מאגר לקוחות ב-CRM וחוק הגנת הפרטיות: תיקון 13, חובת יידוע, דיוור ישיר ואבטחת מידע
מה חוק הגנת הפרטיות ותיקון 13 (בתוקף מ-14.8.2025) דורשים מעסק קטן שמנהל לקוחות ב-CRM: יידוע בטופס, עיון ותיקון, מחיקה מדיוור ישיר, אבטחה, ספק ענן וחו״ל.
מערכת CRM היא מאגר מידע לפי חוק הגנת הפרטיות, התשמ״א–1981: היא מחזיקה שמות, טלפונים, מיילים, היסטוריית פניות ולעיתים מידע רגיש יותר. העסק שלכם הוא בעל השליטה במאגר, וספק ה-CRM בענן הוא מחזיק שמעבד את המידע בשבילכם — והאחריות לא עוברת אליו. תיקון 13 לחוק, שתחילתו ב-14 באוגוסט 2025, עדכן את המונחים, צמצם את חובת הרישום והרחיב מאוד את סמכויות האכיפה של הרשות להגנת הפרטיות, כולל עיצומים כספיים. לעסק קטן זה מתורגם לחמש פעולות מעשיות: הודעת יידוע בכל טופס שאוסף פרטים, מענה לבקשות עיון ותיקון, מחיקה ממאגר דיוור ישיר לפי דרישה, אבטחת מידע לפי התקנות, והסכם מסודר עם ספק ה-CRM.
המדריך הוא חלק מהמדריך המרכזי למחיר CRM. ראו גם חוק הספאם ומעבר בין מערכות CRM. המידע כללי ואינו ייעוץ משפטי.
מה תיקון 13 שינה — בתמצית
| נושא | מה קובע החוק המתוקן | מה זה אומר לעסק קטן עם CRM |
|---|---|---|
| מונחים | "בעל שליטה במאגר" ו"מחזיק" | אתם אחראים; הספק מחזיק ומעבד בשבילכם |
| רישום מאגר (סעיף 8א) | חובת רישום בעיקר לגופים ציבוריים ולמאגרים שמטרתם העיקרית מסירת מידע לאחרים כדרך עיסוק (מעל 10,000 בני אדם); הודעה לרשות על מאגר עם מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם | רוב העסקים הקטנים לא רושמים — אבל כל שאר החובות חלות |
| ממונה על הגנת הפרטיות (סעיף 17ב1) | גופים ציבוריים, סוחרי מידע מעל 10,000 בני אדם, מי שעיסוקו העיקרי ניטור שיטתי בהיקף ניכר או עיבוד מידע רגיש בהיקף ניכר | לרוב לא חל על עסק קטן, אלא אם עיקר עיסוקו מידע רגיש |
| אכיפה | הרשות להגנת הפרטיות, עיצומים כספיים, חוות דעת מקדמית לפי סעיף 17ט2 | הפרה של חובות אבטחה או יידוע עלולה לעלות כסף ישירות |
סכומי העיצומים קבועים בחוק ובתוספות שלו ומתעדכנים; אל תסתמכו על סיכומים — בדקו בנוסח החוק.
חובת יידוע בטופס הלידים (סעיף 11)
כל פנייה לאדם כדי לקבל ממנו מידע אישי לשם עיבוד במאגר צריכה להיות מלווה בהודעה שמציינת:
- אם חלה עליו חובה חוקית למסור את המידע, או שהמסירה תלויה ברצונו — ומה התוצאה אם לא ימסור;
- המטרה שלשמה מבוקש המידע;
- שם בעל השליטה במאגר ודרכי ההתקשרות איתו;
- למי יימסר המידע ולאילו מטרות;
- קיום זכות העיון (סעיף 13) והזכות לבקש תיקון (סעיף 14).
במעשה: טופס "השאירו פרטים" באתר, דף נחיתה, טופס בפייסבוק שמזין את ה-CRM — כולם צריכים טקסט יידוע קצר וקישור למדיניות פרטיות. הודעת היידוע אינה הסכמה לדיוור לפי חוק הספאם — זה עניין נפרד, ונדרשת בדרך כלל תיבת סימון נפרדת לדיוור.
עיון, תיקון ומחיקה מדיוור ישיר
- עיון (סעיף 13): כל אדם זכאי לעיין במידע שעליו במאגר, בעברית, בערבית או באנגלית. אם המאגר מוחזק אצל ספק, סעיף 13א קובע איך מפנים.
- תיקון (סעיף 14): מי שמצא שהמידע אינו נכון, שלם, ברור או מעודכן רשאי לבקש לתקנו או למחוק אותו.
- מחיקה ממאגר דיוור ישיר (סעיף 17ו): כל אדם רשאי לדרוש בכתב שמידע עליו יימחק ממאגר המשמש לדיוור ישיר. בעל השליטה צריך לפעול לפי הדרישה ולהודיע על כך בכתב; אם לא הודיע תוך 30 יום, האדם רשאי לפנות לבית משפט השלום. סעיף 17ו גם דורש שכל פנייה בדיוור ישיר תציין שהיא כזו ותכלול הודעה על הזכות להימחק.
מה לבדוק ב-CRM: האם אפשר לייצא את כל המידע על איש קשר אחד (לבקשת עיון)? האם מחיקה מוחקת גם קבצים והיסטוריה? האם אפשר לשמור "רשימת אל תפנו" מינימלית אחרי מחיקה, כדי לא לייבא את האדם שוב?
אבטחת מידע: התקנות של 2017
תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017, קובעות חובות לפי רמת האבטחה של המאגר. ב-CRM של עסק קטן, החשובות הן:
- הרשאות גישה לפי תפקיד (תקנה 8) — איש מכירות לא חייב לראות את כל הלקוחות של כולם.
- זיהוי ואימות (תקנה 9) — שם משתמש אישי לכל עובד; אימות דו-שלבי מומלץ מאוד.
- בקרה ותיעוד גישה (תקנה 10) — לוג פעולות. במערכות רבות זה קיים רק ברמות חבילה גבוהות — בדקו.
- אבטחת תקשורת וגיבוי (תקנות 14 ו-18).
ספק ה-CRM: תקנה 15 והעברה לחו״ל
תקנה 15 לתקנות אבטחת מידע עוסקת בהתקשרות עם גורם חיצוני שמקבל גישה למאגר. לפני ההתקשרות יש לבחון את סיכוני אבטחת המידע, ובהסכם יש לקבוע, בין השאר: איזה מידע הספק מעבד ולאילו מטרות, לאילו מערכות הוא ניגש, משך ההתקשרות ואופן השבת המידע והשמדתו בסיומה, יישום חובות האבטחה, התחייבות לסודיות של עובדיו, אותם תנאים מול קבלני משנה, ודיווח לפחות פעם בשנה. בפועל: בקשו נספח עיבוד נתונים (DPA) ובדקו אותו מול הרשימה.
העברה לחו״ל: אם השרתים מחוץ לישראל, חלות תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א–2001. הן מתירות העברה בתנאים מסוימים — למשל למדינה שדינה מבטיח רמת הגנה שאינה פחותה מזו בישראל, או כשהמקבל התחייב בהסכם לקיים את התנאים החלים על מאגר בישראל — ודורשות התחייבות בכתב של המקבל. אם יש לכם לקוחות מאירופה, בדקו גם את תקנות 2023 — תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי), התשפ״ג–2023.
עלויות פרטיות שכדאי להכניס לתקציב
| פריט | למה | הערכה להמחשה |
|---|---|---|
| ניסוח הודעת יידוע ומדיניות פרטיות | סעיף 11 | כמה שעות של עורך דין |
| בדיקת DPA מול תקנה 15 | הסכם עם הספק | שעה–שעתיים של עורך דין |
| רמת חבילה עם לוג פעולות והרשאות | תקנות 8–10 | ההפרש בין רמות, ל-3 שנים |
| זמן פנימי להגדרת הרשאות | הטמעה | כמה שעות |
את הסכומים הכניסו למחשבון ה-TCO כעלויות שאינן לפי משתמש.
שאלות נפוצות
האם צריך הסכמה כדי לשמור לקוח ב-CRM?
חוק הגנת הפרטיות דורש בעיקר יידוע ושימוש לפי המטרה, לא בהכרח הסכמה לכל שמירה. שליחת פרסומת היא עניין אחר, וכפופה לסעיף 30א לחוק התקשורת.
מי אחראי לדליפה אצל ספק ה-CRM?
העסק נשאר אחראי כבעל השליטה, והספק אחראי לחובותיו כמחזיק ולפי ההסכם. לכן חשוב שההסכם יכלול חובת דיווח על אירוע אבטחה.
כמה זמן מותר לשמור לידים ישנים?
החוק לא קובע מספר שנים אחד לכל מאגר. עקרון המטרה אומר לא להחזיק מידע שאין לו עוד שימוש. קבעו מדיניות (למשל מחיקת לידים שלא נסגרו אחרי תקופה מסוימת) והתייעצו אם יש לכם חובות שמירה אחרות.
מאיזה תאריך תיקון 13 בתוקף?
לפי סעיף 74(א) לחוק המתקן, שפורסם בספר החוקים ב-14.8.2024, תחילתו שנה מיום הפרסום — 14 באוגוסט 2025.
מקורות רשמיים
- חוק הגנת הפרטיות — ויקיטקסט — סעיפים 8א, 11, 13, 14, 17ב1, 17ו, נוסח משולב לא רשמי
- ספר החוקים 3287 — תיקון 13 (PDF) — נוסח הפרסום ברשומות
- תקנות הגנת הפרטיות (אבטחת מידע) — ויקיטקסט — תקנות 8–18
- הרשות להגנת הפרטיות — דרך gov.il — הנחיות ופרסומים
