האם האתר שלך חושף אותך לתביעות?
ב-14 באוגוסט 2025 נכנס לתוקף תיקון 13 לחוק הגנת הפרטיות — השינוי הרגולטורי הגדול ביותר בתחום בישראל מאז 1981. אם האתר שלך אוסף פרטים של אנשים — טופס יצירת-קשר, רישום לניוזלטר, טופס הזמנה, לידים — אתה מנהל "מידע אישי", והחוק החדש נוגע אליך ישירות. המדריך הזה מסביר מה בדיוק השתנה, ומה אתה צריך לעשות כדי לא להיות חשוף.
מה השתנה: לרשות יש עכשיו שיניים
עד התיקון, החוק היה קיים אבל האכיפה הייתה חלשה. השינוי המהותי הוא זה:
הרשות להגנת הפרטיות קיבלה סמכות להטיל עיצומים כספיים מנהליים — בלי לעבור דרך בית משפט. כלומר, במקום הליך משפטי ארוך, הרשות יכולה פשוט לקנוס אותך. הסכומים אינם סמליים:
- אי-רישום מאגר (כשחלה חובה): עד 150,000 ₪.
- אי-דיווח על אירוע אבטחה (דליפת מידע): 80,000–320,000 ₪.
- התעלמות מבקשת הסרה של אדם מהמאגר: 15,000 ₪.
- פיצוי אזרחי ללא הוכחת נזק: עד ~65,000–100,000 ₪ לאדם.
- הרשות רשאית גם להשעות מאגר ואף לפרסם את שם המפר עד 4 שנים.
בנוסף, התיקון קירב את החוק הישראלי ל-GDPR האירופי: הוגדרו מחדש "מידע אישי" ו"עיבוד", והובחן בבירור בין בעל שליטה (מי שקובע למה אוספים את המידע — בדרך כלל בעל האתר) לבין מחזיק/מעבד (ספק שירות שמעבד את המידע בשמו).
מה חייב להיות במדיניות הפרטיות שלך
מדיניות פרטיות היא לא טקסט-תבנית שמעתיקים מאתר אחר. תחת התיקון, הודעת הפרטיות חייבת להיות מורחבת ומפורטת, ולכלול לפחות:
- אילו פרטים נאספים (שם, טלפון, מייל, מיקום, התנהגות באתר...).
- למה — מטרות העיבוד, באופן ספציפי (לא "לשיפור השירות" גורף).
- למי המידע מועבר — נמענים וצדדים שלישיים (ספק דיוור, מערכת CRM, פיקסל פרסום).
- מה הזכויות שלך כנושא-מידע: עיון, תיקון, מחיקה, חזרה מהסכמה, הסרה מדיוור.
- מקור המידע — אם הוא לא הגיע ישירות מהאדם.
הסכמה גורפת כבר לא מספיקה. התיקון דורש הסכמה מפורשת, מתועדת וגרנולרית — כלומר, אדם צריך להבין למה בדיוק הוא מסכים, ולסמן זאת אקטיבית (לא checkbox מסומן מראש).
עוגיות, פיקסלים ומעקב — הנקודה שהכי מפספסים
רוב האתרים מריצים כלי מעקב מבלי שבעל האתר מודע להיקף: Google Analytics, פיקסל של פייסבוק/מטא, Google Tag Manager, כלי chat, מפות. כל אחד מהם עלול לשתול עוגיות ולשלוח מידע על המבקר לצד שלישי.
הכללים המעשיים:
- באנר עוגיות אמיתי — לא רק "אנחנו משתמשים בעוגיות, המשך גלישה = הסכמה". תחת סטנדרט התיקון וה-GDPR, עוגיות מעקב (לא-הכרחיות) דורשות הסכמה לפני שהן נטענות, עם אפשרות אמיתית לסרב.
- שקיפות — מדיניות הפרטיות צריכה לפרט אילו כלי-מעקב רצים ומה הם אוספים.
- מלכודת נפוצה: הרבה אתרים טוענים פיקסל או Analytics עוד לפני שהמבקר הספיק להסכים לכלום. זו בדיוק החשיפה.
בבדיקת החשיפה שלנו אנחנו מזהים אילו trackers ועוגיות רצים באתר שלך — כולל כאלה שמוזרקים דרך Tag Manager ולא מופיעים בקוד הגלוי. קישור לבדיקת החשיפה החינמית
⚠️ תעודת זהות — אל תאחסן. נקודה.
עמדת הרשות ברורה: מספר ת.ז וצילום ת.ז הם "מידע מוגן". אם באתר שלך יש טופס שמבקש צילום ת.ז או מספר ת.ז — זו חשיפה אקטיבית, וגם הנושא שהרשות הכריזה שתאכוף עליו בעיצומים כספיים מאוגוסט 2025.
הכלל הפשוט: אל תבקש ת.ז אלא אם אתה מחויב לכך חוקית (כמו בנק). אם כבר ביקשת ואחסנת — הסר או הצפן. צילום ת.ז מלא כולל פרטים מיותרים לחלוטין (מצב משפחתי, תאריך הנפקה) — אין שום סיבה שעסק רגיל יחזיק אותם.
אם אתה מנהל לידים / דיוור ישיר
אתר שאוסף לידים ושולח פולואפים (מייל, וואטסאפ, SMS שיווקי) נכנס לפרק הדיוור הישיר בחוק, שיש לו כללים משלו:
- חובה לשמור רישום מקור לכל ליד — ממי התקבל, מתי.
- חובה מנגנון הסרה (opt-out) פעיל, ולבצע הסרה כשמבקשים.
- בפנייה הראשונה — לציין את מקור המידע ואת הזכות להימחק.
מה עושים עכשיו — הצעד הראשון
- בדוק מה רץ אצלך. הרץ בדיקת חשיפה חינמית — תראה אם יש לך קישור למדיניות פרטיות, אילו trackers/עוגיות פועלים, והאם יש טפסים שאוספים PII באופן חשוף.
- עדכן את מדיניות הפרטיות לפי הרשימה למעלה — מפורטת, ספציפית, עם כל הזכויות.
- סדר את ההסכמה — באנר עוגיות אמיתי + checkbox לא-מסומן-מראש בטפסים.
- הסר כל שדה ת.ז שאתה לא חייב חוקית.
✅ לא בטוח מה האתר שלך אוסף ועל מי? הרץ בדיקת חשיפה חינמית — נראה לך אילו כלי-מעקב פועלים, אם יש מדיניות פרטיות מקושרת, והיכן החשיפה. הכל בדקה, בחינם.