תיקון 13 לחוק הגנת הפרטיות — מדריך פרקטי לבעלי אתרים

יוכי שגב
17 באוג׳
זמן קריאה 4 דקות

עודכן: לפני יומיים

תיקון 13 לחוק הגנת הפרטיות: מה זה ואיך זה משפיע עליך?

תקציר מהיר

תיקון 13 נכנס לתוקף ב‑14.8.2025.
“מידע אישי” כולל גם אימייל וגם מזהים טכנולוגיים (IP, קוקיז, מזהה מכשיר וכו׳).
יש זכות עיון (תיקון 13): כל אדם יכול לבקש לראות איזה מידע שמור עליו.
לעסקים קטנים: שקיפות + אבטחת מידע בסיסית + תהליך לטיפול בבקשות — חובה מעשית.
אם יש “מידע בעל רגישות מיוחדת” בהיקף גדול — יתכנו חובות נוספות (כמו הודעה לרשות).

מה זה תיקון 13 ומתי נכנס לתוקף?

תיקון 13 הוא עדכון משמעותי לחוק הגנת הפרטיות. הוא פורסם ב‑14.8.2024 ונכנס לתוקף ב‑14.8.2025.

המטרה היא ליצור יותר שקיפות למשתמשים, להטיל יותר אחריות על עסקים, ולהגביר את יכולת האכיפה של המדינה.

תיקון 13 לחוק הגנת הפרטיות אושר בכנסת.

מושגים בסיסיים

מידע אישי

מהו מידע אישי? זהו כל מידע שיכול לזהות אדם — ישירות או בעקיפין. לא מדובר רק בשם וטלפון, אלא גם ב:

כתובת IP
מזהי קוקיז (Cookie ID)
מזהה מכשיר / פרסום (Device ID / Ad ID)
מיקום
מזהי סשן ועוד

לכן גם אנליטיקות ופרסום ממוקד נחשבים ברוב המקרים כעיבוד “מידע אישי”.

מידע בעל רגישות מיוחדת

סוגי מידע “עדינים במיוחד” כוללים: מידע רפואי, גנטי, ביומטרי, נטייה מינית, חיי משפחה, עבר פלילי, דעות פוליטיות, אמונות דתיות, נתוני שכר ופרטים פיננסיים, מיקום נוכחי, והערכת אישיות (כמו במיונים לעבודה). מידע כזה דורש הקפדה יתרה על אבטחה ושקיפות.

זכויות הגולשים ומה עושים בפועל עם זכות העיון (סעיף 13)

כל אדם יכול לבקש לדעת איזה מידע שמור עליו אצלכם, ולקבל עותק או פירוט. אתם צריכים תהליך מסודר לטיפול בבקשות האלה: טופס או אימייל ייעודי, אימות זהות בסיסי, ולוג פנימי של כל בקשה.

מתי מותר לסרב לבקשה?

אם המאגר הוא של גופי ביטחון או גורמים שמוחרגים בחוק.
אם אתם “לשכת שירות” (מעבדים מידע עבור לקוח אחר) — מפנים את האדם ללקוח שהוא בעל המאגר.
אם מסרבים — מודיעים על כך בזמן (נהוג עד 21 יום). זמן העיון עצמו — עד 30 יום מרגע הבקשה.

איך מתכוננים לבקשות?

פותחים מייל ייעודי (למשל privacy@domain) או טופס בקשה קצר.
מכינים תבניות לתשובות (קבלת הבקשה, בקשה להשלמת מידע, מענה לבקשה או סירוב מנומק).
רושמים כל אירוע בלוג פנימי (תאריך, מה נתבקש, מה נענה).
מגדירים מי אחראי לטפל (גם אם זה VA/ספק — האחריות המשפטית עליכם).

אבטחת מידע בסיסית לעסק קטן

מה זה MFA ולמה להשתמש בו?

מה זה MFA = אימות דו‑שלבי או רב‑שלבי: סיסמה ועוד גורם (קוד חד‑פעמי באפליקציית מאמת, SMS, או מפתח אבטחה). זה מצמצם בצורה חדה את הסיכון לפריצה לחשבונות Wix, אימייל, אנליטיקות ותשלומים. מפעילים לכולם, במיוחד למנהלים.

מסמך הגדרות מאגר מידע & נוהל אירוע אבטחה

“מסמך הגדרות מאגר מידע”: מה אוספים, למה, למי גישה, איפה נשמר וכמה זמן.
נוהל אירוע אבטחה: מה עושים אם יש פריצה או דליפה (שלבים, אחריות, הודעות).
הרשאות לפי תפקיד, סגירת משתמשים ישנים וגיבויים תקופתיים.

קוקיז, באנר ומדיניות פרטיות באתר

מפעילים באנר קוקיז ברור + קישור למדיניות. אפשר להוסיף “נהל העדפות”.
כותבים מדיניות פרטיות פשוטה: מי אתם, מה אוספים ולמה, למי מעבירים, איפה נשמר וכמה זמן, זכויות עיון/תיקון, ופרטי קשר (מומלץ להתייעץ עם עורך דין).
בתוך כל טופס יצירת קשר כותבים למה צריך את המידע + קישור למדיניות פרטיות.
מרכזים את האיסוף (למשל משתמשים רק ב-Wix Forms עבור טפסי יצירת קשר) כדי שאפשר יהיה למחוק או לעדכן בקלות.

הנה, צ׳קליסט קצר לביצוע!

ממפים נתונים: מה נאסף באתר? מי הספקים (CRM/מייל/אנליטיקות/פיקסלים)? איפה נשמר ולכמה זמן? יש מידע “רגיש במיוחד”?
מעדכנים מדיניות פרטיות (מומלץ להתייעץ עם עורך דין מומחה בנושא).
מפעילים באנר קוקיז.
פותחים דף או סקשן עבור בקשות זכויות (טופס או מייל ייעודי) + תיעוד.
מפעילים MFA ומסדרים הרשאות.
אם יש היקפים גדולים של מידע רגיש במיוחד - בודקים רלוונטיות של הודעה לרשות.

זה לא מדיניות פרטיות אבל זה האח התאום שלו - חוק הספאם בקיצור

אסור לשלוח “דבר פרסומת” במייל/SMS/חייגן אוטומטי בלי הסכמה מראש (Opt‑in).
יש החרגה ל“לקוח קיים”, וגם אז חייבים כפתור הסרה ברור בכל הודעה.
הפרה עלולה להביא תביעות ופיצוי ללא הוכחת נזק (עד 1,000 ₪ לכל הודעה).
בפועל: עובדים רק עם רשימת Opt‑in, שומרים לוג הרשמות, ובכל הודעה — קישור הסרה שעובד.
המילה „פרסומת” בשורת הנושא.

שאלות מהירות (FAQ)

האם חייבים לשים באנר קוקיז? לא תמיד חובה “חוקית” קשיחה, אבל ברוב האתרים זה מומלץ מאוד: שקיפות, ניהול העדפות והפחתת סיכון.
כמה זמן מותר לשמור לידים ששלחו אלינו טופס? כמה שפחות. הגדירו “מדיניות שמירה”:

- לידים שלא הפכו ללקוחות — מחיקה אחרי X חודשים.

- לקוחות — שומרים רק מה שחייבים (חשבוניות/שירות) ואז מוחקים פרטים שלא צריך לשמור.

מה עושים אם הייתה פריצה או דליפה של נתונים? עוצרים, מחליפים סיסמאות, בודקים היקף, מתעדים, שוקלים לעדכן לקוחות או לדווח (תלוי חומרה), ומתקנים פערים. כדאי שיהיה נוהל מוכן מראש.
האם וואטסאפ, צ׳אט או מייל באתר נחשבים איסוף מידע? כן! שם, טלפון, תוכן הודעה ו-IP הם מידע אישי. ציינו במדיניות איפה נשמר, למי המידע נגיש ולכמה זמן. וכדי לסבך קצת את העניינים, אם משתמשים ב-WhatsApp Business / Gmail / ספק צ׳אט אמריקאי, יש לציין שזה כולל העברת מידע לחו״ל ושאנו משתמשים בהסכמי העברה או אמצעי הגנה מתאימים.
מי מטפל בבקשות עיון — אפשר גורם חיצוני? אפשר להיעזר בספק או VA, אבל האחריות עליכם. הגדירו תהליך פשוט עם תיעוד.
מותר לי לסרב לבקשת עיון? רק במקרים שמוחרגים בחוק (למשל מאגרי ביטחון) או אם אתם לשכת שירות שמפנה לבעל המאגר. אם מסרבים — מודיעים בזמן (עד 21 יום), ועומדים בזמני העיון (עד 30 יום).
מה נחשב מזהה טכנולוגי “פרטי”? IP, מזהי קוקיז, מזהה מכשיר/פרסום, מזהי סשן, מיקום ועוד. ברוב המקרים זה “מידע אישי”.
האם עסק קטן צריך DPO (ממונה הגנת פרטיות)? לרוב לא. זה נדרש בעיקר לגופים ציבוריים או ארגונים שמנטרים בקנה מידה גדול מאוד או “סוחרי מידע”. אם אתם עוסקים בהרבה מידע רגיש — בדיקה פרטנית.

העתק‑הדבק: טקסטים מוכנים

באנר קוקיז (קצר)

אנחנו משתמשים בעוגיות כדי לשפר את החוויה, למדוד שימוש ולהציג תוכן מותאם. לחיצה על "מאשר/ת" מהווה הסכמה. אפשר לנהל העדפות במדיניות העוגיות.

שקיפות בטופס יצירת קשר

הפרטים ישמשו רק כדי לחזור אליך ולתת מענה לפנייתך, לפי מדיניות הפרטיות שלנו. ניתן לבקש לראות או לתקן את המידע בכל עת.

עמוד “מדיניות פרטיות” (זכות עיון – סעיף 13)

רוצים לדעת איזה מידע נשמר עליכם? אפשר לבקש עיון או עותק כאן. לצורך אבטחת המידע נבקש אימות קצר. נשיב בתוך לוחות הזמנים הקבועים בחוק. אי‑היענות בזמן תיחשב כסירוב – ולכן נשיב לכל בקשה בהקדם האפשרי.

תיבת סימון לדיוור (חוק הספאם)

[ ] אני מאשר/ת קבלת דיוור או עדכונים למייל בהתאם למדיניות הפרטיות. ניתן להסיר את עצמי בכל הודעה.

כותרת תחתונה במייל שיווקי (הסרה)

קיבלת/קיבלת הודעה זו כי נרשמת לרשימת התפוצה שלנו. להסרה מיידית – לחצו כאן.

דיסקליימר

המאמר הוא מידע כללי בלבד ואינו ייעוץ משפטי.