האם כל אתר חייב מדיניות פרטיות?

התשובה הפורמלית והתשובה המעשית שונות זו מזו, וכדאי להכיר את שתיהן.

מה החוק דורש באמת

החוק אינו מחייב מסמך שנקרא ״מדיניות פרטיות״. מה שהוא כן מחייב הוא יידוע.

סעיף 11 לחוק הגנת הפרטיות, התשמ״א-1981 קובע שכאשר פונים לאדם כדי לקבל ממנו מידע, יש ליידע אותו — האם חלה עליו חובה חוקית למסור את המידע או שמסירתו תלויה ברצונו; מה המטרה שלשמה מבוקש המידע; ולמי יימסר המידע ולאילו מטרות.

מכאן נובעת התשובה המעשית: אתר שיש בו טופס — יצירת קשר, הרשמה לדיוור, הזמנה, השארת פרטים — אוסף מידע, ולכן חייב ביידוע. מדיניות פרטיות היא פשוט הדרך המקובלת לקיים את החובה במקום אחד מסודר.

אתר תדמית סטטי לחלוטין, בלי טפסים ובלי איסוף כלשהו, נמצא במצב שונה — אך גם שם, כלים אנליטיים או פיקסלים שמותקנים באתר משנים את התמונה.

מה חייב להופיע

איזה מידע נאסף — בפועל ולא בכללי. שם, טלפון, אימייל, תוכן הפנייה, נתוני גלישה.

לשם מה — המטרה הקונקרטית. ״לצורך מענה לפנייה״ שונה מ״לצורך דיוור שיווקי״, ואם רוצים גם את השני צריך לומר זאת.

למי המידע מועבר — ספקים שנוגעים במידע: מערכת הדיוור, שירות האחסון, מוקד חיצוני.

כמה זמן נשמר המידע ואיך פונים בבקשת עיון, תיקון או מחיקה.

דרך ליצירת קשר בענייני פרטיות.

שתי טעויות יקרות

העתקה ממדיניות של אתר אחר. זו הטעות הנפוצה ביותר, והיא מסוכנת דווקא כשהמקור מקצועי — מסמך שמתאר עוגיות מעקב, פיקסלים או באנר הסכמה שאין באתר שלכם הוא מצג שגוי כלפי הגולשים. מדיניות טובה מתארת את מה שהאתר באמת עושה, גם אם זה מעט.

מדיניות במקום ציות. מסמך יידוע אינו תוכנית פרטיות. הוא אינו מחליף מיפוי מאגרים, קביעת רמת האבטחה הנדרשת, נהלים והסדרה בכתב מול ספקים — שהפכו למשמעותיים בהרבה מאז שתיקון 13 העניק לרשות סמכות להטיל עיצומים כספיים מנהליים.

מדיניות פרטיות לאתר — עוגיות, כלים אנליטיים וגולשים מאירופה

רוב האתרים אוספים מידע גם כשאין בהם אף טופס. כלי סטטיסטיקה, פיקסל של רשת חברתית, צ׳אט או מפה מוטמעת מציבים עוגיות (cookies) ומעבירים נתוני גלישה לצד שלישי, ושם נמצאות רוב אי-הבהירויות.

אין בישראל חוק עוגיות ייעודי. באיחוד האירופי קיים הסדר נפרד לעוגיות. בישראל השאלה נבחנת לפי חוק הגנת הפרטיות הכללי. המשמעות המעשית: עוגייה שמזהה גולש, או מעבירה מידע עליו לספק חיצוני, היא איסוף מידע לכל דבר. לכן היא צריכה להופיע במדיניות, כולל מי הספק, איזה מידע עובר אליו ולשם מה.

מה לכתוב על עוגיות במדיניות. חלוקה לשלושה סוגים עושה את המסמך קריא: עוגיות הכרחיות לתפעול האתר, עוגיות סטטיסטיקה, ועוגיות שיווק ופרסום. לצד כל סוג כדאי לציין את הספק שמפעיל אותו, איזה מידע הוא מקבל, וכיצד הגולש יכול לחסום או למחוק את העוגיות. כך המדיניות מתארת את האתר עצמו ולא אתר כללי.

שתיקה אינה הסכמה. הרשות להגנת הפרטיות פרסמה גילוי דעת בעניין הסכמה, ולפיו הסכמה צריכה להיות מדעת, ושתיקה או היעדר התנגדות אינם הסכמה תקפה לאיסוף מידע. לפי אותו גילוי דעת, דרישות היידוע שבסעיף 11 הן רף מינימלי בלבד. הרשות גם המליצה על מנגנון שבו הגולש מאשר עוגיות באופן אקטיבי. ההמלצות אינן חוק, אבל הן מלמדות מה הרשות תצפה לראות כשתבחן אתר, ומאז תיקון 13 בידיה סמכות להטיל עיצומים.

גולשים מאירופה משנים את הכללים. אתר ישראלי שמציע מוצרים או שירותים לאנשים באיחוד האירופי, או עוקב אחר התנהגותם שם, כפוף גם לתקנה הכללית להגנת מידע של האיחוד (GDPR), גם בלי נוכחות כלשהי באירופה. אתר שפונה לקהל ישראלי בלבד, בעברית ובשקלים, בדרך כלל אינו נכנס לגדר הזו. אתר שמוכר לחו״ל או מפעיל קמפיינים ממוקדים לאירופה כן נכנס, ואז מדיניות שנכתבה לפי הדין הישראלי בלבד אינה מספיקה.

איפה מציגים את המדיניות. חובת היידוע חלה בשעת הפנייה לקבלת המידע, ולכן קישור בתחתית העמוד לבדו הוא פתרון חלקי. עדיף קישור או הסבר קצר ליד כל טופס, ובאנר בכניסה לאתר כשמותקנים בו כלים שמציבים עוגיות. אם הטופס משמש גם לדיוור שיווקי, נדרשת בנוסף הסכמה נפרדת לפי דיני הספאם, כמוסבר בתביעה ייצוגית על ספאם.

מה השתנה בתיקון 13

הדרישות המהותיות לא נולדו ב-2025 — חובת היידוע קיימת שנים. מה שהשתנה הוא מחיר ההתעלמות: עד לתיקון האכיפה הייתה בעיקרה פלילית ולכן נדירה; מאז 14 באוגוסט 2025 הרשות להגנת הפרטיות מוסמכת להטיל עיצומים כספיים ישירות. הפירוט — תיקון 13 לחוק הגנת הפרטיות.

מתי כדאי לערב עורך דין

כשהאתר אוסף יותר מפרטי קשר בסיסיים — מידע רפואי, פיננסי או כל מידע רגיש; כשיש דיוור שיווקי (שם נוספות חובות מכוח דיני הספאם); כשמעורבים ספקים חיצוניים או העברת מידע לחו״ל; וכשהעסק נופל לאחת הקטגוריות שמחייבות מינוי ממונה על הגנת הפרטיות.

לסקירת התחום — משפט מסחרי.