השאלה 'כמה עולה להפר את חוק הגנת הפרטיות?' הפכה מתיאורטית למעשית מאוד. עד לא מזמן, קנסות הגנת הפרטיות בישראל היו נדירים ומוגבלים. תיקון 13 לחוק שינה את התמונה מהיסוד: הוא העניק לרשות להגנת הפרטיות כלים אמיתיים להטיל עיצומים כספיים, והפך את הציות לחוק לשיקול עסקי מהותי. אם העסק שלכם אוסף, מנהל או מעבד מידע אישי — פתרון ציות מסודר לחוק הגנת הפרטיות הוא כבר לא מותרות. במאמר נסביר מה גובה הקנסות, איך נראית האכיפה בפועל, ומי חשוף במיוחד.
מה השתנה עם תיקון 13?
תיקון 13, שנכנס לתוקף ב-14 באוגוסט 2025, הוא הרפורמה המשמעותית ביותר בחוק הגנת הפרטיות מזה עשורים. הוא הרחיב את הגדרת המידע המוגן, חיזק את סמכויות האכיפה של הרשות, והחליף את מוקד האסדרה: רוב הגופים הפרטיים פטורים כיום מחובת הרישום המוקדם של מאגרי מידע, אך במקום זאת הוטלה עליהם אחריות פנימית לניהול ותיעוד המידע. במקביל, נוספה חובה של מינוי ממונה הגנת פרטיות (DPO) לגופים מסוימים, והורחבה האחריות המשפטית על פגיעה בפרטיות. לסקירה מלאה של הדרישות ראו את המדריך המלא לתיקון 13 לבעלי אתרים.
כמה גבוהים הקנסות על הפרת הגנת הפרטיות?
קנסות הגנת הפרטיות לפי תיקון 13 יכולים להגיע לסכומים של מיליוני שקלים, בהתאם לחומרת ההפרה, להיקף המידע ולמספר הנפגעים. החשיפה אינה מסתכמת בקנס המנהלי בלבד — לצדו עומדת חשיפה לתביעות אזרחיות ולצווים מנהליים. הטבלה מסכמת את עיקרי מנגנוני החשיפה:
| מנגנון | מהו | חשיפה כספית |
|---|---|---|
| עיצום כספי מנהלי | קנס שהרשות מטילה ישירות על מפר | עד מיליוני שקלים, לפי חומרה והיקף |
| פיצוי סטטוטורי | תביעה אזרחית של נפגע | עד 100,000 ₪ לאדם, גם ללא הוכחת נזק |
| צווים מנהליים | הוראה לשנות או להפסיק עיבוד מידע | עלות תפעולית + פגיעה תדמיתית |
| אחריות פלילית | במקרים חמורים של פגיעה מכוונת בפרטיות | סנקציות פליליות לפי החוק |
חשוב להדגיש: הסכומים המדויקים נקבעים לפי נסיבות המקרה, והרשות שוקלת שיקולים כמו היקף המידע הרגיש, משך ההפרה והאם נעשתה פעולה לתיקון.
עיצום כספי מול פיצוי אזרחי — מה ההבדל?
ההבדל המרכזי הוא מי מטיל את הסנקציה ולאן מגיע הכסף. עיצום כספי מנהלי הוא קנס שהרשות להגנת הפרטיות מטילה ישירות על העסק, והתשלום עובר למדינה. פיצוי אזרחי, לעומת זאת, נפסק בבית משפט לטובת אדם שנפגע מהפרת פרטיותו — ותיקון 13 מאפשר לתבוע פיצוי סטטוטורי של עד 100,000 ₪ לאדם גם ללא הוכחת נזק ממשי. המשמעות המעשית: אירוע פרטיות יחיד עלול להוביל במקביל גם לעיצום מצד הרשות וגם לגל תביעות אזרחיות, ובמיוחד כשמדובר בדליפה שפגעה במספר רב של אנשים — שם החשיפה המצטברת עלולה להיות דרמטית.
איך נראית האכיפה בפועל ב-2026?
נכון ל-2026, הרשות להגנת הפרטיות מנהלת מעל 100 תיקי אכיפה פעילים (לפי דיווחים מאמצע 2026). האכיפה מתנהלת בשני מסלולים עיקריים: חקירות יזומות שהרשות פותחת בעצמה, ובדיקות בעקבות דיווחים על אירועי אבטחת מידע. משקיפים בתחום מעריכים ש-2026 תהיה שנת קמפייני אכיפה פעילים, בדגש על מגזרי הטכנולוגיה והפיננסים, שבהם עיבוד מידע רגיש בהיקף נרחב הוא הנורמה.
מי חשוף במיוחד לקנסות?
כל גוף שמנהל מידע אישי חשוף עקרונית, אך חלק מהגופים בסיכון גבוה יותר:
- גופים המנהלים מאגרים גדולים (מעל 100,000 אנשים) עם מידע רגיש.
- חברות המעבדות מידע פיננסי, רפואי או ביומטרי.
- ארגונים ללא מסמך הגדרות מאגר ומיפוי מידע מסודר.
- אתרים ללא מדיניות פרטיות מעודכנת או מנגנון הסכמה תקין.
- גופים שלא דיווחו על אירוע אבטחת מידע כנדרש.
איך נערכים ומפחיתים את החשיפה?
הדרך הטובה ביותר להפחית את החשיפה לקנסות היא ציות פרואקטיבי, לא מגיב. הנה צעדים מעשיים:
- הכנת מסמך הגדרות מאגר ומיפוי כל תהליכי עיבוד המידע בארגון.
- עדכון מדיניות פרטיות באתר ווידוא שההסכמה לאיסוף מידע נאספת כדין.
- יישום אמצעי אבטחת מידע לפי תקנות אבטחת המידע.
- בחינת הצורך במינוי ממונה הגנת פרטיות (DPO).
- הטמעת נוהל לדיווח וטיפול באירועי אבטחה.
יישום מסודר של צעדים אלה לא רק מפחית את הסיכון לקנס, אלא גם מחזק את אמון הלקוחות ואת העמידה הכוללת של העסק בדרישות הדין.
שלוש טעויות נפוצות שחושפות עסקים לקנס
רוב החשיפה לקנסות נובעת לא מהפרות מכוונות, אלא ממחדלים שגרתיים שקל למנוע. אלה שלוש הנפוצות שבהן:
- התעלמות ממסמך הגדרות מאגר — עסקים רבים אוספים מידע אישי בלי למפות אילו נתונים הם מחזיקים, היכן ולאיזו מטרה. היעדר תיעוד מסודר הוא מהדגלים האדומים הראשונים בביקורת של הרשות.
- מדיניות פרטיות מיושנת או גנרית — טקסט שהועתק מאתר אחר ואינו משקף את האיסוף בפועל אינו מספק הגנה, ולעיתים אף מחמיר את החשיפה.
- טיפול לקוי באירועי אבטחה — היעדר נוהל דיווח פנימי גורם לעסקים לאחר בדיווח לרשות או להימנע ממנו, ומגדיל את חומרת האכיפה.
- תיקון 13 בתוקף מ-14 באוגוסט 2025, והרשות להגנת הפרטיות מנהלת כבר מעל 100 תיקי אכיפה.
- החשיפה כפולה: עיצום מנהלי שעשוי להגיע למיליוני שקלים לצד פיצוי אזרחי של עד 100,000 ₪ לאדם, גם ללא הוכחת נזק.
- הבסיס להגנה: מסמך הגדרות מאגר, מדיניות פרטיות מעודכנת, אבטחת מידע נאותה ונוהל דיווח על אירועים.
שאלות ותשובות
מתי נכנס תיקון 13 לתוקף?
תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025, ומאז הרשות להגנת הפרטיות מפעילה את סמכויות האכיפה החדשות.
מה הקנס המקסימלי על הפרת חוק הגנת הפרטיות?
הרשות רשאית להטיל עיצומים כספיים מנהליים שיכולים להגיע למיליוני שקלים, לצד פיצוי אזרחי של עד 100,000 ₪ לאדם ללא הוכחת נזק. הסכום בפועל תלוי בחומרת ההפרה ובהיקף המידע.
האם עדיין צריך לרשום מאגר מידע?
רוב הגופים הפרטיים פטורים כיום מרישום מוקדם של מאגר, אך חייבים לנהל מסמך הגדרות מאגר ולעדכן את הרשות על מאגרים גדולים עם מידע רגיש.
מי חייב למנות ממונה הגנת פרטיות?
חובת מינוי ממונה הגנת פרטיות חלה על גופים מסוימים לפי אופי והיקף עיבוד המידע, וביניהם גופים ציבוריים וגופים שעיסוקם עיבוד מידע רגיש בהיקף נרחב.
מה עושים אחרי דליפת מידע?
יש לתעד, לבלום ולטפל באירוע, ובמקרים מסוימים אף לדווח לרשות להגנת הפרטיות. אי-דיווח במצב שמחייב דיווח מגדיל את החשיפה לאכיפה.
המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
