תיקון 13 לחוק הגנת הפרטיות אינו אומר שכל אתר צריך פשוט להוסיף עמוד חדש בשם “מדיניות פרטיות”.
המשמעות רחבה יותר.
אתר שאוסף שמות, מספרי טלפון, כתובות דוא”ל, פרטי לקוחות או מידע אחר על משתמשים צריך לבחון כיצד המידע נאסף, מה נאמר לגולש בזמן האיסוף, לאילו מטרות משתמשים בו, עם אילו מערכות הוא משותף וכיצד העסק מנהל אותו לאחר מכן.
התיקון, שנכנס לתוקף באוגוסט 2025, חיזק גם את כלי האכיפה של הרשות להגנת הפרטיות. לכן השאלה תיקון 13 לחוק הגנת הפרטיות מה נדרש מאתר אינה מסתיימת בנוסח שמופיע בתחתית האתר. היא מתחילה באופן שבו העסק באמת עובד עם מידע אישי.
גם אתר פשוט יכול לאסוף מידע אישי
נניח שלעסק יש אתר תדמית בסיסי.
אין בו חנות, אין אזור אישי ואין מערכת מורכבת. יש רק עמודי שירות וטופס שבו הלקוח משאיר שם, טלפון וכתובת דוא”ל כדי שיחזרו אליו.
גם כאן נאסף מידע אישי.
תיקון 13 הרחיב והבהיר את הגדרת “מידע אישי” בחוק, והיא מתייחסת באופן רחב לנתונים שנוגעים לאדם מזוהה או לאדם שניתן לזהותו.
לכן לא נכון לחשוב שדיני הפרטיות רלוונטיים רק לאתרים שמחזיקים מספרי תעודות זהות, מידע רפואי או פרטי אשראי.
גם הפעילות היומיומית של עסק קטן יכולה להיות חלק מהתמונה.
מה השתנה בחובת היידוע?
אחד המקומות שבהם בעלי אתרים צריכים להיות זהירים הוא הרגע שבו מבקשים מהגולש למסור מידע.
סעיף 11 לחוק הגנת הפרטיות עוסק במידע שיש למסור לאדם כאשר פונים אליו לקבלת מידע אישי.
תיקון 13 הרחיב את חובת היידוע. המשמעות המעשית היא שטופס באתר אינו רק שאלה עיצובית של “שם + טלפון + שלח”.
צריך לבחון אם האדם מבין מי אוסף את המידע, מדוע מבקשים אותו ומה ייעשה בו.
הניסוח הנכון תלוי בפעילות. טופס שנועד רק לחזרה ללקוח אינו בהכרח זהה לטופס שבו המידע משמש גם לשיווק, יצירת פרופיל לקוח או העברה לגורמים נוספים.
זו בדיוק הסיבה שנוסח אחיד שמועתק מאתר אחר עלול לא להתאים.
מדיניות פרטיות צריכה לתאר את המציאות
עסקים רבים מחזיקים עמוד מדיניות פרטיות שנכתב לפני שנים ולא השתנה מאז.
בינתיים האתר השתנה לחלוטין.
נוספו מערכת דיוור, כלי ניתוח, שירותי פרסום, מערכת לקביעת פגישות, צ’אט, שירות סליקה וטפסים חדשים.
אם מדיניות הפרטיות אינה משקפתmn את מה שהאתר עושה בפועל, עצם העובדה שקיים עמוד בשם “מדיניות פרטיות” אינה פותרת את הבעיה.
המסמך צריך להתאים למידע שנאסף ולשימושים שנעשים בו.
לכן ההתאמה לתיקון 13 אינה מתחילה בכתיבה. היא מתחילה במיפוי הפעילות.
ומה לגבי שירותים חיצוניים שמותקנים באתר?
אתר עסקי כמעט אף פעם אינו פועל לבדו.
עסקים משתמשים בשירותי אחסון, דיוור, ניתוח תנועה, פרסום, ניהול לקוחות, קביעת פגישות ולעיתים גם בספקים שנמצאים מחוץ לישראל.
כל אחד מהשירותים האלה עשוי להיות רלוונטי לבחינת אופן הטיפול במידע.
לדוגמה, בעל העסק יכול לחשוב שכל המידע “נשאר אצלו”, בזמן שבפועל פרטי הגולשים עוברים אוטומטית למספר מערכות חיצוניות.
לכן אחד הפערים הנפוצים הוא בין מה שבעל האתר חושב שקורה לבין מה שהמערכות באתר עושות בפועל.
תיקון 13 לא עוסק רק ברישום מאגר מידע
בעבר בעלי עסקים רבים זיהו את חוק הגנת הפרטיות כמעט רק עם השאלה האם צריך לרשום מאגר מידע.
תיקון 13 דווקא צמצם את חובת הרישום הכללית והותיר אותה בעיקר לסוגי מאגרים מסוימים. אבל מכאן לא נובע שעסק שאינו חייב ברישום פטור משאר דיני הפרטיות.
ההפך הוא הנכון.
החובות הנוגעות לאיסוף מידע, שימוש בו, אבטחתו וזכויות האנשים שהמידע מתייחס אליהם ממשיכות להיות רלוונטיות גם כאשר המאגר אינו חייב ברישום.
לכן השאלה “האם המאגר שלי רשום?” אינה יכולה עוד לשמש כשאלה המרכזית לבחינת עמידה בדין.
האם כל עסק צריך ממונה על הגנת הפרטיות?
לא.
תיקון 13 יצר חובה למנות ממונה על הגנת הפרטיות בסוגים מסוימים של ארגונים ופעילויות, אך לא כל בעל אתר ולא כל עסק קטן חייב למנות ממונה.
החובה תלויה בין היתר בסוג הגוף, באופי הפעילות ובשימוש שנעשה במידע.
לכן לא נכון להציג את תיקון 13 כאילו כל עצמאי שיש לו אתר חייב מיד למנות בעל תפקיד חדש.
מצד שני, עסק שמנהל פעילות רחבת היקף המבוססת על מידע אישי אינו צריך להניח שהוא פטור רק משום שהוא חברה פרטית.
ומה לגבי אבטחת מידע?
תיקון 13 לא החליף את הצורך לאבטח מידע.
אתר יכול להציג מדיניות פרטיות טובה ובכל זאת להיות חשוף מבחינת אבטחת מידע.
אם משתמשים נשמרים עם הרשאות רחבות מדי, עובדים ממשיכים להחזיק גישה לאחר שעזבו, ספקים מקבלים גישה שאינה נחוצה או מידע רגיש נשמר ללא בקרה מתאימה — הבעיה אינה נפתרת באמצעות טקסט משפטי באתר.
תקנות הגנת הפרטיות (אבטחת מידע) ממשיכות להסדיר את אופן ההגנה על מאגרי מידע, והחובות משתנות לפי סוג המאגר והפעילות.
המשמעות לבעל אתר היא שההתאמה המשפטית והתאמת האבטחה צריכות לעבוד יחד.
למה תיקון 13 משמעותי יותר לעסקים גם מבחינת אכיפה?
אחד השינויים החשובים בתיקון הוא חיזוק משמעותי של סמכויות הרשות להגנת הפרטיות.
הרשות קיבלה כלי פיקוח ואכיפה רחבים יותר, לרבות אפשרות להטיל עיצומים כספיים במקרים הקבועים בחוק.
לכן התחום אינו עוד רק שאלה תיאורטית של “האם יש לי מדיניות פרטיות”.
עסק שמחזיק מידע אישי צריך להיות מסוגל להראות שהטיפול במידע נעשה בצורה שמתיישבת עם החובות החלות עליו.
ככל שהעסק מחזיק יותר מידע וככל שהמידע רגיש יותר, החשיבות של ההתאמה גדלה.
תיקון 13 אינו פרויקט של עמוד אחד באתר
זו אולי הטעות המרכזית.
אפשר להזמין מדיניות פרטיות, להעלות אותה לאתר ולחשוב שהעסק “סיים את תיקון 13”.
אבל אם בפועל הטפסים אינם מותאמים, המידע משמש למטרות שלא הוצגו לגולש, מערכות חיצוניות לא נבדקו או שאין טיפול מתאים בבקשות של אנשים ביחס למידע שלהם — העמוד עצמו לא פותר את הפער.
באותו אופן, אפשר לבנות תהליכים פנימיים טובים אבל להשאיר באתר מדיניות פרטיות ישנה שאינה משקפת אותם.
התאמה נכונה דורשת שהמסמכים והפעילות ידברו אותה שפה.
מתי אתר עסקי צריך בדיקה רחבה יותר?
ככל שהאתר עושה יותר עם מידע, כך גדלה החשיבות של בחינה מסודרת.
חנות אינטרנטית שמחזיקה היסטוריית הזמנות, אתר שמפעיל אזור אישי, מערכת שאוספת מידע רגיש או עסק שמפעיל כלי פרסום ושיווק רבים נמצאים במצב שונה מאתר שמציג כמה עמודים ומקבל מספר קטן של פניות.
גם עסקים שעברו שינויים לאורך השנים צריכים לבדוק אם המסמכים והתהליכים שלהם עדיין מתאימים.
לעיתים המדיניות נכתבה כאשר האתר היה אתר תדמית קטן, אבל העסק כבר הפך לחנות, שירות דיגיטלי או מערכת שמחזיקה אלפי רשומות.
החוק צריך להיבחן מול האתר שיש היום — לא מול האתר שהיה לפני חמש שנים.
תיקון 13 לחוק הגנת הפרטיות שינה את הדרך שבה עסקים צריכים להסתכל על מידע אישי.
השאלה כבר אינה רק אם לעסק יש “מאגר רשום” או אם קיים קישור למדיניות פרטיות בתחתית האתר.
צריך לבחון מה האתר אוסף, מה נאמר לגולש, מה נעשה במידע לאחר מכן ואילו מערכות נוספות משתתפות בתהליך.
אתר פשוט, חנות אינטרנטית ומערכת שמחזיקה מידע רב אינם דורשים אותה רמת טיפול.
לכן התאמה לתיקון 13 מתחילה בהבנת הפעילות האמיתית של האתר והעסק — ורק לאחר מכן בהתאמת המסמכים והמערכות המשפטיות שסביב אותה פעילות.