תיקון 13 לחוק הגנת הפרטיות: צ'קליסט טכנולוגי לעסק שמשתמש ב-CRM וב-AI

כמעט כל עסק מחזיק היום מידע על לקוחות בכמה מקומות במקביל: מערכת CRM, שיחות וואטסאפ, טפסי לידים באתר, הקלטות שיחה, ולאחרונה גם כלי AI שעובדים מדביקים לתוכם טקסטים. תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף ב-14 באוגוסט 2025, הפך את השאלה "איפה המידע של הלקוחות שלנו ומי נוגע בו" משאלה של סדר טוב לשאלה שיש לה השלכות אכיפה.

אני מהנדס תוכנה ו-CTO, לא עורך דין. מה שאני יודע לעשות הוא לתרגם את הדרישות לשפה של מערכות: מה בודקים ב-CRM, בהרשאות, בגיבויים, בספקים ובכלי ה-AI. כל מה שכתוב כאן על החוק מבוסס על נוסח החוק, על תקנות אבטחת המידע ועל פרסומי הרשות להגנת הפרטיות. זה ממשיך את פרק הפרטיות שבמדריך ייעוץ טכנולוגי לעסקים.

מה זה תיקון 13 לחוק הגנת הפרטיות, ומתי הוא נכנס לתוקף?

חוק הגנת הפרטיות, התשמ"א-1981, הוא החוק שמסדיר בישראל איסוף ועיבוד של מידע אישי. הכנסת אישרה את תיקון מס' 13 לחוק ב-5 באוגוסט 2024, והוא פורסם בספר החוקים ב-14 באוגוסט 2024. לפי סעיף התחילה שלו, התיקון נכנס לתוקף שנה מיום הפרסום, כלומר ב-14 באוגוסט 2025.

הרשות להגנת הפרטיות מתארת אותו במדריך שפרסמה כ"העדכון המקיף והמהותי ביותר לדיני הגנת הפרטיות בישראל" מאז שהחוק נחקק. בשורה התחתונה, שלושה דברים השתנו: ההגדרות רחבות יותר, חלק מהחובות הבירוקרטיות צומצמו, וכלי האכיפה של הרשות התחזקו מאוד.

מה השתנה בפועל: השינויים שעסק צריך להכיר

הגדרות חדשות: כמעט כל נתון על לקוח הוא "מידע אישי"

החוק מגדיר היום מידע אישי כ"נתון הנוגע לאדם מזוהה או לאדם הניתן לזיהוי". אדם ניתן לזיהוי אם אפשר לזהות אותו במאמץ סביר, במישרין או בעקיפין, למשל לפי שם, מספר זהות, נתוני מיקום או מזהה מקוון. בפועל, מספר טלפון בוואטסאפ, היסטוריית פניות ב-CRM והקלטת שיחה הם כולם מידע אישי.

לצד זה יש קטגוריה של מידע בעל רגישות מיוחדת, שכוללת בין היתר מידע על מצב בריאותו של אדם, מידע גנטי, מזהה ביומטרי, עבר פלילי, דעות פוליטיות ואמונות, ונתוני שכר ופעילות פיננסית. אם העסק שלכם מחזיק מידע כזה, כמו מרפאה, סוכנות ביטוח או משרד רואי חשבון, הרף עולה כמעט בכל אחד מהסעיפים שבהמשך.

ועוד שתי הגדרות: בעל שליטה הוא מי שקובע את מטרות העיבוד, כלומר העסק שלכם. מחזיק הוא "גורם חיצוני לבעל השליטה במאגר המידע המעבד בעבורו מידע", כמו ספק ה-CRM או הענן. גם המחזיק חייב בחובות, אבל האחריות של העסק לא עוברת אליו.

מאגר מידע: פחות רישום, יותר אחריות

מאגר מידע מוגדר היום כ"אוסף פרטי מידע אישי המעובד באמצעי דיגיטלי", למעט אוסף לשימוש אישי שאינו למטרות עסק, ולמעט אוסף שכולל רק שם, מען ודרכי התקשרות של עד 100,000 בני אדם ולא מלמד על מידע נוסף עליהם (בתנאים שבחוק). טבלת CRM עם היסטוריית פניות, סטטוס עסקה והערות של נציגים לא נכנסת לחריג הזה.

התיקון צמצם מאוד את חובת הרישום. לפי סעיף 8א, מאגר חייב ברישום בעיקר בשני מקרים:

כלומר, לרוב העסקים הפרטיים כבר אין צורך לרשום את מאגר הלקוחות. אבל זו לא הקלה של ממש: החובות המהותיות, ובעיקר אבטחת המידע, לא תלויות ברישום.

ממונה הגנת פרטיות (DPO): למי זה רלוונטי

סעיף 17ב1 קובע לראשונה חובה למנות ממונה על הגנת הפרטיות (DPO). החובה חלה על:

• גופים ציבוריים, וגם על מי שמחזיק עבורם את המאגר (למעט גופים ביטחוניים).
• בעל שליטה במאגר שמטרתו העיקרית היא איסוף מידע אישי כדי למסור אותו לאחרים כדרך עיסוק או בתמורה, כולל דיוור ישיר, כשיש במאגר מידע על יותר מ-10,000 בני אדם.
• בעל שליטה או מחזיק שעיסוקיו העיקריים כרוכים בניטור שוטף ושיטתי של בני אדם בהיקף ניכר, כמו מעקב אחר התנהגות, מיקום או פעולות.
• בעל שליטה או מחזיק שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר. החוק מזכיר כדוגמאות בנקים, מבטחים, בתי חולים וקופות חולים.

"היקף ניכר" לא מוגדר במספר. החוק מפרט שיקולים: מספר האנשים, שיעורם באוכלוסייה, כמות וסוגי המידע, משך ותדירות העיבוד, משך השמירה והתחום הגאוגרפי. עסק קטן עם CRM רגיל כנראה לא נמצא בקבוצות האלה, אבל מוקד טלמרקטינג גדול, אפליקציה שעוקבת אחרי מיקום או קליניקה גדולה עשויים להיות. זו בדיוק נקודה לבדוק מול עורך דין.

לפי החוק, ה-DPO צריך ידע מעמיק בדיני הגנת הפרטיות והבנה הולמת בטכנולוגיה ובאבטחת מידע, הוא מדווח ישירות למנכ"ל או לעובד שכפוף ישירות למנכ"ל, והוא יכול להיות גם מי שאינו עובד הארגון. לפי מדריך הרשות, זה תפקיד שונה במהותו מתפקיד הממונה על אבטחת מידע לפי סעיף 17ב.

חובת יידוע מורחבת

לפי סעיף 11, כשפונים לאדם כדי לקבל ממנו מידע אישי שיישמר במאגר, צריך לצרף הודעה שמפרטת: האם יש חובה חוקית למסור את המידע או שזה תלוי בהסכמתו ומה התוצאה אם לא יסכים, מה מטרת האיסוף, מה שם בעל השליטה ודרכי ההתקשרות עימו, למי יימסר המידע ולאיזו מטרה, ושיש לו זכות לעיין במידע ולבקש לתקן אותו. בשפה טכנולוגית: כל טופס לידים, בוט וואטסאפ שאוסף פרטים ודף נחיתה צריכים להציג את ההודעה הזו.

אכיפה ועיצומים כספיים: איך המבנה עובד

זה השינוי שהכי משנה את התמונה. לפי מדריך הרשות, התיקון מבחין בין פיקוח, שאפשר לקיים גם בלי חשד להפרה, לבין בירור מנהלי כשיש יסוד סביר להניח שבוצעה הפרה. בבירור מנהלי המפקחים יכולים גם לבקש מבית המשפט צו חיפוש או צו חדירה לחומר מחשב.

ראש הרשות רשאי להטיל עיצום כספי (סנקציה כספית מנהלית, שהחליפה את מנגנון הקנסות המנהליים הקודם) על בעל שליטה וגם על מחזיק. העיצומים מחולקים לפי סוג ההפרה: חלקם בסכום קבוע, חלקם מחושבים לפי מספר האנשים במאגר, עם סכומים גבוהים יותר כשמדובר במידע בעל רגישות מיוחדת. גם הפרות של תקנות אבטחת המידע חושפות לעיצום, בדרגות שתלויות ברמת האבטחה של המאגר, ובמאגרים עם יותר ממיליון נושאי מידע הסכומים מוכפלים. הרשות עצמה מתארת במדריך "עיצומים כספיים בסכומים משמעותיים (עד מיליוני ש"ח בגין כל הפרה)".

בנוסף, התיקון הרחיב את האפשרות לתבוע פיצוי ללא הוכחת נזק בגין הפרות מסוימות, וביטל את תקופת ההתיישנות המקוצרת של שנתיים בתביעות אזרחיות לפי החוק. לפי מדריך הרשות, מעתה חלה תקופת ההתיישנות הכללית, שעומדת על שבע שנים (או יותר), וזה חל רק על עילות שנוצרו אחרי כניסת התיקון לתוקף.

האם הרשות כבר אוכפת?

כן. לפי דוח מבקר המדינה על השלטון המקומי (יוני 2026), בדצמבר 2025 החלה הרשות להגנת הפרטיות, לראשונה מאז כניסת תיקון 13 לתוקף, בהליכי פיקוח רוחב, ופרסמה על כך הודעה באתר שלה ב-10.12.2025. לפי אותו דוח, הרשות גם מסרה שבכוונתה לבצע פיקוח רוחב ברשויות המקומיות.

פיקוח רוחב הוא בדרך כלל בדיקה יזומה של מגזר שלם, לא תגובה לתלונה, והחוק מאפשר לרשות לפקח גם כשאין חשד להפרה. השאלה היא האם אפשר להראות שהעסק עומד בדרישות ביום רגיל.

תיקון 13 ותקנות אבטחת מידע 2017: איך הן מתחברות

תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 קיימות כבר שנים, והן ספר ההוראות הטכני: הרשאות, תיעוד, אירועי אבטחה, ספקים, ביקורות. מה שתיקון 13 שינה הוא שהפרה של התקנות האלה יכולה היום להוביל ישירות לעיצום כספי. לכן כאן נמצא רוב העבודה הטכנולוגית.

התקנות מחלקות מאגרים לרמות אבטחה, וכל רמה מוסיפה דרישות:

הטבלה מקצרת הגדרות מורכבות, ובמקרה של ספק כדאי לקרוא את התקנות עצמן ולהתייעץ.

תיקון 13 צ'קליסט: 8 בדיקות טכנולוגיות לעסק עם CRM, וואטסאפ ו-AI

זה החלק הטכנולוגי של העבודה. הוא לא מחליף בדיקה משפטית, אבל הוא מכסה חלק גדול ממה שסביר שתתבקשו להראות בפועל:

1. מיפוי מידע: לדעת מה יש לכם ואיפה

התחילו בטבלה פשוטה: שם המערכת (CRM, וואטסאפ, טפסי אתר, מרכזייה, Google Drive), אילו סוגי מידע יש בה, מי הספק ובאיזו מדינה המידע נשמר, ומי ניגש אליה. התקנות דורשות מסמך הגדרות מאגר שכולל, בין היתר, את מטרות האיסוף, סוגי המידע, העברה לחו"ל, עיבוד באמצעות מחזיק והסיכונים העיקריים. מיפוי טוב הוא חצי מהמסמך.

אם הלקוחות שלכם פונים בוואטסאפ והפניות נכנסות ל-CRM, זה שני מקומות שצריך למפות, לא אחד. הרחבתי על החיבור בין השניים במאמר על מערכת CRM עם וואטסאפ.

2. הרשאות גישה: כל אחד רואה רק את מה שהוא צריך

תקנה 8 דורשת לקבוע הרשאות לפי הגדרות תפקיד, "במידה הנדרשת לביצוע התפקיד בלבד", ולנהל רשימה מעודכנת של מי מחזיק איזו הרשאה. תקנה 9(ג) דורשת לבטל הרשאות של מי שסיים את תפקידו מיד עם סיום התפקיד. בפועל, בודקים ב-CRM:

• האם יש תפקידים (נציג, מנהל צוות, הנהלה) עם הרשאות שונות, או שכולם אדמינים?
• האם נציג יכול לייצא את כל רשימת הלקוחות לאקסל? אם כן, האם הוא צריך?
• האם יש חשבונות משותפים בסיסמה אחת? אלה הורסים כל אפשרות לדעת מי עשה מה.
• האם יש תהליך עזיבת עובד שכולל CRM, וואטסאפ עסקי, מיילים וכלי AI?

3. שמירה ומחיקה: פחות מידע, פחות סיכון

תקנה 2(ג) מחייבת לבחון אחת לשנה אם המידע שנשמר במאגר אינו רב מן הנדרש למטרות המאגר. הקלטות שיחה משנים קודמות, לידים שלא נסגרו לפני שנים, וצילומי תעודות זהות שנשלחו בוואטסאפ הם דוגמאות קלאסיות. קבעו מדיניות שמירה לכל סוג מידע, והפכו אותה לאוטומציה כשאפשר. אם אתם מתמללים שיחות, שווה לחשוב מראש כמה זמן נשמרים גם ההקלטה וגם התמליל; כתבתי על זה במאמר על תמלול וסיכום שיחות בעברית עם AI.

4. ספקים ומעבדי מידע: ההסכם הוא חלק מהאבטחה

כל ספק שמקבל גישה למידע, מספק ה-CRM ועד פרילנסר שמתחזק את האתר, הוא חלק מהמאגר שלכם. תקנה 15 דורשת לבחון את סיכוני אבטחת המידע לפני ההתקשרות, ולקבוע במפורש בהסכם בין היתר:

• איזה מידע הספק רשאי לעבד ולאילו מטרות.
• לאילו מערכות הוא רשאי לגשת ואיזה סוג פעולות מותר לו לבצע.
• משך ההתקשרות, ואיך המידע מוחזר ומושמד בסיומה.
• חובת הספק להחתים את העובדים שלו על סודיות.
• אם הספק נעזר בגורם נוסף, שגם ההסכם איתו יכלול את הנושאים האלה.
• דיווח שנתי לפחות על עמידה בחובות, והודעה במקרה של אירוע אבטחה.

בנוסף צריך לפקח בפועל על עמידת הספק בהסכם, ומדריך הרשות מונה את הפרת חובות הבקרה על גורם חיצוני בין ההפרות שבגינן אפשר להטיל עיצום. כאן עסקים נתפסים לא מוכנים: הם פשוט נרשמו לשירות SaaS ואישרו תנאי שימוש.

5. AI ופרטיות: מה מותר להדביק בצ'אט

באפריל 2025 פרסמה הרשות להגנת הפרטיות טיוטת הנחיה על תחולת החוק על מערכות בינה מלאכותית. הטיוטה קובעת שהחוק חל על מודל AI שמעבד מידע אישי, גם בשלב האימון וגם בשלב השימוש, ושמידע שנוצר על אדם באמצעות AI, כמו היסקים והערכות, הוא בעצמו מידע אישי.

לגבי כלי AI יוצר חיצוניים, הטיוטה מצביעה על סיכונים כמו דליפה של מידע אישי שהוזן בשאילתה ושימוש בו למטרות אחרות, כולל אימון. היא ממליצה שהארגון יקבע מדיניות ייעודית שמתייחסת בין השאר ל:

• מי בארגון רשאי להשתמש בכלי AI חיצוני, למה, ואילו סוגי מידע אישי מותר לחשוף בו.
• בחינת סיכוני האבטחה של הכלי, כולל כמה זמן נשמרות השאילתות והאם אפשר למנוע שימוש בהן לאימון.
• רשימה של כלים מותרים ואסורים לשימוש העובדים.
• הדרכת העובדים על הסיכונים המיוחדים של AI יוצר.

שימו לב שזו טיוטה: נכון לאוקטובר 2026 לא מצאתי פרסום של נוסח סופי, ולכן לפני שמסתמכים עליה כדאי לבדוק באתר הרשות מה הנוסח העדכני ומה מעמדו. ההיגיון המעשי ברור: בוט AI שמחובר ל-CRM או לוואטסאפ מעבד מידע אישי. שלחו למודל רק את מה שהוא צריך, העדיפו חשבון עסקי עם תנאים ברורים לגבי שמירה ואימון, ותעדו את הספק במיפוי. ארגון שמדריך את העובדים לעבוד עם כלי AI צריך לכלול בהדרכה גם את השאלה "מה לא מדביקים בצ'אט"; עוד על הדרכות כאלה במאמר על סדנת בינה מלאכותית לארגונים. על בניית סוכנים בצורה מבוקרת כתבתי גם בעמוד סוכני AI, מאגרי ידע ואוטומציה.

6. תיעוד: לוגים שאפשר לסמוך עליהם

במאגרים ברמת אבטחה בינונית או גבוהה, תקנה 10 דורשת מנגנון תיעוד אוטומטי של הגישה למערכות: זהות המשתמש, תאריך ושעה, לאיזה רכיב ניגשו, סוג הגישה והיקפה, והאם הגישה אושרה או נדחתה. המנגנון צריך להקשות על ביטולו, ונתוני התיעוד נשמרים 24 חודשים לפחות. בנוסף צריך נוהל לבדיקה שגרתית של הלוגים.

ב-CRM מוכן, בדקו מה ה-audit log שלו מתעד ולכמה זמן. במערכת שפיתחתם בעצמכם, תכננו את זה מהיום הראשון.

7. גיבויים: גיבוי שלא שוחזר הוא הנחה

התקנות מתייחסות במפורש לגיבוי ושחזור של נתוני האבטחה (כמו הלוגים) במאגרים ברמה בינונית וגבוהה, כולל נוהל שחזור ותיעוד של מי שחזר ומה. זו הדרישה המפורשת בתקנות. מה שבא מכאן והלאה הוא המלצה מקצועית שלי, לא חובה שכתובה בחוק. לגבי הנתונים העסקיים עצמם: גיבוי אוטומטי, עותק שנשמר בנפרד מהמערכת הראשית, הצפנה, ובדיקת שחזור אמיתית לפחות פעם בתקופה. ושימו לב שגם הגיבוי הוא מקום שמחזיק מידע אישי, עם אותן דרישות הרשאה.

8. אירוע אבטחה: להחליט מראש, לא בזמן אמת

תקנה 11 מחייבת לתעד אירועי אבטחה, כלומר כל אירוע שמעלה חשש לפגיעה בשלמות המידע, לשימוש בו בלי הרשאה או לחריגה מהרשאה. נוהל האבטחה צריך לקבוע איך מתמודדים עם אירוע לפי חומרתו, כולל ביטול הרשאות וצעדים מיידיים. באירוע אבטחה חמור יש חובה להודיע לרשות באופן מיידי ולדווח על הצעדים שננקטו. הרשות גם רשאית להורות להודיע לאנשים שעלולים להיפגע.

נוהל טוב עונה מראש: מי מקבל את ההתראה, מי מוסמך לנתק מערכת או לבטל הרשאות, מי מחליט אם האירוע חמור, ומי מדבר עם הרשות, עם הלקוחות ועם עורך הדין. עמוד אחד שכולם מכירים שווה יותר מנוהל ארוך שאף אחד לא קרא.

שאלות נפוצות על תיקון 13

האם תיקון 13 חל גם על עסק קטן?

חוק הגנת הפרטיות חל על כל מי שמעבד מידע אישי, כולל עסקים פרטיים. חלק מהחובות תלויות בגודל ובסוג המאגר: חובת הרישום, חובת מינוי DPO ורמת האבטחה הנדרשת. לעסק קטן יש בדרך כלל פחות חובות, אבל לא אפס. למשל, תקנות אבטחת המידע כוללות מסלול מצומצם ל"מאגר המנוהל בידי יחיד", בתנאים שמוגדרים בתקנות.

האם צריך לרשום את מאגר הלקוחות ברשות להגנת הפרטיות?

ברוב המקרים, לא עוד. חובת הרישום חלה היום בעיקר על גופים ציבוריים ועל מאגרי סחר במידע ודיוור ישיר עם יותר מ-10,000 בני אדם, ומאגר עם מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם חייב בהודעה לרשות. שאר החובות חלות בכל מקרה.

האם העסק שלי חייב במינוי ממונה הגנת פרטיות (DPO)?

רק אם הוא נכנס לאחת הקבוצות בסעיף 17ב1: גוף ציבורי, סוחר מידע או דיוור ישיר מעל 10,000 אנשים, או גוף שעיסוקו העיקרי כרוך בניטור שיטתי של אנשים או בעיבוד מידע בעל רגישות מיוחדת בהיקף ניכר. מכיוון ש"היקף ניכר" נבחן לפי שיקולים ולא לפי מספר, כדאי לקבל על זה חוות דעת משפטית.

מותר להשתמש ב-ChatGPT או בכלי AI אחר עם פרטי לקוחות?

החוק לא אוסר שימוש ב-AI, אבל הזנת מידע אישי לכלי חיצוני היא עיבוד מידע שחלות עליו כל החובות. טיוטת ההנחיה של הרשות ממליצה על מדיניות ארגונית שקובעת אילו כלים מותרים, מי רשאי להשתמש, ואיזה מידע מותר לחשוף, ובוחנת את תנאי השמירה והאימון של הכלי. כלל אצבע: בלי פרטים מזהים ובלי מידע רגיש בכלים שלא נבדקו.

ספק ה-CRM שלנו נפרץ. האחריות עליו או עלינו?

לפי סעיף 17 לחוק, גם בעל השליטה וגם המחזיק אחראים כל אחד לאבטחת המידע שבמאגר. ספק ה-CRM הוא בדרך כלל מחזיק, אבל העסק שלכם הוא בעל השליטה, ותקנה 15 מחייבת אתכם לבחון את הספק, לעגן דרישות בהסכם ולפקח עליו. לכן חשוב שההסכם יכלול חובת הודעה על אירוע אבטחה, ושיהיה לכם נוהל משלכם לטיפול באירוע.