האם האתר שלך חושף אותך לתביעות?
במשך שנים, חוק הגנת הפרטיות בישראל נשמע כמו איום תיאורטי — חוק שקיים, אבל כמעט לא נאכף. זה השתנה. תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14/08/2025, והעניק לרשות להגנת הפרטיות שיניים אמיתיות: סמכויות פיקוח ואכיפה מנהלית רחבות, כולל עיצומים כספיים שיכולים להגיע לסכומים גבוהים — בכפוף לתקרה של 5% ממחזור העסקאות השנתי. נוסף מנגנון של "התראה מנהלית": דרישת תיקון בזמן קצוב, ואם לא תוקן — קנס.
מה זה אומר בפועל? עד היום, בעל אתר יכול היה להתייחס למדיניות הפרטיות כאל טקסט טקסי שמדביקים פעם אחת ושוכחים. תחת תיקון 13, ההודעה, ההסכמה והדרך שבה נאסף ונשמר המידע הפכו לחובות שאפשר להיקנס על הפרתן. שני מקרים ממחישים למה זה נוגע לכל אתר עם טופס — לא רק לתאגידי ענק.
מקרה 1 — קנס על איסוף תעודות זהות
ב-30/03/2025 הטילה הרשות להגנת הפרטיות קנס מנהלי של ₪15,000 על שתי חברות, בגין איסוף וסריקה של תעודות זהות ללא מסירת הודעת פרטיות כנדרש. במקביל, הרשות פרסמה גילוי דעת ברור: אסור לאסוף או לצלם תעודת זהות ללא צורך אמיתי; חובה למסור הודעת פרטיות מלאה; ויש לפעול לפי עקרונות המידתיות וצמידות המטרה — לאסוף רק את מה שבאמת דרוש, ורק למטרה שלשמה נאסף.
עכשיו חשוב על אתרים אמיתיים: טפסים באתרי שירות, פיננסים, נדל"ן, קליניקות והשכרות — הרבה מהם מבקשים מספר ת"ז, או אפילו העלאה של צילום תעודה. כל אחד מהם נמצא בדיוק בקטגוריה שנקנסה. והקנס הזה ניתן לפני שתיקון 13 נכנס לתוקף. מאז, התקרות מזנקות. מקורות: הרצוג עו"ד · law.co.il.
מקרה 2 — "הסכמה מדעת": העיקרון שכולם צריכים להכיר
בית המשפט המחוזי אישר לנהל תובענה ייצוגית נגד מטא (החברה של פייסבוק) בטענה שהציגה שמות ותמונות-פרופיל של משתמשים לצד פרסומות ממומנות — ללא הסכמה מדעת. (אנחנו מזכירים את העניין כאן במונחים כלליים בלבד, בלי מספר תיק, מאחר שהוא טעון אימות; המקורות המשפטיים למטה.)
העיקרון שביהמ"ש הדגיש הוא הלב של תיקון 13, ורלוונטי לכל בעל אתר: הסכמה חייבת להיות "מדעת" — שקופה, ברורה, ומודעת. הסכמה "קבורה" בתוך תנאי-שימוש ארוכים שאיש לא קורא, או מנגנון opt-out טכני בלי שהמשתמש בכלל יודע שנאסף עליו מידע — אינם מספיקים. אם ענקית כמו מטא נבחנת על הנקודה הזו, באנר עוגיות או צ'קבוקס באתר ממוצע, שמסתמך על "הכול כתוב בתקנון", חשוף לא פחות. מקורות: Arnon, Tadmor-Levy · TheMarker.
מה לעשות באתר שלך — היום
- הודעת/מדיניות פרטיות אמיתית — שמסבירה איזה מידע נאסף, למה, ומה נעשה בו. לא תבנית גנרית שהודבקה ונשכחה.
- הסכמה מדעת לעוגיות ולמעקב — באנר עוגיות שבו מעקב אנליטי/פרסומי נטען רק אחרי אישור מפורש, לא כברירת מחדל.
- אספו מינימום — אל תבקשו ת"ז או צילום תעודה אם אין צורך אמיתי. פחות מידע = פחות חשיפה.
- אבטחת המידע שנאסף — טופס שאוסף פרטים חייב לעבור בחיבור מוצפן (HTTPS) ולהישמר מאובטח.
עוגיות: איפה רוב האתרים נכשלים
הכשל הנפוץ ביותר בפרטיות אינו מדיניות חסרה — אלא מעקב שרץ בלי הסכמה. אתרים רבים טוענים סקריפטים של אנליטיקס ופרסום (Google Analytics, פיקסל של פייסבוק ודומיהם) כבר ברגע הטעינה, לפני שהמבקר אישר משהו. בגישה של "הסכמה מדעת", הסדר צריך להיות הפוך: המעקב נטען רק אחרי שהמשתמש לחץ "אישור" בבאנר עוגיות ברור, שמאפשר גם לסרב. באנר שכל מה שהוא עושה זה "הבנתי" בלי אפשרות דחייה — לא באמת נותן בחירה, ולכן לא באמת נותן הסכמה. (שים לב: הבלוג הזה עצמו טוען אנליטיקס רק לאחר אישור — זו הדגמה של הכלל, לא רק הטפה עליו.)
✅ רוצה לדעת אם האתר שלך חושף אותך? הרץ בדיקת חשיפה חינמית — סריקה חיצונית שמראה את סימני-האזהרה של נגישות, פרטיות ואבטחה. בדקה, בחינם, בלי טלפון.