיקה. המשתמש לא מוצא איך למחוק את נתוניו. תוך 30 יום מדרישה - חייבים להגיב. בלי מנגנון ברור, אתם חשופים.

מה Simple Web עושה בעניין

בכל אתר שאנחנו בונים מ-2025, מוטמע קובץ Consent Management מלא: באנר אקטיבי עם 3 קטגוריות, טעינה מותנית של סקריפטים, תיעוד הסכמות, ומדיניות פרטיות מותאמת. אנחנו גם בונים תהליך בקשת מחיקה אוטומטי שמתחבר ל-CRM ולכלי המיילים.

בנוסף, אנחנו מבצעים Privacy Audit ללקוחות קיימים, שבמסגרתו אנחנו בוחנים את האתר, מזהים חשיפות ומתקנים. האודיט עולה ₪1,500 ולרוב מחזיר את עצמו בתביעה אחת שנמנעת.

סיכום: תיקון 13 אולי נראה כמו עוד גזירה רגולטורית, אבל בפועל הוא הזדמנות לבנות אמון עם לקוחות. אתר שמכבד פרטיות הוא אתר שמייצר לידים איכותיים יותר, ומייצר אמון ארוך טווח. העלות של אי ציות גבוהה בהרבה מעלות הציות. רוצים בדיקה של האתר שלכם? צרו קשר לאודיט Privacy חינמי של 20 דקות.