מדיניות פרטיות לאתר לפי תיקון 13: מה חייב להופיע בה (ומה רוב האתרים מפספסים)

עד 2025, "מדיניות פרטיות" באתר של עסק קטן הייתה בעיקר עניין של נראות: עמוד בפוטר, שלושה פסקאות שהועתקו מאתר אחר, וזהו. תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף ב־14 באוגוסט 2025, שינה את זה. המדיניות היא עכשיו המסמך הראשון שהרשות להגנת הפרטיות בודקת, והיא צריכה להגיד דברים ספציפיים. הנה מה.

למה זה חשוב עכשיו יותר מפעם

שני דברים השתנו. הראשון: הרשות להגנת הפרטיות קיבלה סמכות להטיל עיצומים כספיים ישירות, בלי הליך משפטי, ותקרת העיצום להפרת אבטחת מידע אחת מגיעה ל־320,000 ₪. על HOT מובייל הוטל עיצום של 70,000 ₪ על שיווק בלי הסכמה, ועל קופת חולים מאוחדת 256,000 ₪ על דיווח מאוחר של אירוע אבטחה (הפירוט). השני: החוק הוסיף והרחיב הגדרות ("בעל שליטה במאגר", "מחזיק", "מידע בעל רגישות מיוחדת") וחובות הודעה שמדיניות ישנה פשוט לא מכירה.

עסק קטן לא יקבל קנס של 320 אלף. אבל הרשות פועלת גם לפי תלונות, ולקוח שכועס על דיוור שלא ביקש הוא תלונה קלה מאוד להגיש.

הרשימה: מה חייב להופיע במדיניות

הסעיפים הבאים נגזרים מסעיפים 11, 13, 14 ו־17ו לחוק, מתקנות אבטחת מידע ומהנחיות הרשות. סדר הסעיפים לא קבוע בחוק, אבל זה סדר שעובד.

1. מי אתם. שם העסק, ח.פ. או ע.מ., וכתובת דוא״ל לפניות בנושא פרטיות. כתובת המייל היא חובה: אליה פונים לבקשות עיון, תיקון ומחיקה.
2. איזה מידע אתם אוספים. לא "מידע אישי" באופן כללי, אלא רשימה: שם, טלפון, דוא״ל, כתובת, פרטי תשלום, נתוני גלישה. אם יש מידע בעל רגישות מיוחדת (בריאותי, כלכלי, ביומטרי, מיקום, דעות), הוא צריך להיות מסומן ככזה.
3. למה אתם אוספים אותו. מטרות מוגדרות: מתן השירות, חיוב, שירות לקוחות, דיוור שיווקי, ניתוח שימוש. מידע שנאסף למטרה אחת לא משמש למטרה אחרת בלי הסכמה.
4. האם המסירה היא חובה. סעיף 11 דורש להגיד אם האדם חייב למסור את המידע (כי בלי טלפון אי אפשר לתאם משלוח) או שזה רשות, ומה קורה אם לא ימסור.
5. למי המידע מועבר. ספקי סליקה, מערכת דיוור, CRM, אחסון ענן, חברת שילוח, רואה חשבון. כל אחד מהם הוא "מחזיק" או מקבל מידע, וצריך להופיע לפחות לפי קטגוריה.
6. העברה מחוץ לישראל. אם אתם משתמשים ב־Google, Meta, Mailchimp, Shopify או כמעט כל שירות אמריקאי, המידע יוצא מישראל. צריך לכתוב את זה ולציין את הבסיס להעברה לפי תקנות העברת מידע.
7. קוקיז ופיקסלים. אילו כלים רצים באתר, מה הם אוספים, ואיך מבטלים הסכמה.
8. דיוור שיווקי. איך נרשמים, איך מסירים, ושההסרה היא מיידית ובחינם. זה נוגע גם לסעיף 30א לחוק התקשורת ("חוק הספאם").
9. כמה זמן שומרים. תקופת שמירה, או לפחות הקריטריון: "כל עוד קיים קשר עסקי, ולאחריו עד 7 שנים לפי דיני המס".
10. אבטחת מידע. לא רשימת טכנולוגיות, אלא ההצהרה שאתם פועלים לפי תקנות אבטחת מידע ומה רמת האבטחה של המאגר.
11. זכות עיון. כל אדם רשאי לעיין במידע עליו. איך פונים, תוך כמה זמן עונים.
12. זכות תיקון ומחיקה. תיקון מידע שגוי, ומחיקה מרשימת דיוור ישיר.
13. קטינים. אם האתר פונה גם למתחת לגיל 18, מה המדיניות.
14. תלונות. שאפשר לפנות לרשות להגנת הפרטיות.
15. עדכונים. תאריך העדכון האחרון ואיך מודיעים על שינוי.

שלושת הדברים שרוב האתרים מפספסים

ברוב האתרים הקטנים שאנחנו רואים, המדיניות עצמה קיימת בצורה כלשהי. מה שחסר הוא בדרך כלל מסביב לה:

הודעה בזמן האיסוף. סעיף 11 לא מסתפק בעמוד מדיניות. ברגע שמישהו ממלא טופס, צריך להופיע לידו נוסח קצר: מי אוסף, למה, האם חובה, למי מעבירים. קישור בפוטר לא עומד בדרישה הזאת. ראו גם: באנר קוקיז לפי תיקון 13.

מסמך הגדרות מאגר. מסמך פנימי, לא לפרסום, שמתאר את המאגר, הסיכונים ואמצעי ההתמודדות. חובה לכל מאגר לפי תקנה 2 לתקנות אבטחת מידע. מה זה ואיך הוא נראה.

מדיניות ש"לא מכירה" את התיקון. אם במדיניות שלכם לא מופיעים המונחים "בעל שליטה" ו"מחזיק", היא כמעט בוודאות נכתבה לפני 2025.

מה לא צריך

לא צריך 20 עמודים. לא צריך להעתיק את לשון החוק. לא צריך עורך דין לעסק עם פעילות שגרתית (לידים, חנות קטנה, קליניקה של מטפל אחד). כן צריך שהמדיניות תתאר את העסק שלכם באמת: הספקים שלכם, סוגי המידע שלכם, המטרות שלכם. מדיניות גנרית שמתארת עסק אחר היא כמעט כמו לא לכתוב כלום.