GDPR לעסק ישראלי - מתי זה בכלל רלוונטי

מישהו סיפר לכם ש-GDPR חל על כל אתר שנגיש מאירופה, ועכשיו אתם דואגים אם החנות הקטנה שלכם צריכה להתאים את עצמה לתקנות אירופיות מסובכות.

ל-GDPR יש טווח השפעה שחורג מגבולות אירופה, וזו הסיבה שהוא מבלבל כל כך הרבה בעלי עסקים בישראל. הבעיה היא שמה שנכתב עליו נוטה להפחיד יותר משהוא מסביר: רוב התוכן על הנושא מכוון לחברות ענק, לא לחנות אונליין ישראלית קטנה.

מה זה GDPR בקצרה

GDPR הוא תקנת הגנת המידע של האיחוד האירופי, בתוקף מ-2018. הוא קובע כללים מחמירים על איסוף ועיבוד מידע אישי של תושבי אירופה: איזה בסיס חוקי צריך כדי לעבד מידע, אילו זכויות יש לאדם על המידע שנאסף עליו, ומה קורה אם משהו משתבש. התקנה נחשבת לאחת המחמירות בעולם, וזו הסיבה שהיא מוכרת גם הרחק מחוץ לאירופה.

מתי GDPR חל על עסק ישראלי

GDPR לא חל על כל עסק שהאתר שלו נגיש מאירופה. זו הטעות הנפוצה ביותר בנושא. עצם זה שגולש מגרמניה יכול להיכנס לאתר שלכם ולקרוא עליו לא הופך אתכם לכפופים לתקנה. GDPR חל כשאתם, בכוונה, מציעים מוצרים או שירותים לתושבי האיחוד האירופי, או עוקבים אחרי ההתנהגות שלהם ברשת.

"בכוונה" מתבטא בסימנים מוחשיים: האתר שלכם מוצג גם באנגלית או בגרמנית ולא רק בעברית, המחירים מוצגים ביורו, אתם מציעים משלוח לאירופה, או שיש לכם קמפיין פרסום שמכוון במפורש לקהל אירופי. אם אף אחד מהסימנים האלה לא מתקיים, ואתם פשוט מוכרים בישראל ומזדמן שגולש מאירופה נכנס לאתר, GDPR כנראה לא חל עליכם.

המבחן השני, מעקב אחרי התנהגות, נוגע לעסקים שמנתחים דפוסי גלישה של תושבי אירופה כדי לבנות עליהם פרופיל - למשל כלי שמזהה מבקרים מאירופה ומריץ עליהם קמפיין רימרקטינג ממוקד. שימוש רגיל בכלי אנליטיקס שמראה מאיזו מדינה הגיעו הגולשים, בלי שום מיקוד ספציפי באירופה, לא נכנס לקטגוריה הזו.

ההבדלים העיקריים מהחוק הישראלי

גם כש-GDPR כן חל, שווה להכיר את ההבדלים המרכזיים בינו לבין חוק הגנת הפרטיות הישראלי:

• בסיס חוקי לעיבוד - GDPR דורש שלכל שימוש במידע אישי תהיה עילה מוגדרת מראש, ולא מסתפק בהסכמה כללית וסתמית
• זכות למחיקה - אדם באירופה יכול לדרוש שתמחקו את כל המידע שלכם עליו, לא רק לעדכן פרטים שגויים
• היקף הקנסות - הקנסות באירופה יכולים להגיע לעשרות מיליוני יורו, סדר גודל רחוק מאוד מהעיצומים בחוק הישראלי

ואם אני מוכר רק בישראל

אם העסק שלכם פונה לקהל ישראלי בלבד - האתר בעברית, המחירים בשקלים, המשלוח רק בארץ - GDPR פשוט לא רלוונטי אצלכם. הכתובת החוקית שלכם היא חוק הגנת הפרטיות, התשמ"א-1981, ותיקון 13 שנכנס לתוקף באוגוסט 2025 והרחיב משמעותית את חובות העסק ואת סמכויות האכיפה. זה החוק שקובע מה חייב להופיע במדיניות הפרטיות שלכם ואיך לטפל במידע שאתם אוספים.

צעדים פרקטיים למי שכן מוכר לאירופה

אם זיהיתם שאתם כן פונים לקהל אירופי, למשל האתר שלכם דו-לשוני ואתם שולחים מוצרים לגרמניה, כדאי למפות אילו נתונים אתם אוספים מלקוחות אירופיים, לוודא שיש עילה חוקית ברורה לכל שימוש בהם, ולבדוק שאתם יודעים להשיב אם מישהו מבקש למחוק את המידע שלו. כדאי גם לקבוע כתובת אחת ברורה לפניות בנושא פרטיות, כדי שבקשה כזו לא תלך לאיבוד בין תיבות מייל שונות. זה תהליך שדורש בדרך כלל בדיקה פרטנית, כי הפרטים משתנים לפי סוג העסק והמידע שנאסף.

רוב העסקים הישראליים הקטנים לא צריכים GDPR בכלל, והחוק הרלוונטי להם הוא חוק הגנת הפרטיות הישראלי. אצלנו בליינר השאלון שואל, בין השאר, אם אתם פונים גם ללקוחות מחוץ לישראל, והמדיניות שנוצרת מתייחסת לכך בהתאם.