חוק הגנת הפרטיות בעידן החדש: מה העדכון בחקיקה דורש מבעלי אתרים ועסקים

עד לא מזמן, בעלי עסקים קטנים רבים בישראל התייחסו לנושא הפרטיות כעניין של חברות גדולות בלבד. טופס יצירת קשר באתר, רשימת לקוחות באקסל או ניוזלטר חודשי נראו כמו דברים שגרתיים שאין בהם שום סיכון משפטי. אבל העדכון המשמעותי בחוק הגנת הפרטיות, תיקון 13, שנכנס לתוקף באוגוסט 2025, שינה את התמונה. הוא הרחיב את סמכויות האכיפה של הרשות להגנת הפרטיות, עדכן הגדרות מרכזיות וחיזק את זכויות האנשים שהמידע עליהם נאסף. עבור כל מי שמחזיק אתר שאוסף פרטים, זה הזמן לבדוק את ההתנהלות.

מה השתנה בגדול

השינוי המרכזי נוגע ליכולת האכיפה. לרשות להגנת הפרטיות ניתנו כלים משמעותיים יותר, כולל אפשרות להטיל עיצומים כספיים על הפרות, בלי צורך בהליך פלילי. בעבר, הפרות רבות נשארו ללא תגובה ממשית. היום, לעסק שאינו מקפיד על הדרישות יש חשיפה כספית אמיתית.

בנוסף, החוק המעודכן מגדיר בצורה רחבה יותר מהו מידע אישי ומהו מידע בעל רגישות מיוחדת. מידע על בריאות, על מצב כלכלי, על נתונים ביומטריים ועל מיקום, למשל, דורש רמת הגנה גבוהה יותר. גם חובות הרישום של מאגרי מידע עודכנו, כך שחלק מהעסקים פטורים מרישום אך עדיין חייבים בהודעה או בשמירה על כללי אבטחה.

חשוב להדגיש: הפרטים המדויקים של החובות תלויים בגודל המאגר, בסוג המידע ובאופי הפעילות. לכן, מעבר להיכרות כללית, כדאי להתייעץ עם עורך דין שמתמחה בדיני פרטיות כדי להבין מה בדיוק חל על העסק שלכם.

איזה מידע אתר טיפוסי אוסף

בעלי אתרים רבים מופתעים לגלות כמה מידע האתר שלהם אוסף. טופס יצירת קשר אוסף שם, טלפון ומייל. חנות מקוונת אוספת גם כתובות, היסטוריית הזמנות ולעיתים תאריך לידה. מערכת ניוזלטר שומרת את רשימת המנויים ואת היסטוריית הפתיחות. כלי סטטיסטיקה ופיקסלים של פלטפורמות פרסום אוספים מידע על התנהגות הגולשים באתר.

כל המידע הזה נחשב מידע אישי, וכל אחד מהמקומות שבהם הוא נשמר, האתר, מערכת ניהול הלקוחות, תוכנת הדיוור והאקסל במחשב, הוא חלק מהמאגר שעליו חלות חובות הגנה.

הצעדים הבסיסיים שכל בעל אתר צריך לעשות

הצעד הראשון הוא מיפוי. רשמו איזה מידע אתם אוספים, מאיפה, לאיזו מטרה, היכן הוא נשמר ומי נחשף אליו. רבים מגלים במהלך המיפוי טפסים ישנים שעדיין שולחים מידע לתיבת מייל שאף אחד לא בודק, או ספקים שקיבלו גישה למידע ושכבר לא עובדים איתם.

אחרי המיפוי, כדאי לטפל בכמה נקודות מרכזיות:

• מדיניות פרטיות עדכנית, ברורה ובעברית פשוטה, שמסבירה מה נאסף ולמה
• הודעה ליד כל טופס על מטרת איסוף המידע
• הפרדה בין הסכמה לקבלת דיוור שיווקי לבין שליחת פנייה רגילה
• הגבלת הגישה למידע לעובדים ולספקים שבאמת צריכים אותו
• מחיקת מידע ישן שאין בו עוד צורך
• אבטחה טכנית סבירה של האתר ושל המערכות שבהן נשמר המידע

זכויות הגולשים

החוק מעניק לאנשים זכויות לגבי המידע שנאסף עליהם, ובהן הזכות לעיין במידע ולבקש לתקן מידע שגוי. עסק צריך להיות מוכן לקבל פנייה כזו ולטפל בה בתוך זמן סביר. בפועל, זה אומר לדעת היכן נמצא המידע על לקוח מסוים, ולהיות מסוגלים להפיק אותו או לתקן אותו.

בנוסף, חוק התקשורת, המכונה בפי רבים חוק הספאם, ממשיך לחייב קבלת הסכמה מפורשת לפני משלוח דברי פרסומת במייל או בהודעות, ואפשרות להסרה בכל עת. שילוב של שני החוקים מחייב תשומת לב מיוחדת לכל פעילות דיוור.

אבטחת מידע כחלק מהפרטיות

הגנת פרטיות אינה רק עניין של מסמכים משפטיים. היא תלויה גם באבטחה טכנית. אתר וורדפרס עם תוספים לא מעודכנים, סיסמת מנהל חלשה או גיבויים שנשמרים בתיקייה פתוחה בשרת, עלול לחשוף את פרטי הלקוחות לפריצה. ובמקרה של אירוע אבטחה חמור, ייתכנו חובות דיווח לרשות.

לכן כדאי לוודא שהאתר מעודכן, שהגישה לממשק הניהול מוגנת באימות דו שלבי, שהתקשורת מוצפנת, ושהמידע מטפסים אינו נשמר יותר זמן מהנדרש. גם ספקי השירות, כמו חברת האחסון ומערכת ניהול הלקוחות, צריכים לעמוד ברמת אבטחה סבירה, וכדאי לבדוק את התנאים שלהם.

ספקים חיצוניים ומידע שיוצא מהעסק

כמעט כל עסק מעביר מידע אישי לגורמים חיצוניים: חברת האחסון של האתר, מערכת ניהול הלקוחות, שירות הדיוור, חברת הסליקה, רואה החשבון ולעיתים גם פרילנסרים שעובדים על האתר. כל אחד מהם הוא חוליה בשרשרת, ופריצה אצל אחד מהם עלולה לחשוף את המידע של הלקוחות שלכם.

לכן כדאי לרכז רשימה של כל הספקים שמקבלים גישה למידע אישי, לבדוק את תנאי השימוש ואת התחייבויות האבטחה שלהם, ולוודא שבהסכמים איתם יש התייחסות לשמירה על המידע. כשמסתיימת עבודה עם ספק, חשוב לבטל את הגישה שלו ולוודא שהמידע נמחק אצלו. בנוסף, כשמידע נשמר בשרתים מחוץ לישראל, ייתכנו כללים נוספים שחלים על העברתו, וגם בנקודה זו כדאי להיעזר בייעוץ משפטי.

עסקים קטנים: מה הכי דחוף

לא כל עסק קטן צריך מסמך מדיניות של עשרים עמודים או ממונה פרטיות במשרה מלאה. אבל כמעט כל עסק שאוסף פרטי לקוחות יכול להרוויח מבדיקה בסיסית. המקומות שבהם הסיכון גבוה במיוחד הם עסקים שאוספים מידע רגיש, כמו קליניקות, משרדי ייעוץ פיננסי וחנויות שמוכרות מוצרים רפואיים, ועסקים עם מאגרי לקוחות גדולים.

המלצה מעשית היא להתחיל במיפוי ובעדכון מדיניות הפרטיות, ולאחר מכן לקבוע פגישה עם עורך דין מתמחה כדי לוודא שלא חסר דבר מהותי. השקעה קטנה כעת יכולה לחסוך עיצומים ונזק תדמיתי בהמשך.

לסיכום

העדכון בחוק הגנת הפרטיות מסמן מעבר ממצב שבו פרטיות הייתה בעיקר המלצה, למצב שבו יש לה שיניים. עבור בעלי אתרים ועסקים, המשמעות היא צורך לדעת איזה מידע נאסף, לשמור עליו היטב, לשקף זאת ללקוחות בצורה ברורה ולכבד את זכויותיהם. מעבר לחובה החוקית, זו גם דרך לבנות אמון מול לקוחות שמודעים יותר ויותר לערך של המידע האישי שלהם.