תיקון 13 לחוק הגנת הפרטיות במשרד עורכי דין

התיקון הוא חלק מהתמונה הרחבה של כללי האתיקה בפרסום עורכי דין. הכללים קובעים מה מותר לפרסם, ותיקון 13 קובע מה מותר לעשות במידע של מי שהגיב לפרסום. הוא נכנס לתוקף ב־14 באוגוסט 2025, והרשות להגנת הפרטיות קיבלה איתו סמכות להטיל עיצומים כספיים בלי הליך פלילי.

מה השתנה, ולמה זה נוגע למשרד שמשווק

התיקון ריכז את ההגדרות בסעיף 3 לחוק והרחיב אותן. כמה מהן משנות את התמונה למשרד:

• מידע אישי הוא כל נתון על אדם מזוהה או שאפשר לזהות, כולל מזהה מקוון. כלומר גם מזהים של כלי מדידה ופרסום באתר.
• מאגר מידע הוא מידע אישי שמעובד באמצעי דיגיטלי. יש חריג לאוסף של שם, כתובת ודרכי התקשרות בלבד על עד 100,000 איש, אבל מערכת פניות של משרד מחזיקה גם תיאור של הבעיה המשפטית, ולכן החריג כמעט לא יחול.
• בעל שליטה הוא מי שקובע למה המידע מעובד, כלומר המשרד. מחזיק הוא גורם חיצוני שמעבד מידע עבורו, כמו סוכנות שיווק, מוקד טלפוני או ספק CRM.
• מידע בעל רגישות מיוחדת כולל בין היתר מידע על צנעת חיי המשפחה, מידע רפואי, עבר פלילי, נתוני שכר ופעילות פיננסית, ומידע שחלה עליו חובת סודיות לפי דין.

הסעיף האחרון חשוב במיוחד לעורכי דין. פנייה של אדם שמתגרש, שנחקר במשטרה או שנפגע בתאונה מכילה בדרך כלל בדיוק את סוג המידע הזה. הקריאה שלנו היא שגם חובת הסודיות של עורך הדין נכנסת להגדרה, אבל לא מצאנו פסיקה שמאשרת זאת. בכל מקרה, הנחת העבודה הבטוחה היא שפניות למשרד הן מידע רגיש.

מה חייב להופיע ליד טופס פנייה

סעיף 11 לחוק מחייב לתת הודעה בכל פעם שמבקשים מאדם מידע אישי למאגר. ההודעה צריכה לכלול:

1. אם החובה למסור את המידע היא לפי חוק או שזה מרצון, ומה המשמעות של סירוב.
2. למה המידע נאסף.
3. שם בעל השליטה ודרכי ההתקשרות איתו.
4. למי המידע יועבר ולמה.
5. הזכות לעיין במידע ולבקש לתקן אותו.

החובה חלה על טופס באתר, על צ׳אט, על פנייה בוואטסאפ ועל שיחה שבה מישהו במשרד רושם פרטים. ליד טופס פנייה יכול לעבוד נוסח קצר כמו זה שלמטה, בתנאי שהוא מפנה למדיניות פרטיות מלאה.

מסירת הפרטים מרצון, והם ישמשו רק כדי לחזור אליכם בנוגע לפנייה. בלי שם וטלפון לא נוכל לחזור אליכם. הפרטים נשמרים אצל [שם המשרד, כתובת, טלפון] ובמערכת ניהול הפניות שלנו, ולא יועברו לאחרים. אפשר לעיין בהם ולבקש לתקן אותם. פרטים מלאים במדיניות הפרטיות.

זו דוגמה, לא נוסח משפטי מחייב. הנוסח הסופי צריך לשקף את מה שהמשרד באמת עושה במידע. אם הפרטים עוברים לספק CRM או למוקד, המשפט ״לא יועברו לאחרים״ לא נכון, וצריך לכתוב למי הם עוברים ולמה.

כל ערוץ שבו נאספים פרטים צריך הודעה משלו, במקום שבו הפונה מוסר אותם:

בטלפון זה יכול להישמע כך. ״אני רושמת את השם, הטלפון ותיאור קצר של הנושא כדי שעורך הדין יחזור אליך. הפרטים נשמרים אצלנו במשרד, ואפשר לבקש לראות או לתקן אותם.״ את הנוסח לוואטסאפ ואת ההגדרות שלו פירטנו במדריך וואטסאפ עסקי למשרד עורכי דין, ואת השאלות שעולות כשבוט עונה לפונים בעמוד על AI וסודיות במשרד עורכי דין.

הגבלת המטרה, ומה זה אומר לשיווק

סעיף 8 קובע שמותר לעבד מידע רק למטרה החוקית של המאגר, ושאסור לעבד מידע שנאסף שלא כדין. בפועל, פרטים שנמסרו כדי לקבל ייעוץ בתיק גירושין לא הופכים אוטומטית לרשימת תפוצה לניוזלטר. סעיף 2(9) לחוק מגדיר שימוש בידיעה על ענייניו הפרטיים של אדם שלא למטרה שלשמה נמסרה כפגיעה בפרטיות, כלומר זו לא רק הפרה מנהלית אלא גם עילה לתביעה.

הרשות פרסמה ב־24 בפברואר 2025 טיוטת גילוי דעת על הסכמה. לפי הסיכום של משרד שיבולת, הטיוטה קובעת ששתיקה או היעדר התנגדות לא מלמדים בדרך כלל על הסכמה, ושדיוור ישיר צריך הסכמה אקטיבית. היא גם קובעת שכשיש פער כוחות או סיכון גבוה לפרטיות, חובת היידוע מוגברת. אדם שפונה לעורך דין באמצע גירושין או חקירה הוא בדיוק המצב הזה. לא מצאנו נוסח סופי של גילוי הדעת, אבל הכיוון ברור. ההמלצה שלנו היא שההסכמה לניוזלטר תהיה תיבה נפרדת שלא מסומנת מראש, ושליחה בפועל כפופה גם לחוק הספאם ודיוור של משרד עורכי דין.

שתי השלכות נוספות של סעיף 8 נוגעות לשיווק:

• פניות ממקור חיצוני. סעיף 8(ד) אוסר לעבד מידע שנאסף בניגוד לחוק. מי שקיבל מידע מגורם אחר ולא ידע ולא היה עליו לדעת שהגורם פעל שלא כדין, לא אחראי לעיבוד שעשה לפני שידע. מרגע שהוא יודע, ההגנה הזו נגמרת. על ספקי לידים ועל מה שצריך לבדוק אצלם כתבנו בעמוד רכישת לידים לעורכי דין.
• כלי מדידה. אירוע המרה יכול להיקרא ״טופס נשלח״, אבל לא ״פנייה בנושא משמורת ילדים״. את ההגדרות פירטנו במדריך מעקב המרות למשרד עורכי דין.

תקנות אבטחת המידע מחייבות גם לבדוק אחת לשנה אם נשמר מידע רב מהנדרש למטרות המאגר. פניות שלא הפכו לתיקים לא צריכות להישמר לנצח. קובעים תקופה, מוחקים, ומתעדים שהבדיקה נעשתה.

רמת האבטחה שחלה על מאגר הפניות

תקנות אבטחת המידע משנת 2017 מחלקות מאגרים לרמות. מאגר שיש בו מידע על חיים פרטיים, מידע רפואי, עבר פלילי או מצב כלכלי הוא ברמה בינונית. אם יש בו מידע על 100,000 אנשים ומעלה, או שיש יותר מ־100 בעלי הרשאה, הוא ברמה גבוהה. יש חריג שמחזיר מאגר לרמה בסיסית, בין היתר כשמספר בעלי ההרשאה לא עולה על עשרה.

יש עוד קטגוריה, הקלה מכולן, של ״מאגר המנוהל בידי יחיד״ שבו עד שני בעלי הרשאה נוספים. עורך דין עצמאי עלול להניח שהוא נמצא בה, אבל ההגדרה בתקנות מחריגה ממנה במפורש מאגר שכולל מידע שבעל המאגר כפוף בגללו לחובת סודיות מקצועית לפי דין או לפי כללי אתיקה. מאגר הפניות של עורך דין הוא בדיוק כזה, ולכן גם משרד של אדם אחד נמצא לפחות ברמה הבסיסית.

את בעלי ההרשאה סופרים ״אצל בעל השליטה״, כלומר עורכי הדין, המתמחים והמזכירות שקיבלו גישה מהמשרד. לפי ההגדרה בתקנה 1, מחזיק שאינו אדם פרטי, ועובדים שקיבלו גישה מטעם מחזיק, לא נחשבים בעלי הרשאה של המשרד. עובדי הסוכנות או ספק ה־CRM לא נכנסים למניין העשרה, אבל החוזה איתם צריך לעמוד בתקנה 15. משרד שקרוב לעשרה כדאי שיצמצם הרשאות. משתמש שלא נכנס למערכת חצי שנה לא צריך גישה.

מה כל רמה מחייבת, בטבלה

תקנה 21 קובעת אילו תקנות חלות על כל רמה. אלה החובות שרלוונטיות למאגר פניות:

ההבדל המעשי בין הרמות הוא בעיקר בתיעוד ובבקרה. משרד ברמה בסיסית צריך מסמכים, הרשאות וחוזים. משרד ברמה בינונית צריך גם מערכת שרושמת מי נכנס ומתי, אמצעי זיהוי פיזי ככל האפשר, וביקורת פנימית או חיצונית כל שנתיים בידי מי שאינו ממונה האבטחה של המאגר. את ההגדרות שמתורגמות מהתקנות למערכת CRM פירטנו במדריך CRM לעורכי דין.

כשסוכנות, מוקד או CRM מטפלים בפניות

כמעט כל משרד שמשווק עובד עם ספקים שנוגעים במידע: מערכת CRM, מוקד שעונה לשיחות, כלי וואטסאפ עסקי, וסוכנות שמנהלת קמפיינים וטפסים. כולם מחזיקים לפי החוק, וסעיף 17 קובע שבעל השליטה והמחזיק אחראים כל אחד לאבטחת המידע. תקנה 15 לתקנות האבטחה מחייבת את המשרד:

• לבדוק סיכונים לפני ההתקשרות.
• לחתום על חוזה שמפרט איזה מידע הספק מקבל ולאיזו מטרה, לאילו מערכות הוא ניגש, איזה עיבוד מותר, לכמה זמן, מה קורה למידע בסוף ההתקשרות, מה חובות האבטחה שלו, ושעובדיו התחייבו לסודיות.
• לקבל דיווח מהספק לפחות פעם בשנה, ובכל אירוע אבטחה.
• לפקח על עמידת הספק בחוזה.

כך נראית רשימת הסעיפים שתקנה 15(א)(2) דורשת, מול מה שכדאי לכתוב בחוזה עם סוכנות שמנהלת טפסים וקמפיינים:

שתי הערות על התקנה. היא לא חלה על התקשרות עם יחיד, אבל סעיף 17 ממשיך לחול, ולכן כדאי חוזה גם עם פרילנסר שמנהל את הטפסים. והרשות יכולה להטיל עיצום על הספק עצמו בשל הפרת תקנות האבטחה. במקרה כזה היא מודיעה למשרד ומורה לו לפעול להפסקת ההפרה, ואם המשרד לא פועל, העיצום יכול להיות מוטל עליו כאילו הוא המפר.

זה גם מה שכדאי לדרוש מכל סוכנות שיווק, כולל מאיתנו. שאלה טובה לשאול לפני שחותמים היא איפה נשמרות הפניות, מי רואה אותן, והאם תוכן של פנייה מגיע אי פעם לכלי פרסום. את המבנה שאנחנו ממליצים עליו פירטנו בעמוד ניהול פניות למשרד עורכי דין. אצלנו המודעות רצות בשם המשרד, והמשרד מאשר כל מודעה לפני שהיא עולה.

דליפה, פריצה או פנייה שנשלחה לנמען הלא נכון

תקנה 11 מגדירה אירוע אבטחה כמקרה שמעלה חשש לפגיעה בשלמות המידע, לשימוש בו בלי הרשאה או לחריגה מהרשאה. בכל רמה, גם בסיסית, המשרד צריך לתעד כל אירוע כזה ולקבוע בנוהל האבטחה מה עושים כשהוא קורה. דוגמאות שמתאימות למשרד הן מייל עם רשימת פניות שנשלח לנמען לא נכון, עובד שעזב ועדיין נכנס למערכת, טלפון של עורך דין עם וואטסאפ המשרד שאבד.

במאגר ברמה בינונית יש חובה נוספת. אירוע אבטחה חמור, כלומר שימוש לא מורשה בחלק מהותי מהמאגר או פגיעה בשלמות של חלק מהותי ממנו, מחייב הודעה מיידית לרשות ודיווח על הצעדים שננקטו. ברמה גבוהה כל שימוש לא מורשה נחשב חמור.

כמה מהר זה ״מיידי״ התברר ביולי 2026, בעיצום הראשון שהרשות הטילה מאז כניסת התיקון לתוקף. לפי עדכון של משרד שיבולת, קופת חולים מאוחדת גילתה בנובמבר 2025 אירוע שאפשר גישה לא מורשית למידע רפואי, ודיווחה לרשות כחודשיים אחר כך, אחרי שסיימה בדיקות ותיקנה את התקלה. הרשות הטילה עליה 256,000 ש״ח, וקבעה שחובת הדיווח קמה עם היוודע האירוע. לפי עמדתה, לא מחכים לסוף הבדיקות. מוסרים דיווח ראשוני לפי מה שידוע, ומשלימים אחר כך.

למשרד זה אומר להחליט מראש, בנוהל האבטחה, מי מחליט אם אירוע חמור, מי מדווח, ותוך כמה שעות. וכשהמחזיק הוא זה שגילה את האירוע, החוזה צריך לחייב אותו להודיע למשרד מיד, כי הספירה של המשרד מתחילה כשהוא יודע.

בקשות עיון, תיקון ומחיקה

כל אדם זכאי לעיין במידע האישי עליו שמוחזק במאגר, בעצמו או דרך מי שהוא הרשה בכתב, לפי סעיף 13. אם המידע אינו נכון, שלם, ברור או מעודכן, הוא רשאי לבקש לתקן או למחוק אותו לפי סעיף 14. המשרד שמסרב צריך להודיע על הסירוב, והפונה יכול לפנות לבית המשפט.

למשרד עורכי דין יש בסעיף 13(ג1) הוראה שרוב העסקים לא צריכים. לפי לשון הסעיף, אין חובה למסור מידע בניגוד לחיסיון שנקבע בדין, כולל הלכה פסוקה, אלא אם המבקש הוא מי שהחיסיון נועד לטובתו. נניח שהצד השני בתיק גירושין מבקש לעיין במה שהמשרד שומר עליו. החיסיון שייך ללקוח, ולכן מה שנמסר במסגרת הייעוץ ללקוח לא נמסר לצד השני. זו הקריאה שלנו את הסעיף, ובמקרה אמיתי כדאי לבדוק אותה לגופו.

כשהמידע שמור אצל ספק, סעיף 13א מורה למשרד להפנות את המבקש לספק ולהורות לו בכתב לאפשר עיון. ספק שקיבל בקשה ישירות צריך להגיד למבקש אם יש לו מידע עליו, ומי בעל השליטה. זו עוד סיבה לכתוב בחוזה עם הספק איך מטפלים בבקשות כאלה.

זכות למחוק מידע נכון רק משום שהפונה ביקש קיימת בחוק במאגר שמשמש לדיוור ישיר, לפי סעיף 17ו, ושם יש 30 יום להודיע לפונה בכתב שהבקשה בוצעה, ואחריהם הוא רשאי לפנות לבית משפט השלום.

רישום מאגר וממונה הגנת פרטיות

רישום. אחרי התיקון, חובת רישום מאגר נשארה בעיקר לגופים ציבוריים ולמאגרים שעיקר מטרתם העברת מידע לאחרים, כמו שירותי דיוור, מעל 10,000 איש. משרד עורכי דין רגיל לא צריך לרשום את מאגר הפניות. מאגר עם מידע רגיש במיוחד על יותר מ־100,000 אנשים צריך הודעה לרשות בתוך 30 יום, כולל עותק של מסמך הגדרות המאגר.

ממונה הגנת פרטיות. החובה חלה בין היתר על ארגון שעיסוקו העיקרי כולל עיבוד מידע רגיש במיוחד בהיקף ניכר. גילוי הדעת של הרשות מ־14 ביולי 2026 לא קבע סף מספרי ולא התייחס למשרדי עורכי דין. לפי הסיכום של משרד גורניצקי, ההיקף נבחן לפי מספר האנשים, היקף המידע וסוגיו, משך העיבוד ותדירותו. הממונה יכול להיות עובד או נותן שירות חיצוני, אבל רק אדם ולא חברה. משרד קטן כנראה לא חייב. משרד גדול שמתמחה בתחומים רגישים צריך לבדוק.

תפקיד אחר הוא ממונה אבטחת מידע, לפי סעיף 17ב. מינוי כזה חובה בעיקר לגופים ציבוריים, לבנקים ולחברות ביטוח, ולמי שמחזיק חמישה מאגרים שחייבים ברישום או בהודעה. משרד עורכי דין רגיל לא נמצא ברשימה.

כמה עולה הפרה

לפי החוק והמדריך של הרשות, אלה חלק מהעיצומים שחלים על מאגר כמו מאגר פניות של משרד:

הסכומים מתעדכנים לפי המדד ב־1 בינואר בכל שנה, והנוסח המעודכן של החוק מציג את סכומי 2026. למשל 20,000 ש״ח הם 20,470 ש״ח ב־2026, ו־80,000 ש״ח הם 81,890 ש״ח.

לעסקים קטנים יש תקרות, שמפורטות בסעיף הבא. עיצום שעולה על 5% ממחזור העסקאות של המפר יופחת ל־5%, אבל רק אם המפר ביקש זאת והגיש אישור על המחזור. משרד עם מחזור של 900,000 ש״ח, למשל, לא ישלם יותר מ־45,000 ש״ח על עיצום, סכום נמוך מהתקרה לעסק זעיר.

איך מחושב עיצום, שלוש דוגמאות

התוספת החמישית לחוק קובעת שתי שכבות הקלה. הראשונה היא הפחתות לפי התנהגות המפר:

• 20% אם לא הוטל עליו עיצום על אותה הוראה בחמש השנים הקודמות, או 10% אם לא הוטל בשלוש השנים הקודמות.
• 30% אם הפסיק את ההפרה מיוזמתו ודיווח עליה לרשות.
• 20% אם נקט צעדים למניעת הישנות ולהקטנת הנזק.
• עד 30% בשל פיצוי ששילם על אותן הפרות.

ההפחתות מצטברות, עד 70% לכל היותר. השכבה השנייה היא תקרה לעסק זעיר, שהמחזור שלו בשנה שלפני ההפרה עד 4 מיליון ש״ח, ולעסק קטן, שהמחזור שלו בין 4 ל־10 מיליון ש״ח. לרוב ההפרות שרלוונטיות למשרד, כולל חובת היידוע, עיבוד שלא כדין, הרשאות, אירועי אבטחה וחוזים עם ספקים, התקרה היא 50,000 ש״ח לעסק זעיר ו־100,000 ש״ח לעסק קטן. להפרות אחרות, כמו רשימת מערכות, הדרכות וסירוב לבקשת עיון, התקרה היא 20,000 ו־40,000 ש״ח. עסק זעיר או קטן שהפר כמה הוראות לא ישלם יותר מהתקרה הגבוהה מביניהן. את ההקלה הזו מקבלים רק בבקשה, עם אישור של רואה חשבון או יועץ מס מייצג על המחזור, בתוך 30 יום מקבלת ההודעה על כוונת החיוב.

דוגמה 1. טופס באתר בלי הודעה. במאגר 3,000 פניות, וכולן מכילות מידע רגיש במיוחד. החישוב הוא 3,000 כפול 4 ש״ח, כלומר 12,000 ש״ח. זה פחות מהמינימום למידע רגיש, ולכן העיצום הוא 40,000 ש״ח. אם זו הפעם הראשונה (20%), המשרד תיקן את הטופס מיוזמתו ודיווח (30%) וקבע נוהל שמונע הישנות (20%), ההפחתה מגיעה לתקרה של 70%, והעיצום יורד ל־12,000 ש״ח.

דוגמה 2. ניוזלטר מרשימת הפניות. אותן 3,000 פניות צורפו לניוזלטר בלי הסכמה, והסכום תלוי בסיווג. אם הרשות רואה בזה עיבוד למטרה שאינה כדין, החישוב הוא 3,000 כפול 8 ש״ח, כלומר 24,000 ש״ח. זה פחות מהמינימום, ולכן הסכום הבסיסי הוא 200,000 ש״ח. משרד שהמחזור שלו עד 4 מיליון ש״ח ושהגיש בקשה עם אישור המחזור ישלם לכל היותר 50,000 ש״ח, ומשרד שלא ביקש ישלם את הסכום המלא אחרי הפחתות. אם הרשות רואה בזה חריגה ממטרת המאגר, במצב שבו היה אפשר לקבוע מטרה כזו כדין, חל סעיף 23כו(ו), והסכום הוא של פרט 1 בתוספת השלישית, 40,000 ש״ח במאגר ברמה בינונית ו־2,000 ש״ח ברמה בסיסית. ועל אותן הודעות חל גם חוק הספאם, עם פיצוי של עד 1,000 ש״ח לכל הודעה בתביעה של הנמען.

דוגמה 3. סוכנות בלי חוזה. משרד עם 15 אנשים שניגשים למערכת הפניות נמצא ברמה בינונית. ההתקשרות עם הסוכנות לא כוללת את הסעיפים של תקנה 15, והעיצום הוא 80,000 ש״ח. אם המשרד הוא עסק זעיר, התקרה מורידה אותו ל־50,000 ש״ח. משרד של שמונה אנשים ברמה בסיסית היה עומד מול 4,000 ש״ח על אותה הפרה.

הדוגמאות מראות שהמספר שקובע הוא לרוב המינימום ולא החישוב לפי אדם, ושהרמה של המאגר משנה את הסכום פי 20. הן לא מחליפות ייעוץ. בחיפוש שערכנו באוקטובר 2026 לא מצאנו עיצום שפורסם נגד משרד עורכי דין.

מה קורה מרגע שהרשות פונה

הרשות לא שולחת דרישת תשלום בהפתעה. כשיש לה יסוד סביר להניח שהייתה הפרה, היא שולחת הודעה על כוונת חיוב עם פירוט ההפרה והסכום. מרגע זה יש למשרד 45 ימים לטעון בכתב או בעל פה, ובתוך 30 יום צריך להגיש את אישור המחזור אם רוצים את התקרה לעסק קטן. אם המשרד לא טען בזמן, ההודעה נחשבת לדרישת תשלום. על דרישת תשלום אפשר לערער לבית המשפט בתוך 45 ימים.

במקום עיצום, הרשות יכולה למסור התראה מינהלית בנסיבות שקבע שר המשפטים, ותקנות ההתראה המינהלית פורסמו ב־2026. התראה היא לא סוף העניין. מי שממשיך להפר אחריה נחשב מפר בהפרה נמשכת, ומי שחוזר על ההפרה בתוך שנתיים נחשב מפר בהפרה חוזרת.

ההפרות האלה מייקרות את העיצום מהר. בהפרה נמשכת מתווסף אחוז אחד מהעיצום לכל יום שבו היא נמשכת אחרי דרישת התשלום. בהפרה חוזרת בתוך שנתיים מתווסף סכום שווה לעיצום המקורי. טופס שנשאר בלי הודעה 30 יום אחרי דרישת תשלום של 40,000 ש״ח מוסיף 12,000 ש״ח. ולכן הצעד הראשון אחרי כל פנייה של הרשות הוא לתקן, ורק אחר כך לטעון.

תביעות של פונים, לא רק עיצומים

העיצום הוא הסיכון שמדברים עליו, אבל הסיכון הקרוב יותר למשרד הוא תביעה של הפונה עצמו, שפנה למשרד בעניין רגיש.

• פיצויים לדוגמה לפי סעיף 15א. עד 10,000 ש״ח להפרה, בלי הוכחת נזק, על הודעה חסרה לפי סעיף 11 אחרי דרישה ו־30 יום, על סירוב לעיון ועל אי טיפול בבקשת תיקון. אדם לא יקבל פיצוי כזה יותר מפעם אחת על אותו מעשה.
• פגיעה בפרטיות לפי סעיפים 2 ו־4. הפרת חובת סודיות לגבי ענייניו הפרטיים של אדם, ושימוש בידיעה שלא למטרה שלשמה נמסרה, הן פגיעה בפרטיות ועוולה אזרחית. סעיף 29א מאפשר פיצוי של עד 50,000 ש״ח בלי הוכחת נזק, סכום שמתעדכן לפי המדד, וכפל הסכום אם הוכחה כוונה לפגוע.
• סודיות של מי שעובד עם המאגר. סעיף 16 אוסר על עובד, מנהל או מחזיק של מאגר לגלות מידע שהגיע אליו בתפקידו, והעונש על כך עד חמש שנות מאסר. זה חל גם על עובדי הסוכנות והמוקד, וטוב שהם יידעו את זה.

לעורך דין יש כאן שכבה נוספת, כי מה שנמסר בפנייה כפוף גם לחובת הסודיות המקצועית ולכללי האתיקה של הלשכה. דליפה של פניות היא קודם כל בעיה מול הפונה ומול הלשכה, ורק אחר כך מול הרשות.

מסמך הגדרות המאגר, תבנית למשרד

תקנה 2 מחייבת כל משרד, גם ברמה הבסיסית, להחזיק מסמך הגדרות מאגר. העיצום על היעדרו הוא 2,000 ש״ח ברמה בסיסית ו־40,000 ש״ח ברמה בינונית. אלה שבעת הפרטים שהתקנה דורשת, עם דוגמה למאגר פניות:

את המסמך מעדכנים בכל שינוי משמעותי, למשל כשמחליפים ספק CRM או מוסיפים ערוץ פניות, ובוחנים פעם בשנה אם המידע שנשמר רב מהנדרש. התיעוד של הבדיקה השנתית הוא חובה בפני עצמה.

רשימת בדיקה למשרד

1. ליד כל טופס, צ׳אט וקישור לוואטסאפ יש הודעה קצרה עם קישור למדיניות פרטיות.
2. מדיניות הפרטיות כוללת את כל חמשת הפרטים של סעיף 11, כולל שמות הספקים שמקבלים את הפרטים.
3. מי שעונה לטלפון יודע מה להגיד כשהוא רושם פרטים.
4. רשימת תפוצה נבנית רק מהסכמה נפרדת ומתועדת, לא מפניות.
5. נקבעה תקופת שמירה לפניות שלא הפכו לתיקים, והבדיקה השנתית מתועדת.
6. יש חוזה כתוב עם כל ספק שנוגע בפניות, לפי תקנה 15, כולל חובה להודיע מיד על אירוע.
7. ידוע מי ניגש למערכת הפניות, וכמה אנשים, ולכן ידוע איזו רמת אבטחה חלה.
8. כלי מדידה ופרסום באתר מופיעים במדיניות הפרטיות, ולא מקבלים את תוכן הפניות.
9. יש מסמך הגדרות מאגר ונוהל אבטחה, גם במשרד של אדם אחד.
10. הוחלט מראש מי מדווח לרשות על אירוע אבטחה, ותוך כמה זמן.
11. יש תשובה מוכנה לבקשת עיון, תיקון או מחיקה, ומי מטפל בה.

בדיקת משפך הפניות שלנו עוברת גם על הטפסים וההודעות באתר, ומסמנת מה חסר.

המידע בעמוד הזה כללי ואינו ייעוץ משפטי או חוות דעת אתית. הוא נכתב על ידי צוות Reboost על בסיס לשון החוק, הכללים וההחלטות שפורסמו בעלוני האתיקה של לשכת עורכי הדין. בשאלה על מקרה מסוים כדאי לפנות לוועדת האתיקה של המחוז.

מקורות

• חוק הגנת הפרטיות, התשמ״א 1981 (נוסח מעודכן, כולל פרק ד׳3 והתוספות השלישית והחמישית)
• הרשות להגנת הפרטיות, מדריך מקצועי לתיקון 13
• הרשות להגנת הפרטיות, חובת היידוע לאחר תיקון 13
• תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז 2017
• גורניצקי, גילוי הדעת של הרשות על מינוי ממונה הגנת פרטיות (2026)
• שיבולת, העיצום הראשון של הרשות להגנת הפרטיות לאחר תיקון 13 (יולי 2026)
• שיבולת, טיוטת גילוי הדעת של הרשות בעניין הסכמה (פברואר 2025)

צוות Reboost · עודכן לאחרונה ב־22.10.2026