בקצרה
GDPR חל על חברה ישראלית שאין לה סניף באיחוד האירופי כשהיא מציעה סחורות או שירותים לאנשים באיחוד, או עוקבת אחרי התנהגותם שם (סעיף 3(2)). חברה כזו צריכה בדרך כלל למנות נציג באיחוד (סעיף 27), לחתום על הסכמי עיבוד עם ספקים ולעמוד בשאר חובות הרגולציה. החלטת ההלימות של האיחוד לגבי ישראל, שאושרה מחדש בסקירה של ינואר 2024, מקלה על העברת מידע מאירופה לישראל אבל אינה פוטרת מ-GDPR. בישראל, תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025.
הנקודות החשובות
- 1עצם הנגישות של אתר מאירופה אינה מחילה GDPR; הצעה ממוקדת ללקוחות באיחוד או מעקב אחרי התנהגותם שם - כן.
- 2חברה ישראלית שחל עליה GDPR לפי סעיף 3(2) צריכה בדרך כלל נציג בכתב באיחוד, אלא אם העיבוד מזדמן ובסיכון נמוך.
- 3החלטת ההלימות לישראל (2011) הוכרה כתקפה בסקירת הנציבות מ-15 בינואר 2024; היא נוגעת להעברת מידע, לא לחובות השוטפות.
- 4תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025 והרחיב את סמכויות האכיפה של הרשות להגנת הפרטיות.
- 5עם כל ספק שמעבד מידע אישי בשם החברה חותמים על הסכם עיבוד (DPA) לפי סעיף 28.
חברת תוכנה מתל אביב שמוכרת מנויים בגרמניה, חנות מקוונת מישראל שמשלוחיה מגיעים לרומניה, או חברת שיווק שמפעילה קמפיינים ממוקדים בצרפת - כולן עשויות להיות כפופות לתקנת הגנת המידע הכללית של האיחוד האירופי (GDPR), גם בלי משרד, עובד או חשבון בנק באירופה. המדריך מסביר מתי זה קורה, מה החובות המרכזיות, מה המשמעות של החלטת ההלימות לישראל ושל תיקון 13 לחוק הגנת הפרטיות, ומה לבדוק. הוא נכון לנובמבר 2026.
מתי GDPR חל על חברה ישראלית בלי נוכחות באירופה?
לפי סעיף 3(2) ל-GDPR, התקנה חלה על גוף שאינו מבוסס באיחוד כשהעיבוד קשור לאחת משתי פעילויות: הצעת סחורות או שירותים לנושאי מידע שנמצאים באיחוד, בתשלום או בחינם, או מעקב אחרי התנהגותם ככל שההתנהגות מתרחשת באיחוד.
| מצב | האם GDPR חל בדרך כלל? | למה |
|---|---|---|
| אתר באנגלית בלבד, בלי פנייה לשוק אירופי, שאירופאי נכנס אליו במקרה | בדרך כלל לא | נגישות האתר לבדה אינה מספיקה לפי מבוא 23 לתקנה |
| אתר בגרמנית, מחירים ביורו ומשלוח לאיחוד | כן | סימנים ברורים לכוונה להציע סחורות לאנשים באיחוד |
| אפליקציה שמשתמשת בעוגיות ובפרופיילינג לפרסום ממוקד למשתמשים באיחוד | כן | מעקב אחרי התנהגות שמתרחשת באיחוד |
| שירות B2B לחברות אירופיות, שבו החברה הישראלית מעבדת מידע של עובדי הלקוח | תלוי; לרוב החברה היא מעבד מידע | הלקוח האירופי הוא בעל השליטה, והוא יחייב הסכם עיבוד וחובות אבטחה |
| תושב ישראל שהוא אזרח אירופי ומשתמש בשירות בישראל | בדרך כלל לא בגלל אזרחותו | המבחן הוא מקום הימצאות האדם, לא אזרחותו |
הקווים המנחים של ה-EDPB על תחולה טריטוריאלית מתייחסים לסימנים כמו שפה או מטבע של מדינה חברה, הזכרת לקוחות באיחוד, קמפיינים ממוקדים, משלוח לאיחוד ודומיין מקומי. סימן אחד לא תמיד מכריע; התמונה הכוללת היא הקובעת.
מה החובות המרכזיות כש-GDPR חל?
החובות דומות לאלה של חברה אירופית: בסיס חוקי לכל עיבוד, שקיפות כלפי המשתמשים, כיבוד זכויותיהם, אבטחת מידע ודיווח על אירועי אבטחה. ההבדל העיקרי לחברה מחוץ לאיחוד הוא חובת מינוי נציג.
- בסיס חוקי: לכל מטרת עיבוד צריך בסיס מסעיף 6 - הסכמה, צורך לביצוע חוזה, חובה חוקית, אינטרס לגיטימי ועוד.
- מדיניות פרטיות: מידע ברור על מה נאסף, למה, כמה זמן נשמר, למי מועבר ואילו זכויות יש למשתמש.
- זכויות נושאי המידע: עיון, תיקון, מחיקה, הגבלה, ניוד והתנגדות, עם תהליך פנימי למענה במועד.
- רשומת פעילויות עיבוד לפי סעיף 30, בכפוף לחריגים לגופים קטנים.
- אבטחה והודעה על אירוע: אמצעי אבטחה מתאימים, ובאירוע אבטחה שיש בו סיכון - הודעה לרשות הפיקוח בתוך 72 שעות, ככלל.
- העברות מידע: העברה מהאיחוד למדינה שלישית מחייבת בסיס - החלטת הלימות, סעיפים חוזיים סטנדרטיים או מנגנון אחר.
האם חברה ישראלית צריכה נציג באיחוד לפי סעיף 27?
בדרך כלל כן. סעיף 27 קובע שכאשר סעיף 3(2) חל, בעל השליטה או המעבד ימנו בכתב נציג באיחוד. הנציג צריך להיות מבוסס באחת המדינות שבהן נמצאים נושאי המידע שהחברה מציעה להם שירותים או עוקבת אחריהם.
- החריג: החובה לא חלה על עיבוד מזדמן, שאינו כולל עיבוד בהיקף גדול של קטגוריות מיוחדות של מידע (כמו בריאות) או של מידע על הרשעות, ושלא צפוי לסכן את זכויות האנשים. חברה שמוכרת באופן שוטף לאירופה תתקשה בדרך כלל להיכנס לחריג.
- תפקיד הנציג: כתובת לפניות של רשויות הפיקוח ושל נושאי המידע, וניהול רשומת העיבוד לבקשת הרשות. הוא אינו מחליף ממונה הגנת מידע (DPO), שחובת מינויו נבחנת בנפרד.
- איך ממנים: בהסכם כתוב עם הנציג, ומפרסמים את פרטיו במדיניות הפרטיות.
- אחריות: מינוי נציג אינו מעביר אליו את האחריות של החברה; החברה נשארת אחראית לעמידה בתקנה.
מה נותנת החלטת ההלימות של האיחוד לגבי ישראל?
החלטת הנציבות 2011/61/EU מינואר 2011 קבעה שישראל מעניקה רמת הגנה נאותה למידע אישי שמועבר אליה מהאיחוד. ב-15 בינואר 2024 פרסמה הנציבות את הדוח על הסקירה הראשונה של אחת-עשרה החלטות הלימות ישנות, ובכללן ישראל, וקבעה שהן ממשיכות לחול.
- מה היא מקלה: לקוח או שותף אירופי יכול להעביר מידע אישי לחברה בישראל בלי סעיפים חוזיים סטנדרטיים ובלי הערכת סיכון העברה נפרדת, במסגרת ההחלטה.
- מה היא לא עושה: היא לא פוטרת את החברה הישראלית מ-GDPR כשסעיף 3(2) חל, ולא מבטלת את חובת הנציג, הסכם העיבוד או הזכויות של המשתמשים.
- העברה הלאה: כשהחברה הישראלית מעבירה את המידע לספק במדינה שלישית אחרת, כמו שירות ענן בארה״ב, צריך בסיס נפרד להעברה הזו.
- מעקב: הנציבות הודיעה שתמשיך לעקוב אחר ההתפתחויות במדינות הנסקרות, וארגוני חברה אזרחית קראו לבחון מחדש את ההחלטה לגבי ישראל. כדאי לעקוב אחר עדכונים.
מה השתנה בישראל עם תיקון 13 לחוק הגנת הפרטיות?
תיקון 13 לחוק הגנת הפרטיות, התשמ״א-1981, אושר בכנסת באוגוסט 2024 ונכנס לתוקף ב-14 באוגוסט 2025. הוא הרחיב את סמכויות הרשות להגנת הפרטיות, כולל סמכות להטיל עיצומים כספיים, וקבע חובה למנות ממונה על הגנת הפרטיות בגופים מסוימים.
- ממונה הגנת פרטיות: הרשות פרסמה הנחיות, ותקופת החסד לאכיפת חובת המינוי הסתיימה ב-31 באוקטובר 2025. האם החובה חלה על חברה מסוימת תלוי בסוג הפעילות ובהיקפה.
- אכיפה: הרשות הודיעה שחלק מהעיצומים עשויים להיות מוטלים גם בלי התראה מוקדמת.
- שתי מערכות במקביל: חברה ישראלית שמוכרת לאירופה כפופה לדין הישראלי לגבי כל המאגר שלה, ול-GDPR לגבי הפעילות מול אנשים באיחוד. התאמה ל-GDPR מקלה בדרך כלל גם על העמידה בדין הישראלי, אבל הדרישות אינן זהות, וצריך לבדוק כל אחת בנפרד.
מה צריך להיות בהסכם עיבוד (DPA) עם ספקים?
כל ספק שמעבד מידע אישי בשם החברה - שירות ענן, CRM, שירות דיוור, מוקד תמיכה - צריך לחתום על הסכם עיבוד שעומד בסעיף 28. כשהחברה הישראלית היא עצמה ספק של לקוח אירופי, הלקוח ידרוש ממנה הסכם כזה.
- עיבוד רק לפי הוראות מתועדות של בעל השליטה, ולמטרות שנקבעו.
- חובת סודיות של העובדים שנחשפים למידע.
- אמצעי אבטחה מתאימים.
- תנאים להעסקת מעבד-משנה, כולל אישור מראש או הודעה ואפשרות להתנגד.
- סיוע לבעל השליטה במענה לבקשות של נושאי מידע ובהודעה על אירועי אבטחה.
- מחיקה או החזרה של המידע בסיום ההתקשרות.
- זכות ביקורת ומסירת מידע שנדרש להוכחת עמידה בחובות.
מה הכללים לעוגיות ולמעקב באתר?
לעוגיות שאינן הכרחיות לתפקוד האתר - אנליטיקה, פרסום ממוקד, פיקסלים של רשתות חברתיות - נדרשת ככלל הסכמה מראש של המשתמש באיחוד. הדרישה נובעת מסעיף 5(3) להנחיית ePrivacy, שיושמה בחוקים הלאומיים של כל מדינה, ולכן יש הבדלים בין מדינות בפרטים.
- באנר הסכמה שמאפשר לסרב בקלות כמו לאשר, בלי סימון מראש.
- אין טעינת כלים של צד שלישי לפני ההסכמה.
- מדיניות עוגיות עם רשימת הכלים, המטרות ותקופות השמירה.
- תיעוד ההסכמה ואפשרות לחזור בה.
רשימת בדיקה לחברה ישראלית שמוכרת לאירופה
- ממפים: איזה מידע אישי נאסף מאנשים באיחוד, איפה הוא נשמר ולאילו ספקים הוא עובר.
- קובעים תחולה: האם יש הצעה ממוקדת או מעקב, לפי סעיף 3(2).
- ממנים נציג באיחוד אם החריג אינו חל, ומפרסמים את פרטיו.
- בודקים חובת DPO לפי GDPR ולפי תיקון 13 בישראל.
- מעדכנים מדיניות פרטיות ועוגיות ומתקינים מנגנון הסכמה.
- חותמים על הסכמי עיבוד עם כל הספקים, ובודקים בסיס להעברות הלאה מחוץ לישראל ולאיחוד.
- מכינים נוהל אירוע אבטחה שמאפשר לעמוד במועד ההודעה.
- מכינים תהליך למענה לבקשות של נושאי מידע.
- מתעדים את ההחלטות, כולל רשומת עיבוד והערכות השפעה כשנדרשות.
לפי סעיף 83 ל-GDPR, הפרת חובות כמו מינוי נציג, הסכם עיבוד ואבטחה עשויה להוביל לקנס של עד 10 מיליון אירו או 2% מהמחזור העולמי השנתי, הגבוה מביניהם; הפרה של עקרונות העיבוד, הבסיס החוקי וזכויות נושאי המידע - עד 20 מיליון אירו או 4%. גובה הקנס בפועל נקבע לפי נסיבות המקרה.
מה לבדוק לפני שנכנסים לשוק האירופי, ואיך אנחנו מלווים את זה
לפני השקת מוצר או קמפיין באירופה כדאי לבדוק אם הפעילות מחילה GDPR, אילו חוזים חסרים מול ספקים ולקוחות, ואיך ההתאמה ל-GDPR משתלבת עם הדרישות הישראליות שאחרי תיקון 13. אנחנו מסייעים בניתוח התחולה, בבדיקה ובניסוח של הסכמי עיבוד, תנאי שימוש ומדיניות פרטיות, ובתיאום עם נציג באיחוד ועם יועצים טכנולוגיים ומקומיים לפי הצורך.
המדריך הוא מידע כללי נכון לנובמבר 2026 ואינו ייעוץ משפטי. החלת GDPR ודיני הפרטיות בישראל תלויה בעובדות של כל פעילות, וכל מקרה נבדק לגופו.
עוד בנושא: חברה ישראלית שפועלת ברומניה · חברה בחו״ל: השוואה בין מדינות · עסקים עם שותף ישראלי
שאלות נפוצות
האם GDPR חל על חברה ישראלית?
כן, כשהיא מציעה סחורות או שירותים לאנשים שנמצאים באיחוד האירופי, או עוקבת אחרי התנהגותם שם, גם בלי סניף באירופה. אתר שפשוט נגיש מאירופה, בלי פנייה לשוק האירופי, בדרך כלל לא מספיק.
מה זה נציג GDPR באיחוד ומי צריך אותו?
נציג הוא אדם או חברה באחת ממדינות האיחוד שממונה בכתב לשמש כתובת לרשויות ולמשתמשים. הוא נדרש מגוף מחוץ לאיחוד שחל עליו GDPR לפי סעיף 3(2), אלא אם העיבוד מזדמן, בסיכון נמוך ואינו כולל עיבוד בהיקף גדול של מידע רגיש.
האם ישראל מדינה בעלת הלימות לפי GDPR?
כן. החלטת הנציבות מ-2011 קבעה שישראל מעניקה הגנה נאותה, והסקירה שפורסמה ב-15 בינואר 2024 קבעה שההחלטה ממשיכה לחול. ההחלטה מקלה על העברת מידע מהאיחוד לישראל, אבל אינה פוטרת חברה ישראלית מ-GDPR.
מתי נכנס לתוקף תיקון 13 לחוק הגנת הפרטיות?
ב-14 באוגוסט 2025. התיקון הרחיב את סמכויות הרשות להגנת הפרטיות, כולל עיצומים כספיים, וקבע חובת מינוי ממונה הגנת פרטיות בגופים מסוימים.
האם חברת SaaS ישראלית שמוכרת לחברות באירופה צריכה DPA?
כן. כשהיא מעבדת מידע אישי בשם הלקוח האירופי, היא מעבד מידע, והלקוח חייב לחתום איתה על הסכם עיבוד לפי סעיף 28. היא צריכה גם הסכמים דומים עם מעבדי המשנה שלה.
האם צריך באנר עוגיות באתר ישראלי שפונה לאירופה?
אם האתר משתמש בעוגיות שאינן הכרחיות, כמו אנליטיקה או פרסום ממוקד, נדרשת ככלל הסכמה מראש ממשתמשים באיחוד, לפי הנחיית ePrivacy והחוקים הלאומיים שיישמו אותה.
מה הקנס על אי עמידה ב-GDPR?
סעיף 83 קובע תקרות של עד 10 מיליון אירו או 2% מהמחזור העולמי לחלק מההפרות, ועד 20 מיליון אירו או 4% להפרות חמורות יותר. הקנס בפועל נקבע לפי הנסיבות.
האם אזרח אירופי שגר בישראל מוגן ב-GDPR?
בדרך כלל לא בגלל אזרחותו בלבד. סעיף 3(2) מתייחס לאנשים שנמצאים באיחוד, ולכן המבחן הוא מקום הימצאותם בזמן ההצעה או המעקב.
הקריאה הבאה · 10 דק׳ קריאהמוסד קבע ועובד מרחוק בחו״ל: מתי חברה ישראלית חייבת במס במדינת העובד, ומה עם שכר וביטוח לאומיעובד שעובד מהבית בחו״ל עלול ליצור לחברה ישראלית מוסד קבע. מקום עסקים קבוע, סוכן תלוי, אתר בנייה, עדכון OECD 2025 לעבודה מהבית, שכר וביטוח לאומי.לקריאת המדריךמקורות
- EUR-Lex - Regulation (EU) 2016/679 (GDPR)
- GDPR סעיף 27 - נציגים של גופים שאינם מבוססים באיחוד
- EDPB - Guidelines 3/2018 on the territorial scope of the GDPR
- European Commission - Adequacy decisions (כולל הסקירה מ-15.1.2024)
- EUR-Lex - Commission Decision 2011/61/EU (Israel)
- Pearl Cohen - Israel: Significant amendment to the Privacy Law takes effect (ספטמבר 2025)
- EUR-Lex - Directive 2002/58/EC (ePrivacy)
