התראה מינהלית מהרשות להגנת הפרטיות: מתי מקבלים אותה ומה עושים

נקודות עיקריות

• ההתראה ניתנת במקום עיצום כספי מכוח סעיף 23לו לחוק הגנת הפרטיות, ורק בנסיבות ששר המשפטים קבע בתקנות.
• התקנות מונות ארבע נסיבות: הפרת הוראה חדשה בשלושת חודשיה הראשונים, הפרה ראשונה של שמונה חובות אבטחה, הפרה לפני הודעה על החמרת מדיניות האכיפה, והפרה של הוראה שהרשות הכריזה שאינה ברורה.
• אפשר לבקש מראש הרשות לבטל את ההתראה בכתב בתוך 45 ימים — רק בטענה שההפרה לא בוצעה או שהמעשה אינו הפרה.
• המשך ההפרה אחרי ההתראה נחשב הפרה נמשכת, וחזרה עליה בתוך שנתיים נחשבת הפרה חוזרת — ובשני המקרים העיצום גדל.
• מתן ההתראה נתון לשיקול דעת: ראש הרשות רשאי, לא חייב. במקרים חמורים הרשות מטילה עיצום ישירות.

תוכן עניינים

• מהי התראה מינהלית ובמה היא שונה מעיצום כספי?
• באילו נסיבות אפשר לקבל התראה במקום קנס?
• אילו חובות אבטחת מידע נכללות ב״הפרה ראשונה״?
• מה כתוב בהתראה ומה קורה אם ממשיכים להפר?
• האם אפשר לבקש לבטל התראה מינהלית?
• מה עושים בפועל כשמגיעה התראה?
• מה מלמד העיצום הראשון שהוטל אחרי תיקון 13?
• שאלות ותשובות

התראה מינהלית הגנת הפרטיות היא הודעה רשמית של ראש הרשות להגנת הפרטיות למי שיש יסוד סביר להניח שהפר הוראה מהוראות החוק, שבה מפורטת ההפרה ונדרשת הפסקתה, בלי להטיל באותו שלב סנקציה כספית. הכלי נולד בתיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף ב-14 באוגוסט 2025 והעניק לרשות סמכויות אכיפה מינהליות רחבות, אך הוא הפך למעשי רק כששר המשפטים קבע באפריל 2026 את הנסיבות שבהן מותר להשתמש בו. מי שרוצה להבין את התמונה המלאה של הסנקציות כדאי שיקרא גם את הסקירה על גובה הקנסות לפי תיקון 13, כי ההתראה היא בדיוק החלופה להם.

מהי התראה מינהלית ובמה היא שונה מעיצום כספי?

עיצום כספי הוא סנקציה: דרישת תשלום על הפרה שכבר בוצעה. התראה מינהלית היא אזהרה פורמלית: היא מתעדת את ההפרה, דורשת להפסיק אותה ומבהירה מה יקרה אם לא — אבל אינה גובה כסף. לפי סעיף 23לו(א) לחוק, ראש הרשות רשאי למסור התראה במקום להטיל עיצום רק כשמתקיימים שני תנאים: יש לו יסוד סביר להניח שאדם הפר הוראה שבשלה ניתן להטיל עיצום, והתקיימו נסיבות ששר המשפטים קבע.

ההבדל המעשי גדול. עיצום נרשם כסנקציה שהוטלה, ועלול להיות מפורסם. התראה היא הזדמנות לתקן בלי לשלם — אבל היא גם יוצרת "נקודת התחלה" רשמית: מהרגע שנמסרה, הרשות יודעת על ההפרה, והעסק כבר לא יכול לטעון שלא ידע. לכן נכון להתייחס להתראה כאל דדליין לתיקון, לא כאל מחילה.

באילו נסיבות אפשר לקבל התראה במקום קנס?

תקנה 2 לתקנות ההתראה המינהלית מונה ארבע נסיבות, ודי שאחת מהן מתקיימת כדי שראש הרשות יוכל לבחור בהתראה. גם כשנסיבה מתקיימת, זו סמכות ולא זכות של העסק — הרשות יכולה עדיין להטיל עיצום אם היא סבורה שהמקרה מצדיק זאת.

1. הוראה חדשה בשלושת חודשיה הראשונים. הפרה של הוראה שנכנסה לתוקף ביום תחילת התקנות או אחריו, שבוצעה בשלושת החודשים הראשונים מתחילתה — בתנאי שהמפר לא קיבל כבר התראה על אותה הוראה באותה תקופה.
2. הפרה ראשונה של שמונה חובות אבטחה מוגדרות. חובות מתוך התוספת השלישית לחוק, שמפורטות בסעיף הבא.
3. החמרה במדיניות האכיפה. כשראש הרשות מפרסם הודעה לציבור שהוא מתחיל לאכוף עניין שקודם לא נאכף, הפרה שבוצעה לפני ההודעה או בתקופת ההיערכות — עד שלושה חודשים, ובהארכה עד שישה — יכולה להסתיים בהתראה.
4. הוראה לא ברורה. כשהרשות מודה בהודעה לציבור שיש חוסר בהירות בהוראה ומפרסמת את פרשנותה, הפרות מלפני ההודעה ובתקופת ההיערכות יכולות לקבל התראה.

לנסיבות 3 ו-4 יש משמעות מעשית: כדאי לעקוב אחר ההודעות לציבור שהרשות מפרסמת באתר שלה. הודעה כזו פותחת שעון היערכות, ומי שמנצל אותו לתיקון נמצא בעמדה טובה בהרבה ממי שמגלה אותה אחרי שהתקופה נגמרה. הרשות מקיימת גם פיקוחי רוחב על מגזרים שלמים, ושם בדיוק צצים ליקויים מהסוג הזה.

אילו חובות אבטחת מידע נכללות ב״הפרה ראשונה״?

הנסיבה השנייה חלה רק על הפרה ראשונה של שמונה פרטים מתוך התוספת השלישית לחוק, שכולם חובות "תשתיתיות" של ניהול מאגר ולא אירועי דליפה. לפי תקנה 2(2) אלה הם:

• הכנת מסמך הגדרות המאגר — רק במאגר המנוהל בידי יחיד או במאגר ברמת אבטחה בסיסית.
• עדכון מסמך הגדרות המאגר — באותם שני סוגי מאגרים.
• ביטול גישה לבעל הרשאה שסיים את תפקידו — יישום נוהל הרשאות הגישה.
• עדכון מערכות המאגר — בידי בעל שליטה במאגר המנוהל בידי יחיד או מחזיק של מאגר כזה.
• אבטחת חיבור ברשת.
• גיבוי נתוני התיעוד.
• חובות תיעוד.
• הפרדת מערכות המאגר (מידור).

שימו לב למה שלא נמצא ברשימה: דיווח על אירוע אבטחה חמור, שימוש במידע שלא למטרתו, או הפרת חובת היידוע. אלה אינם נכללים בנסיבה של "הפרה ראשונה", ולכן שם אין לצפות לכרית ביטחון. חלק מהחובות ברשימה תלויות ברמת האבטחה של המאגר, ולכן הצעד הראשון הוא לדעת איזו רמת אבטחה חלה על המאגר שלכם. חובת ביטול ההרשאות לעובד שעזב, למשל, מפורטת במדריך על סיסמאות ואימות גישה למאגר.

מה כתוב בהתראה ומה קורה אם ממשיכים להפר?

לפי סעיף 23לו(ב), ההתראה חייבת לפרט את המעשה שמהווה הפרה, את נסיבותיו ומועדו, לדרוש להפסיק אותו, להזהיר מעיצום בשל הפרה נמשכת או חוזרת, להסביר איך יחושב העיצום ולציין את הזכות לבקש ביטול. כלומר, ההתראה עצמה היא מסמך עבודה: היא אומרת בדיוק מה צריך לתקן.

סעיף 23לח קובע את ההמשך. אם המפר ממשיך להפר את אותה הוראה, רואים בכך הפרה נמשכת, ולפי סעיף 23ל(א) נוסף לעיצום הקבוע חלק המאה ממנו לכל יום שבו ההפרה נמשכת. אם המפר חוזר על ההפרה בתוך שנתיים ממסירת ההתראה, רואים בכך הפרה חוזרת, ולפי סעיף 23ל(ב) נוסף לעיצום סכום השווה לו — כלומר העיצום מוכפל. בשני המקרים ראש הרשות מוסר הודעה על כוונת חיוב לפי הנוהל הרגיל.

האם אפשר לבקש לבטל התראה מינהלית?

כן. סעיף 23לז מאפשר לפנות לראש הרשות בכתב בתוך 45 ימים בבקשה לבטל את ההתראה, אבל רק משני טעמים: שהמפר לא ביצע את ההפרה, או שהמעשה המתואר בהתראה אינו הפרה. ראש הרשות רשאי להאריך את המועד מטעמים מיוחדים שיירשמו, וההחלטה שלו ניתנת בכתב ובצירוף נימוקים.

המשמעות: בקשה לביטול אינה המקום לטעון "זה לא חמור" או "כבר תיקנו". אלה טיעונים לגיטימיים, אבל הם לא עילה לביטול. אם ההפרה אכן התקיימה, האסטרטגיה הנכונה היא בדרך כלל לתקן מהר ולתעד את התיקון, ולא להיאבק על ההתראה עצמה.

מה עושים בפועל כשמגיעה התראה?

הסדר הנכון: לרשום את המועד, להבין בדיוק מה נטען, להפסיק את ההפרה, ורק אז להחליט אם יש בסיס לבקשת ביטול.

1. רשמו את תאריך המסירה — ממנו נספרים 45 הימים לבקשת ביטול ושנתיים לעניין הפרה חוזרת.
2. מפו את ההפרה — איזו הוראה, איזה מאגר, אילו מערכות ומי אחראי.
3. הפסיקו את ההפרה מיד — כל יום של המשך עלול להיחשב הפרה נמשכת.
4. תעדו את התיקון — מסמך, צילומי מסך, יומני מערכת ותאריכים.
5. בחנו עילה לביטול — רק אם ההפרה לא בוצעה או שהמעשה אינו הפרה, והגישו בכתב בתוך 45 ימים.
6. דווחו להנהלה — ההתראה היא סיכון ארגוני, ואחריות ההנהלה בהגנת הפרטיות כוללת פיקוח על התיקון.
7. בדקו הפרות דומות — אם מסמך הגדרות מאגר אחד חסר, סביר שגם אחרים חסרים.

מה מלמד העיצום הראשון שהוטל אחרי תיקון 13?

ביולי 2026 הטילה הרשות להגנת הפרטיות עיצום כספי של 256,000 ש״ח על קופת חולים מאוחדת — העיצום הראשון מסוגו מאז כניסת תיקון 13 לתוקף — בשל אי-עמידה בחובת הדיווח המיידי על אירוע אבטחה חמור. לפי הפרסום, תקלה במערכת דיגיטלית אפשרה למבוטחים לצפות במידע רפואי רגיש של קרובי משפחה; הקופה ידעה על האירוע בנובמבר 2025 ודיווחה לרשות רק בינואר 2026.

המקרה מבהיר את גבולות ההתראה המינהלית. חובת הדיווח על אירוע חמור אינה ברשימת שמונה החובות שבהן הפרה ראשונה יכולה להסתיים בהתראה, ולכן הרשות הלכה ישירות לעיצום. הלקח לעסקים: ההקלה מיועדת לליקויי תשתית ותיעוד, לא להסתרה או לעיכוב בדיווח. מי שמתלבט מתי אירוע מחייב דיווח לרשות צריך לפתור את השאלה לפני שהאירוע קורה. ולמי שעוד לא עשה סדר בחובות הבסיסיות, המדריך המלא לתיקון 13 הוא נקודת פתיחה טובה.

שאלות ותשובות

האם התראה מינהלית מתפרסמת לציבור?

החוק מתייחס לפרסום בעיקר בהקשר של עיצומים כספיים. התראה היא חלופה לעיצום, אבל כדאי לבדוק מול יועץ את מדיניות הפרסום העדכנית של הרשות ולא להניח שהיא תישאר חסויה.

האם כל עסק זכאי להתראה לפני קנס?

לא. ראש הרשות רשאי לתת התראה רק כשמתקיימת אחת מארבע הנסיבות שבתקנות, וגם אז זו סמכות שבשיקול דעת ולא זכות של העסק.

כמה זמן יש לבקש ביטול של התראה מינהלית?

45 ימים ממסירת ההתראה, בכתב. ראש הרשות רשאי להאריך את המועד מטעמים מיוחדים שיירשמו.

מה נחשב הפרה חוזרת אחרי התראה?

הפרה של אותה הוראה בתוך שנתיים מיום מסירת ההתראה. במקרה כזה נוסף לעיצום הקבוע סכום השווה לו.

האם דיווח מאוחר על אירוע אבטחה יכול להסתיים בהתראה?

חובת הדיווח על אירוע אבטחה חמור אינה ברשימת החובות שבהן הפרה ראשונה מזכה בהתראה, וזה בדיוק המקרה שבו הוטל העיצום הראשון על קופת חולים מאוחדת.

לקריאה נוספת ומקורות

• תקנות הגנת הפרטיות (התראה מינהלית), התשפ״ו-2026 — נוסח מלא
• חוק הגנת הפרטיות, התשמ״א-1981 — סעיפים 23ל, 23לו-23לח
• הרשות להגנת הפרטיות — אתר הרשות
• דיווח על העיצום הכספי שהוטל על קופת חולים מאוחדת (law.co.il, יולי 2026)

המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.