256 אלף שקל על דיווח מאוחר: מה תיקון 13 עושה לדאטה השיווקי שלכם
מאתיים חמישים ושישה אלף שקל. זה הסכום של העיצום הכספי הראשון שהוטל מכוח תיקון 13 לחוק הגנת הפרטיות, שדווח ב-21 ביולי 2026. מה שמעניין הוא לא הסכום אלא העילה. הקנס לא הוטל על הכשל הטכני שאיפשר לחשוף מידע רפואי, אלא על כך שהארגון ידע על האירוע בנובמבר 2025 ודיווח לרשות רק בינואר 2026. עמדת הרשות, כפי שפורטה בסיקור המשפטי של ההחלטה, היא שחובת הדיווח המיידי לפי תקנה 11 לתקנות אבטחת המידע קמה עם היוודע אירוע האבטחה החמור, ושאין להמתין לסיום הבירור הפנימי לפני הגשת הדיווח הראשוני. זה תקדים שרלוונטי ישירות לכל צוות שמחזיק מאגר לקוחות, גם אם הוא לא במגזר הבריאות.
הערה לפני שממשיכים: אני לא עורכת דין, וזו לא חוות דעת משפטית. זו מפה של מה שהשתנה בשכבת הדאטה השיווקי ומה כדאי למדוד לפני שמישהו אחר מודד את זה עבורכם. את ההחלטות עצמן צריך לקבל מול יועץ משפטי.
מה בעצם השתנה, ולמה חלק מהחששות מיותרים
תיקון 13 נכנס לתוקף ב-14 באוגוסט 2025. הטעות הנפוצה שאני רואה בצוותי שיווק היא ההנחה שכל מאגר לקוחות חייב עכשיו רישום מול הרשות. בפועל קרה ההפך: חובת הרישום צומצמה. לפי המדריך המקצועי של הרשות, הרישום נשאר על כנו למאגר של גוף ציבורי, ולמאגר שמטרתו העיקרית היא איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה, לרבות שירותי דיוור ישיר, כשיש בו מידע על 10,000 בני אדם ומעלה.
ההבחנה הזו חשובה מבחינה תפעולית. מאגר לקוחות של מותג שמשווק את המוצרים של עצמו בדרך כלל אינו מאגר בר רישום. עסק שמוכר, משכיר או מתווך רשימות תפוצה ולידים כן נכנס לתמונה. בנוסף נוצרה חובת הודעה לרשות למי שמחזיק מידע בעל רגישות מיוחדת על יותר מ-100,000 אנשים, גם אם אינו חייב ברישום.
מה שכן התרחב באופן משמעותי הוא צד האכיפה. המדריך המקצועי מפרט מדרג עיצומים שמחושב לפי כמות נושאי המידע במאגר ולא לפי חומרת האירוע: 4 שקלים בגין כל נושא מידע במאגר, ו-8 שקלים בגין כל נושא מידע אם קיים במאגר מידע בעל רגישות מיוחדת, כשסכום העיצום בגין כל הפרה לא יפחת מ-200,000 שקל. שתי הדוגמאות שהרשות עצמה מביאה במדריך נוחתות על 1,600,000 שקל ועל 2,000,000 שקל, והשנייה היא בדיוק המקרה השיווקי: פנייה לקבוצה בלתי מסוימת של אנשים לשם איסוף מידע אישי עליהם, למשל דרך לינק באתר, בלי שהפנייה לוותה בהודעה הנדרשת לפי סעיף 11. שימו לב מה זה עושה לחישוב הסיכון: גודל המאגר, שהוא בדרך כלל מדד הצלחה שיווקי, הוא כאן המכפיל של הקנס.
לצד העיצומים נוספה אחריות פלילית בעבירות מסוימות, ובית משפט רשאי לפסוק פיצוי לדוגמה בלא הוכחת נזק בסכום של עד 10,000 שקל. במקביל בוטלה ההתיישנות המקוצרת בתביעות אזרחיות לפי החוק, והתקופה זהה מעתה להתיישנות הכללית של שבע שנים, ביחס לעילות תביעה שנוצרו אחרי כניסת התיקון לתוקף.
נקודה אחת מאזנת את התמונה. ב-16 באפריל 2026 פורסמו ברשומות תקנות הגנת הפרטיות (התראה מינהלית), התשפ״ו-2026, שמאפשרות לראש הרשות למסור התראה מינהלית במקום להטיל עיצום כספי, ברשימה סגורה של נסיבות. שתיים מהן נוגעות ישירות לצוות שמתקן פערים: הפרה ראשונה של הוראה חדשה בשלושת החודשים הראשונים לתחולתה, והפרה ראשונה של הוראות המנויות בתוספת לתקנות, שרובן דרישות טכניות מתקנות אבטחת המידע. שתי נסיבות נוספות תלויות בפרסום פומבי של הרשות, על שינוי מדיניות אכיפה או על הבהרת הוראה שנוסחה באופן שאינו ברור. זו לא רשת ביטחון רחבה, אבל זה כן אומר שלא כל ליקוי מתורגם אוטומטית לקנס.
הנתון שמשנה את חישוב הסיכון בפועל הוא דווקא ההתיישנות. תביעה ייצוגית שמבוססת על טופס הרשמה פגום משנת 2026 יכולה להיפתח ב-2032. הדאטה שאתם אוספים היום נשאר חשוף לבדיקה הרבה אחרי שהקמפיין ששימש לאיסופו נשכח.
גילוי הדעת בנושא הסכמה: זה החלק שנוגע ישירות לטפסים שלכם
ב-25 בפברואר 2026 פרסמה הרשות גילוי דעת בנושא הסכמה בדיני הגנת הפרטיות. לפני הפרטים, מילה על מעמד המסמך: גילוי דעת אינו חקיקה ואינו מחייב כדין. הוא משקף, בלשונו שלו, את הפרשנות המשפטית שתשמש את הרשות בעת ולצורך הפעלת הסמכויות המסורות לה בחוק. זו לא הכרעה שיפוטית, אבל זו העמדה שמולה תיבדקו, והיא מגדירה סטנדרט שרוב הטפסים בישראל לא עומדים בו כרגע.
ארבע הנקודות שמשנות התנהגות בפועל:
אין תיבות מסומנות מראש
גילוי הדעת קובע ששתיקה או היעדר מחאה כשלעצמם אינם מלמדים על הסכמה תקפה. אם התיבה מסומנת כשהמשתמש נוחת על העמוד, ההסכמה שקיבלתם עומדת על בסיס רעוע, וכך גם כל מי שנרשם דרך הטופס הזה.
עיצוב שמטה את הבחירה
גילוי הדעת אינו קובע דרישה של משקל ויזואלי זהה בין אישור לסירוב. מה שהוא כן קובע: שימוש בכלים עיצוביים ובטקטיקות אפלות שנועדו להקשות על ההבנה ולהשפיע באופן פסול על ההחלטה עלול לפגוע בתוקף ההסכמה. הכפתור הירוק הגדול מול הקישור האפור הקטן יושב בדיוק בטווח הזה, ואם עשיתם על זה בדיקת A/B ובחרתם בגרסה המטה, יש לכם תיעוד של הכוונה.
מה שמעבר לעסקה דורש אופט אין
לפי גילוי הדעת, פרופיילינג שאינו קשור ישירות בתכלית העסקה מחייב הסכמה אקטיבית של נושא המידע, והסכמה לשימוש במידע למטרת שירותי דיוור ישיר שאינם קשורים בתכלית העסקה צריכה להיות במתכונת אופט אין. שימו לב לתנאי, כי הוא מה שקובע: מה שקשור ישירות לעסקה עצמה לא נכנס לכאן. בפועל זה אומר להפריד בטופס בין ההסכמה לשירות לבין ההסכמה לשימושים שמעבר לו.
אין ניסוח מטרות עמום
צריך לפרט את סוגי המידע ואת מטרות העיבוד. גילוי הדעת קובע במפורש שהצגה חלקית תוך שימוש בביטויים כמו וכיו״ב או בין היתר אינה עונה על דרישת ההסכמה מדעת. את מקבלי המידע מותר לתאר לפי סוג הגורמים, אבל לא בערפול.
המשמעות התפעולית: כל נקודת איסוף שיווקית פעילה צריכה תיעוד של מסע ההסכמה, כלומר מתי ניתנה, איזה נוסח הוצג, ובאיזו גרסת ממשק. זו בדיוק אותה משמעת שנדרשת כדי לנתח נכון קמפיין. מי שכבר בנה שכבת מדידה מסודרת יגלה שהתשתית קיימת. מי שלא, יגלה שהוא לא יכול לשחזר מי הסכים למה. הבסיס לזה מפורק במדריך תשתית הנתונים המוכנה ל-AI.
דיוור ישיר: מה חייב להופיע בכל הודעה
הנחיית הרשות בנושא דיוור ישיר, בגרסתה המעודכנת לתיקון 13, מפרטת מה חייב להופיע בפנייה שיווקית. סעיף 17ו(א) לחוק חל, לפי ההנחיה, על כל פנייה בדיוור ישיר, לרבות פנייה של בעל מאגר ללקוחותיו שלו. כל פנייה כזו צריכה לכלול את מספר הרישום של המאגר המשמש לשירותי דיוור ישיר, את זכות הנמען להימחק מהמאגר יחד עם המען שאליו יש לפנות, ואת זהותו ומענו של בעל השליטה במאגר והמקורות שמהם קיבל את המידע. ההנחיה מסייגת את רכיב המקורות כשמדובר בלקוח פעיל שיודע ממילא מאיפה הגיע המידע עליו. לגבי בקשת מחיקה, סעיף 17ו(ה) קובע שאם בעל המאגר לא נענה לדרישה בתוך 30 יום, רשאי הנמען למצות את זכותו בבית המשפט.
יש כאן דרישה נוספת ששווה להכיר, ודווקא כאן חשוב לא להחמיר יתר על המידה. סעיף 17ה לחוק דורש ניהול רישום של המקורות שמהם התקבל כל אוסף נתונים, מועד קבלתם, ולמי נמסר כל אוסף. אבל הסעיף הזה חל על מאגר המשמש לשירותי דיוור ישיר, כלומר על מי שמספק לאחרים רשימות, מדבקות או נתונים, ולא על כל מותג ששולח ניוזלטר ללקוחות שלו. אם אתם מוכרים או מתווכים רשימות, זו חובה ישירה. אם לא, תיעוד מקורות הוא עדיין הכרח מעשי, כי בלעדיו אי אפשר לקיים את חובת היידוע, לענות לפניית נושא מידע, או לדעת אילו רשומות נאספו על בסיס הסכמה תקפה. זו לא אותה חובה, וכדאי לא לבלבל ביניהן מול הנהלה.
הבהרה שמבלבלת הרבה משווקים: כל זה הוא חוק הגנת הפרטיות. משטר האופט אין לדיוור פרסומי במייל, ב-SMS ובחיוג אוטומטי יושב בסעיף 30א לחוק התקשורת, המוכר כחוק הספאם. שני המשטרים חלים במקביל ואי אפשר להסתפק באחד מהם.
העברת דאטה לכלי AI: כאן נמצא הפער הכי גדול
ב-28 באפריל 2025 פרסמה הרשות להגנת הפרטיות טיוטת הנחיה בנושא תחולת חוק הגנת הפרטיות על מערכות בינה מלאכותית. חשוב לומר שנכון לספטמבר 2026 מדובר עדיין בטיוטה ולא בהנחיה סופית, אבל היא מלמדת בבירור לאן הרשות הולכת. שלוש עמדות שם רלוונטיות ישירות לצוותי שיווק.
הראשונה: הרשות מציינת שכריית מידע אישי מרשת האינטרנט לצורך עיבודו במערכת בינה מלאכותית, לרבות למטרת אימון האלגוריתם, כרוכה בפגיעה אסורה בפרטיות אם לא ניתנה לכך הסכמה מדעת של נושא המידע. זה סוגר את הדלת על בניית קהלים או מודלים מבסיס שנגרף מהרשת. השנייה: על ארגון לקבוע מדיניות פנימית ונהלי אבטחת מידע להסתייעות במערכות חיצוניות של בינה מלאכותית יוצרת, שמתייחסים בין השאר למי מורשה להשתמש, אילו סוגי מידע אסורים כקלט, ומהן מגבלות השמירה. השלישית: לעמדת הרשות, העובדה שהגורם שמנהל את האינטראקציה אינו בן אנוש אלא מערכת אוטומטית היא רכיב בגיבוש הסכמה מדעת, ויש ליידע את נושא המידע לגביה. כל אלה, נזכיר, עדיין בסטטוס של טיוטה.
מעל כל אלה יושבת שאלת ההעברה לחו״ל. לישראל אין רשימת מדינות מאושרות בנוסח החלטות ההלימות האירופיות, וההעברה נשענת על תקנות ההעברה משנת 2001, שתיקון 13 לא החליף. שווה סייג אחד: תקנה 2 כן כוללת עילות שמבוססות על קטגוריית מדינות, למשל מדינה שהיא צד לאמנה האירופית בנושא הגנת מידע. בפועל המסלול הנפוץ ביותר נשאר תקנה 2(4): התחייבות חוזית של מקבל המידע לעמוד בתנאים החלים על החזקת מידע ועל השימוש בו לפי הדין הישראלי.
ב-13 באפריל 2026 פרסמה הרשות גילוי דעת שמפרש את תקנה 2(4), והוא מחדד את הרף. לפי הגילוי, אמת המידה אינה סובייקטיבית, ומקבל המידע לא יכול להיתלות בנסיבות אישיות או ארגוניות כדי לא לעמוד בסטנדרט הישראלי. ההסכם צריך לכלול התחייבויות מהותיות, בהן איסור שימוש במידע שלא למטרה שלשמה נמסר, מתן זכות עיון, אפשרות לבקש תיקון או מחיקה, וחובת סודיות, ובצד האבטחה התאמה לתקנות אבטחת המידע או להסמכת ISO/IEC 27001. במילים אחרות: לכל ספק AI או מרטק שיושב מחוץ לישראל צריך להיות מסמך שאומר את זה. וזה נכון גם לשרשרת שמאחוריו, כי תקנה 3 מחייבת הסכם בכתב עם מקבל המידע שמבטיח שהמידע לא יועבר הלאה לאדם אחר. כלומר העברה מהספק לקבלן משנה שלו היא שאלה שצריך להסדיר מראש, לא בדיעבד.
הפער בין המדיניות המוצהרת לבין מה שקורה בפועל בצוותים הוא הנקודה שמצריכה מדידה. ההנחה שאדם בצוות לא ידביק רשימת לקוחות לתוך צ'אט כדי לנסח מייל טוב יותר אינה מבוססת. שכבת האישורים והמדיניות שצריכה לשבת מעל זה מפורקת במדריך ממשל ה-AI לסוכנים שיווקיים, ושליטה טכנית באילו שדות בכלל יוצאים החוצה מתחילה בServer-side tracking.
ביקורות הרוחב: מסחר מקוון כבר נבדק
בדצמבר 2025 הודיעה הרשות על פתיחת הליכי פיקוח רוחב בחמישה מגזרים. חברות מסחר מקוון הן אחד מהם, לצד רשויות מקומיות, אפליקציות בשימוש נרחב, מכוני סקר גנטי וצהרונים. לפי הדיווח בגלובס מ-30 בדצמבר 2025, השאלונים בודקים בין השאר כיצד מאובטח המידע, מי מורשה לגשת אליו, אילו סוגי מידע נאספים, האם קיימת מדיניות פרטיות עדכנית המוצגת באתר, והאם ניתנות לצרכן אפשרויות הסכמה אמיתיות לאיסוף מידע באמצעות קובצי עוגיות וגורמי צד שלישי. באותו דיווח נמסר שאתרי סחר קטנים כבר קיבלו מכתבי התראה.
מבין הליקויים החוזרים שהרשות מציינת בפרסומיה, שניים רלוונטיים ישירות לצוות שמנהל דאטה שיווקי: אי-עדכון מסמך הגדרות המאגר, והיעדר ניהול הרשאות או תיעוד של אירועי אבטחה. הדרישה עצמה פשוטה: תקנה 2 לתקנות אבטחת המידע מחייבת לעדכן את המסמך בכל עת שנעשה שינוי משמעותי, ולבחון את הצורך בעדכון אחת לשנה עד 31 בדצמבר. זה הפריט שהכי הרבה חברות מגלות שאין להן בכלל, והוא גם הפריט שהכי מהיר לייצר. פריטים נוספים שמופיעים ברשימות מקצועיות, כמו סקר סיכונים ומבחני חדירה, נגזרים מאותן תקנות ותלויים ברמת האבטחה שחלה על המאגר, ולכן לא נכון להציג אותם כדרישה אחידה לכל עסק.
על בסיס תיאורי ההליך בפרסומים המקצועיים, ההערכה היא שהרצף הוא שאלון מפורט, ניתוח התשובות, דרישות המשך בכתב, וביקורת באתר במקרים שמצדיקים זאת. זו הערכה ולא נוהל מפורסם, אבל המסקנה התפעולית זהה בכל מקרה: החלון בין קבלת השאלון לבין המשך ההליך אינו ארוך. צוות שיודע היום איפה יושבות נקודות האיסוף ומי מקבל את הדאטה ימלא שאלון כזה בימים. צוות שלא יודע יגלה בדיוק אז שאין לו תשובה לשאלה מאיפה הגיעו הרשומות.
נקודה שנייה: שלושה מתוך חמשת המגזרים שנבחרו, מסחר מקוון, אפליקציות בשימוש נרחב וצהרונים, אוספים מידע ישירות מהצרכן, ובחלק מהם נתח לא מבוטל מהמשתמשים הם קטינים או הורים שנרשמים עבורם. זו לא רשימת יעדי אכיפה מוצהרת לשנה וכדאי לא להציג אותה ככזו, אבל זה הסימן היחיד שפורסם על מה הרשות בחרה להתחיל, והוא נוגע בסוג הדאטה שצוותי שיווק אוספים.
מי שמריץ קמפיינים לקהל צעיר צריך להיות מסוגל להסביר איך הוא מונע איסוף מקטינים, ולא רק להצהיר שהוא לא מכוון אליהם. כאן שווה להכיר פרסום נוסף: ב-11 ביוני 2026 פרסמה הרשות טיוטה להערות הציבור בנושא הגנת פרטיות בשימוש באמצעים לאימות גיל. העמדה בטיוטה מעניינת דווקא בגלל שהיא דו-כיוונית. הרשות מציינת ששימוש באמצעי אימות גיל שפגיעתם בפרטיות גבוהה יחרוג על פי רוב במידה משמעותית מהנחוץ למטרת אימות הגיל, כלומר פתרון האימות עצמו יכול להפוך לבעיית פרטיות. המסקנה המעשית היא לא להתקין מנגנון אימות פולשני, אלא לבחור באמצעי שמשיג את המטרה תוך פגיעה מינימלית בפרטיות, ולתעד את השיקול. גם זו, נדגיש, טיוטה בשלב הערות ציבור.
מה למדוד השבוע
לפני שמזמינים ייעוץ, שווה להריץ מדידה פנימית קצרה. אלה חמש הבדיקות שנותנות את התמונה המהירה ביותר:
- ספרו כמה נקודות איסוף פעילות יש לכם: כל טופס, פופאפ, נחיתה, צ'אט, וובינר וסריקת QR. כמעט בכל צוות שבדקתי, המספר בפועל היה גבוה מההערכה שניתנה בהתחלה, וכל נקודה שלא הופיעה ברשימה היא נקודה שאף אחד לא בדק את הנוסח שלה.
- בדקו אם ניתן לשחזר הסכמה בודדת: בחרו רשומה אקראית מהמאגר ונסו לענות מתי הסכימה, לְמה בדיוק, ובאיזה נוסח. אם זה לוקח יותר מכמה דקות, אין לכם תיעוד הסכמה, יש לכם רשומה.
- מדדו את אחוז הרשומות ללא שדה מקור: שאילתה אחת על מערכת ה-CRM. אם אתם מספקים לאחרים רשימות או נתונים, ניהול הרישום הזה הוא חובה ישירה לפי סעיף 17ה. אם לא, זה עדיין התנאי המעשי לקיום חובת היידוע ולמענה לפניות נושא מידע.
- רשמו כל ספק שמקבל מכם מידע אישי: כולל פלטפורמות דיוור, CDP, כלי AI, ספקי צ'אט וקבלני משנה שלהם. מולם צריכה להיות התחייבות חוזית לעמידה בדין הישראלי לפי תקנות ההעברה, ולפי הניסיון שלי ברשימה כזו כמעט תמיד מתגלה ספק אחד שנשכח.
- תרגלו דיווח אירוע אחת: מי מקבל את הטלפון, תוך כמה זמן, ומי מוסמך לדווח לרשות. תקדים העיצום ביולי 2026 היה כולו על עיתוי, לא על היקף הכשל.
שאלות נפוצות
האם מאגר הלקוחות שלנו חייב רישום מול הרשות?
ברוב המקרים לא. חובת הרישום נשארה על כנה למאגר של גוף ציבורי, ולמאגר שמטרתו העיקרית היא איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה, כשיש בו מידע על 10,000 בני אדם ומעלה. מותג שמשווק את עצמו בדרך כלל לא נכנס. עסק שמוכר או משכיר רשימות כן. את ההחלטה הסופית צריך לקבל מול יועץ משפטי.
הסכמה שקיבלנו לפני אוגוסט 2025 עדיין תקפה?
גילוי הדעת בנושא הסכמה קובע סטנדרט לניסוח ולממשק, ואינו קובע ביטול רטרואקטיבי גורף של הסכמות קודמות. עם זאת, אם הנוסח הישן היה מכליל או שהתיבה הייתה מסומנת מראש, האיכות של אותה הסכמה נמוכה. הצעד המעשי הוא לתקן קדימה בכל נקודות האיסוף, ולתעד את מועד המעבר. שאלת התוקף של הסכמה ישנה ספציפית היא שאלה משפטית שתלויה בנסיבות.
מותר להזין נתוני לקוחות ל-ChatGPT או ל-Claude?
טיוטת ההנחיה של הרשות מצפה שלארגון תהיה מדיניות פנימית שקובעת מי רשאי, אילו סוגי מידע אסורים כקלט, ומהן מגבלות השמירה. בנוסף, ספק שיושב מחוץ לישראל מחייב התחייבות חוזית לעמידה בתנאים החלים בדין הישראלי, לפי תקנה 2(4) לתקנות ההעברה כפי שפורשה בגילוי הדעת מאפריל 2026, ותקנה 3 מוסיפה את שאלת ההעברה הלאה. בלי שני אלה, ההזנה נעשית בלי בסיס מסודר.
מי אמור להיות אחראי על זה בצוות השיווק?
הבעלות התפעולית על הדאטה השיווקי צריכה להיות אצל מי שמנהל את שכבת המדידה, כי הוא היחיד שרואה את כל נקודות האיסוף. אבל זה לא אותו דבר כמו ממונה הגנת פרטיות. חובת המינוי היא שאלה נפרדת שתלויה במאפייני הפעילות, ובגילוי הדעת שפרסמה הרשות ב-14 ביולי 2026 נקבע שהממונה לא ימלא תפקיד נוסף ולא יהיה כפוף לנושא משרה אם הדבר עלול להעמידו בחשש לניגוד עניינים. הגילוי אף מציין שניגוד עניינים עשוי להתקיים בתפקידים בכירים כגון מנהל שיווק, מנהל לקוחות, מנהל כספים ו-CTO. כלומר מנהל השיווק אינו מועמד טבעי לתפקיד.
מה עושים עם זה
תריצו השבוע את בדיקת שדה המקור על מערכת ה-CRM המרכזית שלכם. אחוז רשומות ללא מקור מזוהה מעל עשרה אחוזים אומר שהפרויקט הבא בתור הוא תיעוד מקורות, לא קמפיין נוסף. זו הבדיקה הזולה ביותר כאן, והיא גם זו שנוגעת בכמות הרשומות הגדולה ביותר. אחריה מגיע תיקון נוסח ההסכמה בטפסים, ורק אחר כך כל השאר.
📲 כל כתבה חדשה, ישר לטלגרם
בלי אלגוריתם ובלי פיד. עדכון אחד בערוץ בכל פעם שעולה כתבה.
5 עדכונים שחשוב לדעת + ניתוח אחד. אימייל אחד בשבוע, בלי ספאם.