במדריך הבא אני הולך להסביר לכם בצורה פשוטה וקלה במיוחד, מהי מדיניות פרטיות לאתר אינטרנט, מהו חוק הגנת הפרטיות הקיים בישראל ועוד מידע מקצועי שיאפשר לכם להבין טוב יותר את העולם של מדיניות פרטיות ושמירת מידע של משתמשים הפונים אליכם דרך אתר האינטרנט שברשותכם.
מהי מדיניות פרטיות לאתר אינטרנט?
כמה פעמים הזנתם את הפרטים האישיים שלכם באתר אינטרנט של חברה או ארגון מסוים? האם פעם חשבתם מה הם עושים עם המידע הזה? האם המידע הוא לשימושם בלבד או שאולי הם יכולים להעביר / לסחור בו?
בשנים האחרונות נושא מדיניות הפרטיות התחיל לתפוס תאוצה בשל השימוש המוטעה של חברות רבות במידע שהן קיבלו דרך הפלטפורמות הדיגיטליות שלהם, לדוגמה באתר האינטרנט, ברשתות החברתיות, בפרסומים ממומנים ועוד.
איסוף המידע על משתמשים שהזינו את פרטיהם האישיים באתרי אינטרנט חייב להתבצע בצורה מבוקרת ומסודרת תוך כדי יידוע המשתמש מה אתם הולכים לעשות עם המידע הזה ולאיזה שימוש בדיוק הוא מיועד. לדוגמה, משתמש שנכנס לאתר שלכם והזין בטופס יצירת קשר את השם המלא שלו, כתובת הדואר אלקטרוני, טלפון וכו', העביר לכם את הפרטים האישיים שלו, שכעת מאוחסנים באתר האינטרנט שלכם, בשרתי החברה או ברשימת הלקוחות שאותה אתם מנהלים באופן הדוק.
ניהול נתונים אישיים אלו בצורה אחראית תוך שמירה מלאה על פרטיות המשתמשים ועל המידע שהוזן על ידם, חיוני וחשוב הן מבחינה חוקית (עמידה בהוראות החוק) והן מבחינה עסקית (שיפור המוניטין של העסק בקרב אותם משתמשים).
כיצד חוק הגנת הפרטיות קשור לאתרי אינטרנט?
חוק הגנת הפרטיות משפיע באופן ישיר ומקיף על אתרי אינטרנט מכל הסוגים. אתרי אינטרנט האוספים מידע אודות הלקוחות שלהם, חייבים לציית להוראות חוק זה.
איסוף המידע באתר האינטרנט יכול לכלול מידע אישי אודות המשתמש / המבקר באתר, העדפות הדפדפן המופעל על ידו, מעקב אחר אופן הגלישה של המשתמש / המבקר באתר, שימוש בעוגיות וכו'.
על בעל האתר המקבל את המידע מהמשתמש, לקבל הסכמה מפורשת תוך כדי ציון אופן השימוש במידע, אי שיתוף או מכירת המידע עם חברות צד ג' ללא הסכמת המשתמש וכו'. שימו לב שבעל האתר חייב לנקוט את אמצעי האבטחה הטובים ביותר בכדי להגן על המידע שהוא מחזיק ברמת מערכת הניהול של האתר או במחשבי החברה.
אחד הנושאים העיקריים המופיעים במסמך "מדיניות פרטיות" המופיע באתר האינטרנט הינו כיצד בעל העסק עומד בהוראות חוק הגנת הפרטיות בעת שהוא אוסף מידע דרך האתר באמצעים כאלה ואחרים.
חוק הגנת הפרטיות התשמ"א-1981 מחייב אתרי אינטרנט לעמוד במספר כללים, להלן העיקריים שביניהם:
- קבלת הסכמה מלאה מהמשתמשים לאיסוף המידע האישי שלהם: אתרי אינטרנט רשאים לאסוף מידע אישי ממבקרים או משתמשים רק בעת שהם הסכימו בצורה מפורשת לאיסוף המידע. היכולת של הסכמת המשתמש חייבת להיות במיקום בולט וברור בסמוך / בתוך הרכיב שבו המשתמש עושה שימוש לצורך מילוי פרטיו האישיים.
- שמירה מלאה על מידע רגיש שהוזן באתר החברה: במקרים שהחברה עוסקת במידע רגיש כגון מידע רפואי, מידע גנטי, מידע משפטי, מידע כלכלי, על בעלי החברה לוודא כי המידע נשמר בצורה המתאימה ל"מידע רגיש" כנדרש בחוק. שימו לב שישנם בעלי אתרים רבים שאינם מודעים לנושא זה מה שעלול לחשוף אותם לסנקציות משמעותיות ותביעות משפטיות בגין הפרה של חוק הגנת הפרטיות.
- שמירה על רמת אבטחת מידע גבוהה ומעודכנת: בעלי אתרי אינטרנט חייבים לנקוט באמצעי אבטחה גבוהים כדי להגן על המידע האישי שנאסף. יש להבדיל בין "מידע רגיל" ל"מידע רגיש" לצורך התאמת רמת האבטחה בהתאם לסוג המידע הנאסף. הגנה על המידע חייבת להיות נגד גישה בלתי מורשית של אנשים או חברות שאינן קשורות לארגון, שימוש לרעה באותם הנתונים, גניבת המידע לצורך סחר או שימוש בלתי חוקי וכו'. אמצעי אבטחה אלה הינם חשובים במיוחד והם חייבים להיות מעודכנים ככל שניתן ולכלול מערכות אבטחה מתקדמות, סיסמאות מורכבות ומוצפנות, וטכנולוגיות נוספות המאפשרות להגן על כל הנתונים שהוזנו דרך רשת האינטרנט.
- אופן השימוש במידע שהוזן ע"י המבקר או המשתמש באתר: בעת שחברה מסוימת אספה מידע בצורה כזו או אחרת (במקרה שלנו דרך אתר אינטרנט), היא רשאית להשתמש באותו מידע אישי שנאסף רק למטרות שעבורן נאסף המידע, לדוגמה במידה והחברה אוספת מידע כדי ליצור קשר עם הלקוח בנוגע לשירות או מכירת מוצר, היא לא יכולה לסחור במידע או להעביר אותו לחברת בת או לחברת צד ג' כדי שתוכל להשתמש בו. דוגמה נוספת ומוכרת במיוחד זו הצטרפות למועדון לקוחות או ניוזלטר שבועי של חברה מסחרית, בעת שאותה חברה מאפשרת למשתמש להזין את כתובת הדואר אלקטרוני שלו לצורך קבלת ניוזלטר, היא יכולה להשתמש בדואר אלקטרוני רק לשם שליחת הניוזלטר ולא לצרכים אחרים כגון: שליחת עדכונים אחרים, דיוור בלתי מורשה, הפצת כתובת המייל וכו'. שימו לב שישנם מקרים חריגים שאותן חברות קיבלו את הסכמת המשתמשים לשימוש אחר במידע שנאסף ואת אופן השימוש בו, אך כפי שרשמתי, זה בהחלט מקרה חריג והמשתמש חייב לדעת על כך ומהן ההשלכות שעלולות להיות במידה והוא מאשר זאת.
- הודעה בגין שימוש בעוגיות "Cookies" בעת גלישה באתר: לצורך שיפור חווית הגלישה והתאמת המידע ככל שניתן למטרת המבקר באתר, אתרי אינטרנט רשאים להשתמש בעוגיות. העוגיות הן קבצי טקסט קטנים המאוחסנים במחשב של המשתמש באתר, המאפשרים לזהות שהמשתמש כבר היה באתר ואת דרכי הפעולה שלו. שימו לב שאתרי אינטרנט חייבים ליידע את המשתמשים בנושא השימוש בעוגיות ולאפשר להם לחסום את אופן השימוש בהם. שימו לב שישנם מקרים רבים שאתם נכנסים לאתר אינטרנט ומופיע לכם חלון קופץ (פופאפ) המחייב אתכם לאשר שימוש בעוגיות ובמידה ואתם לא מאשרים אתם לא יכולים לצרוך את המידע או להיכנס לכל עמודי האתר. נושא זה הינו בעייתי מכיוון שאם ובמידה משתמש לא הסכים לתנאים שהצגתם בנוגע לעוגיות (Cookies), הוא לא יכול לצרוך את המידע בצורה שווה מה שכביכול "מאלץ" אותו לאשר גם אם הוא לא מעוניין בכך.
- איסור סחר או מכירת המידע של המשתמשים לחברות/ארגונים אחרים: אסור לבעלי האתרים שקיבלו את המידע אודות המשתמשים שלהם לסחור, למכור או להעביר אותו לחברות אחרות ללא אישור מוחלט וכתוב מצד המשתמשים שמסרו את המידע. יש לשים לב שהעברת המידע למשתמשים אחרים יכולה לכלול גם העברתו לחברות שמטרתן דיוור ופרסום (ליצירת קמפיינים), ספקי שירותים משלימים וכו'. כאשר ספק חיצוני מעבד מידע אישי עבורכם, את היחסים איתו מסדירים בהסכם עיבוד מידע (DPA) שמגדיר מה מותר לו לעשות במידע.
- מתן למשתמשים גישה מלאה לערוך, לעדכן ולמחוק את המידע שהם הזינו ממאגר החברה ובכלל: בעת שאתם מקבלים מידע אישי באמצעות אתר האינטרנט שלכם אתם צריכים לאפשר למשתמשים שהזינו את המידע, גישה וצפייה מלאה לכל המידע האישי שלהם, עדכון של המידע או מחיקתו מהמאגר הקיים. חשוב לציין כי המשתמשים או המבקרים באתר רשאים לפנות בכל עת לבעלי האתר לצורך קבלת עותק מסודר של המידע האישי המופיע במאגר שלהם.
מהי הרשות להגנת הפרטיות ומה תפקידה?
הרשות להגנת הפרטיות היא הגוף הממלכתי הפועל במשרד המשפטים, שאחריותו לשמור ולפקח על זכויות הפרטיות של האזרחים בישראל. הרשות פועלת רבות להגן על המידע האישי והמידע הרגיש של כל אדם ואדם.
מהם תפקידיה העיקריים של הרשות להגנת הפרטיות:
- מתן הנחיות ברורות וקווים מנחים לגופים פרטיים, ציבוריים ועסקיים בנוגע לאופן האיסוף של המידע, השימוש בו והעברתו לגורם אחר.
- הרשות מבצעת בדיקות מקיפות לצורך פיקוח על גופים המחזיקים במידע אישי אודות משתמשים שונים. מטרת הפיקוח היא לוודא שהארגונים פועלים בהתאם להוראות החוק.
- במקרים שונים של הפרות חוק "הגנת הפרטיות התשמ"א-1981", הרשות יכולה לנקוט בצעדים משמעותיים כלפי הארגון, לדוגמה הטלת עיצומים כספיים, ובמקרים חמורים אף הליכים פליליים.
- הסברה לציבור בנושא הגנת הפרטיות והמידע של המשתמשים.
מהו מידע רגיש?
תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף ב-14 באוגוסט 2025, קבע בחוק הגדרה של "מידע בעל רגישות מיוחדת". גם הרשות להגנת הפרטיות פרסמה גילוי דעת בנושא, המסביר מהו מידע רגיש וכיצד חשיפה שלו לגורם זר עלולה לפגוע במשתמש.
להלן דוגמאות למידע רגיש:
- מידע על מצבו הבריאותי / רפואי של אדם: לדוגמה, ההיסטוריה הרפואית שלו, אבחנות רפואיות, טיפולים שהוא עבר, תרופות שהוא נוטל וכו'.
- מידע פיננסי: לדוגמה, מידע על מצבו הכלכלי של האדם לרבות חשבונות בנק, כרטיסי אשראי, הלוואות, חובות וכו'.
- מידע פלילי: לדוגמה, הרשעות פליליות שהיו בעבר, הליכים משפטיים המתנהלים כעת, נושאים פליליים שעלולים להיות בעתיד וכו'.
- מידע גנטי או ביומטרי: לדוגמה, דגימות DNA, טביעות אצבע, זיהוי פנים וכדומה.
- מידע על ילדים: כל מידע אישי הנוגע לילדים או קטינים הינו נתון להגנה מוגברת מהרשות להגנת הפרטיות ובכלל.
חשוב לציין שזוהי רשימה חלקית בלבד לצורך המחשת המידע הרלוונטי שעלול להיות רגיש. כל מידע אישי שנאסף שעלול לפגוע באופן משמעותי בפרטיותו של אדם או משתמש באתר האינטרנט שלכם עשוי להיחשב כרגיש ולחשוף אתכם לסנקציות מורכבות בעת זליגה או העברה שלו לגורם אחר.
מהן ההשלכות במידה ובעל אתר אינטרנט או בעל עסק לא עומד בהוראות החוק?
אי עמידה בתנאים המופיעים בחוק הגנת הפרטיות עלול להוביל לתביעות משפטיות, השלכות מורכבות ועיצומים כספיים חמורים. העסקים שקיבלו את המידע ועשו בו שימוש שאינו תקין עלולים להיות חשופים לשורה של צעדים משמעותיים בפן המנהלי ובפן האזרחי. מעבר לסוגיות האכיפה הקיימות, פגיעה במידע או בפרטיות המשתמשים שהזינו את המידע באתר האינטרנט שלכם עלולה לפגוע במוניטין העסק ובאמון המשתמשים המעוניינים לצרוך את השירות או המוצר דרכו.
להלן מספר המלצות ארגוניות לצורך ניהול המידע של המשתמשים:
- פרסום מסמך מפורט הכולל במדויק את מדיניות הפרטיות של החברה: אתרי אינטרנט צריכים לפרסם עמוד באתר הכולל את מדיניות הפרטיות של בית העסק. מדיניות הפרטיות חייבת להיות רשומה בצורה ברורה וקלה להבנה כדי שכל משתמש יוכל להיחשף למידע ולהחליט האם הוא מעוניין שהמידע ייאסף או יישמר בצורה שבה התחייב בית העסק. במדיניות הפרטיות, בית העסק חייב לפרט כיצד הוא אוסף את המידע, מהו המידע הנאסף, איך המידע נשמר וכו'. שימו לב שיש לאפשר גישה לעמוד "מדיניות פרטיות" שבאתר מכל עמודי האתר ולא רק מהעמוד הראשי או מפופאפ מסוים המופיע בכניסה לאתר.
- שימוש באמצעי אבטחה איכותיים ומעודכנים: אתרי אינטרנט חייבים להשתמש באמצעי אבטחה מתקדמים לצורך שמירת המידע האישי של הלקוחות או המבקרים באתר שלהם. המטרה בשימוש באמצעי אבטחה מתאימים היא להגן על המידע האישי שנאסף מפני גישה בלתי מורשית של גורמים חיצוניים כגון האקרים או חברות מתחרות, שימוש לרעה במידע שהוזן או גניבת המידע ושימוש בו. כיום, ישנן חברות מקצועיות ששההתמחות שלהן היא יצירת אמצעי אבטחה מתאימים לצורך שמירת המידע שבארגון. חברות אלה מבצעות סריקות מקיפות לצורך איתור פרצות אבטחה, טיפול באותן פרצות ושמירה באופן שוטף על רמת האבטחה של האתר. שימו לב שבעבר היו מספר פריצות לאתרים גדולים שכללו גניבת המידע של המשתמשים שכולל מספרי כרטיסי אשראי, תעודות זהות וכו', ולכן ההמלצה היא לוודא מול יועץ אבטחה מנוסה מהי רמת האבטחה הקיימת באתר או במערכת שלכם לצורך צמצום הפערים והסיכון הקיים בעידן של היום.
- הכשרה מלאה של עובדי הארגון וביצוע בדיקות תקופתיות: עובדי הארגון החשופים או המנהלים את המידע צריכים להיות מודעים לחוק הגנת הפרטיות ולהנחיות הברורות של הארגון כולו בנושא זה. יש לבצע הכשרות תקופתיות לעובדי הארגון הכוללות עדכון בנושאי אבטחה או בשינויים שונים שבוצעו בחוק הגנת הפרטיות. כל הפלטפורמות הדיגיטליות הן פלטפורמות המתעדכנות/משתנות בקצב מהיר במיוחד ולכן חשוב להיות חשוף לכל השינויים הטכנולוגיים והחוקיים בנושא זה. ארגונים שמחזיקים מאגרי מידע משמעותיים נעזרים לרוב בליווי מקצועי של ממונה הגנת פרטיות (DPO), שמרכז את ההכשרות, הנהלים והבדיקות התקופתיות.
מהם היתרונות העיקריים בניהול נכון של מדיניות הפרטיות?
- שיפור אמון הציבור בחברה או בארגון המנהלים את אתר האינטרנט: ניהול הפרטיות בצורה נכונה יכול לשפר את אמון הציבור בארגון. בעת שמשתמשים מאמינים במדיניות של הארגון, הם מרגישים בטוחים יותר להזין את המידע שלהם בצורה נכונה ומלאה.
- הגנה על המוניטין העסקי: בעת שאתם שומרים על מדיניות פרטיות מעודכנת שכוללת שמירת המידע בצורה תקינה ומאובטחת, אתם מסייעים להגן על המוניטין העסקי לאורך זמן.
- הקטנת הסיכון מבחינה משפטית / מנהלית: עמידה בחוק הגנת הפרטיות ושמירה על מדיניות פרטיות בארגון שלכם, יכולה לסייע בצורה משמעותית בצמצום הסיכון לתביעות משפטיות או עיצומים מנהליים מצד המדינה.
- חיזוק אמינות האתר גם בעיני מנועי החיפוש: מדיניות פרטיות מעודכנת, שמותאמת לאתר ולמידע הנאסף בו, היא חלק מאותות האמינות של האתר. כשאתם מעדכנים באופן שוטף את רמת האבטחה ואת מסמך מדיניות הפרטיות, אתם משדרים שקיפות ואמינות לגולשים ולמנועי החיפוש כאחד.
לסיכום המדריך, ניהול הפרטיות בצורה נכונה ומלאה הינו חיוני לכל עסק שפועל או מקבל מידע באמצעות אתר אינטרנט. בעת שאתם מקפידים על הכללים המפורטים בחוק הגנת הפרטיות תוך כדי הטמעת שיטות עבודה מתאימות ומעודכנות, אתם שומרים על המידע של המשתמשים שלכם, משפרים את המוניטין העסקי ומקטינים את הסיכון בצורה משמעותית מחשיפה משפטית או מנהלית.
מידע זה הינו מידע כללי בלבד ואינו מהווה ייעוץ משפטי או עצה משפטית. בכל נושא משפטי יש להתייעץ עם עורך דין.
שאלות ותשובות בנושא מדיניות פרטיות לאתר אינטרנט
מהי מדיניות פרטיות לאתר אינטרנט ולמה היא חובה?
האם מספיק להעתיק מדיניות פרטיות מאתר אחר?
מה השתנה עם תיקון 13 בהקשר של אתר אינטרנט?
איפה חובה לפרסם את מדיניות הפרטיות באתר?
מי צריך לנסח או לאשר את מדיניות הפרטיות?
מעוניינים לקבל פרטים נוספים אודות מדיניות פרטיות לאתר אינטרנט?
השאירו את הפרטים שלכם ואנו נדאג לחזור אליכם עם כל המידע המקצועי והמעודכן ביותר
רוצים את המידע כאן ועכשיו? התקשרו: 074-7817111