תיקון 13 לחוק הגנת הפרטיות - מה מותר ומה אסור באוגוסט 2025

תיקון 13 לחוק הגנת הפרטיות אושר ב-2024 ונכנס לאכיפה ב-14 באוגוסט 2025. הוא משנה את כללי המשחק לשיווק במייל בישראל. עד 2025: ניהול 'בריא' ובסיסי הספיק בפועל כי לא הייתה אכיפה רצינית. מ-2025: דרישות מפורשות לרישום במאגרי מידע (מעל 10,000 רשומות), ניהול הסכמות מתועד, זכות עיון/מחיקה, ומינוי DPO לעסקים גדולים (מעל 100,000 רשומות). קנס מקסימלי: 320,000 ₪ על הפרה + עד 5% מהמחזור השנתי (נכון לינואר 2026 לפי הרשות להגנת הפרטיות - הסכום צמוד למדד ומתעדכן, ראו הרחבה בגוף השיעור). עוסק קטן (פחות מ-100,000 רשומות) פטור מ-DPO אבל חייב הסכמה, ניהול הרשאות וזכות הסרה בדיוק כמו עסק גדול. השיעור מציג את 12 הדרישות הקריטיות וטבלת החלטה לפי גודל הרשימה שלך.

תיקון 13 הוא עדכון לחוק הגנת הפרטיות 1981, מבוסס במידה רבה על עקרונות ה-GDPR האירופי. תוקף: 1.8.2025 (יש תקופת חסד עד 1.8.2026 לחלק מהסעיפים הטכניים). חל על: כל עסק שמחזיק מידע אישי על תושבי ישראל - כולל כתובת מייל. קנס: עד 320,000 ₪ לכל הפרה + עד 5% מהמחזור השנתי (הסכום צמוד למדד ומתעדכן - נכון לעדכון ינואר 2026 לפי הרשות להגנת הפרטיות; מומלץ לבדוק את הסכום העדכני באתר הרשות לפני הסתמכות). למה זה משנה בפועל: עד 2024 הרשות לא אכפה באופן שיטתי. מ-2025 יש תקציב, צוות ייעודי, וסבב פעיל של בדיקות. עסקים שלא מסתדרים - חשופים לקנס.

1) הסכמה מפורשת מדעת (לא טיק מסומן מראש). 2) מסירת זהות הגורם הגובה את המידע. 3) מטרת השימוש מפורטת. 4) אפשרות הסרה בכל מייל (קישור unsubscribe). 5) מאגר מידע רשום ברשות (רק אם 10,000+ רשומות). 6) ניהול הסכמות מתועד (מתי + איך + IP). 7) זכות עיון - 30 יום לתשובה. 8) זכות תיקון/מחיקה. 9) אחריות על מעבד חיצוני (Mailchimp/Klaviyo וכו'). 10) הודעת אבטחה אם הייתה דליפה. 11) מינוי DPO (רק מעל 100,000 רשומות). 12) מדיניות פרטיות פומבית באתר.

מצב התחלתי 2024: רשימה של 3,200 מנויים. לא היה תיעוד opt-in, לא היה קישור הסרה בחלק מהמיילים. תהליך התאמה ל-2025: (א) הוסיפו checkbox 'אני מסכים/ה' בלי ברירת מחדל מסומנת. (ב) שלחו מייל re-consent לכל הרשימה - 1,400 חזרו וחתמו, השאר נמחקו. (ג) הוסיפו קישור הסרה לכל מייל. (ד) פרסמו מדיניות פרטיות באתר. תוצאה: הרשימה ירדה ל-1,400 אבל ה-engagement עלה פי 2.3 (open עבר מ-18% ל-41%). ההכנסה עלתה למרות שהרשימה קטנה יותר.

1) קניית רשימות: אסור מוחלט. גם אם 'הלקוח הסכים' אצל מישהו אחר - את/ה צריכ/ה הסכמה אישית אליך. 2) שיווק ל'משדרגים' לקוחות קיימים בלי הסכמה נפרדת: מי שקנה אצלך לא חתם אוטומטית על שיווק. אסור לשלוח מבצעים בלי הסכמה שיווקית ספציפית. 3) הסכמה שלא נשמרת: אם הרשות שואלת 'מתי X הסכים?' - חייב להיות לוג עם תאריך, מקור, IP. בלי זה - הקנס בדרך.

מספרה עם 400 לקוחות בוואטסאפ ומייל: גם רשימה קטנה כזו חייבת קישור הסרה בכל הודעה ותיעוד מתי כל לקוחה הסכימה - 'זה רק 400 אנשים' לא פוטר מכלום. קליניקה עם 3 מטפלים, 1,200 מטופלים ברשימה: חובה הסכמה מפורשת + לוג תיעוד, אבל פטורה ממינוי DPO כי מתחת ל-100,000 רשומות. קבלן שיפוצים שאסף 90 כרטיסי ביקור בתערוכת דיור: אסור להוסיף אף אחד מהם לרשימת דיוור בלי הסכמה מפורשת ונפרדת - כרטיס ביקור ביד הוא לא הסכמה שיווקית. חנות אונליין עם 5,000 לקוחות: מתחת ל-10,000 רשומות אין חובת רישום מאגר ברשות, אבל שאר 11 הדרישות (הסכמה, הסרה, תיעוד, מדיניות פרטיות) חלות במלואן.

מ-1 רשומה ומעלה: חובה הסכמה מפורשת, קישור הסרה בכל מייל, מדיניות פרטיות פומבית באתר, ותיעוד הסכמות (תאריך + מקור + IP). 10,000-100,000 רשומות: בנוסף לכל הנ"ל - חובה לרשום את מאגר המידע ברשות להגנת הפרטיות. מעל 100,000 רשומות: בנוסף לכל הנ"ל - חובה במינוי ממונה הגנת פרטיות (DPO). זו הטבלה השלמה - שמור אותה, כי כמעט כל עסק SMB נמצא בשורה הראשונה או השנייה, לא בשלישית.

השבוע: הורד את הצ'קליסט של 12 הדרישות, עבור עליהן, וסמן מה יש לך ומה חסר. שלח לפלטפורמת המייל בקשה לייצוא הסכמות. אם אין תיעוד כזה - הגיע הזמן לעבור לכלי שמתעד אותו אוטומטית.