מה חייב להיות במדיניות הפרטיות שלכם?
יותר ממה שכתוב בתבנית.

מדיניות פרטיות טובה לא מתחילה מתבנית אלא ממיפוי: איזה מידע נאסף, איפה, למה ומי מקבל אותו. אחרי תיקון 13 הדרישות להודעה בעת איסוף המידע התרחבו, ההגדרה למידע אישי השתנתה, והרשות כבר הטילה ב-2026 עיצום כספי על עסק שאסף מידע בלי הודעה מלאה. כך בונים מדיניות שמתאימה לפעילות שלכם בפועל.

מה החוק מחייב בעת איסוף מידע

כשאתם מבקשים מידע מאדם - בטופס באתר, בהרשמה לשירות או בקבלת מועמד לעבודה - סעיף 11 לחוק מחייב למסור לו הודעה שכוללת: את מטרות בקשת המידע ולמי הוא יימסר ובאילו מטרות; האם מדובר בחובה חוקית למסור את המידע או במסירה מרצון, ומהי תוצאת אי-ההסכמה; את שם בעל השליטה במאגר, מקום מושבו ודרכי ההתקשרות עימו; ואת קיומן של זכות העיון במידע וזכות בקשת התיקון. הרבה טפסים שנכתבו לפני אוגוסט 2025 לא מכסים את הדרישות החדשות.

ההודעה הזו היא חובה בנקודת האיסוף עצמה. מדיניות פרטיות מסודרת היא השכבה שמסבירה את התמונה המלאה - אבל היא לא מחליפה את ההודעה בטופס, והיא בהחלט לא מפצה על היעדרה.

למה תבנית גנרית לא מספיקה

תבנית לא יודעת שטופס יצירת הקשר שלכם נשלח ל-CRM אמריקאי, שהצ'אט באתר מופעל על ידי ספק חיצוני, שרשימת התפוצה מנוהלת במערכת דיוור, או שהמוצר שולח תוכן של משתמשים לכלי AI. אם מה שכתוב במדיניות לא תואם את מה שקורה במערכות - יש לכם מסמך שמתאר עסק אחר. זו בדיוק הסיטואציה שהרשות אוכפת: ב-2026 הוטל עיצום כספי על עסק שאסף מידע בטופס מקוון בלי הודעה מלאה כנדרש. מסלול העיצום תלוי גם באופן הפנייה: סעיף 23כו(ג) קובע לפנייה לאדם בלי הודעה סכומי בסיס של 50 שקלים לאדם, או 100 שקלים במידע בעל רגישות מיוחדת, ואפשרות להעמיד סכום נמוך על 30,000 שקלים. פנייה לקבוצה בלתי מסוימת כפופה למסלול אחר בסעיף 23כו(ד). הסכומים כפופים לעדכון, להפחתות ולתנאי החוק, ולכן אין לחשב כל טופס אינטרנט באותה נוסחה.

מה צריך למפות לפני שכותבים מילה

הבסיס למדיניות מדויקת הוא מיפוי עדכני של הפעילות: כל נקודת איסוף (טפסים, הרשמה, רכישה, צ'אט, טלפון); המידע שנאסף בכל נקודה, כולל מידע טכני שנאסף אוטומטית; המטרה של כל שימוש; כל ספק שמקבל מידע או גישה אליו - אחסון, דיוור, סליקה, אנליטיקה, שירות לקוחות; העברות מידע מחוץ לישראל; תקופות שמירה ומחיקה; והאופן שבו אדם יכול לממש את זכויותיו. גם אחרי תיקון 13, שהרחיב את ההגדרה למידע אישי כך שיכלול מזהים מקוונים ונתוני מיקום, יש לבדוק גם מזהים בעוגיות וביומני שרת במסגרת המיפוי.

המדיניות הנוכחית שלכם נכתבה מתבנית, או לפני תיקון 13? שלחו קישור לאתר ונבדוק מה לא מכוסה.

שלחו לי את כתובת האתרפנייה ישירה לעו״ד עמית מלדסי

דוגמה: אתר של עסק קטן, ארבעה ספקים מאחורי הקלעים

סטודיו לייעוץ עם אתר תדמית נראה פשוט - עד שממפים: טופס יצירת קשר נשמר במערכת CRM בחו"ל; רשימת תפוצה מנוהלת בכלי דיוור; האתר מפעיל כלי ניתוח תנועה עם עוגיות; ולידים עוברים ליומן ולוואטסאפ העסקי. המדיניות צריכה לומר את זה בשפה פשוטה: מה נאסף בכל נקודה, למה, מי הספקים, שהמידע עובר לשרתים מחוץ לישראל, כמה זמן הוא נשמר ואיך פונים לעיון ותיקון, או לבחינת מחיקה כאשר קיימת עילה לכך. בלי המיפוי, אי אפשר לכתוב משפט אחד מדויק.

ספקים: האחריות נשארת שלכם

כשספק חיצוני מעבד עבורכם מידע אישי - אחסון, דיוור, גבייה - אתם נשארים בעלי השליטה במאגר. תקנה 15 לתקנות אבטחת המידע מחייבת, בהתקשרות עם גורם חיצוני הנכללת בתחולתה, בחינת סיכונים, הסכם ופיקוח בהתאם לסיכון. הנחיית מיקור החוץ מסייעת בהבנת הבדיקה. ההסדרה כוללת בין היתר: מטרות העיבוד, סוגי המידע, אבטחת מידע, השמדה בסיום ובקרה. גם המדיניות צריכה לשקף זאת: לא רשימה סתמית של "צדדים שלישיים", אלא קטגוריות ספקים אמיתיות עם מטרות אמיתיות.

Cookies, Analytics ושקיפות בזמן אמת

כלי מדידה ושיווק עשויים לאסוף מזהים מקוונים. כשהם נוגעים לאדם מזוהה או שניתן לזהותו במאמץ סביר, הם מידע אישי לפי ההגדרה בחוק. המדיניות צריכה להסביר אילו כלים פועלים באתר, מה הם אוספים ולמה, ואיך משתמש יכול לשלוט בהם. ועקרון שחוזר גם כאן: ככל שהפעולה פחות צפויה למשתמש - הקלטה, שימוש חדש במידע, עיבוד ב-AI - כך חשוב שהשקיפות תופיע בנקודת האיסוף עצמה, לא רק בעמוד 4 של המדיניות.

צ'ק-ליסט: מדיניות שמחזיקה מים

מיפוי מלא של נקודות איסוף ומערכות לפני הכתיבה.
הודעת סעיף 11 מלאה ליד כל טופס: מטרות, מקבלים, חובה או מרצון ותוצאת אי-הסכמה, בעל השליטה ודרכי יצירת קשר, זכויות עיון ותיקון.
המדיניות מתארת את הספקים האמיתיים ואת העברות המידע לחו"ל.
תקופות שמירה ומחיקה מוגדרות.
נוהל פניות לזכויות נושאי מידע עם מייל או טופס ייעודי.
התאמה בין הכתוב לבין מה שהמערכות עושות בפועל - נבדק, לא משוער.
עדכון אחרי כל שינוי במערכות או בספקים.
תיעוד: מתי נכתבה, מתי נבדקה ומתי עודכנה.

רוצים מדיניות שמתארת את הפעילות שלכם באמת? מתחילים במיפוי קצר של המערכות - שלחו את כתובת האתר.

שלחו לי את כתובת האתרפנייה ישירה לעו״ד עמית מלדסי

שאלות נפוצות

האם חוק הגנת הפרטיות מחייב מסמך בשם "מדיניות פרטיות"?

החוק מחייב הודעה בעת איסוף מידע (סעיף 11) ושקיפות כלפי נושאי המידע - מדיניות פרטיות מפורסמת היא הדרך המקובלת והיעילה לקיים זאת באתר ובשירות דיגיטלי. בנוסף, תקנות אבטחת המידע מחייבות נוהל מסודר לגבי המאגרים, והרשות מצפה שהמסמכים יתאימו לפעילות בפועל. מעבר לחוק, יש לבדוק גם את דרישות הפלטפורמות והספקים שבהם משתמשים: תנאיהם עשויים לדרוש מדיניות פרטיות.

מה ההבדל בין הודעת סעיף 11 למדיניות הפרטיות?

הודעת סעיף 11 היא חובה נקודתית בעת בקשת המידע: היא מופיעה ליד הטופס או ההרשמה וכוללת את המטרות, המקבלים, מעמד המסירה, זהות בעל השליטה והזכויות. מדיניות הפרטיות היא המסמך הכולל שמתאר את כל נוהלי הפרטיות של העסק. אחת לא מחליפה את השנייה.

מה השתנה אחרי תיקון 13?

שלושה דברים מרכזיים: ההגדרה למידע אישי התרחבה וכוללת מזהים מקוונים, נתוני מיקום ומזהים ביומטריים; תוכן ההודעה בעת איסוף התרחב (חובה או מרצון, תוצאת אי-הסכמה, פרטי בעל השליטה, הזכויות); והאכיפה קיבלה שיניים - עיצומים כספיים לפי מספר נושאי המידע, וכבר ב-2026 הוטל עיצום על הפרת חובת היידוע בעת איסוף מידע.

אפשר פשוט להעתיק מדיניות מאתר אחר?

אפשר טכנית, אבל זו אחת הסיבות הנפוצות לכשל: המדיניות המועתקת מתארת מערכות, ספקים ומטרות של עסק אחר. אם ההצהרות לא תואמות את המציאות, העסק מצהיר הצהרות שגויות - ולפעמים מוותר בשוגג על הגנות שהיה רוצה. תבנית יכולה לשמש נקודת פתיחה לבנייה, אבל רק אחרי מיפוי של הפעילות שלכם.

האם המדיניות צריכה להיות גם באנגלית?

סעיף 11 אינו קובע שפה מסוימת להודעת האיסוף. הכלל המעשי: השקיפות צריכה להיות מובנת לקהל שממנו אוספים מידע. אתר או שירות שפונה לקהל דובר אנגלית צריך לרוב גרסה באנגלית, ואתר ישראלי שפונה לציבור המקומי - עברית ברורה היא הבסיס.

כל כמה זמן צריך לעדכן את המדיניות?

אין מועד קבוע בחוק, אבל הכלל פשוט: אחרי שינוי במערכות, בספקים, במטרות השימוש או בסוגי המידע יש לבדוק אם נדרש עדכון. מומלץ לקבוע בדיקה תקופתית קבועה ולתעד אותה. מדיניות שמתארת אתר מלפני שלוש שנים כמעט תמיד לא מתארת את האתר של היום.

מקורות לקריאה ולעיון:

· חוק הגנת הפרטיות (תיקון מס' 13), התשפ"ד-2024, ספר החוקים 3287 - הגדרת מידע אישי (סעיף 1), הודעה בעת איסוף מידע (סעיף 11) ושיעורי העיצומים הכספיים (סעיף 23כו): https://fs.knesset.gov.il/25/law/25_lsr_4810658.pdf

· הרשות להגנת הפרטיות - הטלת עיצום כספי על הפרת חובת היידוע בעת איסוף מידע (סעיף 11), 2026: http://www.gov.il/he/pages/carting

· הרשות להגנת הפרטיות - מדריך פעולה להתקשרות עם ספקי מיקור חוץ לפי תקנה 15: https://www.gov.il/he/pages/guide_section_15

· הרשות להגנת הפרטיות - תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017: http://www.gov.il/he/pages/data_security_regulation

· חוק הגנת הפרטיות, נוסח משולב - זכויות עיון ותיקון (סעיפים 13-14): https://www.nevo.co.il/law_html/law01/087_001.htm