תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025, מהווה מהפכה משפטית שמשנה את כללי הטיפול בנתוני שכר בארגונים בישראל. נתוני שכר מוגדרים כעת כמידע רגיש במיוחד, והעדר עמידה בדרישות החוק עלול לגרור עיצומים כספיים של מאות אלפי שקלים, חשיפה משפטית ופגיעה חמורה במוניטין הארגוני. מעסיקים, מנהלי שכר ואנשי משאבי אנוש חייבים להבין את ההשלכות המעשיות, לאמץ מערכות הגנה מתאימות, ולהטמיע נהלי עבודה חדשים כדי להימנע מסנקציות. מדריך זה מציג את העדכונים המשפטיים הקריטיים, השלכות ממשיות על תחום השכר, וצעדים מעשיים להגנה מלאה.
תשובה מהירה: מהן ההשלכות הקריטיות של תיקון 13 למעסיקים?
השינוי המשמעותי ביותר בתיקון 13 הוא סיווג נתוני השכר כמידע רגיש במיוחד. סיווג זה מטיל על מעסיקים אחריות מוגברת לאבטחת מידע, הגבלת גישה ותיעוד מפורט של כל פעולות הטיפול בנתונים אלה. הרשות להגנת הפרטיות קיבלה סמכויות אכיפה מורחבות, והעיצומים הכספיים הוגדלו באופן דרמטי בהשוואה לעבר.
לפי העדכונים האחרונים, בשנת 2026 טווח העיצומים נע בין 117,000 שקלים להפרה קלה ועד 293,000 שקלים להפרות חמורות. בנוסף, מוטלים עיצומים יומיים על כל יום שבו ההפרה נמשכת. המשמעות היא שכל איחור בטיפול עלול להכפיל את החובות הכספיות של הארגון. לכן, מניעת עיצומים כספיים הופכת להיות עדיפות עליונה להנהלות ומנהלי משאבי אנוש.
לפי דווח מאתר Iapp, הרשויות בישראל הגדילו משמעותית את כוחות האכיפה ואת גובה הקנסות, תוך הצבת דגש מיוחד על ארגונים שמטפלים בנתונים רגישים כמו מידע שכר ופיננסי של עובדים.
- סיווג חדש של נתוני שכר – מידע רגיש במיוחד המחייב הגנה מוגברת והצפנה ברמה גבוהה.
- חובת מינוי ממונה על הגנת פרטיות – חלה על ארגונים שמטפלים בנתונים רגישים בהיקף משמעותי, כולל נתוני שכר.
- עיצומים כספיים מוגברים – החל מ-117,000 שקלים ועד 293,000 שקלים לפי חומרת ההפרה בשנת 2026.
- חובת דיווח על אירועי אבטחה – דיווח לרשות תוך 72 שעות מרגע גילוי דליפת מידע או חשיפה בלתי מורשית.
- תיעוד מלא של פעולות טיפול – רישום של כל גישה לנתוני שכר, לרבות זהות הגורם המטפל ומועד הפעולה.
- אחריות אישית של בעלי תפקידים – מנהלים וקציני אבטחה חשופים לאחריות משפטית בעקבות הפרות.
העדכונים המשפטיים המרכזיים בתיקון 13 שכל מעסיק חייב להכיר
תיקון 13 לחוק הגנת הפרטיות מציג הגדרות חדשות שמשנות את התשתית המשפטית לניהול מידע בארגונים. המונח מידע רגיש במיוחד כולל כעת נתונים פיננסיים, ובכלל זה נתוני שכר, פנסיה וקרן השתלמות. הגדרה זו מחייבת את הארגון לנקוט אמצעי אבטחה מחמירים יותר מבעבר.
השינויים שנכנסו לתוקף החל מאוגוסט 2025 ומיושמים במלואם בשנת 2026 כוללים גם את ההגדרה של בעל מאגר מידע. כל ארגון שמחזיק בנתוני שכר, אפילו בקובץ אקסל פשוט, נחשב כעת לבעל מאגר מידע. המשמעות היא שהוא חייב ברישום מאגר מידע ובעמידה בדרישות אבטחה מפורטות. זוהי נקודה קריטית שמעסיקים רבים מתעלמים ממנה, והיא מהווה בסיס לעיצומים כספיים רבים.
הבנה מעמיקה של השלכות תיקון 13 לחוק הגנת הפרטיות היא תנאי הכרחי לכל ארגון שמטפל בנתוני עובדים. התקנות החדשות דורשות הקצאת משאבים והכשרה מתאימה לכל הגורמים העוסקים בניהול שכר. הרשות להגנת הפרטיות פרסמה הנחיות מפורטות, אך הממשק בין הדרישות החדשות לבין תחום השכר דורש התמחות ספציפית.
| תחום הדרישה | לפני תיקון 13 | אחרי תיקון 13 |
|---|---|---|
| סיווג נתוני שכר | מידע רגיל רגיל | מידע רגיש במיוחד |
| עיצום מקסימלי | עד 20,000 שקלים | עד 293,000 שקלים |
| דיווח על דליפה | ללא חובה מפורשת | תוך 72 שעות |
| מינוי ממונה | רק גופים ציבוריים | גם ארגונים פרטיים מוגדרים |
| אבטחה נדרשת | אמצעים סבירים | אמצעים מוגדרים ומחמירים |
| תיעוד פעולות | ללא דרישה מפורשת | חובת רישום מלא |
סיכוני העיצומים הכספיים: מתי הארגון שלכם נמצא בסכנה?
העיצומים הכספיים של 2026 הופכו כל הפרה לסיכון עסקי משמעותי. עצם הימצאותו של מאגר נתוני שכר ללא רישום מתאים מהווה עבירה. גם אם לא התרחשה דליפה או שימוש לרעה במידע, אי הרשמה עלולה להוביל לעיצום ראשוני ולעיצומים יומיים מצטברים.
תרחיש נפוץ הוא ארגון שמחזיק את קבצי השכר בתיקייה משותפת ברשת הפנימית ללא הצפנה או הגבלת גישה. במקרה כזה, כל עובד בארגון יכול לגשת לנתוני השכר של עמיתיו. זוהי הפרה בוטה של דרישות האבטחה, והיא עלולה להוביל לעיצום מיידי במקרה של ביקורת או תלונה.
ההגנה על העסק מחייבת הגנה על העסק מעיצומים כספיים באמצעות פעולות יזומות ולא תגובתיות. ארגונים שממתינים לביקורת או לתלונה לפני שהם מתקנים ליקויים, מוצאים את עצמם בעמדת הפסיביות מול הרשות להגנת הפרטיות. מוטב לפעול מראש ולהקים מערך שכר תקין.
לפי מידע מאתר Jdsupra, גופים שמטפלים בנתונים רגישים בהיקף משמעותי כמו בנקים, חברות ביטוח ומוסדות רפואיים נמצאים בחזית הדרישות, אך גם ארגונים פרטיים שמנהלים מידע שכר נדרשים למנות ממונה על הגנת פרטיות.
- אחסון קבצי שכר בענן ציבורי – שימוש בשירותי אחסון לא מאובטחים ללא הצפנה מתאימה מהווה הפרה חמורה.
- שיתוף תלושים במייל לא מוצפן – שליחת תלושי שכר בדואר אלקטרוני רגיל חושפת את הארגון לסיכון משפטי.
- היעדר הפרדת הרשאות – כאשר מספר עובדים ניגשים לנתוני שכר ללא צורך עסקי מובהק.
- שמירת סיסמאות בקבצים פתוחים – סיסמאות גישה למערכות שכר המאוחסנות בקובץ טקסט גלוי.
- היעדר גיבוי מאובטח – אי שמירת עותקי גיבוי מוצפנים של נתוני השכר.
| רמת הסיכון | סוג ההפרה | גובה עיצום משוער |
|---|---|---|
| נמוכה | איחור ברישום מאגר מידע | 117,000 עד 150,000 שקלים |
| בינונית | היעדר אמצעי אבטחה בסיסיים | 150,000 עד 200,000 שקלים |
| גבוהה | חשיפת מידע לגורמים לא מורשים | 200,000 עד 250,000 שקלים |
| קריטית | דליפת מידע משמעותית לציבור | 250,000 עד 293,000 שקלים |
איך ליישם את דרישות התיקון בתחום השכר: 7 צעדים מעשיים
יישום דרישות התיקון בתחום השכר הוא תהליך שיטתי שדורש הקצאת משאבים וליווי מקצועי. הצעדים הבאים מספקים מפת דרכים להתאמת הארגון לדרישות החוק ולמניעת עיצומים. כל צעד מתייחס להיבט אחר של ההגנה על נתוני השכר, וביחד הם מהווים מערך הגנה מקיף.
- מיפוי מלא של נתוני השכר בארגון
ביצוע סקר מקיף של כל המקומות שבהם מאוחסנים נתוני שכר: שרתים, מחשבים אישיים, קבצים בענן, תיקיות משותפות ואפילו הדפסות פיזיות. רישום של כל נקודות האחסון וקביעת רמת האבטחה הנדרשת לכל אחת. - הגדרת הרשאות גישה מצומצמות
קביעת רשימת מורשים שיכולים לגשת לנתוני שכר, על בסיס צורך עסקי מוכח. הגבלת הגישה לעובדים שאינם זקוקים למידע לצורך ביצוע תפקידם, והקפדה על עקרון הגישה המינימלית. - הצפנת קבצי שכר ותקשורת
הטמעת הצפנה לכל קבצי השכר המאוחסנים ולכל תקשורת המייל הכוללת תלושי שכר. שימוש בפרוטוקולים מאובטחים להעברת מידע רגיש בין הארגון לבין העובדים וגורמים חיצוניים. - הקמת מערך תיעוד ובקרה
יצירת יומן רישום מסודר של כל פעולות הטיפול בנתוני שכר, כולל זהות הגורם המטפל, מועד הפעולה וסיבת הגישה. קביעת נהלי בקרה תקופתיים לבדיקת תקינות המערך. - רישום מאגר מידע ברשות
הגשת בקשה לרישום מאגר מידע ברשות להגנת הפרטיות, אם טרם בוצעה. עדכון פרטי המאגר בכל פעם שחל שינוי מהותי באופן הטיפול בנתונים. - הכשרת העובדים והמנהלים
קיום הדרכות לכל העובדים המטפלים בנתוני שכר לגבי הדרישות החדשות והסיכונים הכרוכים באי עמידה בהן. הנגשת נהלי הפרטיות לכלל עובדי הארגון. - ביצוע ביקורת פנימית תקופתית
קיום ביקורות תקופתיות של מערך נתוני השכר על ידי גורם מקצועי חיצוני או פנימי. ביקורת פנימית מקצועית על ידי בודק שכר מוסמך מבטיחה גילוי מוקדם של ליקויים ומניעת סיכונים לפני שהם מגיעים לידי הרשות.
ממונה על הגנת פרטיות: מתי חובה למנות ומה תפקידו בתחום השכר?
אחת הדרישות החדשות והמשמעותיות בתיקון 13 היא חובת מינוי ממונה על הגנת פרטיות. דרישה זו חלה על ארגונים שמטפלים בנתונים רגישים במיוחד, כולל נתוני שכר, בהיקף משמעותי. הגדרת היקף משמעותי טרם פורשה באופן מלא, אך הרשות להגנת הפרטיות רואה בארגונים המעסיקים מעל עשרים עובדים ומחזיקים במאגרי מידע רגישים כמועמדים לחובה זו.
הממונה על הגנת הפרטיות אחראי לפקח על עמידת הארגון בדרישות החוק, לרבות בתחום נתוני השכר. תפקידיו כוללים עריכת בדיקות אבטחה תקופתיות, בדיקת בקשות לגישה למידע, טיפול בתלונות עובדים ותיאום מול הרשות להגנת הפרטיות בעת הצורך.
ארגונים יכולים לבחור בין מינוי ממונה פנימי מבין עובדי הארגון לבין מיקור חוץ לגורם חיצוני מתמחה. הבחירה תלויה בגודל הארגון, במורכבות מערך המידע ובתקציב המוקצה. פנייה לייעוץ משפטי למניעת הפרות יכולה לסייע בקבלת ההחלטה הנכונה עבור הארגון.
לפי מידע מאתר Clym, גופים שמטפלים בנתונים רגישים במיוחד בהיקף נרחב נדרשים למנות ממונה על הגנת פרטיות, וזהו תנאי יסוד לעמידה בדרישות החוק המעודכן.
שיטות עבודה מומלצות: טכנולוגיה ונהלים למניעת דליפות מידע בשכר
מניעת דליפות מידע בקבצי שכר דורשת שילוב של פתרונות טכנולוגיים ונהלים ארגוניים. ההשקעה באבטחת מידע בשכר היא לא רק דרישה חוקית אלא גם הגנה על המוניטין הארגוני ועל היחסים עם העובדים. הנה מספר שיטות עבודה מומלצות לארגונים בכל גודל.
שילוב של שירותי ייעוץ שכר מקיפים מספק לארגונים את הכלים והידע הדרושים להתמודד עם האתגרים החדשים. ייעוץ מקצועי מאפשר יישום נכון של התקנות ומניעת טעויות יקרות. בנוסף, ייעוץ שוטף מבטיח עדכון שוטף של הנהלים בהתאם לשינויים בחוק ובפרקטיקה המקובלת.
- הצפנת קבצים ברמת השרת והתחנה – שימוש בכלי הצפנה מקצועיים לכל קבצי השכר, גם כאשר הם מאוחסנים ברשת הפנימית.
- גיבוי מאובטח ומוצפן – שמירת עותקי גיבוי במיקום נפרד ומאובטח, עם הצפנה שמונעת גישה לא מורשית.
- ניהול הרשאות מבוסס תפקידים – הקצאת הרשאות גישה בהתאם לתפקיד העובד ולא לפי שיקולים אד הוקיים.
- אימות דו שלבי למערכות שכר – הוספת שכבת אבטחה נוספת בכניסה למערכות המכילות נתוני שכר.
- סיווג מידע אוטומטי – שימוש בכלים שמזהים ומסווגים אוטומטית קבצים המכילים נתוני שכר.
- ניטור והתראות על גישה חריגה – הקמת מערכת שמתריעה על גישה חשודה לנתוני שכר בשעות לא שגרתיות או ממיקומים חריגים.
מסקנות ומטלות: איך ExactPay מגן על הארגון שלכם מעיצומים
התיקון לחוק הגנת הפרטיות משנה את הכללים לניהול נתוני שכר בישראל. אלו המסקנות העיקריות שכל מעסיק חייב להפנים: נתוני שכר הם כעת מידע רגיש במיוחד, העיצומים הכספיים גבוהים משמעותית, והאחריות לאבטחת המידע מוטלת על הארגון באופן ישיר. הפעולה הנכונה היא ליישם את הדרישות באופן יזום ולא להמתין לביקורת.
הצעדים הקריטיים הם מיפוי נתוני השכר, הצבת אמצעי אבטחה מתאימים, רישום מאגר המידע וביצוע ביקורות תקופתיות. ארגונים שמטפלים בנתונים רגישים בהיקף משמעותי נדרשים גם למנות ממונה על הגנת הפרטיות.
השירותים של ExactPay נועדו בדיוק לצורך זה. ביקורת השכר המקצועית שמבוצעת על ידי בודק שכר מוסמך כוללת בדיקה מקיפה של תלושי השכר, איתור ליקויים והפרות אפשריות, ומתן המלצות מעשיות לתיקון. הליווי המשפטי מאפשר הפחתה של עיצומים כספיים קיימים, והייעוץ האסטרטגי מסייע בתכנון מערך שכר שעומד בדרישות החוק וגם חוסך עלויות.
הזמן לפעול הוא עכשיו. אי המתנה לביקורת או לתלונה עלולה לעלות לארגון במאות אלפי שקלים. פנו ללקבלת ייעוץ מקצועי מבודק שכר מוסמך ותנו למומחים של ExactPay לסייע לכם ביישום הדרישות ובהגנה על הארגון.
שאלות נפוצות: תיקון 13 לחוק הגנת הפרטיות ועיצומים כספיים
האם כל ארגון חייב למנות ממונה על הגנת פרטיות?
לא כל ארגון חייב במינוי. החובה חלה על ארגונים שמטפלים בנתונים רגישים במיוחד בהיקף משמעותי. הקריטריונים המדויקים טרם פורסמו בתקנות, אך מומלץ להתייעץ עם גורם מקצועי כדי לקבוע אם הארגון שלכם נופל תחת דרישה זו.
מה הקנס על אי רישום מאגר מידע של נתוני שכר?
העיצום יכול להגיע עד כ-150,000 שקלים. מדובר בהפרה שנחשבת לחמורה יחסית מכיוון שהיא נוגעת ליסודות הרישום והבקרה. מוטב לבצע את הרישום בהקדם ולהימנע מסיכון משפטי וכספי מיותר.
האם שליחת תלוש שכר במייל רגיל אסורה כעת?
כן, זוהי פרקטיקה בעייתית מבחינה משפטית. שליחת תלושים במייל לא מוצפן חושפת את הארגון לסיכון של חשיפת מידע רגיש. ההמלצה היא להשתמש בפורטל מאובטח או להצפין את הקבצים באמצעות סיסמה שמועברת לעובד בערוץ נפרד.
כמה זמן לוקח ליישם את דרישות התיקון בארגון קטן?
יישום בסיסי יכול להימשך מספר שבועות. מיפוי מאגרי המידע והגדרת ההרשאות הוא תהליך שניתן לבצע בתוך ימים ספורים. המשימות המורכבות יותר הן הטמעת ההצפנה והכשרת העובדים. ייעוץ מקצועי מזרז את התהליך.
מה ההבדל בין ביקורת שכר לבין ביקורת פרטיות?
מדובר בשני תחומים נפרדים אך משלימים. ביקורת שכר בודקת את נכונות התשלומים והזכויות, בעוד ביקורת פרטיות בודקת את אופן הטיפול בנתונים ואמצעי ההגנה עליהם. שילוב של שניהם מספק הגנה מקיפה לארגון.
למידע נוסף על התאמת הארגון לדרישות החדשות, ראו למי מתאים בודק שכר מוסמך.
