GDPR בישראל — מה חל עליכם בפועל
מי באמת מחויב, מה ההבדל מתיקון 13, ולמה זה כבר לא רעש רקע — אלא תנאי סף.
״אנחנו חברה ישראלית, אז GDPR לא חל עלינו״ — זה כנראה המשפט השגוי הנפוץ ביותר שאנחנו שומעים בפגישות היכרות. מהצד השני של הסקאלה יושבת טעות הפוכה ולא פחות יקרה: ״יש לנו לקוח אחד בגרמניה, אז אנחנו חייבים ציות מלא ל-GDPR״. שתי הטעויות נובעות מאותו מקור — הרגולציה האירופית חלה לפי מבחנים פונקציונליים, לא לפי מיקום גיאוגרפי של החברה, ומעטים טורחים לבדוק את המבחנים עצמם. במאמר הזה נעבור על השאלה בצורה מסודרת: מתי GDPR באמת חל על חברה ישראלית, מתי הוא לא חל למרות שנדמה שכן, מה נותנת (ומה לא נותנת) החלטת הנאותות של האיחוד האירופי כלפי ישראל, ואיך בונים תשתית ציות אחת שמשרתת גם את החוק הישראלי — כולל תיקון 13 שבתוקף מאוגוסט 2025 — וגם את הרגולציה האירופית, בלי לשלם פעמיים.
לחברות ישראליות עם זיקה כלשהי לאירופה — אתר שפונה ללקוחות אירופיים, מוצר SaaS עם משתמשים באיחוד, לקוחות אנטרפרייז אירופיים, או פעילות שיווק ואנליטיקס חוצת גבולות. אם אתם שואלים את עצמכם ״האם GDPR חל עלינו?״ — המאמר הזה נכתב בשבילכם.
המבחן האמיתי: Article 3 והתחולה האקסטריטוריאלית
ה-GDPR נבנה במכוון כך שיחול גם על חברות שאין להן שום נוכחות פיזית באירופה. Article 3 לרגולציה קובע שלושה מסלולי תחולה, וכל אחד מהם מספיק בפני עצמו. חברה ישראלית שנתפסת באחד מהם — נמצאת בתחולה מלאה, בדיוק כמו חברה צרפתית.
מסלול א׳: יש לכם Establishment באיחוד
המסלול הפשוט ביותר. אם יש לכם חברה-בת, סניף, משרד מכירות או אפילו נציגות קבועה אחת במדינת איחוד — והעיבוד של מידע אישי נעשה ״בהקשר של הפעילות״ של אותה נוכחות — GDPR חל. הפסיקה האירופית פירשה את המונח establishment בהרחבה: לא נדרשת ישות משפטית רשומה, ומספיקה פעילות ממשית ויציבה דרך סידור קבוע, גם מינימלי. סטארטאפ ישראלי שהעסיק איש מכירות אחד בברלין כבר עשוי לעמוד במבחן הזה.
מסלול ב׳: אתם מציעים מוצרים או שירותים לאנשים באיחוד
כאן נמצא רוב שוק ה-SaaS והאיקומרס הישראלי. אם אתם מכוונים את הפעילות שלכם לאנשים שנמצאים באיחוד האירופי — GDPR חל, וגם אם השירות ניתן בחינם. המבחן הוא מבחן כוונה: האם ניכר שאתם ״מתכננים״ להציע לשוק האירופי. סימנים מצטברים שהרגולטורים ובתי המשפט מסתכלים עליהם:
- אתר בשפות אירופיות — גרסה בגרמנית, צרפתית או איטלקית היא אינדיקציה חזקה. אנגלית לבדה היא סימן חלש יותר, כי היא שפה בינלאומית, אבל בצירוף סימנים נוספים היא מצטרפת לתמונה.
- מחירים ביורו או במטבעות אירופיים אחרים בעמוד התמחור.
- שילוח פיזי לאירופה, אפשרות לבחור מדינת איחוד בטופס ההזמנה, או תנאי שימוש שמזכירים לקוחות אירופיים.
- שיווק ממוקד גיאוגרפית — קמפיינים שמטרגטים מדינות איחוד, דומיין מקומי (.de, .fr), עדויות של לקוחות אירופיים בעמוד הבית.
מסלול ג׳: אתם עוקבים אחרי התנהגות של אנשים באיחוד
המסלול שהכי קל ליפול אליו בלי לשים לב. אם אתם מנטרים התנהגות של אנשים הנמצאים באיחוד — GDPR חל על אותו עיבוד. בפועל זה כולל אנליטיקס התנהגותי שבונה פרופיל משתמש, פרסום ממוקד (Retargeting) שמבוסס על עוקבנים (Cookies) ומזהים, כלי הקלטת סשנים ומפות חום, והתאמה פרסונלית של תוכן על בסיס מעקב. חברה ישראלית שמריצה קמפיין Retargeting על גולשים מהולנד עוסקת ב-Monitoring במובן של Article 3(2)(b) — גם אם אין לה שקל אחד של הכנסות מאירופה.
מה לא מפעיל GDPR — ההרגעה שמגיעה לכם
חשוב לומר גם את הצד השני, כי ציות-יתר עולה כסף ומסיט משאבים מהחובות שבאמת חלות עליכם (ובראשן החוק הישראלי ותיקון 13):
- לקוח אירופי B2B מזדמן שהגיע אליכם ביוזמתו אינו מפעיל, לבדו ובהכרח, את התחולה. המבחן במסלול ב׳ הוא כיוון ממכוון של הפעילות לשוק האירופי — לא עסקה בודדת שנפלה עליכם. חברה שכל האתר שלה בעברית, המחירים בשקלים והשיווק מקומי, לא הופכת כפופה ל-GDPR כי מנכ״ל בלגי מצא אותה בגוגל וחתם הסכם.
- שרת או ספק ענן באירופה לבדו אינו מקים תחולה. העובדה שהדאטה שלכם יושבת ב-Data Center בפרנקפורט לא הופכת אתכם לכפופים ל-GDPR — מיקום התשתית אינו אחד ממבחני Article 3.
- עובדים ישראלים שנוסעים לאירופה או משתמשים אירופיים אקראיים שהגיעו לאתר עברי — נוכחות אגבית של נושאי מידע באיחוד אינה שקולה לכוונה להציע להם שירות או לעקוב אחריהם.
התחולה נבחנת לפי המצב בפועל, לא לפי ההחלטה ההיסטורית. חברה שהתחילה ישראלית לגמרי ובהדרגה הוסיפה עמוד תמחור ביורו, גרסת אתר בגרמנית וקמפיין ממומן בצרפת — נכנסה לתחולה בלי שאף אחד עצר לרגע וסימן את זה. שווה לבחון את השאלה מחדש אחת לשנה, ובכל השקה של שוק חדש.
החלטת הנאותות: מה ישראל קיבלה — ומה היא לא קיבלה
ישראל היא אחת המדינות הבודדות מחוץ לאירופה שהאיחוד האירופי מכיר בהן כבעלות רמת הגנה נאותה (Adequacy) על מידע אישי. ההחלטה הזו נבחנה מחדש על ידי הנציבות האירופית וחודשה ב-2024, לאחר בדיקה מקיפה של המשטר הישראלי — ותיקון 13, שקירב את הדין הישראלי לסטנדרטים האירופיים בתחומים כמו זכויות נושאי מידע, ממונה הגנת פרטיות וסמכויות אכיפה, הוא חלק מרכזי ממה ששומר על ההכרה הזו. במילים אחרות: העמידה של המשק הישראלי בתיקון 13 היא לא רק עניין מקומי, אלא נכס אסטרטגי של כלכלת הייצוא כולה.
מה הנאותות נותנת לכם
היתרון המעשי הגדול: מידע אישי יכול לזרום מהאיחוד האירופי לישראל בלי מנגנוני העברה מיוחדים — בלי Standard Contractual Clauses (SCC), בלי Transfer Impact Assessment ובלי אישורים פרטניים. עבור חברה ישראלית שמעבדת דאטה עבור לקוחות אירופיים, זה יתרון תחרותי אמיתי מול מתחרות ממדינות ללא נאותות: הלקוח האירופי יכול להעביר אליכם מידע כמו שהוא מעביר לספק בתוך האיחוד, מבחינת מנגנון ההעברה.
מה הנאותות לא נותנת לכם
וכאן הטעות הנפוצה השנייה: נאותות אינה פטור מ-GDPR. ההחלטה עוסקת אך ורק בשאלת ההעברה של מידע מהאיחוד החוצה. אם אתם בעצמכם בתחולת Article 3 — כי אתם מציעים שירותים לאנשים באיחוד או עוקבים אחרי התנהגותם — אתם חייבים בציות מלא ל-GDPR: בסיס עיבוד חוקי, שקיפות, מענה לזכויות, דיווח פרצות לרגולטור האירופי הרלוונטי, ולעיתים גם מינוי נציג באיחוד. הנאותות פותרת ללקוח האירופי שלכם את בעיית ההעברה; היא לא פותרת לכם את בעיית התחולה.
ישראל מול אירופה: טבלת ההשוואה שכל מנהל צריך להכיר
גם אחרי תיקון 13, שקירב מאוד את שתי המערכות, נשארו ביניהן הבדלים מהותיים. מי שכפוף לשתיהן חייב להכיר את נקודות הפער — כי דווקא שם נופלים תהליכי ציות שנבנו רק לפי אחת מהן:
| נושא | חוק ישראלי + תיקון 13 | GDPR |
|---|---|---|
| בסיס חוקי לעיבוד | הסכמה היא הבסיס המרכזי לפגיעה מותרת בפרטיות, לצד הסמכות שבדין | שישה בסיסי עיבוד שווי מעמד — הסכמה, חוזה, חובה חוקית, אינטרס חיוני, משימה ציבורית ואינטרס לגיטימי |
| תיעוד ורישום | רישום מאגרים מצומצם (בעיקר גופים ציבוריים וסוחרי מידע) + חובת תיעוד פנימי של מאגרים | ROPA — רשומות פעילויות עיבוד לפי Article 30, ללא רישום אצל הרגולטור |
| זכות מחיקה | זכות מחיקה מוגבלת יחסית, שהורחבה בתיקון 13 אך עדיין צרה בהיקפה | Right to be Forgotten רחב לפי Article 17, עם רשימת עילות וחריגים מפורטת |
| דיווח על פרצת אבטחה | דיווח לרשות להגנת הפרטיות ״ללא דיחוי״ באירועים החייבים בדיווח — ללא מסגרת שעות נקובה | דיווח לרשות הפיקוח בתוך 72 שעות מרגע הגילוי, אלא אם אין סיכון לנושאי המידע |
| עיצומים כספיים | עיצומים מדורגים שנגזרים מסוג ההפרה, היקף הרשומות ורגישות המידע | עד 4% מהמחזור השנתי העולמי או 20 מיליון יורו — הגבוה מביניהם |
| ממונה הגנת פרטיות / DPO | חובת מינוי לפי תיקון 13 — מאגרים גדולים, מידע רגיש בהיקף משמעותי וגופים ציבוריים | חובת DPO לפי Article 37 — רשויות ציבוריות, ניטור שיטתי בהיקף רחב או עיבוד נרחב של מידע רגיש |
שימו לב במיוחד לשורת הדיווח על פרצות: ארגון שבנה נוהל תגובה לפי ״יש לנו 72 שעות״ עלול לגלות שבישראל הסטנדרט הוא ״ללא דיחוי״ — כלומר, במקרים מסוימים מוקדם יותר. נוהל דו-משטרי נכון מגדיר את שני מסלולי הדיווח מראש, עם גורם מחליט אחד.
ציות כפול חכם: תשתית אחת, שני משטרים
החדשות הטובות: כ-80% מעבודת הציות משותפת לשני המשטרים. מי שבונה נכון לא מנהל שתי תוכניות ציות מקבילות אלא תשתית אחת עם שכבת התאמות. כך זה נראה בפועל:
- מיפוי מידע אחד. מיפוי מאגרים ותהליכי עיבוד שנבנה נכון משרת בו-זמנית את חובת התיעוד הפנימי הישראלית ואת ה-ROPA האירופי. עמודה אחת נוספת בטבלה — בסיס העיבוד לפי GDPR — וסגרתם את שתי הדרישות.
- מדיניות פרטיות דו-שכבתית. שכבת בסיס משותפת (מה נאסף, למה, למי מועבר, כמה זמן נשמר) ושכבת התאמות פר-משטר: זכויות לפי תיקון 13 לקהל הישראלי, זכויות לפי Chapter III לקהל האירופי. עדיף שני מסמכים תואמים ממסמך אחד מבולבל.
- הסכמי עיבוד (DPA) בסטנדרט הגבוה. אם חותמים מול כל הספקים על DPA שעומד בדרישות Article 28 של GDPR — עמדתם ממילא גם בדרישת הסכמי העיבוד של הדין הישראלי. כאן משתלם ליישר תמיד לרף הגבוה.
- נציג באיחוד לפי Article 27, אם נדרש. חברה בתחולת GDPR ללא establishment באיחוד חייבת ככלל למנות נציג (EU Representative) באחת ממדינות האיחוד שבהן נמצאים נושאי המידע — כתובת מקומית לרגולטורים ולנושאי מידע. יש פטור לעיבוד מזדמן, בהיקף קטן וללא מידע רגיש — אבל אל תניחו שאתם בפטור בלי בדיקה.
- נוהל פרצה אחד עם שני שעונים. זיהוי, הערכה והחלטה — משותפים; ההבדל הוא רק בכתובת הדיווח ובלוח הזמנים (״ללא דיחוי״ בישראל, 72 שעות באירופה). תרגול שולחני אחד מכסה את שניהם.
מי שכבר עבר תהליך עמידה בתיקון 13 נמצא בנקודת פתיחה מצוינת: המיפוי, המדיניות, ה-DPA-ים ונוהל הפרצה כבר קיימים, והדרך ל-GDPR היא השלמה — לא התחלה מאפס. אם עדיין לא עברתם את התהליך הזה, התחילו ממדריך העמידה בתיקון 13 שלנו — הוא הבסיס שהכול נבנה עליו.
סקר הסיכונים האונליין שלנו ממפה בחמש דקות את הפערים המרכזיים שלכם — כולל אינדיקציה לחובות שחלות עליכם לפי הדין הישראלי. חינם, בלי התחייבות, עם ציון מוכנות מיידי.
למה זה כבר תנאי סף עסקי, לא רק שאלה משפטית
בשנים האחרונות השאלה ״האם אתם GDPR-compliant?״ עברה מהמחלקה המשפטית של הלקוח האירופי לשאלון הספקים הסטנדרטי שלו. כמעט כל תאגיד אירופי — וגם חברות ישראליות שמוכרות לאירופה — מריץ היום ביקורת ספקים (Vendor Assessment) לפני חתימה: שאלוני פרטיות ואבטחה, דרישה ל-DPA, הוכחות למיפוי מידע ולנוהל פרצה, ולעיתים ביקורת בפועל. חברה ישראלית שלא יכולה להציג תשובות מסודרות לא מפסידה בגלל קנס — היא מפסידה את העסקה, לפעמים בלי לדעת שזו הסיבה. ציות ל-GDPR, כמו עמידה בתיקון 13, הפך מסעיף עלות למכפיל מכירות: הוא מקצר תהליכי Procurement, מוריד חיכוך משפטי ומשדר בגרות ארגונית בדיוק בשלב שבו הלקוח מחליט אם לסמוך עליכם עם הדאטה שלו.
השורה התחתונה
GDPR לא חל על ״כל מי שנוגע באירופה״ — אבל הוא כן חל על הרבה יותר חברות ישראליות ממה שנדמה להן, ובעיקר על אלה שמפעילות שיווק דיגיטלי ואנליטיקס בלי לחשוב על גיאוגרפיה. הצעד הראשון הוא בדיקת תחולה מסודרת לפי שלושת מסלולי Article 3; השני הוא הבנה שהנאותות של ישראל פותרת את בעיית ההעברה אבל לא את בעיית התחולה; והשלישי הוא בניית תשתית ציות אחת, שתיקון 13 הוא הבסיס שלה וה-GDPR הוא שכבת ההרחבה. מי שעושה את זה בסדר הנכון מגלה שציות כפול הוא לא כפל עלויות — הוא אותה עבודה, עם עוד כמה עמודות בטבלה.
Cybertis מלווה חברות ישראליות בציות כפול לתיקון 13 ול-GDPR — מבדיקת תחולה ו-Gap Assessment, דרך מדיניות דו-שכבתית והסכמי עיבוד, ועד ליווי שוטף מול לקוחות ורגולטורים אירופיים. הפגישה הראשונה עלינו.
לשירות פרטיות ו-GDPR*האמור במאמר זה הוא מידע כללי בלבד ואינו מהווה ייעוץ משפטי. שאלת התחולה של GDPR ושל הדין הישראלי מחייבת בחינה פרטנית של נסיבות הארגון, ובמקרים המתאימים — התייעצות עם עורך דין המתמחה בהגנת מידע ופרטיות.*