תביעת פרטיות נגד אתר: 5 דברים שהתובע בודק באתר שלכם קודם

לאחרונה מגיעים אליי הרבה בעלי אתרים ובעלי עסקים שקיבלו פנייה שטוענת שהאתר שלהם לא עומד בדרישות חוק הגנת הפרטיות. לפעמים זה מכתב דרישה, לפעמים זו כבר הודעה על כוונה להגיש תובענה ייצוגית. בדרך כלל הפנייה מגיעה מעורך דין שמייצג מישהו שטוען שהפרטיות שלו נפגעה באתר.

אחרי שעברתי על הרבה פניות כאלה, החלטתי לכתוב מאמר מסודר: במה התובעים מתמקדים, מה עורכי הדין מחפשים אצלכם באתר, ואיך אתם מקטינים את החשיפה לדרישה כספית, לפיצוי או להליך משפטי. מדובר בכמה כללים פשוטים, אבל חייבים להכיר אותם.

בקצרה: תובע או עורך דין שבודק אתר בטענה לפגיעה בפרטיות מתחיל מחמישה דברים שרואים מבחוץ: כמה פרטים הטופס אוסף, אם משתמשים במידע רק למטרה שלשמה נאסף, מי עומד מאחורי הבוט או הצ'אט, אם יש באנר עוגיות לכלים כמו Analytics ו-Clarity, ואם מדיניות הפרטיות מותאמת לאתר. מי שמסדר את חמשתם מקטין משמעותית את החשיפה לתביעת פרטיות.

למה דווקא האתר הוא המקום הכי חשוף

המאמר מתמקד באתר האינטרנט בלבד, ולא במאגרי המידע ובכל מה שאתם שומרים ומנתחים בתוך הארגון. הסיבה פשוטה: האתר פתוח לכולם. כל אחד יכול להיכנס, למלא טופס, לראות אילו כלים רצים ברקע ולקרוא את מדיניות הפרטיות. לא צריך מומחיות כדי לבדוק את זה, ולכן שם החשיפה לתלונות היא הגבוהה ביותר.

בעולם הפרטיות באתר יש שני סוגים של איסוף מידע:

• איסוף אקטיבי: המשתמש ממלא בעצמו פרטים, בטופס או בצ'אט. הוא יודע שהוא שולח את הפרטים לעסק ומצפה שיחזרו אליו.
• איסוף אוטומטי: כלים כמו Google Analytics, Microsoft Clarity ופיקסלים של פרסום, שאוספים מידע על הגולשים בלי שהם מקלידים דבר.

חמשת הדברים שהתובעים בודקים יושבים על שני הסוגים האלה.

1. טופס יצירת קשר: רק מה שבאמת צריך

כמעט בכל אתר, תדמיתי או מכירתי, יש טופס שבו המשתמש ממלא פרטים. ברגע שאתם שומרים את הפרטים האלה, במייל, במערכת CRM או באתר עצמו, כדי לחזור אל הפונה או לשלוח לו מידע בעתיד, יש לכם מאגר מידע לכל דבר. אחת הטענות המרכזיות של המתלוננים היא שהפרטיות שלהם נפגעה ברגע שהם מילאו את הטופס.

לכן הדבר הראשון שבודקים הוא איזה מידע הטופס אוסף. בדרך כלל מספיקים שם, טלפון ואולי כתובת מייל. אני רואה הרבה חברות עם טפסים ארוכים מאוד: כמה עובדים יש בארגון, שדות פתוחים לכל דבר, ואפילו מספר תעודת זהות, שזה כבר בעייתי לגמרי.

ככל שאתם מאפשרים למלא יותר שדות, אתם חושפים את עצמכם ליותר מידע, ולכן גם ליותר סוגיות משפטיות אם המידע הזה ידלוף או יגיע לאנשים שלא מורשים לראות אותו.

ההמלצה הראשונה, ותשימו אותה מודגשת: תבנו טופס עם מידע בסיסי. אל תבקשו מהמשתמש למלא הרבה פרטים. אפשר להוסיף שדה של מטרת הפנייה, אבל קחו בחשבון שגולש עלול לכתוב שם מידע אישי ואפילו מידע רגיש.

אם אתם חברת ביטוח, סוכנות ביטוח או עסק שחייב לאסוף פרטים מזהים יותר, חלה עליכם רגולציה מחמירה יותר וכל מקרה לגופו. המאמר הזה נועד לעשות סדר לעסקים רגילים שאוספים מידע דרך טופס פשוט.

2. מטרת האיסוף: אספתם לשירות, אל תשלחו מבצעים

הנושא השני הוא בשביל מה אספתם את המידע. אם הגולש השאיר פרטים כדי לקבל שירות מסוים, מותר לכם לפנות אליו רק בנוגע לאותו שירות.

אתם לא יכולים לאסוף פרטים של לקוח לגבי שירות אחד, ומחר לשלוח לו ניוזלטר עם מבצע חדש מהאתר. יש הרבה חברות שעושות קמפיין על מוצר אחד, מקבלות את הפרטים של הלקוח, ואז מדברות איתו גם על מוצרים אחרים. זה בעייתי מאוד מבחינת פרטיות.

הכלל הוא פשוט: המידע משמש רק למטרה שלשמה הוא נאסף. לא שירותים אחרים, לא שירותים חלופיים, ולא פרסום או שיווק.

3. בוט וצ'אט באתר: יש מישהו באמצע

הנושא השלישי הוא בוטים, צ'אטים ורכיבי פנייה מהירה שבהם הגולש מקליד מידע. הבעיה היא שהכלים האלה מופעלים בדרך כלל על ידי חברה חיצונית. הפרטים שהגולש מזין עוברים דרך השרתים והמערכת של אותה חברה, ורק אז מגיעים אליכם.

כלומר, יש מישהו באמצע שמקבל את המידע, יכול לנתח אותו, להעביר אותו הלאה ואפילו להשתמש בו לצרכים לא חוקיים.

אם החלטתם בכל זאת להוסיף בוט או צ'אט, אתם חייבים לוודא שהחברה שמספקת אותו עומדת בתקנים וברגולציה המחמירה ביותר, ושהמידע עובר אצלה בצורה מסודרת. חשוב מאוד לחתום איתה על הסכם DPA לעיבוד מידע.

4. Google Analytics, Clarity ופיקסלים: חייבים באנר עוגיות

עכשיו לאיסוף האוטומטי. כמעט אין היום אתר בלי Google Analytics, ויותר ויותר חברות מוסיפות את Microsoft Clarity, שמייצר מפות חום ומראה איפה הגולש עבר, איפה התעכב ואיפה נטש. גם פיקסלים של פרסום, שמסמנים את הגולשים שנכנסו לאתר, הם איסוף מידע באמצעים אוטומטיים.

אם התקנתם כלים כאלה, אתם חייבים להציג באנר עוגיות: הפופ-אפ, המגירה או הפס בתחתית העמוד שמסביר לגולש שמתבצע באתר איסוף מידע אוטומטי ומבקש את האישור שלו. מי שלא מסכים יכול לעזוב את האתר.

אגלה לכם סוד: כמעט כל האתרים היום מבצעים איסוף כזה. לכן מבחינתי הכלל הוא להוסיף באנר עוגיות, בהתאם למטרות האתר ולכלים שמותקנים בו בפועל. על סוגי העוגיות ועל מתי צריך הסכמה הרחבתי במאמר עוגיות באתר אינטרנט.

5. מדיניות פרטיות: מותאמת לאתר שלכם, לא תבנית

הנושא האחרון, ואולי החשוב ביותר, הוא מדיניות הפרטיות. בין אם יצרתם אותה עם AI, קיבלתם אותה ממישהו או לקחתם תבנית כללית, המסמך חייב להיות מותאם לאתר שלכם:

• כל המידע שאתם אוספים בטפסים מופיע בו.
• כל הפיקסלים והכלים שמותקנים באתר מופיעים בו.
• כל חברה חיצונית שהמידע עובר דרכה, כמו ספק הבוט, מופיעה בו.

מדיניות הפרטיות היא לב ליבו של עולם הגנת הפרטיות באתר. המטרה שלה היא להראות לגולש מה אתם עושים עם המידע שאתם אוספים.

אנחנו רואים הרבה מסמכי מדיניות שנוצרו בכלי AI והועתקו לאתר כמו שהם. ואז מגיע מכתב דרישה, ולך תוכיח שהמסמך תקין. בפועל הוא גם לא תקין, כי אין בו הפרטים האמיתיים של האתר. אל תסמכו על כלים כאלה שיכתבו לכם את המסמך.

למה דווקא חמשת הנושאים האלה

אלה הדברים שהמתלוננים והתובעים מחפשים, משתי סיבות. הראשונה היא שהכי קל לבדוק אותם מבחוץ, בלי שום מומחיות. השנייה היא שאלה דרישות בסיסיות שאמורות להתקיים בכל אתר. מי שמיישם את חמשתם מקטין בצורה משמעותית את הסיכון שמישהו יפנה אליו בטענה שפגע בפרטיות שלו.

צ'קליסט: מה לבדוק באתר שלכם עוד היום

10 סעיפים לבדיקה מהירה. כל סעיף שתבצעו אצלכם באתר יקטין את החשיפה לתביעה משפטית.

• הטופס מבקש רק שם, טלפון ומייל, בלי תעודת זהות ובלי שדות מיותרים.
• כל אחד מהשדות בטופס נחוץ באמת כדי לחזור אל הפונה.
• פונים ללקוח רק בנוגע לשירות שבגללו השאיר פרטים, בלי ניוזלטר או מבצעים בלי הסכמה.
• לכל בוט, צ'אט או רכיב פנייה מהירה יש ספק שאתם יודעים מי הוא ואיפה המידע עובר.
• נחתם הסכם DPA עם כל ספק חיצוני שמקבל מידע מהאתר.
• יש רשימה של כל הכלים והפיקסלים שמותקנים באתר (Analytics, Clarity, פיקסלים של פרסום).
• מוצג באנר עוגיות שמסביר על האיסוף האוטומטי ומבקש אישור.
• מדיניות הפרטיות מפרטת את השדות בטפסים, את הכלים באתר ואת הספקים החיצוניים.
• מדיניות הפרטיות לא הועתקה מתבנית או נוצרה ב-AI בלי התאמה.
• מעדכנים את המדיניות בכל פעם שמוסיפים טופס, כלי או ספק חדש.

אם אתם לא בטוחים שהאתר שלכם עומד בכל הסעיפים, כדאי לבדוק את זה עכשיו, לפני שמישהו אחר יבדוק בשבילכם.