שותף בכיר במשרד עורכי דין וולר ושות׳, מומחה לדיני הגנת הפרטיות, ניהול סיכוני מידע וציות רגולטורי, CRO, DPO
כניסתן לתוקף של תקנות הגנת הפרטיות (התראה מינהלית), התשפ"ו-2026, לצד החלת ההוראות המרכזיות של תיקון 13 לחוק הגנת הפרטיות, יצרה בלבול רב ופרשנות מוטעית במגזר העסקי, הציבורי והמוניציפלי בישראל. מנהלים, חברי דירקטוריון ויועצים משפטיים פנים–ארגוניים רבים נוטים לפרש את המושג "התראה מינהלית" כהקלה רגולטורית דרמטית – מעין "כרטיס צהוב" שמעניק לארגון ארכה אוטומטית להתארגן בטרם ייחשף לסנקציות כספיות.
זוהי טעות פרשנית ואסטרטגית מהמעלה הראשונה.
התקנות החדשות אינן מעניקות חסינות, ואינן מייצרות מנגנון הגנה אוטומטי. למעשה, הן מגדירות רשימה סגורה, מצמצמת וממצה בלבד של נסיבות חריגות שבהן רשאי ראש הרשות להגנת הפרטיות לבחור במסלול התראה חלף עיצום כספי. על הפרות הליבה השכיחות והחמורות ביותר של חוק הגנת הפרטיות – לא קיימת אפשרות להתראה כלל. במקרים אלה, הרשות מוסמכת להטיל קנסות מיידיים בשיעור של מאות אלפי ואף מיליוני שקלים.
במאמר מקיף זה ננתח את המשמעויות המשפטיות של תקנות ההתראה המינהלית, נמפה את ההפרות החשופות לעיצום מיידי, נציג את הפרוטוקול הקריטי לטיפול ב-72 השעות הראשונות לקבלת פנייה מהרשות, ונבין מדוע אחריות הציות עברה באופן ישיר אל שולחן המנכ"ל והדירקטוריון.
מהי התראה מינהלית? המשמעות המשפטית האופרטיבית
מבחינה מושגית, התראה מינהלית היא כלי אכיפה חלופי, מקל ומניעתי, שרשות שלטונית מוסמכת להוציא כנגד אזרח, תאגיד או מעסיק שהפרו את החוק. מטרתו המוצהרת של המנגנון היא לאפשר למפר לתקן את הליקויים ללא סנקציה כספית מיידית, מתוך תפיסה של אכיפה מדורגת.
אולם, במישור המשפטי והאופרטיבי, התראה מינהלית אינה "הערה מנהלית", אזהרה בעל–פה או מחווה של רצון טוב. מדובר במסמך משפטי בעל נפקות מחייבת ביותר. ההתראה מוגשת במסגרת הליך אכיפה רשמי, מגדירה במדוייק את רכיבי ההפרה הנטענת, קובעת את הצעדים המתקנים הנדרשים, ומקציבה פרק זמן נורמטיבי קשיח לביצועם.
אי–עמידה מלאה ומדויקת בדרישות ההתראה בתוך לוח הזמנים שנרשם, מהווה בסיס משפטי מידי להסלמת ההליך. במצב כזה, הרשות להגנת הפרטיות רשאית להטיל עיצום כספי מוגדל ללא צורך בהליך אזהרה נוסף, ואף להסתמך על עצם מתן ההתראה כדי להוכיח כי הארגון פעל מתוך מודעות או רשלנות מתמשכת.
סמכות שיקול הדעת: "רשאי", לא "חייב"
נקודה מרכזית נוספת שאותה הנהלות רבות מחמיצות נוגעת לאופי הסמכות הרגולטורית. גם כאשר הפרה מסוימת נכנסת באופן נורמטיבי לגדרי התקנות, התראה מינהלית אינה מהווה זכות קנויה או מוקנית של התאגיד המפר.
לשון התקנות והחוק ספציפית וחד–משמעית: ראש הרשות להגנת הפרטיות "רשאי" להמיר עיצום כספי בהתראה מינהלית – אך אינו "חייב" לעשות כן. כלומר, גם אם הארגון עומד בכל תנאי הסף הטכניים למתן התראה, שמורה לראש הרשות סמכות שיקול דעת מלאה להחליט כי הנסיבות, היקף המאגר, או אינטרס ההרתעה הציבורי מצדיקים הטלת עיצום כספי ישיר ומיידי.
הרשות להגנת הפרטיות אינה פועלת באופן טכני בלבד. היא מפעילה מדיניות אכיפה רחבה הלוקחת בחשבון את חומרת הליקוי, היקף נתוני העתק שנחשפו, רגישות המידע האישי, ודרגת שיתוף הפעולה של הארגון. במילים אחרות: ההתראה היא אפשרות משפטית בלבד – ולא תעודת ביטוח.
הרשימה הסגורה: מתי ייתכן שתינתן התראה?
כדי למנוע מצב שבו ארגונים עושים שימוש לרעה במנגנון, המחוקק קבע בתקנות הגנת הפרטיות (התראה מינהלית), התשפ"ו-2026, רשימה סגורה, מפורשת וממצה של נסיבות. רק בהתקיימן רשאי ראש הרשות להפעיל את שיקול דעתו ולתת התראה:
-
הפרה ראשונה בתוך 3 חודשים מכניסתה לתוקף של הוראה חדשה: מדובר במצב שבו נכנסה לתוקף תקנה או הנחיה רגולטורית חדשה, וההפרה בוצעה בפרק זמן קצר מדי מכדי לאפשר לארגון סביר להיערך אליה מבחינה תפעולית שטחיות.
-
מצב של חוסר בהירות רגולטורית: כאשר נסיבות ההפרה מעלות שאלה פרשנית עקרונית, מעמיקה ולא פתורה לגבי תחולת הדין או אופן יישומו, והארגון פעל על בסיס פרשנות משפטית סבירה.
-
שינוי מדיניות אכיפה לחומרה: כאשר הרשות להגנת הפרטיות שינתה עמדה מוצהרת קודמת שלה, וההפרה בוצעה על ידי הארגון בהסתמך בתום לב על הפרקטיקה הישנה שהייתה נהוגה.
-
הפרה ראשונה של הוראות מסוימות באבטחת מידע: בנסיבות מצומצמות וספציפיות מאד, שבהן מדובר בכשל טכני נקודתי בלבד, במאגר שאינו ברמת סיכון גבוהה, ולא נגרם נזק לזכויות נושאי המידע.
המשמעות האסטרטגית הברורה: מה שלא נכנס באופן מפורש לארבעת הסעיפים הללו – יורד ממסלול ההתראה ועובר במיטבו למסלול של עיצום כספי ישיר.
הפרות ללא מסלול התראה: קנס מיידי בלבד
זהו החלק הקריטי והמהותי ביותר שרוב ההנהלות והתאגידים בישראל אינם מודעים לו. על שורת הפרות מרכזיות – החמורות ביותר מבחינה עסקית, משפטית ותפעולית – המחוקק לא הותיר לרשות כל אפשרות למתן התראה. לגבי הפרות אלה, מסלול האכיפה הוא ישיר, קשיח וכספי בלבד.
1. אי–מינוי ממונה הגנת פרטיות (DPO)
תיקון 13 לחוק הגנת הפרטיות הגדיר חובה קטגורית למינוי ממונה הגנת פרטיות (DPO) עבור גופים ציבוריים, רשויות מקומיות, תאגידים עירוניים, וכן ארגונים במגזר הפרטי שליבת פעילותם כוללת עיבוד מידע בהיקף נרחב או ניטור שיטתי של אנשים. אי–מינוי DPO אינו נחשב למעדה טכנית אלא לכשל חמור בממשל התאגידי. אין עליו מסלול התראה – ארגון שלא מינה DPO חשוף לעיצום כספי ישיר.
2. אי–מינוי ממונה אבטחת מידע
בהתאם לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, ארגונים המנהלים מאגרי מידע ברמת אבטחה בינונית או גבוהה מחויבים במינוי ממונה אבטחת מידע בעל כשירות מתאימה. היעדר גורם אחראי מוגדר על האבטחה אינו מאפשר מתן התראה, שכן הוא מעמיד בסכנה מיידית את נתוני האזרחים או הלקוחות.
3. כשל בדיווח על אירועי אבטחה (דלף מידע)
אירוע אבטחה חמור במאגר מידע חייב בדיווח מיידי לרשם מאגרי המידע ולעיתים אף לנושאי המידע עצמם. ארגון שמנסה להסתיר אירוע, משהה את הדיווח, או מנהל את המשבר באופן לקוי – מבצע הפרה נפרדת ועצמאית של החוק. על כשל בדיווח לא ניתנת התראה מינהלית.
4. פגיעה בזכויות נושאי מידע
תיקון 13 חיזק באופן דרמטי את זכויות היסוד של הפרט: זכות העיון במידע, הזכות לתיקון מידע מוטעה, וזכות המחיקה ("הזכות להישכח"). ארגון שמתעלם מפניות של לקוחות או עובדים למימוש זכויותיהם, או מעלים קשיים בלתי סבירים ביישומן, צפוי להליכי אכיפה כספיים ישירים.
5. העברת מידע אל מחוץ לגבולות המדינה
הפרת תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001, או העברת נתונים לשרתי ענן במדינות שלא הוכרו כבעלות רמת הגנה נאותה ללא הסדרה חוזית מתאימה (DPA), נחשבת להפרה חמורה המוציאה את הארגון לחלוטין מגדר מסלול ההתראה.
פרוטוקול תגובה: 72 השעות הראשונות מקבלת התראה או מכתב פיקוח
קבלת פנייה רשמית, מכתב דרישת ידיעות, או התראה מינהלית מטעם הרשות להגנת הפרטיות מעבירה את הארגון באופן מיידי לסטטוס של פיקוח רגולטורי פעיל.
בשלב זה, כל עיכוב, תגובה חלקית, עבודה לא מתועדת או ניסיון שגוי "לפתור את האירוע" בשיחות בעל–פה מול פקידי הרשות, עלולים להחמיר את מצבו המשפטי של הארגון ולהוביל להסלמה מהירה. הטיפול באירוע חייב להיעשות לפי פרוטוקול מובנה וקשיח:
-
ביממה הראשונה (0-24 שעות): מבוצע ניתוח משפטי מעמיק של המכתב. היועץ המשפטי בוחן את מכלול הנורמות שנטען כי הופרו, ממפה את מתחם הסמכות של הרשות במקרה הספציפי, ומנסח חוות דעת פנימית ראשונית המיועדת לעיני המנכ"ל והדירקטוריון. מטרת השלב היא להגדיר בצורה חדה את רמת הסיכון (נמוך, בינוני, קריטי) וזאת כדי למנוע יצירת טעויות תדמיתיות או משפטיות.
-
ביממה השנייה (24-48 שעות): הפרוטוקול עובר מהמישור המשפטי למישור הטכנולוגי והמערכתי. מנהל אבטחת המידע (CISO), מנהלי מערכות המידע (IT) והיועצים המשפטיים מבצעים בדיקה פיזית וטכנולוגית של מאגרי המידע, בוחנים את הרשאות הגישה בפועל, ושולפים את הסכמי עיבוד המידע (Data Processing Agreements – DPA) מול ספקי מיקור החוץ והענן. המטרה היא לייצר דו"ח פערים ארגוני אמיתי שמציף את הכשלים ללא טיוח.
-
ביממה השלישית (48-72 שעות): מגבשים ומנסחים תוכנית תיקון סדורה. התוכנית כוללת צעדים מתקנים מיידיים, חלוקת אחריות פנים–ארגונית, ויעדים מדידים בעלי לוחות זמנים מחייבים. הצגת תוכנית עבודה חתומה מראה לרשות כי הארגון פועל בתום לב ומחויב לציות מלא – נתון שמטה פעמים רבות את הכף לטובת סגירת ההליך.
-
במקביל: מנוסחת התגובה המשפטית הרשמית והסופית לרשות. התגובה נשענת על ממצאי המיפוי, משלבת את תוכנית התיקון, ומבססת את טיעוני ההגנה על פסיקה מעודכנת והנחיות מנהליות.
אחריות אישית של נושאי משרה ושינוי תפיסת הסיכון
אחד השינויים העמוקים ביותר שהביא עמו תיקון 13 הוא העברת מרכז הכובד מאירוע IT נקודתי – לאחריות ניהולית ותאגידית כוללת.
בעבר, הנהלות נטו להתייחס לנושאי אבטחת מידע ופרטיות כסוגיה טכנית בלבד החוסה תחת מחלקת מחשוב. בשנת 2026, תפיסה זו פסה מן העולם. החוק והפסיקה קובעים כיום בצורה ברורה כי כשל בהגנת הפרטיות מהווה כשל בממשל התאגידי, המטיל אחריות פיקוח אישית ופלילית על כתפיהם של מנכ"לים, דירקטורים ונושאי משרה בכירים.
עיצומים כספיים המוטלים כיום אינם דורשים הוכחה של כוונה פלילית או רשלנות רבתי. די בקיומו של "ליקוי מובנה" במערכות הארגון, בהיעדר נהלים מתועדים, או באי–ביצוע סקרי סיכונים תקופתיים, כדי לאפשר לרשות להטיל סנקציות כספיות כבדות. לכך יש להוסיף את חשיפת הארגון לתביעות אזרחיות ולתביעות ייצוגיות בגין נזקים ישירים ועגמת נפש, לצד מדיניות הפרסום הפומבית של הרשות – המשיתה נזק תדמיתי ומוניטיני אדיר על גופים מפרים.
הערך המוסף של ליווי משפטי מתמחה
התמודדות אפקטיבית עם עידן האכיפה החדש מחייבת בניית מערך ציות מניעתי המשלב הבנה טכנולוגית, ראייה ניהולית אסטרטגית, וניסיון עשיר בממשק שבין משפט ואירועי סייבר.
משרד עורכי דין וולר ושות', המדורג בדירוגים המובילים BDI ו-Dun's 100 לשנת 2026 ופועל רציפות מאז 1965, מלווה חברות מסחריות, גופים ציבוריים, רשויות מקומיות ותאגידים ביישום של תיקון 13 והוראות הדין.
אחד היתרונות המרכזיים של ליווי משפטי מקצועי מקורו בנכס של חיסיון עו"ד–לקוח מלא. בניגוד לבדיקות המבוצעות על ידי חברות ייעוץ או טכנולוגיה חיצוניות, כל סקר פערים, מבדק חדירות (PT), או חוות דעת הנערכים תחת המעטפת המשפטית של משרד עורכי דין, נהנים מחיסיון מוחלט. חיסיון זה מבטיח כי ממצאים פנימיים או כשלים שהתגלו במהלך הליך הביקורת העצמית לא יוכלו לשמש כראיה נגד הארגון בהליכים רגולטוריים או בתביעות ייצוגיות, ואף מוגנים מפני בקשות גילוי מכוח חוק חופש המידע.
סל השירותים המקיף של המשרד בתחום הפרטיות והסייבר:
-
שירותי ממונה הגנת פרטיות (DPO) חיצוני: אספקת מענה מקצועי שוטף לארגונים, ניהול פניות נושאי מידע, ועבודה רציפה מול הרשויות.
-
ביצוע סקרי ציות ומיפוי נתונים (Gap Analysis): מיפוי זרימת המידע בארגון, ניסוח מדיניות פרטיות מותאמת, והסדרת הסכמי מעבד מידע (DPA) מול ספקים ונותני שירותים.
-
היערכות, ייצוג וליווי בהליכי פיקוח: ייצוג אקטיבי של הנהלות מול מפקחי הרשות להגנת הפרטיות, ניסוח מענים משפטיים למכתבי דרישה, וניהול משברי אבטחת מידע בזמן אמת.
סיכום ויצירת קשר
תקנות הגנת הפרטיות (התראה מינהלית) 2026 אינן מעניקות רשת ביטחון, אלא מחדדות את הצורך בהיערכות ארגונית מוקדמת, רצינית ומקצועית. ארגון שישען על הציפיה לקבלת התראה מוקדמת עלול לגלות כי הדרישה לתשלום העיצום הכספי הגיעה ללא כל אזהרה.
לתיאום בדיקת ציות ארגונית, ייעוץ משפטי והתאמה לתיקון 13:
-
כותב המאמר: עו״ד רועי וולר (LL.B, M.A), שותף בכיר במשרד עורכי דין וולר ושות׳.
-
טלפון ליצירת קשר: 04-8661537
-
כתובת המשרד: דרך העצמאות 15, חיפה
-
אתר אינטרנט: https://weller-law-office.com/
- פייסבוק: https://www.facebook.com/wellerlawoffice
