עו״ד שחר שוורץ · עורך דין הגנת הפרטיות · רעננה
אני מנסח מדיניות פרטיות שמתארת מה קורה אצלכם בפועל: איזה מידע נאסף, לשם מה, איפה הוא נשמר ולמי הוא מועבר. המסמך נכתב לפי חובת היידוע שהורחבה בתיקון 13.
מדיניות פרטיות היא המסמך שבו עסק מסביר למי שמוסר לו מידע אישי מה ייעשה במידע. מאז תיקון 13 לחוק הגנת הפרטיות, ההודעה צריכה לכלול גם אם חובה למסור את המידע, מה התוצאה של סירוב, ושיש זכות לעיין במידע ולבקש לתקן אותו. איסוף מידע בלי הודעה כזו חושף את העסק לתביעה של עד 10,000 ש״ח בלי הוכחת נזק, וגם לעיצום כספי מהרשות להגנת הפרטיות.
סעיף 11 לחוק הגנת הפרטיות קובע מה צריך לומר לאדם כשמבקשים ממנו מידע אישי כדי לשמור אותו במאגר. תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף ב-14 באוגוסט 2025, הרחיב את הרשימה.
הרשות להגנת הפרטיות רואה ברשימה רף מינימום. בגילוי הדעת שלה על הסכמה (פברואר 2026) היא כתבה שעמידה בסעיף 11 לבדה לא מספיקה בהכרח כדי להראות הסכמה מדעת. כשיש פער כוחות בין הצדדים, או כשהשימוש במידע עלול לפגוע קשות בפרטיות, צריך להציג את הנתונים המהותיים בצורה בולטת ופשוטה. לפי נוסח הסעיף היום, ההודעה צריכה לכלול לפחות את אלה:
מדיניות פרטיות לאתר מתארת את המידע שנאסף דרך האתר: טופס יצירת קשר, הרשמה לניוזלטר, רכישה בחנות מקוונת, עוגיות וכלי מדידה. אבל ברוב העסקים רוב המידע בכלל לא מגיע מהאתר.
משרד רואי חשבון מקבל תלושי שכר ודפי בנק במייל ובוואטסאפ. משרד עורכי דין פותח תיק עם פרטים רפואיים או משפחתיים של הלקוח, ולא פעם גם של צדדים שלישיים. חנות מקוונת מעבירה כתובות לחברת שליחויות. כל אחד מאלה הוא עיבוד של מידע אישי, וחובת היידוע חלה גם כשהאיסוף לא נעשה באתר.
ההודעה צריכה ללוות את הבקשה למידע, כלומר להגיע לאדם ברגע שמבקשים ממנו את הפרטים. קישור למדיניות בתחתית האתר לא עוזר ללקוח שמוסר פרטים בטלפון או ממלא טופס קליטה במשרד. לכן נוהגים לשים הודעה קצרה ליד נקודת האיסוף, והמדיניות המלאה מפרטת את השאר.
אני בודק את שני הצדדים. לפעמים מתאים מסמך אחד שמכסה הכול. לפעמים עדיף לכתוב מדיניות לאתר, ולצידה הודעה קצרה לטופס קליטת לקוח, לחוזה או למייל הראשון שהלקוח מקבל. ההחלטה תלויה במה שהעסק עושה בפועל.
אחרי תיקון 13, "מידע אישי" הוא כל נתון שנוגע לאדם מזוהה או לאדם שאפשר לזהות במאמץ סביר, גם בעקיפין. ההגדרה מזכירה במפורש מזהה מקוון ונתוני מיקום. עוגיות, פיקסל פרסום וכלי אנליטיקה שמזהים גולש חוזר יכולים להיכלל בה.
מדיניות פרטיות לאתר צריכה לומר אילו כלים פועלים באתר, איזה מידע הם אוספים ולמי הוא מועבר. אתר תדמית של משרד עורכי דין עם כלי מדידה ופיקסל של רשת חברתית כבר מעביר מידע לצד שלישי. חנות מקוונת עובדת בדרך כלל גם עם מערכת דיוור וסולק תשלומים. כשהשרתים של ספק נמצאים מחוץ לישראל, חלות גם תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א-2001.
אותו דבר נכון לכלים שהכנסתם לעבודה בשנה האחרונה. כלי שמסכם שיחות, צ׳טבוט באתר או מערכת שמנסחת מסמכים בעזרת AI מקבלים לא פעם מידע על לקוחות. אם זה המצב, הם צריכים להופיע במדיניות כמו כל ספק אחר. הרחבה על הנושא יש במאמר על בינה מלאכותית והגנת הפרטיות.
הרשות כתבה שאתר שמדיניות הפרטיות שלו קשה למציאה, או ארוכה ומסורבלת, עלול לא לעמוד בתנאים להסכמה מדעת. היא גם מציעה לא לבקש הסכמה גורפת, ולאפשר למשתמש לבחור אילו סוגי מידע ייאספו ולאילו מטרות. על החלק הטכני של ההסכמה לעוגיות כתבתי במאמר על באנר עוגיות.
מי שמחפש מדיניות פרטיות לאתר לדוגמא מוצא עשרות נוסחים חינמיים. הבעיה היא שהם מתארים עסק אחר. תבנית לא יודעת שהמשרד שלכם שומר צילומי תעודות זהות, שהטופס באתר נשלח למערכת CRM, או שהסוכנות שמנהלת לכם קמפיינים מקבלת רשימות לקוחות. גם תבנית שהייתה נכונה לפני אוגוסט 2025 לא כוללת את מה שתיקון 13 הוסיף לחובת היידוע.
פער בין המסמך לבין מה שקורה בפועל הוא בדיוק מה שהחוק מעניש. תיקון 13 הוסיף פיצוי ללא הוכחת נזק של עד 10,000 ש״ח, בין השאר כשפונים לאדם לקבלת מידע בלי ההודעה שסעיף 11 דורש. התביעה יכולה להגיע מכל אדם שהמידע עליו נאסף כך, ולא רק מלקוח.
במקביל, הרשות מוסמכת להטיל עיצום כספי. כשהפנייה נעשית לאדם מסוים, העיצום הוא 50 ש״ח לכל אדם (100 ש״ח במידע בעל רגישות מיוחדת), ולא פחות מ-30,000 ש״ח להפרה. כשהפנייה נעשית לקבוצה בלתי מסוימת, למשל דרך קישור באתר, העיצום מחושב לפי מספר האנשים במאגר. במדריך של הרשות יש דוגמה של מאגר עם מידע בעל רגישות מיוחדת על 500,000 איש, שנאסף דרך קישור באתר בלי הודעה: עיצום של 2,000,000 ש״ח. שאר הסכומים מפורטים במדריך על תיקון 13 לחוק הגנת הפרטיות.
אני עובד באופן אישי עם כל לקוח, בארבעה שלבים:
בסוף התהליך יש לכם מסמכים שמתאימים לעסק, ולא נוסח כללי:
ברוב העסקים כן. החוק מחריג אוסף שכולל רק שם, כתובת ודרכי התקשרות של עד 100,000 איש, אם אין לעסק מידע נוסף עליהם. בפועל, פרטי ליד מהאתר נכנסים בדרך כלל ל-CRM או לתיק לקוח, ואז החריג כבר לא רלוונטי. גם עוגיות וכלי מדידה צריכים להופיע במדיניות, כי הם אוספים מידע על הגולשים.
אפשר להיעזר בתבנית כדי להבין את המבנה. הסיכון הוא במה שהתבנית לא יודעת: אילו ספקים מקבלים מידע, איזה מידע רגיש נשמר אצלכם ואילו כלים מותקנים באתר. מסמך שלא תואם את מה שקורה בפועל לא נותן את ההודעה שהחוק דורש.
החוק לא מבחין בין אתר של חברה גדולה לאתר של משרד קטן. מאז תיקון 13, מאגר מידע הוא אוסף מידע אישי שמעובד באמצעי דיגיטלי, עם חריגים מצומצמים. חובת הרישום צומצמה, אבל חובת היידוע וחובות האבטחה חלות גם על מאגר שלא צריך לרשום.
כשמשהו משתנה באיסוף או בשימוש במידע: כלי מדידה חדש באתר, ספק דיוור חדש, מערכת CRM, כלי בינה מלאכותית שמקבל מידע על לקוחות, או שימוש במידע קיים למטרה חדשה. לפי הרשות, שינוי מהותי בלי הסכמה נוספת נחשב לשימוש במידע בלי הסכמה מדעת.
כלי אונליין שואל שאלות כלליות ומפיק נוסח כללי. עורך דין בודק מי בעל השליטה במאגר ומי מחזיק, אילו ספקים צריכים הסכם, אם יש מידע בעל רגישות מיוחדת ואם העסק צריך גם ממונה על הגנת הפרטיות. המדיניות היא חלק אחד מהתמונה.
ספרו לי בקצרה מה העסק עושה ואיזה מידע הוא אוסף, ואחזור אליכם. אפשר גם להתקשר לנייד 050-582-5872 או למשרד 09-766-8569.
