תוכן העניינים
אם הגעתם לכאן, כנראה שמישהו הזכיר לכם את הצירוף "פיצוי ללא הוכחת נזק" – אולי לקוח כתב לכם תלונה, אולי שמעתם על עסק אחר שנתבע, ואולי סתם ניסיתם להבין מה תיקון 13 בעצם משנה בשבילכם. זה אכן יכול לחול גם על עסק קטן שלא התכוון לפגוע באף אחד. מדובר בשני מנגנונים נפרדים וברורים בחוק, ורוב מה שיוצר חשיפה הוא דברים שאפשר לתקן בלי צוות משפטי. בפוסט הזה אני מסביר את שני המסלולים, מראה איפה עסקים קטנים בפועל נתקעים, ונותן רשימת בדיקה מעשית לצמצום הסיכון.
לגבי הדין החל: הפוסט מתייחס לחוק הגנת הפרטיות הישראלי, תשמ"א-1981, ולשני תיקונים בו – תיקון 9 משנת 2007 (שהוסיף את סעיף 29א) ותיקון 13 משנת 2025 (שהוסיף את סעיף 15א ונכנס לתוקף באוגוסט 2025).
עיקרי הדברים
- "פיצוי ללא הוכחת נזק" הוא לא מנגנון אחד – יש שני מסלולים נפרדים בחוק, עם סכומים ותנאים שונים.
- המסלול הראשון (סעיף 15א, שנוסף בתיקון 13) חל על רשימה מוגדרת של הפרות ספציפיות, בתקרה של עד 10,000 ש"ח – ולחלק מהן יש תנאים מקדימים, לא כל הפרה מזכה אוטומטית בפיצוי.
- המסלול השני (פגיעה "קלאסית" בפרטיות, סעיף 29א) מאפשר לבית המשפט לפסוק פיצוי גם בלי שהתובע יוכיח נזק ממשי – בסיס של 50,000 ש"ח שמתעדכן לפי המדד, ועד כפל הסכום במקרה שהוכחה כוונה לפגוע.
- רוב המצבים שחושפים עסק קטן הם לא "ריגול" אלא דברים יומיומיים: פרסום תמונה בלי אישור, מצלמה במקום הלא נכון, או התעלמות ממייל של לקוח שביקש לעיין במידע שלו.
- אפשר לצמצם משמעותית את החשיפה בלי להפוך למומחה פרטיות – בעיקר עם תהליך סדור של הסכמות ותגובה לבקשות.
מה זה בעצם "פיצוי ללא הוכחת נזק"?
בתביעה רגילה, מי שתובע צריך להוכיח שנגרם לו נזק ממשי – ולפעמים גם כמה. בתביעות פרטיות זו דרישה בעייתית: איך מכמתים "נזק" מזה שמישהו צילם אתכם בלי רשות, או השתמש בפרטים שלכם למטרה אחרת ממה שהסכמתם לה? בדיוק בשביל זה קיים המנגנון של פיצוי ללא הוכחת נזק – המחוקק קבע שבמצבים מסוימים, בית המשפט יכול לפסוק פיצוי גם בלי שהתובע יראה כמה בדיוק הוא הפסיד.
זו בדיוק הסיבה שכדאי להכיר את המנגנון הזה מראש: הוא לא דורש "נזק אמיתי וגדול" כדי לחול. גם פגיעה שנראית לכם זניחה יכולה להיכנס לאחת הקטגוריות שהחוק מכיר בהן – ולכן שווה להכיר את הגבולות לפני שמגיעים למצב כזה, לא אחרי.
הבסיס החוקי: סעיף 15א, שנוסף בתיקון 13, מכסה רשימה מוגדרת של הפרות ספציפיות – עד 10,000 ש"ח לפיצוי ללא הוכחת נזק, בלי הכפלה.
סעיף 29א, הוותיק יותר, קובע בסיס של 50,000 ש"ח לפיצוי ללא הוכחת נזק בגין פגיעה בפרטיות לפי סעיף 2. הסכום מתעדכן לפי המדד, ועד כפל הסכום המעודכן אם הוכח שהפגיעה נעשתה בכוונה לפגוע. הסעיף נוסף לחוק בתיקון 9 משנת 2007 – העוולה עצמה קיימת כבר מ-1981. לפני שמסתמכים על מספר מדויק, כדאי לבדוק את הסכום המעודכן להיום.
המסלול הראשון: הפרות ספציפיות לפי סעיף 15א (תיקון 13)
תיקון 13 (מאוגוסט 2025) הוסיף בסעיף 15א אפשרות לפיצוי של עד 10,000 ש"ח ללא הוכחת נזק, בגין רשימה מוגדרת של הפרות שהחוק מונה – לא בגין "פגיעה בפרטיות" במובן הקלאסי שאני מסביר בהמשך. חשוב לדעת: לחלק מההפרות האלה יש תנאים מקדימים, ולכן לא כל הפרה מזכה אוטומטית בפיצוי. כמה דוגמאות:
- מאגר שחייב ברישום ולא נרשם, בכפוף לתנאים שקובע הסעיף.
- הפרת זכות העיון לפי סעיף 13 – לא לאפשר לאדם לראות מידע שקיים עליו אצלכם.
- הפרות מסוימות של החובות הנוגעות לתיקון מידע לפי סעיף 14.
בחלק מהמקרים החוק נותן לבעל השליטה חלון זמן לתקן את ההפרה אחרי פנייה של נושא המידע, למשל לרשום מאגר שחייב ברישום. במקרים אחרים התנאים שונים, ולכן לא נכון להניח שתמיד קיימת תקופת תיקון לפני שנוצרת החשיפה.
המדריך המלא לתיקון 13: הפוסט הזה מתמקד בפיצוי האזרחי, אבל תיקון 13 שינה עוד הרבה דברים – קנסות מנהליים, חובות דיווח, ואחריות פלילית. אם אתם רוצים תמונה מלאה, ריכזתי הכול במדריך המלא לתיקון 13.
המסלול השני: פגיעה "קלאסית" בפרטיות (סעיף 29א)
לצד המסלול שתואר למעלה, קיים גם המסלול הוותיק יותר: העוולה של פגיעה בפרטיות שבפרק א' לחוק הגנת הפרטיות, מ-1981. האפשרות לפסוק פיצוי ללא הוכחת נזק בגין הפגיעה הזו נוספה לחוק מאוחר יותר – בתיקון 9 משנת 2007, בסעיף 29א. סעיף 2 לחוק מונה שורה של מצבים שנחשבים לפגיעה בפרטיות – בין היתר: צילום אדם במקום פרטי, פרסום תמונה שעלולה להשפיל, שימוש בשם או בתמונה של מישהו למטרות רווח בלי רשות, הפרת חובת סודיות, ושימוש במידע אישי למטרה שונה מזו שלשמה הוא נמסר.
אילו מצבים נכנסים לקטגוריה הזו?
אם אתם עסק שאוסף מידע, מצלם לקוחות, או משתמש בתמונות/עדויות של לקוחות – אתם בטווח הפוטנציאלי. זה לא דורש כוונה רעה: עסק שמעלה "לפני ואחרי" של לקוח לרשת החברתית בלי אישור מפורש, נמצא באותה קטגוריה משפטית כמו מקרים חמורים בהרבה – גם אם בכוונה טובה לגמרי. שימו לב: הכפלת הפיצוי דורשת שיוכח שהפגיעה נעשתה בכוונה לפגוע – לא רק שהיא חוזרת על עצמה.
מתי החוק כן מגן עליכם
אם האדם נתן הסכמה מדעת ותקפה לפעולה, בדרך כלל לא מתקיימת אותה "פגיעה" שהחוק אוסר – הסכמה היא עיקרון נפרד מהגנות סעיף 18, לא חלק מהן. בנוסף, סעיף 18 לחוק קובע הגנות שעשויות לעמוד למי שפגע בפרטיות בנסיבות מסוימות – למשל פעולה בתום לב למילוי חובה חוקית או מוסרית, או הגנה על עניין אישי כשר. ההגנות האלה תלויות מאוד בנסיבות הספציפיות של כל מקרה, ולא כדאי לבנות עליהן כתחליף להסכמה מסודרת מראש.
הרשות להגנת הפרטיות ציינה בגילוי דעת מ-2026 שבמצבים של פערי כוחות, למשל ביחסי עבודה, צריך לבחון בזהירות מיוחדת אם ההסכמה באמת ניתנה מרצון חופשי. ככל שלנושא המידע אין אפשרות מעשית לסרב בלי השלכה שלילית, קשה יותר להסתמך על ההסכמה כבסיס תקף. לכן כדאי גם לתעד היטב את אופן קבלת ההסכמה.
מצבים נפוצים שחושפים עסקים קטנים
אלה המקרים האפשריים בעסקים קטנים שכדאי לשים לב אליהם. רובם נוגעים ללקוחות, אבל אותם כללים חלים גם על העובדים שלכם – גם מידע שמנוהל על עובדים עשוי להיכלל במאגר מידע, וגם מצלמה שמכסה את המשרד יכולה להיחשב פגיעה בפרטיות של מי שעובד שם, לא רק של לקוחות. הרחבתי על כך בפרטיות עובדים: גם קובץ העובדים שלכם הוא מאגר מידע.
- התעלמות ממייל של לקוח שמבקש לעיין במידע שלו, או לתקן מידע שאינו נכון או מעודכן. אם אתם לא בטוחים איך מטפלים בבקשה כזו נכון, כתבתי מדריך מעשי לטיפול בבקשות עיון ותיקון.
- מאגר מידע שמעולם לא נבדק אם הוא חייב ברישום. לא כל מאגר חייב, אבל שווה לבדוק – ריכזתי את זה במדריך לבדיקה עצמית: האם אתם צריכים לרשום מאגר מידע.
- עובד שמשתמש או משתף פרטי לקוח למטרה שלא קשורה לסיבה שהם נאספו.
- העברת מידע לספק חיצוני בלי לבדוק מה מותר לו לעשות בו. שימוש ב-CRM, חברת משלוחים או כלי דיוור לא אסור כשלעצמו, אבל צריך לוודא שהעברת המידע והשימוש של הספק תואמים למטרה שלשמה המידע נאסף, שהספק מעבד רק את המידע הדרוש לצורך השירות, ושההתקשרות איתו מוסדרת כנדרש. שימוש של הספק או של העסק במידע למטרה אחרת עלול כבר ליצור בעיית פרטיות נפרדת.
- פרסום תמונה או עדות של לקוח בלי הסכמה מתאימה. בפרסום מסחרי של תמונה, שם או עדות, עדיף שההסכמה תהיה מפורשת ומתועדת ולא להסתמך על סעיף כללי בתקנון.
- מצלמת אבטחה שמכסה שטח שיכול להיחשב פרטי – חדר הלבשה, משרד, חדר הפסקה – ולא רק מול לקוחות, גם מול עובדים. שילוט לא הופך צילום במקום רגיש ללגיטימי – צריך לבדוק גם את מיקום המצלמה ואת הצורך האמיתי בה, לא רק להוסיף שלט.
מה עושים כדי לצמצם את החשיפה
זה לא דורש הפיכה למומחי פרטיות – בעיקר סדר:
- תהליך מסודר לבקשות עיון ותיקון, עם זמן תגובה קבוע – גם אם זה רק "מי אחראי לענות ותוך כמה זמן".
- בדיקה חד-פעמית האם המאגרים שלכם חייבים ברישום.
- הרשאות גישה מצומצמות – עובד צריך גישה רק למידע שרלוונטי לתפקיד שלו, ורק למטרה שלשמה הוא נאסף.
- בדקו מי מקבל את המידע מחוץ לעסק – ספקי משנה, כלי דיוור, שירותי משלוחים – וודאו שזה מתועד ומוזכר במדיניות הפרטיות.
- הסכמה מדעת ותקפה. החוק מכיר גם בהסכמה מכללא, אבל במצבים רגישים – פרסום תמונה, עדות, שימוש בשם – עדיף הסכמה מפורשת ובכתב על פני הסתמכות על צ'קבוקס גנרי בתקנון.
- בדקו את מיקום המצלמות, את נחיצות הצילום ואת היידוע. שילוט הוא חלק מהתהליך, לא פתרון בפני עצמו.
כחלק מהבדיקה, שווה גם להריץ את הטקסט של מדיניות הפרטיות שלכם ב-Privacy Score – כלי חינמי שפיתחתי שבודק את הניסוח שלה ומחזיר ציון ונקודות לשיפור. הוא בודק את מה שכתוב במדיניות, לא אם התהליכים בפועל אכן מסודרים – ולכן הוא לא מחליף בדיקה משפטית, אבל כן עוזר לאתר פערים בולטים בניסוח במהירות.
זה לא אותו דבר: פרטיות מול חוק הספאם. הרבה בעלי עסקים מערבבים בין החשיפה הזו לבין חוק הספאם (חוק התקשורת, סעיף 30א), שמסדיר שליחת הודעות שיווקיות בלי הסכמה. אלו שני חוקים נפרדים, עם דרישות ופיצויים שונים. הפוסט הזה עוסק רק בפגיעה בפרטיות לפי חוק הגנת הפרטיות – לא בדיוור שיווקי.
שאלות נפוצות
כמה כסף אפשר לתבוע בפיצוי ללא הוכחת נזק?
תלוי במסלול. במסלול שנוסף בסעיף 15א אחרי תיקון 13, התקרה עומדת על עד 10,000 ש"ח, בלי מנגנון הכפלה, ולחלק מההפרות יש גם תנאים מקדימים. במסלול הקלאסי (סעיף 29א, פגיעה בפרטיות לפי סעיף 2) מדובר בבסיס של 50,000 ש"ח, המתעדכן לפי המדד, ועד כפל הסכום המעודכן כשהוכח שהפגיעה נעשתה בכוונה לפגוע. שני הסכומים הם תקרות שבית המשפט רשאי לפסוק – לא סכום מובטח.
האם עסק קטן באמת נמצא בסיכון?
כן, ולא בגלל כוונה רעה. רוב המקרים שאני רואה נובעים מתהליך שלא מסודר – תמונה שפורסמה בלי אישור מפורש, או מייל של לקוח שנשאר בלי מענה – ולא מפגיעה מכוונת.
מה ההבדל בין פיצוי ללא הוכחת נזק לבין קנס מנהלי מהרשות להגנת הפרטיות?
אלו שני דברים שונים. פיצוי ללא הוכחת נזק הוא תביעה אזרחית שאדם פרטי מגיש נגדכם. קנס מנהלי הוא סנקציה שהרשות להגנת הפרטיות מטילה ישירות, בסמכות שקיבלה בתיקון 13. פירטתי על זה במדריך על הקנסות המנהליים.
יש לי הסכמה בעל פה מלקוח – זה מספיק?
הסכמה בעל פה יכולה להיחשב תקפה, אבל הסכמה בכתב וספציפית לרוב עדיפה מבחינת תיעוד והוכחה – קשה הרבה יותר להוכיח הסכמה בעל פה אם זה מגיע לבירור.
האם לקוח יכול לדרוש שאמחק לגמרי את המידע שלו?
לא באופן גורף. בדין הישראלי אין זכות מחיקה כללית המקבילה ל-GDPR. סעיף 14 לחוק מאפשר בנסיבות מסוימות לבקש תיקון או מחיקה של מידע שאינו נכון, שלם, ברור או מעודכן. תיקון 13 לא יצר זכות כללית "להישכח"; סעיף 15א החדש הוסיף מסלול פיצוי ללא הוכחת נזק בגין הפרות מסוימות של החובות הקבועות בחוק.
סיכום
הדבר הכי חשוב לזכור: "פיצוי ללא הוכחת נזק" זה לא מנגנון אחד גדול ומפחיד – זה שני מסלולים מוגדרים בחוק, לכל אחד מהם תנאים משלו. זו חשיפה שכדאי להכיר, אבל אפשר לצמצם אותה משמעותית עם תהליכים פשוטים ומסודרים: הסכמה מדעת לפני פרסום או שימוש במידע אישי, בדיקה אמיתית – לא רק שילוט – לפני הצבת מצלמה, גישה מוגבלת למידע, ומענה סביר לבקשות לקוחות. אין צורך להפוך למומחי משפט כדי לצמצם משמעותית את הסיכון.
לא בטוחים מה מכל זה חל עליכם? בואו נבדוק יחד – שיחת היכרות קצרה בלי התחייבות. דברו איתי
המידע במאמר נועד להסבר כללי ואינו מהווה ייעוץ משפטי.