ב-14 באוגוסט 2025 נכנס לתוקף תיקון 13 לחוק הגנת הפרטיות - השינוי המקיף ביותר בחקיקת הפרטיות בישראל מאז 1996. התיקון מיישר קו עם ה-GDPR האירופי ומציב דרישות חדשות על כל בעל אתר.
על מי חל החוק?
התשובה הקצרה: על כולם.
החוק חל על כל גוף המעבד מידע אישי בישראל, כולל:
- אתרי תדמית עם טופס יצירת קשר
- דפי נחיתה עם טפסי לידים
- חנויות אונליין
- אפליקציות
- אתרים המאורחים בחו"ל אך פונים לקהל ישראלי
מה חדש בתיקון 13?
1. עוגיות וכלי מעקב: יידוע ואפשרות סירוב
כאן חשוב לדייק, כי הנקודה הזו מוצגת שגוי כמעט בכל מדריך בעברית: אין בדין הישראלי סעיף שמחייב להציג באנר עוגיות. מסמך רשות הגנת הפרטיות מ-2020 בנושא שימוש בעוגיות הוא המלצה ולא חקיקה, וסעיף 3 לחוק עדיין מכיר בהסכמה שניתנה "במפורש או מכללא".
מה כן נדרש: לפני שנטענים באתר כלי מעקב שאינם הכרחיים לתפעולו - Google Analytics, פיקסל פייסבוק או טיקטוק, מערכות רימרקטינג - הגולש צריך לדעת שהם שם ולקבל אפשרות אמיתית לסרב. באנר עוגיות הוא הדרך המעשית והנפוצה לעשות את זה, אבל הוא האמצעי ולא החובה. לכן גם הסריקה שלנו בודקת את התוצאה ולא את הרכיב:
- האם כלי מעקב לא-הכרחיים נטענים עוד לפני שהגולש קיבל יידוע
- האם קיימת אפשרות סירוב אמיתית, ולא רק כפתור "הבנתי"
- האם מדיניות הפרטיות מפרטת אילו עוגיות נאספות ולאיזו מטרה
- האם אפשר לשנות את הבחירה בהמשך
אתר שמשתמש רק בעוגיות תפעוליות - עגלת קניות, זיהוי משתמש מחובר, שמירת שפה - לא נדרש לכלום מזה.
2. עדכון מדיניות פרטיות
מדיניות הפרטיות חייבת לכלול:
- סוגי המידע הנאספים
- מטרות השימוש במידע
- משך שמירת המידע
- זכויות המשתמשים (עיון, תיקון, מחיקה)
- פרטי קשר לפניות
- מידע על העברת מידע לצדדים שלישיים
3. הסכמה מפורשת בטפסים
כל טופס שאוסף מידע אישי חייב:
- ליידע על השימוש במידע
- לכלול תיבת סימון להסכמה (לא מסומנת מראש)
- להבדיל בין הסכמה לשירות להסכמה לשיווק
4. מינוי ממונה הגנת פרטיות (DPO)
חובה לארגונים מסוימים:
- מעל 50 עובדים
- מחזור שנתי מעל 20 מיליון ש"ח
- עיבוד מידע רגיש (בריאותי, פלילי, פוליטי)
התביעה הראשונה כבר כאן: מימון ישיר נ׳ TikTok
בתחילת 2026, חברת מימון ישיר הפכה לאחד המקרים הראשונים שנתבעו במפורש בגלל הפרת תיקון 13. התביעה: פיקסל TikTok שהוטמע באתר החברה ואסף מידע אישי של גולשים ללא הסכמה מפורשת.
מה קרה: מימון ישיר הטמיעו פיקסל מעקב של TikTok באתר שלהם. הפיקסל אסף מידע על התנהגות הגולשים (דפים שביקרו, פעולות שעשו, נתונים אישיים) והעביר אותו לטיקטוק. כל זה ללא הודעה, ללא Cookie Banner, וללא הסכמה.
שימו לב מה בדיוק הטענה בתיק: לא "חסר באנר", אלא שמידע אישי נאסף והועבר לצד שלישי בלי שהגולש ידע ובלי שניתנה לו הזדמנות לסרב. פיקסלים של Meta, TikTok או Google Ads אינם הכרחיים לתפעול האתר, ולכן זה בדיוק המצב שבו צריך יידוע ואפשרות סירוב לפני שהם נטענים.
אם באתר שלכם פיקסלים כאלה נטענים לפני כל יידוע ובלי דרך לסרב, זה הסיכון שרלוונטי אליכם.
הסנקציות החדשות
שני הסכומים נקראו מנוסח החוק (נבו, מאומת מול ויקיטקסט). כמה הבהרות שחשוב לא לפספס:
- העיצום הכספי לפי סעיף 23כו הוא 150,000 ₪ - ראש הרשות להגנת הפרטיות רשאי להטיל אותו, וכפל הסכום אם במאגר יש מידע אישי על מיליון בני אדם ומעלה.
- הפיצוי האזרחי הוא תקרה של 50,000 ₪ בלא הוכחת נזק (סעיף 29א(ב)(1)), וכפל הסכום כשהפגיעה נעשתה בכוונה לפגוע (סעיף 29א(ב)(2)). הסכום מתעדכן לפי המדד (סעיף 29א(ד)).
- המאסר בסעיף 5 חל על פגיעה במזיד בפרטיות, לא על פער תאימות רגיל באתר. זה לא הסיכון של עסק שפשוט חסרה לו מדיניות פרטיות.
מה שלא תמצאו בחוק: קנס של "5% מהמחזור השנתי", "300,000 ₪ ליחיד / מיליון ₪ לתאגיד", ו-"40,000 ₪ לכל הפרה של תקנות האבטחה". אלה מספרים שמסתובבים בהרבה מקורות בעברית - הם לא מופיעים בנוסח חוק הגנת הפרטיות. ה-5% במיוחד הוא כנראה בלבול עם ה-GDPR האירופי, שהוא חוק אחר לגמרי. גם המספרים שלנו כאן היו שגויים עד יולי 2026, ותיקנו אותם מול נוסח החוק.
מה צריך לעשות? רשימת פעולות
שלב 1: מיפוי מידע
- זהו אילו טפסים יש באתר
- בדקו אילו עוגיות פעילות
- תעדו לאן המידע מועבר
שלב 2: עדכון מדיניות פרטיות
- כתבו מדיניות מפורטת בעברית
- הוסיפו סעיפים על cookies
- פרטו זכויות משתמשים
שלב 3: יידוע ואפשרות סירוב לפני כלי מעקב
- מפו אילו כלי מעקב לא-הכרחיים נטענים באתר
- דחו את טעינתם עד אחרי בחירת הגולש
- ודאו שהסירוב פשוט בדיוק כמו האישור (באנר עוגיות הוא הדרך הנפוצה, לא היחידה)
שלב 4: עדכון טפסים
- הוסיפו הודעת שקיפות
- הוסיפו תיבת הסכמה
- הפרידו הסכמה לשיווק
העברת מידע לחו"ל: מה באמת חל עליכם
הרבה בעלי אתרים מניחים שהסדרת העברת מידע לחו"ל היא רפורמה עתידית שאפשר להמתין לה. היא לא. תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001 חלות בישראל מאז 2001, ותיקון 13 בעיקר הגביר את האכיפה עליהן.
הכלל הבסיסי בתקנות: אין להעביר מידע ממאגר בישראל אל מחוץ לגבולותיה, אלא אם דין המדינה שאליה מועבר המידע מבטיח רמת הגנה שאינה פחותה מזו שבדין הישראלי. בנוסף, על בעל המאגר לקבל התחייבות בכתב ממקבל המידע שהוא נוקט אמצעים מספיקים להבטחת פרטיותם של נושאי המידע.
בפועל זה נוגע כמעט לכל אתר ישראלי: Google Analytics, פיקסל פייסבוק, שירותי דיוור, מערכות CRM ואחסון בענן אמריקאי כולם מעבירים מידע אל מחוץ לישראל. שווה למפות אילו שירותים אתם מפעילים ואיזה מידע כל אחד מהם מקבל.
הבהרה על מספור התיקון
נקודה שמבלבלת רבים: הצעת החוק שהובילה לרפורמה הזו התנהלה בכנסת כשנתיים תחת השם "הצעת חוק הגנת הפרטיות (תיקון מס' 14), התשפ"ב-2022", אבל כשהיא נחקקה בפועל היא פורסמה כתיקון מס' 13 (ספר החוקים 3287, 14.8.2024). לכן אין רפורמה עתידית בשם "תיקון 14" שעתידה להביא סמכויות אכיפה מוגברות, חובת ממונה הגנת פרטיות או הסדרת העברות מידע. כל אלה כבר בתוקף מאז 14 באוגוסט 2025.
הקשר לתקנות אחרות
תיקון 13 משלים תקנות קיימות:
- חוק הספאם: הסכמה לדיוור שיווקי
- חוק הגנת הצרכן: שקיפות בעסקאות
- תקנות אבטחת מידע: הגנה על מאגרי מידע
שאלות נפוצות
האם צריך Cookie Banner לכל אתר?
לא כחובה חוקית - אין בדין הישראלי סעיף שמחייב באנר. אבל אם האתר טוען כלי מעקב שאינם הכרחיים לתפעול (Google Analytics, פיקסל פייסבוק), צריך ליידע את הגולש ולתת לו אפשרות אמיתית לסרב לפני שהם נטענים, ובאנר הוא הדרך הפשוטה לעשות את זה. אתר עם עוגיות תפעוליות בלבד לא זקוק לבאנר.
מה אם האתר לא אוסף מידע?
אם יש טופס יצירת קשר, אתם אוספים מידע. גם שם ומייל זה מידע אישי.
האם עסק קטן פטור?
לא. החוק חל על כולם. רק חובת מינוי DPO מוגבלת לארגונים גדולים.
מקורות ומשאבים
רוצה לדעת אם האתר שלך בסיכון?
25 בדיקות תאימות מול הרגולציה הישראלית, אוטומטית · תוך 30 דקות למייל
בדוק את האתר שלך