פתרונות מחשוב, תקשורת ואבטחת מידע לעסקים

האתר שלך אוסף מידע על לקוחות? יכול להיות שתיקון 13 כבר נוגע אליך

טופס צור קשר, הרשמה לניוזלטר, Google Analytics, עוגיות או אפילו כתובת IP, האתר העסקי שנראה לנו כמו "כרטיס ביקור" פשוט, עשוי בפועל לאסוף ולעבד מידע אישי. מאז כניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות, השאלה היא כבר לא רק אם האתר נראה טוב ועובד מהר, אלא גם מה הוא יודע על הגולשים, מה הוא עושה עם המידע הזה, והאם העסק יכול להסביר זאת.

יש לכם אתר לעסק?

פתחו אותו לרגע כאילו אתם לקוח חדש.

נכנסתם לעמוד הבית. קפצה הודעת Cookies. לחצתם על "צור קשר", מילאתם שם, טלפון ומייל. אולי האתר הפעיל במקביל כלי סטטיסטיקה, פיקסל פרסומי או שירות חיצוני אחר.

מבחינת הגולש – לא קרה כאן שום דבר מיוחד.

אבל מאחורי הקלעים נוצרה שאלה הרבה יותר מעניינת:

איזה מידע האתר שלכם אסף עכשיו, לאן הוא נשלח, מי יכול לגשת אליו – והאם הגולש בכלל יודע שזה קורה?

מאז 14 באוגוסט 2025, היום שבו נכנס לתוקף תיקון 13 לחוק הגנת הפרטיות, השאלה הזו קיבלה משמעות גדולה הרבה יותר. התיקון הרחיב ועדכן את מסגרת ההגנה על מידע אישי בישראל, ובמקביל העניק לרשות להגנת הפרטיות כלי אכיפה משמעותיים יותר.

"אבל יש לי מדיניות פרטיות באתר"

מצוין. אבל עצם קיומו של עמוד בשם "מדיניות פרטיות" לא אומר שהאתר עומד אוטומטית בדרישות הדין.

זו אולי אחת הטעויות שקל ביותר לעשות.

מדיניות פרטיות צריכה להתאים למה שהאתר באמת עושה.

אם נלקחים פרטים בטופס, מופעלים שירותים חיצוניים, נעשה שימוש במידע לצורכי שיווק או שהמידע מועבר למערכות נוספות – צריך לבחון האם הדברים משתקפים באופן מתאים במידע שנמסר למשתמש ובאופן שבו העסק מנהל את המידע.

מסמך שהועתק לפני ארבע שנים מאתר אחר לא משנה את ההתנהגות הטכנולוגית של האתר.

במילים אחרות:

מדיניות פרטיות היא לא שכפ"ץ משפטי שמדביקים בתחתית האתר.

היא צריכה לתאר מציאות.

ומה לגבי Cookies?

כאן הדברים מתחילים להיות מעניינים.

כולנו מכירים את הפס הקטן בתחתית המסך:

"אתר זה משתמש בעוגיות. המשך גלישה מהווה הסכמה."

אבל כדאי לבדוק מה באמת קורה לפני שהגולש בכלל מספיק לקרוא אותו.

האם האתר כבר טען כלי Analytics?

האם הופעל Pixel?

האם שירותי פרסום או מעקב אחרים התחילו לפעול?

איזה מידע נאסף, לאילו מטרות, ומה נמסר לגולש?

לא כל Cookie זהה ולא כל שימוש באתר מחייב בדיוק אותו מנגנון. לכן המטרה אינה להוסיף באופן אוטומטי "חלון Cookies" כי לכולם יש כזה, אלא להבין מה האתר הספציפי עושה בפועל ומה נדרש ממנו בהתאם לדין.

הטופס התמים של "צור קשר"

ניקח דוגמה פשוטה.

באתר של משרד ייעוץ מופיע טופס:

שם
טלפון
דוא"ל
"השאירו פרטים ונחזור אליכם"

הלקוח שולח.

לאן המידע הגיע?

לתיבת Gmail של עובד?

למערכת CRM?

למסד הנתונים של WordPress?

למערכת דיוור?

האם הוא נשמר גם אצל חברת האחסון?

כמה זמן הוא נשמר?

מי בארגון יכול לראות אותו?

והאם לאחר שנתיים מישהו בכלל זוכר שהוא נמצא שם?

זו בדיוק הנקודה שבה פרטיות ואבטחת מידע נפגשות.

האתר הוא רק דלת הכניסה למידע. מה שקורה למידע אחרי שהוא עבר בדלת חשוב לא פחות.

ומה אם האתר נפרץ?

כאן הבעיה כבר אינה רק אם נוסח מדיניות הפרטיות מדויק.

אתר שלא מתעדכן, WordPress עם תוספים ישנים, חשבון מנהל עם סיסמה חלשה או ספק שקיבל הרשאה לפני שלוש שנים ומעולם לא הוסר – יכולים להפוך מידע שנאסף באופן לגיטימי לאירוע אבטחה.

תקנות הגנת הפרטיות (אבטחת מידע) מטילות חובות הנוגעות, בין היתר, לניהול הרשאות, זיהוי ואימות, תיעוד, ניהול אירועי אבטחה ואמצעי הגנה בהתאם לרמת האבטחה הרלוונטית. הרשות אף עדכנה במרץ 2026 את מסמך השאלות והתשובות שלה בנושא התקנות. Government of Israel

ולכן בדיקת אתר לפי תיקון 13 אינה צריכה להסתיים בשאלה:

"יש מדיניות פרטיות?"

צריך לשאול גם:

האם המידע שמגיע דרך האתר מוגן לאחר שאספנו אותו?

והפעם יש גם משמעות כספית

אחד השינויים המשמעותיים בתיקון 13 הוא חיזוק משמעותי של יכולות האכיפה של הרשות להגנת הפרטיות.

התיקון יצר מנגנון של עיצומים כספיים בגין סוגים שונים של הפרות, לרבות הפרות הקשורות לעיבוד מידע ולהוראות תקנות אבטחת המידע. גובה העיצום אינו מספר אחיד – הוא תלוי בסוג ההפרה, במאפייני המאגר ובנסיבות הקבועות בחוק. Government of Israel

וזה הבדל חשוב.

פעם בעל עסק יכול היה להתייחס למדיניות הפרטיות באתר כאל עוד עמוד שצריך "לסמן עליו V".

היום התעלמות מדרישות החוק יכולה להפוך מבעיה תאורטית לבעיה עם משמעות כספית ממשית, לצד נזק תדמיתי ואובדן אמון במקרה של אירוע.

הרשות גם מפרסמת פעולות אכיפה והפרות של הוראות חוק ותקנות אבטחת המידע – כלומר, מדובר במנגנון אכיפה פעיל ולא רק בחוק שנמצא בספר החוקים.