תיקון 13 לחוק הגנת הפרטיות: רשימת בדיקה למאגרי תורמים ומתנדבים

הבהרה: המלצות כלליות בלבד, לא ייעוץ מקצועי ולא ייעוץ משפטי. הפלייבוק עוזר להתכונן לשיחה עם עורך דין, ולא מחליף אותה. לפני כל החלטה, יש להיוועץ בעורך דין. הנוסח המלא בסוף.

למי זה מיועד

למנכ"לית עמותה, למנהל תפעול או לחבר ועד שאחראים על רשימות תורמים, מתנדבים, משתתפים או מנויים לניוזלטר. אין צורך ברקע משפטי או טכני. צריך גיליון Google Sheets או Excel, שעה או שעתיים בשבוע, וגישה לאנשים שמנהלים את הרשימות.

הבעיה בשלוש שורות

בכל עמותה יש מידע על אנשים, והוא מפוזר: גיליון תורמים, טופס הרשמה למתנדבים, קבוצות וואטסאפ, תיבת מייל, תוכנת קבלות. אף אחד לא יודע בדיוק מה נאסף, מי ניגש אליו, ומה כתבתם לאנשים כשאספתם. וכשהחוק משתנה, קשה לדעת מה חל עליכם, ושיחה עם עורך דין בלי הכנה הופכת לשיחה ארוכה ויקרה.

מה ידוע, ומה בודקים עם עורך דין

כאן כתובות רק עובדות כלליות שמופיעות בפרסומים מקצועיים על התיקון. כל השאר נשאל בהמשך כשאלה לעורך הדין.

• תיקון 13 לחוק הגנת הפרטיות, התשמ"א-1981, נכנס לתוקף ב-14 באוגוסט 2025.
• התיקון צמצם את חובת רישום המאגרים, והוסיף חובות חדשות.
• התיקון הרחיב הגדרות מרכזיות בחוק, כמו "מידע אישי".
• התיקון נתן לרשות להגנת הפרטיות סמכויות אכיפה חדשות, כולל עיצומים כספיים (קנסות מנהליים).
• התיקון מחייב גופים מסוימים למנות ממונה על הגנת הפרטיות. השאלה אם העמותה שלכם חייבת היא שאלה לעורך הדין.
• בנפרד מהתיקון, תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, קובעות חובות אבטחה למאגרי מידע.

הנוסח המעודכן, ההנחיות והטפסים מתפרסמים באתר הרשות להגנת הפרטיות ב-gov.il. קראו שם לפני הפגישה עם עורך הדין, כי הנחיות מתעדכנות.

השיטה ב-7 צעדים

צעד 1: מפת מאגרים

מה עושים: רושמים כל מקום שבו יש מידע על אנשים. לא רק "המאגר" הרשמי.

איך: פותחים גיליון בשם "מפת מאגרים", שורה לכל מקום. עוברים עם כל איש צוות ושואלים: "איפה יש לך שמות, טלפונים או מיילים של אנשים?". מקומות שכדאי לבדוק:

• גיליון או מערכת של תורמים, ותוכנת הקבלות.
• טפסי הרשמה למתנדבים ולפעילויות, והגיליון שהטופס ממלא.
• רשימת התפוצה של הניוזלטר.
• קבוצות וואטסאפ של מתנדבים ומשתתפים.
• תיבות מייל עם קבצים מצורפים (קורות חיים, אישורים, צילומי תעודות).
• תיקיות משותפות בענן, וקבצים במחשבים פרטיים.
• תיקים בנייר.

עמודות בגיליון: שם המאגר, איפה הוא נמצא, על מי (תורמים, מתנדבים, משתתפים, קטינים), בערך כמה אנשים, מי האחראי, ממתי.

טעות נפוצה: למפות רק את מערכת התורמים. בדרך כלל המידע הרגיש יותר נמצא בטופס הרשמה ישן או בתיבת מייל של מתנדבת שסיימה לפני שנתיים.

צעד 2: מה נאסף, ולמה

מה עושים: לכל מאגר רושמים את השדות שנאספים, ולכל שדה את המטרה שבשבילה הוא נאסף.

איך:

• מעתיקים את שורת הכותרות של כל גיליון או טופס. לא את הנתונים עצמם.
• ליד כל שדה כותבים: למה צריך אותו. "טלפון: לתזכורות לפני משמרת". "תעודת זהות: לקבלה לצורכי מס".
• שדה שאין לו מטרה ברורה מסמנים "לבדוק אם צריך". לא אוספים מידע "למקרה ש".
• מסמנים שדות שנראים רגישים: בריאות, מצב כלכלי, עבר פלילי, דת, נתונים על קטינים. את השאלה מה נחשב לפי החוק "מידע בעל רגישות מיוחדת" שואלים את עורך הדין.

ה-AI יכול לעזור כאן (פרומפט 2), אבל רק עם שורת הכותרות. לא מדביקים אליו את הרשימות עצמן.

טעות נפוצה: להשאיר בטופס שדות שהועתקו מטופס של ארגון אחר, כמו "תאריך לידה" או "מצב משפחתי", כשאף אחד לא משתמש בהם.

צעד 3: מי ניגש למידע

מה עושים: לכל מאגר רושמים מי יכול לראות, מי יכול לערוך, ואיך נכנסים.

איך:

• בודקים הרשאות שיתוף בכל קובץ ותיקייה. "כל מי שיש לו קישור" מסמנים באדום.
• רושמים אנשים שסיימו לעבוד או להתנדב ועדיין יש להם גישה, ומסירים אותם.
• בודקים אם יש אימות דו שלבי בחשבונות שמחזיקים מאגרים.
• בודקים אם יש סיסמה משותפת לכמה אנשים.
• מחליטים מי בעמותה אחראי על הרשאות, ורושמים את שמו.

טעות נפוצה: לחשוב שקבוצת וואטסאפ היא לא מאגר. מי שבקבוצה רואה את המספרים של כל השאר.

צעד 4: מה אומרים לאנשים כשאוספים מהם מידע

מה עושים: אוספים את כל הנוסחים שאנשים רואים כשהם משאירים פרטים: טופס תרומה, טופס מתנדבים, הרשמה לניוזלטר, מדיניות פרטיות באתר.

איך:

• שומרים צילום מסך של כל טופס כפי שהוא היום.
• לכל טופס בודקים: האם כתוב למה אוספים את המידע, מה ייעשה בו, האם חובה למסור אותו, ולמי הוא יועבר.
• בודקים אם יש הסכמה נפרדת לדיוור שיווקי, ואם יש דרך פשוטה להסיר את עצמך מהרשימה.
• AI יכול לכתוב טיוטה בשפה פשוטה (פרומפט 4). את הנוסח הסופי מאשר עורך הדין.

טעות נפוצה: להעתיק מדיניות פרטיות מאתר של ארגון אחר. היא מתארת מאגרים ושימושים שאין לכם, ולא מתארת את אלה שיש לכם.

צעד 5: ספקים ומערכות חיצוניות

מה עושים: רושמים כל שירות חיצוני שמחזיק מידע על האנשים שלכם.

איך: שורה לכל ספק: מערכת דיוור, מערכת סליקה ותרומות, תוכנת קבלות, מערכת ניהול תורמים, אחסון בענן, כלי AI שהצוות משתמש בהם, רואה החשבון, ספק שמנהל לכם את האתר.

לכל ספק: איזה מידע הוא מחזיק, האם יש הסכם כתוב, מי בעמותה מנהל את הקשר, ואיך מוציאים ממנו את המידע אם עוזבים.

טעות נפוצה: לשכוח ספק שנפתח בניסיון חינמי ונשכח. המידע עדיין שם.

צעד 6: אבטחה בסיסית ונוהל לאירוע

מה עושים: סוגרים את הפרצות הפשוטות, וכותבים נוהל קצר למקרה של דליפה.

איך: פעולות שאפשר לעשות כבר השבוע:

• אימות דו שלבי בכל חשבון שמחזיק מאגר.
• ביטול שיתופים "כל מי שיש לו קישור".
• הסרת גישה של מי שעזב.
• מחיקת קבצים ישנים שאין בהם צורך, אחרי שבדקתם עם עורך הדין ורואה החשבון כמה זמן צריך לשמור מה.
• גיבוי של המאגרים החשובים.

נוהל אירוע בעמוד אחד: למי מדווחים בתוך העמותה, מי מחליט, איך עוצרים את הדליפה, ואיך מתעדים מה קרה ומתי. השאלה אם ומתי חובה לדווח לרשות להגנת הפרטיות היא שאלה לעורך הדין, וכדאי לשאול אותה לפני שקורה משהו.

טעות נפוצה: לכתוב את הנוהל אחרי האירוע. בזמן אירוע אין זמן לברר מי מחליט.

צעד 7: תיק תיעוד ופגישה עם עורך הדין

מה עושים: מאחדים את כל מה שאספתם לתיקייה אחת, ומגיעים איתה לעורך הדין.

איך: בתיקייה:

1. מפת המאגרים (צעד 1).
2. טבלת השדות והמטרות (צעד 2).
3. טבלת הרשאות (צעד 3).
4. צילומי המסך של הטפסים ומדיניות הפרטיות (צעד 4).
5. רשימת הספקים (צעד 5).
6. נוהל האירוע (צעד 6).
7. רשימת השאלות (בסעיף הבא).

אחרי הפגישה רושמים מה הוחלט, מי אחראי ועד מתי, ומעדכנים את התיק. קובעים תאריך לבדיקה חוזרת, למשל פעם בשנה, וכל פעם שמוסיפים מאגר או ספק.

טעות נפוצה: להתייחס לזה כפרויקט חד פעמי. מאגרים חדשים נפתחים כל הזמן, בכל טופס חדש לאירוע.

שאלות לעורך הדין

• האם העמותה שלנו, בגודל ובסוג הפעילות שלה, חייבת למנות ממונה על הגנת הפרטיות?
• האם אחד המאגרים שלנו עדיין חייב ברישום, או בהודעה כלשהי לרשות להגנת הפרטיות, אחרי התיקון?
• אילו מהשדות שאנחנו אוספים נחשבים לפי החוק מידע בעל רגישות מיוחדת, ומה זה מחייב?
• מה חייב להופיע בטפסים שבהם אנחנו אוספים מידע, ומה חסר בנוסחים שלנו היום?
• האם אנחנו צריכים הסכמה נפרדת לדיוור לתורמים ולמתנדבים, ובאיזה נוסח?
• אילו חובות מתקנות אבטחת מידע חלות על כל אחד מהמאגרים שלנו?
• מה צריך להיות בהסכמים עם הספקים שמחזיקים מידע בשבילנו?
• מה מותר ומה אסור להכניס לכלי AI, ואיזה סעיף כדאי להוסיף לכללי העבודה של הצוות?
• אם יש לנו מידע על קטינים, מה זה משנה?
• כמה זמן מותר ונדרש לשמור מידע על תורמים לשעבר ומתנדבים לשעבר?
• מתי חובה לדווח לרשות על אירוע אבטחה, ולמי עוד?
• מה החשיפה שלנו לעיצומים, ומה הדבר הראשון שכדאי לתקן?

פרומפטים מוכנים

כלל אחד לכל הפרומפטים: לא מדביקים שמות, טלפונים, מיילים, מספרי זהות או כל פרט של אדם אמיתי. רק כותרות עמודות, נוסחי טפסים ותיאורים כלליים.

אני מנהל/ת עמותה בתחום [תחום], עם [מספר] אנשי צוות ובערך [מספר] מתנדבים. אנחנו עובדים עם [כלים: Google Sheets, Gmail, וואטסאפ, מערכת דיוור...].
כתוב לי רשימת שאלות קצרה לשאול כל איש צוות, כדי למצוא כל מקום שבו יש מידע על אנשים: קבצים, טפסים, תיבות מייל, קבוצות, מערכות, נייר.
שאלות פשוטות, בלי מונחים משפטיים.

אלה כותרות העמודות בגיליון [שם המאגר], בלי נתונים: [הדבק כותרות].
המאגר משמש ל: [תיאור קצר].
לכל עמודה: מה המטרה הסבירה שלה, האם היא נראית נחוצה למטרה הזו, והאם היא עלולה להיות מידע רגיש (בריאות, מצב כלכלי, עבר פלילי, דת, קטינים).
אל תקבע מה החוק מחייב. בסוף, רשום שאלות לעורך דין על השדות שסימנת.

אני רוצה לבדוק מי ניגש למאגרי המידע שלנו. המאגרים: [רשימת שמות המאגרים והמקום שלהם].
בנה לי טבלה ריקה למילוי, עם העמודות המתאימות, והוראות קצרות איך בודקים הרשאות שיתוף ב-[Google Drive / OneDrive / הכלי שלכם].

כתוב טיוטה בשפה פשוטה להודעה שתופיע בטופס [הרשמה למתנדבים / תרומה / ניוזלטר] של עמותה.
המידע שנאסף: [רשימת שדות]. מה נעשה בו: [שימושים]. למי מעבירים: [ספקים / אף אחד]. איך פונים אלינו: [כתובת].
עד 120 מילים. בסוף הוסף: "טיוטה. לבדיקת עורך דין לפני פרסום". אל תכתוב שהנוסח עומד בדרישות החוק.

כתוב נוהל של עמוד אחד לעמותה קטנה, למקרה שמידע על תורמים או מתנדבים דלף או נשלח בטעות.
כלול: למי מדווחים בתוך העמותה, מי מחליט, צעדים ראשונים לעצור את הדליפה, תיעוד (מה, מתי, מי), ושלב "התייעצות עם עורך דין לגבי חובות דיווח".
אל תקבע חובות דיווח לפי חוק או מועדים. השאר אותם כ-[לבדוק עם עורך דין].

הנה רשימת השאלות שלנו לעורך הדין על הגנת פרטיות: [הדבק]. והנה מפת המאגרים בקיצור, בלי פרטים אישיים: [הדבק].
סדר את השאלות לפי חשיבות, אחד שאלות שחוזרות, והוסף לכל שאלה את ההקשר שלנו במשפט אחד. אל תענה על השאלות.

צ'קליסט לעמוד אחד

מיפוי

• מפת מאגרים, כולל וואטסאפ, מייל, ענן ונייר
• לכל מאגר: על מי, כמה, מי אחראי
• טבלת שדות עם מטרה לכל שדה
• שדות רגישים מסומנים
• שדות בלי מטרה סומנו לבדיקה

גישה ואבטחה

• הרשאות נבדקו, אין שיתוף "כל מי שיש לו קישור"
• מי שעזב הוסר
• אימות דו שלבי בכל חשבון עם מאגר
• גיבוי למאגרים החשובים
• נוהל אירוע בעמוד אחד

טפסים וספקים

• צילום מסך של כל טופס ומדיניות הפרטיות
• רשימת ספקים, עם הסכם או בלי
• כללי עבודה עם כלי AI

עורך הדין

• תיק תיעוד מלא
• רשימת שאלות מסודרת
• סיכום החלטות, אחראים ותאריכים
• מועד לבדיקה חוזרת ביומן

איך יודעים שזה עובד

• כיסוי: כל איש צוות נשאל, וכל מאגר שעלה נמצא במפה.
• שיתופים פתוחים: מספר הקבצים עם שיתוף "כל מי שיש לו קישור". המטרה היא אפס.
• גישה מיותרת: מספר האנשים שעזבו ועדיין יש להם גישה. גם כאן המטרה היא אפס.
• שדות מיותרים: כמה שדות הורדו מטפסים כי לא היה להם צורך.
• החלטות: כמה מהשאלות לעורך הדין קיבלו תשובה, החלטה ואחראי.
• עדכון: התיק עודכן בפעם האחרונה לפני פחות משנה, ובכל פעם שנוסף מאגר או ספק.

הבהרה

התוכן כאן הוא המלצות כלליות בלבד, ולא ייעוץ מקצועי, משפטי, חשבונאי או מיסויי. הוא לא מפרש את החוק ולא קובע מה חל על הארגון שלכם. העובדות על תיקון 13 מובאות בקיצור ובאופן כללי, והחוק, התקנות וההנחיות עשויים להשתנות. כל ארגון שונה, והאחריות לבדוק שהתוכן מתאים למצב שלכם היא שלכם. לפני כל החלטה בנושא הגנת פרטיות, רישום מאגרים, מינוי ממונה, נוסחי טפסים, הסכמים עם ספקים או דיווח על אירוע, יש להיוועץ בעורך דין. את הנוסח המעודכן של החוק וההנחיות קראו באתר הרשות להגנת הפרטיות.