מדיניות פרטיות: איך יודעים אם היא תקנית, וכלי חינמי שבניתי כדי לבדוק את זה

אני עוזר לעסקים ולארגונים לעשות סדר בפרטיות ובמידע שהם אוספים, ולאורך הדרך ראיתי לא מעט מדיניות פרטיות שנכתבו לפני שנים, הועתקו מאתר אחר, או פשוט לא עודכנו מאז תיקון 13 לחוק הגנת הפרטיות. בגלל שהשאלה "האם המדיניות שלי בסדר?" חוזרת על עצמה כל כך הרבה בעבודה שלי מול לקוחות, בניתי כלי חינמי בשם Privacy Score שבודק מדיניות פרטיות מול דרישות החוק הישראלי – ותוך כמה דקות מחזיר ציון וממצאים.

זו גם השאלה שפותחת הרבה משיחות הייעוץ שלי כממונה על הגנת הפרטיות (DPO) – ורציתי שתהיה דרך לקבל תשובה ראשונית מיידית, בלי לחכות לשיחה.

הפוסט הזה מיועד לבעלי אתרים, עצמאים ומנהלות עסקים קטנים שרוצים להבין בגדול מה מדיניות פרטיות תקנית צריכה לכלול, ולקבל דרך מהירה לבדוק איפה האתר שלהם עומד.

התשובה הקצרה

אם מדיניות הפרטיות באתר שלכם לא עודכנה מאז אוגוסט 2025 – מועד כניסתו לתוקף של תיקון 13 – כדאי לבדוק אותה. הדרך הכי מהירה: להדביק את הכתובת שלה בכלי שבניתי, Privacy Score, ולקבל ציון ורשימת ממצאים תוך כמה דקות, בחינם וללא הרשמה.

מה מדיניות פרטיות טובה בכלל אמורה להגיד

בלי להיכנס לניסוח משפטי, מדיניות פרטיות תקינה עונה בפשטות על כמה שאלות שמשתמש סקרן היה שואל:

• מי אחראי על המידע שלי, ואיך אפשר ליצור איתו קשר?
• אילו נתונים בדיוק נאספים – לא "מידע שמסרתם", אלא רשימה מפורשת.
• לשם מה כל סוג מידע נאסף, ועל בסיס מה – כולל הבהרה איך וממתי ניתנה הסכמה.
• האם המידע עובר לגורמים נוספים, ולאן – ספקי ענן, כלי אנליטיקה, מערכות שיווק.
• כמה זמן המידע נשמר, ומה קורה איתו בסוף התקופה.
• ואילו זכויות יש למי שהמידע נאסף עליו, ואיך פונים כדי לממש אותן.

ניסוח כמו "אנו עשויים לשתף מידע עם צדדים שלישיים לצרכי שיפור השירות" הוא דגל אדום קלאסי – הוא לא אומר כלום בפועל. ניסוח תקין נשמע יותר כמו "אנו משתפים את כתובת הדואל שלכם עם ספק הדיוור (למשל Mailchimp) לצורך משלוח ניוזלטר, ועם חברת הסליקה לצורך עיבוד תשלומים בלבד" – כלומר: מי, למה, ומה בדיוק.

חמישה סימנים שכדאי לבדוק את המדיניות שלכם

לפני שמריצים כלי אוטומטי, אפשר גם לעבור בעצמכם על כמה סימני אזהרה נפוצים:

• אין במדיניות תאריך עדכון, או שהתאריך ישן מ-2024 ומטה.
• מופיע ניסוח כללי מדי כמו "אנו עשויים לשתף מידע עם צדדים שלישיים לצרכי שיפור השירות" – בלי לפרט מי הם ומה בדיוק נמסר.
• אין אזכור של עוגיות או כלי אנליטיקה, למרות שהאתר משתמש ב-Google Analytics או בפיקסל פרסומי.
• אין הסבר איך פונים כדי לבקש לעיין במידע, לתקן אותו, או להסיר את עצמכם מרשימת תפוצה.
• המדיניות מזכירה בעיקר GDPR אירופי או CCPA אמריקאי, ולא נראית מותאמת לחוק הישראלי.

אם זיהיתם את עצמכם באחד הסעיפים האלה, כנראה שיש מה לתקן – וכדאי להמשיך לבדיקה המלאה.

למה כדאי לבדוק את זה עכשיו

תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025, הרחיב את חובות היידוע והשקיפות, והגדיל את סמכויות האכיפה של הרשות להגנת הפרטיות. בפועל, זה אומר שמדיניות פרטיות "ישנה" – כזו שנכתבה לפני 2025 ולא עודכנה – כמעט תמיד חסרה משהו מהותי: הגדרה של מידע בעל רגישות מיוחדת, פירוט על העברת מידע לחו"ל, או הסבר ברור על זכויות המשתמשים.

חשוב להבהיר: זה לא אומר שיש עילה לתביעה מיידית רק כי המדיניות לא עודכנה. אבל זה כן אומר שיש פער שכדאי לסגור – הן כדי לצמצם סיכון, והן כי מדיניות פרטיות ברורה היא חלק מהאמון שהעסק בונה מול הלקוחות שלו.

זה נכון במיוחד לעסקים קטנים ובינוניים, שלרוב אין להם מחלקה משפטית פנימית שעוקבת אחרי כל שינוי ברגולציה. בפועל, מדיניות הפרטיות נכתבת פעם אחת בהקמת האתר, ואף אחד לא חוזר אליה – עד שמשהו (בקשת לקוח, ביקורת, או סתם סקרנות) מעלה את השאלה.

הכלי שבניתי: איך Privacy Score עובד

התהליך פשוט: מדביקים את כתובת ה-URL של עמוד מדיניות הפרטיות, ומריצים בדיקה. מנוע ה-AI של הכלי סורק את הטקסט ובודק אותו מול כ-15 קריטריונים שנגזרים מדרישות חוק הגנת הפרטיות הישראלי ותיקון 13. בתוך כמה דקות מתקבל ציון A, B או C, עם פירוט הממצאים לפי חומרה ועדיפות לתיקון. אפשר גם לבקש עדכון במייל כשהדוח מוכן.

בכלי יש גם מצב "משתמש פרטי" – למי שרוצה להבין, בשפה פשוטה ובלי מונחים משפטיים, מה אתר מסוים עושה עם המידע שלו לפני שהוא נרשם או משאיר פרטים.

חשוב לי להיות מדויק לגבי מה שהכלי כן ומה שהוא לא: זו בדיקה אוטומטית מבוססת AI, לא חוות דעת משפטית. היא בודקת עמידה בחוק הגנת הפרטיות הישראלי – לא ב-GDPR האירופי, גם אם לעיתים הדרישות דומות. והציון לא מהווה תעודת ציות או אישור משפטי. לבדיקה משפטית מלאה, ולניסוח מדיניות פרטיות מחייבת, עדיין נדרש ליווי של DPO מוסמך או עורך דין.

מה עושים עם התוצאה

אם הציון יצא A – מצוין, שווה לעבור על ההערות הקטנות ולסגור אותן. אם יצא B או C, כדאי להתייחס לממצאים לפי סדר החומרה שהכלי מציג, ולא לנסות לתקן הכל בבת אחת. חלק מהפערים – כמו הוספת פסקה על עוגיות, או עדכון תאריך – אפשר לסגור לבד תוך שעה. אחרים, כמו מיפוי מלא של זרימת המידע בעסק או השאלה אם נדרש למנות DPO, דורשים בדיקה מעמיקה יותר. שם בדיוק אני נכנס לתמונה בעבודה השוטפת שלי מול עסקים וארגונים.

הצעד הבא

הכי קל להתחיל בבדיקה עצמה: הריצו את הכלי בחינם ב-Privacy Score – הדביקו את כתובת מדיניות הפרטיות שלכן, ותוך דקה תדעו איפה אתן עומדות. אין הרשמה, אין תשלום, ואין התחייבות.

אם התוצאה מעלה שאלות, או שאתן רוצות ליווי מעבר לבדיקה הראשונית, אפשר לכתוב לי ונראה מה נכון בשבילכן.