DPO DPO Israel
פתח כ-Markdown
המדריך השלם · מעודכן מאי 2026

תיקון 13 לחוק הגנת הפרטיות בישראל, בלי ערפל

תיקון 13 לחוק הגנת הפרטיות, התשמ"א-1981, הוא הרפורמה המקיפה ביותר בדיני הפרטיות בישראל מאז חקיקת החוק המקורי. הוא נכנס לתוקף ב-14 באוגוסט 2025, ויוצר חובות חדשות לכל ארגון בישראל שמעבד מידע אישי — חובת מינוי ממונה הגנת פרטיות (DPO), עיצומים כספיים של מיליוני ש"ח, ואחריות פלילית למקבלי החלטות. במדריך הזה: 10 סעיפי התיקון בפירוט, מילון מונחים, מחשבון עיצומים, טבלת השוואה ל-GDPR, וצ׳ק־ליסט אינטראקטיבי ל-90 הימים הראשונים.

שולחן עבודה לתכנון מוכנות תיקון 13 — ציר אירועים, מסמכים וניהול ראיות

תוכן עניינים

  1. 01. מה זה תיקון 13?
  2. 02. ציר זמן
  3. 03. 10 סעיפי התיקון
  4. 04. מי חייב DPO?
  5. 05. מילון מונחים
  6. 06. מחשבון עיצומים
  7. 07. תיקון 13 מול GDPR
  8. 08. צ׳ק־ליסט אינטראקטיבי
  9. 09. דגשים לפי סקטור
  10. 10. טעויות נפוצות
  11. 11. שאלות נפוצות
  12. 12. מקורות רשמיים

מה זה תיקון 13?

תיקון 13 הוא הרפורמה הגדולה ביותר בחוק הגנת הפרטיות, התשמ"א-1981, מאז שנחקק. הוא אושר בכנסת ב-7 באוגוסט 2024 ופורסם ברשומות, וכניסתו לתוקף נדחתה בשנה כדי לאפשר היערכות — 14 באוגוסט 2025.

המטרה: להתאים את החוק לעידן הדיגיטלי, לקרב אותו לעקרונות ה-GDPR האירופי, ולתת לרשות להגנת הפרטיות שיניים אכיפתיות אמיתיות.

המבנה החדש מסדיר ארבעה תפקידים: בעל שליטה (controller), מחזיק (processor), מנהל מאגר (אחראי תפעולית), וממונה הגנת פרטיות (DPO — פיקוח פנים-ארגוני). ארגון שעדיין מנהל מאגרים תחת המודל הישן של "בעל מאגר אחד" — מנהל בסיכון.

ציר זמן — מחקיקה לאכיפה

היום · 24 במאי 2026 · 9 חודשים אחרי כניסה לתוקף · אכיפה פעילה

ארבע שנות חקיקה, שנה של היערכות, ועכשיו — אכיפה רוחבית. הקלף הבולט מסמן איפה אנחנו עומדים על הציר.

  1. ינואר 2022

    אישור בקריאה ראשונה

    הצעת חוק תיקון 13 עברה קריאה ראשונה בכנסת.

  2. 7.8.2024

    אישור סופי בכנסת

    תיקון 13 אושר ופורסם ברשומות. נקבעה דחיית תחילה של 12 חודש להיערכות.

  3. 14.8.2025

    כניסה לתוקף

    תיקון 13 נכנס רשמית לתוקף. החובות חלות על כל ארגון שמעבד מידע אישי בישראל.

  4. 31.10.2025

    סוף חלון אי-אכיפת DPO

    תקופת החסד למינוי ממונה הגנת פרטיות הסתיימה. החל מ-1.11.2025 — אכיפה מלאה.

  5. 25.2.2026

    גילוי דעת הסכמה (סופי)

    הרשות פרסמה את הגרסה הסופית של גילוי הדעת על הסכמה בדיני הגנת הפרטיות.

  6. 24 במאי 2026
    אתה כאן ←

    אנחנו כאן — תקופת אכיפה פעילה

    9 חודשים אחרי הכניסה לתוקף. הרשות פתחה תיקי אכיפה, רוב הארגונים בישראל עדיין לא ערוכים, ועיצומים ראשונים החלו להתפרסם.

  7. קיץ 2026

    גילויי דעת נוספים צפויים

    הרשות צפויה לפרסם גילויי דעת מנחים על DPIA, ניטור עובדים, ושימוש ב-AI לעיבוד מידע אישי.

  8. 2027

    אכיפה רוחבית מלאה

    שנת האכיפה הראשונה המלאה. צפויות החלטות פומביות של עיצומים, תיקי אכיפה גדולים, ותביעות ייצוגיות לפי סעיף 15א.

↔ גלילה אופקית · עבר היום עתיד

10 סעיפי התיקון, אחד אחד

סקירה של 10 הסעיפים המרכזיים של תיקון 13. לחיצה על סעיף תפתח את הנוסח המתומצת + הסבר מפורט מה זה אומר בפועל. רק סעיף אחד פתוח בכל רגע.

1

החלפת מונחים — שדרוג טרמינולוגי
נוסח החוק: בכל מקום בחוק המקורי הוחלף "פנקס" ב"מרשם", "הרשם" ב"ראש הרשות", ו"בעל מאגר מידע" ב"בעל שליטה במאגר מידע".

הסבר: התיקון מעדכן את אוצר המילים של החוק למינוח מודרני שמיישר קו עם דיני פרטיות בינלאומיים. השינוי החשוב ביותר: המעבר מ"בעל מאגר" ל"בעל שליטה במאגר" — מקביל ל-controller ב-GDPR. זה מבחין באופן מפורש בין מי שקובע את מטרות העיבוד (בעל השליטה), לבין מי שמעבד עבורו ("מחזיק" = processor), ובין הגוף הציבורי שמפקח ("ראש הרשות" — לא "הרשם").

2

עדכון הגדרות יסוד — בעל שליטה, מחזיק, מידע אישי, מידע רגיש
נוסח החוק: הגדרות חדשות: "אבטחת מידע", "בעל שליטה במאגר מידע", "מחזיק", "מנהל מאגר", "מידע אישי", "מידע בעל רגישות מיוחדת", "עיבוד", "מזהה ביומטרי", "מרשם".

הסבר: זה הסעיף הכי מעצב את ה-DNA של החוק. נכנסים מונחים שלא היו קודם: "מידע אישי" (כל נתון על אדם מזוהה או הניתן לזיהוי), "מידע בעל רגישות מיוחדת" (רשימה סגורה: בריאות, גנטיקה, נטייה מינית, פוליטיקה, פיננסים, מיקום, תקשורת), "עיבוד" (כל פעולה — איסוף, אחסון, גילוי, מסירה), ו"מזהה ביומטרי". המבנה המוסדי החדש: בעל שליטה (קובע מטרות) → מחזיק (מעבד) → מנהל מאגר (אחראי תפעולית) → ממונה הגנת פרטיות (פיקוח פנימי).

3

ביטול סעיף 7 — מסלול חדש לרישום מאגרים
נוסח החוק: האמור בסעיף 7 לחוק המקורי בוטל.

הסבר: סעיף 7 הישן עסק בסמכות "הרשם" לדרוש רישום מאגרים. הוא בוטל כדי לפנות מקום לסעיף 8א החדש (הסבר בהמשך), שמחליף את חובת הרישום הרחבה במנגנון ממוקד יותר: רישום רק למאגרים גדולים או רגישים + חובת הודעה נפרדת.

4

ניהול ועיבוד חוקי של מידע — החלפת סעיף 8
נוסח החוק: עיבוד מידע ייעשה אך ורק למטרה שלשמה הוקם המאגר, בהרשאת בעל השליטה, ולא על מידע שנאסף או נוצר שלא כדין.

הסבר: סעיף-יסוד שמעגן את עקרון "חוקיות העיבוד" — מקביל לסעיף 5 וסעיף 6 ב-GDPR. ארבעה כללים מצטברים: (1) עיבוד רק למטרה שלשמה הוקם המאגר ("צמידות מטרה"), (2) רק בהרשאת בעל השליטה, (3) רק על מידע שנאסף כדין, (4) אם קיבלת מידע מצד שלישי ולא ידעת שנאסף שלא כדין — לא תישא באחריות עד שיתבהר לך. למי שעשה "מאגר אגירה לכל מטרה אפשרית" — זה סוף הסיפור.

5

חובת רישום או הודעה — סעיף 8א החדש
נוסח החוק: רישום חובה: מאגר שמטרתו מסירת מידע לאחר בתמורה ומעל 10,000 בני אדם, או מאגר של גוף ציבורי. הודעה חובה: מאגר עם מידע בעל רגישות מיוחדת על מעל 100,000 אנשים.

הסבר: המודל החדש: רוב המאגרים פטורים מרישום מלא, אבל מאגרים גדולים או רגישים חייבים להזדהות. שני סוגים של חובת רישום: (א) סוחרי מידע — מי שמטרתו העיקרית מכירת מידע (וגם דיוור ישיר נכלל) ועם מעל 10K רשומות, (ב) גופים ציבוריים. בנוסף, חובת "הודעה" (פחות נוקשה מרישום) למאגרים עם מעל 100K אנשים עם מידע בעל רגישות מיוחדת — מסירת זהות בעל השליטה, ה-DPO, ומסמך הגדרות המאגר תוך 30 יום.

6

תיקונים בסעיפים 9–14 — שקיפות וזכויות נושאי המידע
נוסח החוק: יש למסור לנושא המידע הודעה ברורה הכוללת את שם בעל השליטה, מטרת העיבוד, פרטי הממונה על הגנת הפרטיות, זכות העיון, התיקון והמחיקה.

הסבר: תיקונים שמעבים את חובת השקיפות וזכויות נושאי המידע. סעיף 13 המעודכן דורש שכל איסוף מידע יכלול הודעה מפורטת: שם הבקר, מטרה, פרטי DPO, ומה הזכויות של נושא המידע (עיון, תיקון, מחיקה). זה לא הכוונה כללית — זו דרישה אופרטיבית: כל טופס, כל מערכת איסוף, כל אינטרקציה — חייבת לכלול את ההודעה הזו. למקבילה ב-GDPR (סעיף 13–14): מאוד דומה.

7

פיצויים לדוגמה — סעיף 15א החדש
נוסח החוק: בית המשפט רשאי לפסוק פיצויים לדוגמה כאשר בעל שליטה או מחזיק מפר הוראות מסוימות בחוק, ללא צורך בהוכחת נזק בפועל.

הסבר: כלי אכיפה אזרחי חדש לחלוטין. עד תיקון 13, נושא מידע שזכויותיו הופרו היה צריך להוכיח נזק כספי קונקרטי כדי לקבל פיצוי — וזה בלתי אפשרי במרבית המקרים (איך מוכיחים נזק כספי מדליפת רשימת אימיילים?). עכשיו: בית משפט יכול לפסוק פיצוי לדוגמה ללא הוכחת נזק. צפויות תביעות ייצוגיות מאסיביות נגד ארגונים שדלפו, ניטרו ללא הסכמה, או שיתפו מידע ללא הרשאה. בנוסף — סעיף 26ב חדש שמבטל את ההתיישנות הקצרה (שנתיים) למשך 7 שנים סטנדרטיים.

8

מינוי ממונה הגנת פרטיות — חובה רוחבית
נוסח החוק: גופים ציבוריים וחברות מסוימות חייבים למנות ממונה על הגנת הפרטיות (DPO) ולפרסם את פרטי ההתקשרות עמו.

הסבר: החובה המוכרת ביותר של תיקון 13. חמש קטגוריות סטטוטוריות: (1) גופים ציבוריים, (2) מחזיקי מידע עבור גופים ציבוריים, (3) סוחרי מידע מעל 10K רשומות, (4) ארגונים המבצעים ניטור שיטתי בהיקף נרחב, (5) ארגונים המעבדים מידע בעל רגישות מיוחדת בהיקף נרחב. תפקיד ה-DPO: ייעוץ והדרכה להנהלה, ליווי עמידה בחוק, טיפול בפניות נושאי מידע (זכויות עיון/תיקון/מחיקה), נקודת קשר מול הרשות. עצמאות מקצועית: הוא לא יכול להיות מי שמקבל את ההחלטות שעליהן הוא מפקח (אז לא יועמ"ש, לא מנכ"ל, לא CISO באותו ארגון).

9

סמכויות אכיפה מורחבות — עיצומים, עבירות, חוות דעת
נוסח החוק: הוגדלו עיצומים כספיים בגין הפרות, נוספו עבירות פליליות, והורחבו סמכויות בתי המשפט. הרשות יכולה לתת חוות דעת מקדמית.

הסבר: הרשות מקבלת שיניים. עיצומים כספיים: מעשרות אלפי ש"ח (הפרה קלה) עד מיליוני ש"ח (הפרה רוחבית בארגון גדול). זה לא דורש הליך משפטי — הרשות יכולה לקבוע ולגבות. עבירות פליליות: פרק עבירות חדש שכולל אחריות אישית למקבלי החלטות. בנוסף — מנגנון "חוות דעת מקדמית": ארגון יכול לבקש מהרשות לחוות דעתה על עמידת מאגר מידע בדרישות החוק, לפני שמשיק. וגם — הסדר פיקוח מיוחד בגופים ביטחוניים שמכיר במגבלות החיסיון אבל מבטיח רגולציה.

10

ביטול ההתיישנות הקצרה — חלון של 7 שנים
נוסח החוק: תביעות אזרחיות בגין פגיעה בפרטיות לא יהיו עוד מוגבלות לתקופת התיישנות של שנתיים, אלא לכללים הכלליים (7 שנים).

הסבר: שינוי שקט אבל דרמטי. עד תיקון 13: נושא מידע שזכויותיו הופרו היה חייב להגיש תביעה תוך שנתיים — חלון קצר מאוד שהשתיק תביעות רבות. עכשיו: 7 שנים, ההתיישנות הסטנדרטית. זה מצטרף לסעיף הפיצויים לדוגמה (סעיף 15א) ויוצר נוף תביעות חדש לגמרי. ארגונים שדלפו, ניטרו ללא הסכמה או שיתפו מידע ללא הרשאה — חשופים לתביעות הרבה יותר זמן, וגם תביעות ייצוגיות הופכות אטרקטיביות יותר עבור עורכי דין מתמחים.

מי חייב למנות ממונה הגנת פרטיות (DPO)?

חובת המינוי חלה על חמש קטגוריות סטטוטוריות:

  1. גופים ציבוריים — משרדי ממשלה, רשויות מקומיות, מועצות אזוריות, קופות חולים, בתי חולים ציבוריים, וכל גוף שמופיע בתוספת לחוק.
  2. מחזיקים במידע עבור גופים ציבוריים — חברות שמעבדות מידע אישי בעבור גוף ציבורי (ספקי SaaS, חברות outsourcing, מוקדי שירות).
  3. סוחרי מידע — גופים שעיסוקם המרכזי איסוף ומכירת מידע, עם מעל 10,000 רשומות.
  4. גופים המבצעים ניטור שיטתי בהיקף נרחב — מעקב התנהגותי, מיקום, פרופיילינג בסחר אלקטרוני.
  5. גופים המעבדים מידע רגיש בהיקף נרחב — בנקים, ביטוח, בריאות, ולרוב גם ארגונים שמעבדים מידע רפואי, פיננסי, או על קטינים.

פירוט מלא ומחשבון: מי חייב למנות DPO.

מילון מונחים — 12 מושגים שצריך להכיר

המינוח של תיקון 13 שונה מהחוק הישן. לחיצה על מושג תפתח את ההגדרה.

בעל שליטה במאגר
מי שקובע את מטרות עיבוד המידע במאגר. מקביל ל-controller ב-GDPR. אחראי לציות החוק.

מחזיק
מי שמעבד מידע עבור בעל השליטה — ספק חיצוני, SaaS, BPO. מקביל ל-processor. אחריות חוזית + סטטוטורית מוגבלת.

מנהל מאגר
מנהל כללי של גוף שבבעלותו מאגר מידע, או מי שהוסמך לכך. הוא נושא באחריות תפעולית-ניהולית.

ממונה הגנת פרטיות
ה-DPO. תפקיד עצמאי מקצועית שמלווה את הארגון בעמידה בחוק, מטפל בפניות, ומשמש נקודת קשר עם הרשות.

מידע אישי
כל נתון על אדם מזוהה או הניתן לזיהוי. שם, ת"ז, מזהה ביומטרי, מיקום, מצב פיזי/בריאותי/כלכלי — הכל נכלל.

מידע בעל רגישות מיוחדת
רשימה סגורה: צנעת חיי המשפחה, נטייה מינית, בריאות, גנטיקה, שכר ופיננסים, עבר פלילי, דעות פוליטיות/דתיות, הערכות מקצועיות, מיקום, תקשורת.

עיבוד
כל פעולה על מידע: איסוף, אחסון, עיון, גילוי, העברה, מסירה, מתן גישה. אפילו "צפייה" — נחשבת עיבוד.

מזהה ביומטרי
נתון ביומטרי לזיהוי או אימות — טביעת אצבע, זיהוי פנים, סריקת קשתית, דפוס קולי. מידע בעל רגישות מיוחדת.

מרשם
מרשם מאגרי המידע המנוהל על ידי הרשות להגנת הפרטיות. כולל נתוני ניהול והחזקה — לא מידע אישי עצמו.

ראש הרשות
ראש הרשות להגנת הפרטיות — הרגולטור העצמאי. הוחלף עם "הרשם" של החוק הישן.

הסכמה
הסכמת נושא מידע לעיבוד. חייבת להיות מודעת, מפורשת, ניתנת לחזרה. גילוי דעת רשמי של הרשות מ-2/2026 פירש את הדרישות בקפדנות.

דיוור ישיר
פנייה אישית לאדם על בסיס השתייכותו לקבוצת אוכלוסייה שנקבעה לפי אפיון. חוקתי כפוף לסעיפים 17א–17ה לחוק.

מחשבון עיצומים

בחרו את גודל הארגון וחומרת ההפרה כדי לראות הערכה כללית של טווח העיצומים. זו הערכה בלבד — הסכומים בפועל נקבעים על ידי הרשות לפי שיקול דעת והנסיבות.

הערכת טווח עיצום כספי:
—

המחשבון מבוסס על דפוסי אכיפה ידועים ומקובלים בתחום הפרטיות הישראלי. הוא אינו תחליף לייעוץ משפטי. הסכום בפועל נקבע על ידי הרשות לפי קריטריונים סטטוטוריים, בכלל זה רווח כלכלי, היקף ההפרה, היסטוריה, ושיתוף פעולה.

תיקון 13 מול GDPR — מה דומה, מה שונה

תיקון 13 קרב משמעותית את הדין הישראלי ל-GDPR האירופי, אבל יש פערים שצריך להכיר — במיוחד אם הארגון פועל מול לקוחות באירופה.

נושא תיקון 13 (ישראל) GDPR (אירופה) סטטוס
הגדרת "מידע אישי" כל נתון על אדם מזוהה או הניתן לזיהוי Personal data — any information relating to an identified or identifiable natural person דומה
תפקיד DPO חובה ל-5 קטגוריות (גוף ציבורי, מחזיק, סוחר מידע, ניטור, מידע רגיש) חובה ב-3 תרחישים — Public authority, large-scale monitoring, large-scale sensitive data דומה
זכות לשכחה (Right to Erasure) אין זכות שכחה מלאה — רק מחיקה לפי תנאים מצומצמים GDPR Article 17 — זכות מלאה למחיקה במגוון נסיבות שונה
דיווח אירוע אבטחה דיווח לרשות לפי תקנות אבטחת מידע 2017 (לא הוסדר במפורש בתיקון 13) 72 שעות לרשות, "ללא דיחוי" לנושאי מידע אם הסיכון גבוה שונה
עיצומים מאות אלפים עד מיליוני ש"ח. אין רף סטטוטורי "אחוז מהמחזור" עד 20M€ או 4% מהמחזור הגלובלי השנתי — הגבוה מביניהם שונה
הסכמה חייבת להיות מודעת, מפורשת וניתנת לחזרה (גילוי דעת 2/2026) Freely given, specific, informed, unambiguous + explicit לקטגוריות מיוחדות דומה
העברת מידע לחו"ל תקנות העברה לחו"ל 2001 — רשימת מדינות, "הגנה נאותה" Adequacy decisions, SCCs, BCRs, Article 49 derogations דומה
תסקיר השפעה (DPIA) דרישה לסיכון גבוה — נדרשת בגילויי דעת ובפרקטיקה Article 35 — חובה לסיכון גבוה ב-9 תרחישים סטטוטוריים דומה

צ׳ק־ליסט אינטראקטיבי — 90 ימים להיערכות

סמנו את המשימות שכבר ביצעתם — הסטטוס שלכם נשמר אוטומטית בדפדפן.

התקדמות:
0 / 0 (0%)

שבוע 1 — אחריות ומיפוי ראשוני

חודש 1 — מיפוי מעמיק וזיהוי סיכונים

רבעון 1 — סגירת פערים יסודיים

שנה 1 — שגרת ניהול

דגשים לפי סקטור

תיקון 13 לא מתנהג זהה בכל סוג ארגון. בחרו את המגזר שלכם:

חובת DPO ברירת מחדל — גוף ציבורי לפי החוק. מאגרי תושבים, רווחה, חינוך, גבייה, מצלמות עירוניות. סיכון מיוחד: ספקי SaaS שמעבדים בעבור הרשות הופכים ל"מחזיקים" עם חובות נפרדות. רוב המכרזים החדשים דורשים DPO ייעודי לרשות + DPA חתום עם כל ספק. ראו דף ייעודי: DPO לרשות מקומית.

טעויות שחוזרות שוב ושוב

  • מינוי על הנייר — יש שם של DPO, אבל אין סמכויות, זמן, תוצרים או נתיב דיווח להנהלה.
  • מיפוי חלקי — ממפים רק את המערכות "הגדולות" ושוכחים Excel, WhatsApp, מצלמות, טפסים וספקי SaaS קטנים.
  • חוזי ספקים חלשים — ספקים מעבדים מידע אישי בלי DPA, בלי הגדרת תפקיד, בלי SLA לאירועים ובלי זכות ביקורת.
  • אין בעלות ניהולית — כל אחד חושב שהיועמ"ש, ה-IT או הספק החיצוני מטפל בזה. בפועל אף אחד לא מחזיק תוכנית עבודה.
  • הסכמה גנרית — "אני מסכים לתנאים" במקום הסכמה ספציפית למטרה. גילוי הדעת של 2/2026 פוסל את זה.
  • אי-עדכון מדיניות פרטיות — המדיניות באתר עדיין כתובה לפי החוק הישן ולא כוללת את כל הדרישות החדשות של סעיף 13 המעודכן.

שאלות נפוצות

שאלות נפוצות

מתי נכנס תיקון 13 לתוקף?
תיקון 13 נכנס לתוקף ב-14 באוגוסט 2025, שנה לאחר אישורו בכנסת ב-7.8.2024. תקופת אי-אכיפה למינוי DPO הסתיימה ב-31/10/2025. החל מ-1.11.2025 — אכיפה מלאה.

האם תיקון 13 מבטל את חובת רישום מאגרי מידע?
התיקון מצמצם משמעותית את חובת הרישום. רק שני סוגי מאגרים חייבים רישום: (א) סוחרי מידע מעל 10,000 רשומות, (ב) גופים ציבוריים. השאר פטורים מרישום אבל לא מהחוק. בנוסף, יש חובת "הודעה" (לא רישום) למאגרים עם מידע בעל רגישות מיוחדת על מעל 100K אנשים — תוך 30 יום מההגעה לסף.

מה ההבדל בין תיקון 13 ל-GDPR?
תיקון 13 קרוב יותר ל-GDPR ממה שהיה. דמיון: מונחים (בקר=בעל שליטה, מעבד=מחזיק, נושא מידע), חובות (DPO, DPIA, דיווח), עיצומים. שונות: אין זכות שכחה מלאה, "מידע רגיש" שונה, הרשות הישראלית פועלת לפי תקנות מקומיות, וסכומי העיצומים שונים. למעוניינים — יש לנו טבלת השוואה מלאה בעמוד הזה (גללו למעלה לסעיף "תיקון 13 מול GDPR").

איזה מידע נחשב "רגיש מיוחד" לפי תיקון 13?
רשימה סגורה: מצב בריאותי, מצב נפשי, גנטיקה, אמונה דתית, דעות פוליטיות, נטייה מינית, עבר פלילי, ביומטריה ייחודית, מידע כלכלי ופיננסי, נתוני מיקום ונתוני תקשורת, הערכות מקצועיות-אישיות. עיבוד מידע כזה בהיקף נרחב = חובת DPO + תסקיר השפעה.

מה זה DPIA ומתי צריך?
DPIA = תסקיר השפעה על פרטיות. נדרש כשפעילות עיבוד מידע נושאת סיכון גבוה: עיבוד שיטתי בהיקף נרחב, ניטור מתמשך, מערכות AI לקבלת החלטות אוטומטיות, או עיבוד מידע בעל רגישות מיוחדת. גילויי דעת נוספים של הרשות צפויים להרחיב את החובה.

האם DPO יכול להיות גם יועמ"ש, מנכ"ל או CISO?
לא מומלץ ופוטנציאלית אסור. החוק דורש שה-DPO יהיה בעל ידע, סמכות ועצמאות. מי שמקבל החלטות עסקיות (מנכ"ל) או משפטיות (יועמ"ש) או טכנולוגיות (CISO) — לא יכול בו זמנית לפקח על עצמו. גילוי הדעת הרשמי של הרשות התייחס לכך במפורש כניגוד עניינים מובנה.

כמה עיצום נופל על הפרה?
תלוי בהיקף ההפרה, גודל הארגון, וההיסטוריה. עיצום בסיסי: עשרות אלפי ש"ח. הפרה מועבה: מאות אלפי ש"ח. הפרה רוחבית בארגון גדול: עד מיליוני ש"ח. במקרים חמורים — גם אחריות פלילית למקבלי החלטות. השתמשו במחשבון העיצומים בעמוד הזה לקבלת הערכה.

מאיפה לקרוא את החוק עצמו?
הנוסח המלא של החוק והתיקון זמין באתר Nevo, ובאתר משרד המשפטים תחת "חוק הגנת הפרטיות". בנוסף — הרשות פרסמה מדריך מקצועי על תיקון 13 (קישור בסוף העמוד הזה תחת "מקורות רשמיים").

מקורות רשמיים

למי שרוצה לקרוא את החוק עצמו, את גילויי הדעת, ואת המדריך המקצועי של משרד המשפטים:

אתר רשמי

הרשות להגנת הפרטיות

דף הבית של הרשות — גילויי דעת, החלטות אכיפה, טפסים.
מדריך משרד המשפטים

תיקון 13 — מדריך מקצועי

המדריך הרשמי של משרד המשפטים על תיקון 13 — סקירת סעיפים, הסברים מקיפים.
נוסח החוק

חוק הגנת הפרטיות — נבו

הנוסח המאוחד של חוק הגנת הפרטיות, התשמ"א-1981, כולל כל התיקונים עד היום.
כלים דיגיטליים

GOVEXTRA — כלי זיהוי סיכוני פרטיות

כלי דיגיטלי מקוון של הממשלה להערכת סיכוני פרטיות בארגון.

להבין זה לא מספיק. צריך גם לעשות.

בואו נדבר על איפה הארגון שלכם עומד מול תיקון 13.

לקבוע שיחת היכרות