MindfulWebNerd
מעקב אכיפה · תיקון 13

עיצומים וקנסות לפי תיקון 13:
מעקב אכיפה של הרשות להגנת הפרטיות

כאן מרוכזות פעולות האכיפה שהרשות להגנת הפרטיות פרסמה מאז שתיקון 13 נכנס לתוקף באוגוסט 2025. לכל מקרה: מה הופר, כמה זה עלה, ומה כדאי לבדוק באתר ובעסק שלכם כדי שזה לא יקרה גם לכם.

עודכן לאחרונה: 12.10.2026 מקור: הודעות רשמיות של הרשות באתר gov.il

תמונת מצב

3

עיצומים כספיים שפורסמו לפי תיקון 13

256,000 ₪

העיצום הגבוה: קופת חולים מאוחדת

12,000 ₪

העיצום הנמוך: עסק פרטי קטן, בגלל טופס הרשמה

  • לא רק גופים גדולים: בין מקבלי העיצומים יש קופת חולים, עירייה ועסק קרטינג קטן, שנבדק בעקבות תלונה של לקוחה אחת.
  • הפחתות כן, תירוצים לא: הרשות הפחיתה סכומים כשלא היו הפרות קודמות וכשהעסק תיקן, אבל דחתה טענות כמו "זוטי דברים" ו"תום לב", וגם את הטענה שלא היה מספיק זמן להיערך לתיקון.
  • האכיפה מתרחבת: מדצמבר 2025 הרשות מנהלת פיקוח רוחב ברשויות מקומיות, בחברות סחר אונליין, באפליקציות נפוצות, במכוני סקר גנטי ובצהרונים.

טבלת העיצומים לפי תיקון 13

מהחדש לישן. הסכום הוא העיצום הסופי. בסוגריים: הסכום שהרשות קבעה לפני שהפחיתה אותו (למשל בגלל היעדר הפרות קודמות), כשהיא פרסמה אותו.

תאריך פרסום

הגוף

עיצום

מה הופר

מקור

תאריך פרסום: 16.9.2026

הגוף: עיריית בית שמש (רשות מקומית)

עיצום: 64,000 ₪ (לפני הפחתה: 80,000 ₪)

מה הופר: ספק עם גישה מתמשכת למאגר לא תועד כ"מחזיק", ונוהל האבטחה לא הסדיר עבודה עם ספקים. תקנות אבטחת מידע, תקנות 2(א)(7) ו-15(א)(3).

מקור: הודעת הרשות

תאריך פרסום: 5.8.2026

הגוף: א.ד קרטינג חוצות (2014) בע"מ (עסק פרטי)

עיצום: 12,000 ₪ (לפני הפחתה: 20,000 ₪)

מה הופר: טופס הרשמה מקוון אסף ת"ז ופרטי ילד בלי הודעת יידוע, ומדיניות פרטיות מלאה לא הייתה באתר. סעיף 11 לחוק.

מקור: הודעת הרשות

תאריך פרסום: 21.7.2026

הגוף: קופת חולים מאוחדת

עיצום: 256,000 ₪ (אחרי הפחתה. הסכום המקורי לא פורסם)

מה הופר: אירוע אבטחה חמור דווח לרשות באיחור, כמה חודשים אחרי שהקופה ידעה עליו. תקנה 11(ד) לתקנות אבטחת מידע.

מקור: הודעת הרשות

המקרים בפירוט, ומה לבדוק אצלכם

עיריית בית שמש: ספק עם גישה למאגר שלא תועד (ספטמבר 2026)

עיצום כספי · 64,000 ₪ (80,000 ₪ לפני הפחתה של 20%) · תקנות 2(א)(7) ו-15(א)(3) לתקנות אבטחת מידע · הודעת הרשות

מה קרה: תקלה במערכת ה-GIS העירונית חשפה דרך אתר העירייה מידע רווחה, כולל מידע רפואי, על כ-4,600 תושבים.
מה הרשות קבעה: ספק שתמך במערכת והייתה לו גישה מתמשכת כמעט שנתיים הוא "מחזיק" במאגר, והוא לא הופיע במסמך הגדרות המאגר. נוהל האבטחה לא קבע כללים לעבודה עם ספקים. הטענה שתיקון 13 נכנס לתוקף שבוע לפני האירוע נדחתה: הייתה שנה להיערך.

מה לבדוק אצלכם

  • רשמו במסמך הגדרות המאגר כל ספק שיש לו גישה למידע: מי שבנה את האתר, CRM, הנהלת חשבונות, תמיכת IT.
  • ודאו שבנוהל האבטחה יש סעיף על ספקים: לאיזה מידע הם ניגשים, לאיזו מטרה ולכמה זמן.
  • בדקו שבהסכם עם כל ספק כזה יש התייחסות לאבטחת מידע.

להרחבה: מתי ספק נחשב "מחזיק" · מסמך הגדרות מאגר: המדריך המעשי · פרצת מידע אצל הספק

א.ד קרטינג חוצות: טופס הרשמה בלי הודעת יידוע (אוגוסט 2026)

עיצום כספי · 12,000 ₪ (20,000 ₪ לפני הפחתה) · סעיף 11 לחוק הגנת הפרטיות · הודעת הרשות

מה קרה: לקוחה שרצתה לרשום את בנה לפעילות נדרשה למלא בטופס מקוון ת"ז, תאריך לידה, טלפון, עיר מגורים ופרטי הילד, בלי שהוצגה לה הודעה לפי סעיף 11. היא התלוננה לרשות בדצמבר 2025.
מה הרשות קבעה: בתנאי השימוש ובמדיניות חסרו זכות העיון והתיקון, פרטי בעל השליטה ודרכי הקשר איתו, מטרות השימוש ולמי המידע יימסר. מדיניות פרטיות מלאה עלתה לאתר רק אחרי שהבירור נפתח. הטענות שמדובר ב"זוטי דברים" או ב"תום לב" נדחו, וכך גם הבקשה להסתפק בהתראה.

מה לבדוק אצלכם

  • עברו על כל טופס באתר ובדקו שליד כפתור השליחה יש הודעת יידוע קצרה וקישור למדיניות הפרטיות.
  • בדקו שהמדיניות כוללת את זהות העסק ודרכי הקשר, מטרות השימוש, למי המידע מועבר ואת זכות העיון והתיקון. Privacy Score בודק את הרכיבים האלה במדיניות (לא את הטפסים עצמם).
  • שאלו את עצמכם אם באמת צריך כל שדה בטופס. ת"ז בטופס הרשמה לפעילות מגדילה את החשיפה בלי צורך.

להרחבה: מדיניות פרטיות זה לא עמידה בחוק · איך לעדכן טופס הרשמה לפי תיקון 13

קופת חולים מאוחדת: דיווח באיחור על אירוע אבטחה חמור (יולי 2026)

עיצום כספי, הראשון לפי תיקון 13 · 256,000 ₪ אחרי הפחתות · תקנה 11(ד) לתקנות אבטחת מידע · הודעת הרשות

מה קרה: תקלה במערכת דיגיטלית של הקופה אפשרה במקרים מסוימים למבוטחים לראות מידע רפואי של קרובי משפחה. הקופה ידעה על כך כבר בנובמבר 2025, אבל דיווחה לרשות רק ב-27.1.2026, אחרי שהשלימה בדיקות פנימיות.
מה הרשות קבעה: חובת הדיווח קמה כשנודע על האירוע, לא כשהבדיקות מסתיימות. מספיק דיווח ראשוני על סמך מה שידוע באותו רגע, ואת השאר משלימים בהמשך.

מה לבדוק אצלכם

  • הגדירו מראש מי מחליט שאירוע הוא "חמור" ומי מדווח לרשות.
  • תעדו מתי נודע לכם על אירוע. מהרגע הזה השעון מתחיל לתקתק.
  • בדקו אם חובת הדיווח חלה על המאגר שלכם, ודעו איפה נמצא טופס הדיווח המקוון של הרשות לפני שצריך אותו.

להרחבה: אירוע אבטחה בעסק: מה חובה לעשות ומתי · הניתוח המלא של מקרה מאוחדת

החלטות בהליכים שנפתחו לפי הדין הקודם

ההליכים האלה נפתחו על אירועים מלפני שתיקון 13 נכנס לתוקף, ולכן הם לא נספרים בטבלה למעלה. ההחלטות פורסמו אחרי כניסת התיקון, והן מלמדות לא פחות.

משרד החינוך: מידע על תלמידים נשלח בקישור פתוח (אוקטובר 2026)

קביעת הפרה בהליך פיקוח, ללא עיצום · פורסם 8.10.2026 · סעיף 17 לחוק ותקנות אבטחת מידע · הודעת הרשות

מה קרה: קובץ עם מידע על כ-21,000 תלמידי חינוך מיוחד, כולל ת"ז וסוג המוגבלות, נשלח בקישור פתוח לגורמים מחוץ למשרד, דלף והופץ.
מה הרשות קבעה: המידע עבר בלי הצפנה ובלי הגבלת גישה, הופק על ידי עובדת שלא הייתה ברשימת בעלי ההרשאות, ולא היו מסמך הגדרות מאגר, נוהל אבטחה תקין וסקר סיכונים. הסמכת ISO 27001 לא פטרה את המשרד מהתקנות. ההליך נפתח מכוח הסמכויות שהיו לרשות לפני תיקון 13, ולא הוטל עיצום.

מה לבדוק אצלכם

  • אל תשתפו קבצים עם מידע אישי בקישור "כל מי שמחזיק בקישור". שתפו עם אנשים מסוימים בלבד.
  • בדקו שיש לכם מסמך הגדרות מאגר ונוהל אבטחה, גם אם יש לכם תקן או ספק IT שמטפל באבטחה.
  • עברו על רשימת מי שיכול לייצא נתונים מהמערכות, והסירו הרשאות שלא צריך.

להרחבה: מסמך הגדרות מאגר ורמת אבטחה · מה חייבים לעשות לפי תקנות אבטחת המידע

עובדת לשעבר בביטוח הלאומי: שליפת מידע לצורך אישי (ספטמבר 2025)

קנס מינהלי על העובדת עצמה · 75,000 ₪ · סעיף 8(ב) לחוק · פורסם 16.9.2025 · הודעת הרשות

בשנים 2020-2021 שלפה העובדת מידע ממאגרי המוסד על גרושתו של בן זוגה ובני משפחתה, 15 פעמים, לצורך סכסוך אישי. השליפות התגלו בדוחות הלוגים של המערכת. הלקח: תיעוד של מי ניגש למידע הוא מה שמאפשר לחשוף שימוש לרעה, והאחריות יכולה להגיע גם לעובד עצמו.

מה המקרים מלמדים

  • אף מקרה לא עסק במתקפת סייבר מתוחכמת. בכולם הבעיה הייתה בסיסית: דיווח שהתעכב, הודעה שלא הוצגה, ספק שלא תועד, מסמכים שלא היו קיימים.
  • המסמכים הם לא בירוקרטיה. מסמך הגדרות מאגר ונוהל אבטחה חסרים או לא מעודכנים הופיעו גם במקרה של בית שמש וגם במקרה של משרד החינוך.
  • הספקים שלכם הם חלק מהמאגר שלכם. ספק עם גישה צריך להיות מתועד ומוסדר, גם כשהוא "רק תומך במערכת".
  • האתר הוא נקודת הכניסה. טופס בלי הודעת יידוע הספיק לעיצום, גם בעסק קטן וגם בעקבות תלונה אחת.

רוצים לדעת אם האתר שלכם היה עומד בבדיקה?

את מדיניות הפרטיות אפשר לבדוק כבר עכשיו: Privacy Score, כלי חינמי שבניתי, בודק אם היא מכסה את הרכיבים שחסרו במקרה הקרטינג. את כל השאר, הטפסים, הספקים והמסמכים, אני בודק ומסדר בליווי פרטיות לעסקים.

לבדיקת המדיניות ב-Privacy Score ליווי פרטיות לעסקים

גוף ציבורי או ארגון שחייב במינוי ממונה? שירות DPO חיצוני

מה נכלל בעמוד

פעולות אכיפה שהרשות להגנת הפרטיות פרסמה בהודעות רשמיות ב-gov.il: עיצומים כספיים, קנסות וקביעות הפרה. כל שורה מקושרת להודעה המקורית. הרשימה לא ממצה, וחקירות שעדיין לא הסתיימו בהחלטה לא נכללות.

להבין איך מחושב עיצום ומה החשיפה של עסק קטן: קנסות בתיקון 13: כמה זה באמת עולה. לתמונה המלאה ולמסלול ההיערכות: מדריך תיקון 13 לעסקים.

המידע בעמוד מבוסס על פרסומים פומביים של הרשות להגנת הפרטיות ונועד להסבר כללי בלבד. הוא אינו ייעוץ משפטי ואינו תחליף לבדיקה של המקרה שלכם. במקרה של סתירה, הנוסח בהודעה הרשמית קובע.