עו״ד שחר שוורץ · עורך דין הגנת הפרטיות · רעננה
קיבלתם מכתב, דרישת מידע או הודעה על ביקורת מהרשות להגנת הפרטיות? אני מלווה עסקים בשלב הפיקוח, בבירור מנהלי ובהליך להטלת עיצום כספי.
הרשות להגנת הפרטיות היא הרגולטור לפי חוק הגנת הפרטיות. מאז תיקון 13 היא יכולה לפתוח בפיקוח גם בלי חשד, לפתוח בבירור מנהלי כשיש יסוד סביר להניח שבוצעה הפרה, ולהטיל עיצומים כספיים. לפני שהיא מטילה עיצום, היא שולחת הודעה על כוונת חיוב, ולעסק יש 45 ימים לטעון את טענותיו.
תיקון 13 לחוק הגנת הפרטיות מבחין בין שני הליכים מנהליים. כדאי לדעת באיזה מהם אתם נמצאים, כי זה אומר לכם מה הרשות חושבת על העסק כבר בשלב הראשון:
לצד ההליכים המנהליים יש לרשות גם סמכויות של חקירה פלילית. איך מחליטים לאיזה מסלול תיק ילך, מוסבר בעמוד על נוהל ניתוב בין חקירה פלילית לבין בירור מנהלי.
הטעיה של הרשות באמצעות פרטים לא נכונים במענה לדרישה של מפקח היא עבירה שעונשה שנתיים מאסר. גם הפרעה למפקח במילוי תפקידו היא עבירה. לכן תשובה לרשות צריכה להיות מדויקת, ולא מהירה בכל מחיר.
דרישת מידע מהרשות להגנת הפרטיות יכולה לכלול שאלות, בקשה למסמכים או בקשה לעותק מחומר מחשב. קל הרבה יותר לעבור ביקורת של הרשות להגנת הפרטיות כשהמסמכים האלה כבר קיימים ומעודכנים:
הרשות מוסמכת להטיל עיצומים על הפרות של החוק, של תקנות אבטחת מידע ושל התקנות על מידע שהועבר מהאזור הכלכלי האירופי. על הפרה נמשכת מתווסף, אחרי דרישת תשלום, חלק המאה מהעיצום לכל יום. על הפרה חוזרת בתוך שנתיים מתווסף סכום השווה לעיצום. מנגד, לעסקים קטנים ולעסקים זעירים נקבעו תקרות, ובכל מקרה העיצום הכולל לא יעלה על 5% מהמחזור השנתי. כמה דוגמאות מהמדריך של הרשות:
ביולי 2026 הטילה הרשות את העיצום הראשון לפי תיקון 13: 256,000 ש״ח על קופת חולים מאוחדת, אחרי הפחתות. ההפרה הייתה איחור בדיווח לרשות על אירוע אבטחה חמור. הליקוי נודע לקופה בנובמבר 2025, והדיווח הוגש רק בינואר 2026.
המשמעות לעסקים קטנים יותר: תקנות אבטחת מידע מחייבות להודיע על אירוע אבטחה חמור באופן מיידי. מי שמחכה עד שכל הפרטים יתבררו, מסתכן בעיצום על האיחור עצמו.
עיצום הוא גם עניין של מוניטין. לפי החוק, הרשות מפרסמת באתר שלה את דבר העיצום, את מהות ההפרה ואת הסכום. כשהמפר הוא תאגיד, מתפרסם גם שמו, ובדרך כלל הפרסום נשאר ארבע שנים.
עסק שמתכנן מהלך חדש, למשל מערכת חדשה שאוספת מידע רגיש, יכול לבקש מהרשות חוות דעת מקדמית לפני שהוא מתחיל, במקום לגלות את עמדתה בבירור מנהלי.
הרשות לא מטילה עיצום בהפתעה. כשיש לה יסוד סביר להניח שבוצעה הפרה והיא מתכוונת להטיל עיצום, היא שולחת הודעה בכתב על כוונת חיוב (סעיף 23כז לחוק). מרגע המסירה יש לעסק 45 ימים לטעון את טענותיו, בכתב או בעל פה, גם לגבי עצם העיצום וגם לגבי הסכום (סעיף 23כח). ראש הרשות רשאי להאריך את התקופה מטעמים מיוחדים.
עסק שלא טוען בזמן מפסיד את השלב הזה, וההודעה נחשבת לדרישת תשלום. על דרישת תשלום אפשר לערער לבית משפט השלום בתוך 45 ימים. הגשת הערעור לא מעכבת את התשלום, אלא אם ראש הרשות הסכים או שבית המשפט הורה כך.
יש גם מסלולים אחרים. לפני הוראה להפסקת הפרה הרשות צריכה לתת לעסק הזדמנות להשמיע את טענותיו. בנסיבות ששר המשפטים קבע, היא יכולה לתת התראה מנהלית במקום עיצום, ועל התראה כזו אפשר לבקש ביטול בתוך 45 ימים.
בשלב הטיעון אפשר לבקש גם הפחתה. המדריך של הרשות מונה נסיבות להפחתה, עד 70% בסך הכול, ובהן:
ייצוג מול הרשות להגנת הפרטיות מתחיל עוד לפני התשובה הראשונה. זה סדר הפעולות שאני עובר עליו עם עסק שפונה אליי ביומיים הראשונים:
פיקוח יכול להיפתח גם בלי חשד, למשל בביקורת שגרתית. בירור מנהלי נפתח כשיש יסוד סביר להניח שבוצעה הפרה שאפשר להטיל בגללה עיצום כספי. בבירור מנהלי המפקח יכול גם לבקש מבית המשפט צו חיפוש ותפיסה או צו חדירה לחומר מחשב.
מפקח מוסמך לדרוש ידיעות ומסמכים, והטעיה של הרשות בתשובה היא עבירה. לכן לא מתעלמים מהדרישה וגם לא עונים בחופזה. בודקים מה התבקש, אוספים את החומר ועונים במועד, או מבקשים ארכה מנומקת.
45 ימים ממסירת ההודעה על כוונת חיוב, בכתב או בעל פה. ראש הרשות רשאי להאריך את התקופה מטעמים מיוחדים. מי שלא טוען בזמן, ההודעה אליו נחשבת לדרישת תשלום.
לפי סעיף 23מו לחוק, הרשות מפרסמת באתר שלה את דבר העיצום, מהות ההפרה והסכום, וכשהמפר הוא תאגיד גם את שמו. בהפרה קלת ערך היא לא מפרסמת את שם התאגיד, אלא אם הפרסום נחוץ לאזהרת הציבור.
כן, לבית משפט השלום, בתוך 45 ימים. הגשת הערעור לא מעכבת את התשלום, אלא אם ראש הרשות הסכים לכך או שבית המשפט הורה כך.
שלחו לי את המכתב או התקשרו לנייד 050-582-5872. נבדוק יחד מה התבקש, מה המועד ומה הצעד הבא. טלפון במשרד: 09-766-8569.
