תיקון 13 לחוק הגנת הפרטיות: עיצומים כספיים על הפרת תקנות אבטחת מידע ותקרות לעסק זעיר וקטן

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025. עד אז, הפרה של תקנות אבטחת המידע הייתה בעיקר עניין של פיקוח והמלצות. מאז, ראש הרשות להגנת הפרטיות מוסמך להטיל עיצום כספי על בעל שליטה במאגר או על מחזיק בו לפי טבלה שבתוספת השלישית לחוק. הסכום בטבלה תלוי בחובה שהופרה וברמת האבטחה של המאגר. אותה הפרה עולה סכום נמוך במאגר המנוהל בידי יחיד, ופי כמה במאגר ברמה גבוהה. לעסק זעיר (מחזור של עד 4 מיליון ₪) ולעסק קטן (מעל 4 ועד 10 מיליון ₪) יש תקרות מופחתות, אבל רק אם העסק מבקש זאת ומגיש אישור על המחזור. המשמעות לעסק: לתיעוד יש עכשיו מחיר. מי שלא כתב נוהל, לא מיפה מערכות או לא דיווח על אירוע חמור חשוף לסכום מוגדר בחוק.

המדריך הוא חלק מהמדריך המרכזי לעלות הגנת סייבר. על הרמות עצמן ראו המדריך לרמות האבטחה.

דוגמאות מהתוספת השלישית: הפרה ← סכום לפי רמה

הפרה (תקנה)	יחיד	בסיסית	בינונית	גבוהה
אין מסמך הגדרות מאגר (2(א))	2,000 (2,050)	2,000 (2,050)	40,000 (40,940)	160,000 (163,780)
אין נוהל אבטחה (4)	–	2,000 (2,050)	40,000 (40,940)	160,000 (163,780)
אין מיפוי מערכות ורשימת מצאי (5(א))	–	1,000 (1,020)	20,000 (20,470)	80,000 (81,890)
לא נערך סקר סיכונים או מבדק חדירה אחת ל-18 חודשים (5(ג)–(ד))	–	–	–	320,000 (327,560)
לא נקבעו הרשאות גישה (8(א))	–	2,000 (2,050)	40,000 (40,940)	160,000 (163,780)
לא בוטלו הרשאות של מי שסיים תפקיד (9(ג))	–	2,000 (2,050)	40,000 (40,940)	160,000 (163,780)
אין מנגנון תיעוד גישה (10)	–	–	40,000 (40,940)	160,000 (163,780)
לא דווח מיד לרשות על אירוע אבטחה חמור (11(ד))	–	–	80,000 (81,890)	320,000 (327,560)
אין עדכונים שוטפים, או שימוש במערכת לא נתמכת (13(ג))	2,000 (2,050)	2,000 (2,050)	40,000 (40,940)	160,000 (163,780)
חיבור לאינטרנט בלי אמצעי הגנה (14(א))	2,000 (2,050)	2,000 (2,050)	40,000 (40,940)	160,000 (163,780)
מיקור חוץ בלי הסכם או פיקוח כנדרש (15)	–	4,000 (4,090)	80,000 (81,890)	320,000 (327,560)
לא נערכה ביקורת אחת ל-24 חודשים (16(א))	–	–	40,000 (40,940)	160,000 (163,780)

הסכומים בש״ח: בסיס, ובסוגריים הסכום המעודכן ל-2026. מקף פירושו שהחובה לא חלה על הרמה הזו, או שלא נקבע לה עיצום ברמה הזו. במאגר ברמה גבוהה עם מידע על 1,000,000 אנשים ומעלה אפשר להטיל כפל סכום. בטבלה המלאה בחוק יש 29 פרטים. אלה רק דוגמאות.

הפחתות שהחוק מחייב או מאפשר

התוספת החמישית קובעת מתי מפחיתים. ראש הרשות אינו רשאי להטיל סכום נמוך מהקבוע, אלא לפי ההפחתות האלה:

אין הפרות קודמות: אם לא הוטל עיצום על אותה הוראה בחמש השנים שקדמו להפרה, ההפחתה היא 20%. אם רק בשלוש השנים שקדמו לא הוטל עיצום כזה, ההפחתה היא 10%.
הפסקה ודיווח מיוזמתכם: 30%.
פעולות למניעת הישנות ולהקטנת הנזק, להנחת דעת ראש הרשות: 20%.
פיצוי ששולם לנפגעים בשל אותן הפרות: עד 30%.
הפחתה מצטברת: עד 70% לכל היותר.
עסק זעיר או קטן, לבקשתו: תקרה לפי קבוצת ההפרה. ראו בהמשך.
5% מהמחזור: אם העיצום, אחרי ההפחתות, עולה על 5% ממחזור העסקאות של המפר, מפחיתים אותו ל-5%, לבקשתו.

את בקשות ההפחתה בשל המחזור מגישים עם אישור על גובה המחזור מרואה חשבון או מיועץ מס מייצג, בתוך 30 ימים ממסירת ההודעה על כוונת חיוב.

תקרות לעסק זעיר וקטן

קבוצת הפרות	עסק זעיר (עד 4 מ׳ ₪)	עסק קטן (4–10 מ׳ ₪)
קבוצה 1: למשל מיפוי מערכות, הגנה פיזית, הדרכה, תיעוד, הפרדת מערכות	20,000 (20,470)	40,000 (40,940)
קבוצה 2: למשל מסמך הגדרות, נוהל, הרשאות, תיעוד גישה, דיווח על אירוע חמור, עדכונים, מיקור חוץ, סקר ומבדק, ביקורת	50,000 (51,180)	100,000 (102,360)
קבוצה 3: אי-מסירת מסמך או חומר מחשב למפקח	70,000 (71,650)	140,000 (143,310)

בסוגריים: הסכומים המעודכנים ל-2026. מפר זעיר או קטן שביצע כמה הפרות מכמה קבוצות לא יישא בסכום שעולה על העיצום הגבוה מבין הקבוצות.

דוגמה להמחשה

משרד ייעוץ פיננסי עם מחזור של 7 מיליון ₪ מחזיק מאגר ברמה בינונית. בבירור מתברר שאין נוהל אבטחה, שלא דווח על אירוע חמור, ושההסכם עם ספק ה-IT לא כולל את מה שתקנה 15 דורשת.

לפני תקרות: 40,000 + 80,000 + 80,000 = 200,000 ₪ (סכומים בסיסיים). בסכומים המעודכנים ל-2026: 40,940 + 81,890 + 81,890 = 204,720 ₪.
נניח שהמשרד הפסיק את ההפרות, דיווח ונקט צעדים, וקיבל הפחתה של 30% + 20% = 50%. נשארים 100,000 ₪ (102,360 ₪ בסכומי 2026).
המשרד הוא עסק קטן, וכל שלוש ההפרות שייכות לקבוצה 2. התקרה לקבוצה היא 100,000 ₪ (102,360 ₪ ב-2026), כך שגם כאן הסכום נשאר כפי שהוא.
5% מהמחזור הם 350,000 ₪, ולכן התקרה הזו לא משנה כאן.

זה תרגיל בחשבון ולא תחזית של החלטת הרשות. הוא מראה שתיקון ההפרה ודיווח מיוזמתכם משפיעים על הסכום, ושמסמכים חסרים הם הפרות נפרדות.

מה עוד השתנה בתיקון 13, בקצרה

סמכויות פיקוח ובירור מינהלי: מפקחים רשאים לדרוש מסמכים וחומר מחשב. אי-מסירה היא הפרה עם עיצום גבוה משלה.
ממונה על הגנת הפרטיות (DPO): סעיף 17ב1 מחייב מינוי בגופים ציבוריים, במאגרי סחר במידע עם יותר מ-10,000 איש, ובגופים שעיסוקם העיקרי כולל ניטור שיטתי או עיבוד מידע רגיש בהיקף ניכר. רוב העסקים הקטנים לא חייבים.
פיצויים לדוגמה: סעיף 15א מאפשר לבית משפט לפסוק עד 10,000 ₪ בלי הוכחת נזק על הפרות מסוימות של זכויות, למשל אי-מתן עיון במידע. הסעיף לא מתייחס ישירות לחובות האבטחה.
רישום מאגרים: החובה צומצמה לסוגים מסוימים של מאגרים. בדקו אם המאגר שלכם חייב ברישום או בהודעה לפי סעיף 8א.

מה לעשות עכשיו

קבעו רמה לכל מאגר. בלי זה אי אפשר לדעת מה חל עליכם.
כתבו את המסמכים: הגדרות מאגר, נוהל, מיפוי והרשאות. הרבה מהעיצומים בטבלה הם על מסמך שלא קיים.
הכינו נוהל דיווח על אירוע חמור. ראו המדריך לדיווח.
סדרו את הסכמי הספקים לפי תקנה 15. ראו סיכוני ספקים.
שמרו ראיות: תקנה 19(ב) דורשת לתעד גם פעולות שאינן מסמך, כמו הדרכה שנערכה או הרשאה שבוטלה.

שאלות נפוצות

האם הרשות כבר מטילה עיצומים לפי התיקון?

הסמכות קיימת מ-14.8.2025. על החלטות שפורסמו בפועל ועל מדיניות האכיפה, בדקו באתר הרשות להגנת הפרטיות. לא הסתמכנו כאן על דיווחים משניים.

אם הספק שלי הפר, מי משלם?

החוק מאפשר להטיל עיצום על בעל השליטה ועל המחזיק, כל אחד לפי ההוראות שחלות עליו. במקרים מסוימים, כשמחזיק לא הפסיק הפרה, ניתן לחייב גם את בעל השליטה. לכן החוזה עם הספק חשוב.

איך מוכיחים שאנחנו ״עסק זעיר״?

מגישים אישור על מחזור העסקאות בשנה שקדמה להפרה: אישור של רואה החשבון המבקר, או לפי סוג המפר, אישור של רואה חשבון או של יועץ מס מייצג, בתוך 30 ימים מההודעה על כוונת חיוב.

מקורות

ויקיטקסט: חוק הגנת הפרטיות, נוסח משולב — סעיפים 23כו–23לג, התוספת השלישית והחמישית
ספר החוקים 3287 (olaw.org.il) — חוק התיקון, סעיף 74 (תחילה)
ילקוט הפרסומים 15000 (olaw.org.il) — הודעה על עדכון סכומי העיצומים הכספיים ל-2026, עמ׳ 654
הרשות להגנת הפרטיות (gov.il) — סכומים מעודכנים ומדיניות אכיפה