GDPR מול חוק הגנת הפרטיות הישראלי — מה ההבדלים?

למה בכלל להשוות

בשנתיים האחרונות, כל פגישה עם לקוח שעובד עם חברה בינלאומית מסתיימת בשאלה: "אז מה ההבדל בין ה-GDPR האירופי לחוק הישראלי?". סוכן שמכיר את שתי המערכות מרוויח אמון מיידי. יתרה מכך: תיקון 13 שאושר ב-2024 הפך חלק גדול מהחוק הישראלי לתואם ל-GDPR, אבל נשארו הבדלים מהותיים שכדאי להכיר.

דמיון בין השתיים

• הגדרה רחבה של מידע אישי — לא רק פרטים "רגישים" אלא כל מידע שניתן לזהות ממנו אדם
• עקרון מזעור מידע — לאסוף רק את מה שנדרש למטרה
• חובת שקיפות — הודעת פרטיות ברורה לפני איסוף
• חובת DPO — בגופים מעל סף גודל מסוים
• חובת דיווח על דליפה — ל-72 שעות
• זכויות נושא המידע — עיון, מחיקה, תיקון, ניידות

הבדלים מרכזיים

1. סף גודל לחובות

• GDPR: מחיל חובות DPO על כל גוף שמעבד מידע רגיש באופן שיטתי, ללא סף גודל מדויק
• חוק ישראלי: DPO חובה בגופים עם 10+ עובדים או בגופים שמעבדים מידע רגיש בהיקף מסוים

2. גובה קנסות

• GDPR: עד 20 מיליון יורו או 4% מהמחזור הגלובלי (הגבוה מבין השניים)
• חוק ישראלי: עד 3.2 מיליון ש"ח או 5% מהמחזור המקומי
• ההבדל מובן: השוק האירופי גדול משמעותית, אבל הקנס בישראל עדיין משמעותי לסוכן ממוצע

3. הסכמה של הלקוח

• GDPR: הסכמה חייבת להיות מפורשת, מודעת, ניתנת לחזרה בכל רגע
• חוק ישראלי: הסכמה מפורשת נדרשת רק במקרים מסוימים (מידע רגיש, שיווק ישיר). ברוב המקרים מספיקה הסכמה מכללא בתנאי שהלקוח יודע

4. העברת מידע מחוץ למדינה

• GDPR: אסור להעביר מידע למדינה שלא הוגדרה "בטוחה" (Adequacy Decision) ללא ערבויות נוספות (SCC, BCR)
• חוק ישראלי: מותר להעביר, אך נדרש להבטיח רמת הגנה דומה. פחות פורמלי מ-GDPR

5. זכות ניידות

• GDPR: מחייבת פורמט מובנה, נגיש, שניתן להעביר לספק אחר
• חוק ישראלי: נכלל בתיקון 13, אבל היישום עדיין בהתפתחות

6. Privacy by Design

• GDPR: עיקרון חוקי מפורש — פיתוח מוצרים חייב לכלול פרטיות מהיסוד
• חוק ישראלי: לא מפורש בחוק, אבל נדרש בפועל בהחלטות הרשות

דוגמאות פרקטיות לסוכן

מקרה 1 - לקוח שעובד ב-SAP גרמניה

פונה עם שאלה על ביטוח בריאות בישראל. חשוב: אם אתה שולח לו הצעה במייל ורוצה לגבות את זה ב-CRM, זה כפוף גם ל-GDPR וגם לחוק הישראלי. פתרון: השתמש בטופס באתר עם checkbox של הסכמה מפורשת + מדיניות פרטיות ברורה.

מקרה 2 - שימוש בכלי AI אמריקאי (ChatGPT, Claude)

העברה של מידע לקוח לארה"ב. תחת GDPR: אסור בלי SCC. תחת חוק ישראלי: מותר עם הסכמה + בדיקה שהספק עומד בסטנדרט. הפרקטי: השתמש רק בגרסאות Enterprise עם DPA + אל תכניס מידע מזהה.

מקרה 3 - קבוצת WhatsApp של סוכנים

שיתוף שאלה עם מספר טלפון של לקוח (גם בלי שם). תחת שני החוקים: הפרה. כתוצאה מכך בישראל = קנס עד 40,000 ש"ח. באירופה = קנס פוטנציאלי משמעותית יותר.

איך זה משפיע על יומיום העבודה

• אם יש לך אפילו לקוח בודד מאירופה — אתה חשוף לשני החוקים
• אתר שלך צריך מדיניות פרטיות דו-לשונית (עברית + אנגלית) אם יש טרפיק זר
• Cookie banner באתר: תחת GDPR חובה מפורשת, תחת החוק הישראלי המלצה חזקה מ-2026

מה כדאי לעשות עכשיו

1. בדוק אם יש לך אפילו לקוח אחד עם אזרחות אירופית — אם כן, אתה בתחולת GDPR
2. עדכן את מדיניות הפרטיות באתר לכלול את שני הצדדים
3. הגדר Cookie Banner באתר (אם עוד לא)
4. השתמש רק בכלי AI עם BAA/DPA — בין אם ה-GDPR חל עליך ובין אם לא

סיכום

הפער בין GDPR לחוק הישראלי מצטמצם משנה לשנה. תיקון 13 קירב את שני הצדדים משמעותית. הכללים הפרקטיים כמעט זהים: הסכמה, שקיפות, אבטחה, זכויות. סוכן ישראלי שמיישם GDPR-ready — עומד בכל הדרישות המקומיות בפועל.