מדיניות פרטיות לאתר ב-2026
מה באמת דורש תיקון 13?

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף באוגוסט 2025 והוא השינוי הגדול ביותר שעבר החוק מאז שנחקק. בגדול, הוא לוקח חוק שנכתב בעידן של תיקיות נייר ומעדכן אותו לעולם שבו גם אתר פשוט עשוי לאסוף מידע אישי דרך טפסים וכלים נוספים.

שני דברים מרכזיים השתנו: הרשות להגנת הפרטיות קיבלה שיניים אמיתיות בדמות סמכויות אכיפה וקנסות משמעותיים והאחריות עברה בבירור אל מי שאוסף את המידע. כלומר, אליכם.

זו השאלה הראשונה שכולם שואלים והתשובה הכנה היא שכן, ברוב המקרים.

אין פטור לעסקים קטנים. אתר תדמית של יועץ עצמאי עם טופס יצירת קשר אחד כבר אוסף מידע אישי ולכן החוק חל עליו. מה שכן משתנה לפי גודל וסוג הפעילות הוא היקף החובות: ככל שאתם אוספים יותר מידע, רגיש יותר, מיותר אנשים, כך הדרישות מחמירות.

עסק שמנהל מאגר גדול או אוסף מידע רגיש כמו נתונים רפואיים או פיננסיים נכנס לקטגוריה אחרת לגמרי ושם כבר צריך ליווי משפטי אמיתי ולעיתים גם מינוי ממונה הגנת פרטיות.

כאן בעלי עסקים רבים מופתעים. מידע אישי הוא לא רק תעודת זהות ומספר כרטיס אשראי.

• שם, טלפון וכתובת מייל שנשלחים בטופס.
• הודעות ופניות שהגיעו דרך האתר.
• כתובת IP ומזהי מכשיר.
• קובצי עוגיות שעוקבים אחרי התנהגות גלישה.
• הקלטות מסך וכלי אנליטיקה מתקדמים.
• רשימות דיוור והרשמות לניוזלטר.

אם משהו מהרשימה הזו קורה באתר שלכם ורוב הסיכויים שכן, אתם כבר בתוך העניין.

מדיניות פרטיות טובה עונה בשפה פשוטה על שש שאלות. אם היא עושה את זה, אתם במקום טוב:

• מי אתם: שם העסק, מספר ח.פ או ע.מ ודרך ליצור קשר.
• איזה מידע נאסף: פירוט של מה שבאמת נאסף, לא רשימה גנרית שהועתקה מאתר אחר.
• למה: המטרה של כל סוג מידע. יצירת קשר, שליחת הצעת מחיר, דיוור שיווקי.
• עם מי הוא משותף: ספקי אחסון, מערכות דיוור, כלי אנליטיקה, מערכות סליקה.
• כמה זמן הוא נשמר: פרק זמן ברור ולא "כל עוד יידרש".
• אילו זכויות יש לגולש: עיון ותיקון, הסרה מדיוור והדרך לפנות אליכם בבקשה כזו.

אותו באנר קטן שקופץ בכניסה לאתר הוא הרבה יותר משאלה של עיצוב וגם הרבה פחות חד משמעי ממה שנדמה.

נתחיל בדיוק שכדאי להכיר. הדין בישראל לא זהה למשטר העוגיות האירופי ואין בו הוראה מקבילה ל-ePrivacy שמדברת על עוגיות במפורש. מי שאומר לכם שיש בישראל סעיף חוק שאוסר להפעיל כלי אנליטיקה לפני לחיצה על אישור, מדייק פחות ממה שנשמע.

זה לא אומר שאין כאן כלום, אלא שהמקור אחר. שימוש בטכנולוגיות מעקב הוא בדרך כלל איסוף ועיבוד של מידע אישי. לכן חלים עליו עקרונות חוק הגנת הפרטיות וחובת היידוע. ובמקומות שבהם העיבוד נשען על הסכמה, חלה גם הדרישה שההסכמה תהיה מדעת ומרצון חופשי.

בפברואר 2026 פרסמה הרשות להגנת הפרטיות גילוי דעת בנושא הסכמה. העמדה שם היא שהסכמה משתמעת היא בסיס חלש. שתיקה או היעדר התנגדות לא מהוות הסכמה מעצמן. המשמעות המעשית פשוטה: באנר שכתוב בו רק שהמשך הגלישה מהווה הסכמה הוא לא מנגנון שנותן בחירה אמיתית.

אז מה כן כדאי לעשות? באתר שמריץ אנליטיקה, פרסום או מעקב, הגישה המחמירה והמומלצת היא באנר עם שלוש אפשרויות ברורות:

ובמסך ההתאמה האישית נותנים שליטה לפי קטגוריות:

• עוגיות הכרחיות. נדרשות לתפקוד האתר ולכן הן יכולות להישאר פעילות בלי בחירה.
• אנליטיקה. גוגל אנליטיקס וכלי מדידה אחרים.
• פרסום ושיווק. פיקסלים, רימרקטינג וכלי ייחוס.
• פונקציונליות, ככל שרלוונטי. למשל זיכרון העדפות או צ'אט.

ושני דברים שקל להיכשל בהם. אל תציגו עוגיות שאינן חיוניות כאילו הן הכרחיות, כי זו בדיוק הבחירה שהיא לא באמת בחירה. ותאפשרו לגולש לפתוח שוב את הגדרות העוגיות ולשנות את דעתו בהמשך, כי הסכמה שאי אפשר לחזור ממנה שווה פחות.

אם מותקן אצלכם גוגל אנליטיקס או פיקסל של גוגל, סביר שתיתקלו בשם הזה. שווה להבין מה הוא עושה ומה הוא לא עושה.

יש שתי דרכים לחבר באנר עוגיות לכלים של גוגל. האחת היא לחסום את הכלי לגמרי עד שיש הסכמה, כלומר הסקריפט בכלל לא נטען. השנייה היא Consent Mode, שבה הכלי כן נטען אבל הוא יודע מה מותר לו לעשות.

ב-Consent Mode v2 מגדירים ארבעה מצבים שכולם מתחילים במצב denied כברירת מחדל:

• analytics_storage עוגיות של מדידה ואנליטיקה.
• ad_storage עוגיות פרסום.
• ad_user_data שליחת נתוני משתמש לגוגל לצורכי פרסום.
• ad_personalization פרסום מותאם אישית ורימרקטינג.

כל עוד המצב הוא denied אין לאפשר קריאה או כתיבה של עוגיות אנליטיקה ופרסום. אחרי שהגולש נותן הסכמה מעדכנים ל-granted רק את הקטגוריות שהוא באמת אישר.

וכאן הנקודה שהכי קל לפספס. אין לכתוב שגוגל אנליטיקס לא פועל בכלל לפני הסכמה. במימוש המתקדם, מה שנקרא Advanced Consent Mode, גוגל עשויה לקבל אותות מדידה מוגבלים בלי עוגיות גם כשהגולש לא אישר, לצורכי מדידה ומידול. עוגיות אנליטיקה לא נשמרות, אבל משהו כן נשלח.

רוב האתרים בישראל שולחים מידע לחו"ל בלי לחשוב על זה בכלל. אחסון בענן, גוגל אנליטיקס, מערכות פרסום, מערכת דיוור, מערכת ניהול לקוחות. בכל אחד מהמקרים האלה ייתכן שהמידע מעובד או מאוחסן מחוץ לישראל.

הנושא מוסדר בתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), תשס"א-2001. וכאן חשוב לומר משהו במפורש: זה לא אומר שכל שימוש בגוגל או במטא הוא הפרה. התקנות קובעות מסלולים ותנאים שמאפשרים העברת מידע לחו"ל. הרבה מהשימושים הרגילים נכנסים בתוכם.

מה שכן כדאי לעשות זה שלושה דברים פשוטים:

• לבדוק אילו ספקים מקבלים מידע מהאתר שלכם.
• לברר איפה המידע מעובד או מאוחסן בפועל.
• לציין את זה במדיניות הפרטיות כשזה רלוונטי.

לרוב האתרים העסקיים זו עבודה קצרה והיא בעיקר מיפוי. לעסקים עם פעילות בינלאומית או מידע רגיש, זה בדיוק המקום שבו שווה ייעוץ משפטי ממוקד.

אם תעשו רק דבר אחד אחרי קריאת המאמר הזה, שיהיה זה.

ליד כל טופס באתר צריכה להופיע הודעה קצרה שמסבירה מה קורה עם הפרטים, עם קישור למדיניות הפרטיות. אם אתם מתכוונים לשלוח גם דיוור שיווקי, צריך סימון נפרד לזה והוא לא יכול להיות מסומן מראש.

אגב, זו גם הזדמנות טובה לשאול את עצמכם אם אתם באמת צריכים את כל השדות בטופס. פחות מידע שנאסף פירושו פחות אחריות עליכם.

לגולשים יש זכות לעיין במידע שנאסף עליהם ולבקש לתקן מידע שאינו נכון, שלם או מעודכן. תיקון 13 חיזק את הזכויות האלה ובעיקר את הציפייה שתגיבו בזמן סביר.

שווה לדעת: בישראל אין כרגע זכות מחיקה גורפת בסגנון הזכות להישכח האירופית, אז לא כל בקשה למחוק הכל מחייבת אתכם אוטומטית. יחד עם זה יש מצבים שבהם כן קמה חובה למחוק. בקשה להסרה מדיוור שיווקי היא תמיד בקשה שצריך לכבד מיד.

מה שכדאי להכין מראש הוא נוהל פשוט: כתובת מייל ייעודית לפניות בנושא, מי בעסק אחראי לטפל בהן ואיפה בדיוק המידע יושב כדי שתוכלו למצוא אותו ולמחוק אותו בפועל.

אתם לא צריכים מערכת מתוחכמת לזה. אתם כן צריכים לדעת לענות.

כאן נמצא החלק שגרם לכל הרעש. הרשות להגנת הפרטיות יכולה להטיל עיצומים כספיים משמעותיים והסכומים נגזרים מהיקף הפעילות ומחומרת ההפרה.

אבל שווה לשים את זה בפרופורציה: הרשות לא מחפשת את בעל הסלון שאין לו באנר עוגיות מושלם. האכיפה מתמקדת בהפרות משמעותיות, בעסקים שאוספים מידע רב ובעיקר במי שמתעלם לחלוטין.

הסיכון האמיתי לעסק קטן הוא פחות קנס ויותר תלונה של לקוח מתוסכל, שמובילה לבירור שאף אחד לא רוצה להתעסק איתו.

סדר פעולות הגיוני שאפשר לעשות בשבוע עבודה רגיל:

• עשו רשימה של כל מקום באתר שאוסף מידע. טפסים, צ'אט, ניוזלטר, חנות.
• בדקו אילו כלים חיצוניים מותקנים אצלכם ומה כל אחד מהם אוסף.
• כתבו מדיניות פרטיות שמתארת את המציאות שלכם ולא של מישהו אחר.
• הוסיפו הודעה קצרה וקישור ליד כל טופס.
• התקינו באנר עוגיות עם שלוש אפשרויות ובלי להציג עוגיות לא חיוניות כהכרחיות.
• קבעו כתובת מייל לפניות בנושא פרטיות.

לעסקים עם מאגרי מידע גדולים או מידע רגיש, השלב הבא הוא ייעוץ משפטי ממוקד. לרוב האתרים העסקיים, הרשימה למעלה מכסה את עיקר העניין. בזמן שאתם כבר בעניין, שווה לעבור גם על דרישות הנגישות, כי שתי הדרישות האלה נבדקות בדרך כלל יחד.