מדיניות פרטיות לאתר ולאפליקציה אחרי תיקון 13: מה חייב להופיע, ומה הרשות אומרת על עוגיות

דיני אינטרנט · Internet Law · 21 באוקטובר 2026 · 11 דקות קריאה

התשובה הקצרה

מדיניות פרטיות לאתר או לאפליקציה חייבת, לכל הפחות, לקיים את סעיף 11 לחוק הגנת הפרטיות, התשמ״א-1981, כנוסחו לאחר תיקון מס׳ 13: בכל נקודה שבה נאסף מידע אישי תוצג הודעה המציינת אם המסירה היא חובה או רשות ומה תוצאת הסירוב, מהי המטרה, מי בעל השליטה במאגר וכיצד פונים אליו, למי יימסר המידע ולאיזו מטרה, ושקיימות זכות עיון וזכות תיקון. באשר לעוגיות – אין בדין הישראלי הוראה המחייבת באנר: לפי גילוי הדעת של הרשות להגנת הפרטיות בנושא הסכמה (25.2.2026), המשך הגלישה לאחר הודעה מתאימה ייחשב על פי רוב הסכמה מכללא כאשר קיים קשר סביר בין האיסוף לבין השירות, ואילו פרופיילינג שאינו קשור לשירות ושירותי דיוור ישיר מחייבים הסכמה אקטיבית נפרדת. רוב האתרים אינם חייבים ברישום מאגר (סעיף 8א לחוק), אך כולם כפופים לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017. אי-מסירת ההודעה באמצעות אתר אינטרנט מחירה 2 ₪ לכל אדם שמידע עליו במאגר, ולא פחות מ-20,000 ₪.

1. חמשת הפרטים שחובה לכלול – סעיף 11 לחוק

סעיף 11 לחוק הגנת הפרטיות, כנוסחו מיום 14 באוגוסט 2025, קובע: ”פניה לאדם לקבלת מידע אישי לשם עיבודו במאגר מידע תלווה בהודעה שיצויינו בה – (1) אם חלה על אותו אדם חובה חוקית למסור את המידע, או שמסירת המידע תלויה ברצונו ובהסכמתו ומהי תוצאת אי-ההסכמה; (2) המטרה אשר לשמה מבוקש המידע; (2א) שמו של בעל השליטה במאגר המידע, ודרכי ההתקשרות עימו; (3) למי יימסר המידע ומטרות המסירה; (4) קיומן של זכות עיון במידע האישי לפי סעיף 13 ושל זכות לבקש תיקון של המידע האישי לפי סעיף 14.“ המילים ”ומהי תוצאת אי-ההסכמה“, פסקה (2א) ופסקה (4) נוספו בתיקון 13, ובהן נכשלות מרבית המדיניויות הישנות.

ההודעה נדרשת בכל נקודת איסוף – טופס הרשמה, קופה, רשימת תפוצה – ולא רק בעמוד שאליו מוביל קישור בתחתית האתר; הנוהג המקובל הוא הודעה קצרה ליד הטופס, המפנה למדיניות המלאה. גילוי הדעת של הרשות בנושא הסכמה מבהיר כי קיום סעיף 11 אינו מבטיח הסכמה מדעת: יש לפרט את כל סוגי המידע ואת כל המטרות, ללא ”בין היתר“ או ”וכיוצא באלה“; מקבלי המידע יכולים להיות מתוארים לפי קטגוריה – ספק ענן, חברת פרסום. את הזכויות שבפסקה (4) יש לקיים בפועל: עיון ”בשפה העברית, הערבית או האנגלית“ (סעיף 13 לחוק) ותיקון מידע שאינו נכון (סעיף 14 לחוק). מי שלא מסר הודעה לפי סעיף 11 ולא תיקן זאת בתוך 30 ימים מדרישה חשוף לפיצוי ללא הוכחת נזק של עד 10,000 ₪ (סעיף 15א לחוק).

2. ההגדרות שקובעות – סעיף 3 לחוק

תיקון 13 ביטל את סעיף 7 לחוק והעביר את ההגדרות לסעיף 3. ”מידע אישי“ הוא ”נתון הנוגע לאדם מזוהה או לאדם הניתן לזיהוי“, ו”אדם הניתן לזיהוי“ הוא ”מי שניתן לזהותו במאמץ סביר, במישרין או בעקיפין, ובכלל זה באמצעות פרט מזהה, כגון שם, מספר זהות, מזהה ביומטרי, נתוני מיקום, מזהה מקוון, או נתון אחד או יותר הנוגע למצבו הפיזי, הבריאותי, הכלכלי, החברתי או התרבותי“. זוהי נקודת האחיזה לעוגיות ולמזהי מכשירים: החוק אינו מזכיר עוגיות, אך ”מזהה מקוון“ ו”נתוני מיקום“ הם עתה חלק מהגדרת המידע האישי. הטענה הרווחת שלפיה ”תיקון 13 קובע שעוגיות הן מידע“ אינה מדויקת – הדרך עוברת בהגדרה.

”מידע בעל רגישות מיוחדת“ כולל, לפי סעיף 3 לחוק, שתים-עשרה קטגוריות, ובהן בריאות, מידע גנטי וביומטרי, מוצא, עבר פלילי, דעות ואמונות, הערכת אישיות, נתוני מיקום ותעבורה בתנאים שבפסקה (9) להגדרה, ונתוני שכר ופעילות פיננסית. לסיווג זה שלוש השלכות: רמת האבטחה, חובת ההודעה לרשות (סעיף 8א(ב) לחוק), ושיעור העיצום. שלוש הגדרות נוספות: ”בעל שליטה“ – מי שקובע את מטרות העיבוד; ”מחזיק“ – ”גורם חיצוני לבעל השליטה במאגר המידע המעבד בעבורו מידע“, כגון ספק אחסון או שירות דיוור; ו”עיבוד“ – כל פעולה במידע אישי, לרבות איסופו, אחסונו, גילויו והעברתו. ”מאגר מידע“ אינו כולל אוסף של שם, מען ודרכי התקשרות בלבד לגבי 100,000 בני אדם או פחות, ובלבד שלבעליו אין אוסף אחר על אותם אנשים – חריג שכמעט אף אתר מסחרי אינו עומד בו.

3. רישום או הודעה – סעיף 8א לחוק

מאז 14 באוגוסט 2025 קובע סעיף 8א(א) לחוק כי מאגר חייב ברישום בשני מקרים בלבד: כאשר ”מטרתו העיקרית היא איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה, לרבות שירותי דיוור ישיר, ויש במאגר מידע אישי על יותר מ-10,000 בני אדם“, או כאשר בעל השליטה הוא גוף ציבורי. במקום הרישום באה חובת הודעה: בעל שליטה במאגר שיש בו מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם יודיע לרשות בתוך 30 ימים על זהותו ועל זהות הממונה, וימסור העתק ממסמך הגדרות המאגר (סעיף 8א(ב) לחוק). העדר חובת רישום אינו פוטר מכל חובה אחרת.

4. ממונה על הגנת הפרטיות – מבחן האפליקציות

מבין ארבע הקבוצות שסעיף 17ב1(א) לחוק מחייב במינוי ממונה, שתיים רלוונטיות לאתרים ולאפליקציות: פסקה (3) – מי שעיסוקיו העיקריים ”מחייבות ניטור שוטף ושיטתי של בני אדם, ובכלל זה מעקב או התחקות שיטתית אחר התנהגותו, מיקומו או פעולותיו של אדם, בהיקף ניכר“; ופסקה (4) – מי שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר, כגון אפליקציות בריאות ופיננסים. גילוי הדעת של הרשות מיום 14 ביולי 2026 בנושא מינוי ממונה קובע כי פסקה (3) כוללת במפורש אפליקציות ואתרים העוקבים אחר פעילות המשתמשים לשם בניית פרופילים (פסקאות 9.4–9.6); כי ”היקף ניכר“ נבחן לפי אמות המידה שבסעיף 17ב1(ב) לחוק – מספר בני האדם, שיעורם באוכלוסייה, היקף המידע וטווח סוגיו, משך העיבוד ותדירותו, משך השמירה והתחום הגאוגרפי – ללא סף מספרי, ודי באחת מהן (פסקה 9.10); וכי מינוי ממונה בארגון שחב בכך עשוי לזכות אותו בהפחתה של 10% מעיצום כספי שיוטל עליו בשל הפרות אחרות, לפי פרט 2(4) לתוספת החמישית לחוק (פסקה 9.14). דרכי ההתקשרות עם הממונה (סעיף 17ב2(א)(4) לחוק) מתפרסמות לציבור ”באופן נגיש ופשוט“ – ולכן הן חלק ממדיניות הפרטיות. הוא יכול להיות גורם חיצוני, ובלבד שאין ניגוד עניינים (סעיף 17ב3(ב)–(ג) לחוק).

5. תקנות אבטחת מידע – לפי רמות

תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017, חלות על כל מאגר, רשום או לא, ומדרגות את החובות לפי רמת אבטחה הנקבעת בתקנה 1 ובתוספות:

הרמה	מי	חובות עיקריות
מאגר המנוהל בידי יחיד	יחיד או תאגיד בבעלות יחיד, עם עד שני מורשי גישה נוספים; לא במאגר של 10,000 בני אדם ומעלה	מסמך הגדרות המאגר (תקנה 2) ושורת חובות מצומצמת
בסיסית	כל מאגר שאינו ברמה אחרת	מסמך הגדרות, נוהל אבטחה (תקנה 4), מיפוי מערכות (תקנה 5), הרשאות גישה (תקנה 8), תיעוד אירועי אבטחה (תקנה 11), אבטחת תקשורת והצפנה (תקנה 14), הסכם עם כל מחזיק (תקנה 15)
בינונית	התוספת הראשונה: מאגר שמטרתו מסירת מידע לאחר, גוף ציבורי, או מידע מהסוגים הרגישים; אך מאגר של מידע מהסוגים הרגישים שבו עד 10 מורשי גישה, או שהמידע הרגיש בו הוא על עובדי הארגון וספקיו בלבד, נותר ברמה הבסיסית	בנוסף: אמצעי זיהוי פיזי וכללי סיסמאות (תקנה 9(ב)), תיעוד גישה (תקנה 10), בקרת כניסה לאתרי המערכות (תקנה 6(ב)), הדרכה תקופתית (תקנה 7(ג)), ביקורת כל 24 חודשים (תקנה 16)
גבוהה	התוספת השנייה: מאגר ברמה בינונית עם 100,000 בני אדם ומעלה, או יותר מ-100 מורשי גישה	בנוסף: סקר סיכונים ומבדקי חדירה כל 18 חודשים (תקנה 5)

שתי תקנות נוגעות ישירות לאתרים ולאפליקציות. תקנה 15 מחייבת הסכם בכתב עם כל ”מחזיק“ – ספק אחסון, ניתוח נתונים, דיוור – הקובע את המידע שמותר לו לעבד, את מטרות העיבוד, את תקופת ההתקשרות והשבת המידע בסיומה, חובות אבטחה, סודיות וקבלני משנה; הסכם הספק הסטנדרטי בדרך כלל אינו מכסה זאת. תקנה 11 מחייבת לתעד כל אירוע אבטחה, ו”אירוע אבטחה חמור“ – במאגר ברמה גבוהה כל שימוש לא מורשה או פגיעה בשלמות המידע, ובמאגר ברמה בינונית פגיעה בחלק מהותי מהמאגר – מדווח ”באופן מיידי“ לראש הרשות להגנת הפרטיות (תקנה 11(ד)). הפרת התקנות מחירה, לפי התוספת השלישית לחוק ומדריך הרשות, 1,000–2,000 ₪ להפרה במאגר ברמה בסיסית (4,000 ₪ בהפרת תקנה 15), ובמאגרים ברמה בינונית וגבוהה 20,000–320,000 ₪ לפי חומרת ההפרה.

6. עוגיות: מה הרשות אומרת בפועל

אין בישראל חוק עוגיות ואין הנחיה של הרשות המוקדשת לבאנרים. המסמך המרכזי הוא גילוי הדעת של הרשות להגנת הפרטיות בנושא הסכמה בדיני הגנת הפרטיות מיום 25 בפברואר 2026, ושתי קביעות בו עונות על השאלה.

הראשונה, בפסקה 42: ”המשך ׳גלישת׳ משתמש באתר אינטרנט, לאחר שהוצג בפניו המידע הנדרש לשם קבלת הסכמתו מדעת לאיסוף מידע על אודותיו עם כניסתו לאתר (גם אם הופנה לפירוט נוסף במקום אחר באתר), תיחשב על-פי רוב הסכמה מכללא לאיסוף המידע ושימוש בו.“ הרשות מסייגת: הסכמה מכללא תקפה רק כאשר קיים ”קשר סביר בין מטרות איסוף המידע ואופן השימוש בו למאפייני אותו השירות“, ועל המפעיל להיות מסוגל להוכיחה, למשל בשמירת המסכים שהוצגו למשתמשים. השנייה, בפסקה 74: כאשר הסכם כולל הסכמה לאיסוף מידע שאינו נדרש לשירות או לשימוש למטרות שונות מהותית, ”רצוי שההסכמה במסגרת סעיפים אלו תיעשה במתכונת של הסכמה אקטיבית נפרדת (Opt-in) ולא באופן פסיבי (Opt-out)“; ובאשר ל”פרופיילינג“ שאינו נדרש או קשור ישירות למטרת השירות בין צדדים שביניהם פערי כוח, וכן בהקשר של שירותי דיוור ישיר – ”לא ניתן להסתפק בהסכמה פסיבית, ועל ההסכמה להתקבל במתכונת של הסכמה אקטיבית נפרדת (Opt-in)“. הרשות מוסיפה כי שתיקה כשלעצמה אינה הסכמה, כי ”דפוסים אפלים“ בממשק פועלים נגד חופשיות ההסכמה, וכי ראוי להשתמש בבאנרים ובהודעות מדורגות להבלטת עיקרי הפרטיות (ההמלצות שבסוף גילוי הדעת).

המסקנה המעשית: הודעה ברורה בכניסה לאתר, המפנה לפרק העוגיות במדיניות, היא הבסיס להסכמה מכללא לעוגיות המשרתות את האתר עצמו; עוגיות ופיקסלים המזינים פרופיילינג שאינו קשור לשירות – פרסום ממוקד, רימרקטינג – ושירותי דיוור ישיר מחייבים הסכמה אקטיבית נפרדת, ובלעדיה אין להפעילם. עסקים רבים בוחרים, כעמדה שמרנית, לדרוש הסכמה אקטיבית לשני הסוגים כאחד; הדין אינו מחייב זאת, ואף אינו מחייב ”חומת עוגיות“ החוסמת את הגלישה. המלצות הרשות לאתרי רכישות מקוונות (עודכנו 8.5.2025) מוסיפות מה על פרק העוגיות לומר: האם האתר מפעיל אמצעי התחקות ולאיזו מטרה, האם מפרסמים צד שלישי עוקבים אחר הגולש וכיצד להימנע מכך, ומה נאסף תוך כדי גלישה – כתובת IP והדפים הנצפים.

7. ניוזלטר, רשימת תפוצה ודיוור ישיר – שלוש מדרגות

תיקון 13 ביטל את סעיפים 17ג ו-17ז לחוק והעביר את ההגדרות לסעיף 3: ”דיוור ישיר“ הוא ”פנייה אישית לאדם, בהתבסס על השתייכותו לקבוצת אוכלוסין, שנקבעה על פי אפיון אחד או יותר של בני אדם ששמותיהם כלולים במאגר מידע“, ו”שירותי דיוור ישיר“ הם מתן שירותים כאלה לאחרים בדרך של העברת רשימות או נתונים. הנחיה 2/2017 של הרשות, שפורסמה מחדש ב”נוסח מעודכן בעקבות תיקון 13“, מבחינה בין שלוש מדרגות, ולכל אחת חוק משלה:

המדרגה	מהי	הדין החל
א. ניוזלטר רגיל	פנייה של העסק ללקוחותיו ולמנוייו, המפולחת לכל היותר לפי מידע שהם עצמם מסרו, ללא פרופיל חדש – אינה ”דיוור ישיר“ (הנחיה 2/2017, פסקאות 13.1–13.2)	סעיף 30א לחוק התקשורת (בזק ושידורים), התשמ״ב-1982, בלבד: הסכמה מפורשת מראש או חריג הלקוח הקיים (סעיף 30א(ג)), אפשרות הסרה (סעיף 30א(ד)), המילה ”פרסומת“ ופרטי המפרסם (סעיף 30א(ה)); פיצוי ללא הוכחת נזק עד 1,000 ₪ להודעה (סעיף 30א(י))
ב. פילוח היוצר פרופיל	פנייה לפי מאפיין שלא נבע מעצם היות האדם לקוח – גיל, דת, הרגלי צריכה מוסקים; הדוגמה בהנחיה (פסקה 14.1): רשת מזון הפונה ללקוחות בני דת מסוימת לקראת חגם	בנוסף: הודעה מראש על השימוש המתוכנן, וזכות לדרוש מחיקה לפי סעיף 17ו(ב) לחוק הגנת הפרטיות, שיש לקיימה ולאשרה בכתב (סעיף 17ו(ד) לחוק). כל פנייה בדיוור ישיר – גם של העסק עצמו – תכיל ציון כי היא בדיוור ישיר, את זכות המחיקה והמען לכך, ואת זהות בעל השליטה והמקורות שמהם קיבל את המידע (סעיף 17ו(א) לחוק); לפי פסקה 19.1.5 להנחיה 2/2017 הרשות ככלל לא תאכוף את ציון המקור כלפי לקוחות פעילים. לפי גילוי הדעת בנושא הסכמה עדיפה הסכמה אקטיבית נפרדת
ג. העברת הרשימה לאחרים	מסירת הרשימה או שימוש בה לטובת אחרים – ”שירותי דיוור ישיר“	רישום המאגר למטרת שירותי דיוור (סעיף 17ד לחוק הגנת הפרטיות), רישום מקור כל אוסף נתונים ולמי נמסר (סעיף 17ה לחוק), ציון מספר הרישום של המאגר בכל פנייה – הרכיב היחיד בסעיף 17ו(א) לחוק השמור לשירותי דיוור ישיר (סעיף 17ו(א)(1) לחוק), וממונה על הגנת הפרטיות במאגר של יותר מ-10,000 בני אדם (סעיף 17ב1(א)(2) לחוק)

סעיף 30א לחוק התקשורת חל על שלוש המדרגות במקביל. על חוק הספאם, חריג הלקוח הקיים והפסיקה.

8. העיצומים הכספיים – הסכומים לשנת 2026

פרק ד׳3 לחוק הגנת הפרטיות מסמיך את הרשות להטיל עיצומים כספיים. הסכומים הקבועים בסעיף 23כו לחוק, ולצידם הסכומים המעודכנים לשנת 2026 (י״פ תשפ״ז, 654):

ההפרה	הסכום בחוק	נכון ל-2026
עיבוד במאגר החייב ברישום שלא נרשם (סעיף 8א לחוק), או במאגר המשמש לשירותי דיוור ישיר ללא רישום (סעיף 17ד לחוק)	150,000 ₪; כפול במאגר של 1,000,000 בני אדם ומעלה	153,540 ₪
אי-מסירת הודעה לפי סעיף 11 לחוק לאדם מסוים; פנייה בדיוור ישיר ללא הפרטים שבסעיף 17ו(א) לחוק	50 ₪ לכל אדם (100 ₪ במידע בעל רגישות מיוחדת), ולא פחות מ-30,000 ₪	51.18 ₪ / 102.36 ₪; לא פחות מ-30,710 ₪
אי-מסירת הודעה לפי סעיף 11 לחוק לקבוצה בלתי מסוימת – למשל באמצעות קישור באתר; אי-מינוי ממונה לפי סעיף 17ב1(א)(1)–(2) לחוק	2 ₪ לכל אדם שמידע עליו במאגר (4 ₪ במידע רגיש), ולא פחות מ-20,000 ₪ (40,000 ₪)	2.05 ₪ / 4.09 ₪; לא פחות מ-20,470 ₪ (40,940 ₪)
הפרת זכויות העיון, התיקון והמחיקה (סעיפים 13, 14 ו-17ו(ב)–(ג) לחוק)	15,000 ₪	15,350 ₪

דוגמה ממדריך הרשות: הפרת סעיף 11 באמצעות אתר אינטרנט, במאגר של 500,000 בני אדם הכולל מידע רגיש – עיצום של 2,000,000 ₪. התוספת החמישית לחוק מאפשרת הפחתה מצטברת של עד 70% – ובה 10% בגין מינוי ממונה – ולבקשת המפר יופחת העיצום כך שלא יעלה על 5% ממחזור העסקאות השנתי. לצד העיצומים: הוראה להפסקת הפרה (סעיף 23כה לחוק) ופיצוי ללא הוכחת נזק עד 10,000 ₪ (סעיף 15א לחוק).

9. מעבר לדרישות החוק: מדיניות שאפשר לקרוא

מדיניות שעומדת בכל סעיף אך אינה קריאה מחטיאה את מטרתה – ולפי גילוי הדעת בנושא הסכמה, תנאים ארוכים ובלתי נגישים עלולים שלא לבסס הסכמה כלל. שלושה כללי עבודה: לשון פשוטה – כל סוג מידע ומטרה במילים שאדם שאינו משפטן מבין; נגישות – המדיניות היא תוכן באתר, ותקנה 35א לתקנות שוויון זכויות לאנשים עם מוגבלות (התאמות נגישות לשירות), התשע״ג-2013, חלה עליה כעל כל עמוד אחר; וניהול גרסאות – תאריך עדכון, שמירת הגרסאות הקודמות והמסכים שהוצגו למשתמשים, והסכמה מחודשת כאשר השינוי מהותי. מדיניות הפרטיות של משרדנו בנויה על פי כללים אלה. על תנאי השימוש, ועל השירות כולו – מסמכים משפטיים לאתר ולאפליקציה; אתר הפונה גם למשתמשים באיחוד האירופי זקוק לשכבה נוספת – חברה ישראלית ו-GDPR.

שאלות נפוצות

האם מדיניות פרטיות היא חובה על פי חוק?

החוק אינו משתמש במונח ”מדיניות פרטיות“. החובה היא לפי סעיף 11 לחוק הגנת הפרטיות: כל פנייה לאדם לקבלת מידע אישי לשם עיבודו במאגר מידע חייבת להיות מלווה בהודעה בת חמישה פרטים. מדיניות פרטיות מקיימת חובה זו רק אם היא מוצגת בנקודת האיסוף עצמה וכוללת את כל חמשת הפרטים.

האם כתובת IP או מזהה מכשיר הם ”מידע אישי“?

לפי סעיף 3 לחוק הגנת הפרטיות, ”מידע אישי“ הוא נתון הנוגע לאדם מזוהה או לאדם הניתן לזיהוי ”במאמץ סביר, במישרין או בעקיפין“, ובכלל זה באמצעות ”מזהה מקוון“ או ”נתוני מיקום“. כתובת IP, מזהה מכשיר או מזהה השמור בעוגייה הם מזהים מקוונים, והמידע הנצבר לצידם הוא מידע אישי.

האם החוק מחייב באנר עוגיות?

אין בדין הישראלי הוראה המחייבת באנר עוגיות כשלעצמו. לפי גילוי הדעת של הרשות להגנת הפרטיות בנושא הסכמה (25.2.2026), המשך הגלישה לאחר שהוצג למשתמש המידע הנדרש ייחשב על פי רוב הסכמה מכללא, כאשר קיים קשר סביר בין האיסוף לבין השירות; פרופיילינג שאינו קשור לשירות ושירותי דיוור ישיר מחייבים הסכמה אקטיבית נפרדת. עסקים רבים בוחרים, כעמדה שמרנית, בהסכמה אקטיבית לשני הסוגים.

האם הניוזלטר שלנו הוא ”דיוור ישיר“?

לפי הנחיה 2/2017 של הרשות, בנוסחה המעודכן בעקבות תיקון 13 (פסקאות 13.1–13.2), פנייה של עסק ללקוחותיו ולמנוייו, המבוססת רק על מידע שהם עצמם מסרו וללא יצירת פרופיל חדש, אינה ”דיוור ישיר“, וחל עליה סעיף 30א לחוק התקשורת (בזק ושידורים), התשמ״ב-1982, בלבד. פילוח היוצר פרופיל חדש הופך את הפנייה לדיוור ישיר; העברת הרשימה לאחרים היא ”שירותי דיוור ישיר“ (סעיף 17ד לחוק הגנת הפרטיות).

מה עלינו לעשות אם אירעה דליפת מידע?

תקנה 11 לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017, מחייבת לתעד כל אירוע אבטחה. ”אירוע אבטחה חמור“ מדווח ”באופן מיידי“ לראש הרשות להגנת הפרטיות (תקנה 11(ד)). דיווח עצמי מזכה בהפחתת העיצום לפי התוספת החמישית לחוק.

מתי אפליקציה חייבת למנות ממונה על הגנת הפרטיות?

כאשר עיסוקיה העיקריים מחייבים ”ניטור שוטף ושיטתי של בני אדם ... בהיקף ניכר“ (סעיף 17ב1(א)(3) לחוק הגנת הפרטיות), או כאשר היא מעבדת מידע בעל רגישות מיוחדת בהיקף ניכר (פסקה (4)). גילוי הדעת של הרשות מיום 14.7.2026 קובע כי פסקה (3) כוללת אפליקציות ואתרים העוקבים אחר פעילות המשתמשים לשם בניית פרופילים, וכי ”היקף ניכר“ נבחן ללא סף מספרי.

האמור לעיל הוא מידע כללי על הדין הישראלי בלבד, נכון למועד הפרסום, ואינו מהווה ייעוץ משפטי או תחליף לייעוץ משפטי פרטני. סכומי העיצומים והפיצויים הם הסכומים הקבועים בחיקוקים ובפרסומי הרשויות במועד הפרסום ומתעדכנים מעת לעת. לפני קבלת החלטה יש להיוועץ בעורך דין ביחס לנסיבות הקונקרטיות.

→ לכל המאמרים