תיקון 13 לחוק הגנת הפרטיות: מה בעל אתר צריך לעשות בפועל

יש טופס יצירת קשר באתר? שדה של שם וטלפון? אם כן, תיקון 13 לחוק הגנת הפרטיות מדבר גם אליכם — לא רק אל בנקים וקופות חולים. הוא בתוקף מאז 14 באוגוסט 2025, ורוב האתרים הקטנים פשוט עוד לא יישרו קו.

הבהרה לפני הכל, כרגיל אצלי: אני מפתח, לא עורך דין. מה שכתוב כאן הוא הצד של האתר — מה הקוד והעמודים צריכים לעשות. את הצד המשפטי המלא סוגרים עם עורך דין, ורצוי כזה שמתעסק בפרטיות.

מה השתנה, בשתי דקות

חוק הגנת הפרטיות קיים משנת 1981. תיקון 13 הוא העדכון הגדול שלו לעידן שבו כל עסק אוסף מידע דיגיטלי, והוא עושה כמה דברים במקביל:

• מרחיב את חובת היידוע. כשאוספים מידע אישי, צריך לומר לאדם בצורה ברורה: מה נאסף, לאיזו מטרה, האם הוא מועבר לגורם נוסף, ומה הזכויות שלו — עיון, תיקון ומחיקה.
• מחזק מאוד את האכיפה. לרשות להגנת הפרטיות יש סמכויות רחבות משהיו, וקיימת גם חשיפה לתביעות. אני נמנע בכוונה מלנקוב בסכומים — הם תלויי נסיבות, ובשביל זה יש ייעוץ משפטי.
• מחייב מינוי ממונה הגנת פרטיות בסוגים מסוימים של ארגונים.
• מצמצם את חובת רישום המאגרים — פחות בירוקרטיה בצד הזה, יותר אחריות בצד של השקיפות מול האנשים עצמם.

בשביל בעל אתר ממוצע, השורה החשובה היא הראשונה: חובת היידוע פוגשת אתכם בכל טופס.

מה נחשב "מידע אישי" באתר רגיל

יותר ממה שנדמה. שם וטלפון בטופס — כן. כתובת מייל לניוזלטר — כן. אבל גם מה שלא רואים: פיקסל של פייסבוק שמזהה גולשים, מערכת אנליטיקס שמזהה ביקור חוזר, מערכת דיוור ששומרת פתיחות. אם משהו באתר שולח נתונים על הגולש לשרת כלשהו — זה בסקופ.

לכן הצעד הראשון הוא לא לכתוב מדיניות. הצעד הראשון הוא למפות: אילו טפסים יש, אילו סקריפטים רצים, ומה כל אחד מהם אוסף. אי אפשר ליידע על מה שלא מיפית.

חובת היידוע בטפסים: איך זה נראה נכון

הדרישה היא לא עמוד משפטי ארוך ליד כל שדה. היא כמה שורות ברורות, צמודות לטופס עצמו:

• מה נאסף (שם, טלפון, מייל).
• למה (לחזור אליכם בעניין הפנייה).
• האם המידע מועבר לגורם נוסף (למשל מערכת דיוור).
• קישור למדיניות הפרטיות המלאה, ואיך מבקשים עיון או מחיקה.

שני עקרונות שהופכים את זה מאותיות קטנות לדבר אמיתי: היידוע יושב ליד הטופס, לא קבור בתחתית האתר; והוא כתוב בשפה של בני אדם, לא בשפה של חוזה.

ואם יש דיוור שיווקי — ההסכמה אליו נפרדת, לא מסומנת מראש, ולא תנאי לקבלת השירות.

מדיניות פרטיות היא הצהרה. מה שקובע הוא אם האתר בפועל עושה את מה שכתוב בה — ולא עושה את מה שלא כתוב בה.

הטעות הנפוצה: מדיניות ממחולל

בגלל שהחוק נכנס לתוקף, צצו כלים שמייצרים "מדיניות פרטיות מותאמת" בקליק. הבעיה זהה לזו של תוספי הנגישות הצפים, ומי שקורא כאן קבוע כבר מכיר את השורה: המחולל מוסיף עמוד, הוא לא משנה את מה שהאתר עושה.

אם המדיניות מצהירה "איננו מעבירים מידע לצדדים שלישיים" בזמן שפיקסל של מטא יורה בכל עמוד — יצרתם מסמך שסותר את המציאות, וזה גרוע יותר מאשר לא לכתוב כלום. הסדר הנכון הפוך: קודם מסדרים את מה שהאתר עושה, אחר כך כותבים את מה שהוא עושה.

צ'קליסט מעשי לאתר

1. מיפוי. כל הטפסים, כל הסקריפטים החיצוניים, כל מה שאוסף משהו. חצי שעה של עבודה ברוב האתרים הקטנים.
2. יידוע ליד כל טופס. קצר, ברור, בעברית של בני אדם.
3. הסכמת דיוור נפרדת ולא מסומנת מראש.
4. גילוי עוגיות ומדידה. הודעה על השימוש, ופירוט במדיניות.
5. מדיניות פרטיות שמתארת את האתר הזה, לא אתר גנרי — כולל דרך ליצור קשר לבקשות עיון ומחיקה.
6. HTTPS ומינימיזציה. לא לאסוף שדות שאין בהם צורך. כל שדה שנמחק מהטופס הוא גם פחות חובה וגם יותר המרות.
7. בדיקה שהכל מסתדר: שהמדיניות, הטפסים וההתנהגות בפועל אומרים את אותו הדבר.

מי שרוצה לראות איך זה נראה חי — האתר הזה עצמו עבר את התהליך: הודעת עוגיות, יידוע בטופס, ומדיניות שנכתבה לפי מה שבאמת רץ כאן.

ומה עם אתרים שפונים גם לחו"ל?

תיקון 13 הוא חוק ישראלי וחל על האתר הישראלי שלכם בכל מקרה. אם אתם מוכרים גם ללקוחות באיחוד האירופי, ה-GDPR הוא חובה נפרדת ומחמירה יותר בחלק מהנקודות. החדשות הטובות: אתר שמסודר לפי תיקון 13 עשה כברת דרך רצינית גם לכיוון השני.

שורה תחתונה

תיקון 13 הוא לא סיבה לפאניקה, אבל הוא כן סוף התקופה שבה טופס באתר היה עניין של עיצוב בלבד. ההתאמה לאתר ממוצע היא עבודה מסודרת של ימים, לא חודשים — והיא זולה משמעותית מהאלטרנטיבה.

רוצים לדעת איפה האתר שלכם עומד? זה בדיוק השירות — או פשוט שלחו לי את הכתובת ואגיד לכם מה חסר, בלי ז'רגון.