מדיניות פרטיות לאתר היא המסמך שמסביר לגולש איזה מידע אישי האתר אוסף עליו, למה, למי הוא מועבר ומה הזכויות שלו. אם יש באתר שלך טופס יצירת קשר, הרשמה לניוזלטר, קופה או כלי מדידה כמו Google Analytics, אתה צריך מסמך כזה, והוא צריך לתאר את מה שקורה באתר שלך בפועל.
מאז שתיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025, חובת היידוע התרחבה, והחשיפה של בעלי אתרים גדלה. לכן נכון להתחיל מבדיקה של מה שהאתר אוסף, ורק אחר כך לכתוב. ריכזתי כאן את הבדיקות לפי הסדר, ולכל אחת מהן איך מגלים שחסר משהו ואיך משלימים אותו.
זה לא ייעוץ משפטי. את הנוסח הסופי כדאי לעבור עם עורך דין שעוסק בדיני פרטיות.
בדיקה 1: איזה מידע האתר שלך אוסף בכלל
לפני שכותבים מילה, צריך למפות מה האתר אוסף. רוב בעלי האתרים זוכרים את טופס יצירת הקשר ושוכחים את כל השאר.
הדרך הפשוטה היא לעבור על האתר כמו גולש ולרשום כל מקום שבו הוא מוסר פרטים: טפסים, הרשמה, הזמנה, צ'אט, תגובות לפוסטים. אחר כך רושמים כל כלי חיצוני שמותקן באתר: כלי מדידה, פיקסלים של פרסום, תוספי צ'אט וכלי דיוור.
מכל זה מכינים טבלה פשוטה עם ארבע עמודות: מה נאסף, איפה, למה, ולמי זה מועבר. הטבלה הזו היא השלד של המסמך, ובלעדיה כל נוסח שתכתוב יהיה ניחוש.
בדיקה 2: מה סעיף 11 מחייב לכתוב אחרי תיקון 13
סעיף 11 לחוק הגנת הפרטיות, התשמ"א-1981, קובע את חובת היידוע: מי שמבקש מאדם מידע אישי לצורך מאגר מידע צריך לפרט בפניו נתונים על האיסוף והשימוש. לפי נוסח החוק והמדריך של הרשות להגנת הפרטיות לתיקון 13, מאז כניסת התיקון לתוקף הפנייה צריכה לכלול את כל הפרטים האלה:
- אם חלה על האדם חובה חוקית למסור את המידע, או שהמסירה תלויה ברצונו ובהסכמתו, ומה התוצאה אם לא יסכים.
- המטרה שלשמה מבקשים את המידע.
- שם מי שאחראי על מאגר המידע (בעל השליטה במאגר) ודרכי ההתקשרות איתו.
- למי יימסר המידע ומה מטרות המסירה.
- קיומה של זכות עיון במידע האישי לפי סעיף 13.
- קיומה של זכות לבקש תיקון של המידע לפי סעיף 14.
עכשיו אפשר לפתוח את מדיניות הפרטיות שיש לך היום באתר ולבדוק אם כל אחד מששת הפרטים מופיע בה. שלושה מהם דורשים תשומת לב מיוחדת: תוצאת אי ההסכמה, זכות העיון וזכות התיקון, שנוספו לחובת היידוע רק בתיקון 13.
את מה שחסר מוסיפים למסמך. וחוץ מזה, ליד כל טופס צריכה להופיע הודעה קצרה עם קישור למסמך, כך שהגולש רואה אותה בזמן שהוא מוסר את הפרטים.
איך נראית הודעה קצרה ליד טופס
המסמך המלא יושב בעמוד נפרד, אבל הגולש צריך לראות את עיקרי הדברים בזמן שהוא ממלא את הטופס. הנה דוגמה למבנה של הודעה כזו. אפשר להתאים אותה לטופס שלך ולהעביר לבדיקה של עורך דין:
| המשפט בהודעה | הפרט מסעיף 11 שהוא מכסה |
|---|---|
| "הפרטים שתמלא כאן ישמשו כדי לחזור אליך בנוגע לפנייה." | המטרה שלשמה מבקשים את המידע |
| "אין חובה חוקית למסור אותם, אבל בלעדיהם לא נוכל לחזור אליך." | אם חלה חובה חוקית למסור את המידע, ומה התוצאה אם לא יסכים |
| "הפרטים לא יועברו לגורם אחר מלבד [שם הכלי או הספק], לצורך [המטרה]." | למי יימסר המידע ומה מטרות המסירה |
| "המידע נשמר אצל [שם העסק], ואפשר לפנות אלינו ב-[טלפון או מייל]." | שם בעל השליטה במאגר ודרכי ההתקשרות איתו |
| "יש לך זכות לעיין במידע שנשמר עליך ולבקש לתקן אותו." | זכות עיון לפי סעיף 13 וזכות תיקון לפי סעיף 14 |
| "פרטים נוספים במדיניות הפרטיות." | הקישור למסמך המלא |
כל משפט בדוגמה עונה על אחד מששת הפרטים שברשימה למעלה. כשכותבים הודעה לטופס אחר, כמו טופס הרשמה לניוזלטר או קופה, עוברים על אותה רשימה ומוודאים שכל פרט מופיע, לפי מה שהטופס הזה עושה בפועל.
המבנה של המסמך המלא
כשיש לך טבלת מיפוי מבדיקה 1 ואת רשימת החובות מסעיף 11, קל לבנות מדיניות פרטיות לאתר בפרקים ברורים: מי מפעיל את האתר ואיך יוצרים קשר, איזה מידע נאסף ובאיזה טופס או כלי, למה הוא נאסף, למי הוא מועבר, האם יש חובה למסור אותו ומה קורה אם לא, ואיך מממשים את זכות העיון ואת זכות התיקון. כך כל פרק נשען על עובדה מהאתר שלך, ואתה יכול לעדכן אותו כשמשהו משתנה.
בדיקה 3: כלים של צד שלישי ו-Google Analytics
הרבה מהמידע באתר נאסף בלי שום טופס, דרך כלים חיצוניים. גם גוגל עצמה מחייבת לגלות את זה: לפי מדיניות הגילוי של Google Analytics, מי שמשתמש בכלי באתר או באפליקציה צריך לגלות שהוא משתמש בו ואיך הוא אוסף ומעבד נתונים.
כאן חוזרים לרשימה מבדיקה 1 ובודקים אילו כלים חיצוניים מותקנים. אם Google Analytics או פיקסל פרסום פועלים באתר ולא מוזכרים במסמך, המסמך לא שלם.
הפרק הזה מפרט כל כלי חיצוני, מה הוא אוסף ולאיזו מטרה. וכשמוסיפים לאתר כלי חדש, מעדכנים גם את המסמך.
בדיקה 4: איפה מדיניות הפרטיות לאתר מופיעה בוורדפרס
לוורדפרס יש כלי מובנה לזה. לפי התיעוד הרשמי של וורדפרס, נכנסים ל-Settings > Privacy, ובוחרים אם ליצור עמוד חדש עם Create New Page, או לבחור עמוד קיים מהרשימה וללחוץ Use This Page.
העמוד שוורדפרס יוצר כולל הצעות ועזרה לתוכן, אבל התיעוד עצמו מדגיש שהאחריות להשתמש בהן נכון, להשלים את המידע הנדרש ולשמור אותו מעודכן היא שלך. וורדפרס מציגה קישור לעמוד בדפי ההתחברות וההרשמה, והקישור מכל שאר עמודי האתר תלוי בתבנית, כך שלרוב תצטרך להוסיף אותו לפוטר בעצמך. אם האתר שלך צריך התנהגות הסכמה מורכבת יותר, כמו באנר עוגיות שמשתנה לפי סוג המשתמש, זה כבר נכנס לתחום פיתוחים מורכבים באתר וורדפרס, ולא לכלי המובנה.
כדי לבדוק את זה אצלך, גוללים לתחתית של כמה עמודים באתר. אם אין שם קישור למדיניות הפרטיות, או שהקישור מוביל לעמוד הדוגמה של וורדפרס בלי שינוי, צריך לתקן.
התיקון הוא להגדיר את העמוד הנכון ב-Settings > Privacy ולהוסיף קישור בפוטר שמופיע בכל העמודים.
בדיקה 5: חנות WooCommerce והקופה
בחנות, הרגע הקריטי הוא הקופה. לפי התיעוד של WooCommerce, בקופה המבוססת על בלוקים הלקוח רואה הודעה שבהמשך הרכישה הוא מסכים ל-Terms and Conditions ול-Privacy Policy, עם קישורים לעמודים אם הגדרת אותם.
הדרך לבדוק היא הזמנת ניסיון. בקופה צריך להופיע קישור לעמוד הפרטיות, והוא צריך להוביל לעמוד הנכון.
אם הקישור חסר, מגדירים את עמוד הפרטיות בהגדרות האתר ובהגדרות החנות. המסמך עצמו צריך לתאר גם את המידע שנאסף בהזמנה, כמו כתובת למשלוח ופרטי קשר. ואם החנות שלך מיועדת בעיקר לעסקים, חנות אינטרנטית B2B אוספת בקופה גם פרטי חברה ואיש קשר, ולכן המסמך צריך לכסות גם את המידע הזה.
מה עולה ביוקר אם מפספסים
לפי המדריך של הרשות, תיקון 13 מאפשר לתבוע פיצוי ללא הוכחת נזק בסכום של עד 10,000 ש"ח על כמה הפרות, ובהן פנייה לאדם לקבלת מידע אישי בלי ההודעה שנדרשת בסעיף 11. התיקון גם ביטל את תקופת ההתיישנות המקוצרת של שנתיים לתביעה אזרחית לפי החוק, לגבי עילות שנוצרו אחרי כניסתו לתוקף.
בנוסף, לרשות להגנת הפרטיות יש סמכות להטיל עיצומים כספיים, גם על הפרות של תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017. בפועל זה אומר שמסמך מדיניות הפרטיות צריך להתאים למה שקורה באתר, כולל איך המידע מאובטח.
כדי שהמסמך לא יתיישן, כדאי לקבוע תאריך קבוע לבדיקה חוזרת שלו, ולעדכן אותו בכל פעם שמתווסף לאתר טופס או כלי חדש. זה נכון גם לשדרוג אתר וורדפרס שמוסיף תוספים או כלים חדשים, כי כל אחד מהם עשוי לאסוף מידע שצריך להופיע במסמך.
למה מדיניות פרטיות לדוגמא לא מספיקה
הפיתוי להעתיק מדיניות פרטיות לדוגמא מאתר אחר מובן, אבל המסמך צריך לתאר את האתר שלך: את הטפסים, הכלים והגורמים שמקבלים את המידע אצלך. מסמך שמתאר כלים שאין לך, או מפספס כלים שיש לך, לא עונה על חובת היידוע.
אפשר להשתמש בדוגמה כנקודת פתיחה למבנה, ואת התוכן למלא מתוך טבלת המיפוי מבדיקה 1.
מה דורש עורך דין ומה דורש איש טכני
- האתר אוסף מידע רגיש, כמו מידע רפואי, או שהמאגר שלך גדול. במצבים כאלה ייתכן שחלות עליך חובות נוספות, כמו מינוי ממונה על הגנת הפרטיות, ורק עורך דין יכול לקבוע את זה.
- אתה מעביר מידע של לקוחות לגורמים אחרים ולא ברור לך מה מותר.
- אתה לא מצליח למפות אילו כלים וסקריפטים רצים באתר, או שאין לך גישה לקוד.
- אתה צריך להוסיף קישורים והודעות ליד טפסים ובקופה, ולא בטוח איך לעשות את זה בלי לשבור את האתר.
את החלק המשפטי עושה עורך דין. את החלק הטכני, כלומר המיפוי של מה שרץ באתר, הקישורים וההודעות ליד הטפסים, אני יכול לעשות בשבילך. אפשר לכתוב לי כאן.
שאלות נפוצות
האם חובה מדיניות פרטיות לאתר קטן עם טופס יצירת קשר?
אם הטופס אוסף מידע אישי לצורך מאגר, חלה עליך חובת היידוע שבסעיף 11 לחוק הגנת הפרטיות. מסמך מדיניות וקישור אליו ליד הטופס הם הדרך המקובלת לעמוד בה. כדאי לבדוק את המקרה שלך מול עורך דין.