עיצומים כספיים לפי תיקון 13: הסכומים האמיתיים מנוסח החוק — לפי סוג הפרה, רמת אבטחה ותקרות לעסק קטן

״כמה קנס אפשר לקבל על אי-רישום מאגר?״, ״יש תקרה לעסק קטן?״, ״האם מינוי ממונה מקטין את הסכום?״ — אלה השאלות שבעלי עסקים שואלים מאז שתיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025. ברשת מסתובבים לא מעט סכומים, ולא כולם תואמים את נוסח החוק. המאמר הזה עושה דבר אחד: פורש את הסכומים כפי שהם כתובים בסעיף 23כו לחוק, בתוספת השלישית ובתוספת החמישית — לפי סוג ההפרה, לפי רמת האבטחה של המאגר, עם התקרות לעסק זעיר וקטן וההפחתות שהחוק מכיר בהן. כל סכום נבדק מול נוסח החוק (נבו) בתאריך 30.10.2026.

שלושה סוגי סכומים — ואיפה כל אחד מופיע בחוק

סעיף 23כו לחוק בנוי משלושה מנגנונים שונים, וחשוב להפריד ביניהם לפני שמסתכלים על מספר כלשהו: (1) סכום קבוע להפרה — בלי קשר לגודל המאגר; (2) סכום לאדם — מוכפל במספר האנשים שהמידע עליהם במאגר או שאליהם נעשתה פנייה, עם רצפת מינימום; (3) מדרגה לפי רמת האבטחה — להפרות של תקנות אבטחת מידע, לפי התוספת השלישית. לכל אחד מהם יש כפל במאגרים גדולים במיוחד ותקרות לעסקים קטנים, ועל זה בהמשך.

טבלת הסכומים לפי סוג ההפרה (סעיף 23כו)

שימו לב לרצפות המינימום: בהפרות ״לאדם״ החוק קובע סכום תחתון גם כשהמכפלה יוצאת נמוכה ממנו. כך, עיבוד מידע למטרה שאינה כדין מתחיל מ-200,000 ₪ גם במאגר קטן, ופנייה בלי הודעת יידוע מתחילה מ-30,000 ₪. מצד שני, הסכומים ״לאדם״ מתייחסים למספר האנשים שמידע עליהם במאגר (או שאליהם נעשתה הפנייה) — לא למספר הרשומות או הקבצים.

הפרת תקנות אבטחת מידע — מדרגות לפי רמת האבטחה

הפרות של תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017, נקנסות בסכום קבוע שנקבע לפי רמת האבטחה של המאגר — בסיסית, בינונית או גבוהה — ולפי חומרת ההפרה (התוספת השלישית מחלקת את ההפרות לשלוש דרגות). לכן השאלה הראשונה בכל חישוב חשיפה היא לאיזו רמה שייך המאגר; את הסיווג מסבירים במדריך לרמות האבטחה בתקנות.

המשמעות המעשית: אותה הפרה — למשל היעדר נוהל אבטחת מידע כתוב או אי-דיווח על אירוע אבטחה חמור — נקנסת בסכום שונה לגמרי בקליניקה קטנה ברמה הבינונית ובחברה עם מאגר ברמה גבוהה. הסכום הגבוה ביותר בתוספת השלישית, 320,000 ₪, שמור להפרות החמורות במאגר ברמה גבוהה; במאגר ברמה בינונית הדרגה החמורה היא 80,000 ₪.

עסק זעיר ועסק קטן: התקרות של התוספת החמישית

זה החלק שבעלי עסקים קטנים הכי צריכים להכיר, ודווקא הוא מופיע פחות בדיונים. התוספת החמישית לחוק קובעת תקרה לעיצום לפי מחזור העסקאות של המפר: עסק זעיר (מחזור שנתי עד 4 מיליון ₪) ועסק קטן (4–10 מיליון ₪). התקרה נקבעת לפי ״קבוצת ההפרה״ — החוק מחלק את כל ההפרות לשלוש קבוצות — וכשיש הפרות מכמה קבוצות, חלה התקרה הגבוהה שביניהן.

ולכל עסק, בכל גודל, חלה תקרה נוספת: עיצום שעולה על 5% ממחזור העסקאות יופחת ל-5% (תוספת חמישית ס׳ 7). שתי ההקלות האלה אינן אוטומטיות — הן ניתנות לבקשת המפר, בצירוף אישור רואה חשבון או יועץ מס על גובה המחזור, בתוך 30 יום ממסירת ההודעה על כוונת החיוב. עסק שלא מבקש — לא מקבל.

ההפחתות בשל התנהגות — עד 70%

לפני התקרות, התוספת החמישית קובעת הפחתות באחוזים מהסכום, לפי התנהגות המפר. הן מצטברות, אבל ההפחתה הכוללת לא תעלה על 70%:

• 20% — לא הוטל עליכם עיצום או אמצעי אכיפה ב-5 השנים האחרונות בשל אותה הוראה (תוספת חמישית ס׳ 2(1)). אם רק ב-3 השנים האחרונות — 10%.
• 30% — הפסקתם את ההפרה מיוזמתכם ודיווחתם עליה לרשות (תוספת חמישית ס׳ 2(2)). תיקון רק אחרי שהרשות פתחה בבדיקה אינו ״מיוזמת המפר״ (עניין קרטינג חוצות).
• 20% — נקטתם פעולות למניעת הישנות ולהקטנת הנזק (תוספת חמישית ס׳ 2(3)). להנחת דעתו של ראש הרשות.
• 10% — חבים במינוי ממונה לפי קטגוריות 3–4 (ניטור שיטתי / מידע רגיש כעיסוק עיקרי) — ומיניתם לפני הודעת כוונת החיוב (תוספת חמישית ס׳ 2(4)). לא חל על מינוי וולונטרי בארגון שאינו חייב, ולא על גוף ציבורי/סוחר מידע.

ההפחתה של 10% על מינוי ממונה הגנת פרטיות מבלבלת רבים: היא ניתנת רק למי שחב במינוי לפי סעיף 17ב1(א)(3) או (4) — ניטור שיטתי או עיבוד מידע בעל רגישות מיוחדת כעיסוק עיקרי — ושמינה ממונה לפני מסירת ההודעה על כוונת החיוב. ארגון שאינו חייב במינוי ומינה ממונה מרצונו אינו מקבל את ההפחתה הסטטוטורית (גם אם המינוי מומלץ מסיבות אחרות). האם אתם בקבוצת החובה — בודקים במחשבון חובת ה-DPO.

איך מחשבים חשיפה לעיצומים — ארבעה צעדים

1. קובעים את רמת האבטחה של המאגר (בסיסית / בינונית / גבוהה) לפי התוספת הראשונה והשנייה לתקנות — היא מכתיבה את המדרגה של כל הפרת תקנות.
2. סופרים נושאי מידע: כמה בני אדם המידע עליהם במאגר, והאם יש בו מידע בעל רגישות מיוחדת (רפואי, גנטי, ביומטרי, פלילי ועוד) — זה מכפיל את הסכומים ״לאדם״ ואת רצפות המינימום.
3. מסמנים את ההפרות הרלוונטיות — מהוראות החוק (רישום, יידוע, ממונים, עיבוד שלא כדין) ומתקנות אבטחת המידע (מסמך הגדרות, נוהל, הרשאות, לוגים, ספקים, דיווח על אירוע) — ומסכמים לפי הטבלאות למעלה.
4. מפעילים את ההפחתות והתקרות: הפחתות ההתנהגות (עד 70%), תקרת העסק הזעיר/הקטן לפי קבוצת ההפרה, ותקרת 5% מהמחזור.

את ארבעת הצעדים האלה בדיוק מבצע מחשבון החשיפה לעיצומים באתר: מסמנים מה חסר, מזינים את מספר נושאי המידע ורמת האבטחה, ומקבלים פירוט לפי סעיף עם ההפחתות והתקרות — חינם, בלי להשאיר פרטים. המחשבון עובד מאותם נתונים שמופיעים במאמר הזה.

מה לא נכלל בסכומים האלה

העיצום הכספי הוא כלי אחד של הרשות, לא היחיד. לצידו עומדים פיצוי ללא הוכחת נזק של עד 10,000 ₪ לתובע ברשימה סגורה של הפרות (סעיף 15א לחוק) — כלי של הנפגע, לא של הרשות — וכן תביעות ייצוגיות, התראה מינהלית, כתב התחייבות, ובמקרים המתאימים אחריות פלילית. סקירה רחבה של כל אמצעי האכיפה ושל מה שהרשות עשתה בפועל מאז 14.8.2025 — במאמר על שנת האכיפה הראשונה.

האמור במאמר הוא מידע כללי ואינו מהווה ייעוץ משפטי או תחליף לבחינה פרטנית של נסיבות הארגון. הדין והנחיות הרשות להגנת הפרטיות משתנים; ראו עדכוני רגולציה לפרסומים שהתווספו אחרי מועד העדכון של המאמר.