תיקון 13 לחוק הגנת הפרטיות הוא השינוי המשמעותי ביותר בדיני הפרטיות בישראל בעשור האחרון. אם יש לכם אתר שאוסף מידע — וזה כמעט כל אתר — המדריך הזה יסביר בדיוק מה צריך לעשות.
מה זה תיקון 13?
תיקון 13 מרחיב את סמכויות האכיפה של הרשות להגנת הפרטיות ומעניק לה כלים להטיל עיצומים כספיים משמעותיים על גופים שאינם עומדים בדרישות החוק. בפועל, החוק מחיל על כל מי שאוסף ומעבד מידע אישי — מטופס יצירת קשר פשוט ועד מערכת סחר מלאה.
על מי החוק חל?
התשובה הקצרה: על כמעט כולם. כל אתר שמפעיל גוגל אנליטיקס, פיקסל של פייסבוק, או שאוסף פרטים דרך טופס — מעבד מידע אישי. גודל העסק לא פוטר מאחריות: גם עסק קטן ואתר תדמית חייבים לעמוד בדרישות.
מה אתם חייבים לעשות עכשיו
1. באנר הסכמה לעוגיות
הגולש חייב לדעת איזה עוגיות פועלות באתר ולתת הסכמה מפורשת — לפני שעוגיות מעקב נטענות. באנר שרק “מודיע” על עוגיות אינו מספיק.
2. מדיניות פרטיות ברורה
דף מדיניות פרטיות שמסביר איזה מידע נאסף, למה, ואיך פונים כדי לממש זכויות. המסמך חייב להיות נגיש ומעודכן.
3. חסימת סקריפטים בפועל
זה החלק שרוב האתרים מפספסים: סקריפטי מעקב חייבים לא לפעול עד שהגולש מאשר. באנר שמציג הסכמה אבל ממשיך לטעון את הסקריפטים ברקע — לא עומד בדרישה.
4. תיעוד הסכמות
כדאי לשמור תיעוד של כל הסכמה — מתי, למה, ובאיזו גרסה. זו “הוכחת ההסכמה” שתעמוד לצדכם אם תגיע תלונה.
טעויות נפוצות
- התקנת באנר “למראה” שלא באמת חוסם סקריפטים.
- העתקת מדיניות פרטיות מאתר אחר בלי התאמה.
- התעלמות מטפסי יצירת קשר שאוספים פרטים אישיים בלי הסכמה.
איך Privorify עוזר
Privorify מרכז את כל הדרישות בתוסף וורדפרס אחד: באנר הסכמה מעוצב, מסמכים משפטיים בעברית שמתעדכנים אוטומטית, חסימת סקריפטים אמיתית ותיעוד הסכמות. אפשר לראות את כל הפיצ׳רים או לעבור ישירות לחבילות.
סיכום
תיקון 13 אינו גזירה — הוא סטנדרט שאפשר לעמוד בו בקלות עם הכלים הנכונים. הצעד הראשון — לבדוק אילו עוגיות וסקריפטים פועלים אצלכם היום. משם הדרך קצרה.
שאלות נפוצות על תיקון 13 לבעלי אתרים
מתי נכנס תיקון 13 לתוקף?
תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025. ממועד זה לרשות להגנת הפרטיות סמכויות אכיפה מורחבות, ובהן הטלת עיצומים כספיים מנהליים.
האם כל אתר חייב לרשום מאגר מידע?
לא. תיקון 13 ביטל את חובת הרישום הגורפת עבור רוב הגופים במשק, והחליף אותה במדרג של רישום וחובת הודעה, לפי סוג הגוף והיקף המידע הרגיש. פירוט מלא במאמר על רישום מאגר מידע אחרי תיקון 13.
מה חייב להופיע במדיניות הפרטיות של האתר?
מדיניות הפרטיות צריכה לפרט איזה מידע נאסף, לשם מה הוא משמש, למי הוא מועבר, כמה זמן הוא נשמר ואילו זכויות עומדות לגולש. ראו מדיניות פרטיות לאתר אחרי תיקון 13.
מה הקנס המרבי על הפרת תיקון 13?
גובה העיצום הכספי נגזר מסוג ההפרה, מהיקף המידע וממחזור העסק ועשוי להגיע למיליוני שקלים, לצד חשיפה לתביעות אזרחיות. פירוט במאמר קנסות הגנת הפרטיות.
האם עסק קטן חייב למנות ממונה על הגנת הפרטיות?
חובת המינוי חלה על גופים מוגדרים בלבד, בהם גופים ציבוריים, סוחרי מידע וגופים המעבדים מידע רגיש בהיקף נרחב. ראו ממונה על הגנת הפרטיות: מי חייב למנות.
מה השתנה בפועל: לפני תיקון 13 מול אחריו
| נושא | לפני תיקון 13 | אחרי תיקון 13 (מ-14.8.2025) |
|---|---|---|
| חובת רישום מאגר מידע | רישום גורף של מאגרים בהיקף רחב | מדרג: רישום לגופים מוגדרים, חובת הודעה לאחרים |
| סמכויות אכיפה של הרשות | אכיפה פלילית מוגבלת, שימוש נדיר בפועל | עיצומים כספיים מנהליים וסמכויות פיקוח מורחבות |
| ממונה על הגנת הפרטיות | אין חובת מינוי כללית | חובת מינוי לגופים ציבוריים, סוחרי מידע ומעבדי מידע רגיש בהיקף נרחב |
| הגדרת המידע הרגיש | "מידע רגיש" בהגדרה מצומצמת | "מידע בעל רגישות מיוחדת" בהגדרה מורחבת |
| אירוע אבטחת מידע | דיווח לפי תקנות אבטחת מידע | חובת דיווח לרשות וסמכותה להורות על יידוע נושאי המידע |
השלבים שבאים אחרי ההיערכות הראשונית
- חובת יידוע לפי סעיף 11: מה חייבים לומר ללקוח לפני איסוף מידע — מה צריך להופיע בפועל ליד כל טופס איסוף מידע באתר.
- מיקור חוץ ומאגרי מידע: מה נדרש לפני שנותנים לספק גישה — כל ספק חיצוני שנוגע במידע הוא חשיפה שצריך להסדיר בחוזה.
- פיקוח רוחב של הרשות להגנת הפרטיות: מה בודקים ואיך נערכים — איך נראית בדיקה של הרשות בפועל ומה מבקשים לראות.
כל המדריכים באתר, לפי נושא
תיקון 13 לא נעצר בעמוד אחד. ריכזנו כאן את כל המדריכים באתר לפי תחום, כדי שתוכלו לרדת לרזולוציה של החובה הספציפית שרלוונטית לעסק שלכם.
רגולציה ואכיפה
- דיוור ישיר אחרי תיקון 13: מה מותר ומה אסור ברשימות תפוצה — מה מותר ומה אסור ברשימות תפוצה ובדיוור ישיר אחרי התיקון.
- העברת מידע אישי לחו״ל: מה מותר להעביר ובאילו תנאים — באילו תנאים מותר להעביר מידע אישי לספק או לשרת מחוץ לישראל.
אבטחת מידע
- אירוע אבטחת מידע: מתי מדווחים לרשות ומה עושים קודם — מתי קמה חובת הדיווח לרשות ומה עושים בשעות הראשונות.
- תקנות אבטחת מידע: איך קובעים את רמת האבטחה של המאגר — איך קובעים אם המאגר ברמת אבטחה בסיסית, בינונית או גבוהה.
- פישינג מבוסס בינה מלאכותית: איך מגנים על מאגר המידע — איך מתקפות פישינג מבוססות AI עוקפות הדרכות עובדים ומה עוצר אותן.
- סקר סיכונים ומבדק חדירות: מי חייב לבצע וכל כמה זמן — מי חייב בסקר סיכונים ובמבדק חדירות, וכל כמה זמן.
בינה מלאכותית ופרטיות
- בינה מלאכותית והגנת הפרטיות: מה החוק דורש מעסקים — מה החוק דורש כשמכניסים מודל AI לתהליך שנוגע במידע אישי.
מדריכים מעשיים
- הגנת הפרטיות בעמותות: מה נדרש מהמגזר השלישי — מה נדרש מעמותות ומהמגזר השלישי, שמנהלים מידע רגיש עם מעט משאבים.
- זכות עיון במידע אישי: איך מטפלים בפניות של לקוחות ועובדים — איך מטפלים בפניית לקוח או עובד לעיון במידע שנשמר עליו.
- מעקב אחר עובדים: מה מותר למעסיק לנטר ומה אסור — מה מותר למעסיק לנטר במחשב, בדוא״ל ובטלפון של העובד.
- קוקיז ופיקסלים באתר: מתי נדרשת הסכמה ומה החשיפה — מתי קוקי או פיקסל שיווקי מחייב הסכמה מפורשת של הגולש.
מפת דרכים ליישום תיקון 13 באתר — 30 הימים הראשונים
רוב בעלי האתרים שמגיעים אלינו יודעים שהחוק השתנה, אבל לא יודעים מאיפה מתחילים. הסדר שלמטה הוא הסדר שאנחנו ממליצים עליו בפועל: קודם להבין מה יש לכם ביד, אחר כך לסגור את החשיפות המשפטיות הגלויות, ורק בסוף להשקיע בשכבות אבטחה עמוקות. הפוך מזה — והכסף הולך למקום הלא נכון.
שבוע 1 — מיפוי: מה בכלל נאסף אצלכם
הכינו טבלה אחת פשוטה: איזה מידע האתר אוסף (טפסי יצירת קשר, הרשמה לדיוור, סליקה, צ׳אט), איפה הוא נשמר, מי ניגש אליו ולכמה זמן. ברוב האתרים הקטנים המיפוי הזה לוקח שעתיים וחושף שניים-שלושה מקומות שאיש לא זכר שקיימים — טופס ישן שממשיך לשלוח לאימייל פרטי, או תוסף שמייצא לידים לשירות חיצוני. בלי המיפוי הזה כל שאר השלבים הם ניחוש.
שבוע 2 — החובות הגלויות: יידוע, מדיניות והסכמה
אלה החובות שגולש, לקוח או מפקח רואים מיד: הודעת היידוע ליד כל טופס איסוף, מדיניות פרטיות שמשקפת את המיפוי שעשיתם בפועל ולא נוסח מועתק, ומנגנון הסכמה אמיתי לקוקיז שיווקיים. זה גם החלק הזול ביותר לתיקון והיקר ביותר להזנחה, כי הוא הדבר הראשון שנבדק בפיקוח והדבר הראשון שגולש מתלונן עליו.
שבוע 3 — מעמד המאגר וחובות הרישום
עכשיו אפשר לענות על השאלה שכולם שואלים ראשונה, ובצדק רק בשלב הזה: האם אתם חייבים ברישום מאגר, בהודעה בלבד, או בכלום. התשובה נגזרת מסוג המידע ומהיקף שלו — בדיוק מה שמיפיתם בשבוע הראשון. ראו רישום מאגר מידע אחרי תיקון 13, ובמקביל בדקו אם קמה לכם חובת מינוי לפי ממונה על הגנת הפרטיות.
שבוע 4 — רמת האבטחה והרשאות הגישה
השלב האחרון הוא הטכני: לקבוע לאיזו רמת אבטחה המאגר שלכם משתייך ולהתאים את האמצעים בהתאם, לפי תקנות אבטחת מידע. במקביל עברו על הרשאות הגישה למאגר וצמצמו אותן למי שבאמת צריך — חלק ניכר מדליפות המידע בעסקים קטנים לא מגיעות מהאקר חיצוני אלא מחשבון שנשאר פתוח לעובד שעזב.
שורה תחתונה: ארבעה שבועות של עבודה מסודרת מביאים רוב אתרי העסקים לעמידה סבירה. מה שמסוכן זה לדלג על המיפוי ולקנות פתרונות לבעיות שלא בדקתם אם יש לכם.
מקורות רשמיים
החובות והמועדים שבמדריך זה מבוססים על המקורות הראשוניים הבאים:
- הרשות להגנת הפרטיות — האתר הרשמי (gov.il)
- שאלות ותשובות רשמיות על תיקון 13 — הרשות להגנת הפרטיות
- תיקון 13 לחוק הגנת הפרטיות — עמוד הרגולציה הרשמי
- חוק הגנת הפרטיות (תיקון מס׳ 13), התשפ״ד-2024 — מאגר החקיקה הלאומי, הכנסת
תיקון 13 נכנס לתוקף ב-14 באוגוסט 2025. לפני קבלת החלטות ציות מומלץ לאמת מול פרסומי הרשות העדכניים.
מדריכים שנוספו לאחרונה לאתר
המדריכים הבאים נוספו לאחר פרסום המדריך המרכזי, ומרחיבים אותו לרזולוציה של חובות ספציפיות וענפים מסוימים.
רגולציה ואכיפה
- הגנת הפרטיות ברשויות מקומיות: מה תיקון 13 שינה ואיך נערכים — מה תיקון 13 שינה ברשויות מקומיות ואיך נערכים לאכיפה.
- מידע בעל רגישות מיוחדת: מה נכנס להגדרה החדשה ומה זה מחייב — מה נכנס להגדרת מידע בעל רגישות מיוחדת ואילו חובות זה מחיל.
אבטחת מידע
- מצלמות אבטחה ופרטיות: מה מותר לצלם ומה חובה להסדיר — מה מותר לצלם במצלמות אבטחה ומה חובה להסדיר מול הרשות.
- מתקפת כופרה בעסק: מה עושים ב-72 השעות הראשונות — מה עושים ב-72 השעות הראשונות של מתקפת כופרה בעסק.
- גיבוי ושחזור מידע: מה תקנות אבטחת המידע דורשות בפועל — מה תקנות אבטחת המידע דורשות בפועל בגיבוי ובשחזור.
בינה מלאכותית ופרטיות
- צ'אטבוט AI באתר: איזה מידע מותר לאסוף מלקוחות ואיך מגנים עליו — איזה מידע מותר לצ׳אטבוט AI לאסוף מלקוחות ואיך מגנים עליו.
מדריכים מעשיים
- פרטיות ילדים במוסדות חינוך וצהרונים: מה נדרש מהמפעילים — מה נדרש ממפעילי מוסדות חינוך וצהרונים בפרטיות ילדים.
- כמה זמן שומרים מידע אישי? מדיניות שמירה ומחיקה בעסק — כמה זמן מותר לשמור מידע אישי ואיך בונים מדיניות מחיקה.
- פרטיות מועמדים בגיוס: מה מותר לאסוף בתהליך המיון — מה מותר לאסוף על מועמדים בתהליך המיון ומה אסור.
- הסכמה מדעת לעיבוד מידע אישי: איך מנסחים ומתעדים אותה — איך מנסחים ומתעדים הסכמה מדעת שעומדת בדרישות החוק.
- הגנת הפרטיות במשרדי רואי חשבון ועורכי דין: מה נדרש בפועל — מה נדרש בפועל ממשרדי רואי חשבון ועורכי דין.
עוד מדריכים שנוספו לאתר
השלמה למודולי המדריכים שלמעלה: מדריכים שנוספו מאז העדכון האחרון או שלא היו מקושרים מכאן עד כה.
רגולציה ואכיפה
- אחריות הנהלה ודירקטוריון בהגנת הפרטיות: מה השתנה בתיקון 13 — מה תיקון 13 שינה לדרג הניהולי, למה מינוי ממונה לא מספיק ואיך מתעדים פיקוח.
אבטחת מידע
- הצהרת אבטחת מידע: מה זה, מי צריך אותה ומה חייב להופיע בה — ההבדל בין מסמך הגדרות מאגר להצהרת ספק, ומה חייב להופיע בה.
בינה מלאכותית ופרטיות
- נוהל שימוש בכלי AI בארגון: איך מונעים דליפת מידע דרך צ״טים — מה מותר לעובדים להזין לכלי AI ואיך מונעים דליפת מידע דרך צ׳אטים.
מדריכים לפי ענף
- הגנת הפרטיות בחנות אונליין: מה נדרש מעסקי מסחר אלקטרוני — חובת יידוע בקופה, פיקסלים וקוקיז ואבטחת פרטי לקוחות.
- אבטחת מידע רפואי במרפאות ובקליניקות: מה נדרש בפועל — העברת מידע רפואי בערוצים דיגיטליים, רפואה מרחוק והתממה.
מדריכים חדשים באתר (ספטמבר 2026)
- הצפנת מידע אישי בעסק: מתי זו חובה ואיך בוחרים מה להצפין
- טכנולוגיות משפרות פרטיות (PETs) במערכות AI: מה הרשות ממליצה ליישם
- תסקיר השפעה על הפרטיות (DPIA): האם זו חובה בישראל ואיך מבצעים
- בדיקת ציות לתיקון 13: צ׳קליסט מעשי לעסק ב-10 צעדים
- פרטיות באפליקציות מובייל: מה נדרש ממפתחים ועסקים בישראל
- אנונימיזציה של מידע אישי: מתי מידע באמת מפסיק להיות אישי
המדריכים החדשים באשכול
- בדיקת ציות לתיקון 13: צ׳קליסט מעשי לעסק ב-10 צעדים — צ׳קליסט היישום המעשי — נקודת ההתחלה אחרי קריאת המדריך הזה.
- תסקיר השפעה על הפרטיות (DPIA): האם זו חובה בישראל ואיך מבצעים — מתי היערכות לתיקון 13 מחייבת תסקיר השפעה מסודר.
- הצפנת מידע אישי בעסק: מתי זו חובה ואיך בוחרים מה להצפין — האמצעי הטכני שהתקנות חוזרות אליו הכי הרבה.
- הסכם עיבוד מידע (DPA) עם ספק: מה חייב להיכלל בו — כל ספק שנוגע במידע האישי שלכם דורש הסכם כתוב.
- טכנולוגיות משפרות פרטיות (PETs) במערכות AI: מה הרשות ממליצה ליישם — מה הרשות ממליצה להפעיל כשמערכות AI נוגעות במידע אישי.
- פרטיות באפליקציות מובייל: מה נדרש ממפתחים ועסקים בישראל — החובות הספציפיות שחלות על אפליקציה לעומת אתר.
- חוק ה-AI האירופי נכנס לתוקף: מה זה אומר לעסקים ישראליים — הרגולציה האירופית שמשפיעה על עסקים ישראליים שמוכרים לאירופה.
מדריכים חדשים באתר — ספטמבר 2026
- מיפוי מאגרי מידע בארגון: הצעד הראשון לעמידה בתיקון 13
- הדרכת עובדים באבטחת מידע: מה התקנות דורשות וכל כמה זמן
- עבודה מהבית והתקנים ניידים: איך שומרים על מידע אישי מחוץ למשרד
- תובענה ייצוגית בגלל דליפת מידע: מה החשיפה האזרחית של העסק
- שעון נוכחות ביומטרי בעבודה: מה מותר למעסיק לדרוש
מדריכים חדשים
- רגולציית בינה מלאכותית בישראל: מה כבר מחייב עסקים היום
- מכירת עסק והעברת מאגר לקוחות: מה מותר להעביר לרוכש
מדריכים חדשים: אבטחת גישה למאגר
מדריכים חדשים: אכיפה
מדריכים חדשים: בינה מלאכותית
להמשך קריאה
מדריכים חדשים: אוקטובר 2026
- אבטחת מידע לעצמאים: מה חל על מאגר מידע שמנוהל בידי יחיד
- הגנת הפרטיות בבחירות לכנסת ה-26: מה חל על מפלגות ועל ספקי הקמפיין
מדריכים חדשים: סייבר
להמשך קריאה
מדריכים חדשים שהתווספו לאתר:
- כריית מידע (Scraping) לאימון AI: מתי מותר לאסוף מידע גלוי ברשת
- בקשה לתיקון מידע אישי: איך עסק מטפל בה לפי סעיף 14
- מועדון לקוחות והגנת הפרטיות: מה מותר לעשות עם נתוני החברים
להמשך קריאה
מדריך חדש שהתווסף לאתר:
להמשך קריאה
להמשך קריאה
מדריכים חדשים שהתווספו לאתר:
