מדיניות פרטיות לפי החוק הישראלי - מה חייב להופיע בה

רוב האתרים אוספים מידע אישי בלי לשים לב. טופס יצירת קשר, טופס הרשמה לניוזלטר, אפילו שדה פשוט של "השאירו טלפון ונחזור אליכם" - כל אחד מהם שומר שם, טלפון או מייל של מי שממלא אותו.

כשבודקים את זה מקרוב, מתברר שהחוק הישראלי לא מתייחס לגודל העסק. גם עסק עם טופס יצירת קשר בודד נחשב כמי שמנהל מאגר מידע, וחייב לפרסם מדיניות פרטיות שמסבירה מה קורה עם המידע הזה.

הבעיה היא שרוב בעלי העסקים לא יודעים את זה. ומי שכן שם לב, לרוב מעתיק מדיניות פרטיות מאתר אחר בלי לבדוק אם היא בכלל מתארת את מה שקורה אצלו.

מי חייב במדיניות פרטיות

התשובה הפשוטה: כל אתר שאוסף מידע אישי. זה כולל טופס צור קשר, טופס הזמנה, הרשמה לניוזלטר, ואפילו שדה של "השאירו פרטים ונחזור אליכם". ברגע שהאתר שומר פרט מזהה על אדם - שם, טלפון, מייל, כתובת - הוא הופך למי שמנהל מאגר מידע לפי חוק הגנת הפרטיות, התשמ"א-1981.

אין כאן סף מינימלי. חנות קטנה עם עשרה לקוחות בחודש חייבת במדיניות פרטיות בדיוק כמו חברה גדולה. ההבדל היחיד הוא כמה מידע נאסף, לא אם צריך לגלות עליו.

מה חייב להופיע במדיניות פרטיות

מדיניות פרטיות היא לא הצהרת כוונות כללית. היא צריכה לענות בפירוט על כמה שאלות קונקרטיות:

• איזה מידע נאסף - שם, טלפון, מייל, כתובת, פרטי תשלום או כל פרט אחר שהאתר שומר
• לאיזו מטרה המידע נאסף - למשל כדי לספק את השירות, לשלוח עדכונים או לבצע חיוב
• למי המידע מועבר - ספקי תשתית, חברות שילוח, מערכות סליקה או כל גורם חיצוני אחר שנחשף אליו
• זכות עיון ותיקון - לפי סעיפים 13-14 לחוק הגנת הפרטיות, התשמ"א-1981, לכל אדם יש זכות לבדוק מה שמור עליו ולבקש לתקן או למחוק
• איך המידע מאובטח - אילו אמצעים ננקטים כדי לשמור על המידע מפני שימוש לא מורשה
• עוגיות וכלי מדידה - אם משתמשים בגוגל אנליטיקס, פיקסל של פייסבוק או כלים דומים, המדיניות צריכה לציין את זה

רשימה כזו לא צריכה להישמע כמו ניסוח משפטי סתום. אפשר לכתוב אותה בעברית פשוטה וברורה, כל עוד היא באמת עונה על השאלות האלה ולא רק מסתובבת סביבן.

מה תיקון 13 משנה

באוגוסט 2025 נכנס לתוקף תיקון 13 לחוק הגנת הפרטיות, ונתן לרשות להגנת הפרטיות סמכויות אכיפה שלא היו לה קודם, כולל סמכות לבדוק עסקים, לדרוש מסמכים ולהטיל עיצומים כספיים ישירות מול עסקים שלא עומדים בדרישות החוק.

זה נשמע כמו סיפור של חברות גדולות, אבל זה לא. עסק קטן שאוסף מידע דרך טופס באתר נחשב מאגר מידע לכל דבר, וחשוף לאותה אכיפה בדיוק. כתבנו פוסט נפרד שמסביר לעומק מה תיקון 13 משנה, אבל הנקודה המרכזית היא פשוטה: החוק כבר לא רק תיאורטי.

הטעויות הנפוצות

שלוש טעויות חוזרות שוב ושוב במדיניות פרטיות של אתרים קטנים:

• מדיניות מועתקת מאתר אחר - מתארת עיבוד מידע שהעסק שלכם בכלל לא עושה, ומחסירה נושאים שכן רלוונטיים אצלכם
• מדיניות באנגלית בלבד - באתר בעברית שפונה ללקוחות ישראלים, זה לא נחשב גילוי אמיתי
• מדיניות שלא תואמת את מה שקורה בפועל - למשל כתוב שלא משתפים מידע עם צד שלישי, אבל בפועל יש כלי אנליטיקס או פיקסל שיווקי פעיל באתר

כל אחת מהטעויות האלה נראית קטנה ברגע שכותבים אותה. היא מתגלה בדיוק ברגע שלקוח מתלונן, או שמישהו בודק את האתר מול מה שכתוב במדיניות.

אם עבר זמן מאז שכתבתם את מדיניות הפרטיות שלכם, שווה לעבור עליה ולבדוק אם היא עדיין תואמת את מה שהאתר באמת אוסף היום - אילו טפסים נוספו, ואילו כלים חדשים מותקנים באתר. בליינר מדיניות הפרטיות נבנית מהתשובות שלכם על העסק, כך שהיא משקפת את מה שבאמת קורה אצלכם, לא תבנית כללית שמישהו אחר כתב.