• חובת שקיפות והיידוע (Privacy Notice): התיקון מרחיב מאוד את חובת היידוע בעת איסוף מידע. בכל פעם שהאתר אוסף מידע אישי (למשל מילוי טופס או אפילו עוגיות), יש ליידע את האדם בנקודת האיסוף ולהציג לו מידע ממצה בשפה ברורה. בפרט, יש לציין: מהי מטרת איסוף המידע, האם מסירתו חובה או רשות, פרטי בעל המאגר (העסק), למי המידע עשוי להימסר (למשל פייסבוק/גוגל), מה יקרה אם לא יימסר המידע (למשל שלא נוכל לחזור לפנייה), וכן ליידע על זכויותיו – הזכות לעיין במידע עליו ולתקנו. במילים פשוטות: על בעל האתר "לספר ללקוח" בשקיפות איזה מידע נאסף ולמה, עוד לפני או בעת איסוף המידע. אי-עמידה בחובת היידוע עלולה לגרור קנס מנהלי של 50 ש"ח לכל אדם שהמידע שלו נאסף ללא גילוי נאות (100 ש"ח לאדם אם המידע רגיש) – סכומים המצטברים במהירות כאשר טופס באתר משמש אנשים רבים.

   

• הסכמה מדעת בטפסים (Opt-In): מעבר למתן מידע, החוק כרוך בקבלת הסכמת הגולש לעיבוד המידע שלו, כשזה לא נדרש על פי חוק. פירוש הדבר שבכל טופס יצירת קשר, הרשמה לניוזלטר וכדומה, על העסק לקבל אישור מפורש מהגולש לשימוש במידע האישי למטרות שצוינו. ההנחיה הפרקטית היא להוסיף בכל טופס באתר תיבת סימון (Checkbox) שהגולש צריך לסמן בעצמו (לא מסומנת כברירת מחדל), בליווי טקסט שמסביר כיצד ייעשה שימוש בפרטיו וקישור למדיניות הפרטיות. לדוגמה לטקסט הסכמה בטופס יצירת קשר: "☐ אני מאשר/ת כי הפרטים שמסרתי ישמשו לצורך טיפול בפנייתי, יצירת קשר איתי, ומתן מענה לשאלותיי, בהתאם למדיניות הפרטיות של האתר. ידוע לי כי אם לא אתן את הסכמתי, לא ניתן יהיה לטפל בפנייתי." טקסט כזה, בנוסח משפטי-ברור, משלב את דרישת החוק (הסכמה מודעת) עם הסבר בגובה העיניים לגולש על מה הוא מסכים. ללא סימון תיבה זו – אין לעסק לגיטימציה להשתמש במידע שהגולש מסר, למעט אם קיים יסוד חוקי אחר.

   

• שימוש בעוגיות (Cookies) ופיקסלים לצרכי שיווק: לפי התיקון, נתוני גלישה וטכנולוגיות מעקב דיגיטליות נחשבים מעתה למידע אישי לכל דבר. עם זאת, נכון לאוגוסט 2025, אין חובה בישראל להציג "Pop-up" ניהול עוגיות מתקדם כמקובל באירופה. במקום זאת, נדרשת לפחות הודעת באנר פשוטה באתר המיידעת כי נעשה שימוש בכלי איסוף מידע (כגון Cookies, פיקסלים וכו') ושימוש הגולש באתר מהווה הסכמה לכך, עם קישור למדיניות הפרטיות המלאה. מומלץ לנסח באנר ברור המתאר בשפה ידידותית את מטרות השימוש בעוגיות: למשל "באתר זה נעשה שימוש בטכנולוגיות איסוף מידע כגון Cookies (לרבות על-ידי צדדים שלישיים) כדי לספק לך חוויית גלישה טובה, ולצורכי סטטיסטיקה ושיווק. בהמשך הגלישה באתר אתה מסכים לכך. למידע נוסף וניהול ההעדפות – ראה מדיניות הפרטיות שלנו.". בבאנר יש לציין אילו כלים עיקריים פועלים באתר (לדוגמה: Google Analytics, Facebook Pixel, צ'אט מקוון וכד').

   

• אבטחת מידע ומניעת דליפות: על בעלי האתר לוודא שהמידע האישי שנאסף מאובטח כראוי. תיקון 13 לא שינה את תקנות אבטחת המידע (2017) שעדיין בתוקף, אך מחיל עתה אכיפה קפדנית יותר גם עליהן. פירוש הדבר שגם עסק קטן עם רשימת תפוצה של כמה מאות אימיילים חייב לקיים אמצעי הגנה בסיסיים: שימוש בתעודת SSL לכל האתר להצפנת התעבורה (כדי שמידע מטפסים לא ייורט), שמירת הנתונים במאגר מאובטח (בסיס נתונים מוגן סיסמה, הצפנת מידע רגיש כמו סיסמאות משתמשים), והגבלת הגישה למידע רק למי שבאמת צריך (למשל, רק לבעל העסק או לעובדיו המעטים, ולא למפתח האתר לאחר סיום העבודה). גם אמצעי אבטחה פשוטים כהחלפת סיסמאות ברירת מחדל, שימוש בסיסמאות חזקות ועדכון שוטף של תוכנת האתר – תורמים לעמידה בדרישות. תקנות האבטחה קובעות רמות שונות לעסקים קטנים: אתרים עם מאגר מידע קטן ללא מידע רגיש נחשבים "ברמת אבטחה בסיסית", אך עדיין חייבים באמצעים מינימליים (מינוי מנהל מאגר אינו נדרש עוד – תפקידו בוטל והאחריות כולה על בעל המאגר לפי החוק החדש).

   

• זכויות הגולשים במידע והגבלת שימוש למטרה המקורית: החוק קובע באופן ברור את עיקרון צמידות המטרה – אין להשתמש במידע על אדם למטרה שונה מזו שלשמה נמסר, ללא קבלת הסכמה חדשה ממנו. לדוגמה, אם גולש מסר אימייל כדי לקבל תשובה לפנייתו, בעל האתר לא רשאי כשלעצמו לצרפו לרשימת דיוור שיווקית בלי רשות מפורשת (זאת מעבר לחוק "ספאם" המחייב הסכמה למשלוח פרסומות). כמו כן, לכל אדם יש זכות לעיין במידע שנאסף עליו ולתקנו, ובמקרים מסוימים אף לבקש את מחיקתו. בעל האתר חייב לאפשר ולכבד זכויות אלו. התיקון אף מאפשר לאדם לתבוע פיצוי של עד 10,000 ש"ח ללא הוכחת נזק אם למשל לא נענתה בקשתו לעיון או מחיקה, או אם נעשה שימוש במידע שלו בניגוד למטרה שהוצהרה. המשמעות לבעל העסק: יש להתכונן לכך שגולשים עשויים לפנות בבקשות לגבי המידע שלהם, ולוודא שיש נוהל ומנגנון לטפל בכך בצורה מסודרת.

   

• אכיפה מוגברת וקנסות: רשות הגנת הפרטיות קיבלה סמכויות פיקוח וחקירה נרחבות, ויכולה לערוך ביקורות פתע, לדרוש מסמכים ואף להטיל קנסות מנהליים משמעותיים ישירות. הקנסות מותאמים לחומרת ההפרה ומספר הנפגעים, עם הקלות יחסיות לעסקים קטנים (בהתחשב במחזור ההכנסות), אך עדיין – אפילו עסק זעיר חשוף לסנקציות אם יתעלם לחלוטין מהחוק. לדוגמה, כפי שצוין, טופס יצירת קשר ללא גילוי ושדה אישור עלול לגרור קנס מצטבר (50 ש"ח לכל משתמש); אי-רישום מאגר כשנדרש (ראו להלן) – 150,000 ש"ח קנס; וסירוב לאפשר לאדם לראות מידע עליו – 15,000 ש"ח קנס.

   

• ממונה הגנת פרטיות (DPO): תיקון 13 הנהיג חובת מינוי קצין הגנת פרטיות בארגונים מסוימים, אך עסק קטן טיפוסי עם אתר תדמית לא יידרש לכך. הדרישה חלה על גופים גדולים או מיוחדים – למשל גופים ציבוריים, חברות העוסקות במסחר במידע, או כאלה שעיקר עיסוקן ניטור התנהגות אנשים בהיקף נרחב (למשל חברות סלולר, מנועי חיפוש, בנקים). אתר תדמיתי לנגריה, מסעדה או סטארט-אפ אינו נכנס לקטגוריות אלה, לכן אין צורך למנות ממונה ייעודי. עם זאת, חובת הציות לחוק מוטלת במלואה על בעל העסק, והוא לא יכול להתנער ממנה בטענה שאין לו אחראי פרטיות – "עקרון האחריות" בתיקון 13 מחייב כל עסק, קטן כגדול, להכיר את חובותיו ולפעול אקטיבית לציות.

   

צעדים מעשיים מומלצים (שלב אחר שלב):

1. מיפוי הנתונים והפעולות באתר: ראשית, בצעו סקירה של כל נקודות איסוף המידע באתר וכלים הפועלים בו. רשמו לעצמכם: אילו פרטים אתם אוספים מהגולשים (שם, טלפון, מייל, כתובות IP, Cookies וכו')? אילו טפסים קיימים (יצירת קשר, הרשמה)? אילו כלי צד שלישי מוטמעים – למשל Google Analytics, פיקסל פייסבוק, תוספי צ'אט, וידג'טים של ניוזלטר, וכו'. לכל פריט כזה, הגדירו מה מטרת האיסוף (סטטיסטיקה, שיווק מחדש, מענה לפנייה, דיוור…) ולאן המידע הולך – נשאר אצלכם? נשלח לחברת ניתוח (גוגל)? נשמר בענן של מערכת דיוור? מיפוי זה הוא בסיס להכנת מדיניות פרטיות ולוידוא שאתם מודעים לכל זרימת מידע אישית בעסק.

    

2. עדכון/הכנת מדיניות פרטיות מלאה: כל בעל אתר חייב כעת מדיניות פרטיות עדכנית שעומדת בדרישות החוק. ודאו שהמדיניות שלכם כוללת לפחות את הרכיבים הבאים: אילו סוגי מידע נאספים (לפרט: פרטי יצירת קשר, מידע טכני כמו IP ועוגיות, הרגלי גלישה וכו'), מטרות השימוש בכל מידע (למשל: "נשתמש בכתובת האימייל שתגיש כדי לשלוח מענה לפנייתך; מידע גלישה משמש לשיפור האתר ושיווק"), עם מי משתפים את המידע (כאן יש לציין צדדים שלישיים משמעותיים: למשל "Google Analytics (ארה"ב) – למטרות סטטיסטיקה אנונימית; פייסבוק – לצרכי פרסום ממוקד; ספק אחסון האתר – לשמירת הנתונים" וכו'), זכויות הגולשים – להסביר שזכאים לעיין, לתקן, לבקש מחיקה ולהתנגד לעיבוד למטרות שיווקיות, וכיצד ניתן לממש זאת, פרטי איש קשר לפניות בנושא פרטיות (כתובת אימייל ייעודית או דרך טופס יצירת הקשר), וכן מידע על אבטחת מידע ומסך שמירת המידע אצלכם. יש לנסח זאת בשפה ברורה לציבור, אך תוך כיסוי משפטי מלא של הנקודות הנ"ל.

    

3. הוספת תיבת הסכמה ותקנון בטפסים: עברו על כל טופס באתר (יצירת קשר, הרשמה לניוזלטר, הזמנת שירות וכו') והטמיעו בו מנגנון קבלת הסכמה מפורשת מהגולש. בפועל, יש להוסיף תיבת סימון (checkbox) שאינה מסומנת מראש עם מלל המסביר בצורה תמציתית מה תעשו במידע ולאיזו מטרה, בצירוף קישור למדיניות הפרטיות המלאה. הגדירו שהתיבה היא שדה חובה – כלומר, המשתמש לא יוכל לשלוח את הטופס בלי לסמן שהוא מסכים.

    

4. יישום באנר עוגיות ויידוע על כלים באתר: הוסיפו באנר/הודעת Cookies פשוטה באתר. הבאנר יופיע עם כניסת המשתמש (או בתחתית העמוד באופן קבוע) ויכלול הודעה קצרה על כך שהאתר אוסף מידע באמצעות עוגיות וכלים שונים, למטרות שציינתם. יש לצרף קישור למדיניות הפרטיות מתוך הבאנר.

    

5. בדיקת חובת רישום/הודעה על מאגרי מידע: עבור מרבית אתרי התדמית לא תהיה חובת רישום מאגר מידע, כאמור, משום שהם לא עונים על ההגדרות החדשות (אינם סוחרי מידע ואינם גוף ציבורי). אם במקרה בעבר רשמתם את מאגר הלקוחות שלכם בפנקס מאגרי המידע, דעו שאתם יכולים כעת לבקש את מחיקתו מהרישום.

    

6. הערכות למתן מענה לזכויות נושאי מידע: הכינו נוהל פנימי לטיפול בפניות של אנשים בנוגע למידע שלהם. למשל, תרחיש סביר: מנוי לניוזלטר פונה ומבקש להסיר את עצמו מהרשימה ולמחוק את כל המידע עליו. עליכם לדעת כיצד להגיב: מי בודק את הדוא"ל הזה? האם יש תבנית תשובה מנומסת?

    

7. חיזוק אבטחת המידע באתר ובמערכות המשיקות: וודאו שכל היבטי אבטחה מינימליים מתקיימים: אתר האינטרנט חייב לפעול תחת SSL (כתובת https); טפסי האתר צריכים לעבור לכתובת מאובטחת; אם המידע מהטפסים נשלח אליכם במייל, ודאו שתיבת המייל מאובטחת (סיסמה חזקה, רצוי 2FA); אם המידע נשמר בבסיס נתונים או מערכת ניהול תוכן, הגבילו גישה אליו בסיסמה וניתוק אוטומטי לאחר זמן.

    

8. תיעוד, בקרה והתעדכנות מתמדת: תיקון 13 מדגיש את עקרון האחריות והניהול האקטיבי של פרטיות. מומלץ אפוא לתעד את פעולות ההיערכות שלכם: שמרו עותק מתוארך של מדיניות הפרטיות בכל פעם שמעדכנים אותה, ערכו "יומן ציות" בו רשמתם מתי הוספתם תיבות סימון, מתי בוצעה סקירת אבטחה, וכד'.

השלכות משפטיות עיקריות:

• יידוע והסכמה בכל נקודת איסוף: כמו באתר תדמיתי – רק בהיקף רחב יותר. חנות מקוונת צריכה להציג לגולשים מידע מלא על השימוש שייעשה בפרטיהם בכל שלב שבו נאסף מידע. לדוגמה, בעת יצירת חשבון משתמש או ביצוע צ'ק-אאוט כאורח, יש לפרט בפניהם (במסך ההרשמה או בעמוד התשלום) את מטרות איסוף המידע (למשל: "הפרטים ישמשו למשלוח המוצר ולעדכונים לגבי סטטוס ההזמנה"), האם נדרשים על פי חוק או ניתנים מרצון (לרוב מרצון, אך ציון שאם לא יימסרו הפרטים – לא ניתן יהיה להשלים את הרכישה), גורמי צד שלישי המעורבים (חברת כרטיסי אשראי, חברת שליחויות, מחסן לוגיסטי וכד'), זכויות הלקוח ועוד.

   

• שימוש במידע למטרות נוספות – Direct Marketing ו-Profiling: אתרי מסחר רבים מבקשים לנצל את מאגר הלקוחות לצרכי שיווק ישיר – למשל, לשלוח אימיילים על מבצעים, או "פרופיילינג" – ניתוח הרגלי הקנייה לצורך התאמת הצעות אישיות. כאן בא לידי ביטוי עקרון צמידות המטרה: מידע שנמסר לצורך רכישה לא ניתן להשתמש בו אוטומטית למשלוח פרסומות, אלא אם הדבר הוצהר מראש והלקוח הסכים.

   

• שיתוף מידע עם גורמי צד ג' (סליקה, שילוח, ענן): פעילות המסחר האלקטרוני תלויה בשיתוף נתונים עם שירותים חיצוניים – למשל, העברת פרטי כרטיס אשראי לחברת הסליקה, מסירת שם וכתובת לחברת השליחויות, או אחסון נתוני לקוחות על שרת של פלטפורמת ענן (Shopify, Wix, וכו'). לפי תיקון 13, העסק (בעל המאגר) אחראי לוודא שהמעבדים מטעמו עומדים בדרישות החוק.

   

• אבטחת מידע ברמת האתר והארגון: חנות מקוונת מחזיקה לרוב מאגר מידע גדול יותר מאשר אתר תדמיתי, וערך המידע (והרגישות שלו) גבוהים יותר – לכן נדרש לה רמת אבטחה לפחות בינונית או אף גבוהה (תלוי בכמות הרשומות ובמידע הרגיש). תיקון 13 מחמיר בענישת הפרות אבטחה: אי-עמידה בתקנות הגנת הפרטיות (אבטחת מידע) עלולה לגרור קנס מנהלי שבין 20,000 ל-320,000 ש"ח, ובמאגרי ענק מעל מיליון איש – הסכום אף מוכפל.

   

• חובת מינוי ממונה הגנת פרטיות (ייתכן בארגונים גדולים): מרבית אתרי האיקומרס הפרטיים לא יחויבו למנות DPO, כי התנאי הוא עיבוד מידע בהיקפים עצומים או פעילות מעקב שהיא לב העסק.

   

• לשון החוק ותמצית תיקון 13 – מתוך עדכון משפטי EBN משרד עו"ד

• מדריך מקצועי לבעלי אתרים מאת הרשות להגנת הפרטיות ומקורות נוספים (אינטלינט) – המציג צעדי יישום פרקטיים

• סקירות מקצועיות לאיקומרס ולשיווק דיגיטלי – המדגימות השלכות על פיקסלים, רימרקטינג וניהול מידע לקוחות

• הנחיות לגבי חובת מינוי ממונה, רישום והודעה – מאתרי משרדי עו"ד מובילים