תיקון 13 לחוק הגנת הפרטיות: מה חייב סוכן ביטוח לעשות (2026)
· 11 דקות קריאה
תיקון 13 לחוק הגנת הפרטיות מחייב כל סוכנות ביטוח בארבעה דברים עיקריים: למפות את המידע שהיא מחזיקה על לקוחות, לאבטח אותו לפי תקנות אבטחת המידע, לעדכן את נוסחי היידוע ללקוחות, ולבחון אם נדרש מינוי ממונה הגנת פרטיות. התיקון, הרפורמה המקיפה ביותר בדיני הפרטיות בישראל מאז 1981, בתוקף מ‑14 באוגוסט 2025, והוא נוגע לכם ישירות: המידע שאתם מחזיקים על לקוחות, הצהרות בריאות, נתוני שכר, פרטי פוליסות ומצב כלכלי, הוא בדיוק מה שהחוק מגדיר עכשיו 'מידע בעל רגישות מיוחדת', והרשות שאוכפת אותו קיבלה לראשונה שיניים אמיתיות: עיצומים כספיים שיכולים להגיע למאות אלפי שקלים ויותר.
החדשות הטובות: לא צריך תואר במשפטים כדי להיערך. רוב מה שהחוק דורש מסוכנות בסדר גודל ממוצע הוא סדר, נהלים ותיעוד, דברים שאפשר לסגור בכמה שבועות של עבודה ממוקדת. במדריך הזה נתרגם את התיקון לשפה של סוכנים: מה בדיוק השתנה, מה נחשב מידע רגיש אצלכם במשרד, האם אתם חייבים ממונה הגנת פרטיות, ומה עושים בפועל, צעד אחר צעד.
מה זה תיקון 13 ולמה זה רלוונטי דווקא לסוכני ביטוח?
חוק הגנת הפרטיות נחקק ב‑1981, בעולם של ארונות תיוק וטפסי נייר. תיקון 13, שאושר בכנסת באוגוסט 2024 ונכנס לתוקף שנה לאחר מכן, מיישר קו עם המציאות הדיגיטלית ועם הסטנדרטים המקובלים בעולם. שלושה שינויים גדולים עומדים במרכזו: הגדרות מעודכנות ורחבות של 'מידע' ו'מידע בעל רגישות מיוחדת', סמכויות פיקוח ואכיפה חדשות לרשות להגנת הפרטיות, כולל עיצומים כספיים משמעותיים, ומעבר ממודל של רישום מאגרים למודל של אחריותיות, שבו כל ארגון אחראי להוכיח שהוא עומד בדרישות.
ולמה דווקא אתם? כי סוכנות ביטוח, גם קטנה, יושבת על אחד מריכוזי המידע הרגישים ביותר שיש: בריאות, כסף ומשפחה של מאות או אלפי לקוחות. זה לא נעלם מעיני הרגולטורים, במקביל לתיקון, רשות שוק ההון מקדמת רגולציה ייעודית לניהול סיכוני סייבר ואבטחת מידע אצל סוכנים ויועצים. כלומר, השאלה היא לא אם הדרישות יגיעו אליכם, אלא האם תקבלו אותן מוכנים.
| נושא | לפני תיקון 13 | אחרי תיקון 13 |
|---|---|---|
| אכיפה | סמכויות מוגבלות ואכיפה מועטה בפועל. | לרשות סמכויות פיקוח, בירור מנהלי ועיצומים כספיים שמחושבים לפי מספר הלקוחות שנפגעו. |
| רישום מאגרים | חובת רישום רחבה של מאגרי מידע אצל הרשם. | רישום מצומצם בלבד; במקומו אחריותיות מלאה שלכם, וחובת הודעה למאגרים גדולים ורגישים במיוחד. |
| הגדרות | הגדרות מיושנות משנות ה‑80. | 'מידע' הוא כל נתון על אדם מזוהה או ניתן לזיהוי, וקטגוריה חדשה של 'מידע בעל רגישות מיוחדת' עם חובות מוגברות. |
| ממונה הגנת פרטיות | אין חובת מינוי. | חובת מינוי לגופים מסוימים, ובהם חברות ביטוח; לכל השאר, מומלץ, ומזכה בהפחתת עיצום. |
| חובת יידוע (סעיף 11) | יידוע בסיסי בעת איסוף מידע. | יידוע מורחב: מטרה, למי יימסר המידע, תוצאות סירוב, פרטי בעל השליטה וזכויות העיון, התיקון והמחיקה. |
מה נחשב 'מידע רגיש במיוחד' בסוכנות ביטוח?
התיקון מגדיר 'מידע' באופן רחב: כל נתון שנוגע לאדם מזוהה או לאדם שניתן לזהות במאמץ סביר, כולל דרך שם, מספר זהות, נתוני מיקום או מזהה מקוון. מעל זה נקבעה קטגוריה מחמירה של 'מידע בעל רגישות מיוחדת', שכוללת בין השאר מידע רפואי וגנטי, מידע על צנעת הפרט, נתוני שכר, עבר פלילי, מידע ביומטרי ונתוני מיקום ותעבורה. ועכשיו תסתכלו רגע על תיק לקוח ממוצע אצלכם במשרד.
- הצהרות בריאות, מסמכים רפואיים ופרטי תביעות, מידע רפואי מובהק.
- תלושי שכר, גובה הפרשות, צבירות בקרנות ומצב כלכלי, נתוני שכר ומידע פיננסי.
- פרטי משפחה, מוטבים ומצבים אישיים שעולים בשיחות, צנעת הפרט.
- הקלטות ותמלולים של שיחות עם לקוחות, שבתוכם מופיע כל האמור לעיל.
המסקנה פשוטה: כמעט כל מה שסוכנות ביטוח מחזיקה הוא לא סתם 'מידע אישי', אלא מידע מהקטגוריה המוגנת ביותר בחוק. המשמעות המעשית היא חובות מוגברות, רמת אבטחה גבוהה יותר לפי תקנות אבטחת המידע, וסכומי עיצום שמוכפלים כשההפרה נוגעת למידע רגיש במיוחד.
נקודה שחוזרת הרבה בשאלות של סוכנים: הקלטות שיחות. עצם ההקלטה כשאתם צד לשיחה היא סוגיה אחת, והרחבנו עליה במדריך נפרד, האם מותר להקליט שיחות עם לקוחות. אבל תיקון 13 מוסיף את הזווית השנייה: ברגע שההקלטה נשמרה, היא חלק ממאגר המידע שלכם, על כל החובות שנגזרות מזה, אבטחה, הגבלת גישה, ושימוש רק למטרה שלשמה נאספה. ומהכיוון ההפוך, רשות שוק ההון בכלל מחייבת אתכם לתעד את השיחות האלה, כך שהשאלה האמיתית היא לא אם לשמור, אלא איך לשמור נכון.
האם אתם חייבים למנות ממונה הגנת פרטיות?
תיקון 13 מחייב מינוי ממונה הגנת פרטיות (DPO) בשלושה סוגי גופים: גופים ציבוריים, גופים שסוחרים במידע אישי על יותר מ‑10,000 בני אדם, וגופים שעיקר פעילותם כרוך בעיבוד מידע בעל רגישות מיוחדת בהיקף ניכר או בניטור שיטתי של אנשים. ברשימה השלישית נמצאות במפורש חברות הביטוח, לצד בנקים, בתי חולים וקופות חולים, וגם מי ש'מחזיק' מידע עבור גופים כאלה עשוי להתחייב במינוי.
ומה עם סוכנות רגילה? רוב הסוכנויות הקטנות והבינוניות לא נכנסות לחובה באופן אוטומטי, אבל הן כן נדרשות לבחון את עצמן ברצינות מול הקריטריונים: כמה לקוחות, כמה מידע רגיש, והאם עיבוד המידע הוא ליבת הפעילות. סוכנות גדולה או הסדר פנסיוני עם עשרות אלפי עמיתים עשויים בהחלט לחצות את הרף. חשוב לדעת גם שהממונה לא חייב להיות עובד שלכם, אפשר למנות גורם חיצוני, ושרשות הגנת הפרטיות ממליצה על מינוי וולונטרי גם כשאין חובה. יש לזה אפילו תמריץ כספי: ארגון שמינה ממונה נהנה מהפחתה של העיצום הכספי אם בכל זאת נפלה הפרה.
מה גובה הקנסות ומי אוכף?
כאן נמצא השינוי שהופך את התיקון מ'עוד חוק' לאירוע עסקי. עד אוגוסט 2025 הרשות להגנת הפרטיות הייתה רגולטור עם סמכויות מוגבלות. היום יש לה סמכויות פיקוח ובירור מנהלי, יכולת לבקש צווים שיפוטיים להפסקת עיבוד מידע או מחיקתו, ובעיקר, סמכות להטיל עיצומים כספיים ישירות, בלי הליך משפטי ארוך.
המודל של העיצומים בנוי כך שהוא רגיש בדיוק למה שיש אצלכם במשרד: הסכומים מחושבים לפי נוסחאות שמכפילות סכום בסיס במספר האנשים שהמידע שלהם נפגע, והסכום לאדם מוכפל כשמדובר במידע בעל רגישות מיוחדת. דוגמה מהחוק עצמו: הפרת חובת היידוע בעת איסוף מידע, 50 ש"ח לכל אדם שאליו נעשתה הפנייה, ו‑100 ש"ח לאדם כשהמידע רגיש במיוחד. תכפילו ב‑2,000 לקוחות, ותקבלו סדר גודל. בהפרות חמורות, נרחבות או מתמשכות העיצומים יכולים להגיע למאות אלפי שקלים ואף למיליונים, לצד מנגנוני הקלה מסוימים לעסקים קטנים לפי מחזור שנתי.
חשוב להבין את שינוי הלוגיקה: ביטול חובת הרישום של מאגרי מידע לא אומר שירדו מכם. להפך, החוק עבר ממודל של 'תרשמו אצלנו ונבדוק' למודל של אחריותיות, אתם אחראים לעמוד בדרישות ולתעד את זה, והרשות מגיעה לבדוק בדיעבד, כשמשהו קרה או במסגרת פיקוח יזום. מי שלא ערוך, מגלה את זה בדיוק ברגע הלא נכון.
צ'קליסט: 8 צעדים לסוכנות ביטוח
אז מה עושים בפועל? הנה תוכנית עבודה מסודרת, בנויה כך שכל צעד נשען על הקודם, ולצידה שווה להחזיק את צ'קליסט הציות המלא של הקלטות, פרטיות ותיעוד. לא חייבים לסיים הכול בשבוע, אבל כדאי להתחיל השבוע:
- מפו את המידע: איזה מידע יש לכם על לקוחות, איפה הוא שמור (CRM, מייל, וואטסאפ, הקלטות, קלסרים), מי ניגש אליו ולאיזו מטרה. אי אפשר להגן על מה שלא יודעים שקיים.
- הכינו מסמך הגדרות מאגר: מסמך שמתאר את מטרות המאגר, סוגי המידע, מקורותיו והגורמים שניגשים אליו, ובדקו אם חלה עליכם חובת הודעה או רישום שנותרה בתוקף.
- עדכנו את נוסחי היידוע לפי סעיף 11: בטפסים, באתר ובשיחות, ציינו מה מטרת האיסוף, האם חלה חובה למסור מידע, למי הוא יימסר, מה קורה אם הלקוח מסרב, ומהן זכויות העיון, התיקון והמחיקה שלו.
- יישרו קו עם תקנות אבטחת המידע: סיסמאות חזקות ואימות דו‑שלבי, הרשאות גישה לפי תפקיד, הצפנה וגיבויים, ונוהל אבטחה כתוב שמתאים לרמת האבטחה שחלה על המאגר שלכם.
- סגרו הסכמים מול ספקים: כל גורם חיצוני שנוגע במידע שלכם, מערכת CRM, שירותי תמלול, רואה חשבון, מיקור חוץ, צריך להיות קשור בהסכם שמסדיר סודיות, אבטחה ושימוש במידע רק לפי הנחיותיכם.
- בחנו את שאלת ממונה הגנת הפרטיות: בדקו אם אתם עומדים בקריטריונים המחייבים, ואם לא, שקלו מינוי וולונטרי, פנימי או חיצוני, שגם משפר עמידה בדרישות וגם מזכה בהפחתת עיצום.
- הכינו נוהל לאירוע אבטחה: מי עוצר את הדליפה, מי מודיע לרשות להגנת הפרטיות כשמדובר באירוע חמור, מי מיידע לקוחות, והכול כתוב מראש, כי בזמן אמת אין זמן לאלתר.
- הדריכו את הצוות וקבעו כללי שימוש: מה מותר לשלוח בוואטסאפ, כמה זמן שומרים הקלטות וסיכומי שיחות, ולמה משתמשים בהם, רק למטרה שלשמה נאספו. הפרות מתחילות כמעט תמיד בהרגל קטן של עובד אחד.
שווה לשים לב שחלק גדול מהצ'קליסט נהיה קל בהרבה כשהמידע מרוכז במקום אחד במקום מפוזר בין פתקים, קבצים ווואטסאפ. הרחבנו על זה במדריך על CRM לסוכני ביטוח, ואם אתם רוצים לראות דוגמה לאופן שבו אנחנו עצמנו מסבירים ללקוחות איך המידע שלהם נשמר, מוזמנים להציץ במדיניות הפרטיות שלנו.
איפה גולדי נכנס לתמונה
נאמר את זה ישר: אף כלי, כולל גולדי, לא הופך אתכם באופן אוטומטי ל'עומדים בתיקון 13'. עמידה בחוק היא שילוב של נהלים, הסכמים והרגלים, והאחריות עליה נשארת אצלכם. מה שכלי עבודה טוב כן יכול לעשות הוא לתמוך בדיוק בסוג התיעוד שהחוק מצפה לו: מסודר, ממוקד מטרה, ובמקום אחד.
כך זה נראה אצל גולדי בפועל: כל שיחה מתועדת ומסוכמת באופן עקבי ונשמרת בתיק הלקוח הנכון, במקום להתפזר בין פתקים והודעות. שום הודעה לא נשלחת ללקוח בלי אישור שלכם, כך שאתם שולטים במה שיוצא מהמשרד ובשם מי. והמידע של הלקוחות שלכם נשאר שלכם, הוא משמש לתיעוד ולעבודה השוטפת מול הלקוח, למטרה שלשמה נאסף, ולא למטרות אחרות. תיעוד עקבי כזה הוא לא תעודת ביטוח מפני הרשות, אבל הוא בדיוק התשתית שסעיפי המיפוי, ההרשאות והשימוש התכליתי בצ'קליסט למעלה נשענים עליה.
שאלות נפוצות
ממתי תיקון 13 לחוק הגנת הפרטיות בתוקף?
תיקון 13 אושר בכנסת באוגוסט 2024 ונכנס לתוקף ב‑14 באוגוסט 2025, אחרי תקופת היערכות של כשנה. מאז מועד זה סמכויות האכיפה החדשות של רשות הגנת הפרטיות, ההגדרות המעודכנות והחובות החדשות, כולל בחינת הצורך בממונה הגנת פרטיות, חלות באופן מלא גם על סוכני וסוכנויות ביטוח.
האם סוכנות ביטוח קטנה חייבת למנות ממונה הגנת פרטיות?
לא בהכרח. חובת המינוי חלה על גופים ציבוריים, על מי שסוחר במידע על יותר מ‑10,000 בני אדם, ועל גופים שעיקר פעילותם היא עיבוד מידע רגיש במיוחד בהיקף ניכר או ניטור שיטתי של אנשים, ובהם, במפורש, חברות ביטוח. סוכנות קטנה לא נכנסת אוטומטית לרשימה, אבל היא מחויבת לבחון את עצמה מול הקריטריונים, בין השאר לפי היקף הלקוחות ואופי המידע. רשות הגנת הפרטיות ממליצה לשקול מינוי גם כשאין חובה, ומינוי כזה אף מזכה בהפחתה של העיצום הכספי במקרה של הפרה. במקרה גבולי, התייעצו עם עורך דין.
מה גובה הקנס על הפרה של תיקון 13?
אין סכום אחיד: העיצומים הכספיים מחושבים לפי נוסחאות שמביאות בחשבון את סוג ההפרה ואת מספר האנשים שהמידע שלהם נפגע, כשהסכום לאדם מוכפל אם מדובר במידע בעל רגישות מיוחדת. לדוגמה, הפרת חובת היידוע יכולה לגרור עיצום של 50 ש"ח לכל אדם שאליו נעשתה הפנייה, ו‑100 ש"ח כשמדובר במידע רגיש במיוחד. בפועל עיצומים יכולים להגיע למאות אלפי שקלים, ובהפרות חמורות או נרחבות אף למיליונים, לצד הקלות מסוימות לעסקים קטנים לפי מחזור.
האם מותר לשמור הקלטות שיחות עם לקוחות לפי תיקון 13?
כן, שמירת הקלטות כשלעצמה מותרת, אבל תיקון 13 מבהיר את מסגרת האחריות: הקלטה של שיחה עם לקוח מכילה כמעט תמיד מידע אישי, ולעיתים קרובות גם מידע רגיש במיוחד, כמו פרטים רפואיים או נתוני שכר. לכן צריך לשמור אותה מאובטחת, להגביל מי ניגש אליה, להשתמש בה רק למטרה שלשמה נאספה, ולא לשמור אותה מעבר לזמן הדרוש. אין לראות בכך ייעוץ משפטי, ובמקרה ספציפי מומלץ להתייעץ עם עורך דין.
האם עדיין צריך לרשום מאגר מידע אצל רשם מאגרי המידע?
ברוב המקרים לא. תיקון 13 ביטל את חובת הרישום עבור רוב הגופים במשק והותיר אותה מצומצמת, בעיקר לגופים ציבוריים ולסוחרי מידע. במקביל נקבעה חובת הודעה לרשות עבור מאגרים שמכילים מידע רגיש במיוחד על יותר מ‑100,000 בני אדם. אבל שימו לב: ביטול הרישום לא ביטל את האחריות, להפך, החוק עבר למודל שבו אתם נדרשים לעמוד בדרישות ולתעד זאת בעצמכם, גם בלי שאיש בדק אתכם מראש.