קנסות ועיצומים בתיקון 13: כמה, על מה, ומה כבר קרה בשטח

"קנס של מאות אלפי שקלים" זו הכותרת שכולם שמעו. בפועל, העיצומים לפי תיקון 13 בנויים ממדרגות: סוג ההפרה, כמה אנשים נפגעו, כמה המידע רגיש, ומה גודל העסק. הנה איך זה עובד, מה כבר קרה בשטח, ומה עסק קטן צריך לעשות כדי לא להיות הבא בתור.

מי מטיל את הקנס, ובלי בית משפט

מאז 14 באוגוסט 2025, כשתיקון 13 לחוק הגנת הפרטיות נכנס לתוקף, הרשות להגנת הפרטיות יכולה להטיל עיצום כספי בעצמה, בהליך מנהלי. לא צריך תביעה, לא צריך נפגע שיגיש תלונה לבית משפט. מספיק פיקוח, תלונה של לקוח או אירוע אבטחה שהגיע לידיעת הרשות. לפני שמטילים עיצום, העסק מקבל הודעה ויכול לטעון את טענותיו, אבל ההחלטה עצמה היא של הרשות.

איך נקבע הסכום

אין "קנס אחד". הסכום נגזר מכמה משתנים:

• סוג ההפרה. יש הבדל בין אי־מתן זכות עיון (למשל: לקוח ביקש לראות מה שמור עליו ולא קיבל תשובה, כ־15,000 ₪ להפרה), לבין הפרת אבטחת מידע או שימוש במידע בלי בסיס חוקי.
• מספר האנשים במאגר. בחלק מההפרות הסכום מחושב לפי כל אדם במאגר, ולכן מאגר של עשרות אלפי לקוחות מגיע מהר לסכומים גבוהים.
• רגישות המידע. מידע רפואי, ביומטרי, פיננסי או מידע על קטינים מכפיל את הסכום.
• גודל העסק. לעסקים קטנים יש תקרות נמוכות משמעותית, ובכל מקרה העיצום מוגבל לאחוזים בודדים מהמחזור השנתי (בערך 5%).
• נסיבות מקלות. עבר נקי, דיווח עצמי לרשות ותיקון מהיר של הבעיה מפחיתים את הסכום בצורה מורגשת.

השורה התחתונה: עסק קטן לא יקבל קנס של מיליונים על מדיניות פרטיות חסרה. אבל גם "עשרות אלפי שקלים" זה כסף שאף עסק קטן לא רוצה לשלם על משהו שנסגר בערב אחד.

מה כבר קרה בשטח

• HOT מובייל, 70,000 ₪ (אוגוסט 2025). החברה המשיכה לפנות בשיווק ללקוח לשעבר, יותר מ־20 פעמים, למרות בקשות חוזרות להפסיק, ובלי למסור לו את המידע שהחוק דורש. זה המקרה הכי רלוונטי לעסקים קטנים: דיוור ושיחות שיווק בלי הסכמה, ובלי אפשרות הסרה אמיתית.
• קופת חולים מאוחדת, 256,000 ₪ (יולי 2026). העיצום הראשון שהוטל מכוח תיקון 13. הקופה גילתה תקלה שחשפה מידע רפואי, ודיווחה לרשות רק כחודשיים אחר כך. הרשות הבהירה: חובת הדיווח על אירוע אבטחה חמור קמה ברגע שנודע על הגישה הלא מורשית, לא אחרי שהבדיקה הפנימית הסתיימה.

שני המקרים לא עסקו בטכנולוגיה מתוחכמת. אחד הוא שיווק בלי הסכמה, והשני הוא דיווח מאוחר. אלה בדיוק הדברים שעסק קטן יכול לסדר בעצמו.

ההפרות שהכי סביר שיתפסו עסק קטן

1. טופס לידים בלי הודעה לפי סעיף 11. אוספים שם וטלפון בלי לכתוב למה, האם חובה ולמי מעבירים. שלושה נוסחים מוכנים.
2. דיוור בלי הסכמה נפרדת. תיבה מסומנת מראש, או שליחה לכל מי שהשאיר פרטים. זה גם חוק הספאם וגם תיקון 13.
3. פיקסלים שרצים לפני הסכמה. Meta Pixel או Google Analytics שנטענים ברגע שהגולש נכנס, עם באנר שרק "מודיע". איך באנר אמור לעבוד.
4. אין מסמך הגדרות מאגר ואין אחראי. ברגע שיש תלונה, הדבר הראשון שהרשות מבקשת הוא התיעוד. מה זה המסמך.
5. בקשת עיון או מחיקה שלא נענתה. לקוח כתב "תמחקו אותי" ולא קיבל תשובה. זו הפרה שנספרת לכל פנייה.

מה לעשות השבוע, בסדר הזה

1. להוסיף הודעה ליד כל טופס באתר, בדף הנחיתה ובפייסבוק לידים.
2. להפריד את ההסכמה לדיוור לתיבה לא מסומנת, ולוודא שיש קישור הסרה בכל הודעה.
3. לעדכן את מדיניות הפרטיות לגרסה שמתאימה לחוק אחרי התיקון.
4. לחסום פיקסלים שיווקיים עד שהגולש מאשר.
5. למלא מסמך הגדרות מאגר, להפעיל אימות דו־שלבי בחשבונות שמחזיקים מידע, ולקבוע מי אחראי.
6. לקבוע נוהל פשוט: בקשת עיון או מחיקה נענית תוך 30 יום, ואירוע אבטחה מדווח מיד.