מדריך PrivacySafe
מה השתנה בתיקון 13, מה זה אומר לבעלי אתרים, ואילו דברים כדאי לבדוק באתר שלכם. בלי עשרות עמודים של טקסט משפטי.
זמן קריאה: כ-5 דקות
תיקון 13 לחוק הגנת הפרטיות שינה בצורה משמעותית את הדרך שבה עסקים וארגונים בישראל צריכים להתייחס למידע אישי. הוא הרחיב את ההגדרות בחוק, חיזק את סמכויות הרשות להגנת הפרטיות, הוסיף חובות חדשות והגדיל משמעותית את החשיפה לאכיפה במקרים של הפרה.
אבל מה כל זה אומר בפועל לבעל אתר?
במדריך הזה נעשה סדר בנושאים המרכזיים שכדאי להכיר, בלי להפוך אתכם למשפטנים ובלי לצלול לעשרות עמודים של חקיקה.
חוק הגנת הפרטיות נחקק בשנת 1981, הרבה לפני אתרי מסחר, מערכות CRM, כלי אנליטיקה, פרסום דיגיטלי ושירותי ענן כפי שאנחנו מכירים אותם היום.
תיקון 13 נועד להתאים חלק משמעותי מהחוק למציאות שבה כמעט כל עסק אוסף ומעבד מידע באמצעים דיגיטליים. התיקון אושר בשנת 2024 ונכנס לתוקף ב-14 באוגוסט 2025. בין היתר, הוא עדכן הגדרות מרכזיות, הרחיב את סמכויות הרשות להגנת הפרטיות, שינה את חובת רישום מאגרי המידע והוסיף חובת מינוי ממונה על הגנת הפרטיות בארגונים מסוימים.
מבחינת בעלי אתרים, המשמעות היא שחשוב להבין לא רק איזה מידע אתם שומרים במערכת שלכם, אלא גם איזה מידע נאסף דרך האתר, מי מקבל אותו, לאיזו מטרה ואילו מערכות חיצוניות מעבדות אותו עבורכם.
אחד השינויים המרכזיים הוא ההגדרה הרחבה של מידע אישי. מידע אישי מוגדר כמידע הנוגע לאדם מזוהה או לאדם שניתן לזהות אותו, במישרין או בעקיפין. זה יכול לכלול פרטים ברורים כמו שם, מספר טלפון או כתובת דוא"ל, אבל גם מזהים מקוונים, נתוני מיקום, מידע פיננסי, מידע ביומטרי ומידע נוסף שמאפשר לקשר את הנתון לאדם מסוים.
יש גם קטגוריה נפרדת של מידע בעל רגישות מיוחדת, הכוללת בין היתר מידע רפואי, מידע גנטי, מזהים ביומטריים, מידע פיננסי מסוים, דעות פוליטיות, אמונות דתיות, מידע על עבר פלילי וסוגים נוספים של מידע רגיש.
אם באתר שלכם יש טופס יצירת קשר, הרשמה, רכישה, אזור אישי, מערכת תמיכה, ניוזלטר או כלי מעקב, קיימת אפשרות שהאתר אוסף או מעבד מידע אישי.
לכן כדאי להתחיל בשאלה פשוטה: איזה מידע נכנס לאתר שלי, לאן הוא עובר ולמה אנחנו צריכים אותו?
המונח "עיבוד" רחב הרבה יותר משמירת מידע במסד נתונים. החוק מתייחס לפעולות כמו קבלה, איסוף, אחסון, העתקה, צפייה, גילוי, חשיפה, העברה, מסירה ומתן גישה למידע כפעולות עיבוד. לכן גם אם אתם לא שומרים את המידע בעצמכם, ייתכן שאתם עדיין חלק מתהליך העיבוד.
לדוגמה, גולש ממלא טופס באתר, הפרטים עוברים ל-CRM, כתובת הדוא"ל עוברת למערכת דיוור, נתוני הגלישה נשלחים למערכת אנליטיקה ואירוע המרה נשלח לפלטפורמת פרסום. מבחינת פרטיות, צריך להסתכל על כל השרשרת ולא רק על האתר עצמו.
טפסים הם אחת מנקודות איסוף המידע הנפוצות ביותר באתר - טופס "צור קשר", הרשמה לניוזלטר, בקשת הצעת מחיר, הרשמה לשירות, טופס מועמדות לעבודה, רכישה או פתיחת חשבון.
כאשר מבקשים מאדם למסור מידע אישי, קיימת חובת יידוע. תיקון 13 הרחיב את המידע שיש להציג לנושא המידע במסגרת האיסוף: האם מסירת המידע היא חובה או תלויה ברצונו של האדם, מה מטרת איסוף המידע, למי הוא עשוי להימסר ולמטרות המסירה, וכן קיומן של זכויות עיון ותיקון.
לא מספיק בהכרח לשים קישור קטן למדיניות פרטיות בפוטר ולקוות שזה מכסה את כל האתר. כדאי לעבור על נקודות איסוף המידע ולבדוק שהגולש מקבל מידע מתאים במקום שבו נאספים ממנו הפרטים.
אם יש באתר עשרה טפסים שונים, כדאי לבדוק כל אחד מהם ולא להניח שכולם פועלים באותה צורה.
אחת הטעויות הנפוצות היא לקחת מדיניות פרטיות מאתר אחר, לשנות את שם החברה ולהעלות אותה לאתר. הבעיה היא שמדיניות פרטיות אמורה לשקף את מה שקורה בפועל.
אם אתר אחד משתמש במערכת CRM מסוימת, שולח מידע למערכת דיוור ומפעיל מספר כלי פרסום, ואתר אחר רק כולל טופס יצירת קשר בסיסי, לא הגיוני ששניהם ישתמשו בדיוק באותו מסמך. מדיניות פרטיות צריכה להיבנות על בסיס הפעילות של העסק והאתר, סוגי המידע שנאספים, מטרות האיסוף, הגורמים שאליהם המידע מועבר והאופן שבו משתמשים במידע.
מדיניות פרטיות היא לא תחליף לבדיקה של האתר עצמו. צריך לוודא שהמסמך מתאר את המציאות, ולא שהמציאות אמורה איכשהו להתאים למסמך.
לא. תיקון 13 כולל הוראות משמעותיות בנושא עיבוד מידע כדין. בין היתר, החוק קובע שאין לעבד מידע אישי במאגר למטרה שונה מהמטרה שנקבעה לו כדין, אין לעבד מידע ללא הרשאה או מעבר להרשאה שניתנה, וקיימות מגבלות ביחס לעיבוד מידע שנאסף או התקבל שלא כדין.
דוגמה פשוטה: אם אדם השאיר את פרטיו לצורך קבלת הצעת מחיר, חשוב לבחון לפני שעושים שימוש במידע למטרה אחרת לחלוטין. עצם העובדה שיש לכם כתובת דוא"ל או מספר טלפון במערכת לא אומרת בהכרח שניתן להשתמש בהם לכל מטרה. העיקרון שחשוב לזכור הוא: למה אספנו את המידע, מה אמרנו לאדם בזמן האיסוף ומה אנחנו עושים איתו בפועל.
החוק מעניק לנושאי מידע זכויות שונות ביחס למידע אישי המוחזק אודותיהם. בין היתר, קיימות זכויות הקשורות לעיון במידע ולבקשה לתיקונו. תיקון 13 גם הרחיב את חובת היידוע כך שתכלול התייחסות לקיומן של זכויות אלה.
מבחינת העסק, המשמעות היא שכדאי שיהיה תהליך ברור לטיפול בפנייה:
ככל שהמידע שלכם מפוזר ביותר מערכות, כך חשוב יותר לדעת מראש כיצד לאתר אותו.
גם ההגדרה של מאגר מידע עודכנה. באופן כללי, החוק מתייחס לאוסף של פרטי מידע אישי המעובד באמצעי דיגיטלי, לצד חריגים שקבועים בהגדרה. חשוב במיוחד להבין את ההבדל בין קיומו של מאגר מידע לבין החובה לרשום אותו.
תיקון 13 צמצם משמעותית את חובת הרישום שחלה בעבר. בין המאגרים שנותרו בחובת רישום נמצאים, למשל, מאגרים של גופים ציבוריים ומאגרים מסוימים שמטרתם העיקרית היא איסוף מידע לצורך מסירתו לאחר כדרך עיסוק או בתמורה ובהיקפים שנקבעו בחוק.
אבל כאן נמצאת נקודה חשובה במיוחד: אם המאגר שלכם אינו חייב ברישום, זה לא אומר שחוק הגנת הפרטיות לא חל עליו. הפטור מרישום אינו פוטר את בעל השליטה משאר החובות החלות לפי החוק והתקנות.
במקרים מסוימים, כן. לפי התיקון, ביחס למאגר שאינו חייב ברישום אך כולל מידע בעל רגישות מיוחדת על יותר מ-100,000 אנשים, קיימת חובת הודעה לרשות להגנת הפרטיות. ההודעה כוללת בין היתר פרטים על בעל השליטה במאגר, פרטי ממונה הגנת הפרטיות אם קיימת חובה למנותו ומסמך הגדרות המאגר הרלוונטי.
עבור אתר עסקי קטן זה בדרך כלל לא הנושא הראשון שצריך לבדוק, אבל עבור ארגונים גדולים או עסקים המעבדים כמויות משמעותיות של מידע, מדובר בנושא שכדאי לבחון באופן מסודר.
פרטיות ואבטחת מידע הן לא אותו הדבר, אבל הן קשורות זו לזו. אם עסק אוסף מידע אישי, הוא צריך לחשוב גם על האופן שבו המידע נשמר ומוגן, מי יכול לגשת אליו, כיצד מנוהלות הרשאות ומה קורה כאשר ספק חיצוני מעבד מידע עבור העסק.
תקנות הגנת הפרטיות בנושא אבטחת מידע כוללות חובות שונות בהתאם לסוג המאגר ורמת האבטחה שלו, ובין היתר נושאים הקשורים למסמך הגדרות מאגר, נוהל אבטחת מידע, הרשאות גישה, תיעוד אירועי אבטחה, גיבויים, סקרי סיכונים ופיקוח על גורמים חיצוניים. לכן הטיפול בפרטיות לא מסתיים בבאנר Cookies או בעמוד מדיניות פרטיות.
לא כל עסק חייב למנות ממונה על הגנת הפרטיות (DPO). החובה חלה על סוגים מסוימים של גופים ופעילויות: גופים ציבוריים, גופים שעיקר פעילותם היא איסוף מידע לצורך מסירתו לאחר, ארגונים שעיקר פעילותם מחייבת ניטור שוטף ושיטתי של אנשים בהיקף ניכר, וארגונים שעיקר פעילותם כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר.
התפקיד של ממונה הגנת הפרטיות הוא רחב: הוא משמש מוקד ידע מקצועי, מייעץ להנהלה, מסייע ביצירת תוכניות בקרה והדרכה, מוודא טיפול בפניות של נושאי מידע ומשמש איש קשר מול הרשות להגנת הפרטיות.
אם אתם עסק קטן עם אתר תדמית וטופס יצירת קשר, זה שונה מאוד מארגון שמבצע מעקב שיטתי אחר מאות אלפי משתמשים. לכן צריך לבדוק את החובה בהתאם לפעילות האמיתית של הארגון.
זה אחד החלקים המשמעותיים ביותר בתיקון 13. הרשות להגנת הפרטיות קיבלה כלי פיקוח ואכיפה רחבים יותר, והחוק מאפשר להטיל עיצומים כספיים בגין מגוון הפרות. גובה העיצום תלוי בסוג ההפרה, סוג המידע, מספר האנשים במאגר ונסיבות נוספות.
לדוגמה, הפרות מסוימות בנושא רישום מאגר או דיווח לרשות עשויות להביא לעיצום של 150,000 ₪, ובמאגרים שבהם יותר ממיליון נושאי מידע הסכום עשוי להיות מוכפל. בהפרות מסוימות הקשורות לחובת היידוע, סכום העיצום יכול להיות מחושב לפי מספר האנשים שאליהם נעשתה הפנייה, עם סכומי מינימום שנקבעו בחוק. גם הפרות בנושא עיבוד מידע שלא כדין עלולות להביא לעיצומים משמעותיים מאוד, במיוחד כאשר מדובר במאגרים גדולים או במידע בעל רגישות מיוחדת.
במקרים מסוימים, כן. תיקון 13 הרחיב את האפשרות של בית המשפט לפסוק פיצוי ללא הוכחת נזק ביחס להפרות מסוימות של החוק, עד לסכום שנקבע בחוק - בין היתר הפרות הנוגעות לאי-מסירת הודעה כנדרש בעת איסוף מידע, אי-מתן זכות עיון ואי-טיפול מתאים בבקשות מסוימות לתיקון או מחיקת מידע.
לכן מבחינת עסק, פרטיות היא כבר לא רק שאלה של "האם יש לנו עמוד מדיניות פרטיות". צריך להסתכל על התהליך כולו.
תיקון 13 הוסיף גם עבירות פליליות מסוימות, בין היתר עיבוד מידע ללא הרשאה, מסירת מידע מטעה בכוונה במסגרת חובת היידוע, מסירת מידע מגוף ציבורי בנסיבות מסוימות, הפרעה לפעילות הרשות והטעיית גורמי הפיקוח.
עבור רוב בעלי האתרים זה לא יהיה החלק המרכזי בהתנהלות היומיומית, אבל הוא ממחיש עד כמה תחום הפרטיות הפך לנושא משמעותי יותר מבחינת רגולציה ואכיפה.
אז מה בעל אתר צריך לעשות בפועל? הצ'קליסט הבא מרכז את הנקודות המרכזיות לבדיקה עצמית.
להבין איזה מידע כל טופס אוסף ולאיזו מטרה.
לזהות מערכות אנליטיקה, פרסום, צ'אט וכלי צד שלישי.
CRM, מערכת דיוור, מערכות פרסום, ספקי ענן וכל שירות חיצוני אחר.
לוודא שהמשתמש מקבל את המידע הרלוונטי בזמן איסוף הפרטים.
המדיניות צריכה לתאר את הפעילות האמיתית של האתר והעסק.
לוודא שהמערכת יודעת לזהות, לסווג ולנהל את כלי המעקב בהתאם להגדרות שנקבעו.
לדעת מה עושים כאשר אדם מבקש לעיין במידע או לתקן אותו.
כולל רישום או הודעה לרשות במקרים שבהם הדרישות חלות.
בעיקר בארגונים גדולים או בפעילות הכוללת עיבוד משמעותי או רגיש.
אתרים משתנים, ולכן גם מפת איסוף המידע יכולה להשתנות.
אפשר להעלות מדיניות פרטיות לאתר בתוך כמה דקות. החלק המורכב יותר הוא לוודא שהמסמך באמת מתאים למה שהאתר עושה, שהטפסים בנויים בצורה נכונה, שכלי המעקב מוכרים ומנוהלים וששינויים באתר לא יוצרים פער חדש בהמשך.
בדיוק בשביל זה PrivacySafe משלבת בין סריקת האתר, מיפוי Cookies וכלי צד שלישי, ניהול הסכמות, הכנת מדיניות פרטיות וניטור שוטף.
PrivacySafe סורקת את האתר, מזהה טפסים, Cookies, כלי אנליטיקה ושיווק ומסייעת לכם לבנות מעטפת פרטיות שמתאימה לפעילות בפועל.
המידע במדריך נועד להסבר כללי בלבד ואינו מהווה ייעוץ משפטי. החובות החלות על כל עסק או ארגון עשויות להשתנות בהתאם לאופי הפעילות, סוגי המידע והיקף העיבוד.