תיקון 13 לעסקים קטנים: מה באמת חל עליכם, ומה אפשר להתעלם ממנו

מאז שתיקון 13 נכנס לתוקף, בעלי עסקים קטנים מקבלים שני סוגי מסרים: "זה לא רלוונטי לעסק בגודל שלך" ו"אתה חשוף לקנס של 320 אלף שקל". שניהם לא מדויקים. הנה הרשימה הקצרה והכנה: חמש חובות שכן חלות על כמעט כל עסק קטן עם אתר, ושלוש שכנראה לא.

קודם, מה השתנה בפועל

תיקון 13 לחוק הגנת הפרטיות (בתוקף מ-14 באוגוסט 2025) לא המציא את חובת מדיניות הפרטיות; היא הייתה קיימת. מה שהוא שינה: הרחיב הגדרות ("מידע", "בעל שליטה", "מחזיק", "מידע בעל רגישות מיוחדת"), חידד את חובת ההודעה בזמן האיסוף, הוסיף חובת ממונה לגופים מסוימים, צמצם את חובת הרישום, ובעיקר נתן לרשות להגנת הפרטיות סמכות להטיל עיצומים כספיים ישירות. זה הסעיף שמשנה את המשחק: קודם הפרה הייתה עניין לתביעה אזרחית נדירה; היום היא עניין לרשות שיכולה לקנוס.

חמש חובות שכן חלות עליכם

1. מדיניות פרטיות שמתאימה לחוק הישראלי אחרי התיקון. לא תבנית מ-2019, ולא תרגום של GDPR. עם המונחים החדשים, הספקים שלכם, זכויות עיון ומחיקה, והעברה לחו"ל. מה חייב להופיע.
2. הודעה ליד כל טופס. סעיף 11: ברגע שמבקשים שם וטלפון, אומרים למה, האם חובה, ולמי מעבירים. קישור בפוטר לא מספיק. שלושה נוסחים מוכנים.
3. הסכמה נפרדת לדיוור. תיבה לא מסומנת מראש, והסרה קלה. זה גם חוק הספאם (30א) וגם תיקון 13.
4. מסמך הגדרות מאגר. המסמך הפנימי שכמעט אף אחד לא מכיר, וחובה לכל מאגר, גם קטן. עמוד אחד עד שניים. מה זה.
5. אבטחה בסיסית ומינוי אחראי. סיסמאות ייחודיות, אימות דו-שלבי לחשבונות שמחזיקים מידע, גיבוי, ומישהו (לרוב הבעלים) שאחראי בפועל. לא צריך יועץ אבטחה, צריך לעשות את הדברים הפשוטים ולתעד אותם.

ואם יש באתר פיקסלים (Meta, Google Analytics, TikTok), מוסיפים שישית: באנר קוקיז שחוסם עד הסכמה, לא רק מודיע. איך זה אמור לעבוד.

שלוש חובות שכנראה לא חלות עליכם

1. מינוי ממונה על הגנת הפרטיות. חל על גופים ציבוריים, סוחרי מידע, מי שעיסוקו העיקרי עיבוד מידע, ומי שמחזיק מידע רגיש בהיקף גדול. קליניקה קטנה, חנות, נותן שירות: לא. הפירוט.
2. רישום המאגר אצל הרשם. תיקון 13 צמצם את זה מאוד. עסק קטן עם לידים ולקוחות רגילים לא רושם ולא מודיע.
3. סקר סיכונים ומבדקי חדירה. נדרשים למאגרים ברמת אבטחה גבוהה. עסק קטן בלי מידע רגיש בהיקף גדול הוא ברמה בסיסית או בינונית, ואלה לא נדרשים.

מה זה אומר בזמן ובכסף

לעסק קטן עם פעילות שגרתית, כל חמש החובות שלמעלה נסגרות בערב אחד: לייצר את המסמכים (מחולל או תבנית מותאמת), להדביק את הנוסחים בטפסים, לתקן את הבאנר, למלא את מסמך ההגדרות, להפעיל אימות דו-שלבי. העלות: בין אפס (אם עושים הכל לבד מתבניות) לכמה מאות שקלים (מחולל) ועד כמה אלפים (עורך דין). ההבדל בין האפשרויות הוא בעיקר בהתאמה לעסק הספציפי, לא בעצם המסמכים.

ומתי כן צריך עורך דין

מידע רפואי על יותר מ-10,000 אנשים, מידע על קטינים בהיקף, ניטור שיטתי (מצלמות, מיקום), סחר במידע, פעילות ממוקדת באיחוד האירופי, או תלונה שכבר הוגשה נגדכם. במקרים האלה מחולל הוא נקודת התחלה, לא פתרון.