לא כל עמותה חייבת לרשום מאגר מידע ולמנות ממונה פרטיות: מה תיקון 13 באמת דורש ממאגר התורמים שלכם

תורם שלח מייל לעמותה וביקש למחוק את הפרטים שלו מהמאגר. מישהו קרא את המייל, התכוון לטפל בזה, והמשיך הלאה לדברים דחופים יותר. אחרי שבועיים בלי תשובה זה כבר לא רק חוסר נימוס: זו הפרה שיכולה לעלות לעמותה עד 10,000 ₪, בלי שהתורם יצטרך להוכיח נזק בפועל.

זה תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף ב-14 באוגוסט 2025. והבשורה הטובה: רוב הדרישות הכבדות שלו, כמו רישום מאגר מידע רשמי או מינוי ממונה הגנת פרטיות, לא חלות על עמותה קטנה עם רשימת תורמים רגילה.

החובות שכן חלות על כולן, בלי יוצא מן הכלל, הן דווקא הפשוטות יותר: לספר לתורמים בבירור מה עושים עם המידע שלהם, ולענות כשהם מבקשים לראות אותו, לתקן או למחוק.

וזה בדיוק המקום שבו כמה מדריכים באינטרנט מבלבלים בין השתיים.

מה חשוב לדעת לפני שממשיכים

• תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025, בדיוק שנה אחרי שהכנסת אישרה אותו.
• בית המשפט יכול לפסוק פיצוי של עד 10,000 ₪ בלי להוכיח נזק בפועל, למשל כשלא מומשה בקשת עיון או מחיקה.
• חובת רישום מאגר מידע חלה רק על גופים ציבוריים או על גופים שעיסוקם העיקרי מכירת מידע אישי, עם מעל 10,000 איש במאגר. רשימת תורמים רגילה לא נכנסת לאף אחת מהקטגוריות.
• חובת מינוי ממונה הגנת פרטיות רחבה מעט יותר, אבל גם היא בדרך כלל לא חלה על מאגר תורמים, כי מידע על תרומות אינו מידע בעל רגישות מיוחדת לפי הגדרת החוק.
• גם עמותה שפטורה מרישום ומינוי ממונה חייבת בחובות אוניברסליות: יידוע מפורט על איסוף המידע, וכיבוד בקשות עיון ומחיקה.
• לפחות מדריך פופולרי אחד לעמותות בנושא לא עושה את ההבחנה הזו, ומציג עבודה של קצין אבטחת מידע כחלק בסיסי מההתאמה של כל עמותה.
• הצעד הראשון המעשי: שורת הסכמה ברורה בטופס התרומה, ואיש קשר אחד בעמותה שמטפל בבקשות עיון ומחיקה.

מי בכלל חייבת לרשום מאגר מידע לפי תיקון 13?

עמותה חייבת לרשום את מאגר המידע שלה רק בשני מקרים: אם היא עצמה גוף ציבורי, או אם עיסוקה העיקרי הוא איסוף מידע אישי כדי למכור או להעביר אותו לגורם אחר, כמו שירותי דיוור ישיר, ויש במאגר מעל 10,000 בני אדם. עמותה עם רשימת תורמים רגילה לא נכנסת לאף אחת מהקטגוריות.

זה שינוי משמעותי לעומת המצב הקודם, שבו חובת הרישום הייתה רחבה בהרבה וחלה כמעט על כל מי שהחזיק מאגר מידע כלשהו. תיקון 13 צמצם אותה בכוונה, כדי להוריד נטל בירוקרטי מארגונים קטנים ולהתמקד באכיפה על גופים שבאמת סוחרים במידע.

עמותה שכבר רשמה מאגר מידע בעבר, בתקופה שבה החוק הישן חייב זאת, נשארת רשומה גם היום, גם אם היא כבר לא עומדת בתנאי החובה החדשים. אין צורך לפעול כדי להימחק מהרישום, אבל גם אין טעם לרשום מאגר חדש מרצון אם לא חייבים בכך.

אז מתי כן צריך למנות ממונה הגנת פרטיות (DPO)?

חובת מינוי ממונה הגנת פרטיות רחבה יותר מחובת הרישום, אבל עדיין לא חלה על רוב העמותות. היא נוגעת לגופים ציבוריים, לגופים שעיסוקם העיקרי מכירת מידע אישי בהיקף גדול, לארגונים שעוקבים באופן שיטתי אחרי בני אדם בהיקף ניכר, ולמי שמעבד מידע רגיש במיוחד בהיקף גדול, כמו בתי חולים או חברות ביטוח.

ההבחנה הקריטית היא ההגדרה של מידע בעל רגישות מיוחדת. החוק כולל ברשימה הזו דברים כמו דעות פוליטיות, מידע רפואי, מידע גנטי, עבר פלילי ונתוני שכר. שם של תורם, מספר טלפון וסכום שהוא תרם לא נמצאים ברשימה. זו הסיבה שמאגר תורמים רגיל, גם אם הוא כולל אלפי אנשים, בדרך כלל לא מקים חובת מינוי ממונה.

מה שכן, שווה לבדוק את זה מול עורך דין אם העמותה עוסקת גם בתחומים כמו בריאות, רווחה או שיקום, שבהם המידע כן עלול להיחשב רגיש.

לא כל מקור באינטרנט עושה את ההבחנה הזו. מדריך פופולרי לעמותות בנושא (minuf.co.il) מציג עבודה של קצין אבטחת מידע כחלק בסיסי מההתאמה של כל עמותה, בלי להסביר שמינוי ממונה רשמי חל רק בתנאים ספציפיים, בעוד שהחובות הבסיסיות, כמו יידוע ומענה לבקשות תורמים, חלות על כולן בלי קשר לגודל. ההבדל הזה קובע אם העמותה שלכם צריכה תהליך פנימי פשוט, או ליווי חיצוני בתשלום שרוב העמותות הקטנות פשוט לא זקוקות לו.

מה כן חובה על כל עמותה, בלי קשר לגודל המאגר?

גם עמותה שפטורה לגמרי מרישום ומינוי ממונה חייבת בשתי חובות בסיסיות: ליידע תורמים בבירור לפני שהיא אוספת מידע עליהם, ולכבד בקשות עיון, תיקון או מחיקה כשהן מגיעות. שתי החובות האלה חלות על כל גוף שמחזיק מידע אישי, בלי תלות בגודל המאגר.

לפי תיקון 13, היידוע צריך לכלול שישה פרטים:

• האם מסירת המידע היא חובה חוקית או מרצון
• לאיזו מטרה נאסף המידע
• מי בעל השליטה במאגר
• האם המידע מועבר לגורם נוסף, ולמי
• מה קורה אם התורם מסרב למסור את המידע
• אילו זכויות יש לתורם, כולל עיון ותיקון

עיקרון נוסף שהתחזק בתיקון: אסור להשתמש במידע שנאסף למטרה אחת בשביל מטרה אחרת בלי הרשאה. רשימת תורמים שנאספה לצורך הנפקת קבלות, כמו זו המפורטת במדריך מערכת התרומות הדיגיטלית, לא יכולה לשמש בלי הודעה נוספת לקמפיין גיוס נפרד, אלא אם הדבר נכלל כבר בהסכמה המקורית.

חובה	מי חייב	מאגר תורמים רגיל
רישום מאגר מידע	גוף ציבורי, או סוחר מידע עם מעל 10,000 איש	לא חל
מינוי ממונה הגנת פרטיות	גוף ציבורי, סוחר מידע גדול, מעקב שיטתי בהיקף ניכר, או מידע רגיש בהיקף גדול	לרוב לא חל
יידוע וכיבוד בקשות תורם	כל מי שמחזיק מידע אישי, בלי קשר לגודל	חל תמיד

מה קורה אם עמותה לא עומדת בחובות האלה?

בית המשפט יכול לפסוק לתורם פיצוי של עד 10,000 ₪ בלי להוכיח נזק בפועל, במקרים כמו סירוב למתן זכות עיון או אי מחיקת מידע לפי בקשה. לצד זה, לרשות להגנת הפרטיות יש כיום סמכויות אכיפה מנהלית, כולל עיצומים כספיים, שלא היו לה לפני התיקון.

לעמותה קטנה עם מאגר תורמים צנוע, הסיכון הריאלי הוא לא עיצום כספי גדול מהרשות. הוא תביעה קטנה של תורם בודד שהרגיש שהתעלמו ממנו, בדיוק כמו הדוגמה שפתחה את המדריך הזה.

צ'ק ליסט מעשי למאגר התורמים שלכם

1. שורת הסכמה ברורה: בכל טופס תרומה או הרשמה, שמסבירה למה המידע נאסף ולמה הוא משמש.
2. איש קשר אחד מוגדר: מישהו בעמותה שאחראי לענות על בקשות עיון, תיקון או מחיקה, ויודע שהוא אחראי לזה.
3. תהליך פשוט לטיפול בבקשה: גם אם זו רק תבנית מייל ורשימת בדיקה, שמבטיחה מענה תוך זמן סביר ולא חודשים.
4. בדיקת שימוש חוזר: אם משתמשים ברשימת תורמים ממטרה אחת, כמו קבלות, למטרה אחרת, כמו קמפיין חדש, יש הסכמה מפורשת לכך.
5. מדיניות פרטיות עדכנית: שמשקפת בפועל מה העמותה עושה עם המידע, לא טקסט גנרי שהועתק ממקום אחר לפני שנים.

GigBack CRM שומר את ההיסטוריה הזו במקום אחד: תאריך ההסכמה של כל תורם, בקשת מחיקה אם הייתה כזו, ומה נשלח לו בעבר. במקום לחפש בגיליון אקסל או בהיסטוריית וואטסאפ ישנה כדי לענות על בקשה שהגיעה הבוקר, איש הקשר שהוגדר בעמותה פותח כרטיס אחד ורואה הכל. את המענה בפועל עדיין נותן בן אדם, לא המערכת.

הצעד הראשון שכדאי לעשות השבוע

1. עוברים על טפסי התרומה וההרשמה באתר ומוודאים שיש בהם שורת הסכמה שמסבירה למה המידע נאסף.
2. קובעים מי בעמותה אחראי לענות על בקשת עיון או מחיקה אם היא מגיעה, ומוודאים שהוא יודע את זה.
3. בודקים אם מדיניות הפרטיות באתר מעודכנת לתיקון 13, או שהיא טקסט ישן שהועתק לפני שנים.

שאלות נפוצות