תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025, ומאז הרשות להגנת הפרטיות יכולה להטיל עיצום כספי על הפרה בכל כלי שאוסף מידע על אנשים, כולל טופס לידים, תג מעקב באתר וקובץ שיצא מה-CRM. מנהל שיווק צריך לבדוק ארבעה מקומות: מה הטופס אומר למי שממלא אותו, אילו תגים באתר מזהים גולשים ולאן הם שולחים מידע, מי ניגש ל-CRM ובאיזה הסכם, ולאן הולכים קבצי הייצוא.
רוב הכלים האלה הותקנו על ידי סוכנויות, פרילנסרים וצוותים שכבר לא בתמונה. האחריות נשארת אצל הארגון, וברוב הארגונים מי שמכיר אותם הכי טוב הוא השיווק.
גילוי נאות: אומניס מאפיינת, מעצבת ובונה מערכות לארגונים, וחלק מהעבודה שלנו היא לבדוק אתרים ומערכות מול דרישות תיקון 13. המדריך הזה הוא מידע כללי, ולא ייעוץ משפטי. החלטה על הארגון שלכם עוברת דרך היועץ המשפטי או הממונה על הגנת הפרטיות.
מה השתנה בתיקון 13, בקצרה
הכנסת אישרה את התיקון ב-5 באוגוסט 2024, והוא פורסם ברשומות ב-14 באוגוסט 2024 עם תחילה שנה מיום הפרסום. מה שנוגע לשיווק:
ההגדרות התרחבו. "אדם הניתן לזיהוי" כולל עכשיו במפורש מי שאפשר לזהות באמצעות "מזהה מקוון". "עיבוד" הוא כל פעולה על מידע אישי, כולל איסוף, אחסון, העתקה, עיון, העברה ומתן גישה. וכל גורם חיצוני שמעבד מידע עבורכם הוא "מחזיק" במאגר.
חובת הרישום צומצמה, החובות האחרות נשארו. בחברה פרטית רוב מאגרי המידע כבר לא צריכים רישום אצל הרשות. הרישום נשאר למי שעיסוקו העיקרי הוא מסירת מידע לאחרים, כולל שירותי דיוור ישיר, כשיש במאגר מידע על יותר מ-10,000 בני אדם, ולגופים ציבוריים בלי קשר לגודל המאגר. מאגר שיש בו מידע בעל רגישות מיוחדת על יותר מ-100,000 איש חייב בהודעה לרשות תוך 30 יום. הרשות כתבה במפורש שפטור מרישום אינו פטור מהחוק: עקרון ההסכמה, חובת היידוע, אבטחת המידע וזכות העיון חלים על המאגר בכל מקרה.
חובת היידוע התרחבה. מי שמבקש מאדם מידע אישי לשמירה במאגר צריך לומר לו אם הוא חייב למסור את המידע או שזה תלוי ברצונו, ומה יקרה אם יסרב. וגם לשם מה המידע, למי יימסר ולאיזו מטרה, מי בעל השליטה במאגר ואיך יוצרים איתו קשר, ושיש לו זכות לעיין במידע ולבקש לתקן אותו.
האכיפה השתנתה. הקנסות המנהליים הישנים בוטלו, ובמקומם יש עיצומים כספיים שמחושבים לפי סוג ההפרה ולפי מספר האנשים במאגר. בית משפט יכול לפסוק פיצוי של עד 10,000 ש"ח בלי הוכחת נזק, למשל על איסוף מידע בלי ההודעה הנדרשת, אם האדם דרש לקבל את ההודעה וחלפו 30 יום. יש גם תקנות שמאפשרות לרשות לתת התראה מנהלית במקום עיצום, אבל רק במקרים שהן מגדירות. תקופת ההתיישנות המקוצרת של שנתיים בוטלה, לגבי עילות שנוצרו אחרי כניסת התיקון לתוקף.
למה זה נוחת דווקא על השיווק
כי בשיווק נמצאים המאגרים הגדולים, ובמודל של הרשות הגודל הוא חלק מהחישוב.
דוגמה, לפי הנוסחה שבמדריך של הרשות: טופס באתר שפונה לקהל לא מסוים ולא כולל את ההודעה שסעיף 11 דורש. העיצום הוא 2.05 ש"ח על כל אדם שיש עליו מידע במאגר, ולא פחות מ-20,470 ש"ח להפרה. אם יש במאגר מידע בעל רגישות מיוחדת, 4.09 ש"ח לאדם ולא פחות מ-40,940. אלה הסכומים אחרי ההצמדה שפורסמה באוקטובר 2026 ותקפה מינואר 2026. במאגר לידים של 200,000 איש בלי מידע רגיש זה 410,000 ש"ח, לפני הפחתות. הדוגמה של הרשות עצמה, מאגר של 500,000 איש עם מידע רגיש, הגיעה ל-2,000,000 ש"ח לפי הסכומים המקוריים.
זה כבר לא תיאורטי. באוגוסט 2026 הטילה הרשות עיצום על חברת קרטינג שהטופס המקוון שלה אסף פרטים אישיים בלי הודעה מלאה לפי סעיף 11. חסרו בין היתר זכות העיון והתיקון, ופרטי בעל השליטה במאגר. העיצום המקורי, לפי הסכום שלפני ההצמדה, היה 20,000 ש"ח, והופחת ל-12,000.
יש תקרה: לבקשת המפר, הרשות מפחיתה עיצום שעולה על 5% ממחזור העסקאות השנתי שלו ל-5%. ויש הפחתות, למשל 30% למי שהפסיק את ההפרה מיוזמתו ודיווח עליה לרשות.
החישוב הזה מראה איך הנוסחה עובדת, הוא לא תחזית. הרשות מחליטה בכל מקרה לגופו.
טפסים: מה כל טופס צריך לומר
ברוב הארגונים יש יותר טפסים ממה שמישהו זוכר. טופס צור קשר, הרשמה לוובינר, הורדת מסמך, דפי נחיתה של קמפיינים שבנתה סוכנות לפני שלוש שנים.
- רשימה של כל הטפסים, כולל דפי נחיתה שיושבים על דומיינים או כלים אחרים
- ליד כל טופס יש הודעה עם כל הפרטים שסעיף 11 דורש: האם המסירה חובה או רשות ומה קורה אם לא ממלאים, לשם מה המידע, למי הוא יימסר ולמה, מי בעל השליטה במאגר ואיך יוצרים איתו קשר, וזכות העיון והתיקון
- ההודעה מדברת על מה שבאמת קורה עם הליד. אם הוא עובר לספק דיוור, למערכת מכירות חיצונית או למפיץ, זה כתוב
- לכל שדה חובה יש סיבה. הרשות מעודדת לשמור רק את המידע הנחוץ, ותקנות אבטחת המידע מחייבות לבדוק פעם בשנה שלא נשמר יותר מהנדרש
- בקשת הסרה מרשימת דיוור מוחקת את האדם בכל המערכות, כולל ייצוא שכבר נשלח לכלי אחר. על סירוב למחוק אדם ממאגר לדיוור ישיר לבקשתו נקבע עיצום של 15,350 ש"ח (אחרי ההצמדה ל-2026)
פיקסלים ותגים: מה רץ באתר בלי שאף אחד שם לב
תג של פייסבוק, גוגל אדס, לינקדאין, כלי הקלטת גלישה, צ'אט. כל אחד מהם נטען בדפדפן של הגולש ושולח משהו החוצה. מזהה מקוון מופיע עכשיו בהגדרה של אדם הניתן לזיהוי, ולכן מזהה של עוגייה או של מכשיר יכול להיות מידע אישי כשאפשר לקשר אותו לאדם.
- רשימה של כל התגים שנטענים באתר, מתוך מנהל התגים ומתוך סריקה של האתר החי. חלק מהתגים הותקנו ישירות בקוד ולא יופיעו במנהל התגים
- לכל תג: מי התקין, לשם מה, ואיזה מידע הוא שולח. חלק מהכלים שולחים גם כתובת מייל או טלפון בגרסה מוצפנת כדי לשפר התאמה, וזה מידע על אדם מזוהה
- כלי הקלטת גלישה לא מקליטים את מה שמוקלד בשדות הטופס
- הכלים שבאתר מופיעים במדיניות הפרטיות. מדיניות שמזכירה רק את גוגל אנליטיקס לא מתארת אתר שמריץ שמונה כלים
- בדיקה מול היועץ המשפטי איך האתר מקבל הסכמה לכלים האלה. בגילוי הדעת הסופי על הסכמה מפברואר 2026, הרשות כתבה שהמשך גלישה אחרי שהוצג מידע ברור ייחשב לרוב הסכמה מכללא, אבל רק כשיש קשר סביר בין איסוף המידע לבין השירות שהאתר נותן. מעבר לבאנר שהתקנתם, השאלה היא אם כל כלי באתר עומד בתנאי הזה
יש גם שאלה שגדולה מהשיווק. בגילוי הדעת הסופי של הרשות מיולי 2026, על חובת מינוי ממונה על הגנת הפרטיות (DPO), היא כותבת ש"ניטור שוטף ושיטתי" רלוונטי במיוחד למעקב אחרי פעילות משתמשים באתרים ובאפליקציות, וליצירת פרופיל של אנשים לצורך פרסום ממוקד. החובה למנות ממונה חלה כשפעולות כאלה הן חלק מהעיסוק העיקרי של הארגון ובהיקף ניכר. אם השיווק שלכם בנוי על פרופילים של משתמשים, זו שאלה לעורך הדין, ועדיף שתעלו אותה אתם לפני שמישהו אחר יעלה אותה.
אותה רשימת תגים משמשת גם לבדוק אם הדוח סופר כסף או כניסות.
CRM: מי ניגש, ובאיזה הסכם
- רשימה של כל מי שיש לו גישה, כולל סוכנויות, יועצים, אינטגרטורים ועובדים שעזבו. משתמש שנשאר פעיל אחרי שהעובד עזב הוא הדבר הראשון שבודקים
- לכל ספק חיצוני שהשירות שלו כולל גישה למאגר יש הסכם שקובע במפורש את חובות האבטחה שלו, כפי שתקנה 15 לתקנות אבטחת המידע דורשת. ההסכם צריך לקבוע איזה מידע הספק רשאי לעבד ולאיזו מטרה, לאילו מערכות הוא ניגש, מה קורה עם המידע בסוף ההתקשרות, ושהספק ידווח פעם בשנה וגם במקרה של אירוע אבטחה
- לפני שמתקשרים עם ספק חדש, מישהו בדק את סיכוני אבטחת המידע של ההתקשרות. גם זה חלק מתקנה 15
- המידע משמש רק למטרה שבשבילה נאסף. החוק אוסר לעבד מידע במאגר שלא למטרה שנקבעה לו כדין, ולכן רשימה שנאספה לניוזלטר לא הופכת מעצמה לקהל לקמפיין אחר
- יש תהליך לבקשות עיון, תיקון ומחיקה, ומישהו אחראי עליו. על אי מתן זכות עיון נקבע עיצום של 15,350 ש"ח
- פעם בשנה מישהו בודק אם יש במאגר מידע שכבר לא צריך, ומוחק אותו
על הפרת חובות הבקרה והפיקוח על ספק חיצוני נקבע עיצום של 81,890 ש"ח במאגר ברמת אבטחה בינונית, ו-327,560 ש"ח ברמה גבוהה (אחרי ההצמדה ל-2026). במאגר של יותר ממיליון אנשים הסכומים מוכפלים.
אם אתם בוחרים עכשיו ספק פיתוח שיקבל גישה ל-CRM, ריכזנו במדריך איך בוחרים בית תוכנה לארגון את השאלות שכדאי לשאול אותו לפני שחותמים.
קבצי ייצוא: המקום שבו מידע יוצא בלי שאף מערכת רושמת את זה
לפי ההגדרה החדשה, העתקה, העברה ומתן גישה הם עיבוד. קובץ אקסל של לידים ששלחתם במייל לסוכנות הוא עיבוד מידע, והסוכנות היא מחזיק במאגר שלכם.
- יודעים לאן יצאו קבצי ייצוא בשנה האחרונה, למי ולמה. אם אין לזה תיעוד, זה הממצא
- קבצים לא נשלחים בוואטסאפ, ולא יושבים בתיקייה משותפת עם קישור פתוח
- בסוף התקשרות עם ספק, הוא מחזיר או מוחק את המידע ומודיע לכם שעשה את זה. ההסכם לפי תקנה 15 צריך לקבוע את זה מראש
- כשהמידע עובר לשרת או לספק מחוץ לישראל, זה מתועד במסמך הגדרות המאגר שתקנות אבטחת המידע דורשות
מאיפה מתחילים
ממיפוי. הרשות ממליצה להתחיל בטבלה פשוטה של כל המאגרים בארגון: איזה מידע יש בכל אחד, מי ניגש אליו ולשם מה. בשיווק הטבלה הזו בנויה מארבע הרשימות שלמעלה: טפסים, תגים, משתמשי CRM וקבצים שיצאו.
הרשימה של התגים היא בדרך כלל הארוכה מכולן, וגם זו שהכי פחות אנשים בארגון מכירים. אם יש לכם זמן לבדיקה אחת השבוע, תתחילו ממנה.
מתי המדריך הזה לא בשבילכם
יש לכם ממונה על הגנת הפרטיות שכבר מיפה את כלי השיווק. המדריך יכול לשמש בדיקה חוזרת, אבל ההחלטות אצלו.
הארגון שלכם הוא גוף ציבורי, או שעיסוקו העיקרי הוא מסירת מידע לאחרים. אצלכם חלות חובת רישום וחובת מינוי ממונה, ואת זה בודקים עם עורך דין.
השיווק שלכם מעבד מידע בעל רגישות מיוחדת, כמו מידע רפואי או פיננסי. הסכומים כפולים, וחלק מהחובות תלויות בגודל המאגר. גם כאן צריך עורך דין לפני רשימה.
אתם מחפשים חוות דעת משפטית. מדריך עבודה לא מחליף אותה.
בדיקה עצמית קצרה
השאלון שלנו לתיקון 13 כולל 13 שאלות קצרות בארבעה תחומים: האתר והממשק, האפליקציה, ה-Backend והתהליכים. בסופו מקבלים תמונת מצב ורשימת התאמות לפי תחום, כך שתדעו מאיזה סעיף ברשימה שלמעלה להתחיל.
המידע במדריך נכון ל-18 באוקטובר 2026 ואינו ייעוץ משפטי. הרשות מפרסמת הנחיות וגילויי דעת על התיקון באופן שוטף, וכדאי לבדוק מה התעדכן לפני שמחליטים.
שאלות נפוצות
מתי נכנס תיקון 13 לחוק הגנת הפרטיות לתוקף?
ב-14 באוגוסט 2025. הכנסת אישרה את התיקון ב-5 באוגוסט 2024, והוא פורסם ברשומות ב-14 באוגוסט 2024 עם תחילה שנה מיום הפרסום.
האם צריך לרשום את מאגר הלידים אצל הרשות להגנת הפרטיות?
ברוב החברות הפרטיות לא. אחרי תיקון 13 חובת הרישום חלה על מי שעיסוקו העיקרי הוא מסירת מידע לאחרים, כשיש במאגר מידע על יותר מ-10,000 בני אדם, ועל גופים ציבוריים בלי קשר לגודל המאגר. מאגר עם מידע בעל רגישות מיוחדת על יותר מ-100,000 איש חייב בהודעה לרשות. פטור מרישום לא פוטר משאר החוק: חובת היידוע, אבטחת המידע וזכות העיון חלות בכל מקרה.
האם פיקסל באתר נחשב איסוף מידע אישי לפי תיקון 13?
הוא יכול להיחשב. אחרי התיקון, אדם הניתן לזיהוי כולל במפורש מי שאפשר לזהות באמצעות מזהה מקוון, ו"עיבוד" כולל כל פעולה על מידע אישי, מאיסוף ועד העברה. האם תג מסוים באתר שלכם אוסף מידע אישי תלוי במה שהוא שולח ולמי, ואת זה בודקים מול היועץ המשפטי.
כמה עולה טופס באתר בלי ההודעה שסעיף 11 דורש?
לפי המדריך של הרשות, טופס שפונה לקהל לא מסוים בלי ההודעה הנדרשת חשוף לעיצום של 2.05 ש"ח על כל אדם במאגר, ולא פחות מ-20,470 ש"ח. אם יש במאגר מידע בעל רגישות מיוחדת, 4.09 ש"ח לאדם ולא פחות מ-40,940. אלה הסכומים המוצמדים ל-2026. לבקשת המפר העיצום מוגבל ל-5% ממחזור העסקאות השנתי, ויש הפחתות שהרשות רשאית לתת. באוגוסט 2026 הוטל עיצום על טופס מקוון כזה, 20,000 ש"ח (לפני ההצמדה), שהופחתו ל-12,000.
מקורות
- הרשות להגנת הפרטיות, מדריך מקצועי לתיקון 13
- הרשות להגנת הפרטיות, רישום מאגרי מידע וחובת ההודעה
- הרשות להגנת הפרטיות, מדריך להתקשרות עם ספקי מיקור חוץ (תקנה 15)
- הרשות להגנת הפרטיות, גילוי דעת בנושא הסכמה (2026)
- הרשות להגנת הפרטיות, עיצום על הפרת חובת היידוע (אוגוסט 2026)
- אומניס, מה חברות ת"א 125 כותבות ליד הטופס באתר: בדיקה מ-19.10.2026
שתפו את הפוסט
Tweetצרו איתנו קשר
