ביום 5.8.2024 אישרה הכנסת בקריאה שנייה ושלישית את חוק הגנת הפרטיות (תיקון מס' 13), התשפ"ד-2024 – תיקון 13 לחוק הגנת הפרטיות, התשמ"א-1981. זהו התיקון המקיף והמשמעותי ביותר שעבר החוק מזה שנים רבות.
מטרת התיקון היא לעדכן את הנורמות להגנה על פרטיות המידע, על רקע אתגרי העידן הדיגיטלי ואיומי הסייבר, ולהתאים את החוק למציאות הטכנולוגית של ימינו.
התיקון כמעט אינו נוגע לאיסור הפגיעה בפרטיות שבפרק א' לחוק (מלבד ביטול תקופת ההתיישנות המקוצרת, כפי שיפורט להלן). עיקרו בפרק ב' לחוק, העוסק במאגרי מידע ובעיבוד מידע אישי, ובפרקים חדשים שעניינם פיקוח ואכיפה.
בהודעת משרד המשפטים על התיקון נכתב כי הוא חלק מהרפורמות שנעשו בעולם בשנים האחרונות בתחום הפרטיות והגנת המידע האישי, כדוגמת הרגולציה האירופית (GDPR) והחקיקה שקודמה בעקבותיה במדינות רבות, וכי יש לו תועלות כלכליות ועסקיות משמעותיות למשק הישראלי וליחסי המסחר בין ישראל לאירופה.
כדי לאפשר לרשות להגנת הפרטיות ולגופים המפוקחים להיערך, נקבע כי התיקון ייכנס לתוקף שנה לאחר פרסומו. מרבית הוראותיו נכנסו לתוקף ביום 14.8.2025.
להלן נסקור את השינויים העיקריים שנעשו במסגרת התיקון: בהגדרות היסוד של החוק, בחובות החלות על מי שמנהל מאגרי מידע, ובסמכויות הפיקוח והאכיפה.
א. השינויים בהגדרות והשלכתם על עיבוד מידע במאגרי מידע
לפי החוק במתכונתו הקודמת, "אוסף הכולל רק שם, מען ודרכי התקשרות, שכשלעצמו אינו יוצר אפיון שיש בו פגיעה בפרטיות לגבי בני האדם ששמותיהם כלולים בו, ובלבד שלבעל האוסף או לתאגיד בשליטתו אין אוסף נוסף" לא נחשב "מאגר מידע" ולא היה כפוף לפיקוח.
לפי ההגדרה החדשה, "מאגר מידע" הוא אוסף פרטי מידע אישי המעובד באמצעי דיגיטלי, והחריג לאוסף של פרטי קשר בלבד צומצם: הוא חל רק על אוסף הכולל מידע על 100,000 בני אדם או פחות. המשמעות היא שגם אוסף של פרטי קשר בלבד (שם, מען ודרכי התקשרות) על יותר מ-100,000 בני אדם נחשב כיום מאגר מידע, על כל החובות הנלוות לכך.
במתכונתו הקודמת הגדיר החוק שתי דרגות של מידע:
"מידע" – נתונים על אישיותו של אדם, מעמדו האישי, צנעת אישותו, מצב בריאותו, מצבו הכלכלי, הכשרתו המקצועית, דעותיו ואמונתו.
"מידע רגיש" – נתונים על אישיותו של אדם, צנעת אישותו, מצב בריאותו, מצבו הכלכלי, דעותיו ואמונתו.
התיקון החליף את ההגדרות האלה בשתי הגדרות חדשות, רחבות יותר:
"מידע אישי" – נתון הנוגע לאדם מזוהה או לאדם הניתן לזיהוי. "אדם הניתן לזיהוי" הוא מי שניתן לזהותו במאמץ סביר, במישרין או בעקיפין, ובכלל זה באמצעות פרט מזהה כגון שם, מספר זהות, מזהה ביומטרי, נתוני מיקום, מזהה מקוון, או נתון אחד או יותר הנוגע למצבו הפיזי, הבריאותי, הכלכלי, החברתי או התרבותי.
כלומר, המחוקק הביא בחשבון את הכלים הטכנולוגיים המאפשרים לזהות אדם גם באמצעות מזהים מקוונים, כגון כתובת IP או חשבון ברשת חברתית.
"מידע בעל רגישות מיוחדת" – הגדרה רחבה ומפורטת, הכוללת בין היתר מידע על צנעת חיי המשפחה, צנעת האישות והנטייה המינית; מידע על מצב בריאותו של אדם; מידע גנטי; מזהה ביומטרי; מידע על מוצאו של אדם; עברו הפלילי; דעותיו הפוליטיות, אמונותיו הדתיות או השקפת עולמו; הערכת אישיות; נתוני מיקום ותעבורה מסוימים; נתוני שכר ופעילות פיננסית; ומידע שחלה עליו חובת סודיות לפי דין.
עוד הוסיף התיקון הגדרה אחידה למונחים "עיבוד" ו"שימוש": כל פעולה שמבוצעת על מידע אישי, לרבות קבלתו, איסופו, אחסונו, העתקתו, עיון בו, גילויו, חשיפתו, העברתו, מסירתו או מתן גישה אליו. מדובר בקשת רחבה מאוד של פעולות.
בהתאם לכך, סעיף 8 לחוק אוסר לעבד מידע אישי במאגר מידע אלא למטרת המאגר שנקבעה לו כדין, ואוסר לעבד מידע ממאגר ללא הרשאה מבעל השליטה במאגר או בחריגה מהרשאה כזו.
ב. סמכויות הפיקוח והאכיפה
כדי לחזק את הפיקוח על קיום החוק, הוקנו למפקחים מטעם הרשות להגנת הפרטיות (להלן: הרשות) סמכויות נרחבות, ובהן: לדרוש מכל אדם הנוגע בדבר למסור ידיעה או מסמך, להציג או למסור עותק מחומר מחשב, ולהיכנס למקום שיש יסוד סביר להניח שקיים בו מאגר מידע או שנעשה בו שימוש במאגר מידע (כניסה למקום המשמש למגורים – רק על פי צו של בית משפט).
אלה למעשה סמכויות מעין-חקירתיות, שאינן מצריכות צו שיפוטי (למעט כניסה למקום מגורים), והן מרחיבות את שיקול הדעת של הרשות. כדי לאפשר שיח פתוח בין המפקח לגורמים המפוקחים, נקבע כי תשובות שמסר אדם למפקח לא ישמשו ראיה בהליך פלילי נגדו (אם לא היה חייב להשיב עליהן בחקירה פלילית).
במסגרת בירור מינהלי, כאשר למפקח שהוסמך לכך יש יסוד סביר להניח שבוצעה הפרה של הוראות החוק, הוא רשאי לבקש מבית המשפט צו חיפוש ותפיסה או צו חדירה לחומר מחשב, ולבצעם בעצמו, ללא מעורבות משטרת ישראל.
לראש הרשות ניתן גם שיקול דעת רחב בשאלה אם לטפל בהפרה בבירור מינהלי או להעבירה לטיפול פלילי, תוך שקילת מכלול הנסיבות, ובהן חומרת המעשה ונסיבותיו, טיבן ועוצמתן של הראיות ומדיניות האכיפה של הרשות.
ראש הרשות מוסמך להורות לבעל שליטה במאגר מידע או למחזיק במאגר שהפר הוראות מסוימות בחוק להפסיק את ההפרה, ומי שלא יציית להוראה צפוי לעיצום כספי. לפני מתן ההוראה ניתנת לגוף הזדמנות לטעון את טענותיו, ועל ההוראה ניתן לערער לבית משפט השלום בתוך 45 ימים.
סמכות משמעותית נוספת היא האפשרות לבקש מבית המשפט לעניינים מינהליים צו להפסקת פעולות עיבוד מידע הגורמות להפרה – או שיש חשש שיגרמו להפרה – ואף צו למחיקת המידע שבמאגר. מדובר בסעד מרחיק לכת וצופה פני עתיד, שעשוי לעצור פעילות עסקית עוד לפני שההפרה התרחשה, ולכן החוק מתנה אותו בתנאים, ובהם היעדר אמצעי שפגיעתו פחותה וחומרת ההפרה.
כדי להבטיח שקיפות, כאשר ראש הרשות מטיל עיצום כספי עליו לפרסם באתר הרשות את דבר הטלת העיצום, מהות ההפרה ונסיבותיה, סכום העיצום, ואם המפר הוא תאגיד – גם את שמו.
לצד זאת, התיקון מאפשר לבעל שליטה במאגר מידע או למחזיק במאגר, או למי שעומד להיות אחד מאלה, לבקש מהרשות חוות דעת מקדמית בשאלה אם מאגר המידע עומד בדרישות החוק. חוות הדעת תינתן בתוך 60 ימים (וראש הרשות רשאי להאריך את המועד בנסיבות מיוחדות).
הליך זה עשוי לסייע למי שמנהל מאגר מידע ומבקש לקבל מראש את עמדת הרשות לגבי פעילותו, ולהפחית את הסיכון להליכי אכיפה.
ג. חובת מינוי ממונה על הגנת הפרטיות (DPO)
תוספת מרכזית בתיקון היא החובה למנות ממונה על הגנת הפרטיות. הממונה, שאינו חייב להיות עובד של הגוף שבו הוא ממלא את תפקידו, אחראי לפעול להבטחת קיום הוראות החוק על ידי בעל השליטה במאגר המידע או המחזיק במאגר, ולקידום השמירה על הפרטיות ואבטחת המידע במאגרי המידע.
בין תפקידי הממונה: לשמש סמכות מקצועית ומוקד ידע, לייעץ להנהלה ולעובדים ולהכין תוכנית הדרכה; להכין תוכנית לבקרה שוטפת על העמידה בהוראות החוק; לוודא קיומם של נוהל אבטחת מידע ומסמך הגדרות מאגר; לוודא טיפול בפניות של מי שמידע אישי עליהם נמצא במאגר; ולשמש איש הקשר של הגוף מול הרשות.
החוק אינו מחייב הכשרה פורמלית מסוימת. עם זאת, הממונה צריך להיות בעל הידע והכישורים הנדרשים למילוי תפקידו כראוי, ובכלל זה ידע מעמיק בדיני הגנת הפרטיות, הבנה הולמת בטכנולוגיה ובאבטחת מידע והיכרות עם תחומי הפעילות של הגוף ומטרותיו – והכול בשים לב לאופי עיבוד המידע, נסיבותיו, היקפו ומטרותיו. כן נקבע כי הממונה לא ימלא תפקיד נוסף העלול להעמידו בניגוד עניינים.
חובת מינוי ממונה חלה על הגופים הבאים (סעיף 17ב1 לחוק):
- בעל שליטה במאגר מידע שהוא גוף ציבורי, או מחזיק במאגר מידע של גוף כזה (למעט גופי ביטחון);
- בעל שליטה במאגר שמטרתו העיקרית היא איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה, לרבות שירותי דיוור ישיר, ויש בו מידע על יותר מ-10,000 בני אדם;
- בעל שליטה במאגר מידע או מחזיק במאגר, שעיסוקיו העיקריים מחייבים ניטור שוטף ושיטתי של בני אדם בהיקף ניכר, ובכלל זה מעקב או התחקות שיטתית אחר התנהגותו, מיקומו או פעולותיו של אדם – בין היתר ספקי שירותי טלפון נייד וספקי שירותי חיפוש מקוון;
- בעל שליטה במאגר מידע או מחזיק במאגר, שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר – בין היתר תאגיד בנקאי, מבטח, בית חולים כללי וקופת חולים.
ד. צמצום חובת הרישום
לפי החוק במתכונתו הקודמת, חובת רישום מאגר מידע חלה, בין היתר, על כל מאגר שיש בו מידע על יותר מ-10,000 בני אדם. לפי התיקון, חובת הרישום חלה רק על מאגר שמטרתו העיקרית היא איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה, לרבות שירותי דיוור ישיר, ושיש בו מידע על יותר מ-10,000 בני אדם; וכן על מאגר שבעל השליטה בו הוא גוף ציבורי (אלא אם המאגר כולל מידע על עובדי הגוף הציבורי בלבד).
עם זאת, כאשר מספר בני האדם שיש עליהם מידע בעל רגישות מיוחדת במאגר שאינו חייב ברישום עולה על 100,000, על בעל השליטה להודיע על כך לרשות בתוך 30 ימים, ולמסור לה פרטים על המאגר, ובהם פרטי הממונה על הגנת הפרטיות (אם נדרש מינויו) ומסמך הגדרות המאגר.
ה. עבירות חדשות וסנקציות פליליות
במסגרת התיקון הוקנתה לרשות הסמכות לערוך חקירה פלילית כאשר יש חשד לעבירה על החוק.
כן נקבעו עבירות חדשות, ובהן עיבוד מידע אישי ממאגר מידע ללא הרשאה מבעל השליטה במאגר, ומסירת פרטים לא נכונים בפנייה לאדם לקבלת מידע אישי, בכוונה להטעותו. העונש על כל אחת מהן הוא עד שלוש שנות מאסר.
ו. התאמת הדין להתפתחויות הטכנולוגיות
כאמור, המחוקק הביא בחשבון את הכלים הטכנולוגיים המאפשרים לזהות אדם גם באמצעות מזהים מקוונים.
ההתפתחויות הטכנולוגיות של השנים האחרונות הביאו גם לשינוי הגדרת "מחזיק" במאגר מידע. לפי ההגדרה החדשה, "מחזיק" הוא גורם חיצוני לבעל השליטה במאגר המידע, המעבד עבורו מידע.
המשמעות היא שחברות טכנולוגיה המספקות שירותי ענן ומעבדות מידע עבור לקוחותיהן ייחשבו בדרך כלל "מחזיקים", ויחולו עליהן החובות שהחוק מטיל על מחזיקים במאגרי מידע – אף שאינן קובעות את מטרות העיבוד. בפועל, נדרשת מהן בקרה הדוקה יותר על המידע המאוחסן בשרתיהן.
ז. עיצומים כספיים ופיצויים ללא הוכחת נזק
הסמכות להטיל עיצומים כספיים על מפרי החוק היא מהשינויים המשמעותיים ביותר בתיקון.
כך, למשל, על הפרות מסוימות – כגון עיבוד מידע במאגר החייב ברישום שלא נרשם, או אי-מסירת הודעה לרשות כנדרש – רשאי ראש הרשות להטיל עיצום כספי של 150,000 ₪, ואם יש במאגר מידע אישי על 1,000,000 בני אדם ומעלה – כפל הסכום, 300,000 ₪.
בהפרות אחרות סכום העיצום תלוי במספר בני האדם שנפגעו, ולכן הוא עשוי להגיע לסכומים גבוהים. לדוגמה, על פנייה בדיוור ישיר שלא בהתאם לדרישות החוק ניתן להטיל עיצום של 50 ₪ כפול מספר בני האדם שאליהם נעשתה הפנייה (ובמידע בעל רגישות מיוחדת – כפל הסכום).
גם על הפרות קלות יותר, כגון סירוב לאפשר לאדם לעיין במידע אישי עליו המוחזק במאגר, רשאי ראש הרשות להטיל עיצום כספי של 15,000 ₪.
הסכומים האמורים הם הסכומים שנקבעו בתיקון; הם צמודים למדד ומתעדכנים מדי שנה.
כדי שהעיצומים יהיו מרתיעים, נקבע כי ראש הרשות אינו רשאי להטיל עיצום בסכום נמוך מהסכומים הקבועים בחוק, אלא במקרים, בנסיבות ובשיעורים המפורטים בתוספת החמישית לחוק – למשל היעדר הפרות קודמות, הפסקת ההפרה ביוזמת המפר ודיווח עליה, נקיטת צעדים למניעת הישנותה, עסק זעיר או קטן, ותקרה של 5% ממחזור העסקאות של המפר.
נוסף על כך, כדי להרתיע בעלי שליטה במאגרי מידע ומחזיקים מהפרת החוק, נקבע כי בית המשפט רשאי לפסוק פיצויים לדוגמה, שאינם תלויים בנזק, בסכום של עד 10,000 ₪ בשל הפרות מסוימות של הוראות החוק – למשל סירוב לאפשר לאדם לעיין במידע עליו, אי-מסירת הודעה כנדרש בפנייה לקבלת מידע, או עיבוד מידע במאגר החייב ברישום שלא נרשם. פיצוי ללא הוכחת נזק אינו חדש בדין הישראלי: הוא קיים, למשל, בחוק איסור לשון הרע ובסעיף 29א לחוק הגנת הפרטיות עצמו, לעניין פגיעה בפרטיות.
ח. ביטול תקופת ההתיישנות המקוצרת
סעיף ההתיישנות שבחוק במתכונתו הקודמת, שקיצר באופן משמעותי את תקופת ההתיישנות של תביעות לפי החוק והעמיד אותה על שנתיים בלבד, בוטל. במקומו חלים ההסדרים הכלליים שבחוק ההתיישנות, התשי"ח-1958, שלפיהם תקופת ההתיישנות בתביעות אזרחיות (שאינן במקרקעין) היא, ככלל, שבע שנים. עם זאת, על פגיעה שאירעה לפני שהתיקון נכנס לתוקף, בתי המשפט עשויים להמשיך להחיל את תקופת השנתיים (ראו למשל תלה"מ (משפחה חי') 16572-01-23 פלוני נ' אלמונית (2.8.2026)). לכן מי שנפגע לפני כן מוטב שיפעל בלי דיחוי.
ט. הגבלת סמכויות האכיפה כלפי מפלגות בתקופת בחירות
התיקון כולל הוראה מיוחדת לתקופות בחירות: ראש הרשות, מפקח או חוקר לא יפעילו סמכויות אכיפה מסוימות בשל הפרה הנוגעת למאגר מידע שבעל השליטה בו הוא מפלגה או מועמד בבחירות לרשות מקומית, אלא באישור יושב ראש ועדת הבחירות המרכזית (או, לגבי מועמדים מסוימים בבחירות המקומיות, יושב ראש ועדת הבחירות האזורית). ההסדר נועד לאפשר את מימוש הזכות להיבחר, שהיא זכות חוקתית, בלי שהליכי אכיפה ישמשו כלי בתחרות הפוליטית.
יש להדגיש כי אין מדובר בהיתר לנהל מאגר מידע או לעשות בו שימוש בניגוד לחוק, אלא בהגבלה על הפעלת סמכויות אכיפה מסוימות – כגון כניסה למקום, הגשת בקשה לצו חיפוש ותפיסה ומסירת הודעה על כוונה להטיל עיצום כספי – בלי אישור כאמור.
י. סיכום
בסקירה זו הצגנו את השינויים העיקריים שנעשו בתיקון 13 לחוק הגנת הפרטיות. התיקון, המשתרע על עשרות עמודים, כולל שינויים ותוספות רבים ומפורטים, ויש להכירם היטב כדי לקיים את הדין ולהימנע מפגיעה בפרטיות ומהפרת החוק.
כאמור, מרבית הוראות התיקון נכנסו לתוקף ביום 14.8.2025. גופים שהתיקון חל עליהם נדרשים להתאים את התנהלותם לדרישותיו, ובכלל זה למנות ממונה על הגנת הפרטיות כאשר החוק מחייב זאת.
אנו לרשותכם בכל שאלה בנוגע ליישום הדין ולהיערכות מתאימה. האמור בסקירה זו הוא להעשרת הידע בלבד ואין לראות בו ייעוץ משפטי.
