ניהול מכרזים והתקשרויות לאור תיקון 13

השפעת תיקון 13 לחוק הגנת הפרטיות על מכרזים ציבוריים

תיקון מס' 13 לחוק הגנת הפרטיות, התשמ"א–1981, אשר נכנס לתוקף ביום 14.8.2025, מהווה שינוי משמעותי בתפיסת ההגנה על מידע אישי בישראל. התיקון מחזק את האחריות של גופים ציבוריים ופרטיים לניהול מידע אישי, ומעביר את הדגש מגישה של טיפול בהפרות לאחר התרחשותן, לגישה מניעתית המבוססת על ניהול סיכונים, אחריותיות והטמעת הגנת פרטיות כבר בשלבי התכנון.

בעוד שהדיון הציבורי התמקד בעיקר בהשלכות התיקון על משרדי ממשלה, רשויות מקומיות, חברות, עמותות וגופים המחזיקים מידע אישי, היבט משמעותי נוסף זכה עד כה להתייחסות מוגבלת, אם בכלל: השפעת תיקון 13 על עולם המכרזים הציבוריים.

ההשפעה של תיקון 13 אינה מסתכמת בהוספת נספח פרטיות, תצהיר ספק או סעיף כללי של שמירת סודיות למסמכי המכרז. גישה זו אינה מספקת כאשר במסגרת ההתקשרות צפוי הספק לקבל גישה למידע אישי, למערכות מידע או למאגרי מידע של הגוף הציבורי. תיקון 13 מחייב בחינה מחודשת של כלל מחזור החיים של המכרז: החל משלב הגדרת הצורך ואפיון השירות, דרך קביעת תנאי הסף ואמות המידה לבחירת הספק, המשך בניהול הליך הבחינה וההתקשרות החוזית, ועד לפיקוח על ביצוע השירות בפועל.

משמעות הדבר היא כי ועדת המכרזים, היועצים המשפטיים, הגורמים המקצועיים ומנהלי המערכות נדרשים לשלב שיקולי פרטיות ואבטחת מידע כבר בשלב תכנון המכרז, ולא רק לאחר בחירת הזוכה.

מדריך זה סוקר באופן מקיף את השפעת תיקון 13 לחוק הגנת הפרטיות על מכרזים של גופים ציבוריים, רשויות מקומיות ותאגידים בישראל, ומציג את ההתאמות הנדרשות בתהליך המכרזי: החל מתנאי הסף והערכת הספקים, דרך דרישות אבטחת מידע והסכמי עיבוד מידע, ועד לניהול ופיקוח על ההתקשרות לאחר הזכייה.

תפיסת "Privacy by Design" כדרישה מכרזית

תיקון מס' 13 לחוק הגנת הפרטיות מבטא שינוי משמעותי בתפיסת ההגנה על מידע אישי בישראל. במקום גישה המתמקדת בעיקר בטיפול בהפרות לאחר שהתרחשו, הדין מדגיש גישה מניעתית של ניהול סיכוני פרטיות כבר בשלב התכנון. במסגרת זו מקבל עיקרון Privacy by Design ("פרטיות כבר בתכנון") חשיבות מרכזית. משמעות העיקרון היא כי הגנת הפרטיות אינה פעולה משלימה המתווספת לאחר בחירת ספק או לאחר הקמת מערכת מידע, אלא רכיב יסודי שיש להביא בחשבון כבר בעת הגדרת הצורך, אפיון השירות, הכנת מסמכי המכרז ובחירת מודל ההתקשרות.

במילים אחרות, רשות ציבורית אינה יכולה עוד להסתפק בהוספת סעיף כללי של שמירת סודיות או התחייבות להגנת מידע במסגרת ההסכם עם הספק. כאשר במסגרת המכרז צפויה גישה למידע אישי, יש לתכנן מראש את ההתקשרות כך שתכלול מנגנונים מובנים של צמצום מידע, הגבלת שימושים, אבטחת מידע, בקרה ופיקוח.

איך מעצבים את הוראות המכרז באופן שישמור על הפרטיות?

בשלב הכנת המכרז על הגוף המזמין לבחון, בין היתר:

• לאיזה מידע ייחשף הספק שייבחר?

• אילו סוגי מידע אישי יעובדו על ידי הספק? האם מדובר במידע מזהה (כגון שם, כתובת, מספר זהות), במידע בעל רגישות מיוחדת (נתונים ביומטריים, מידע המתייחס למצב בריאותי,  מידע על צנעת חיי המשפחה של האדם, אישיותו, נטייתו המינית או זהות מגדרית, מידע על נתוני השכר של האדם) וכיוצ"ב?

• מהי רמת הרגישות של המידע האמור? האם נדרש סיווג מסוים? האם החוק מחייב רמת הגנה מיוחדת? האם קיים סיכון לפגיעה חמורה בפרטיות במקרה של דליפה, גניבה או שימוש לא מורשה?

• מהו היקף המידע? מה מספר נושאי המידע? האם המידע ייאסף באופן חד־פעמי, או שמדובר בעיבוד שוטף ומתמשך? האם יהיה שילוב בין מקורות מידע?

• אילו מנגנוני בקרה ואבטחה יידרשו? האם נדרשת הצפנה? ניהול הרשאות? מחיקה אוטומטית? ניטור אירועים חריגים? רישום גישה (logs)? מנגנוני התראה? ביקורת פנימית? עדכוני אבטחה?

• מהן נקודות הכשל האפשריות? האם קיים סיכון בהעברת מידע לצדדים שלישיים? מה קורה במקרה של הפסקת התקשרות עם הספק? כיצד יובטח שהמידע יימחק, לא יועתק, ולא ינוצל לצרכים זרים?

• האם המערכת או השירות המוצעים מגבילה, כברירת מחדל, את גישת המשתמשים למידע לפי הצורך בלבד?

• כיצד ניתן למזער את היקף המידע הנמסר? האם קיימת דרך לבצע את המשימה המכרזית מבלי להעביר מידע אישי, או תוך הפיכתו למידע אנונימי?

לדוגמה, מכרז להפעלת מוקד שירות לתושבים, מערכת גבייה, שירותי רווחה, מערכת חינוך או מערכת מידע עירונית, מחייב בחינה מוקדמת של הרשאות גישה, תיעוד פעולות, אבטחת מידע, דיווח על אירועים חריגים ומנגנוני מחיקה בסיום ההתקשרות.

חלק מרכזי בעקרון Privacy by Design הוא גם עקרון Privacy by Default ("פרטיות כברירת מחדל"). משמעותו היא כי השירות או המערכת צריכים להיות מוגדרים מראש באופן המצמצם את החשיפה למידע אישי: הרשאות מינימליות בלבד, איסוף מידע הכרחי בלבד ושמירת מידע לפרק הזמן הנדרש בלבד.

הלכה למעשה: תיקון 13 מחייב שינוי תפיסתי בניהול מכרזים. הגנת הפרטיות אינה שלב מאוחר במשא ומתן החוזי, אלא שיקול תכנוני מוקדם המשפיע על עצם הגדרת השירות, תנאי המכרז והבחירה בספק המתאים.

האם כל מכרז מחייב בחינה מחדש בעקבות תיקון 13 לחוק הגנת הפרטיות?

לא כל מכרז מחייב שינוי מלא בעקבות תיקון 13, אך כל רשות ציבורית נדרשת לבחון מחדש את אופן ניהול המידע האישי במסגרת התקשרויות חדשות וקיימות. תיקון 13 לחוק הגנת הפרטיות אינו שינוי טכני בלבד, אלא שינוי תפיסתי המטיל דגש מוגבר על ניהול סיכונים, אחריות ארגונית, אבטחת מידע ופיקוח על גורמים חיצוניים המחזיקים מידע אישי עבור הרשות. כפי שציינו, הטעות הנפוצה היא להתייחס לתיקון 13 כאל עניין הנוגע רק למסמכי פרטיות או למדיניות באתר האינטרנט. בפועל, השפעתו הישירה היא כבר בשלב תכנון המכרז וההתקשרות.

גם מכרזים קיימים אינם פטורים מבדיקה. כאשר הרשות מאריכה התקשרות, משנה מפרט, מרחיבה הרשאות גישה או מוסיפה שירותים חדשים, עליה לבחון האם ההסדר הקיים עדיין מתאים לדרישות הדין.

הלכה למעשה: תיקון 13 אינו מחייב "לפתוח מחדש" כל מכרז, אך הוא מחייב שינוי בתהליך החשיבה: פרטיות ואבטחת מידע אינן סעיפים חוזיים שמוסיפים בסוף ההליך, אלא רכיבים שיש לשלב כבר בשלב אפיון הצורך, הכנת מסמכי המכרז ובחירת הספק.

הזמנת מציעים פוטנציאליים: ניסוח מחדש של ההוראות המכרזיות

לצורך ניתוח, בדיקה ושקילת ההצעות במסגרת מכרז, נדרש עורך המכרז ו/או מי מטעמו, לאסוף מידע מהמציעים, ולעיתים אף ממציעים פוטנציאליים בשלב המקדמי (למשל, בהליך מיון מוקדם, סיור קבלנים או שאלות הבהרה). חובת היידוע הקבועה בסעיף 11 לתיקון מחייבת כל גורם המבקש לאסוף מידע אישי, לפרט בפניו נתונים הנוגעים לאיסוף ולשימוש שייעשה במידע על אודותיו. ומן הכלל אל הפרט:

אם חלה חובה חוקית למסור את המידע, או שמסירת המידע תלויה ברצונו ובהסכמתו ומהי תוצאת אי-ההסכמה

בדיני המכרזים, על עורך המכרז להבהיר מהו המקור לבקשה לאיסוף המידע – דרישה שבדין או דרישה מכוח ההשתתפות במכרז. בהתאם לכך, מה תהיה תוצאת הסירוב למסירת המידע.

המטרה אשר לשמה מבוקש המידע

לאחר מכן, עליו להבהיר, במסמכי הפניה במכרז, באופן מפורש ונרחב, מהן מטרות איסוף המידע: בדיקת עמידה בתנאי הסף; ניקוד האיכות; השוואה למציעים שונים; פניה לצדדי ג' לצורך אימות המידע; אפשרות להתקשרות חוזית; וכיוצ"ב.

סוגי המידע המבוקש

על עורך המכרז לפרט אילו סוגי מידע נדרש מהמציעים להמציא. לדוגמה, מסמכים דקלרטיביים (אישורים, רשיונות, היתרים, תעודות זהות, וכיוצ"ב); פרטים אישיים של בעלי מניות, עובדים בכירים, קבלני משנה או גורמים אחרים; תעודות השכלה, מידע רפואי; ניסיון וחוסן כלכלי (דרישה לאישורי רו"ח, חשיפת הכנסות, חשיפת חוזים והתקשרויות עם צדדי ג'); פוליסות ביטוח (הכוללות מידע על תביעות עבר); פרטי התקשרות; ועוד. ברי, כי חשיפת מסמכים ומידע זה מהווה פגיעה בפרטיות המציע הפוטנציאלי, ובפרטיות גורמים הקשורים אליו.

בהקשר זה נעיר כי מקום בו המציע מוסר מידע אישי ביחס לעובדיו, קבלני המשנה או צדדים שלישיים אחרים, עליו להצהיר ולהתחייב כי קיבל הסכמה מדעת כדין מכל נושא מידע, או כי מסירת המידע נעשית מכוח עילה חוקית אחרת. נמליץ לציין, במסמכי המכרז, כי המציע ישא באחריות מלאה לקיום חובה זו.

נבהיר כי יש להקפיד על עיקרון צמידות המטרה, ועל עיקרון המידתיות, ההגבלה והסבירות. כל דרישה לקבלת מידע מצד עורך המכרז, איפוא, חייבת להופיע במסמכי המכרז, להיות מנומקת, רלוונטית, פרופורציונלית, ונוגעת באופן ישיר להשתתפות המציע בהליך המכרזי. חשוב להדגיש: על הגוף המזמין להימנע מדרישה למידע עודף או שאינו חיוני לצורך בדיקת ההצעה. דרישה מיותרת למידע אישי, גם אם נעשתה בתום לב, עלולה להיחשב להפרת עקרון המידתיות ולעמוד בניגוד להוראות הדין. כך לדוגמה, אין הצדקה לדרוש פרטי זהות מלאים של כלל צוות המציע, או לצרף מסמכים שאינם משפיעים על שיקול הדעת של הוועדה.

למי יימסר המידע ומטרות המסירה

מסמכי ההצעות עצמם, כוללים, כאמור, מידע רב. הגישה למסמכים אלו חייבת להיות מוגבלת אך ורק לבעלי תפקידים המוסמכים לכך, ורצוי שתלוּוה במערכת בקרה מתועדת (log), אשר תאפשר לדעת מי עיין בחומר, מתי, ובאיזה היקף. מערכת ניהול המכרזים עצמה (פנימית או חיצונית) חייבת לכלול אמצעי אבטחת מידע עדכניים: אימות דו־שלבי, זיהוי חריגות וניסיונות חדירה, גיבוי מוצפן, ובמקרים המתאימים גם כלי סיווג והרשאות לפי תפקיד. אין להסתפק עוד בשמירת המסמכים בתיקייה פתוחה ברשת הארגונית, או בשליחתם בדוא"ל בין חברי ועדת המכרזים.

ככל שוועדת המכרזים נעזרת ביועצים חיצוניים (יועץ מקצועי, יועץ משפטי חיצוני, עורכי דין חיצוניים, שמאי, חברת בקרה וכו'), או אף וועדה מקצועית, הרי שיש לוודא באופן חד־משמעי כי כל אחד מהם חתום על הצהרת סודיות והתחייבות לעמידה בהוראות הדין, לרבות חוק הגנת הפרטיות, תקנות אבטחת מידע, והנחיות הרשות להגנת הפרטיות. יש לציין ולפרט, במסמכי המכרז, כי אפשר שהמידע יועבר לגורמים אלו, ואת הסיבה להעברה. בהקשר זה, תשומת הלב לנושא העברת מידע בידי גוף ציבורי: הוראות סעיף 23 לחוק קובעות כי "מסירת מידע אישי מאת גוף ציבורי אסורה, זולת אם המידע פורסם לרבים על פי סמכות כדין, או הועמד לעיון הרבים על פי סמכות כדין, או שהאדם אשר המידע האישי מתייחס אליו נתן הסכמתו למסירה."

שמירת ההצעות

יש להבהיר שהמידע יישמר ככל הנדרש, ולא מעבר לכך. היינו, לאחר סיום ההליך המכרזי, לאחר שנבחר מציע זוכה (ותקופת זמן לאחר מכן, תלוי בנסיבות), על פניו אין עוד הצדקה לשמור את מסמכי ההצעות. למען הסר ספק נזכיר כי ההצעה הכספית – איננה חסויה בשום מקרה.

אילו זכויות מגיעות לנושא המידע?

תיקון 13 מחייב הודעה בדבר הזכות לעיין במידע, ולתקנו (אם אינו נכון או מדויק). לפיכך, קיימת חובה לעדכן את המציע על זכויות אלה, בעת איסוף המידע.

הסכם ההתקשרות

בעוד שהשלבים המקדמיים בהליך המכרזי (ניסוח תנאי הסף, בחינת ההצעות וניהול ההליך) עוסקים בעיקר בהבטחת כשירות המציעים ועמידתם בדרישות המקדמיות, הרי ששלב ההתקשרות עוסק באחריות המהותית והאופרטיבית של הצדדים לניהול, עיבוד והגנה על המידע האישי לאורך זמן.

הסכם ההתקשרות שייחתם עם המציע הזוכה, אינו יכול עוד להסתפק בפרק כללי, בהתחייבויות כלליות, בנספח התחייבות לשמירת סודיות ו/או בנספח דרישות אבטחת מידע. בהתקשרויות מסויימות, מעבר למסמכים אלו, על ההסכם לכלול הסכם עיבוד נתונים (DPA) מפורט, הכולל, בין היתר –

• זהות ה"מחזיק" וה"מעבד" ואת תחומי אחריותם;

• המטרות והגבולות המדויקים של עיבוד המידע;

• חובת מחיקת הנתונים או השבתם בסיום ההתקשרות;

• חובת הדיווח המיידי על אירועי אבטחת מידע;

• מנגנוני הפיקוח, הביקורת והבקרה;

• תנאים לשימוש בקבלני משנה;

• איסור על שימוש במידע למטרות משניות, לרבות שימוש במודלים של בינה מלאכותית (AI) ללא היתר מפורש ובכפוף ל־DPIA.

• במכרזים בעלי היקף משמעותי או רגישות גבוהה, ראוי לקבוע כי הספק ימנה ממונה הגנת פרטיות (DPO) מטעמו, שיהווה נקודת קשר מקצועית קבועה מול המזמין.

האם לתאגיד המתמודד במכרז עומדת הזכות לפרטיות?

האם לתאגיד, המתמודד במכרז, עומדת הזכות לפרטיות? ברור שלאדם פרטי (עוסק מורשה או עוסק פטור), המתמודד במכרז, עומדת הזכות לפרטיות – אולם האם כך לגבי תאגיד מסחרי? על פניו, אין זה מובן מאליו שהוראות חוק הגנת הפרטיות חלות על תאגידים. בעבר, הפסיקה העיקרית קבעה כי אין פרטיות לתאגיד במשפט הישראלי. אלא שבמהלך השנים, הלאו החד-משמעי, הלך והתעמעם. על פי כב' הנשיא ברק ("התאגיד וחוק-יסוד: כבוד האדם וחירותו", מבחר כתבים: עיונים חוקתיים 671-670 (2017)), במקרים המתאימים ניתן להחיל  את הזכות החוקתית לפרטיות גם על תאגיד. פסק דין תקדימי של כב' השופט ג' גונטובניק מבית המשפט המחוזי (תא (ת"א) 19187-03-12 אויגן פיהוף נ' עירא דביר, ניתן ביום 12/1/2024), קבע כי גם לתאגיד עומדת הזכות לפרטיות עסקית.

על פי פסק הדין, קריאה לעומק בסעיף 3 לחוק הגנת הפרטיות, מגדיר את המונח "אדם", כך: "'אדם' – לענין סעיפים 2, 7, 13, 14, 17ב, 17ג, 17ו, 17ז, 23א, 23ב ו-25 – למעט תאגיד". המחוקק ביקש אפוא להחריג את התאגיד, ולקבוע כי לא כל פגיעה בפרטיותו מהווה, בהכרח, הפרה של חוק הגנת הפרטיות. אולם, במקרים האחרים, ההגנה שמוענקת בחוק הגנת הפרטיות תינתן גם לתאגידים – שאחרת לשם מה לבצע את פעולת הייחוד? בהתאם לכך,

"… מן הראוי להכיר בהיקף משמעותי של זכותו של התאגיד לפרטיות. המציאות המודרנית מחייבת זאת. כך, בתחום העוולות המסחריות מגן המשפט על סודותיו המסחריים, בין השאר, של התאגיד (ראו סעיפים 5 ואילך לחוק עוולות מסחריות, התשנ"ט-1999). הפסיקה אף הכירה ב"פרטיות עסקית" כמצדיקה הגנה מפני חשיפת נתונים רגישים אגב ההתדיינות העסקית (ראו רע"א 1651/15 פלוני נ' פלוני (פורסם במאגרים [פורסם בנבו]; 2015 בפס' 3 להחלטה)).

ואכן אין כל סיבה שלא להכיר בפרטיות העסקית של התאגיד כחלק חשוב של הפרטיות כפי שהיא באה לידי ביטוי בעולם העסקי. פרטיות זו יכולה לבוא לידי ביטוי, כמובן, באחד המובנים החשובים של הפרטיות, והיא תפיסת הפרטיות כשליטה. ברור כי לתאגיד קיים אינטרס מובהק כי מידע המצוי בשליטתו, ושאינו אמור להימצא בידי אחרים, יישאר כזה."

הזכות לפרטיות של עובדי התאגיד

מתודולוגיה לניהול סיכוני פרטיות במכרזים ציבוריים

תיקון מס' 13 לחוק הגנת הפרטיות מחייב שינוי תפיסתי באופן שבו גופים ציבוריים מתכננים ומנהלים מכרזים. בעבר, סוגיות של הגנת פרטיות ואבטחת מידע טופלו בעיקר לאחר בחירת הספק, במסגרת המשא ומתן החוזי או באמצעות הוספת נספח פרטיות להסכם ההתקשרות. כיום, גישה זו אינה מספקת. ניהול סיכוני פרטיות חייב להפוך לחלק בלתי נפרד ממחזור החיים של המכרז, החל משלב הגדרת הצורך ועד לסיום ההתקשרות.

המתודולוגיה מבוססת על עיקרון פשוט: ככל שהסיכון לפרטיות גדל, כך יש להרחיב בהתאמה את דרישות המכרז, את מנגנוני הפיקוח ואת ההתחייבויות החוזיות. אין מקום להעתיק באופן אוטומטי דרישות פרטיות ממכרז אחד לאחר, ואין מקום להטיל דרישות מחמירות שאינן מתחייבות מאופי ההתקשרות. מנגד, התקשרות הכוללת עיבוד משמעותי של מידע אישי מחייבת בחינה מעמיקה ותכנון מוקדם.

לסיכום: השפעת תיקון 13 במכרזים

המשמעות עבור מנהלי מכרזים, יועצים משפטיים ומקבלי החלטות היא ברורה: עליהם להעמיק את הידע הרגולטורי בתיקון 13, לעדכן את כל מסמכי המכרז והסכמי ההתקשרות, כך שישקפו את דרישות ההגנה החדשות, להטמיע מנגנוני פיקוח בזמן אמת על הביצוע. בסופו של יום, הגנת הפרטיות הפכה מחלק טכני ושולי של הליך המכרז לאחד ממרכיביו המרכזיים. היא משלבת טכנולוגיה, משפט, ניהול סיכונים ואחריות אישית ברמה הבכירה ביותר. גופים ציבוריים שלא ייערכו בהתאם, עלולים למצוא את עצמם חשופים מבחינה משפטית, כלכלית, מנהלית וציבורית.

למען הסר ספק: האחריות המוטלת כיום על נושאי משרה בכירים בגופים הציבוריים, מקימה חובת זהירות אישית, משפטית ומנהלית, שסטייה ממנה עלולה להוביל להטלת סנקציות אישיות ואף לחשיפת הגוף עצמו להליכים אזרחיים, מנהליים או פליליים. תיקון 13 עיגן מציאות חדשה, בה תחום הגנת הפרטיות הפך לאבן יסוד בהליכים מכרזיים, ומחייב התייחסות יסודית, מערכתית, רב־תחומית ומתמשכת.

משרד עו"ד וולר ושות' – מובילים את תחום הגנת הפרטיות

משרד עורכי הדין וולר ושות' הוא מהמשרדים הותיקים בישראל, ומהמובילים בדיני הגנת פרטיות ודיני המכרזים. המשרד מלווה עשרות גופים ציבוריים, רשויות מקומיות, חברות ממשלתיות ותאגידים עירוניים ביישום תיקון 13, החל ממיפוי ראשוני של סיכונים, המשך בניסוח מסמכי מכרז מותאמים וכלה בבניית מנגנוני פיקוח חוזיים הכוללים הסכמי DPA, סעיפי שיפוי, אמצעי אבטחת מידע חוזיים והנחיות להפעלת ביקורות. המשרד מעניק גם שירותי DPO חיצוניים, הדרכות ייעודיות להנהלות וועדות מכרזים, ומערכי רגולציה מותאמים אישית. למידע נוסף, תיאום פגישת ייעוץ או קבלת סקירה ראשונית של התאמת מסמכי המכרז להוראות תיקון 13 – מוזמנים לפנות אלינו ישירות דרך אתר המשרד.

נכתב על ידי עו״ד רועי וולר, שותף בכיר במשרד עורכי דין וולר ושות׳. מתמחה בדיני הגנת הפרטיות, ניהול סיכוני מידע וציות רגולטורי, ומנהל סיכונים ראשי (C.R.O). עו״ד רועי וולר מלווה רשויות מקומיות, תאגידים ציבוריים ועמותות ביישום תיקון 13 לחוק הגנת הפרטיות, כממונה הגנת הפרטיות (D.P.O) ובהטמעת תהליכי ציות, אבטחת מידע וניהול סיכונים ארגוניים. לשעבר מנכ״ל רשות מקומית, ראש מטה שר ויועץ בכיר ליו״ר ועדת הכספים בכנסת, בעל ניסיון עשיר בממשק שבין משפט, טכנולוגיה וניהול ציבורי. עו״ד וולר מרצה ומפרסם מאמרים מקצועיים בתחומי הגנת פרטיות, סייבר, ניהול סיכונים וציות רגולטורי. 

פורסם: 18/08/2025. עדכון אחרון: 19/07/2026.

תחום: הגנת הפרטיות ואבטחת מידע.