תיקון 13 לחוק הגנת הפרטיות: מה האתר שלכם חייב לשנות

תיקון 13 לחוק הגנת הפרטיות: מדריך טכני לאתר שלכם

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14.8.2025, והוא שינה את כללי המשחק לכל אתר שאוסף מידע על גולשים. טופס יצירת קשר, הרשמה לניוזלטר, פיקסל של פייסבוק או Google Analytics: כל אלה הם איסוף מידע אישי. במקביל, ב-25.2.2026 פרסמה הרשות להגנת הפרטיות גילוי דעת סופי בנושא הסכמה, שקובע איך היא תפרש את החוק כשהיא מטילה עיצומים.

החדשות הטובות: רוב הדרישות הן עניין של הגדרה נכונה באתר ובמערכות, שעושים פעם אחת. הנה מה שצריך לבדוק.

מה השתנה בתיקון 13

1. הגדרה רחבה יותר של ״מידע אישי״: כל מידע שמאפשר לזהות אדם, גם בעקיפין.
2. סמכות לרשות להגנת הפרטיות להטיל עיצומים כספיים משמעותיים, שמחושבים בין היתר לפי היקף המאגר וסוג המידע.
3. אפשרות לתבוע פיצוי של עד 10,000 ₪ בלי להוכיח נזק.
4. חובת יידוע מורחבת בכל פעם שמבקשים מאדם מידע.
5. חובת מינוי ממונה הגנת פרטיות לגופים מסוימים, למשל גופים שעוסקים בניטור שיטתי או בעיבוד מידע רגיש בהיקף ניכר.

מעקב לפני הסכמה: עוגיות ופיקסלים

חשוב לדייק: בחוק עצמו אין סעיף מפורש על עוגיות, ואין כלל גורף שמחייב באנר הסכמה. אבל לפי גילוי הדעת של הרשות, הסכמה לאיסוף מידע שלא נדרש לשירות, לפרופיילינג ולדיוור ישיר צריכה להיות אקטיבית ונפרדת (Opt-in). שתיקה או המשך גלישה לא נחשבים תמיד הסכמה. הרשות גם השאירה פתוחה את השאלה אם טרקרים פרסומיים של צד שלישי עומדים בתנאים של הסכמה מכללא.

המשמעות המעשית: הדרך הבטוחה היא לא לטעון פיקסלים ועוגיות שיווקיות לפני שהגולש הסכים. ככה עושים את זה טכנית:

1. מפרידים בין עוגיות חיוניות (התחברות, סל קניות) לבין עוגיות אנליטיקס ושיווק.
2. מתקינים באנר הסכמה עם אפשרות אמיתית לסרב, לא רק כפתור ״אישור״.
3. חוסמים את טעינת הפיקסלים (Meta, Google Ads, TikTok וכו׳) עד שמתקבלת הסכמה. באנר שמופיע בזמן שהסקריפטים כבר רצים ברקע לא עוזר.
4. מחברים את הבאנר ל-Google Consent Mode ול-Google Tag Manager, כך שהתגים יופעלו לפי הבחירה של הגולש.
5. שומרים תיעוד של ההסכמה: מתי, לאיזה סוג עוגיות, ובאיזו גרסה של הבאנר.
6. מאפשרים לגולש לשנות את הבחירה שלו בכל רגע, למשל דרך קישור בפוטר.

טפסים באתר: חובת יידוע

בכל טופס שאוסף מידע אישי צריך להופיע, ליד הטופס עצמו, הסבר קצר שכולל:

1. האם חובה למסור את המידע, או שזה לפי רצון הגולש, ומה יקרה אם לא ימסור.
2. לאיזו מטרה המידע נאסף.
3. מי אוסף את המידע, ואיך יוצרים איתו קשר.
4. למי המידע יימסר, למשל מערכת CRM או ספק דיוור. מספיק לציין את סוג הגורם.
5. שלגולש יש זכות לעיין במידע ולבקש לתקן אותו.

עוד כמה כללים לטפסים:

1. אוספים רק שדות שבאמת צריך. אם לא צריך תאריך לידה, לא שואלים.
2. הסכמה לדיוור שיווקי היא תיבה נפרדת, לא מסומנת מראש. זה מתחייב גם מחוק התקשורת (״חוק הספאם״).
3. לא מתנים את השירות בהסכמה לאיסוף מידע שלא נדרש לו.
4. מנסחים בצורה מפורטת. ״בין היתר״ ו״וכיו״ב״ לא עומדים בדרישת ההסכמה מדעת.

שמירת מידע ואבטחה

כל ליד שנכנס מהאתר נשמר איפשהו: במייל, ב-CRM, בגוגל שיטס או במסד נתונים. כאן נמצא רוב הסיכון:

1. ממפים לאן כל טופס שולח מידע, כולל אוטומציות ב-Make, Zapier או n8n.
2. מגבילים הרשאות: רק מי שצריך גישה למידע מקבל אותה.
3. קובעים כמה זמן שומרים כל סוג מידע, ומוחקים אוטומטית מה שכבר לא נדרש. תקנות אבטחת המידע מחייבות לבדוק מדי פעם שהמידע במאגר לא עולה על מה שנדרש למטרה.
4. לא משאירים קבצי ייצוא של לידים בתיבות מייל או בתיקיות משותפות.
5. משתמשים ב-HTTPS ובאימות דו-שלבי בכל המערכות שמחזיקות מידע.
6. מכינים נוהל לאירוע אבטחה. אירוע חמור צריך לדווח לרשות מיד.

מדיניות פרטיות שמתאימה למציאות

מדיניות פרטיות שהועתקה מאתר אחר לא מגינה עליכם. היא צריכה לתאר מה האתר שלכם עושה בפועל:

1. אילו סוגי מידע נאספים: טפסים, עוגיות, פיקסלים וכלי אנליטיקס.
2. לאילו מטרות משתמשים בכל סוג מידע.
3. אילו צדדים שלישיים מקבלים מידע, לפי סוג: פרסום, דיוור, CRM, אחסון.
4. כמה זמן המידע נשמר.
5. איך מבקשים לעיין במידע, לתקן אותו או לחזור בו מהסכמה.
6. פרטי יצירת קשר בנושאי פרטיות.

כשמוסיפים לאתר כלי חדש, כמו צ׳אטבוט, פיקסל או אינטגרציה, מעדכנים גם את המדיניות.

צ׳קליסט מהיר לאתר שלכם

1. באנר עוגיות עם אפשרות סירוב אמיתית.
2. פיקסלים ותגים שיווקיים נטענים רק אחרי הסכמה.
3. תיעוד של כל הסכמה.
4. הודעת יידוע ליד כל טופס.
5. תיבת הסכמה נפרדת ולא מסומנת מראש לדיוור.
6. מיפוי של כל המקומות שהמידע מגיע אליהם.
7. מדיניות שמירה ומחיקה אוטומטית של מידע ישן.
8. מדיניות פרטיות מעודכנת שמשקפת את האתר בפועל.

שאלות נפוצות

מתי נכנס תיקון 13 לתוקף?

ב-14.8.2025.

האם חייבים באנר עוגיות בישראל?

החוק לא מחייב באנר במפורש. אבל לפי עמדת הרשות, איסוף שלא נדרש לשירות ודיוור ישיר דורשים הסכמה אקטיבית, ולכן באנר שחוסם פיקסלים עד להסכמה הוא הדרך הבטוחה.

האם תיקון 13 חל גם על עסק קטן?

כן. חובת היידוע וחובות האבטחה חלות על כל מי שאוסף מידע אישי, גם בטופס פשוט באתר.

מה הסיכון אם לא עומדים בחוק?

עיצומים כספיים מהרשות להגנת הפרטיות ותביעות פיצוי של עד 10,000 ₪ בלי הוכחת נזק.

רוצים אתר שאוסף מידע בצורה נכונה?

אני בונה אתרים, טפסים ואוטומציות שמחוברים ל-CRM, כולל באנר הסכמה שחוסם פיקסלים, Consent Mode, תיעוד הסכמות ומחיקה אוטומטית של מידע ישן. דברו איתי ונבנה את זה נכון מההתחלה.

המידע במאמר כללי ואינו מהווה ייעוץ משפטי. לניסוח מדיניות פרטיות ולבדיקת החובות הספציפיות לעסק שלכם, היוועצו בעורך דין.