GDPR לחברה ישראלית – שלוש שאלות שצריך לענות עליהן ביום הראשון.

פרטיות ודיני אינטרנט · Privacy & Internet Law · 12 באוגוסט 2026 · 5 דקות קריאה

שאלה 1: האם GDPR בכלל חל עלינו?

לתקנות תחולה אקסטריטוריאלית בשני מסלולים עיקריים (סעיף 3(2)):

• הצעת מוצרים או שירותים לאנשים באיחוד האירופי, גם ללא תמורה. אתר באנגלית בלבד אינו מספיק כשלעצמו; לעומת זאת, תמחור ביורו, שפות אירופיות, שיווק ממוקד או לקוחות אירופיים בפועל מצביעים על תחולה.
• ניטור התנהגות של אנשים באיחוד – אנליטיקה התנהגותית, פרופיילינג או מעקב אחר משתמשים אירופיים.

קיים גם מסלול שלישי, שקט יותר ונפוץ יותר: תחולה חוזית. גם אם התקנות אינן חלות עליכם במישרין, הלקוח האירופי שלכם כפוף להן, והוא מחויב (סעיף 28) להחתים אתכם על הסכם עיבוד נתונים. בפועל, חברת SaaS ישראלית פוגשת את ה-GDPR בראש ובראשונה באמצעות החוזה עם הלקוח.

שאלה 2: האם אנחנו Controller או Processor?

זוהי השאלה הקובעת את מבנה החובות, והתשובה הנפוצה היא: שניהם – בכובעים שונים ביחס למאגרים שונים.

• ביחס לנתוני הלקוחות שאתם מעבדים בפלטפורמה עבור לקוחותיכם, אתם בדרך כלל Processor: פועלים על פי הוראות, כפופים ל-DPA, ומחויבים באבטחת מידע, בהודעה על אירועי אבטחה ובסיוע ללקוח.
• ביחס למשתמשים שלכם עצמם, לאנשי הקשר, למועמדים לעבודה ולפעילות השיווק, אתם Controller: אחראים לבסיס החוקי, לשקיפות ולזכויות נושאי המידע.

הבלבול בין שני הכובעים הוא מקור השגיאות הנפוץ ביותר – למשל, שימוש בנתוני לקוח לצורכי פיתוח המוצר מבלי שה-DPA מתיר זאת.

שאלה 3: כיצד המידע יוצא מאירופה כדין?

בעניין זה לחברות ישראליות יתרון מבני: ישראל נהנית מהחלטת נאותות של נציבות האיחוד האירופי, שאושררה בבדיקה התקופתית של הנציבות בינואר 2024. משמעות הדבר היא שהעברת מידע מהאיחוד לישראל מותרת ללא מנגנונים נוספים, בכפוף לכך שהמידע נותר בתחולת ההחלטה.

• ואולם שרשרת העיבוד נמשכת הלאה: אם אתם מאחסנים מידע ב-AWS בארה״ב או נעזרים בתתי-ספקים מחוץ לישראל ולאיחוד, יש לבסס גם את ההעברה הזו – בדרך כלל על הסעיפים החוזיים הסטנדרטיים (SCCs) של הספק.
• מיפוי תתי-הספקים (Sub-processors) הוא לפיכך משימה ליום הראשון: מי נוגע במידע, היכן, ועל בסיס איזה מנגנון העברה.

ומה עוד נדרש ביום הראשון

• נציג באיחוד (סעיף 27): חברה ללא נוכחות באיחוד שחל עליה סעיף 3(2) נדרשת ככלל למנות נציג מקומי – חובה שרבים מגלים באיחור.
• רישום פעולות עיבוד (סעיף 30): מסמך התשתית שבו מתחילה כל בדיקה מצד לקוח.
• ואין לשכוח את הדין הישראלי: חוק הגנת הפרטיות, לאחר תיקון 13, מטיל חובות עדכניות משלו, ובדיקת נאותות רצינית תבחן את שניהם.

שאלות נפוצות

יש לנו לקוח אירופי אחד. האם די בכך כדי שה-GDPR יחול?

אם אתם מציעים את השירות לשוק האירופי או מנטרים משתמשים שם – כן, די בכך. וגם אם לא, הלקוח יחיל עליכם את עיקרי התקנות באמצעות ה-DPA. ההבדל המעשי בין שני המצבים קטן מכפי שנדמה.

האם החלטת הנאותות של ישראל פוטרת אותנו מכל החובות?

לא. היא פותרת את שלב ההעברה מהאיחוד לישראל בלבד – לא את חובות העיבוד עצמן, לא את ה-DPA מול הלקוח, ולא את ההעברות הנוספות לספקים שלכם מחוץ לישראל.

ראו גם: מדיניות פרטיות לאתר ולאפליקציה אחרי תיקון 13: מה חייב להופיע, ומה הרשות אומרת על עוגיות.

לעסקיםפרטיות ודיני אינטרנט←

האמור לעיל הוא מידע כללי בלבד, נכון למועד הפרסום, ואינו מהווה ייעוץ משפטי או תחליף לייעוץ משפטי פרטני. לפני קבלת החלטה יש להיוועץ בעורך דין ביחס לנסיבות הקונקרטיות.

→ לכל מאמרי הפרטיות ודיני האינטרנט