תיקון 13 לחוק הגנת הפרטיות: מה זה אומר לקבלן שיש לו רשימת לקוחות

האם קבלן שיפוצים כפוף לחוק הגנת הפרטיות?

התשובה הקצרה: כן, ובמידה גדולה יותר מבעבר. תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף באוגוסט 2025 ושינה את כללי המשחק בשלושה מישורים: הרחבת הגדרות היסוד בחוק, החלפת מודל האכיפה הפלילי-התיאורטי במנגנון של אכיפה מנהלית עם עיצומים כספיים, וצמצום חובת רישום המאגרים לצד יצירת חובות מהותיות שחלות בלי קשר לרישום. קבלן שמנהל רשימת לידים, לקוחות, טלפונים, כתובות דירות ותמונות של נכסים — מחזיק מידע אישי, ולכן חלות עליו חובות.

איזה מידע יש לקבלן בלי שהוא חושב על זה

קבלן שיפוצים בינוני מחזיק, בלי לתכנן זאת, אוסף מידע לא קטן:

הטלפון האישי של הקבלן, עם 3,000 אנשי קשר ואלפי תמונות של דירות של אנשים, הוא בפועל המאגר המרכזי של העסק — והוא לרוב הנכס הכי פחות מוגן בו.

מה התיקון מחייב בפועל

המדריך המקצועי של הרשות להגנת הפרטיות מפרט את מערכת החובות. בתמצית, ובשפה של בעל עסק:

1. לדעת מה יש לך. אילו סוגי מידע אתה אוסף, איפה הם נשמרים, מי ניגש אליהם וכמה זמן אתה שומר אותם. בלי המיפוי הזה אי אפשר לעשות שום דבר אחר.
2. ליידע את מי שנותן לך מידע. טופס יצירת קשר באתר צריך להסביר למה המידע נאסף, למי הוא עשוי להימסר, והאם המסירה היא חובה או רצון.
3. לאבטח בפועל. הרשאות גישה, סיסמאות, גיבויים, ותיעוד אירועי אבטחה. לא מסמך מדף — הגדרות שקיימות במערכות שאתה עובד איתן.
4. לכבד זכות עיון. אדם רשאי לבקש לראות מידע שמוחזק עליו. סירוב או התעלמות הם הפרה בפני עצמה.
5. לבדוק את חובות ההודעה והמינוי. חלק מהמאגרים חייבים בהודעה לרשות, וארגונים מסוימים חייבים במינוי ממונה על הגנת הפרטיות. ההחלה תלויה בהיקף ובסוג המידע — וזו בדיקה שיש לעשות לגופו של עסק.
6. לטפל בספקים. מיקור חוץ אינו מעביר אחריות. מי שמחזיק את המידע עבורך צריך להיות מחויב לרמת אבטחה מתאימה.

למה WhatsApp הוא הבעיה, לא הפתרון

מרבית קבלני השיפוצים מנהלים לקוחות בקבוצות WhatsApp. מבחינת הגנת פרטיות, זהו המקום הבעייתי ביותר בעסק:

זו לא רק שאלה רגולטורית. קבלן משנה שעזב וייקח איתו את רשימת הלקוחות שלך הוא סיכון עסקי בפני עצמו — ואותו פתרון מטפל בשניהם. ראה גם: איך מסדרים את הכאוס בקבוצות WhatsApp.

שיווק ופניות: הפרק שהכי קל להיכשל בו

קבלנים רבים שולחים הודעות שיווקיות לרשימת לידים ישנה. שני משטרים משפטיים נפגשים כאן: דיני הגנת הפרטיות מצד אחד, והכללים בעניין דיוור פרסומי בחוק התקשורת מצד שני. לכל אחד מהם דרישות משלו לגבי הסכמה ולגבי אפשרות הסרה.

מה לעשות בשבוע הקרוב, בלי לשכור יועץ

ארבע פעולות שמקטינות סיכון באופן מיידי, גם בעסק קטן: לרכז את המידע במקום אחד עם הרשאות במקום בחמישה טלפונים; להוסיף לאתר מדיניות פרטיות שמסבירה מה נאסף ולמה; לנתק גישה של עובדים וקבלני משנה שעזבו; ולהחליט כמה זמן שומרים מידע של ליד שלא הפך ללקוח, ולמחוק בהתאם.

אם העסק מחזיק מידע בהיקף משמעותי או מידע רגיש, השלב הבא הוא בדיקה פרטנית מול יועץ. אבל ארבע הפעולות האלה אינן דורשות אף אחד.

שאלות נפוצות

יש לי 300 לקוחות בלבד — זה עדיין רלוונטי? חובות אבטחת מידע, יידוע וזכות עיון אינן מותנות בהכרח בהיקף גדול. מה שתלוי בהיקף ובסוג המידע הוא חובות מסוימות כמו הודעה לרשות או מינוי ממונה.

מה זה "מידע בעל רגישות מיוחדת"? החוק מגדיר סוגי מידע שמקבלים הגנה מוגברת. אצל קבלן זה עלול להתעורר, למשל, סביב מסמכי עובדים או פרטים פיננסיים — ולא רק סביב רשימת לידים.

אם אני משתמש במערכת ענן, האחריות עוברת אליה? לא. מיקור חוץ אינו מעביר אחריות. הוא כן משנה את אופי החובה: אתה צריך לוודא שהספק עומד בדרישות ולהסדיר את היחסים איתו.

מה גובה העיצומים? התיקון קובע מנגנון עיצומים כספיים בסכומים משמעותיים, המשתנים לפי סוג ההפרה ונסיבותיה. את הסכומים המדויקים יש לקחת מהמדריך הרשמי של הרשות ולא ממאמרים.