דרישות משפטיות לאתרים ואפליקציות: ישראל

ישראל שינתה את משטר הפרטיות שלה ב-14 באוגוסט 2025, עם כניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות — תיקון שהביא עימו הגדרות בסגנון GDPR, חובת מינוי ממוני הגנת פרטיות ואבטחת מידע לקטגוריות מוגדרות של ארגונים, חובת רישום מאגרי מידע מצומצמת יותר, ולראשונה, רשות אכיפה עם סמכויות להטלת עיצומים מינהליים המגיעים למיליוני שקלים. סביב זה קיימים שלושה כללים שיוצרים תביעות נגד אתרים ישראליים מזה שנים: חוק הספאם, עם פיצויים סטטוטוריים של עד 1,000 ש"ח להודעה ללא הוכחת נזק; כללי הגילוי וביטול העסקה בתוך 14 ימים במכר מרחוק; ונגישות אתרים, שבה שירותים כפופים נדרשים להעריך עמידה בתקן ישראלי 5568, הצהרות נגישות ופטורים. הערך את חובות הפרטיות, השיווק, הגנת הצרכן והנגישות יחדיו. מה הכי קריטי תלוי במוצר, במידע ובלקוחות; מדריך זה אינו מדרג את הסבירות לתביעות. יתרון אחד שכדאי להכיר: ישראל מחזיקה בהחלטת הלימה של האיחוד האירופי, כך שמידע של לקוחות מהאיחוד יכול לזרום לשרתים ישראליים ללא מנגנוני העברה נוספים — נכס מסחרי אמיתי עבור חברות SaaS ישראליות. זהו הפרק הישראלי של צ'ק-ליסט משפטי לפני השקה שלנו. הרץ קודם את רצף הפרומפטים ההוא, ולאחר מכן הוסף את זה.

נקודות עיקריות

• תיקון 13 בתוקף מאז 14 באוגוסט 2025: הגדרות חדשות, חובות מינוי ממונים, רישום מצומצם ועיצומים מינהליים.
• נדרש ממונה הגנת פרטיות לגופים ציבוריים, מתווכי מידע העומדים בקריטריונים המעבדים מידע על יותר מ-10,000 אנשים, ארגונים המבצעים ניטור משמעותי, שיטתי וקבוע כפעילות ליבה, ארגונים שפעילות הליבה שלהם כוללת עיבוד מידע רגיש בהיקף נרחב, ובנקים, חברות ביטוח, בתי חולים וקופות חולים.
• רישום מאגרי מידע חל כעת בעיקר על גופים ציבוריים ומתווכי מידע מעל 10,000 איש; חובת הודעה נפרדת חלה על מאגרים עם מידע רגיש על יותר מ-100,000 איש.
• תקנות אבטחת מידע (2017) מחייבות מסמך אפיון מאגר, בקרת גישה, טיפול באירועים וביקורות תקופתיות, בהתאם לרמת אבטחה.
• חוק הספאם: הסכמה מראש ובכתב להודעות פרסומיות, המילה "פרסומת" בהודעה, ואפשרות הסרה באותו ערוץ. פיצויים סטטוטוריים עד 1,000 ש"ח להודעה ללא הוכחת נזק.
• מכר מרחוק: גילוי מלא לפני העסקה, אישור בכתב, וזכות ביטול של 14 ימים — מורחבת לארבעה חודשים עבור אזרחים ותיקים, עולים חדשים ואנשים עם מוגבלות בעסקאות מזכות.
• נגישות: תקן ישראלי 5568 ברמה AA הוא חובה לפי תקנה 35, ונדרשת הצהרת נגישות.

פרטיות לאחר תיקון 13

מה התיקון עשה. הוא עדכן את הגדרות חוק 1981 לנורמות בינלאומיות, ארגן מחדש את משטר הרישום, יצר חובות מינוי ממונים, וחשוב מכך — צייד את הרשות להגנת הפרטיות בסמכויות אכיפה מינהליות וקנסות כספיים שיכולים להגיע למיליוני שקלים, חלקם ללא הזדמנות לתקן תחילה.

ממונה הגנת הפרטיות. נדרש לגופים ציבוריים; מתווכי מידע העומדים בקריטריונים המעבדים מידע על יותר מ-10,000 אנשים; ארגונים שפעילות הליבה שלהם כוללת ניטור קבוע ושיטתי בהיקף משמעותי; ארגונים שפעילות הליבה שלהם כוללת עיבוד מידע רגיש בהיקף נרחב; ומוסדות פיננסיים, חברות ביטוח, בתי חולים וקופות חולים. הממונה חייב להיות עצמאי, לדווח להנהלה ולהיות בעל משאבים מספקים. רוב המוצרים הקטנים נופלים מחוץ להגדרה זו — העריך כל קטגוריה סטטוטורית במקום להניח שכל עסק מבוסס מידע חייב למנות אחד.

ממונה אבטחת מידע. הערך את חובת המינוי הסטטוטורית הנפרדת. תפקיד זה אינו זהה לתפקיד ממונה הגנת הפרטיות.

רישום והודעה. הרישום כעת מצומצם יותר: גופים ציבוריים ומתווכי מידע עם מאגרים של מעל 10,000 אנשים. חובת הודעה נפרדת לרשות חלה על מאגרים המכילים מידע רגיש על מעל 100,000 אנשים. עסקים קטנים רבים שבעבר נרשמו כבר לא צריכים — אך בדוק היכן אתה עומד במקום להניח.

הודעה בעת איסוף. כאשר אתה מבקש ממישהו מידע, עליך לציין האם מסירתו היא חובה או רשות והשלכות הסירוב, את המטרה, זהות ופרטי ההתקשרות של בעל המאגר, נמענים מיועדים והמטרות, ואת הזכויות לעיון ולבקשת תיקון. זו חובה סטטוטורית בנקודת האיסוף, לא משהו שעמוד מדיניות פותר לבדו.

הסכמה. הנחיות הרשות מתייחסות להסכמה ככזו הדורשת הבנה אמיתית ובחירה חופשית: ספציפית, מושכלת, ולא מחוברת לתנאים לא קשורים. תיבות סימון "אני מסכים לתנאים ולמדיניות הפרטיות ולקבלת שיווק" הן הכשל הקלאסי.

תקנות אבטחת מידע 2017. עדיין ספר החוקים המבצעי לאבטחה. סווג את המאגר ורמת האבטחה החלה, ואז קבע את חובות מסמך האפיון, בקרת הגישה, התיעוד, האירועים, המיקור-חוץ והביקורות. לא לכל מאגר ברמה בסיסית יש את כל דרישות הביקורת של רמה גבוהה.

זכויות. אנשים רשאים לעיין במידע המוחזק עליהם ולדרוש תיקון מידע שאינו נכון, חסר, לא ברור או לא מעודכן.

הלימה של האיחוד האירופי. ישראל מוכרת כמי שמספקת הגנה נאותה, כך שמידע אישי יכול לנוע מהאזור הכלכלי האירופי לישראל ללא אמצעי הגנה נוספים. כדאי לציין זאת במפורש בחומרי המכירות שלך אם אתה מוכר ללקוחות אירופיים.

חוק הספאם — זה שמייצר תביעות

תיקון 40 לחוק התקשורת מסדיר "דבר פרסומת" הנשלח במייל, SMS, פקס או חיוג אוטומטי.

• הסכמה מראש, בכתב (כולל אלקטרוני), היא הכלל. ההסכמה חייבת להיות ספציפית ומושכלת.
• חריג לקוח קיים מצומצם: אם השגת את הפרטים במהלך מכירה או משא ומתן, הודעת ללקוח שהפרטים ישמשו לפרסום, ונתת הזדמנות פשוטה לסרב — מותר לשלוח בנוגע למוצרים או שירותים דומים.
• כל הודעה חייבת להיות מסומנת כפרסומת, לזהות את השולח בשם ובכתובת, ולהסביר כיצד להסיר את עצמך.
• הסרה חייבת להיות זמינה באותו ערוץ שבו הגיעה ההודעה — מענה, קישור, או הודעת טקסט — וחייבת להיות פשוטה וחינמית.
• פיצויים סטטוטוריים עד 1,000 ש"ח להודעה ללא הוכחת נזק, ותביעות ייצוגיות נפוצות. זהו הכלל הדיגיטלי הנתבע ביותר בישראל.

המשמעות הפרקטית לבנייה: תיבת סימון שיווקית נפרדת ולא מסומנת, עם הנוסח המדויק שנשמר לצד חותמת זמן, ואפשרות הסרה שעובדת ללא צורך בהתחברות.

מכירה: עסקאות מרחוק

לפי חוק הגנת הצרכן, עסקת מכר מרחוק דורשת גילוי לפני העסקה: שם העסק, מספר חברה או ת.ז. וכתובת, מאפיינים עיקריים של המוצר או השירות, מחיר ותנאי תשלום, מועד ואופן אספקה, תקופת תוקף ההצעה, פרטי אחריות, וזכויות הביטול וכיצד לממשן.

לאחר העסקה, עליך לספק מסמך בכתב — בעברית, או בשפה שבה שווק המוצר — החוזר על מידע זה יחד עם שם היצרן, ארץ המקור וכל תנאי נוסף.

ביטול: בדרך כלל תוך 14 ימים מקבלת המוצר או מסמך הגילוי, המאוחר מביניהם; לשירותים, בדוק את המאוחר מבין העסקה ומסמך הגילוי והודעת השירות הספציפית וכללי התזמון. לעסקאות מזכות הכוללות אנשים עם מוגבלות, אזרחים ותיקים ועולים חדשים, החלון מתארך לארבעה חודשים. עבור ביטולי חרטה זכאים, דמי ביטול מוגבלים בדרך כלל ל-5% או 100 ש"ח, הנמוך מביניהם; פגמים, אי-התאמה או אי-אספקה יכולים לדרוש ביטול ללא דמי ביטול. קטגוריות מסוימות — מוצרים מתכלים, טובין בהזמנה אישית, תוכן דיגיטלי מסוים — מוחרגות.

מחירים חייבים להופיע בשקלים כולל מע"מ, ומידע לצרכן צריך להיות בעברית.

נגישות — חובה, ונתבעת

הערך האם השירות כפוף לתקנה 35 ואיזו גרסה של תקן ישראלי 5568 חלה. פטורים תלויים בעובדות כולל סטטוס עסק, מחזור וגיל האתר; רף גורף של 100,000 ש"ח אינו אמין.

הנחיות הנציבות הנוכחיות מפרטות פטור טכני מלא לעוסק פטור או מחזור מתחת ל-120,000 ש"ח, והסדרים מותנים נוספים לדרגות מחזור אחרות. אשר את מצבך הספציפי מול הנחיות הנגישות הרשמיות; הצהרה כללית שכל מי מתחת למיליון ש"ח פטור תהיה גם היא שגויה.

ספק ערוץ התקשרות נגיש ותאר במדויק את השירות הקיים ואת הפטור אם יש. אל תמציא רכז נגישות או תטען שווידג'ט או ביקורת אוטומטית מוכיחים עמידה.

מה שטרם מוסדר

בישראל אין חוק בינה מלאכותית מחייב. קיימת עבודת מדיניות — מדיניות AI לאומית והנחיות מגזריות — והרשות להגנת הפרטיות פרסמה עמדות לגבי AI ומידע אישי, אך אין מקבילה ל-EU AI Act. אם פעילויות ה-AI שלך נופלות תחת תחולת ה-EU AI Act, חובותיו הרלוונטיות יכולות לחול; אם אתה מוכר רק בישראל, גילוי על השימוש ב-AI הוא נוהג טוב, ובמקום שבו תשובת AI עלולה להטעות צרכן, ייתכן שזה נדרש לפי חוק הגנת הצרכן ולאו דווקא חוק ה-AI.

כמו כן, אין חוק ספציפי לקבצי עוגיות (cookies). עמדת הרשות היא שעוגיות האוספות מידע אישי דורשות הסכמה, והפרקטיקה הישראלית התכנסה לבאנרים בסגנון אירופאי — העריך את הטרגוט לאירופה ואת המעקב בפועל במקום להסתמך רק על מיקום המבקר.

הפרומפט הספציפי לישראל

הרץ זאת אחרי עשרת הפרומפטים בצ'ק-ליסט הראשי:

Add Israeli compliance mechanics to this app. All user-facing text must be in Hebrew, with correct right-to-left layout. Implement each item and report exactly what changed:

1. A notice at every point of collection stating: whether provision is required or voluntary and the consequence of refusal, the purpose, the controller identity and contact details, recipients and purposes, and inspection/correction rights. Not a link to the policy — a visible line on the form. List every form and confirm each has one.
2. Separate contract acceptance, privacy information and optional marketing permission. Do not require a blanket privacy-consent checkbox simply to acknowledge the notice. Where a specific processing purpose requires consent, provide a separate informed choice. Keep marketing optional and unticked, and record wording, time and version.
3. Marketing messages: mark every advertising email or SMS as an advertisement, include the sender name and address, and provide an opt-out in the same channel that works without logging in and takes effect immediately. Log every opt-out with its timestamp.
4. A privacy policy in Hebrew stating what is collected, the purpose of each collection, who receives it, retention periods, security measures in general terms, the right to review and correct information, and a contact channel. Use placeholders [[LEGAL ENTITY]], [[COMPANY NUMBER]], [[ADDRESS]], [[CONTACT EMAIL]] where you cannot know the fact.
5. A database inventory: list every store of personal information in this app, what it contains, who can access it, and whether any of it is sensitive information — health, financial, biometric, political or religious views, sexual orientation, or data about minors. I need this for the database definition document.
6. Access control review: confirm each user account can only reach its own records, that admin actions are enforced server-side, that access is logged, and that no shared credentials exist.
7. If we sell: pre-contract disclosure showing business name, company number, address, main characteristics, total price in shekels including VAT, delivery time and method, warranty and cancellation rights; an automatic Hebrew confirmation document sent after purchase containing the same details; and a cancellation flow in the account area that works in at most two clicks.
8. An accessibility pass against WCAG 2.1 Level AA, plus a Hebrew accessibility statement page linked from the footer of every page with placeholders for the accessibility coordinator's name and contact.

For each item report PASS or explain what blocked it. Do not invent legal citations in user-facing text.
העתק פרומפט

צ'ק-ליסט לפני השקה — ישראל

• הודעה בעת איסוף בכל טופס: חובה או וולונטרית, מטרה, נמענים
• אישור חוזה, הודעת פרטיות והרשאת שיווק אופציונלית מופרדים; הסכמות נדרשות מתועדות לפי מטרה
• מדיניות פרטיות בעברית עם מטרות, נמענים, שמירה ונתיב תיקון
• הודעות שיווק מסומנות כפרסומות עם הסרה באותו ערוץ
• מלאי מאגר מידע ערוך; מסמך אפיון מאגר מידע מוכן לפי תקנות האבטחה
• חובות מינוי ממונים נבדקו (ממונה פרטיות / ממונה אבטחת מידע)
• חובת רישום או הודעה נבדקה מול ספי תיקון 13
• בקרת גישה מאומתת: ללא קריאה צולבת בין משתמשים, אכיפת מנהל בצד השרת, תיעוד
• מכירה: גילוי מלא טרום-חוזי, מסמך אישור בעברית, ביטול 14 יום, הגבלת עמלות מכובדת
• נגישות לפי תקן 5568 AA (או פטור מתועד) בתוספת הצהרת נגישות מפורסמת

מה בדיקות הבנייה קובעות

הפרומפטים הם בקשות יישום, לא הסמכה משפטית. בקרות של שתי לחיצות וברירות מחדל של הסכמה תחילה הן בחירות עיצוביות פרקטיות, לא דרישות סטטוטוריות אוניברסליות. אשר סמכות שיפוט, חריגים, שמירה וחוזים עם ספקים בנפרד. אשר בקרות עם חשבונות בדיקה והתנהגות דפדפן/רשת אמיתית; PASS של בונה המבוסס רק על בדיקת קוד הוא ראיה חלקית.

מקורות רשמיים והיקף סקירה

עודכן ב-14 בספטמבר 2026. המקורות המקושרים תומכים בהיקף ובתיקונים הנדונים כאן; זו סקירה מערכתית, לא חוות דעת משפטית ממצה או הסמכה של המוצר שלך. בדוק את הכלל המבצעי בעת פעולה.

• שאלות ותשובות על תיקון 13 לרשות להגנת הפרטיות
• מדריך מקצועי לתיקון 13
• פטורים מנגישות של הנציבות

בישראל, פרטיות, שיווק ונגישות זקוקים לבדיקות היקף נפרדות. הרץ את הצ'ק-ליסט לפני השקה, ואז את הפרומפט לישראל לעיל. מוכר גם בחו"ל? ראה ארצות הברית, האיחוד האירופי, הממלכה המאוחדת, קנדה, אוסטרליה וברזיל. אתה יכול לבנות את זה.