נתונים ופרטיות: ישראל (2026)
בישראל קיימת מערכת מקיפה להגנת נתונים, הדומה ל-GDPR, המבוססת על חוק הגנת הפרטיות משנת 1981 ותקנות הגנת הפרטיות (אבטחת נתונים) משנת 2017. תיקון 13, שנכנס לתוקף ב-14 באוגוסט 2025, הגדיר מחדש מושגי מפתח (נתונים אישיים, בעל השליטה/מעבד הנתונים), קבע חובה למנות ממונה על הגנת נתונים (DPO), שינה באופן מקיף את הליכי הרישום, והעניק לרשות להגנת הפרטיות (PPA) סמכויות ישירות להטלת קנסות מינהליים, בהן החלה להשתמש בשנת 2026. ישראל גם נהנית מהחלטת התאמה של האיחוד האירופי, שאושרה מחדש על ידי הנציבות האירופית ב-15 בינואר 2024.
מסגרת ראשית
חוק הגנת הפרטיות, תש"א-1981, כפי שעודכן באופן משמעותי בתיקון ה-13 (שנכנס לתוקף ב-14 באוגוסט 2025); בפיקוח הרשות להגנת הפרטיות במשרד המשפטים.
נקודות מרכזיות
חוק ראשוני ורגולטור
חוק הגנת הפרטיות משנת 1981 מסדיר את עיבוד הנתונים האישיים במאגרי מידע, והוא משלים על ידי תקנות אבטחת המידע משנת 2017. הרשות להגנת הפרטיות (PPA) במשרד המשפטים היא הרשות המפקחת.
תיקון 13 בתוקף מאז אוגוסט 2025
תיקון מס' 13 (שייכנס לתוקף ב-14 באוגוסט 2025) הוא הרפורמה הגדולה ביותר זה עשרות שנים: הוא מביא את ההגדרות לקנה אחד עם המושגים שב-GDPR, מצמצם ומעדכן את דרישות רישום מאגרי המידע, מחייב מינוי ממונה על הגנת נתונים (DPO) עבור גורמים מסוימים האחראים על עיבוד נתונים או מעבדי נתונים, ומעניק לרשות להגנת הפרטיות (PPA) סמכות להטיל קנסות כספיים מנהליים ללא צורך בהליכים משפטיים.
אכיפה וסנקציות
הרשות להגנת הפרטיות (PPA) רשאית כעת להטיל קנסות מנהליים בסכומים של עד מיליוני שקלים. ביולי 2026 היא הטילה את הקנס הראשון בגין אי-דיווח על הפרה, בסך 256,000 שקלים, על קופת החולים "מואחדת"; קנס נפרד בסך 12,000 שקלים הוטל על חברת A.D Karting בגין אי-דיווח.
חובות עיקריות
על האחראים לעיבוד הנתונים להשיג הסכמה מדעת, לספק הודעות שקיפות (מטרת העיבוד, מקבלי הנתונים, השלכות הסירוב, זכויות הגישה/התיקון), ליישם את אמצעי האבטחה המדורגים הקבועים בתקנות אבטחת הנתונים, לדווח על אירועי אבטחה חמורים לרשות להגנת הפרטיות (PPA), ובמקרים שבהם חלים ספים (למשל, נתונים רגישים על יותר מ-100,000 נבדקים, ניטור שיטתי או עיבוד כפעילות ליבה) — למנות ממונה על הגנת נתונים (DPO) בעל עצמאות וקווי דיווח.
זכויותיו של בעל הנתונים
לאנשים פרטיים יש זכויות חוקיות לגישה (בעברית, באנגלית או בערבית), לתיקון ולמחיקה של נתונים לא מדויקים או מיושנים, וכן הזכות להתנגד לשימוש בנתונים לצורכי שיווק בדואר ישיר. תיקון 13 לא קבע זכות כללית לניידות או למחיקה בסגנון ה-GDPR, אך חיזק את חובות השקיפות וההודעה.
סטטוס ההכרה של האיחוד האירופי
ב-15 בינואר 2024 אישרה הנציבות האירופית מחדש את התאמתה של ישראל להעברת נתונים אישיים מה-EEA, ובכך אפשרה העברת נתונים ללא אמצעי הגנה נוספים; ההחלטה תיבדק מחדש כל ארבע שנים, והיא נותרת נושא לעתירות מצד ארגוני החברה האזרחית.
דף זה הוא תרגום שנועד לנוחות הקוראים; הגרסה האנגלית היא הגרסה המחייבת, ואין לראות בו ייעוץ משפטי.