תוכן העניינים
"אם לא תעמדו בתיקון 13, אתם חשופים לקנסות" – שמעתם את המשפט הזה, וכנראה גם לא ידעתם בדיוק כמה זה אומר בשקלים. זו לא שאלה תיאורטית יותר: ביולי 2026 הרשות להגנת הפרטיות הטילה קנס אמיתי, על עסק אמיתי, בגלל הפרה קונקרטית. במאמר הזה אני מפרק את זה לשלושה סוגי חשיפה נפרדים – עיצום כספי, תביעה אזרחית ואחריות פלילית – מראה מה קרה בפועל במקרה הראשון מסוגו, ונותן לכם תמונה כנה – לא מפחידה ולא מרגיעה מדי – על כמה מזה באמת רלוונטי לעסק בגודל שלכם.
עיקרי הדברים
- יש שלושה סוגי חשיפה נפרדים שנובעים מהפרת חוק הגנת הפרטיות: עיצום כספי (קנס שהמדינה גובה), תביעה אזרחית של אדם פרטי (כולל זכות תביעה כללית שקיימת עוד מראשית החוק, ומסלול נוסף שתיקון 13 הוסיף להפרות ספציפיות במאגר המידע), ואחריות פלילית (שמורה לעבירות ספציפיות שהתיקון קבע).
- ביולי 2026 הרשות הטילה את העיצום הכספי הראשון שלה לפי תיקון 13 – כ-256,000 ש"ח על קופת חולים מאוחדת, בגין איחור בדיווח על אירוע אבטחה חמור.
- גובה העיצום נקבע לפי סכום שקובע החוק להפרה הספציפית, ומשתנה גם לפי רמת האבטחה שחלה על המאגר – למשל הפרת חובת הדיווח המיידי עומדת על 80,000 ש"ח ברמת אבטחה בינונית ו-320,000 ש"ח ברמה גבוהה, לפני הפחתות. לאחר מכן חלים מנגנוני הפחתה ותקרות שיכולים לשנות את הסכום הסופי משמעותית.
- חובת הדיווח המיידי על אירוע אבטחה חמור לא חלה על כל עסק באופן גורף – היא תלויה בסיווג רמת האבטחה של המאגר (בינונית או גבוהה), לא בגודל העסק. עסק עם מאגר ברמת אבטחה בסיסית לא כפוף לחובה הזו באותו אופן.
- הרשות מפעילה גם פיקוחי רוחב יזומים, וב-2026 החלה בפיקוחים חדשים הכוללים גם חברות סחר אונליין. פיקוח כזה אינו אומר שקנס יוטל אוטומטית, אבל הוא מראה שהאכיפה אינה מוגבלת רק לאירועים חריגים אצל גופים גדולים.
- לרשות יש גם אפשרות, בנסיבות שנקבעו בדין, למסור התראה מינהלית במקום להטיל עיצום כספי.
- מעבר לקנס עצמו, לתקלה שקורה יש לרוב עלות נוספת: זמן, עבודת תיקון, וליווי מקצועי.
קנסות תיקון 13: שלושה סוגי חשיפה שכדאי להכיר
חוק הגנת הפרטיות קיים עוד משנת 1981, אבל עד תיקון 13 – שנכנס לתוקף באוגוסט 2025 – לרשות להגנת הפרטיות היו כלי אכיפה מוגבלים יחסית. התיקון לא יצר את כל חובות הגנת הפרטיות מהיסוד; רבות מהן היו קיימות קודם, אבל הוא הרחיב מאוד את כלי האכיפה וגם הוסיף וחידד הסדרים וחובות מסוימים. היום יש שלושה סוגי חשיפה נפרדים שכדאי להכיר, כי הם לא אותו דבר.
עיצום כספי – הקנס שהמדינה יכולה להטיל
עיצום כספי הוא קנס מנהלי שהרשות להגנת הפרטיות יכולה להטיל בעצמה, בלי להוכיח נזק בפועל ובלי הליך פלילי ארוך. הכסף הולך למדינה, לא ללקוח שנפגע. גובה העיצום מתחיל מהסכום שקובע החוק להפרה הספציפית, ולעיתים הוא משתנה גם לפי מאפייני המאגר ורמת האבטחה שלו, כפי שנקבעת בתקנות אבטחת מידע. לדוגמה, הפרת חובת הדיווח המיידי על אירוע אבטחה חמור עומדת על 80,000 ש"ח ברמת אבטחה בינונית, ו-320,000 ש"ח ברמת אבטחה גבוהה – זה הסכום הבסיסי, לפני הפחתות.
לאחר מכן עשויים לחול מנגנוני הפחתה ותקרות בהתאם לנסיבות. החוק קובע הסדרים ייעודיים ל"עסק זעיר" (מחזור עסקאות עד 4 מיליון ש"ח) ול"עסק קטן" (מעל 4 ועד 10 מיליון ש"ח), עם תקרות נמוכות יותר לפי קבוצת ההפרה. יש גם מנגנון שקושר את הסכום למחזור העסקאות של העסק: אם הסכום שיוצא מהחישוב וההפחתות עולה על 5% ממחזור העסקאות של המפר, ראש הרשות, לבקשת המפר ובהתקיים התנאים שבחוק, יפחית את הסכום ל-5% ממחזור העסקאות. כלומר, אי אפשר להסיק את הסכום הסופי רק מהסכום הבסיסי שמופיע לצד ההפרה – שווה לבדוק את המנגנון המלא מול עורך דין אם הסכום הספציפי משמעותי לעסק שלכם.
עוד דבר שכדאי לדעת: עיצום כספי הוא לא הדבר היחיד שהרשות יכולה להוציא. בנסיבות המתאימות הקבועות בדין – כשיש יסוד סביר להניח שהייתה הפרה ומתקיימות נסיבות שקבע שר המשפטים – ראש הרשות רשאי למסור התראה מינהלית במקום להטיל עיצום כספי. זה כלי נפרד ופחות דרסטי, שהחוק מסמיך להשתמש בו בנסיבות שנקבעו בדין.
פיצוי ללא הוכחת נזק – כשלקוח או גולש תובעים אתכם ישירות
זה כלי שונה לגמרי מעיצום כספי: כאן מדובר בתביעה שמגיש אדם פרטי – לקוח, גולש, כל מי שהמידע שלו נפגע – ולא ביוזמת הרשות. בניגוד לעיצום הכספי, הכסף כאן הולך לתובע, לא למדינה.
חשוב להבין שיש כאן בעצם שני מסלולים, לא אחד: הזכות האזרחית לתבוע בגין פגיעה בפרטיות (למשל פרסום מידע פרטי בלי הסכמה, שימוש לא ראוי בתמונה או בפרטים אישיים) קיימת בחוק הגנת הפרטיות עוד מראשיתו, והיא לא המצאה של תיקון 13. גם האפשרות שבית המשפט יפסוק פיצוי בלי שהתובע צריך להוכיח נזק ממשי, בגין פגיעה כזו, כבר הייתה קיימת בחוק עוד לפני תיקון 13. מה שתיקון 13 הוסיף הוא מסלול נפרד של פיצויים לדוגמה, בגין הפרות ספציפיות שקשורות לניהול מאגר המידע עצמו, בנסיבות ובתנאים שהחוק מונה – למשל הפרות מסוימות של חובת היידוע או של זכויות העיון והתיקון.
לגבי הסכומים, חשוב לא לערבב בין שני המסלולים. במסלול החדש שהוסיף תיקון 13, בית המשפט רשאי לפסוק עד 10,000 ש"ח ללא הוכחת נזק בגין ההפרות הספציפיות שהחוק מונה. במסלול הוותיק של פגיעה בפרטיות לפי פרק א' קיימת תקרה נפרדת שמתעדכנת בהתאם למדד. לכן כשאתם רואים מספרים שונים בפרסומים על "פיצוי ללא הוכחת נזק", הם לא בהכרח סותרים זה את זה, אלא עשויים להתייחס למסלולים שונים.
עיצום כספי מול פיצוי ללא הוכחת נזק – מה ההבדל בפועל?
עיצום כספי הוא קנס מנהלי שהרשות מטילה, בלי צורך בתביעה של אף אחד, והכסף הולך למדינה. פיצוי ללא הוכחת נזק הוא סכום שבית משפט יכול לפסוק לטובת תובע פרטי שהגיש תביעה בעצמו, בלי שהוא צריך להוכיח נזק ממשי. אלה מסלולים נפרדים, עם שני "בעלי בית" שונים (המדינה מול הפרט) – ובנסיבות המתאימות אותה התנהלות עשויה ליצור גם חשיפה לאכיפה מינהלית וגם לתביעה אזרחית, אבל לא כל עיצום יוצר עילת תביעה פרטית, ולא כל תביעה פרטית מתאימה גם לעיצום.
אחריות פלילית – הכלי הכבד ביותר, ונדיר
תיקון 13 קבע כמה עבירות פליליות חדשות וספציפיות – למשל עיבוד מידע אישי ממאגר בלי הרשאה מבעל השליטה במאגר (עונש מאסר של עד שלוש שנים), ומסירת פרטים כוזבים בכוונה להטעות מישהו בעת איסוף מידע ממנו. חשוב לדייק כאן: לא בכל העבירות מופיעה בחוק אותה דרישת כוונה מפורשת. למשל, בעבירה של מסירת פרטים כוזבים החוק דורש במפורש כוונה להטעות, בעוד שבעבירה של עיבוד מידע ללא הרשאה אין בסעיף דרישת כוונה מפורשת באותו נוסח. בכל מקרה, אלה עבירות פליליות ספציפיות, והן נפרדות מהמסלול המינהלי של עיצומים כספיים – זה לא הכלי שמשמש נגד עסק שפספס דדליין לדיווח או עשה טעות בתום לב.
המקרה של קופת חולים מאוחדת: מה קרה ולמה זה חשוב
ב-21 ביולי 2026 הטילה הרשות להגנת הפרטיות עיצום כספי של כ-256,000 ש"ח (לאחר הפחתות לפי החוק) על קופת חולים מאוחדת – העיצום הראשון מסוגו מאז כניסת תיקון 13 לתוקף. זה קרה בעקבות תקלה במערכות הדיגיטליות של הקופה שאפשרה למבוטחים לצפות במידע רפואי רגיש של בני משפחה, בתנאים מסוימים.
הרשות עצמה פרסמה שהטילה את העיצום הזה, וב-Globes ובכלכליסט אפשר למצוא את התמונה המלאה: מבוטחת גילתה שהיא יכולה לצפות בתיק הרפואי של אחותה החורגת, ודיווחה על כך. מאוחדת ידעה על התקלה כבר בנובמבר 2025, אבל דיווחה עליה לרשות רק בינואר 2026 – אחרי שהשלימה בדיקות פנימיות. התקלה עצמה תוקנה עד סוף ינואר 2026. יו"ר הרשות להגנת הפרטיות, עו"ד גלעד סממה, אמר שהמקרה נועד להעביר מסר ברור לגבי האכיפה שאחרי תיקון 13. מאוחדת, מצידה, טוענת שהיא זו שיזמה את הדיווח ברגע שהתמונה הייתה ברורה, שדיווח מיידי לעיתים לא ריאלי בפועל, ושוקלת לערער על ההחלטה.
מה שמעניין אותי כאן זה לא רק סכום הקנס, אלא מה עומד מאחוריו: הרשות הבהירה שחובת הדיווח המיידי על אירוע אבטחה חמור קמה כבר עם היוודע דבר האירוע – לא אחרי שמשלימים את כל הבדיקות הפנימיות. הרחבתי על החובה הזו ועל מה נחשב "אירוע אבטחה חמור" במאמר נפרד, אבל הנקודה החשובה כאן היא ש"בואו נבין קודם מה בדיוק קרה" – ההיגיון האינטואיטיבי הכי נפוץ – הוא בדיוק מה שהחוק לא מאפשר יותר.
כמה מזה באמת רלוונטי לעסק כמו שלכם?
התשובה הכנה: זה תלוי, וכדאי להיזהר גם ממי שמפחיד אתכם וגם ממי שאומר לכם שזה לא נוגע אליכם בכלל.
אם יש לכן אתר או חנות עם מספר לקוחות יחסית קטן, ואתן לא מעבדות מידע רפואי, פיננסי מפורט או מידע בעל רגישות מיוחדת בהיקף גדול, ייתכן שהחשיפה שלכן לחלק מהחובות ומהעיצומים תהיה שונה מזו של ארגון גדול שמחזיק מאגרים מורכבים ורגישים. אבל אי אפשר להסיק מגודל העסק בלבד שאין חשיפה לעיצומים או לפיקוח.
יחד עם זאת, כדאי לדייק לגבי החובה שבגללה נקנסה מאוחדת: חובת הדיווח המיידי על אירוע אבטחה חמור לא חלה על כל עסק באופן גורף. היא נקבעת לפי סיווג רמת האבטחה של המאגר – היא רלוונטית למאגרים שחלה עליהם רמת אבטחה בינונית או גבוהה, לא לפי גודל העסק. גם עסק קטן יכול להיות בעל מאגר ברמת אבטחה בינונית או גבוהה, בהתאם לסוג ולהיקף המידע שהוא מחזיק – אז זה לא משהו שכדאי להניח לגביו, אלא לבדוק. אם יש לכם אתר עם טופס הרשמה, חנות ווקומרס עם פרטי לקוחות, או כל מערכת שבה שמור מידע אישי, שווה לבדוק לאיזו רמת אבטחה המאגר שלכם משויך, ואם היא בינונית או גבוהה – לדעת שגילוי של תקלה מחייב דיווח מהיר, לא לחכות "עד שנבין הכל".
לגבי חובת מינוי ממונה על הגנת הפרטיות (DPO – תפקיד שנועד לסייע לארגון לקיים את דיני הגנת הפרטיות ולפקח על יישומם): זו לא חובה גורפת. היא תלויה בסוג הארגון ובהיקף ובסוג המידע שהוא מעבד. ריכזתי מדריך מלא על ממונה הגנת הפרטיות (DPO) – שווה לבדוק את זה ספציפית לעסק שלכם, לא להניח.
נקודה נוספת שכדאי לקחת בחשבון: הרשות אינה פועלת רק בעקבות תלונות או אירועי אבטחה. ב-2026 היא החלה בפיקוחי רוחב חדשים, ובין המגזרים שנבחרו נמצאות גם חברות סחר אונליין. פיקוח רוחב הוא הליך יזום לבחינת העמידה בחוק ובתקנות, ולא כל פיקוח מסתיים בעיצום. אבל לבעל חנות אונליין כבר פחות נכון להניח שהאכיפה נוגעת רק לארגונים גדולים במיוחד.
אם עוד לא בדקתם את מדיניות הפרטיות שלכם, שווה להריץ אותה ב-Privacy Score – כלי חינמי שפיתחתי שמנתח מדיניות פרטיות ומחזיר ציון ונקודות לשיפור. הוא לא בודק את כל מה שקשור לתיקון 13 ולא מחליף בדיקה מקצועית, אבל זו נקודת פתיחה מהירה.
מעבר לקנס עצמו: העלות שלא רואים בכותרות
הכתבות על עיצומים כספיים מתמקדות בסכום הקנס, וזה הגיוני – זה המספר שקל לצטט. אבל מהניסיון שלי בליווי עסקים, הקנס עצמו הוא לרוב לא העלות היחידה, ולפעמים אפילו לא העלות הגדולה ביותר. כשמתגלה תקלה – בין אם היא מובילה לעיצום ובין אם לא – יש בדרך כלל גם עבודת תיקון טכנית, זמן ניהולי שיורד על ליווי הבירור, ולעיתים ליווי מקצועי (משפטי או טכני) כדי לוודא שהבעיה נסגרה כמו שצריך. אני לא הולך להמציא לכם מספר שקלים לעלויות האלה – הן משתנות מאוד בין עסק לעסק – אבל שווה להביא אותן בחשבון כשחושבים על "כמה זה עולה", לא רק את שורת העיצום עצמה.
שלושה דברים שכדאי לבדוק החודש
- האם יש לכם תהליך ברור למקרה של אירוע אבטחה? לא צריך מסמך משפטי מפואר – מספיק לדעת מי מקבל את ההודעה הראשונה, ומה קורה בשעות הראשונות. המקרה של מאוחדת מראה בדיוק למה "לחכות שנבין הכל לפני שמדווחים" הוא טעות יקרה.
- מתי בפעם האחרונה בדקתן מי בכלל יש לו גישה למידע הרגיש באתר או בחנות שלכן? הרבה פעמים זו לא כוונה רעה – זו הרשאה ישנה שאף אחד לא ביטל.
- האם יש לכם מסמך הגדרות מאגר מעודכן? זה המסמך שמרכז מה יש במאגר שלכם, למה המידע משמש, מי מעורב בעיבוד שלו ומהם הסיכונים העיקריים. לצד זה כדאי גם לבדוק בנפרד איזו רמת אבטחה חלה על המאגר – בלי המסמך הזה קשה להראות שבדקתם את מה שהחוק דורש, גם אם בפועל אתם בסדר.
שאלות נפוצות
כמה עולה בפועל להפר את תיקון 13?
תלוי איזה מסלול. עיצום כספי מתחיל מסכום שקובע החוק לפי סוג ההפרה ורמת האבטחה של המאגר – למשל 80,000 ש"ח או 320,000 ש"ח (ברמת אבטחה בינונית או גבוהה בהתאמה) על אי-דיווח מיידי, לפני הפחתות ותקרות אפשריות. במקרה של מאוחדת, לאחר הפחתות, זה עמד על כ-256,000 ש"ח. לגבי הסכומים, חשוב לא לערבב בין שני מסלולי הפיצוי ללא הוכחת נזק: במסלול החדש שהוסיף תיקון 13, בית המשפט רשאי לפסוק עד 10,000 ש"ח בגין ההפרות הספציפיות שהחוק מונה. במסלול הוותיק של פגיעה בפרטיות קיימת תקרה נפרדת שמתעדכנת בהתאם למדד – אם זה רלוונטי לכם, שווה לבדוק מול עורך דין איזה מסלול חל.
מה ההבדל בין עיצום כספי לתביעה אזרחית?
עיצום כספי הוא קנס מנהלי שהרשות מטילה ביוזמתה, בלי תלות בתביעה של מישהו, והכסף הולך למדינה. תביעה אזרחית – כולל פיצוי ללא הוכחת נזק – מוגשת על ידי אדם פרטי שנפגע, והפיצוי הולך אליו. בנסיבות המתאימות, אותה התנהלות יכולה ליצור גם חשיפה לעיצום כספי וגם עילת תביעה אזרחית, אבל לא כל הפרה מתאימה לשני המסלולים.
האם עסק קטן באמת בסיכון?
כן. גודל העסק כשלעצמו לא פוטר מהחוק ולא מונע פיקוח או עיצום. עם זאת, סוג המאגר, רמת האבטחה, סוג המידע והיקף העיבוד משפיעים על החובות ועל החשיפה בפועל. חובת הדיווח המיידי על אירוע אבטחה חמור – זו שבגללה נקנסה מאוחדת – נקבעת לפי סיווג רמת האבטחה של המאגר, לא לפי גודל העסק, ורלוונטית למאגרים ברמת אבטחה בינונית או גבוהה. גם עסק קטן יכול להיות במצב הזה, בהתאם לסוג ולהיקף המידע שהוא מחזיק – שווה לבדוק, לא להניח.
האם יש עונש מאסר על הפרת תיקון 13?
כן, אבל רק על עבירות פליליות ספציפיות שהתיקון קבע – למשל עיבוד מידע אישי ממאגר בלי הרשאה, או מסירת פרטים כוזבים בכוונה להטעות. בחלקן החוק קובע במפורש יסוד של כוונה, ובאחרות הוא אינו מנוסח באותו אופן. בכל מקרה, זה לא הכלי שמשמש נגד תקלה או איחור בדיווח.
מתי לקוח או גולש יכולים לתבוע אותי ישירות?
בשני מצבים עיקריים: המצב הראשון – אם הם טוענים לפגיעה כללית בפרטיות, למשל פרסום מידע פרטי שלהם בלי הסכמה. מדובר בעילת תביעה שקיימת בחוק עוד מראשיתו, ועוד לפני תיקון 13 כבר הייתה בחוק גם אפשרות לפסוק בגין פגיעה כזו פיצוי ללא הוכחת נזק. המצב השני – אם הם טוענים שהפרתם חובה ספציפית הקשורה למאגר המידע שלכם, כמו אי-מתן הודעה או אי-מימוש זכות עיון או תיקון. שני המסלולים נפרדים מבחינה משפטית ומבחינת הסכומים.
האם הרשות תמיד מטילה עיצום כספי כשיש הפרה?
לא בהכרח. בנסיבות שנקבעו בדין – כשיש יסוד סביר להניח שהייתה הפרה ומתקיימים תנאים שקבע שר המשפטים – ראש הרשות יכול למסור התראה מינהלית בלבד, במקום להטיל עיצום כספי. זה כלי נפרד ופחות דרסטי, שהחוק מסמיך להשתמש בו בנסיבות שנקבעו בדין.
סיכום ומה לעשות עכשיו
הקנסות של תיקון 13 כבר לא תיאורטיים – יש תקדים אמיתי, על עסק גדול ומוכר, בגלל הפרה קונקרטית של חובת דיווח. עסקים קטנים אינם פטורים ממנגנוני האכיפה, אבל החשיפה בפועל תלויה מאוד בסוג המאגר, רמת האבטחה, סוג המידע וההפרה – למשל חובת הדיווח המיידי על אירוע אבטחה חמור תלויה בסיווג רמת האבטחה של המאגר שלכם, לא בגודל העסק. אבל הציפייה הכללית לנהל מידע אישי באחריות כן רלוונטית לכולם. אם קראתן עד כאן ולא בטוחות איפה אתן עומדות – זה בדיוק המקום להתחיל לברר, לא להניח.
המדריך הזה הוא חלק מהמדריך המלא לתיקון 13 – לכל מה שצריך לדעת על תיקון 13 ←
המידע במאמר נועד להסבר כללי ואינו מהווה ייעוץ משפטי.