תיקון 13 לאתרים כבר לא נושא שאפשר לדחות. אם באתר שלכם יש טפסים, מערכת דיוור, אזור אישי, סליקה, אנליטיקה, פיקסלים, קוקיז, צ'אט או חיבור לספקים חיצוניים, הגיע הזמן לבדוק שהאתר באמת ערוך לדרישות המעודכנות של חוק הגנת הפרטיות.
הרבה בעלי אתרים חושבים שהנושא הזה שייך רק לחברות גדולות. בפועל, גם אתר עסקי רגיל יכול לאסוף ולעבד מידע אישי על גולשים, לקוחות ומתעניינים. לפעמים זה מידע בסיסי כמו שם, אימייל וטלפון, ולפעמים גם מידע רגיש יותר, תלוי באופי הפעילות של העסק.
הבעיה היא שלא מספיק "לשים מדיניות פרטיות באתר". כדי להיערך נכון צריך לבדוק מה האתר אוסף בפועל, מה אתם מציגים לגולשים, למי יש הרשאת גישה למידע הזה, ואיך העסק שלכם ערוך להתמודד עם פניות, שינויים וסיכונים.
בפוסט הזה תמצאו את הצעדים הראשונים שבעלי אתרים צריכים לבצע כדי להיערך נכון לפי הדרישות המעודכנות של חוק הגנת הפרטיות.
למה תיקון 13 חשוב גם לבעלי אתרים קטנים
גם אתר קטן יכול לאסוף מידע אישי, ולעיתים גם מידע רגיש לפי אופי הפעילות. כלומר, השאלה היא לא רק אם יש לכם מסמך באתר, אלא אם יש התאמה בין מה שהעסק עושה בפועל לבין מה שהאתר מציג ומה שהחוק דורש. ובמקרה כזה הפתרון אינו רק "מסמך מדיניות פרטיות", אלא בהתאמה בין הפעילות בפועל לבין מה שהאתר מציג ומה שהעסק באמת עושה עם המידע.
הנה הפעולות המרכזיות שאתם, כבעלי אתרים, צריכים לבצע כדי להבטיח את ציות האתר שלכם לחוק:
1. להתחיל ממיפוי מידע אמיתי של האתר
זהו צעד יסודי וקריטי. עליכם להבין מה באמת קורה באתר, ולא להסתמך על הנחות.
כדאי לבדוק:
- אילו טפסים פעילים באתר
- אילו פרטים גולשים מוסרים באופן יזום
- אילו נתונים נאספים אוטומטית בזמן גלישה
- אילו מערכות מקבלות את המידע
- מי בעסק או מחוץ לו ניגש אליו
- כמה זמן המידע נשמר
צריך לעבור בפועל על טפסים, אוטומציות, מערכות דיוור, חשבונות פרסום, אנליטיקה, סליקה, צ'אט, CRM ותוספים פעילים, כאשר הכלל המנחה הוא פשוט: לא לאסוף מידע "כי אולי יום אחד נצטרך". שומרים ואוספים רק מה שבאמת נחוץ.
המלצה עיקרית: צמצמו את איסוף המידע למינימום ההכרחי בלבד ("Data Minimization") עבור כל מטרה מוגדרת. אל תאספו מידע שאינו נחוץ.
2. מדיניות פרטיות – לא מסמך כללי, אלא גילוי אמיתי על מה שקורה באתר
חובת הגילוי אינה עניין טכני בלבד. לפי החוק אסור לפגוע בפרטיותו של אדם ללא הסכמתו. מדיניות הפרטיות היא לב ליבו של השקיפות מול הגולשים כדי לקבל מהם את הסכמתם לפגיעה בפרטיותם, ובכך להכשיר את השימוש במידע האישי שלהם למטרות המוצהרות של העסק. בעניין זה כדאי להבין גם את עמדת הרשות להגנת הפרטיות בנושא חובת יידוע.
מדיניות פרטיות טובה לא נועדה רק "לכסות משפטית", היא נועדה להסביר לגולש בצורה ברורה:
- מי אוסף את המידע: הגדירו במפורש מי אתם, כבעלי האתר, ומה תפקידכם.
- איזה מידע נאסף ומהן מטרות עיבוד המידע: ציינו במפורש לכל סוג מידע אישי שנאסף, מהי מטרת האיסוף והעיבוד.
- פירוט העברה לצדדים שלישיים: ציינו את כל הגורמים החיצוניים (ספקי אחסון, מערכות CRM, אנליטיקה, סליקה, דיוור, משלוחים ועוד) אליהם מועבר מידע של הגולשים שלכם.
- זכויות הגולשים: פרטו את כל זכויות הגולשים על פי החוק וכיצד לממש אותן בפועל מולכם.
- עמידה בחובת ההודעה (סעיף 11): וודאו שמדיניות הפרטיות מספקת את כל המידע הנדרש לגולש לפני איסוף המידע אודותיו.
אם באתר שלכם מופיע נוסח ישן, כללי, או כזה שלא משקף את הספקים, הטפסים, כלי המדידה והשימושים האמיתיים באתר – זה לא מספיק.
מדיניות הפרטיות צריכה לשקף את המציאות בפועל, ולא להישאר מסמך כללי שהודבק פעם ונשכח. לכן, בכל פעם שמשתנה משהו באתר – טופס חדש, כלי חדש, ספק חדש, אוטומציה חדשה – צריך לבדוק אם גם המסמכים צריכים להתעדכן.
כדאי להכיר את המערכת שלנו להפקת מדיניות פרטיות לאתר, כדי להבין איך נכון להתנהל עם מסמך כזה.
המלצה עיקרית: ודאו שמדיניות הפרטיות "חיה ונושמת" ומתעדכנת באופן שוטף עם כל שינוי באופן איסוף או עיבוד המידע באתר שלכם.
3. הסכמה, טפסים וקוקיז – לבדוק מה באמת קורה לפני הלחיצה
אחת הטעויות הנפוצות ביותר היא לחשוב שתיבת סימון אחת פותרת הכול.
עליכם לדרוש ולתעד הסכמה אקטיבית, מודעת ומיודעת מהגולשים לכל פעולת איסוף מידע הדורשת הסכמה.
- טפסי יצירת קשר והרשמה: וודאו שקיימת תיבת סימון (checkbox) מפורשת ליד הכפתור "שלח" או "הירשם", המציינת שהגולש קרא והסכים למדיניות הפרטיות ו/או לתנאי שימוש ספציפיים. אסור שהתיבה תהיה מסומנת מראש.
- באנר קוקיז: הטמיעו באנר שמיידע את גולשי האתר אודות סוגי הקוקיז שנאספים בעת הגלישה (לדוגמה: אנליטיקה, פרסום), ואף הפעילו מנגנון לשמירת העדפות הקוקיז של כל גולש. אם הפעלתם מנגנון כזה – שימו לב שאסור שייטענו קוקיז באתר לפני קבלת ההסכמה.
שימו לב, לא מספיק שיש checkbox. צריך לוודא שההסכמה באמת ניתנת בצורה מודעת, ברורה ובהקשר הנכון.
בפועל צריך לבדוק:
- האם הגולש מקבל הסבר ברור לפני שהוא מוסר מידע
- האם נוסח ההסכמה ברור וקריא
- האם התיבה אינה מסומנת מראש
- האם יש הפרדה בין הסכמה לשירות לבין הסכמה לשיווק
- האם מנגנון הקוקיז באתר בנוי נכון
- האם כלים שאינם הכרחיים נטענים באופן שתואם למבנה ההסכמות באתר
מי שרוצה להעמיק בגישה העדכנית של הרשות יכול לעיין גם בגילוי הדעת של הרשות להגנת הפרטיות בנושא הסכמה.
המלצה עיקרית: ודאו שכל הסכמה מתועדת (מה היתה ההסכמה, מתי ניתנה, מאיזה IP וכדומה), כדי שתוכלו להוכיח אותה בעת הצורך.
4. זכויות נושאי מידע – להיות מוכנים לפנייה ולא לאלתר
עסק שאוסף מידע צריך להיות ערוך גם לרגע שבו אדם פונה ושואל: איזה מידע שמור עליי, איך אפשר לעדכן מידע שגוי, למי המידע מועבר, איך יוצרים קשר בנושא פרטיות.
לכן כדאי שכבר עכשיו יהיה לכם:
- ערוץ ייעודי לפניות: קבעו כתובת אימייל, טופס יצירת קשר ייעודי או פאנל מנהל ייעודי באתר שיאפשר לגולשים להגיש בקשות למימוש זכויותיהם.
- ניהול ומעקב אחר בקשות: חייבת להיות לכם מערכת פנימית (גם אם ידנית בהתחלה) שתאפשר לכם לתעד, לנהל ולעקוב אחר הטיפול בכל בקשה, ולספק מענה בתוך פרק הזמן הקבוע בחוק.
- הבנה איפה המידע נמצא בכל המערכות שלכם
עסק שלא יודע לאתר את המידע שלו, יתקשה מאוד להשיב נכון ובזמן כשפנייה כזו מגיעה.
המלצה עיקרית: ודאו שאתם מסוגלים לאתר ולתקן את המידע של גולש ספציפי בכל המערכות והשירותים החיצוניים אליהם אתם מעבירים מידע.
5. ספקים חיצוניים – גם מה שמאחורי הקלעים הוא חלק מההיערכות
ברוב האתרים, המידע לא נשאר רק "בתוך האתר". הוא עובר, נשמר או נגיש גם לגורמים נוספים, כמו: חברת אחסון אתרים, מערכת דיוור, מערכת סליקה, שירותי אנליטיקה וניתוח נתונים, CRM, מפתח האתר, ספק אוטומציות, שירותי תמיכה ותחזוקה.
לכן, חלק חשוב מההיערכות הוא להבין מי בדיוק נוגע במידע האישי של הגולשים שלכם, באילו תנאים, ולאיזה צורך. חשוב למפות את שרשרת הספקים ולהבין היכן המידע עובר או למי הוא נגיש.
בפוסט נפרד ניכנס לעומק לשאלת הסכמי עיבוד מידע, חלוקת אחריות, ובקרה שוטפת על ספקים.
ברמה המעשית, כדאי כבר עכשיו להתחיל למפות את שרשרת הספקים, ובשלב הבא להעמיק גם בהנחיית הרשות להגנת הפרטיות על שימוש בשירותי מיקור חוץ.
6. צמצום מידע ושמירה נכונה – לא לאסוף ולא לשמור יותר ממה שצריך
אחד האזורים שהכי קל להזניח הוא שמירת מידע לאורך זמן.
כדאי לעצור ולבדוק:
- האם כל שדה בטופס באמת נחוץ
- האם נשמר מידע כפול בכמה מערכות
- האם יש לידים ישנים שכבר לא צריך
- האם נשמרים exports, קבצים או דוחות בלי סיבה אמיתית
- האם יש טפסים ישנים שעדיין פעילים בלי צורך
- האם נשמרים גיבויים או קבצי עבודה שלא ברור למה הם עדיין קיימים
ככל שהמידע אצלכם יהיה מצומצם, מסודר ורלוונטי יותר, כך גם הסיכון קטן יותר.
היערכות לתיקון 13 היא גם מהלך עסקי חכם
היערכות לתיקון 13 לאתרים היא לא רק עניין משפטי. היא גם עוזרת לכם להבין טוב יותר את הפעילות הדיגיטלית של העסק, לצמצם טעויות וחשיפות, לעבוד בצורה מסודרת יותר מול ספקים, לייצר יותר אמון מול לקוחות וגולשים ולהימנע מהתנהלות לחוצה כשצצה בעיה.
במילים פשוטות, אתר שמטפל נכון בפרטיות הוא אתר שמתנהל בצורה יותר אחראית, יותר מקצועית ויותר בטוחה.
לסיכום: היערכות לתיקון 13 מתחילה באתר עצמו
היערכות לתיקון 13 לא מתחילה במסמך אחד, אלא בבדיקה אמיתית של מה האתר אוסף, מה הוא מציג, מי נוגע במידע, ואיך העסק ערוך להגיב. זה הבסיס. אחר כך מגיעים גם הנושאים המתקדמים יותר – הסכמה, ספקים, בקרה, תיעוד ושגרות עבודה.
אם יש לכם אתר פעיל, זה הזמן לבדוק שלא נשארתם עם מסמכים ישנים, טפסים לא מדויקים או מנגנונים שלא באמת מתאימים למה שקורה אצלכם בפועל.
עם E-LEGAL, המערכת אותה ייסדה עו"ד אביטל שיפמן, אפשר להפיק מסמכים משפטיים מותאמים לאתר, לעדכן אותם באופן שוטף, ולפעול בצורה מסודרת יותר מול הדרישות המשתנות של עולם הפרטיות.
ברוב המקרים, ההיערכות לא מסתיימת במדיניות פרטיות בלבד. הגנה משפטית חזקה בדיגיטל משתלבת גם עם תקנון אתר ועם הצהרת נגישות כחלק ממעטפת משפטית מסודרת לאתר.
