תוכן העניינים
יש לכם מדיניות פרטיות באתר. עורך דין כתב אותה, או שהורדתם תבנית ועדכנתם אותה. היא שם, בתחתית האתר, מקושרת מהפוטר. ומהרגע הזה, רוב בעלי העסקים שאני פוגש מניחים דבר אחד: "סגרתי את הנושא של פרטיות."
זו בדיוק הטעות שהמאמר הזה עוסק בה. מדיניות פרטיות היא מסמך אחד מתוך מכלול חובות – לא תעודת ביטוח שמכסה את כל השאר. עד סוף המאמר תבינו למה, ותדעו אילו שאלות לשאול כדי לבדוק איפה העסק שלכם באמת עומד.
עיקרי הדברים
- מדיניות פרטיות מתארת מה קורה עם המידע – היא לא יוצרת עמידה בחוק בעצמה, וקיומה לא אומר שהעסק עומד בדרישות.
- מסמך הגדרות המאגר ועמידה בדרישות תקנות אבטחת המידע הן חובות שעומדות בפני עצמן – לא תוצרים אוטומטיים של כתיבת מדיניות. מיפוי המידע הוא שלב עבודה מעשי שמאפשר להבין מה יש בעסק וליישם נכון את החובות האלה.
- הסדר הנכון הפוך למה שרוב העסקים עושים: קודם ממפים מה קורה בפועל עם המידע, ורק אז כותבים מדיניות שמתארת את זה נכון.
- שלושה מושגי יסוד מהפרקטיקה של ניהול פרטיות עוזרים להבין מה עומד מאחורי הדרישות: צמידות מטרה, מעגל חיי המידע, ועיצוב לפרטיות (Privacy by Design).
- אם התשובה לשאלה "יש לנו מסמך הגדרות מאגר?" היא "מה זה?" – זה סימן טוב לבדוק איפה עוד יש פערים.
למה "יש לי מדיניות פרטיות" זו לא תשובה מספיקה
הטעות הזו נפוצה כל כך כי היא הגיונית על פניה. יש מסמך, המסמך פורסם, המסמך "מכסה" את הנושא – אז למה לא?
הבעיה היא שמדיניות פרטיות היא תיאור, לא מנגנון. תפקידה לומר לגולשים בשפה ברורה מה נאסף מהם, לשם מה, למי מועבר, ומה זכויותיהם. זו חובת יידוע חשובה, ובעקבות תיקון 13 לחוק הגנת הפרטיות (שנכנס לתוקף באוגוסט 2025) היא אף התרחבה. אבל מסמך שמתאר תהליך לא דואג לכך שהתהליך המתואר בו אכן קיים, מתועד ומאובטח כנדרש.
זה קצת כמו תעודת כשרות שתלויה בקיר בלי שמישהו בדק את המטבח. המסמך יכול להיות מנוסח בצורה מושלמת – ועדיין לא לשקף שום דבר ממה שקורה בפועל מאחורי הקלעים. אם הצהרתם במדיניות שאתם לא מעבירים מידע לצדדים שלישיים, אבל בפועל השתלתם פיקסל שיווקי שכן מעביר – יש פער. והפער הזה יכול להיות משמעותי לא פחות מהניסוח של המסמך עצמו.
בפרויקטים שאני מלווה אני נתקל בפער הזה כל הזמן, ולרוב לא מתוך כוונה להסתיר משהו. בעל עסק מוסיף טופס יצירת קשר, מחבר תוסף דיוור, מתקין כלי אנליטיקס – כל אחד מהצעדים האלה סביר לגמרי בפני עצמו, ואף אחד מהם לא "מתעדכן" אוטומטית במדיניות שנכתבה שנתיים קודם. התוצאה: מדיניות שמתארת עסק שכבר לא קיים.
חוק הגנת הפרטיות מקנה לרשות להגנת הפרטיות סמכות להטיל עיצומים כספיים על הפרות שונות, בהיקף שתלוי בין היתר בסוג ההפרה ובגודל המאגר. אני לא מביא את זה כדי להפחיד – זה פשוט חלק מהתמונה המלאה, וכדאי לדעת שהיא קיימת.
אז מה עוד עמידה בחוק דורשת בפועל?
לפי חוק הגנת הפרטיות ותקנות הגנת הפרטיות (אבטחת מידע), תשע"ז-2017, עסקים שמנהלים מאגרי מידע אישי עשויים להידרש לשורה של פעולות שמדיניות הפרטיות לא יוצרת בעצמה:
- לדעת בדיוק אילו מאגרי מידע יש להם ומה יש בהם
- לתעד את זה במסמך פנימי ייעודי
- לסווג את רמת האבטחה הנדרשת ולעמוד בה
- לבחון מראש את הסיכונים בעבודה עם ספקים חיצוניים שמקבלים גישה למידע, ולהסדיר את זה בהסכם מתאים – ולא רק לחתום עליו, אלא גם לפקח על הספק בפועל
- לתת לעובדים שנחשפים למידע הדרכה על מה מותר ומה אסור
רבות מהדרישות האלה הן חובות משפטיות, בהתאם לסוג המאגר, המידע ונסיבות הפעילות של העסק.
שלושה מושגי יסוד בפרקטיקה של ניהול פרטיות עסקית
צמידות מטרה
מידע שנאסף למטרה אחת לא אמור לשמש למטרה אחרת בלי בסיס מתאים – הסכמה תקפה, או הסמכה אחרת בדין. אם לקוח מסר מייל כדי לקבל חשבונית, אי אפשר לצרף אותו אוטומטית לרשימת תפוצה שיווקית.
מעגל חיי המידע
הדרך לחשוב על מידע לא כ"קובץ שיושב אצלי" אלא כתהליך עם שלבים: איסוף, עיבוד ושימוש, שיתוף עם ספקים, שמירה, ובסוף – מחיקה מסודרת כשהמידע כבר לא נדרש. שאלה כמו "אנחנו עדיין שומרים פרטי לקוחות מ-2018?" היא שאלה על מעגל חיי המידע.
עיצוב לפרטיות (Privacy by Design)
עיקרון שאומר ששיקולי פרטיות נבנים לתוך התהליך מראש, לא מתווספים עליו בדיעבד. בפועל: כשבונים טופס הרשמה, שואלים רק מה באמת צריך – לא כל שדה שאפשר להוסיף.
עיצוב לפרטיות אינו מנוסח כיום כחובה כללית ועצמאית בחוק הישראלי (כמו ב-GDPR), אבל הוא פרקטיקה נכונה שמצמצמת גם סיכון וגם עבודה מיותרת.
עוד נושאים שכל עסק צריך להכיר – בקצרה
הנושאים הבאים עמוקים מספיק כדי שכל אחד מהם יצדיק מדריך נפרד. הנה קיצור, ולאן להעמיק בכל אחד.
מיפוי מידע – ההתחלה, לפני כל מסמך
לפני שכותבים מדיניות פרטיות מדויקת, צריך לדעת מה בכלל קורה: אילו סוגי מידע נאספים, מאיפה, לשם מה, מי בעסק ניגש אליהם, ולאיזה ספקים הם עוברים. תהליך המיפוי הזה הוא הבסיס לכל השאר – ובלעדיו, גם מדיניות שנכתבה בקפידה עלולה פשוט לא לשקף את המציאות. כתבתי על זה מדריך מלא: מיפוי מידע אישי בעסק – כולל דוגמאות ותבנית לעבודה.
מסמך הגדרות מאגר – המסמך הפנימי שרוב העסקים לא מכירים
זהו מסמך פנימי חובה לפי תקנות הגנת הפרטיות (אבטחת מידע), שמתעד לכל מאגר מידע בעסק את מטרות השימוש, סוגי המידע, העברות מידע לחו"ל, פעולות עיבוד שנעשות באמצעות גורמים חיצוניים, וסיכוני האבטחה העיקריים. הוא שונה ממדיניות הפרטיות: מדיניות הפרטיות פונה לגולשים, מסמך הגדרות המאגר הוא מסמך עבודה פנימי. כתבתי על זה מדריך מפורט: מסמך הגדרות מאגר – איך בונים אותו נכון – כולל מה חייב להיכלל בו לפי הדין.
תקנות אבטחת מידע – החובות שחלות גם על עסקים קטנים
תקנות הגנת הפרטיות (אבטחת מידע) מבחינות בין מאגר המנוהל בידי יחיד לבין מאגרים ברמת אבטחה בסיסית, בינונית וגבוהה – ולכל קטגוריה חלות דרישות שונות בנוגע לבקרת גישה, הגנה על המערכות והמידע, תיעוד אירועים והדרכת עובדים (כולל הדרכה לפני קבלת גישה, ובחלק מהרמות גם הדרכה תקופתית חוזרת). לעסקים קטנים מסוימים שהמאגר שלהם עומד בהגדרת מאגר מנוהל בידי יחיד יש הקלות בחלק מדרישות האבטחה – ההגדרה כוללת, בין היתר, מגבלה על מספר בעלי ההרשאה, ויש לה גם מספר חריגים. הרחבתי על כך במדריך נפרד: תקנות אבטחת מידע לעסקים קטנים – כולל איך לזהות באיזו קטגוריה אתם נמצאים.
מה מדיניות הפרטיות כן עושה – ולמה היא בכל זאת חשובה
אחרי כל זה, חשוב לא לפספס את הצד השני: מדיניות פרטיות מעודכנת ומדויקת היא כלי מרכזי לעמידה בחובת היידוע לפי החוק. לאחר תיקון 13, חובת היידוע כוללת פרטים רחבים יותר – מטרות האיסוף, פרטי בעל השליטה במאגר המידע ודרכי ההתקשרות עמו, למי יימסר המידע, משמעות אי-מסירתו, וזכויות נושאי המידע ובראשן זכות העיון והזכות לבקש תיקון של מידע אישי. אבל חשוב שהיידוע יינתן גם בהקשר ובמקום שבו נאסף המידע, בהתאם לנסיבות האיסוף – לא רק כעמוד נפרד בפוטר של האתר.
מדיניות פרטיות טובה היא תוצאה של מיפוי אמיתי – לא תחליף לו. הסדר הנכון הוא: קודם ממפים מה קורה עם המידע, ואז כותבים מדיניות שמתארת את זה נכון. רוב העסקים עושים את זה הפוך.
אם אתן רוצות לבדוק במהירות אם המדיניות הקיימת שלכן כוללת את מה שהיא אמורה לכלול, אפשר להריץ אותה ב-PrivacyScore – כלי חינמי שפיתחתי שבודק מדיניות פרטיות ומחזיר ציון ונקודות לשיפור. זה לא תחליף לבדיקה מקצועית של כלל התהליכים בעסק – אבל זו נקודת התחלה טובה למדיניות עצמה.
שאלות שכדאי לשאול על העסק שלכם
- האם ידוע לנו בדיוק אילו סוגי מידע אנחנו אוספים ולשם מה?
- יש לנו מסמך הגדרות מאגר לכל מאגר פעיל בעסק?
- בדקנו לאיזו קטגוריית אבטחה משתייך כל מאגר ומה הדרישות שחלות עליו?
- כל ספק חיצוני שמקבל גישה למידע אישי מוסדר בהסכם מתאים?
- עובדים שנחשפים למידע יודעים מה מותר ומה אסור?
- המדיניות שפורסמה באתר משקפת את מה שבאמת קורה – או שהיא נכתבה לפני שנים ולא עודכנה מאז?
אם רוב התשובות הן "לא בטוח" – אתן לא לבד. רוב העסקים שאני פוגש מתחילים בדיוק משם.
הפוסט הזה הוא חלק מהמדריך המלא לתיקון 13 - קראו את המדריך המלא.
שאלות נפוצות
מדיניות פרטיות ומסמך הגדרות מאגר – זה לא אותו דבר?
לא. מדיניות הפרטיות היא מסמך גלוי שפונה לגולשים באתר. מסמך הגדרות המאגר הוא מסמך פנימי, חובה לפי תקנות אבטחת מידע, שמתעד את הפרטים הטכניים והארגוניים של כל מאגר מידע בעסק – ולא מיועד לפרסום.
אם יש לי כבר מדיניות פרטיות טובה, האם אני עדיין חשוף?
מדיניות טובה יכולה להיות חלק מרכזי מהעמידה בחובת היידוע, אבל היא לא מחליפה את הצורך לתת את המידע הנדרש גם בעת איסוף המידע, בהתאם לנסיבות. וגם אם חובת היידוע מקוימת במלואה, עדיין יש דרישות נוספות שצריך לבדוק, כמו מסמך הגדרות מאגר, בדיקת קטגוריית האבטחה החלה על המאגר, הסדרת העבודה עם ספקים ועמידה בדרישות אבטחת המידע. מיפוי המידע הוא בדרך כלל נקודת ההתחלה המעשית שמאפשרת לעשות את כל אלה נכון.
אני עצמאי קטן, זה באמת חל עליי?
אם המאגר עומד בתנאים של מאגר המנוהל בידי יחיד עשויות לחול עליו דרישות מצומצמות יותר. מספר בעלי ההרשאה הוא רק אחד התנאים, ויש גם חריגים שצריך לבדוק – כך שכדאי לא להסתמך רק על "אני עובד לבד" בלי לבדוק את שאר התנאים.
מאיפה מתחילים אם עוד לא עשינו כלום?
ממיפוי בסיסי: אילו סוגי מידע יש לכם, מאיפה הם מגיעים, ולאן הם עוברים. זה הצעד הראשון שממנו נגזר כל השאר, כולל מדיניות פרטיות מדויקת יותר.
המידע במאמר נועד להסבר כללי ואינו מהווה ייעוץ משפטי.