עו״ד שחר שוורץ · עורך דין הגנת הפרטיות · רעננה
שמי שחר שוורץ, עורך דין ברעננה. אני מכין מדיניות פרטיות ומסמכי ציות לחברות, למשרדי עורכי דין, לרואי חשבון וליועצי מס, בהתאם לתיקון 13 לחוק הגנת הפרטיות.
מאגר לקוחות, טפסים באתר, מערכת CRM, מצלמות במשרד, מידע על עובדים. אני בודק איזה מידע אתם אוספים ולשם מה, ומנסח מדיניות פרטיות שמתארת את מה שקורה אצלכם בפועל.
בתיק של לקוח יש לא פעם מידע רפואי, כספי או משפחתי, וגם מידע על צדדים שלישיים. לפי תיקון 13 לחוק הגנת הפרטיות, מידע שחלה עליו חובת סודיות לפי דין, כמו סודיות עורך דין ולקוח, הוא מידע בעל רגישות מיוחדת. אני מכין למשרד מדיניות פרטיות, הודעה ללקוחות והסכמים מול ספקים שמקבלים גישה למידע.
דוחות שנתיים, תלושי שכר, פרטי חשבונות בנק וצילומי תעודות זהות. מאז תיקון 13 לחוק הגנת הפרטיות, נתוני שכר ופעילות פיננסית הם מידע בעל רגישות מיוחדת. משרד שמחזיק מידע כזה על לקוחות רבים צריך מסמכי פרטיות שמותאמים לכך.
על חלק מהנושאים יש באתר מדריך מפורט. על השאר אפשר פשוט לפנות ולשאול.
מדיניות פרטיות לעסק ולאתר, שכתובה לפי המידע שאתם אוספים, המטרות שלשמן אתם אוספים אותו ולמי הוא מועבר.
מיפוי המידע שהעסק מחזיק, בדיקה של מה שהחוק המתוקן דורש ממנו ותוכנית עבודה לסגירת הפערים.
הודעה למי שמוסר לכם מידע: לשם מה המידע נאסף, למי הוא יועבר ואילו זכויות עומדות לו. אני מנסח את ההודעה ואת סעיפי ההסכמה לטפסים באתר, לחוזים ולטופסי קליטת לקוח.
תוכנת הנהלת חשבונות, שירות ענן, מוקד שירות חיצוני. כשספק מקבל גישה למידע על הלקוחות שלכם, צריך הסכם שקובע מה מותר לו לעשות בו.
ממונה חיצוני על הגנת הפרטיות לגופים שחייבים במינוי לפי תיקון 13 לחוק הגנת הפרטיות, ולעסקים שרוצים גורם קבוע שאחראי על הנושא.
מענה לפנייה או לדרישת מסמכים מהרשות, ליווי בבירור מנהלי ובהליך להטלת עיצום כספי.
מכניסים כלי AI לעבודה? צריך לבדוק איזה מידע על לקוחות מוזן אליהם, ולעדכן את מדיניות הפרטיות בהתאם.
קיבלתם מכתב דרישה או כתב תביעה בטענה לפגיעה בפרטיות? בודקים את הטענות לגופן לפני שמשלמים או עונים.
הסכם סודיות לעובדים, לספקים ולשותפים, שמגן על המידע של העסק בלי להכביד על העבודה השוטפת.
תיקון 13 לחוק הגנת הפרטיות (התשפ״ד־2024) נכנס לתוקף ב־14 באוגוסט 2025. אלה הנקודות שהכי משפיעות על עסקים (עודכן באוקטובר 2026):
אני עורך דין ומחזיק בהסמכת DPO (ממונה על הגנת הפרטיות). רוב העבודה שלי היא עם עסקים שמחזיקים מידע על לקוחות: חברות, משרדי עורכי דין, רואי חשבון ויועצי מס.
מדיניות פרטיות טובה מתחילה בשאלות: איזה מידע אתם אוספים, למה, איפה הוא נשמר ומי רואה אותו. את המסמך כותבים רק אחרי שיש תשובות, ולכן הוא מתאר את העסק שלכם ולא תבנית כללית.
המשרד שלי נמצא ברחוב התדהר 15 ברעננה. אני עובד באופן אישי עם כל לקוח, מהשיחה הראשונה ועד שהמסמכים מוכנים.
מספרים לי מה העסק עושה, מי הלקוחות שלו ואיזה מידע עובר דרכו.
בודקים יחד אילו מאגרים יש בעסק, מה נאסף בכל אחד, איפה הוא נשמר ולמי הוא מועבר.
מדיניות פרטיות, הודעות יידוע, הסכמים מול ספקים ומה שעוד נדרש לפי תיקון 13 לחוק הגנת הפרטיות.
כשהעסק מחליף תוכנה, מוסיף שירות או מקבל פנייה מהרשות, המסמכים מתעדכנים בהתאם.
מלבד הגנת הפרטיות לעסקים, המשרד מטפל בתביעות לשון הרע ובדיני משפחה: גירושין, הסכמי ממון, מזונות וחלוקת רכוש.
עורך דין הגנת הפרטיות עוזר לעסקים לעמוד בחוק הגנת הפרטיות. הוא מנסח מדיניות פרטיות, הודעות יידוע והסכמים מול ספקים, בודק מה תיקון 13 לחוק הגנת הפרטיות דורש מהעסק ומייצג אותו מול הרשות להגנת הפרטיות. הוא גם מגן על עסק שנתבע בטענה לפגיעה בפרטיות.
ברוב המקרים כן. החוק מחייב למסור הודעה למי שמתבקש למסור מידע: לשם מה המידע נאסף, למי הוא יועבר, האם חובה למסור אותו ואילו זכויות עיון ותיקון עומדות לו. הדרך המקובלת לעמוד בחובה היא הודעה קצרה במקום שבו אוספים את המידע, בטופס, בחוזה או בטופס קליטת הלקוח, עם הפניה למדיניות פרטיות מלאה. איסוף מידע בלי ההודעה חושף את העסק לתביעה של עד 10,000 ש״ח בלי הוכחת נזק, וגם לעיצום כספי.
תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב־14 באוגוסט 2025. הרשות להגנת הפרטיות מוסמכת להטיל עיצומים כספיים, וחובת היידוע הורחבה. חלק מהגופים חייבים למנות ממונה על הגנת הפרטיות, ונקבעו סוגי מידע בעל רגישות מיוחדת, ובהם נתוני שכר ופעילות פיננסית. מנגד, חובת רישום מאגרי מידע צומצמה.
לא בהכרח. החובה חלה, בין השאר, על מי שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר, ונתוני שכר ופעילות פיננסית הם מידע כזה. לפי עמדת הרשות להגנת הפרטיות אין סף כמותי אחד, ומשרד שמעבד מידע בשם לקוחות עסקיים, למשל שכר של העובדים שלהם, נבחן לפי ההיקף המצטבר של כל המאגרים שהוא מעבד עבורם. לכן צריך לבדוק כל משרד לפי מספר הלקוחות, סוגי המידע ותדירות העיבוד. גם כשאין חובה, הרשות ממליצה לשקול מינוי ממונה.
ברוב המקרים לא. מאז תיקון 13 לחוק הגנת הפרטיות, חובת הרישום נשארה בעיקר על מאגרים של גופים ציבוריים, ועל מאגרים שיש בהם מידע על 10,000 בני אדם ומעלה ושמטרתם העיקרית היא איסוף מידע אישי כדי למסור אותו לאחרים כדרך עיסוק או בתמורה, לרבות שירותי דיוור ישיר. על מאגר שיש בו מידע בעל רגישות מיוחדת על יותר מ־100,000 בני אדם צריך למסור הודעה לרשות בתוך 30 יום. מאגר שלא צריך לרשום עדיין כפוף לכל שאר החובות שבחוק.
מדיניות פרטיות לאתר מתארת מה קורה עם מידע שנאסף דרך האתר: טפסים, עוגיות וכלי מדידה. מדיניות פרטיות לעסק רחבה יותר, ומכסה גם מידע שמגיע בטלפון, במייל, בחוזים ובמערכות הפנימיות. ברוב העסקים צריך את שתיהן, ולפעמים אפשר לאחד אותן למסמך אחד.
לא. העסק שאוסף את המידע נשאר אחראי עליו גם כשהמידע נשמר אצל ספק. לכן צריך לחתום עם הספק על הסכם שקובע מה מותר לו לעשות במידע, ולוודא שהוא עומד בו.
חשוב לעמוד במועד שנקבע בפנייה, אבל לא לשלוח תשובה לפני שבודקים מה בדיוק התבקש. אוספים את המסמכים הקיימים בעסק, מנסחים תשובה מסודרת ורק אז שולחים. תשובה כזו בשלב הראשון יכולה לחסוך הליך ארוך יותר.
לא מתעלמים מהמכתב וגם לא ממהרים לשלם. קודם בודקים אם יש עילה בכלל, אם הסכום שנדרש סביר ואילו הגנות עומדות לעסק, ורק אחר כך עונים. תשובה שנכתבה בלחץ עלולה לשמש נגד העסק בהמשך.
מאמרים שכתבתי על נושאים שעולים בשיחות עם לקוחות: תיקון 13 לחוק הגנת הפרטיות, מינוי DPO, פרטיות ובינה מלאכותית והתנהלות מול הרשות.
ספרו בקצרה מה העסק עושה ואיזה מידע הוא שומר, ואחזור אליכם. אפשר גם להשאיר פרטים בטופס שבראש העמוד.
