תיקון 13 לחוק הגנת הפרטיות: מה כל משווק ובעל עסק בישראל חייב לעשות עם מאגרי הלידים

התשובה הקצרה: תיקון 13 לחוק הגנת הפרטיות, שאושר בכנסת באוגוסט 2024 ונכנס לתוקף באוגוסט 2025, הוא השינוי הגדול ביותר בחוק מאז 1981. הוא מעביר את הדגש מרישום מאגרים לעיבוד מידע בפועל, מרחיב את ההגדרה של מידע רגיש, מחייב חלק מהגופים למנות ממונה הגנת פרטיות, ובעיקר נותן לרשות להגנת הפרטיות סמכות להטיל עיצומים כספיים משמעותיים, חלקם לפי מספר האנשים במאגר. לכל עסק שאוסף לידים, מנהל CRM, שולח דיוור או משתמש בפיקסלים, המשמעות ברורה: צריך לדעת איזה מידע נאסף, למה, מי ניגש אליו, איך הוא מאובטח ואיך נמחק. זה לא רק סיכון משפטי, זו גם היגיינה עסקית שמשפרת את איכות הנתונים. המדריך הזה הוא מידע מעשי למשווקים ואינו ייעוץ משפטי.

מה זה תיקון 13, ולמה הוא משנה את העבודה של משווקים?

תיקון 13 הופך את חוק הגנת הפרטיות מחוק שנאכף לעיתים רחוקות לחוק עם שיניים. הוא חל על כל מי שמחזיק ומעבד מידע אישי, כולל עסקים קטנים שמנהלים רשימת לידים.

לפי ויקיפדיה, שמצטטת את הודעת משרד המשפטים מ-5 באוגוסט 2024, הכנסת אישרה את התיקון בקריאה שנייה ושלישית, והוא מתואר כשינוי המקיף ביותר בחוק מאז חקיקתו. התיקון מקרב את הרגולציה הישראלית לגישה האירופאית: הדגש עובר מ"מאגרי מידע" ל"עיבוד מידע". כלומר, השאלה היא לא רק אם רשמתם מאגר, אלא מה אתם עושים עם המידע בכל שלב.

למה זה נוגע ישירות לשיווק? כי שיווק דיגיטלי מודרני הוא בעיקר עיבוד מידע אישי: טפסי לידים, CRM, רשימות דיוור, קהלים מותאמים שמועלים ל-Meta ולגוגל, פיקסלים, הקלטות שיחות, אוטומציות וואטסאפ. כל אחד מהם הוא נקודה שבה החוק חל.

פעילות שיווקית	מה היא כוללת מבחינת מידע	מה לבדוק
טפסי לידים באתר ובמטא	שם, טלפון, מייל, לפעמים מידע על צורך רפואי או פיננסי	מה נאסף בפועל, האם יש הודעה ברורה על המטרה
CRM	כל המידע על הלקוח, היסטוריית שיחות, הערות	מי ניגש, הרשאות, תקופת שמירה
דיוור ו-SMS	רשימות תפוצה	הסכמה מתועדת, מנגנון הסרה
קהלים מותאמים	העלאת רשימות לקוחות לפלטפורמות פרסום	בסיס חוקי, הודעה בפרטיות, הצפנה
פיקסלים ותגים	נתוני גלישה ומזהים	מדיניות עוגיות, הסכמה, המרות משופרות
אוטומציות וואטסאפ ושיחות	הודעות, הקלטות, תמלולים	הסכמה, אבטחה, ספקים חיצוניים

מה השתנה בפועל? חמשת השינויים שחשובים למשווקים

חמשה שינויים בתיקון רלוונטיים במיוחד לעסקים שמשווקים: הגדרות רחבות יותר, חובות רישום והודעה ממוקדות, ממונה הגנת פרטיות, עיצומים כספיים ופיצוי בלי הוכחת נזק.

1. מידע בעל רגישות מיוחדת

לפי סעיף 3 בנוסח המעודכן, "מידע בעל רגישות מיוחדת" כולל בין היתר מידע על בריאות, מידע גנטי וביומטרי, מוצא, נתוני מיקום ותעבורה, ושכר ופעילות פיננסית. לעסקים בתחומי בריאות, אסתטיקה, פיננסים, ביטוח ונדל״ן, זה אומר שטופס ליד שמבקש "מה הבעיה הרפואית" או "מה ההכנסה החודשית" אוסף מידע רגיש, עם חובות ועיצומים מחמירים יותר.

2. רישום מאגר והודעה לרשות

לפי סעיף 8א, חובת רישום חלה על מאגר שמטרתו העיקרית איסוף מידע לצורך מסירתו לאחרים, כולל שירותי דיוור ישיר, עם מידע על יותר מ-10,000 איש, ועל מאגרים של גופים ציבוריים. מאגר שלא חייב ברישום, אבל מכיל מידע רגיש על יותר מ-100,000 איש, מחייב הודעה לרשות תוך 30 יום. רוב העסקים שמנהלים לידים לשימוש עצמי לא יחויבו ברישום, אבל הם עדיין כפופים לכל שאר החוק.

3. ממונה הגנת פרטיות

לפי סעיף 17ב1, חובת מינוי חלה על גופים ציבוריים, על סוחרי מידע עם מאגר של יותר מ-10,000 איש, על מי שעיקר פעילותו ניטור שיטתי של אנשים בהיקף גדול, ועל מי שעיקר פעילותו עיבוד מידע רגיש בהיקף גדול, כמו בנקים, חברות ביטוח, בתי חולים וקופות חולים. חברות טכנולוגיה ופרסום שעוסקות בניטור התנהגות גולשים בהיקף גדול צריכות לבדוק אם הן בתוך ההגדרה.

4. עיצומים כספיים

זה השינוי שהופך את החוק לממשי. הסכומים מפורטים בהמשך.

5. פיצוי בלי הוכחת נזק

לפי סעיף 15א, בית משפט יכול לפסוק עד 10,000 ש״ח לכל הפרה בלי הוכחת נזק, במקרים שמפורטים בחוק, למשל אי-היענות לבקשה לעיון במידע או למחיקה, או עיבוד מידע במאגר שלא נרשם אחרי דרישה. המשמעות: גם לקוח בודד יכול לתבוע.

כמה עולה הפרה? העיצומים לפי הנוסח המעודכן

העיצומים נעים מאלפי שקלים ועד מאות אלפי שקלים, וחלקם מחושבים לפי מספר האנשים במאגר. במאגר של עשרות אלפי לידים, הסכום מצטבר מהר.

הטבלה הבאה מבוססת על סעיף 23כו לחוק כפי שמופיע בנוסח המעודכן בוויקיטקסט, כולל הסכומים המעודכנים ל-2026. זו תמצית, לא רשימה מלאה, וההגדרות המדויקות של כל הפרה מופיעות בחוק.

סוג הפרה (בתמצית)	סכום בסיס בחוק	סכום מעודכן ל-2026
הפרות מסוימות של רישום והודעה	עד 150,000 ש״ח (כפול כשמעורבים מיליון איש ומעלה)	153,540 ש״ח
אי-מתן עיון או תיקון במידע והפרות דומות	עד 15,000 ש״ח	15,350 ש״ח
הפרות בדיוור ישיר	50 ש״ח לכל אדם שפנו אליו, 100 ש״ח במידע רגיש, מינימום 30,000 ש״ח	51.18 / 102.36 ש״ח לאדם, מינימום 30,710 ש״ח
הפרות מסוימות בהחזקת מידע	2 ש״ח לאדם במאגר, 4 ש״ח במידע רגיש, עם סכומי מינימום	2.05 / 4.09 ש״ח לאדם
הפרות חמורות יותר	4 ש״ח לאדם (8 במידע רגיש), מינימום 200,000 ש״ח	4.09 / 8.19 ש״ח לאדם, מינימום 204,720 ש״ח
אי-מסירת מסמכים למפקח	300,000 ש״ח	307,080 ש״ח

מה מרכך ומה מחמיר

• תקרת מחזור: לפי התוספת החמישית, אם העיצום עולה על 5% ממחזור העסקאות, הוא יופחת ל-5%.
• עסקים קטנים: החוק מגדיר "עסק זעיר" כעסק עם מחזור של עד 4 מיליון ש״ח בשנה הקודמת, ו"עסק קטן" עם מחזור של 4 עד 10 מיליון ש״ח, וקובע להם תקרות מופחתות, למשל בקטגוריה הראשונה 20,000 ש״ח לעסק זעיר ו-40,000 ש״ח לעסק קטן (20,470 ו-40,940 ש״ח ב-2026).
• הפחתות: הרשות יכולה להפחית את העיצום בנסיבות מסוימות, אבל ההפחתה המצטברת לא תעלה על 70%.
• הפרה נמשכת וחוזרת: לפי סעיף 23ל, על הפרה נמשכת נוסף חלק המאה מהעיצום לכל יום, והפרה חוזרת תוך שנתיים מוסיפה סכום השווה לעיצום.

דוגמה חשבונית להמחשה בלבד: לפי הסכום המעודכן, הפרה בדיוור ישיר לרשימה של 20,000 איש מחושבת לפי 51.18 ש״ח לאדם, כלומר יותר ממיליון ש״ח לפני תקרות והפחתות. גם אחרי תקרה של 5% מהמחזור או התקרות לעסקים קטנים, זה סכום שאף עסק לא רוצה לשלם.

מה עסק צריך לעשות עם מאגר הלידים וה-CRM?

הצעד הראשון הוא מיפוי: איזה מידע נאסף, איפה הוא נשמר, מי ניגש אליו ומתי הוא נמחק. בלי מיפוי אי אפשר לעמוד באף אחת מהחובות.

מיפוי ומסמך הגדרות

תקנות הגנת הפרטיות (אבטחת מידע) מ-2017 מחייבות מסמך הגדרות למאגר: אילו נתונים נאספים, לאילו מטרות, האם מועברים לחו״ל, מה הסיכונים העיקריים ומי אחראי. המסמך צריך להתעדכן בשינויים מהותיים ולעבור סקירה שנתית. לעסק שיווקי זה כולל את ה-CRM, את מערכת הדיוור, את גיליונות הלידים ואת ספקי האוטומציה.

רמות אבטחה

התקנות מגדירות רמות אבטחה בסיסית, בינונית וגבוהה. לפי התוספות לתקנות, מאגרים של דיוור ישיר, מידע רפואי, ביומטרי או פיננסי הם ברמה בינונית לפחות, ומאגרים כאלה עם מידע על 100,000 איש ומעלה או עם יותר מ-100 בעלי הרשאה הם ברמה גבוהה. ברמה בינונית ומעלה נדרשים, בין היתר, תיעוד גישה אוטומטי שנשמר 24 חודשים לפחות, אמצעי זיהוי חזקים וביקורת תקופתית.

הרשאות ומינימום מידע

• תנו גישה ל-CRM רק למי שצריך, ברמת ההרשאה שהוא צריך. נציג מכירות לא צריך לייצא את כל המאגר.
• בטלו הרשאות של עובדים, פרילנסרים וסוכנויות שסיימו לעבוד איתכם.
• אל תאספו מידע שאתם לא צריכים. כל שדה בטופס הוא גם התחייבות.
• הגדירו תקופת שמירה: ליד שלא נסגר אחרי שנתיים, למשל, נמחק או עובר אנונימיזציה.

אירוע אבטחה

לפי תקנה 11, אירוע אבטחה חמור מחייב הודעה מיידית לרשות. גם אירועים קלים יותר צריכים תיעוד. לעסק שיווקי, אירוע אבטחה יכול להיות גיליון לידים ששותף בטעות בקישור פתוח, או חשבון CRM של עובד שנפרץ.

על בחירת CRM והגדרות נכונות הרחבנו במדריך ה-CRM.

דיוור, וואטסאפ ו-SMS: מה מותר אחרי תיקון 13?

שיווק ישיר בישראל כפוף לשני חוקים במקביל: חוק הגנת הפרטיות, בעיקר לגבי דיוור ישיר ומאגרים, וסעיף 30א לחוק התקשורת, "חוק הספאם", לגבי דברי פרסומת בהודעות אלקטרוניות.

• הסכמה מראש: שליחת דבר פרסומת במייל, SMS או הודעה אלקטרונית אחרת מחייבת הסכמה מפורשת מראש, בכפוף לחריגים מצומצמים בחוק. תיבה מסומנת מראש בטופס היא לא הסכמה מפורשת.
• תיעוד: שמרו מתי, איפה ואיך כל אדם נתן הסכמה. טופס Meta, דף נחיתה, שיחה. בלי תיעוד, קשה להוכיח.
• הסרה: כל הודעה צריכה לכלול דרך פשוטה להסיר, וההסרה צריכה לעבוד בפועל, בכל המערכות.
• דיוור ישיר: דיוור ישיר כפוף גם להוראות חוק הגנת הפרטיות, כולל ציון שמדובר בדיוור ישיר, זהות המאגר וזכות להימחק ממנו.
• וואטסאפ: הודעות שיווקיות בוואטסאפ, כולל דרך WhatsApp Business API, כפופות לאותם עקרונות, ובנוסף למדיניות של Meta, שמחייבת הסכמה. מענה לליד שפנה אליכם ביוזמתו שונה מהודעת פרסומת יזומה.

על בניית אוטומציות וואטסאפ שמכבדות את הכללים הרחבנו במדריך אוטומציות הוואטסאפ.

פיקסלים, קהלים מותאמים והמרות משופרות

כלי המדידה והפרסום המודרניים מעבדים מידע אישי, ולכן גם הם צריכים להיכנס למיפוי ולמדיניות הפרטיות.

• קהלים מותאמים: העלאת רשימת לקוחות ל-Meta או לגוגל היא העברה של מידע אישי לצד שלישי, גם כשהוא מוצפן לפני ההעלאה. ודאו שמדיניות הפרטיות מציינת זאת, ושהמידע נאסף בהקשר שמאפשר את השימוש.
• פיקסל ו-CAPI: שליחת נתוני המרה מהשרת, כולל מייל או טלפון מוצפנים, משפרת את המדידה, אבל היא עיבוד מידע. הגדירו מה נשלח, ואל תשלחו מידע רגיש, כמו פרטים רפואיים, בפרמטרים של אירועים. ראו מדריך הפיקסל וה-CAPI.
• עוגיות והסכמה: בישראל אין דרישה מפורשת זהה לאירופה לבאנר עוגיות, אבל שקיפות היא חובה, ואתר שפונה גם לגולשים מאירופה כפוף לדין האירופאי.
• העברה לחו״ל: רוב כלי השיווק מאחסנים מידע מחוץ לישראל. יש תקנות ייעודיות להעברת מידע לחו״ל, וכדאי שהיועץ המשפטי יבדוק את הספקים המרכזיים.

מה זה אומר לעסקים בישראל ב-2026?

החוק בתוקף יותר משנה, והתשתית לאכיפה ממשיכה להיבנות. מי שעוד לא התחיל, נמצא באיחור, אבל לא מאוחר מדי.

• סכומים מעודכנים: הנוסח המעודכן של החוק כבר כולל את סכומי העיצומים המעודכנים ל-2026, כך שהם לא תיאורטיים.
• התראה מינהלית: לפי הנוסח המעודכן, הותקנו תקנות בנושא התראה מינהלית (התשפ״ו–2026). התראה היא לרוב שלב לפני עיצום, ומי שמקבל אותה צריך לפעול מהר.
• אכיפה: לרשות סמכויות פיקוח וחקירה מורחבות, והיא יכולה לבקש מבית משפט צו להפסקת עיבוד, כולל מחיקה. מומלץ לעקוב אחרי הפרסומים באתר הרשות להגנת הפרטיות לגבי הנחיות והחלטות אכיפה.
• תביעות: הפיצוי בלי הוכחת נזק פותח פתח לתביעות של לקוחות בודדים ולתביעות ייצוגיות. זה סיכון שקיים גם בלי פעולה של הרשות.
• ספקים וסוכנויות: אם סוכנות או פרילנסר ניגשים למאגר שלכם, הם חלק מהשרשרת. התקנות מחייבות בקרה חוזית על מיקור חוץ.

שאלות שעדיין פתוחות

כמו בכל חוק חדש, חלק מהשאלות המעשיות ייסגרו רק עם הנחיות הרשות ופסיקה. למשל: מתי ניטור התנהגות גולשים לצורכי פרסום נחשב "ניטור שיטתי בהיקף גדול" שמחייב ממונה, איך יפורשו חובות השקיפות לגבי קהלים מותאמים, ואיך יחושב "מספר האנשים במאגר" כשאותו אדם מופיע בכמה מערכות. בינתיים, הגישה הבטוחה היא לפעול לפי העיקרון: אוספים רק מה שצריך, מסבירים בבירור מה עושים עם זה, ומאבטחים ברמה שמתאימה לרגישות המידע.

צ'קליסט: מה לעשות עכשיו

1. מפו את המידע: רשימה של כל מקום שבו נשמר מידע על לידים ולקוחות: CRM, גיליונות, מערכת דיוור, וואטסאפ, תיבות מייל, פלטפורמות פרסום.
2. קבעו רמת אבטחה: לפי סוג המידע ומספר האנשים, ובדקו אם יש מידע רגיש.
3. כתבו מסמך הגדרות ונוהל אבטחה בסיסיים, ועדכנו אותם פעם בשנה.
4. צמצמו טפסים: הסירו שדות שלא צריך, במיוחד מידע רגיש. ראו צ'קליסט דף נחיתה.
5. הסכמה ותיעוד: תיבת הסכמה לא מסומנת מראש לדיוור, ושמירת תיעוד ההסכמה ב-CRM.
6. מנגנון הסרה ובקשות: תהליך מסודר לטיפול בבקשות עיון, תיקון ומחיקה, עם אחראי וזמן תגובה.
7. הרשאות: סקירה של כל המשתמשים ב-CRM ובמערכות, וביטול גישה למי שלא צריך.
8. ספקים: רשימת ספקים שמעבדים מידע עבורכם, והסכמים שמחייבים אותם באבטחה.
9. מדיניות פרטיות: עדכון מדיניות הפרטיות באתר, כך שתתאר את מה שקורה בפועל, כולל פיקסלים וקהלים מותאמים.
10. ייעוץ משפטי: לעסקים עם מידע רגיש או מאגרים גדולים, בדיקה עם עורך דין שמתמחה בפרטיות.

פרטיות היא לא האויב של שיווק טוב. מערך לידים מסודר, עם הסכמה ברורה, מידע מינימלי ו-CRM נקי, הוא גם מערך שמייצר נתונים אמינים יותר, קהלים איכותיים יותר ופחות בזבוז. תיקון 13 רק נותן לזה דדליין.

מקורות

• ויקיטקסט: חוק הגנת הפרטיות, התשמ״א–1981 (נוסח מעודכן, כולל תיקון תשפ״ד)
• ויקיטקסט: תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017
• הרשות להגנת הפרטיות – אתר רשמי
• ויקיפדיה: חוק הגנת הפרטיות
• ויקיטקסט: חוק התקשורת (בזק ושידורים) – סעיף 30א, דברי פרסומת

שאלות נפוצות

מה זה תיקון 13 לחוק הגנת הפרטיות?

התיקון הרחב ביותר לחוק הגנת הפרטיות מאז חקיקתו. הוא אושר בכנסת באוגוסט 2024, נכנס לתוקף באוגוסט 2025, מקרב את הדין הישראלי לגישה האירופאית ומעניק לרשות להגנת הפרטיות סמכויות אכיפה ועיצומים כספיים משמעותיים.

האם תיקון 13 חל על עסק קטן?

כן. כל עסק שמחזיק מידע אישי על לקוחות או לידים חייב בעקרונות החוק ובתקנות אבטחת המידע. חובות הרישום ומינוי הממונה חלות רק על סוגים מסוימים של מאגרים, ולעסקים זעירים וקטנים יש תקרות מופחתות לעיצומים.

האם צריך לרשום את מאגר הלידים?

ברוב המקרים לא. לפי סעיף 8א, חובת רישום חלה בעיקר על מאגרים שמטרתם העיקרית מכירת מידע או שירותי דיוור לאחרים, עם מידע על יותר מ-10,000 איש, ועל גופים ציבוריים. מאגר עם מידע רגיש על יותר מ-100,000 איש מחייב הודעה לרשות.

כמה עולה הפרה של חוק הגנת הפרטיות?

לפי הנוסח המעודכן, העיצומים נעים מאלפי שקלים ועד מאות אלפי שקלים, חלקם לפי מספר האנשים במאגר, עם תקרה של 5% ממחזור העסקאות ותקרות מופחתות לעסקים זעירים וקטנים. בנוסף, בית משפט יכול לפסוק עד 10,000 ש״ח לכל הפרה בלי הוכחת נזק במקרים מסוימים.

מי חייב למנות ממונה הגנת פרטיות?

לפי סעיף 17ב1: גופים ציבוריים, סוחרי מידע עם מאגר של יותר מ-10,000 איש, מי שעיקר פעילותו ניטור שיטתי בהיקף גדול, ומי שעיקר פעילותו עיבוד מידע רגיש בהיקף גדול, כמו בנקים, חברות ביטוח ובתי חולים.

האם מותר לשלוח וואטסאפ שיווקי ללידים?

רק בהסכמה מפורשת מראש. דברי פרסומת בהודעות אלקטרוניות כפופים לסעיף 30א לחוק התקשורת, ובמקביל דיוור ישיר כפוף לחוק הגנת הפרטיות. תעדו את ההסכמה ואפשרו הסרה בקלות.

האם המדריך הזה הוא ייעוץ משפטי?

לא. זה מדריך מעשי למשווקים שמבוסס על נוסח החוק והתקנות. לשאלות ספציפיות, ובמיוחד לעסקים שמחזיקים מידע רגיש, יש להתייעץ עם עורך דין שמתמחה בפרטיות.