מה תחולת תיקון 13 על עמותות?
תיקון 13 לחוק הגנת הפרטיות חל גם על עמותות, ומחמיר את חובות הציות, השקיפות והאבטחה ביחס למידע אישי של תורמים, מתנדבים, קטינים ומטופלים. אי-עמידה בהוראות החוק עלולה להוביל לעיצומים כספיים, צווים ותביעות, ולכן נדרש מעבר מניהול "אד הוק" לתוכנית ציות מתועדת ויישומית.
- למפות מידע ומאגרים: לדעת מה נאסף, היכן נשמר, מי ניגש, למי נמסר ולכמה זמן.
- להקים מנגנון זכויות נושאי מידע: ערוץ פניות, אימות זהות, תיעוד, ומענה בתוך 30 ימים.
- לבחון חובת DPO: במיוחד בעיבוד רחב של מידע רגיש או ניטור שיטתי, ובמקרים רבים לשקול DPO במיקור חוץ.
- להסדיר ספקים ושרשרת אספקה: הסכמי עיבוד מידע (DPA), הרשאות, אבטחה, מחיקה ודיווח על אירועי אבטחה.
רוצים לוודא שאתם מכוסים משפטית ויישומית? פנו למשרד עו"ד וולר ושות' לליווי הטמעה, כתיבת נהלים, DPA, מינוי כממונה הגנת הפרטיות (DPO), הדרכות, היערכות לביקורת ואכיפה.
שאלות ותשובות לוועד המנהל, הנהלה ונושאי משרה
תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף בחודש אוגוסט 2025. התיקון שינה באופן משמעותי ומהותי את סביבת האחריות של ארגונים המחזיקים מידע אישי בישראל בכל הנוגע לאיסוף, שמירת ועיבוד מידע אישי. השינוי אינו מסתכם בעדכון טפסים או בפרסום מדיניות פרטיות חדשה באתר האינטרנט. מדובר בשינוי תפיסתי: מעבר ממודל של רישום פורמלי של מאגרי מידע למודל המבוסס על ניהול סיכונים, אחריות ארגונית, פיקוח מתמשך והגנה אקטיבית על מידע אישי.
הטעות הנפוצה בקרב עמותות היא לחשוב כי מאחר שמדובר בגוף ללא מטרות רווח, בפעילות ציבורית או בהתנדבות, קיימת הקלה בדרישות הפרטיות. למעשה, לרוב המצב הפוך: עמותות מחזיקות מידע רגיש במיוחד – מידע על מטופלים, תלמידים, ילדים ובני נוער, מקבלי שירותים, תורמים, מתנדבים, עובדים וחברי העמותה. מאפיין זה הופך את סוגיית הפרטיות לא רק לעניין טכנולוגי, אלא לסוגיה מרכזית של ניהול העמותה.
בעמותות בעלות ועד מנהל, האחריות אינה מוטלת רק על הגורמים המקצועיים בארגון. הוועד המנהל, כמוסד המכוון את פעילות העמותה ומפקח על הנהלתה, נדרש לוודא כי קיימים מנגנונים סבירים להגנה על המידע, וכי העמותה עומדת בדרישות הדין.
מהו תיקון 13 לחוק הגנת הפרטיות ומה השתנה בעקבותיו?
תיקון 13 לחוק הגנת הפרטיות מבטא שינוי משמעותי בגישת המחוקק להגנה על מידע אישי. בעוד שבעבר הדגש המרכזי היה על עצם קיומו של מאגר מידע ורישומו במקרים שנדרשו לכך, כיום הדגש עובר לאופן שבו הארגון מנהל את המידע לאורך כל מחזור חייו.
בעמותה, המשמעות היא שעל ההנהלה והוועד המנהל לוודא כי קיימים תהליכים סדורים, תיעוד מתאים ובקרה מתמשכת.
זהו שינוי חשוב במיוחד עבור עמותות, משום שחלק גדול מהן נשענות על מערכות מידע חיצוניות, שירותי ענן, מערכות ניהול תרומות, מערכות רישום משתתפים ופלטפורמות דיגיטליות שונות. כל אחד מממשקים אלה יוצר חשיפה אפשרית ודורש בחינה משפטית.
מה חשוב לדעת על תיקון 13 לעמותות?
- תיקון 13 חל גם על עמותות וגופים ללא כוונת רווח.
- עמותות חייבות לנהל מאגרי מידע בהתאם לחוק הגנת הפרטיות.
- מידע על קטינים, מטופלים ותורמים עשוי להיחשב מידע בעל רגישות מיוחדת.
- במקרים מסוימים יש למנות ממונה הגנת פרטיות (DPO).
- יש להסדיר התקשרויות עם ספקים באמצעות הסכמי DPA.
- החוק מחייב ניהול הרשאות גישה, אבטחת מידע ותיעוד תהליכי ציות.
- הפרת הוראות החוק עלולה לגרור עיצומים כספיים והליכי אכיפה.
אילו עמותות נמצאות בסיכון גבוה במיוחד?
רמת החשיפה הרגולטורית גבוהה יותר כאשר העמותה מעבדת מידע רגיש או פועלת מול אוכלוסיות מיוחדות.
- עמותות המטפלות בקטינים.
- עמותות בתחום הבריאות, הסעד והרווחה.
- ארגונים המחזיקים מידע רפואי.
- עמותות עם מאגרי תורמים גדולים.
- גופים ציבוריים ותאגידים עירוניים.
- עמותות המפעילות מוקדים טלפוניים.
- ארגונים המבצעים ניטור או מעקב דיגיטלי.
האם הוועד המנהל חייב לעסוק בנושאי פרטיות והגנת מידע?
בשנים האחרונות הגנת הפרטיות מהווה נושא מובהק של ממשל תאגידי וניהול סיכונים. אף שלא קיימת הוראה המחייבת את הוועד המנהל לדון בתחום הפרטיות (בניגוד לחובת הדירקטוריון), הכיוון הרגולטורי הוא לחייב את הוועד המנהל לקיים פיקוח אפקטיבי על הסיכונים המשפטיים, הטכנולוגיים והעסקיים הכרוכים בעיבוד מידע אישי.
מניסיוננו, אנחנו ממליצים לוועד המנהל לקבל דיווחים תקופתיים על אירועי אבטחת מידע, ממצאי ביקורות, פערי ציות, סיכונים מהותיים ותוכניות עבודה בתחום הפרטיות. בארגונים המעבדים מידע אישי בהיקף משמעותי, שילוב נושא הפרטיות בסדר היום של הוועד המנהל מהווה חלק מניהול סיכונים תקין.
האם ניתן להטיל אחריות אישית על מנכ"ל או על נושאי משרה לפי תיקון 13?
כן. תיקון 13 לחוק הגנת הפרטיות הרחיב את סמכויות האכיפה של הרשות להגנת הפרטיות, והגביר את החשיבות של מעורבות הנהלת הארגון בניהול סיכוני פרטיות. אף שהחובות המרכזיות מוטלות על בעל מאגר המידע, במקרים מסוימים עשויה להתעורר גם אחריותם של מנכ"לים ונושאי משרה, במיוחד כאשר ליקויי הפרטיות נובעים מהיעדר פיקוח, התעלמות מסיכונים ידועים או אי-יישום מנגנוני ציות בסיסיים.
לכן, מומלץ כי הנהלת הארגון תקבל דיווחים שוטפים על מצב הציות, תקצה משאבים מתאימים ותוודא כי מתקיימים נהלי פרטיות, אבטחת מידע והדרכות עובדים. ניהול פרטיות אינו עוד סוגיה טכנולוגית בלבד, אלא חלק בלתי נפרד מממשל תאגידי תקין.
האם תיקון 13 חל גם על מידע אישי של עובדי העמותה?
כן. מידע על עובדי העמותה הוא מידע אישי לכל דבר ועניין, והוראות החוק חלות גם עליו. הדבר כולל, בין היתר, תיקי עובדים, נתוני שכר, הערכות ביצועים, מצלמות במקום העבודה, מערכות בקרת כניסה, שעוני נוכחות, נתוני מיקום, מסמכי משאבי אנוש ומידע רפואי הנשמר במסגרת יחסי העבודה.
סוגיות מרכזיות בציות, אכיפה וניהול סיכונים
האם די במדיניות פרטיות כדי לעמוד בדרישות תיקון 13?
לא. מדיניות פרטיות היא רכיב אחד בלבד במערך הציות. ארגון נדרש להטמיע בפועל נהלים, מנגנוני הרשאות, ניהול ספקים, אבטחת מידע, טיפול בזכויות נושאי מידע, מחיקת מידע, תיעוד החלטות ובקרה שוטפת. בביקורת רגולטורית הרשות בוחנת את היישום בפועל ולא רק את קיומם של מסמכים.
האם ניתן להעתיק מדיניות פרטיות או נהלי פרטיות מארגון אחר?
לא מומלץ. מסמכי פרטיות חייבים לשקף את אופן עיבוד המידע בפועל בארגון. מסמך שאינו תואם את המציאות עלול להיחשב כמצג מטעה ואף להעיד על היעדר תוכנית ציות אפקטיבית.
האם תיקון 13 חל גם על מידע שנאסף לפני כניסתו לתוקף?
כן. במקרים רבים החובות אינן מתייחסות רק למועד איסוף המידע אלא גם להמשך החזקתו, השימוש בו, אבטחתו, שמירתו ומימוש זכויות נושאי המידע. לכן גם מאגרי מידע ותיקים צריכים לעמוד בדרישות הדין העדכניות.
האם ניתן לשמור מידע אישי ללא הגבלת זמן?
לא. אחד מעקרונות היסוד בדיני הגנת הפרטיות הוא שמירת מידע רק כל עוד קיימת מטרה חוקית המצדיקה זאת. עם סיום המטרה יש לבחון מחיקה, אנונימיזציה או ארכוב, בהתאם לדין ולהוראות שמירת מסמכים החלות על הארגון.
האם העברת מידע ל-ChatGPT או לכלי AI אחרים מחייבת בחינה משפטית?
כן. הזנת מידע אישי למערכות בינה מלאכותית עשויה להוות עיבוד מידע ואף העברה לצד שלישי או לחו"ל, בהתאם לאופן הפעלת השירות. לפני שימוש בכלי AI יש לבחון את סוג המידע, ההרשאות, תנאי השירות, מנגנוני האבטחה ומדיניות הארגון.
האם גם צילום תעודת זהות או דרכון הוא "עיבוד מידע"?
כן. צילום, סריקה, שמירה, שליחה או העלאה של מסמך מזהה מהווים עיבוד מידע אישי, ולעיתים אף מידע בעל רגישות גבוהה. לכן יש לוודא שקיימת הצדקה חוקית לאיסוף, שהמידע נשמר באופן מאובטח ושאינו נשמר מעבר לנדרש.
האם כל ספק שמקבל מידע אישי חייב בהסכם DPA?
לא כל התקשרות מחייבת בהכרח הסכם עיבוד מידע, אולם כאשר ספק מעבד מידע אישי עבור הארגון, ברוב המקרים יש להסדיר את היחסים החוזיים באופן מפורט, לרבות מטרות העיבוד, אבטחת המידע, מחיקת המידע, ביקורות ואחריות הצדדים.
האם ארגון חייב לדעת היכן נשמר כל מידע אישי?
כן. אחד מיסודות תוכנית הציות הוא מיפוי המידע. ארגון שאינו יודע אילו נתונים הוא מחזיק, היכן הם נשמרים, מי ניגש אליהם ולמי הם מועברים, יתקשה לעמוד בדרישות החוק ולהגן על זכויות נושאי המידע.
האם הרשות להגנת הפרטיות בודקת רק מסמכים?
לא. הרשות רשאית לבחון גם את אופן היישום בפועל. במהלך ביקורת היא עשויה להשוות בין הנהלים הכתובים לבין המציאות הארגונית, לבחון הרשאות במערכות, תהליכי מחיקת מידע, טיפול בהרשאות עובדים, הסכמים עם ספקים, תיעוד אירועי אבטחה ומנגנוני בקרה.
האם אירוע אבטחת מידע קטן מחייב טיפול?
כן. גם אירוע שנראה שולי מחייב תיעוד, בדיקה והערכת סיכונים. בהתאם לנסיבות, ייתכן שתקום גם חובת דיווח לרשות להגנת הפרטיות או לנושאי המידע שנפגעו.
האם תיקון 13 חל גם על קבוצות WhatsApp ארגוניות?
ייתכן שכן. כאשר קבוצת WhatsApp משמשת לניהול עובדים, לקוחות, מטופלים, תלמידים או ספקים ומועבר בה מידע אישי במסגרת פעילות הארגון, יש לבחון את השימוש בהתאם לעקרונות חוק הגנת הפרטיות ולנהלי הארגון.
האם ארגון חייב למחוק מידע לבקשת כל אדם?
לא תמיד. הזכות למחיקה אינה מוחלטת. יש לבחון האם קיימת חובה חוקית להמשיך ולהחזיק במידע, האם המידע דרוש לצורך ניהול הליך משפטי, עמידה בדרישות רגולטוריות או קיום התחייבות חוזית.
האם אחריות מנהלים יכולה להיות אישית?
כן. תיקון 13 מרחיב את סמכויות האכיפה ומחזק את אחריותם של בעלי תפקידים בארגון לעמידה בדרישות החוק. הנהלה שאינה מקצה משאבים לציות, מתעלמת מליקויים ידועים או נמנעת מהטמעת מנגנוני בקרה, עלולה לחשוף את הארגון ואת נושאי המשרה להליכי אכיפה.
האם ציות לתקן ISO 27001 פוטר מעמידה בתיקון 13?
לא. תקני אבטחת מידע מסייעים בניהול סיכוני מידע, אך אינם מחליפים את החובות המשפטיות הקבועות בחוק הגנת הפרטיות. ארגון יכול להיות מוסמך לתקן אבטחת מידע ועדיין שלא לעמוד בדרישות משפטיות כגון שקיפות, מימוש זכויות נושאי מידע או הסדרת עיבוד מידע עם ספקים.
האם הרשות להגנת הפרטיות יכולה לבצע ביקורת ללא תלונה?
כן. לרשות סמכות לבצע פעולות פיקוח גם ביוזמתה, כחלק מתוכנית אכיפה, ביקורת רוחבית, פעילות יזומה בענף מסוים או בעקבות מידע שהגיע לידיה. ביקורת אינה מחייבת בהכרח הגשת תלונה על ידי אדם שנפגע.
האם די בכך שהעובדים חתמו על התחייבות לסודיות?
לא. התחייבות לסודיות היא רכיב חשוב, אך אינה מחליפה את חובות הארגון לפי חוק הגנת הפרטיות. נדרש גם להגדיר הרשאות גישה, לנהל בקרה, להדריך עובדים, להטמיע נהלים ולפקח על אופן השימוש במידע.
האם ניתן להשתמש במידע אישי למטרה חדשה שלא הופיעה במדיניות הפרטיות?
ככלל, לא. שימוש במידע למטרה חדשה מחייב בחינה משפטית בהתאם לעקרונות החוק, ובראשם עקרון צמידות המטרה וחובת השקיפות. במקרים מסוימים יידרש לעדכן את מדיניות הפרטיות, ליידע את נושאי המידע או לקבל הסכמה מתאימה.
האם הרשות יכולה להטיל קנס גם אם לא אירע אירוע אבטחת מידע?
כן. סמכויות האכיפה אינן מוגבלות רק למקרים של דליפת מידע. הפרת הוראות החוק, אי עמידה בדרישות רגולטוריות או היעדר אמצעי ציות עשויים להצדיק נקיטת הליכי אכיפה מנהליים גם ללא אירוע אבטחה בפועל.
האם כל אירוע אבטחת מידע מחייב דיווח לרשות להגנת הפרטיות?
לא. חובת הדיווח תלויה בסוג האירוע, בחומרתו, במאפייני המאגר ובהוראות הדין החלות על הארגון. עם זאת, כל אירוע מחייב תיעוד, בדיקה מקצועית והפקת לקחים, גם אם אינו מחייב דיווח.
האם ניתן להמשיך להשתמש במאגר מידע ישן שנבנה לפני שנים?
כן, אך רק אם השימוש בו עומד בדרישות הדין העדכניות. ארגון המחזיק מאגר ותיק צריך לבחון האם מטרות האיסוף עדיין תקפות, האם המידע נחוץ, האם נשמר מעבר לנדרש והאם ננקטים אמצעי אבטחה מתאימים.
האם אפשר להעביר מידע אישי בין חברות באותה קבוצת חברות?
לא באופן אוטומטי. גם כאשר מדובר בחברות קשורות, כל העברת מידע צריכה להיעשות בהתאם להוראות החוק, למטרות שלשמן נאסף המידע, להסכמים הרלוונטיים ולעקרונות השקיפות והמידתיות.
האם עובד רשאי לעיין במידע שהמעסיק מחזיק עליו?
במקרים רבים כן. חוק הגנת הפרטיות מעניק לנושא המידע זכויות לעיין במידע אישי המוחזק עליו, בכפוף להוראות הדין ולחריגים הקבועים בו.
האם ארגון חייב למפות את כל מאגרי המידע שלו?
כן. מיפוי מידע הוא אחד מיסודות תוכנית הציות. ללא מיפוי של סוגי המידע, מקורות האיסוף, מטרות העיבוד, ההרשאות וההעברות לצדדים שלישיים, קשה לעמוד בדרישות החוק ולנהל סיכוני פרטיות באופן אפקטיבי.
האם גם מידע שנמצא בגיבויים כפוף לחוק?
כן. העובדה שמידע נשמר במערכת גיבוי אינה מוציאה אותו מתחולת חוק הגנת הפרטיות. גם מידע בארכיונים, בגיבויים ובמערכות ישנות כפוף לעקרונות אבטחת מידע, שמירה ומחיקה, בהתאם לדין.
האם תיקון 13 משנה גם את עבודת הדירקטוריון וההנהלה?
כן. הנהלת הארגון ודירקטוריון נדרשים להעניק לנושא הגנת הפרטיות משקל ממשי במסגרת ממשל תאגידי, ניהול סיכונים ובקרה. פרטיות אינה עוד נושא טכנולוגי בלבד, אלא חלק ממערך ניהול הסיכונים של הארגון.
האם ביקורת של הרשות כוללת גם ראיונות עם עובדים?
כן. במסגרת הליכי פיקוח רשאית הרשות, בהתאם לסמכויותיה ולנסיבות הביקורת, לבחון לא רק מסמכים אלא גם את היישום בפועל, לרבות שיחות עם בעלי תפקידים, בדיקת תהליכי עבודה ובחינת אופן יישום הנהלים בארגון.
האם תוכנית ציות צריכה להתעדכן באופן שוטף?
כן. תוכנית ציות אינה מסמך חד-פעמי. יש לעדכן אותה כאשר משתנים סוגי המידע, מערכות המידע, הספקים, השירותים, מבנה הארגון או דרישות הדין, וכן בעקבות אירועי אבטחה, ביקורות או ממצאי בקרה.
📋 צ'ק-ליסט: מוכנות העמותה לתיקון 13 (2026)
האם העמותה שלכם עומדת בדרישות החוק החדשות? בדקו את עצמכם:
גיליתם פערים בציות? אל תחכו לעיצומים.
מומחיות משפטית וטכנולוגית לעמותות: ניסיון מהשטח
עמותות רבות בישראל זקוקות לליווי משפטי ממוקד בתחום הגנת הפרטיות, במיוחד לאור החזקת מאגרי מידע של תורמים, מתנדבים ומוטבים. התחום כולל היבטים של רישום מאגרי מידע, עמידה בתקנות אבטחת מידע וניהול מדיניות פרטיות.
משרד עו"ד וולר ושות' מלווה חברות ממשלתיות, עמותות, גופים ציבוריים, תאגידים עירוניים וחברות פרטיות ביישום דרישות פרטיות, אבטחת מידע וציות רגולטורי, ומייצג בפני הרשות ובבתי המשפט במקרים של אכיפה או תביעות. הניסיון הרב שצברנו בליווי עמותות מאפשר לנו לספק פתרונות ישימים, מקצועיים ומותאמים לכל ארגון. משרדנו רואה בהגנת הפרטיות לא רק חובה חוקית ומשפטית, אלא גם ערך אתי וחברתי, ומתחייב להעניק ללקוחותיו את הכלים המשפטיים והניהוליים הדרושים בדין.
במסגרת הניסיון המעשי שלנו בליווי הטמעת תיקון 13 לחוק הגנת הפרטיות מקצה לקצה – החל ממיפוי מאגרי מידע, דרך ניסוח מדיניות פרטיות והסכמי DPA, ועד כממונה הגנת הפרטיות (DPO) – זיהינו את נקודות הממשק הבעייתיות והשאלות הבוערות ביותר שעולות בקרב מקבלי ההחלטות בארגונים אלו.
מדריך שאלות ותשובות (FAQ) זה נועד לשמש ככלי עבודה משפטי ראשוני: באמצעות מיקוד בנושאים כגון אחריות מנהלים, חובת הדיווח, ניהול מאגרי מידע רגישים וסוגיית מינוי ממונה הגנת הפרטיות, אנו מספקים לכם את הידע המקצועי הנדרש כדי להתחיל לנווט בהצלחה בסבך הרגולציה.
נכתב על ידי עו״ד רועי וולר (LL.B, M.A), שותף בכיר במשרד עורכי דין וולר ושות׳. מתמחה בדיני הגנת הפרטיות, ניהול סיכוני מידע וציות רגולטורי, ומנהל סיכונים ראשי (C.R.O). עו״ד רועי וולר מלווה רשויות מקומיות, תאגידים ציבוריים ועמותות ביישום תיקון 13 לחוק הגנת הפרטיות, כממונה הגנת פרטיות (DPO) ובהטמעת תהליכי ציות, אבטחת מידע וניהול סיכונים ארגוניים. לשעבר מנכ״ל רשות מקומית, ראש מטה שר ויועץ בכיר ליו״ר ועדת הכספים בכנסת, בעל ניסיון עשיר בממשק שבין משפט, טכנולוגיה וניהול ציבורי. עו״ד וולר מרצה ומפרסם מאמרים מקצועיים בתחומי הגנת פרטיות, סייבר, ניהול סיכונים וציות רגולטורי.
עודכן לאחרונה: 04/08/2026.
