תיקון 13 לחוק הגנת הפרטיות: מה בעל אתר צריך לעשות

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025, ומבחינת בעל אתר עסקי השינוי המעשי הגדול הוא בטפסים. כל טופס שאוסף פרטים למאגר מידע, כמו טופס לידים, הרשמה או הזמנה, צריך להיות מלווה בהודעה שמפרטת אם חובה למסור את המידע ומה קורה אם לא, למה הוא נאסף, מי בעל השליטה במאגר ואיך פונים אליו, למי המידע יימסר, ושיש זכות לעיין בו ולבקש לתקן אותו. לפי הרשות להגנת הפרטיות, איסוף דרך לינק באתר בלי הודעה כזאת חשוף לעיצום כספי שמחושב לפי מספר האנשים במאגר.

חשוב: המדריך הזה מסביר את הצד המעשי של אתר וטפסים, ומבוסס על המדריך הרשמי של הרשות להגנת הפרטיות לתיקון 13. הוא לא ייעוץ משפטי. את נוסח מדיניות הפרטיות וההודעות כדאי לבדוק עם עורך דין שמתמחה בפרטיות.

מה זה תיקון 13, ומתי הוא נכנס לתוקף?

הכנסת אישרה את תיקון 13 ב-5 באוגוסט 2024, ולפי המדריך של הרשות להגנת הפרטיות זה העדכון המקיף ביותר לדיני הגנת הפרטיות בישראל מאז שהחוק נחקק ב-1981. הוא נכנס לתוקף ב-14 באוגוסט 2025. בין עיקריו, לפי הרשות:

• עדכון ההגדרות בחוק, כולל הגדרה רחבה יותר של "מידע אישי".
• צמצום משמעותי של חובת רישום מאגרי מידע.
• חובת מינוי ממונה על הגנת הפרטיות (DPO) בגופים מסוימים.
• הרחבת חובת היידוע בעת איסוף מידע.
• סמכות של הרשות להטיל עיצומים כספיים, גם על הפרות של תקנות אבטחת המידע.
• הרחבת האפשרות לתבוע פיצוי בלי הוכחת נזק, וביטול ההתיישנות המקוצרת.

האם תיקון 13 חל על אתר של עסק קטן?

ברוב המקרים, כן. לפי המדריך של הרשות, "מידע אישי" מוגדר עכשיו כ"כל נתון הנוגע לאדם מזוהה או לאדם הניתן לזיהוי", כולל באמצעות שם, מספר זהות, נתוני מיקום או מזהה מקוון. "מאגר מידע" הוא אוסף של מידע אישי שמעובד באמצעי דיגיטלי. לידים מהאתר שנשמרים במייל, בגיליון או ב-CRM הם בדרך כלל מאגר כזה.

יש חריג אחד שכדאי להכיר: לפי אותו מדריך, אוסף שכולל רק שם, מען ודרכי התקשרות, לגבי 100,000 בני אדם או פחות, שלא מלמד כשלעצמו על מידע אישי נוסף, לא נחשב מאגר מידע, בתנאי שלבעל האוסף אין אוסף אחר עם פרטים נוספים על אותם אנשים. בפועל, טופס לידים שואל כמעט תמיד גם במה הלקוח מתעניין, והלידים מצטרפים להיסטוריית שיחות והצעות מחיר. אם אתם מסתמכים על החריג, בדקו את זה עם עורך דין.

מה חייב להופיע ליד טופס לידים באתר?

לפי סעיף 11 לחוק, כפי שהורחב בתיקון ומפורט במדריך של הרשות, פנייה לאדם לקבלת מידע אישי לשם עיבודו במאגר צריכה לכלול:

1. אם חלה על האדם חובה חוקית למסור את המידע, או שהמסירה תלויה ברצונו, ומה התוצאה אם לא ימסור.
2. המטרה שלשמה מבוקש המידע.
3. שם בעל השליטה במאגר ודרכי ההתקשרות איתו.
4. למי יימסר המידע, ולאילו מטרות.
5. שיש לאדם זכות לעיין במידע עליו, וזכות לבקש לתקן אותו.

איך זה נראה באתר: שורה או שתיים מתחת לכפתור השליחה, בשפה פשוטה, עם קישור למדיניות הפרטיות המלאה. נוסח לדוגמה, להתאמה עם עורך דין:

"מסירת הפרטים אינה חובה, אבל בלעדיהם לא נוכל לחזור אליכם. הפרטים נשמרים אצל [שם העסק] כדי לחזור אליכם בנוגע לפנייה, ויועברו רק לספקים שמפעילים עבורנו את מערכת ניהול הפניות. אפשר לעיין במידע עליכם ולבקש לתקן אותו בפנייה ל-[מייל]. פרטים נוספים במדיניות הפרטיות."

הכי חשוב שההודעה תהיה נכונה. אם הלידים עוברים לכלי חיצוני, לסוכן, לשותף או למערכת פרסום, זה צריך להיכתב.

מה העיצום על טופס בלי הודעה כנדרש?

לפי המדריך של הרשות, פנייה לקבוצה בלתי מסוימת לאיסוף מידע אישי בלי ההודעה שנדרשת לפי סעיף 11 נמצאת בקבוצת הפרות שבה העיצום הוא 2 ₪ לכל אדם שיש עליו מידע במאגר, או 4 ₪ אם יש במאגר מידע בעל רגישות מיוחדת. סכום העיצום לכל הפרה לא יפחת מ-20,000 ₪, או 40,000 ₪ כשיש מידע רגיש. הרשות נותנת דוגמה מפורשת: פנייה לקבוצה בלתי מסוימת "כגון באמצעות לינק באתר אינטרנט", בלי הודעה כנדרש, למאגר עם 500,000 איש ומידע בעל רגישות מיוחדת, תגרור עיצום של 2,000,000 ₪.

כשהפנייה היא לאדם מסוים, לפי אותו מדריך, העיצום הוא 50 ₪ לכל אדם שהפנייה נעשתה אליו, או 100 ₪ במידע רגיש, ולא פחות מ-30,000 ₪ להפרה. בנוסף, החוק מאפשר לתבוע פיצוי בלי הוכחת נזק של עד 10,000 ₪, בין היתר על פנייה לקבלת מידע אישי בלי ההודעה הנדרשת.

המספרים האלה לא נועדו להפחיד אלא להראות שהשורה מתחת לטופס היא לא פרט שולי. התיקון שלה לוקח שעה.

האם צריך לרשום את מאגר הלידים?

ברוב המקרים לא. לפי מדריך הרשות, אחרי התיקון חובת הרישום נשארת בעיקר לגופים ציבוריים ולמאגרים שמטרתם העיקרית היא איסוף מידע כדי למסור אותו לאחרים כדרך עיסוק, כולל דיוור ישיר, עם 10,000 בני אדם ומעלה. הרשות מדגישה שמאגר שלא חייב ברישום עדיין כפוף לכל שאר החובות בחוק ובתקנות. בנוסף נקבעה חובת הודעה לרשות על מאגרים עם מידע בעל רגישות מיוחדת על יותר מ-100,000 איש.

האם עסק צריך למנות ממונה הגנת פרטיות (DPO)?

רוב העסקים הקטנים לא. לפי המדריך של הרשות, החובה חלה על:

• גופים ציבוריים.
• גופים שעיסוקם העיקרי הוא איסוף מידע אישי כדי למסור אותו לאחרים, כולל דיוור ישיר, עם מידע על יותר מ-10,000 איש.
• גופים שעיסוקם העיקרי כרוך בניטור שוטף ושיטתי של בני אדם בהיקף ניכר.
• גופים שעיסוקם העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר. החוק מציין במפורש בנקים, חברות ביטוח, בתי חולים וקופות חולים.

עסק שמטפל במידע רפואי, פיננסי או משפטי רגיש, כמו קליניקה או משרד שמחזיק תיקים, צריך לבדוק את השאלה ברצינות עם יועץ.

מה עם אבטחת המידע שמגיע מהאתר?

לפי הרשות, תיקון 13 מאפשר להטיל עיצומים גם על הפרות של תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017. במדריך מפורטות בין היתר הפרות שקשורות לניהול הרשאות גישה, לתיעוד גישה, לעדכון מערכות המאגר ולאבטחת חיבור ברשת. בשפה של אתר, זה אומר:

• לאן הלידים הולכים: למערכת עם הרשאות, לא לתיבת מייל פרטית או לגיליון משותף פתוח.
• מי ניגש: רק מי שצריך, עם אימות דו-שלבי, והסרת גישה כשעובד עוזב.
• עדכונים: אתר, תוספים ומערכות מעודכנים. טופס שיושב על תוסף ישן הוא נקודת תורפה.
• חיבור מאובטח: HTTPS בכל האתר.
• ספקים: לדעת אילו כלים מקבלים את המידע, ואיפה הם שומרים אותו.
• מינימום שדות: לבקש רק את מה שצריך כדי לחזור ללקוח. מה שלא אוספים לא צריך לאבטח.

איך בונים את זה בצורה מסודרת במערכת לניהול לקוחות, הסברנו במדריך מערכת לניהול תיקי לקוחות, ולמערכות כלליות במדריך פיתוח מערכת בהתאמה אישית.

דיוור, פיקסלים וכלי מדידה

• הסכמה לדיוור: שליחת הודעות פרסומיות מוסדרת בנפרד, בסעיף 30א לחוק התקשורת ("חוק הספאם"), שלפיו נדרשת הסכמה מפורשת מראש של הנמען למשלוח דבר פרסומת בהודעה אלקטרונית או במסרון. לכן תיבת הסכמה לדיוור צריכה להיות נפרדת מהטופס, ולא מסומנת מראש.
• פיקסלים וכלי מדידה: כלים של מערכות פרסום ואנליטיקה מעבירים מידע לצד שלישי. סעיף "למי יימסר המידע" במדיניות הפרטיות צריך לשקף את זה. כדאי לבדוק עם עורך הדין איך לנסח.
• צ'אט ובוטים: אם צ'אט באתר אוסף פרטים, גם עליו חלה חובת ההודעה.

צ'קליסט: תיקון 13 לאתר העסק

1. מיפיתי את כל הטפסים באתר: יצירת קשר, הרשמה, הזמנה, צ'אט, הורדת קבצים.
2. ליד כל טופס יש הודעה עם חמשת הפרטים מסעיף 11, וקישור למדיניות הפרטיות.
3. מדיניות הפרטיות מעודכנת, נכונה, וכוללת את הכלים והספקים שמקבלים מידע.
4. הטפסים מבקשים רק את מה שצריך.
5. הלידים נשמרים במערכת עם הרשאות, לא בתיבה פרטית.
6. יש אימות דו-שלבי לממשק הניהול של האתר ולמערכת הלידים.
7. האתר והתוספים מעודכנים, והאתר כולו ב-HTTPS.
8. הסכמה לדיוור נפרדת ולא מסומנת מראש.
9. יש כתובת ברורה לבקשות עיון ותיקון, ומישהו שמטפל בהן.
10. עורך דין בדק את הנוסחים.

מה כדאי שיופיע במדיניות הפרטיות של האתר?

ההודעה ליד הטופס צריכה להיות קצרה, ומדיניות הפרטיות היא המקום לפרטים המלאים. הרשימה הבאה מבוססת על חובת היידוע שבסעיף 11, ועל מה שאתר עסקי בדרך כלל אוסף. הנוסח הסופי הוא של עורך הדין:

• מי בעל השליטה במאגר: שם העסק, מספר עוסק או ח.פ. ודרכי התקשרות.
• איזה מידע נאסף: מה הגולשים ממלאים בטפסים, ומה נאסף אוטומטית דרך עוגיות וכלי מדידה.
• לאילו מטרות המידע משמש: חזרה לפנייה, מתן השירות, דיוור למי שהסכים, מדידה ושיפור האתר.
• למי המידע מועבר: ספקי אחסון, מערכת ניהול לקוחות, מערכות דיוור וכלי פרסום ומדידה.
• זכויות העיון והתיקון, ולאן פונים כדי לממש אותן.
• איך מאובטח המידע, ברמה כללית.
• תאריך העדכון האחרון של המדיניות.

מדיניות שהועתקה מאתר אחר מסוכנת יותר מכלום, כי היא מתארת תהליכים שלא קיימים אצלכם. היא צריכה לשקף את מה שקורה באמת במידע שלכם.

שאלות לשאול את מי שבנה את האתר או את ספק ה-CRM

1. לאן נשלחים הפרטים מכל טופס באתר, ואיפה הם נשמרים?
2. האם הפרטים נשמרים גם בבסיס הנתונים של האתר, ולכמה זמן?
3. אילו תוספים, סקריפטים ופיקסלים מותקנים באתר ומעבירים מידע לצד שלישי?
4. מי יכול להיכנס לממשק הניהול, והאם יש אימות דו-שלבי?
5. מתי האתר והתוספים עודכנו לאחרונה?
6. האם יש תיעוד של מי ניגש למידע, ומתי?

מה העיצומים על הפרת תקנות אבטחת המידע?

לפי המדריך של הרשות, העיצומים על הפרת תקנות אבטחת המידע נחלקים לשלוש רמות, לפי חומרת ההפרה ורמת האבטחה של המאגר:

לפי אותו מדריך, במאגרים עם יותר ממיליון נושאי מידע כל הסכומים מוכפלים. במאגרים ברמת אבטחה בסיסית ובמאגרים שמנוהלים בידי יחיד, נקבעו עיצומים של 1,000 עד 2,000 ₪ להפרות שונות. רוב אתרי העסקים הקטנים נמצאים בקטגוריה הזאת, אבל ברגע שיש מידע רגיש או הרבה בעלי הרשאה, רמת האבטחה יכולה לעלות. את הסיווג המדויק כדאי לבדוק עם יועץ.

תוכנית עבודה לשבוע: מה עושים קודם?

טעויות נפוצות בטפסים אחרי תיקון 13

• מדיניות פרטיות שהועתקה מאתר אחר: מתארת כלים ותהליכים שלא קיימים אצלכם, ומשמיטה את אלה שכן.
• הודעה רק במדיניות, לא ליד הטופס: מי שממלא טופס לא קורא מדיניות של עשרה עמודים. ההודעה צריכה להיות במקום שבו אוספים את המידע.
• תיבת הסכמה אחת לכל דבר: הסכמה לפרטיות ולדיוור באותה תיבה.
• טפסים ישנים שנשכחו: דף נחיתה מקמפיין קודם, טופס הורדה או צ'אט שעדיין אוספים פרטים.
• לידים בתיבת מייל משותפת: כל מי שיש לו את הסיסמה רואה הכל, ואין תיעוד מי ניגש.

מה עושים כשמישהו מבקש לעיין במידע עליו?

הזכות לעיין במידע (סעיף 13 לחוק) והזכות לבקש לתקן אותו (סעיף 14) הן חלק ממה שההודעה ליד הטופס צריכה לציין, ולכן צריך גם להיות מוכנים לממש אותן. בפועל: להגדיר כתובת אחת לבקשות, מישהו שאחראי לטפל בהן, ודרך לאתר את כל המידע על אדם מסוים, כולל במערכת הלידים, בתיבת המייל ובכלי הדיוור. עסק שהלידים שלו מפוזרים בין חמישה כלים יגלה את זה בדיוק כשתגיע הבקשה הראשונה. את המועדים והפרוצדורה המדויקת כדאי לבדוק עם עורך הדין.

איך אנחנו עובדים

ב-R.A.S Group אנחנו מטפלים בצד הטכני: מיפוי של כל הטפסים והכלים שמקבלים מידע באתר, הוספת הודעות ליד הטפסים לפי נוסח שעורך הדין שלכם מאשר, העברת הלידים למערכת עם הרשאות, עדכוני אבטחה ו-HTTPS. את הנוסח המשפטי עצמו צריך לאשר עורך דין.

לפרטים על בניית אתרים ועל תחזוקה וניהול אתרים, או כדי שנבדוק את הטפסים באתר שלכם, השאירו פרטים. על הצד של בינה מלאכותית ותיקון 13 כתבנו בנפרד, במאמר תיקון 13 לחוק הפרטיות ו-AI.

מקורות:

• הרשות להגנת הפרטיות: מדריך לתיקון מס' 13 לחוק הגנת הפרטיות (PDF)
• ויקיפדיה: חוק הספאם (סעיף 30א לחוק התקשורת)