תיקון 13 לחוק הגנת הפרטיות: מה חייב לעשות עסק שמנהל מועדון לקוחות

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025, והוא חל על כל עסק שמחזיק מאגר של פרטי לקוחות – גם עסק קטן, גם בלי צבירת נקודות, וגם אם המאגר פטור מרישום. המשמעות המעשית עבור מפעילי מועדוני לקוחות היא שרשימת החברים הפכה מנכס שיווקי לנכס שנושא באחריות רגולטורית: טופס ההצטרפות חייב לכלול הודעת יידוע מלאה, החבר רשאי לדרוש לעיין במידע ולמחוק אותו, ואירוע אבטחה חמור מחייב דיווח מיידי לרשות. ביולי 2026 הטילה הרשות להגנת הפרטיות את העיצום הראשון מכוח התיקון, בסך 256,000 ש"ח, ובדיוק על ההפרה שנחשבת "טכנית" – איחור בדיווח.

 

מה קובע תיקון 13 לחוק הגנת הפרטיות ועל מי הוא חל

תיקון 13 הוא הרפורמה המקיפה ביותר שנעשתה בחוק הגנת הפרטיות, התשמ"א-1981 מאז חקיקתו. הכנסת אישרה אותו באוגוסט 2024, והוא נכנס לתוקף ב-14 באוגוסט 2025^[1] – שנה שלמה לאחר הפרסום, כדי לאפשר לארגונים להיערך. התפיסה שבבסיסו היא מעבר מבירוקרטיה של רישום מאגרים לאחריותיות מהותית: פחות טפסים לרשות, יותר חובות שהעסק צריך לקיים בפועל מול הלקוח. עבור עסקים שמנהלים מועדון לקוחות זהו שינוי משמעותי. עד התיקון, עסק קטן עם רשימת לקוחות יכול היה להתייחס לחוק הגנת הפרטיות כמשהו שנוגע לבנקים ולקופות חולים. היום ההיגיון הפוך: החובות חלות על כל מי שמחזיק מאגר מידע אישי ומעבד אותו, והיקף המאגר משפיע בעיקר על גובה החשיפה, לא על עצם התחולה. גם מאגר שפטור מחובת רישום כפוף לכל חובות ההגנה על נושא המידע. התיקון גם הרחיב את ההגדרות עצמן. "מידע אישי" כולל כיום כל מידע שניתן לזהות באמצעותו אדם במאמץ סביר או בעקיפין, ו"עיבוד מידע" מוגדר בצורה רחבה וכולל קבלה, איסוף, שמירה, העתקה, עיון, גילוי והעברה. עבור מועדון לקוחות זה אומר שגם פעולות שנתפסות כשגרה תפעולית – ייצוא רשימת חברים לקובץ אקסל, העברת פרטים לספק דיוור חיצוני, פילוח לקוחות לצורך מבצע – הן עיבוד מידע לכל דבר. התחולה רחבה וכוללת כל עסק שמנהל מועדון לקוחות או תוכנית נאמנות, מערכת לצבירת נקודות, שוברים או זיכויים, רשימת דיוור שיווקי, או פשוט מאגר פרטים אישיים של לקוחות. גם בעסק שאינו מפעיל שום מנגנון צבירה, עצם ההחזקה של שמות, טלפונים וכתובות דואר אלקטרוני מקימה את החובות.  

חמש החובות שכל מועדון לקוחות חייב לעמוד בהן

תיקון 13 אינו מסמך שנכתב עבור מועדוני לקוחות, אך חמש חובות שבו נוגעות ישירות לאופן שבו מועדון עובד מהיום הראשון של ההרשמה ועד לרגע שבו חבר מבקש לעזוב. הבנה מדויקת שלהן היא ההבדל בין מועדון שמוכן לביקורת לבין מועדון שנשען על ההנחה שלא יבדקו אותו. חובת היידוע היא הראשונה בתור מבחינת סדר הזמנים. לפי סעיף 11 לחוק, בכל נקודה שבה נאסף מידע אישי יש למסור לאדם חמישה פרטים: האם מסירת המידע היא חובה או רצון חופשי, מה מטרת האיסוף, למי יימסר המידע, מי בעל השליטה במאגר וכיצד יוצרים איתו קשר, ומהן זכויות העיון, התיקון והמחיקה. בפועל, זו החובה שמופרת הכי הרבה, משום שהיא יושבת בדיוק במקום שאיש לא בדק – בטופס ההצטרפות בקופה או בדף הנחיתה. זכות העיון מעוגנת בסעיף 13 ומאפשרת לכל אדם לדעת מה בדיוק שמור עליו במאגר. זכות התיקון והמחיקה מעוגנת בסעיף 14 ומאפשרת לו לדרוש לתקן מידע שגוי, לא מדויק, לא ברור או מיושן, או למחוק אותו. בשני המקרים לעסק יש חובת מענה, וסירוב חייב להיות מנומק ונתון לערעור. חובת אבטחת המידע נשענת על תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, שממשיכות לחול במלוא עוצמתן וקיבלו שיניים חדשות באמצעות סמכויות האכיפה של הרשות. עסק שמעביר את ניהול המועדון לספק חיצוני אינו מתנער מהאחריות: הוא נשאר בעל השליטה במאגר, והספק הוא מחזיק. זו אחת הסיבות שכדאי לבחון האם ספק הפלטפורמה עומד בתקן ISO 27001 לניהול אבטחת מידע, שכן הוא מספק מסגרת מתועדת לבקרות שהתקנות דורשות. חובת הדיווח על אירוע אבטחה חמור היא החובה שהפכה לראשונה לכסף אמיתי, והיא מפורטת בהמשך.  

הודעת היידוע בטופס ההצטרפות: הנקודה שבה רוב העסקים נכשלים

אם יש דבר אחד שכדאי לבדוק היום, זה טופס ההצטרפות למועדון. הניסיון המצטבר מאז כניסת התיקון לתוקף מלמד שהאכיפה הראשונית מתמקדת דווקא בהיבט הפרוצדורלי ולא בטכנולוגי^[2] – כלומר, בשאלה מה כתוב בטופס ומה החבר אישר, ולא בשאלה כמה חזק ההצפנה במסד הנתונים. הכשל הנפוץ הוא טופס שמבקש שם, טלפון, דואר אלקטרוני ותאריך לידה, ומסתפק במשפט אחד: "מאשר קבלת דיוור". משפט כזה אינו מקיים את סעיף 11. הוא אינו אומר אם מסירת הפרטים היא חובה, אינו מפרט את מטרת האיסוף, אינו מזהה את בעל השליטה במאגר, אינו מציין למי יועבר המידע, ואינו מיידע את החבר על זכותו לעיין, לתקן ולמחוק. יש כאן גם הבחנה שקל לפספס: ההסכמה להצטרף למועדון וההסכמה לקבל דיוור פרסומי הן שתי הסכמות נפרדות, שמקורן בשני חוקים שונים. אפשר להיות חבר מועדון בלי להסכים לדיוור, ואסור לכפות את השנייה כתנאי לראשונה. צ'קבוקס אחד שמאשר גם הצטרפות וגם דיוור הוא נקודת כשל כפולה – מול הרשות להגנת הפרטיות ומול חוק הספאם. הבעיה המעשית מחמירה כשההצטרפות נעשית על נייר. טופס נייר בקופה מקשה להוכיח בדיעבד מה בדיוק הוצג לחבר, מתי הוא חתם ועל איזו גרסה של התנאים. כאשר ההרשמה מתבצעת באמצעות טופס הצטרפות דיגיטלי עם חתימה, נוצר תיעוד אוטומטי של מועד ההצטרפות, נוסח התנאים שהוצג ואמצעי ההסכמה – וזה בדיוק סוג הראיה שנדרשת בביקורת.  

זכות העיון, התיקון והמחיקה: מה החבר רשאי לדרוש

שלוש הזכויות הללו הופכות את החבר במועדון מנושא פסיבי של מאגר לבעל זכות אקטיבית, והן מחייבות את העסק להחזיק בתהליך מסודר למענה. מדובר בזכויות שקיימות בחוק שנים רבות, אך תיקון 13 הפך את ההפרה שלהן ליקרה משמעותית. זכות העיון לפי סעיף 13 מאפשרת לאדם לבקש לעיין במידע שמוחזק עליו. עבור מועדון לקוחות, המידע הרלוונטי כולל את פרטי הזיהוי, תאריך ההצטרפות, יתרת הנקודות או השוברים, היסטוריית הצבירה והמימוש, ולעיתים גם פילוחים ותגיות שהוצמדו לחבר לצורכי שיווק. דווקא הרכיב האחרון נשכח: תגית פנימית כמו "לקוח רגיש למחיר" היא מידע שנשמר על אותו אדם. זכות התיקון והמחיקה לפי סעיף 14 מאפשרת לדרוש תיקון של מידע שגוי או מחיקה של מידע. המחיקה אינה מוחלטת: אם קיימת חובה חוקית אחרת לשמור את המידע, כגון חובות תיעוד לפי דיני המס לגבי עסקאות שבוצעו, ניתן להמשיך להחזיק בו לאותה מטרה בלבד. אבל אי אפשר להשאיר לקוח ברשימת הדיוור השיווקי רק משום שהחשבוניות שלו נשמרות. ההיערכות הנכונה היא פשוטה יותר ממה שנדמה: ככל שהחבר יכול לראות ולעדכן את המידע בעצמו באזור אישי, כך פוחת מספר הפניות שמחייבות טיפול ידני ומתועד. מערכת לניהול מועדון לקוחות שמציגה לחבר את יתרת ההטבות ואת היסטוריית הפעילות שלו הופכת חלק ניכר מחובת העיון למימוש אוטומטי, במקום למשימה של שירות הלקוחות.  

דיווח על אירוע אבטחת מידע: מה לימד העיצום הראשון

ב-21 ביולי 2026 הטילה הרשות להגנת הפרטיות את העיצום הכספי הראשון מכוח תיקון 13: 256,000 ש"ח על קופת חולים מאוחדת^[2]. ההפרה שבגינה הוטל העיצום ראויה לתשומת לב מיוחדת של כל מי שמנהל מאגר לקוחות, משום שהיא לא הייתה פריצה ולא דליפת מידע. הקופה גילתה בנובמבר 2025 תקלת אבטחה שאפשרה בנסיבות מסוימות גישה לא מורשית למידע רפואי של מבוטחים. היא חקרה את האירוע, תיקנה אותו, ורק לאחר מכן – כחודשיים לאחר הגילוי – דיווחה לרשות. הרשות קבעה שחובת הדיווח קמה ברגע שנודע על האירוע החמור, ולא בתום החקירה, ושעל הארגון להגיש דיווח ראשוני בסמוך לגילוי על סמך המידע שבידיו באותה עת, ולהשלים פרטים בהמשך. המסקנה המעשית למועדוני לקוחות ברורה. האכיפה הראשונה לא הוטלה על מי שנפרץ, אלא על מי שאיחר לדווח. ארגון שמגלה ביום שישי בערב שרשימת חברי המועדון הייתה נגישה בקישור ציבורי, אינו יכול להמתין עד שיבין את היקף הנזק. הנוהל הפנימי צריך להגדיר מראש מי מוסמך להכריע שמדובר באירוע חמור, בתוך כמה שעות הדיווח מוגש, ומי אחראי להגיש אותו בפועל. עסק שמפעיל מועדון באמצעות ספק חיצוני צריך לוודא שהתשובה לשאלות האלה מעוגנת בהסכם ההתקשרות: כיצד וכמה מהר הספק מיידע את בעל השליטה על אירוע אבטחה במערכותיו. בלי סעיף כזה, בעל השליטה עלול לגלות על האירוע באיחור ולשאת בתוצאה.  

מתי מועדון לקוחות חייב למנות ממונה על הגנת הפרטיות

אחד החידושים הבולטים בתיקון 13 הוא חובת המינוי של ממונה על הגנת הפרטיות, מקבילה ישראלית ל-DPO האירופי. החובה אינה גורפת ואינה חלה אוטומטית על כל מי שמנהל מועדון לקוחות, ולכן חשוב לדעת מתי היא בכל זאת מתקיימת. החובה חלה על גופים ציבוריים, על מי שעיסוקו סחר במידע, על מי שפעילותו העיקרית כרוכה בעיבוד מידע רגיש בהיקף משמעותי, ועל מי שפעילותו העיקרית מחייבת ניטור שוטף ושיטתי של אנשים. הרכיב האחרון הוא הרלוונטי ביותר לעולם הנאמנות. מועדון שמסתפק בצבירת נקודות ובשליחת מבצע חודשי אינו מבצע ניטור שיטתי. לעומת זאת, פלטפורמה שבונה פרופיל התנהגותי מתמשך, מנתחת דפוסי רכישה ומפעילה פילוח אלגוריתמי אוטומטי, מתקרבת להגדרה. הרשות דחתה את מועד האכיפה של חובת המינוי לסוף אוקטובר 2025, כדי לאפשר לארגונים להיערך. מי שאינו חייב במינוי עדיין נדרש לנהל את המאגר באחריות: להחזיק מסמך הגדרות מאגר מעודכן, נוהלי אבטחת מידע ומיפוי של המערכות שבהן המידע נשמר. בעסקים רבים דווקא הרכיב הזה חסר, לא משום שהוא מורכב, אלא משום שאיש לא לקח עליו בעלות.  

מה תיקון 13 אינו מסדיר: חובות מועדון הלקוחות מדיני הצרכנות והספאם

ריכוז כל החובות תחת הכותרת "תיקון 13" הוא טעות נפוצה שמותירה פערים. שלושה חוקים שונים חלים על מועדון לקוחות במקביל, וכל אחד מהם מופעל על ידי גורם אחר. חוק הגנת הצרכן מסדיר את ההיבט החוזי של תוכנית ההטבות. סעיף 16א קובע כי עוסק שמפעיל תוכנית הטבות לתקופה בלתי קצובה ומבקש לשנות אותה או לסיימה, חייב להודיע לחברים מראש: בין שלושה לארבעה חודשים לפני כניסת השינוי לתוקף, ובתוכנית הכוללת צבירת זכויות – בין שמונה לתשעה חודשים מראש^[3]. בתוכנית לתקופה קצובה אסור לשנות את התנאים או לסיימה לפני תום התקופה. בכל המקרים, הצרכן זכאי לממש את ההטבות שצבר עד למועד השינוי או הסיום. הוראות אלה בתוקף מאז 7 בדצמבר 2017, והן חלות גם על תוכניות שהופעלו קודם לכן. סעיף 30א לחוק התקשורת (בזק ושידורים), התשמ"ב-1982, המוכר כחוק הספאם, מסדיר את הדיוור עצמו^[4]. הוא אוסר משלוח דבר פרסומת בדואר אלקטרוני, מסרון, פקס או חיוג אוטומטי ללא הסכמה מפורשת מראש בכתב, מחייב לציין את המילה "פרסומת" ואת פרטי המפרסם, ולכלול בכל הודעה דרך הסרה פשוטה. הפיצוי שבית המשפט רשאי לפסוק מגיע עד 1,000 ש"ח לכל הודעה, בלא הוכחת נזק – חשיפה שמצטברת במהירות במועדון עם אלפי חברים. חוק הגנת הפרטיות, על תיקון 13 שבו, מסדיר את המידע עצמו: כיצד אוספים אותו, מה מספרים לנושא המידע, אילו זכויות יש לו וכיצד מאבטחים את המאגר. המסמך שמאחד את שלושת הרבדים לכדי מערכת אחת הוא תקנון מועדון לקוחות מנוסח כהלכה, שקובע את כללי הצבירה והפקיעה, את מדיניות הפרטיות ואת הסדרי הדיוור במקום אחד מחייב.  

העיצומים והפיצויים: מה החשיפה הכספית בפועל

תיקון 13 שינה את מאזן הסיכונים בכך שיצר שני מסלולי חשיפה מקבילים, שפועלים במנותק זה מזה. עסק יכול לספוג עיצום מינהלי מהרשות ובמקביל להיתבע על ידי לקוח או בהליך ייצוגי בגין אותה הפרה עצמה. המסלול הראשון הוא העיצום הכספי המינהלי. הרשות להגנת הפרטיות הוסמכה להטיל עיצומים ישירות, בלי הליך פלילי ובלי בית משפט. הסכום נגזר מסוג ההפרה ומהיקף המאגר, ומודל הקנסות מדרג בין היתר אי-מימוש זכות עיון, אי-מחיקת מידע לבקשת אדם, אי-מינוי ממונה כשנדרש והפרות כלפי הרשות. אי-רישום או אי-דיווח על מאגר עלול להגיע לכ-150,000 ש"ח, ובמאגרים הגדולים ביותר לכ-300,000 ש"ח. העיצום הראשון בפועל, כאמור, עמד על 256,000 ש"ח. המסלול השני הוא הפיצוי האזרחי. תיקון 13 הקנה לבית המשפט סמכות לפסוק פיצוי של עד 10,000 ש"ח בלא הוכחת נזק לאדם שזכויותיו לפי החוק הופרו, למשל כאשר לא אופשר לו לעיין במידע או לתקן מידע שגוי. במקביל, סעיף 29א(ב)(1) לחוק ממשיך לאפשר פיצוי של עד 50,000 ש"ח בלא הוכחת נזק בתביעה בגין פגיעה בפרטיות לפי סעיף 4, וכפל הסכום כאשר הפגיעה נעשתה בכוונה לפגוע^[5]. הסיכון הגדול ביותר עבור מועדון לקוחות אינו העיצום הבודד אלא ההכפלה: הפרה אחת בטופס ההצטרפות חוזרת על עצמה אצל כל חבר שנרשם דרכו. מכאן שהחשיפה בתביעה ייצוגית עשויה לעלות בהרבה על העיצום המינהלי. לכך מצטרפות ההשלכות שאינן כספיות במישרין: פיקוחי רוחב שהרשות מבצעת במגזרים שונים, ופגיעה באמון החברים במועדון – שהוא הנכס שבגללו הוקם מלכתחילה.  

יישום ידני מול מערכת ייעודית: מה ההבדל בפועל

אפשר לעמוד בדרישות באופן ידני, וחלק מהעסקים אכן עושים זאת. ההבדל אינו בשאלה האם החוק מקוים, אלא בשאלה כמה זמן זה גוזל, וחשוב מכך – האם נוצרת ראיה מתועדת שאפשר להציג בביקורת. תיעוד הוא הרכיב שנופל ראשון ביישום ידני.

הדרישה	יישום ידני	יישום במערכת ייעודית
הודעת יידוע בהצטרפות	טופס נייר או קובץ PDF סטטי, בלי תיעוד של הגרסה שהוצגה	טופס דיגיטלי עם חמשת פרטי היידוע ותיעוד אוטומטי של מועד ההסכמה
הפרדה בין הסכמת חברות להסכמת דיוור	אישור אחד גורף, שקשה להוכיח את היקפו בדיעבד	שתי הסכמות נפרדות, כל אחת עם תיעוד מועד ואמצעי
זכות עיון במידע וביתרות	שליפה ידנית מגיליון או מדוח, לכל פנייה בנפרד	אזור אישי שבו החבר רואה את פרטיו, יתרותיו והיסטוריית המימוש
תיקון או מחיקת פרטים	בקשה בדואר אלקטרוני או בקופה, בלי מעקב אחר מועד הטיפול	עדכון עצמאי בידי החבר, ומחיקה מתועדת עם שמירת רישום החובה בלבד
הסרה מדיוור בנפרד מפרישה מהמועדון	טיפול ידני שמערבב בין השתיים	שני מסלולים נפרדים, כולל קישור הסרה בכל הודעת שיווק
הודעה מראש על שינוי תוכנית ההטבות	דיוור חד-פעמי, בלי אסמכתה מי קיבל ומתי	דיוור מתוזמן לכלל החברים עם דוח מסירה שמשמש ראיה

   

שאלות ותשובות

האם תיקון 13 חל גם על עסק קטן עם כמה מאות לקוחות? כן. חובות היידוע, העיון, התיקון, המחיקה ואבטחת המידע חלות על כל מי שמחזיק מאגר מידע אישי ומעבד אותו, ללא סף מינימלי של מספר לקוחות. היקף המאגר משפיע בעיקר על חובות נלוות, כמו חובת ההודעה לרשות על מאגר המכיל מידע בעל רגישות מיוחדת על יותר מ-100,000 איש, ועל גובה העיצום שייגזר בהפרה. עסק קטן אינו פטור, אלא חשוף לסכומים נמוכים יותר. מתי בדיוק נכנס תיקון 13 לתוקף? התיקון אושר בכנסת באוגוסט 2024 ונכנס לתוקף ב-14 באוגוסט 2025, שנה לאחר הפרסום, כדי לאפשר לארגונים להיערך. אכיפת חובת מינוי הממונה על הגנת הפרטיות נדחתה לסוף אוקטובר 2025. יש להבחין בינו לבין תאריכים אחרים שמופיעים בהקשר של מועדוני לקוחות, כמו הוראות סעיף 16א לחוק הגנת הצרכן שבתוקף מדצמבר 2017. מה ההבדל בין תיקון 13 לחוק הגנת הפרטיות לבין חובות מועדון לקוחות בחוק הגנת הצרכן? תיקון 13 עוסק במידע: מה מספרים ללקוח בעת האיסוף, אילו זכויות יש לו במידע שלו, וכיצד מאבטחים את המאגר. האוכף הוא הרשות להגנת הפרטיות. חוק הגנת הצרכן עוסק בהטבה עצמה, ובעיקר בחובה להודיע מראש על שינוי או סיום של תוכנית הטבות ולאפשר לממש זכויות שנצברו. שני החוקים חלים במקביל על אותו מועדון, ועמידה באחד אינה מקיימת את השני. לקוח ביקש למחוק את פרטיו. האם חובה למחוק הכול? יש למחוק את המידע, למעט מה שקיימת חובה חוקית אחרת לשמור, כגון תיעוד עסקאות לפי דיני המס. מידע ששומרים מטעם כזה מותר להחזיק למטרה הזו בלבד, ואסור להמשיך להשתמש בו לשיווק או לפילוח. חשוב להבחין בין בקשת מחיקה לבין בקשה להסרה מדיוור: בקשת הסרה אינה מקנה עילה למחוק את החברות ואת הנקודות הצבורות, ומחיקה יזומה במקרה כזה פוגעת בחבר.  

מקורות שצוטטו במאמר (5)

• [1] מדריך מקצועי: תיקון מס' 13 לחוק הגנת הפרטיות – הרשות להגנת הפרטיות, gov.il
• [2] אכיפה בעקבות תיקון 13: הרשות להגנת הפרטיות הטילה עיצום כספי ראשון – שבלת ושות', עורכי דין
• [3] הודעה על שינוי או סיום תוכנית הטבות (סעיף 16א לחוק הגנת הצרכן) – כל-זכות
• [4] חוק התקשורת (בזק ושידורים), התשמ"ב-1982, סעיף 30א – נבו
• [5] חוק הגנת הפרטיות, התשמ"א-1981 – נוסח מלא – ויקיטקסט

 

המאמר עודכן לאחרונה: ספטמבר 2026 ומשקף את המצב הנוכחי, לרבות העיצום הכספי הראשון שהוטל מכוח תיקון 13 ביולי 2026. המידע המובא הוא כללי ואינו מהווה ייעוץ משפטי, חוות דעת מקצועית או תחליף לייעוץ פרטני. SimplyClub אינה מספקת ייעוץ משפטי, ומומלץ לפנות לעורך דין מוסמך לפני נקיטת פעולה הנוגעת להוראות החוק.