תיקון 73 לחוק הגנת הצרכן יולי 2026: כשהקלטת שיחה היא חובה והופכת למאגר מידע ארגוני הדורש ניהול, בקרה ואבטחה.

תיקון 73 יוצר שכבת מידע חדשה ורגישה בארגון. היערכות נכונה מחייבת לחבר בין חוק הגנת הצרכן, חוק הגנת הפרטיות ותקנות הגנת הפרטיות בנושא אבטחת מידע.

החובה החדשה אינה רק עניין של שירות לקוחות

ביולי 2026 אישרה הכנסת בקריאה שנייה ושלישית את תיקון 73 לחוק הגנת הצרכן, העוסק בהקלטת שיחות טלפוניות, בשמירתן ובמסירתן לצרכן.
לפי הודעת הכנסת, ההסדר חל על סוגי עסקאות ועוסקים המוגדרים בחוק, כאשר מחיר העסקה הוא 750 שקלים לפחות.

תיקון 73 לחוק הגנת הצרכן מחייב, בין היתר, למסור לצרכן לפי בקשתו את השיחה המוקלטת ואת פירוט מועדי השיחות ושמירתן לאורך זמן לפי התיקון.

מנקודת מבט צרכנית, מטרת התיקון היא לחזק את יכולתו של הצרכן להוכיח מה הוצג, הובטח או סוכם בשיחת המכירה.

אז למה בעצם החלטנו לכתוב את המאמר הזה ולמה הקשר בין חוק צרכנות לבין אבטחת מידע והגנת הפרטיות?
התשובה היא בתמונה הגדולה.

מנקודת המבט של הארגון, מדובר ביצירה שיטתית של נכס מידע נוסף – מאגר מידע
מאגר מידע המכיל: קובצי קול המקושרים ללקוחות, לעסקאות, למועדי התקשרות ולעיתים גם לפרטים פיננסיים, בריאותיים או אישיים אחרים.

לכן, גם כאשר החובה הישירה נובעת מחוק הגנת הצרכן, יישומה חייב להשתלב במסגרת הכוללת שבה הארגון מנהל מידע אישי, אבטחת מידע והגנה על פרטיות.

הקלטה מזוהה עשויה להיות מידע אישי הדורש שמירה על פרטיות ואבטחה

הקלטה אינה רק קובץ שמע. בדרך כלל היא נשמרת לצד מספר טלפון, שם לקוח, מספר עסקה, פרטי נציג, תאריך, שעה, משך שיחה ולעיתים תמלול או נתונים שנקלטו במערכות CRM.

כאשר ניתן לקשר את ההקלטה לאדם מזוהה או לאדם שניתן לזהותו, יש לבחון אותה בהתאם לדיני הגנת הפרטיות.
רמת הרגישות עשויה לעלות כאשר השיחה כוללת פרטים פיננסיים, נתוני אשראי, מצב רפואי, מידע משפחתי, אמצעי זיהוי או מידע אחר המסווג בחוק כמידע בעל רגישות מיוחדת.

הרשות להגנת הפרטיות מתייחסת במפורש להקלטת שיחות כאחד מאמצעי איסוף המידע האפשריים במסגרת ניהול מאגר מידע.
הרשות דורשת מארגונים לפרט את:

• מטרות המאגר
• סוגי המידע
• אמצעי האיסוף

לרבות הקלטות שיחה שהופכות למאגר מידע מרכזי ואפילו "מידע רגיש".

הקשר בין תיקון 73 לחוק הגנת הפרטיות

חובה לשמור אינה פוטרת מחובה להגן ולהגביל שימוש

תיקון 73 עשוי לחייב ארגון להחזיק הקלטות לפרק הזמן הקבוע בחוק, אך עצם קיומה של חובת שמירה אינו מאפשר שימוש בלתי מוגבל במידע.

על הארגון להגדיר מדוע ההקלטות נשמרות, מי רשאי להשתמש בהן, לאילו מטרות ניתן לגשת אליהן וכיצד מטופלות בקשות של צרכנים.
שימוש בהקלטות לצרכים נוספים, כגון הדרכת עובדים, ניתוח התנהגות, שיווק, בקרת איכות או אימון מערכות מבוססות בינה מלאכותית, עשוי לחייב בחינה נפרדת של הבסיס המשפטי, השקיפות כלפי נושאי המידע ועקרון צמידות המטרה.

תיקון 13 לחוק הגנת הפרטיות חידד את אחריותם של בעלי השליטה במידע ושל גורמים המעבדים אותו עבורם. הוא גם שינה את חובות הרישום וההודעה בנוגע למאגרים מסוימים, ובהם מאגרים הכוללים מידע אישי בעל רגישות מיוחדת בהיקפים משמעותיים. במקרים הרלוונטיים נדרש להעביר לרשות גם העתק ממסמך הגדרות המאגר הנערך לפי תקנות אבטחת המידע.

הגנה על פרטיות ותפקיד ה-DPO בהיערכות לתיקון 73

ממונה הגנת הפרטיות צריך לחבר בין החובה הצרכנית לבין ההגנה על המידע

תיקון 73 מדגיש את הצורך במעורבות מוקדמת של ממונה הגנת הפרטיות – DPO – בתכנון תהליך ההקלטה, השמירה והמסירה של שיחות המכירה.
תיקון 13 לחוק הגנת הפרטיות קובע חובת מינוי DPO בסוגים מסוימים של ארגונים, ובהם גופים ציבוריים וארגונים שעיקר פעילותם כולל עיבוד מידע אישי בהיקף ניכר המחייב ניטור שוטף ושיטתי של בני אדם. גם בארגון שאינו מחויב במינוי על פי דין, שילוב גורם מקצועי האחראי על הגנת הפרטיות עשוי לחזק את מנגנוני הבקרה והאחריותיות.

במסגרת ההיערכות, תפקיד ה-DPO הוא לבחון את מחזור החיים המלא של ההקלטות: מטרות האיסוף והשימוש, היקף המידע הנקלט, תקופות השמירה, הרשאות הגישה, התקשרויות עם מוקדים וספקי ענן, אופן אימות זהות הצרכן וערוץ המסירה. עליו לסייע לוודא שהמידע אינו משמש למטרות נוספות ללא בחינה מתאימה, שהגישה אליו מוגבלת לצורך עסקי מוגדר ושקיימים מנגנונים למחיקה, תיעוד וטיפול באירועי אבטחה.

ה-DPO אינו מחליף את מנהל אבטחת המידע, המחלקה המשפטית או בעלי המערכות. תפקידו הוא לחבר בין הגורמים ולוודא שעקרונות הגנת הפרטיות מיושמים כבר בשלב תכנון התהליך ולא רק לאחר שהמערכת הוטמעה. שילובו בתהליך מסייע לארגון לבחון גם את זכויות נושאי המידע, את השקיפות הנדרשת כלפי הצרכנים ואת הצורך בביצוע הערכת השפעה על הפרטיות כאשר היקף העיבוד, רגישות המידע או מאפייני הטכנולוגיה יוצרים סיכון מוגבר.

עבור ארגונים שעליהם חלה חובת מינוי DPO, אי-מינוי הממונה עשוי להיחשב הפרה של הוראות חוק הגנת הפרטיות. בנוסף, בדיווחים ובהודעות מסוימים לרשות להגנת הפרטיות נדרש למסור את פרטי הממונה ואת מועד מינויו.

תקנות אבטחת המידע נכנסות לתמונה

מאגר הקלטות דורש מיפוי, הרשאות, תיעוד ובקרה

תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017, קובעות דרישות ארגוניות וטכנולוגיות בהתאם לרמת האבטחה החלה על המאגר. הרשות להגנת הפרטיות מדגישה כי מטרתן היא לחזק את ההגנה על מידע אישי באמצעות דרישות ברורות המותאמות לרגישות המידע ולהיקף הפעילות.

בהקשר של הקלטות שיחה, על הארגון לבחון בין היתר:

מסמך הגדרות המאגר:
האם ההקלטות מופיעות בתיאור מטרות המאגר, סוגי המידע, מערכות המאגר, הסיכונים העיקריים והגורמים המחזיקים במידע?

ניהול הרשאות:
האם כל נציג שירות יכול להאזין לכל הקלטה, או שהגישה מוגבלת לפי תפקיד, צורך עסקי ועקרון הרשאת המינימום?

תיעוד גישה ופעילות:
האם ניתן לזהות מי חיפש הקלטה, מי האזין לה, מי הוריד אותה ומי העביר אותה לגורם חיצוני?

אבטחת תקשורת ואחסון:
האם הקבצים מוגנים בזמן שמירה ובזמן העברה? האם גיבויים, עותקים מקומיים וקבצים שיוצאו ממערכת ההקלטה כפופים לאותה מדיניות?

ניהול אירועי אבטחה:
האם גישה חריגה, הורדה בהיקף גדול או שיתוף בלתי מורשה של הקלטות מזוהים ומתועדים כאירועי אבטחה?

השמירה חייבת להיות מוגדרת, מתועדת ומדידה

לא למחוק מוקדם מדי ולא לשמור לנצח

הקושי המרכזי הוא ליצור התאמה בין תקופת השמירה הנדרשת לפי חוק הגנת הצרכן לבין עקרונות ניהול המידע בדיני הפרטיות.

מחיקה מוקדמת עלולה למנוע מהארגון לעמוד בחובת המסירה.
מנגד,
שמירת הקלטות ללא מגבלת זמן, רק משום שהאחסון זול או משום שלא הוגדר מנגנון מחיקה, מגדילה את החשיפה המשפטית והאבטחתית.

מדיניות Retention נכונה צריכה להבחין בין סוגי שיחות ומצבים:

• שיחה שהסתיימה בעסקה
• שיחה שלא הבשילה לעסקה
• הקלטה הנדרשת לצורך הליך משפטי
• הקלטה שהוטל עליה Legal Hold
• העתקים שנוצרו לצורך טיפול בבקשת צרכן.

חשוב שהמדיניות לא תישאר במסמך בלבד. יש לוודא שהמערכות, הספקים והגיבויים אוכפים אותה בפועל ושניתן להציג תיעוד של השמירה והמחיקה.

ספקי מוקדים ומערכות ענן

האחריות רק מתחילה כאשר ההקלטה נשמרת אצל צד שלישי

ארגונים רבים מפעילים מוקדי מכירות באמצעות ספק חיצוני, מערכת Contact Center בענן, מרכזייה מנוהלת או שירותי תמלול וניתוח שיחות.

במצבים אלה לארגון אחריות מלאה גם עבור ספקי צד שלישי ולכן יש לבחון את שרשרת העיבוד כולה:

• היכן נשמרות ההקלטות ובאילו מדינות.
• מי מוגדר כבעל השליטה ומי פועל כמחזיק או כמעבד מידע.
• אילו עובדי ספק רשאים לגשת למידע.
• האם קיימים ספקי משנה.
• כיצד מטופלים אירועי אבטחה.
• כיצד מוחזר או נמחק המידע בסיום ההתקשרות.
• מי אחראי לאיתור ההקלטה ולמסירתה במועד.

העברת התפעול לספק אינה מעבירה אוטומטית את האחריות הרגולטורית. ההסכמים, נהלי הבקרה ומנגנוני הפיקוח צריכים לשקף את רגישות המידע ואת החובות המוטלות על הארגון.

מסירת הקלטה בלי ליצור אירוע פרטיות

אימות זהות הוא חלק מהתהליך, לא שלב טכני שולי

החובה למסור הקלטה לצרכן יוצרת סיכון חדש: מסירת הקובץ לאדם הלא נכון.

מספר טלפון, כתובת דוא״ל או היכרות עם פרטים בסיסיים על העסקה אינם תמיד אמצעי זיהוי מספקים.
מתחזה עשוי לנסות לקבל שיחה המכילה מידע פיננסי או אישי, במיוחד כאשר ההקלטה כוללת פרטים שיכולים לשמש להנדסה חברתית.

הארגון נדרש להגדיר תהליך מידתי לאימות זהות, לאיתור ההקלטה, לאישור המסירה ולתיעוד הביצוע.
יש להימנע משליחה בלתי מבוקרת של קובצי קול בדוא״ל רגיל כאשר אין ודאות לגבי זהות הנמען או רמת ההגנה על הערוץ.

התהליך צריך להתייחס גם לשיחות שבהן משתתפים כמה אנשים, לשיחות הקשורות לחשבון משותף ולמקרים שבהם ההקלטה כוללת מידע על צד שלישי.

מפת הדרכים להיערכות

מחקיקה חדשה לתהליך ארגוני שניתן להפעיל ולבקר

היערכות אפקטיבית לתיקון 73 צריכה לכלול לפחות את השלבים הבאים:

1. מיפוי תהליכים ומערכות
איתור כל ערוצי המכירה הטלפוניים, מערכות ההקלטה, המוקדים החיצוניים, הגיבויים וממשקי הייצוא.

2. ניתוח תחולת החוק
זיהוי סוגי העסקאות, החברות והיחידות העסקיות שעליהן חל ההסדר, בשיתוף ייעוץ משפטי מתאים.

3. בחינת מאגרי המידע
עדכון מסמכי הגדרות מאגר, מטרות שימוש, סוגי מידע, מחזיקים, ממשקים ורמות אבטחה.

4. סקר סיכונים וסקירת מערכות
בחינת תרחישי דליפה, הרשאות עודפות, אחזור שגוי, מחיקה מוקדמת, שמירת יתר וכשל של ספק חיצוני.

5. קביעת מדיניות שמירה ומחיקה
הגדרת תקופות, חריגים, Legal Hold, אחריות ותהליך בקרה תקופתי.

6. תהליך טיפול בבקשת צרכן
הגדרת בעל תפקיד אחראי, אימות זהות, זמני טיפול, מסירה מאובטחת ותיעוד.

7. הדרכה ותרגול
הדרכת נציגי מכירות, שירות, IT, משפטית, פרטיות ואבטחת מידע ובדיקת התהליך באמצעות תרחישי אמת.

מתי אנחנו באינפוגארד נכנסים לתמונה?

חיבור בין דרישה משפטית, ממשל מידע ובקרות ישימות

באינפוגארד אנו מלווים ארגונים בתחומי אבטחת מידע, הגנת הפרטיות, ניהול סיכונים, GRC, רגולציה ותקינה.
הגישה שלנו משלבת בין דרישות הדין לבין האופן שבו מידע נאסף, נשמר, מועבר ונמחק בפועל במערכות הארגון.

היערכות לתיקון 73 יכולה לכלול מיפוי מידע ותהליכים, סקירת מערכות ההקלטה, בחינת מאגרי המידע, סקר סיכונים, עדכון מדיניות ונהלים, בחינת התקשרויות עם ספקים, הגדרת תהליך למימוש זכויות צרכנים וליווי מנהלי אבטחת מידע וממוני הגנת פרטיות.

המטרה אינה רק לסמן עמידה בדרישה חדשה. המטרה היא ליצור שליטה:
לדעת אילו הקלטות קיימות, מדוע הן נשמרות, מי רשאי לגשת אליהן, כיצד הן מוגנות ומתי יש למחוק אותן.

נערכים לרגולציה החדשה?

תיקון 73 משפיע על מגוון רחב של ארגונים בישראל. כבר עכשיו ניתן להתחיל במיפוי פערים, בחינת ממשל הסייבר והיערכות לדרישות הצפויות.

צוות המומחים של אינפוגרד מסייע לארגונים בהערכת מוכנות, ניהול סיכוני סייבר, התאמה לדרישות רגולציה, סקרי סיכונים, כתיבת מדיניות וליווי הנהלות ודירקטוריונים בתהליכי היערכות.
דברו איתנו

המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו מהווה ייעוץ מקצועי, רגולטורי, משפטי או טכנולוגי. כל ארגון נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים.
המאמר נכתב בשיתוף מומחי אבטחת המידע והסייבר של Infoguard מקבוצת IDOR, ונערך על ידי ROY KISCH, חובב אבטחת מידע, סייבר ומנהל השיווק של קבוצת חברות עידור (Messagent, Infoguard, Idornext).