מאת עידן צברי · יועץ אבטחת מידע והגנת פרטיות · מומחה תיקון 13
בקצרה: כל טופס באתר שאוסף שם, טלפון או מייל אוסף מידע אישי, ותיקון 13 לחוק הגנת הפרטיות, שבתוקף מאז 14 באוגוסט 2025, מחמיר את ההשלכות של איסוף לא מסודר. שלושה דברים באתר בודקים קודם: ההודעה שמופיעה ליד הטופס, ההסכמה לדיוור, ולאן המידע זורם אחרי שליחת הטופס.
מאת: עידן צברי, CISM, יועץ בכיר לאבטחת מידע והגנת פרטיות · אוקטובר 2026
למה האתר הוא נקודת הכניסה הראשונה של תיקון 13
החוק מגדיר מידע אישי כמידע על אדם מזוהה או כזה שאפשר לזהות במאמץ סביר. טופס פנייה, הרשמה לניוזלטר, צ’אט או טופס הצעת מחיר אוספים בדיוק את זה. האתר הוא לרוב המקום שבו העסק אוסף מידע מאנשים שהוא לא מכיר, ולכן הוא גם המקום שבו קל לראות מבחוץ אם האיסוף נעשה כראוי.
מה לבדוק באתר: טבלת בדיקה מהירה
| רכיב באתר | מה לבדוק | על מה זה נשען |
|---|---|---|
| טופס צור קשר או הצעת מחיר | הודעה ליד הטופס: למה המידע נאסף ומה המשמעות של אי מסירתו | סעיף 11 לחוק, כפי שתוקן |
| הרשמה לניוזלטר או לדיוור | תיבת הסכמה נפרדת, לא מסומנת מראש | עמדת הרשות בנושא הסכמה (פברואר 2026) |
| שימוש במידע למטרה נוספת | הסכמה חדשה לכל מטרה שלא נאמרה בזמן האיסוף | עמדת הרשות בנושא הסכמה |
| ה-CRM, הדיוור ושירותי הענן שמקבלים את הפניות | מי הספק, איפה המידע נשמר ומה כתוב בהסכם איתו | תקנות אבטחת מידע, תקנה 15 (מיקור חוץ) |
| רשימת הפניות עצמה | האם היא רק פרטי קשר או שנשמר בה מידע נוסף | הגדרת מאגר מידע בחוק |
ההודעה בשעת האיסוף: לא רק מדיניות פרטיות בתחתית הדף
סעיף 11 לחוק מחייב למסור הודעה למי שמתבקש למסור מידע. התיקון הוסיף לתוכן ההודעה גם את תוצאת אי ההסכמה. בפועל זה אומר משפט אחד או שניים ליד הטופס, עם קישור למדיניות המלאה. לפי החוק כפי שתוקן, אי מסירת ההודעה היא אחת ההפרות שבגינן בית משפט יכול לפסוק פיצוי של עד 10,000 ש”ח להפרה בלי הוכחת נזק, אם ההפרה לא תוקנה תוך 30 יום מדרישה.
הסכמה לדיוור: מה הרשות אומרת
גילוי הדעת של הרשות להגנת הפרטיות בנושא הסכמה, מפברואר 2026, קובע ששתיקה אינה הסכמה, שהסכמה ניתנת למטרה מסוימת בלבד, ושלדיוור ישיר נדרשת הסכמה אקטיבית. גילוי דעת אינו חוק, אבל הרשות הודיעה שתפעיל לפיו את סמכויות הפיקוח והעיצומים שלה. לכן תיבה מסומנת מראש או סעיף הסכמה שמסתתר בתנאי השימוש הם סיכון.
לאן המידע זורם אחרי שליחת הטופס
טופס אחד מגיע לרוב לשלושה או ארבעה מקומות: תיבת מייל, מערכת CRM, כלי דיוור ולפעמים גם גיליון משותף. כל ספק כזה מעבד את המידע עבור העסק, והאחריות נשארת אצל העסק. תקנות אבטחת המידע מחייבות לבחון ספקים כאלה ולהסדיר את ההתקשרות איתם בכתב. הבדיקה המעשית: לעבור על הטפסים באתר, לרשום לאן כל אחד שולח את המידע, ולוודא שיש הסכם עם כל ספק.
רשימת בדיקה לבעל העסק
- לרשום את כל הטפסים באתר ומה כל אחד מהם אוסף.
- להוסיף ליד כל טופס הודעה קצרה על מטרת האיסוף ומה קורה אם לא ממלאים.
- להפריד את ההסכמה לדיוור לתיבה נפרדת, לא מסומנת מראש.
- למפות לאן כל טופס שולח את המידע, ולבדוק שיש הסכם עם כל ספק.
- לבדוק אם רשימת הפניות נשארת רק פרטי קשר, או שהיא כבר מאגר מידע.
- לעדכן את מדיניות הפרטיות כך שתתאים למה שהאתר עושה בפועל.
הפוסט הזה מסביר את העקרונות ואינו ייעוץ משפטי. לקביעה מדויקת של החובות בעסק שלכם מומלץ להתייעץ עם עורך דין.
להעמקה: תיקון 13: על מי החוק חל ומה נדרש בפועל · בדיקת מוכנות לתיקון 13 · עיצומים כספיים בתיקון 13 · ממונה הגנת פרטיות כשירות · היערכות לתיקון 13
שאלות נפוצות
האם טופס “צור קשר” באתר הופך את רשימת הפניות למאגר מידע?
לא בהכרח. החוק מחריג אוסף שמכיל רק שם, כתובת ופרטי התקשרות של עד 100,000 אנשים, בתנאי שאין לעסק אוסף אחר עם פרטים נוספים על אותם אנשים. ברגע שהפניות נשמרות ב-CRM יחד עם מידע נוסף, כמו תוכן הפנייה, היסטוריית רכישות או פרטי עסקה, ההחרגה כבר לא חלה.
האם מספיק לשים קישור למדיניות פרטיות בתחתית האתר?
קישור כללי לא מחליף את ההודעה בשעת האיסוף. ההודעה צריכה להופיע במקום שבו מבקשים את המידע, כלומר ליד הטופס, ולהסביר בין היתר למה המידע נאסף ומה המשמעות של אי מסירתו.
האם אפשר לסמן מראש את תיבת ההסכמה לדיוור?
לפי עמדת הרשות להגנת הפרטיות מפברואר 2026, דיוור ישיר דורש הסכמה אקטיבית, ושתיקה אינה הסכמה. תיבה מסומנת מראש לא עומדת בדרישה הזו.
עידן צברי, יועץ אבטחת מידע והגנת פרטיות
מייסד SEC-IT, עם מעל 15 שנות ניסיון. משלב רקע משפטי (תואר במשפטים) עם ניסיון IT מבצעי ומומחיות סייבר (CISM, CISO), ומתמחה ביישום תיקון 13 והגנת פרטיות לעסקים קטנים ובינוניים. עוד על עידן ←
