מתי אתר חייב מדיניות עוגיות, ומה כותבים בה

כמעט כל אתר עסקי מריץ היום גוגל אנליטיקס, פיקסל של פייסבוק, או צ'אט תמיכה מוטמע מחברה חיצונית. כל אחד מהכלים האלה שותל עוגיות בדפדפן של הגולש - לרוב בלי שהוא שם לב.

השאלה שרוב בעלי העסקים לא שואלים היא אם צריך לספר על זה ללקוח, ואיך. ברוב המקרים התשובה היא שכן, ויש חוק שעומד מאחורי זה.

הבעיה המעשית היא שהרבה אתרים מציגים באנר עוגיות בלי מדיניות עוגיות אמיתית מאחוריו, או מדיניות שלא מתארת בכלל מה קורה אצלם.

מה זו בכלל עוגיה

עוגיה היא קובץ טקסט קטן שהדפדפן שומר במחשב או בטלפון של הגולש. האתר שותל אותה כדי לזכור משהו על הביקור - למשל שהגולש כבר התחבר, מה היה בעגלת הקניות, או מאיזו מודעה הוא הגיע לאתר.

העוגיה עצמה לא מסוכנת. היא כלי טכני נפוץ שכמעט כל אתר משתמש בו. הבעיה מתחילה כשלא מספרים לגולש שהיא שם, ובטח לא כשהיא אוספת עליו מידע בלי שהוא הסכים לזה.

מתי אתר חייב מדיניות עוגיות

אם באתר שלכם רצים כלי מדידה, פיקסל שיווקי, כלי רימרקטינג או כל תוסף חיצוני אחר שמזהה מבקרים - האתר שותל עוגיות שעוקבות אחרי הגולש. ברגע שזה קורה, יש לכם מה להסביר, ומדיניות עוגיות היא המקום לעשות את זה.

בפועל, כמעט כל אתר עסקי נמצא במצב הזה. גם עסק קטן שרק רוצה לדעת כמה אנשים נכנסו לאתר משתמש בכלי אנליטיקס שמריץ עוגיות. ברגע שהותקן כלי מדידה אחד, כבר יש צורך במדיניות עוגיות.

לדוגמה, בעלת חנות בגדים קטנה שמתקינה כלי מעקב המרות כדי לדעת אילו מודעות מביאות לקוחות, כבר נכנסת לתחום הזה - גם אם היא לא חושבת על עצמה כמישהי שאוספת מידע.

מה כותבים במדיניות עוגיות

מדיניות עוגיות טובה לא מסתפקת במשפט כללי כמו "האתר משתמש בעוגיות". היא צריכה לענות בפירוט:

• אילו עוגיות פועלות באתר - אנליטיקס, פרסום, תפעול שוטף או משהו אחר
• מה כל עוגיה עושה בפועל - איזה מידע היא אוספת ולאיזו מטרה
• כמה זמן העוגיה נשמרת - יש עוגיות שנמחקות עם סגירת הדפדפן, ויש שנשארות חודשים
• איך מבטלים אותה - דרך הגדרות הדפדפן או דרך הבאנר עצמו

רשימה כזו לא צריכה להיות ארוכה. היא צריכה להיות מדויקת - לשקף את הכלים שבאמת מותקנים באתר, לא רשימה כללית שמישהו אחר כתב.

מה הופך באנר הסכמה לבאנר אמיתי

הרבה אתרים מציגים באנר שרק מודיע: "האתר משתמש בעוגיות", עם כפתור "הבנתי" אחד. זו לא הסכמה. הסכמה אמיתית נותנת לגולש בחירה - לאשר, לסרב, או לבחור אילו סוגי עוגיות מותר להפעיל, לפני שהעוגיות הלא-הכרחיות מתחילות לפעול.

באנר תקין גם מקשר למדיניות העוגיות עצמה, כך שמי שרוצה להבין מה בדיוק הוא מאשר יכול לקרוא את הפירוט לפני שהוא לוחץ על כפתור.

מה הקשר לחוק הגנת הפרטיות

מידע שנאסף אוטומטית דרך עוגיות הוא עדיין מידע אישי, וחוק הגנת הפרטיות, התשמ"א-1981, חל עליו בדיוק כמו על שם או טלפון שמישהו הקליד בטופס. תיקון 13 לחוק, שנכנס לתוקף באוגוסט 2025, הרחיב את סמכויות האכיפה של הרשות להגנת הפרטיות - כולל כלפי אתרים שאוספים מידע דרך כלי מדידה בלי לגלות על כך כראוי.

זו הסיבה שמדיניות עוגיות ומדיניות פרטיות בדרך כלל הולכות יחד. אחת מסבירה מה קורה עם המידע שהגולש מוסר במפורש, והשנייה מסבירה מה קורה עם המידע שנאסף עליו ברקע, בלי שהוא הקליד שום דבר.

אם עדיין לא בדקתם אילו עוגיות רצות באתר שלכם, זה שווה עשר דקות: פותחים את כלי הפיתוח בדפדפן, בודקים אילו כלים בכלל מותקנים, ומשווים את זה למה שכתוב במדיניות. בליינר מדיניות העוגיות נכתבת לפי התשובות שלכם על העסק, כך שהיא משקפת את מה שבאמת מותקן אצלכם ולא רשימה גנרית.