תיקון 13 לבעלי אתרים: מה השתנה בפועל באתר, בטופס ובדיוור

תשובה קצרה: תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025. לבעל אתר או חנות מקוונת המשמעות המעשית היא בעיקר שקיפות, יידוע והסכמה סביב איסוף מידע בטפסים, בעוגיות ובדיוור. אין מדובר ברפורמה שנוגעת רק לחברות ענק. חובת מינוי ממונה על הגנת הפרטיות חלה רק בקטגוריות מוגדרות בחוק, ורוב אתרי התדמית והחנויות הקטנות צריכים קודם כול לוודא שמדיניות הפרטיות, מנגנוני ההסכמה והאבטחה הבסיסית תואמים את מה שהאתר באמת עושה.

למי המאמר הזה מיועד

המאמר נכתב לבעלי אתרים, מנהלי חנויות מקוונות ומשווקים דיגיטליים בישראל. המטרה היא להבין מה לבדוק באתר עצמו, בטופס יצירת הקשר ובמערך הדיוור, ומתי כדאי לפנות לייעוץ או לבדיקה שיטתית כמו Legal Pro.

לליווי משפטי בנושא פרטיות ומאגרי מידע ראו גם את דף השירות פרטיות ומאגרי מידע, תיקון 13.

מהו תיקון 13, בקצרה וללא ז׳רגון

תיקון 13 הוא עדכון מקיף לחוק הגנת הפרטיות, התשמ״א 1981. הוא פורסם ברשומות ב-15 באוגוסט 2024 ונכנס לתוקף שנה לאחר מכן, ב-14 באוגוסט 2025. בין היתר הוא מעדכן הגדרות יסוד סביב «מידע» ו«מידע רגיש», מחזק את סמכויות האכיפה של הרשות להגנת הפרטיות וכולל עיצומים כספיים במקרים המתאימים לפי החוק, מצמצם את חובת רישום המאגרים ומוסיף במקומה חובת דיווח לרשות לגבי מאגרים מסוימים, ומרחיב את המקרים שבהם נדרש מינוי ממונה על הגנת הפרטיות.

לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז 2017, יש מעמד נפרד. הן קובעות דרישות אבטחה מעשיות למאגרי מידע, ותיקון 13 אינו מבטל אותן. שתי המסגרות יושבות זו לצד זו. לבעל אתר המשמעות פשוטה יותר ממה שהיא נשמעת: לדעת איזה מידע נאסף, לספר על כך בגלוי, לבקש הסכמה כשצריך, ולאבטח את מה שנשמר.

מה השתנה בפועל באתר שלכם

טופס יצירת קשר, הרשמה לניוזלטר וטופס הזמנה

כל שדה שאוסף שם, טלפון, דוא״ל, כתובת או פרטים מזהים אחרים הוא נקודת איסוף מידע, גם כאשר המטרה היא רק שיחזרו אליכם. אחרי תיקון 13 חשובים במיוחד שלושה דברים:

• יידוע ברור. מה נאסף, לשם מה, ולמי הוא מועבר, למשל ספק CRM או ספק דיוור.
• התאמה בין הטופס למדיניות הפרטיות. כשהטופס מבטיח דבר אחד והמדיניות מתארת דבר אחר, נוצר פער.
• תיעוד הסכמה. מתי ואיך אישר הלקוח קבלת דיוור או שימוש במידע, אם ביקשתם זאת.

טופס יצירת קשר בלבד עשוי, בהתאם לנסיבות, להיחשב חלק ממאגר מידע. זו שאלה עובדתית ומשפטית, ולא כדאי להניח שטופס קטן פוטר מחובות.

דיוור שיווקי באימייל, ב-SMS וב-WhatsApp עסקי

כאן נפגשים לפחות שני חוקים. חוק הגנת הפרטיות נוגע לאיסוף פרטי הנמען ולשמירתם, וסעיף 30א לחוק התקשורת, המוכר כחוק הספאם, חל על דבר פרסומת בדוא״ל, במסרון, בפקס ובאמצעות מערכת חיוג אוטומטי, ונוגע להסכמה, להסרה ולפיצוי לדוגמה. תיקון 13 אינו מחליף את חוק הספאם אלא מוסיף שכבת פרטיות על אותו מערך דיוור. לפירוט מעשי על הסכמה והסרה ראו ניהול תביעות בגין דיוור.

עוגיות, פיקסלים וכלי אנליטיקס

מזהי עוגייה, כתובות IP ומזהי מכשיר נדונים כיום בהקשר של מידע אישי הרבה יותר מבעבר. המשמעות לבעל אתר היא שבאנר קוקיז לבדו אינו תחליף למדיניות פרטיות ברורה, וגם ההפך נכון. יש לתאר במדיניות אילו כלי מעקב פועלים ולאיזו מטרה, ולוודא שההטמעה בפועל תואמת את הכתוב.

ספקים חיצוניים

ספק אחסון, מערכת סליקה, צ׳אט, CRM, ספק דיוור ופיקסל פרסום עשויים כולם לעבד מידע בשמכם. כדאי לדעת מי מחזיק מה, האם קיים הסכם התקשרות או עיבוד מתאים, ואיפה זה משתקף במדיניות הפרטיות.

מתי בודקים צורך במינוי ממונה על הגנת הפרטיות

חובת מינוי ממונה על הגנת הפרטיות אינה חלה אוטומטית על כל בעל אתר. החוק מגדיר קטגוריות, ובהן גופים ציבוריים, גורמים שעיסוקם כולל מסירה או סחר במידע בהיקף משמעותי, ניטור שיטתי בהיקף מסוים, ועיבוד מידע רגיש כחלק מרכזי מהעיסוק, לפי נוסח החוק המעודכן.

לרוב בעלי אתרי התדמית והחנויות הקטנות והבינוניות, הצעד הראשון אינו למנות ממונה בכל מחיר אלא לבדוק האם העסק נכנס בכלל לאחת הקטגוריות. גם מי שאינו חייב במינוי כפוף לחובות יידוע, הסכמה כשנדרשת, אבטחה וטיפול בפניות של נושאי מידע.

הבדיקה שהמשרד מציע כאן היא האם חלה חובת מינוי ומה נדרש לסדר באתר ובמדיניות, ולא מילוי תפקיד הממונה עצמו עבורכם.

צ׳קליסט לפני עלייה לאוויר או לפני קמפיין גדול

הצ׳קליסט אינו תחליף לייעוץ משפטי פרטני. הוא כלי עבודה לבעל העסק לפני השקה או לפני הגדלת נפח הדיוור.

#	בדיקה	סטטוס
1	מיפינו אילו שדות נאספים בכל טופס ובכל עמוד תשלום
2	מדיניות פרטיות מעודכנת וגלויה, תואמת את האיסוף בפועל
3	קישור למדיניות ליד טפסים ובהרשמה לדיוור
4	הסכמה נפרדת לדיוור שיווקי ומנגנון הסרה
5	תיעוד הסכמות במערכת, בלוג או אצל ספק הדיוור
6	תיאור עוגיות, פיקסלים ואנליטיקס במדיניות
7	רשימת ספקים מרכזיים שמעבדים מידע
8	בדיקת חובת ממונה לפי הקטגוריות בחוק, כן או לא, מנומק
9	נוהל בסיסי לטיפול בבקשת עיון, תיקון או מחיקה
10	סריקת פערים מול האתר בפועל

איך זה נפגש עם חוק הספאם ועם הגנת הצרכן

אתר אחד חשוף לעיתים לשלושה חוקים במקביל:

1. חוק הגנת הפרטיות, כולל תיקון 13, בכל הנוגע למידע אישי ולמאגרים.
2. סעיף 30א לחוק התקשורת, בכל הנוגע לדיוור פרסומי.
3. חוק הגנת הצרכן, בכל הנוגע לתקנון, לביטולים ולהצהרות שיווקיות בחנות מקוונת.

תיקון מדיניות הפרטיות בלי לבדוק את מנגנון ההסרה בדיוור, או תקנון חנות בלי יידוע על איסוף מידע, משאירים פער. לכן בדיקה שיטתית של האתר, התקנון, מדיניות הפרטיות ומערך הדיוור יחד חוסכת תיקונים כפולים. להיבט הצרכני ראו הגנת הצרכן במסחר מקוון.

מה עושים בפועל: סדר עבודה מומלץ

1. מיפוי. רשימת הטפסים, הכלים והמערכות שנוגעים במידע.
2. השוואה למדיניות. מה כתוב מול מה שקורה בפועל בקוד ואצל הספקים.
3. תיקון פערים. ניסוח, הסכמות, קישורים ומנגנון הסרה.
4. בדיקת חובת ממונה, רק אחרי שיש תמונה עובדתית.
5. תיעוד. מה שונה ומתי, למקרה של פנייה או ביקורת.

שירות Legal Pro נועד בדיוק לשלב המיפוי והפערים: סריקה שיטתית של האתר, התקנון, מדיניות הפרטיות ומערך הדיוור מול שלושת החוקים הרלוונטיים, שתוצאתה רשימת פערים קונקרטיים.

טעויות נפוצות אצל בעלי אתרים אחרי כניסת התיקון

1. «יש לנו באנר קוקיז, סיימנו». באנר בלי מדיניות מעודכנת ובלי התאמת טפסים משאיר את עיקר החובה פתוח.
2. «אנחנו רק B2B». גם פניות מעסקים הן מידע אישי של אנשים אמיתיים: שם, נייד ודוא״ל ארגוני שמזהה אדם.
3. העתקת מדיניות מאתר אחר. אם שם אין פיקסל מסוים ואצלכם יש, המסמך שקרי עבורכם.
4. דיוור ישן בלי תיעוד הסכמה. תיקון 13 אינו מרפא רשימה בעייתית מול חוק הספאם, הוא מוסיף עליה שכבה.
5. דחיית בדיקת חובת הממונה בלי תיעוד. גם כשהמסקנה היא שאין חובה, כדאי לרשום מדוע ובאיזה תאריך, למקרה שהיקף הפעילות ישתנה.

מה Legal Pro בודק בהקשר תיקון 13

במסגרת הסריקה נבחנים בין היתר התאמת מדיניות הפרטיות לאיסוף בפועל, מנגנוני ההסכמה בטפסים ובדיוור, פערים מול חוק התקשורת וחוק הגנת הצרכן באותו אתר, ונקודות שדורשות ייעוץ מעמיק יותר כמו חובת מינוי ממונה. התוצר הוא רשימת פערים קונקרטיים ולא מסמך כללי להורדה. פרטים בדף הסבר על שירות Legal Pro.

שאלות נפוצות

האם תיקון 13 חל גם על אתר תדמית קטן עם טופס אחד?

לרוב כן, ברמת חובות היידוע וההתנהלות הסבירה סביב המידע שנאסף, גם אם אינכם תאגיד גדול. היקף החובות תלוי במה נאסף ובמה נעשה עם המידע. טופס בודד אינו פטור אוטומטי.

האם כתובת IP או מזהה עוגייה נחשבים מידע אישי?

בהקשרים רבים אחרי תיקון 13 הם נדונים כחלק מעולם המידע האישי. לכן כדאי לתאר במדיניות הפרטיות שימוש באנליטיקס, בפיקסלים ובעוגיות, ולא להסתמך על באנר טכני בלבד.

מתי חייבים למנות ממונה על הגנת הפרטיות?

רק כאשר נכנסים לאחת הקטגוריות שבחוק, למשל גוף ציבורי, סחר או מסירת מידע בהיקף משמעותי, ניטור שיטתי מסוים, או עיבוד מידע רגיש כעיסוק מרכזי, לפי הנוסח המחייב. רוב האתרים הקטנים מתחילים בבדיקה ולא במינוי אוטומטי.

האם מדיניות פרטיות באנגלית מספיקה לאתר ישראלי?

אם קהל היעד דובר עברית, מדיניות בעברית ברורה עדיפה משמעותית. תרגום גנרי מ-GDPR בלי התאמה לדין הישראלי ולמה שהאתר עושה בפועל עלול ליצור אי התאמה.

מה הקשר בין תיקון 13 לחוק הספאם?

תיקון 13 עוסק בפרטיות ובמאגרים, וסעיף 30א לחוק התקשורת עוסק בדיוור פרסומי: הסכמה, הסרה ופיצוי לדוגמה של עד 1,000 ₪ להודעה. שניהם רלוונטיים לאותה רשימת תפוצה.

האם חובה לרשום מאגר מידע אחרי תיקון 13?

משטר הרישום צומצם במסגרת התיקון, ולצידו נוספה חובת דיווח לרשות לגבי מאגרים מסוימים. החובה אינה אוטומטית לכל טופס, ויש לבחון את המצב העובדתי מול הכללים העדכניים ולא להניח רישום או פטור בלי בדיקה.

מה קורה אם המדיניות אינה תואמת את האתר?

פער בין הכתוב לבין ההתנהלות בפועל הוא סיכון שכיח. הוא פוגע באמון, מקשה על הגנה בתביעה או בפנייה, ועלול לחשוף לעיצום או לתביעה לפי הנסיבות.

האם באנר קוקיז מחליף מדיניות פרטיות?

לא. הבאנר הוא מנגנון ממשק, ומדיניות הפרטיות היא המסמך שמסביר איסוף, מטרות, זכויות וספקים. שניהם נדרשים, כל אחד במקומו.

כמה זמן לוקח להתאים אתר קיים?

תלוי במספר הטפסים, בספקים ובמצב המסמכים. אתר פשוט עם מדיניות ישנה יכול להסתדר במיפוי ממוקד, וחנות עם דיוור, סליקה ופיקסלים דורשת יותר.

האם תיקון 13 מבטל את תקנות אבטחת המידע מ-2017?

לא. התקנות ממשיכות להיות רלוונטיות לאבטחת מאגרים. תיקון 13 מוסיף ומעדכן שכבות בחוק עצמו, ויש ליישם את שתיהן בהתאם לנסיבות.

סיכום

תיקון 13 אינו סיסמה. הוא דורש התאמה בין מה שהאתר אוסף לבין מה שמסופר ללקוח, במיוחד בטפסים, בדיוור ובעוגיות. בדקו קודם מיפוי והתאמת מסמכים, בדקו חובת ממונה רק לפי הקטגוריות שבחוק, ואל תעתיקו מדיניות פרטיות מאתר אחר.

יצירת קשר

משרד עו״ד שי ארז, מ.ר. 21039

רחוב הנרקיס 22, ראשון לציון

טלפון 03-7520432, דוא״ל shaierez@gmail.com

רוצים לדעת אילו פערים קיימים באתר ובמערך הדיוור מול תיקון 13, חוק הספאם וחוק הגנת הצרכן? ראו שירות Legal Pro, דף תיקון 13 או צרו קשר.

המידע במאמר כללי ואינו מהווה ייעוץ משפטי למקרה ספציפי.