תיקון 13 לחוק הגנת הפרטיות: רשימת בדיקות לאתר

אינדיקציות, לא ייעוץ משפטי. רשימת הבדיקות הזו מסכמת הנחיות פומביות של הרשות להגנת הפרטיות עבור בעלי אתרים. היא לא מחליפה ייעוץ שמתאים לעסק הספציפי שלכם.

מה השתנה בתיקון 13

תיקון 13 הוא העדכון הגדול ביותר לחוק הגנת הפרטיות, התשמ״א־1981, מאז שנחקק. בין השאר, הוא מקרב את ההגדרות לסטנדרטים בינלאומיים (מידע אישי כולל עכשיו במפורש מזהים מקוונים ונתוני מיקום), מצמצם את חובת רישום המאגרים, מחייב חלק מהארגונים למנות ממונה על הגנת הפרטיות (DPO), ומסמיך את הרשות להגנת הפרטיות להטיל עיצומים כספיים. לרוב האתרים של עסקים קטנים, השינויים היומיומיים נוגעים לשקיפות, להסכמה ולאבטחה.

1. מפו מה האתר אוסף

רשמו כל מקום שבו האתר מבקש או שומר מידע אישי: טופסי יצירת קשר והצעות מחיר, הרשמה לניוזלטר, קופה, הרשמה לחשבון, וידג'טים של צ'אט, כלי הזמנת תורים, וסקריפטים של צד שלישי כמו אנליטיקס, פיקסלים של פרסום, מפות וסרטונים מוטמעים. כדי לראות מאילו שירותים חיצוניים דף הבית טוען סקריפטים:

curl -s https://yourdomain.com | grep -oE '<script[^>]+src="https?://[^/"]+' \
  | sed -E 's#.*src="https?://##' | sort -u

חזרו על זה בדפי הקופה, יצירת הקשר וההרשמה; מנהלי תגיות יכולים לטעון שירותים נוספים אחרי שהדף נפתח, אז בדקו גם את לשונית Network בדפדפן.

2. הוסיפו הודעה ליד כל טופס (סעיף 11)

כשמבקשים מאנשים מידע אישי כדי לשמור אותו ולהשתמש בו, הבקשה צריכה להגיע עם הודעה. מאז תיקון 13 היא צריכה לכלול:

• האם חלה על האדם חובה חוקית למסור את המידע או שהמסירה תלויה ברצונו, ומה יקרה אם לא ימסור אותו.
• המטרה שלשמה מתבקש המידע (כל המטרות, בלי „בין היתר”).
• למי יימסר המידע ולאיזו מטרה (סוג המקבל, למשל חברת שליחויות).
• זהות בעל השליטה במאגר (בדרך כלל העסק שלכם) ודרכי ההתקשרות איתו.
• הזכות לעיין במידע ולבקש לתקן אותו.

הודעה קצרה ליד כפתור השליחה, עם קישור למדיניות הפרטיות המלאה, שומרת על טופס קריא. כתבו אותה בשפת האתר שלכם; זה המבנה:

<form action="/contact" method="post">
  <!-- name, email, phone fields -->
  <p class="form-notice">
    Providing these details is optional, but without them we can't reply to you.
    We use them only to answer your request. We share them with no one except our email provider.
    Controller: Example Ltd., privacy@yourdomain.com. You may ask to see or correct your data.
    <a href="/privacy">Privacy policy</a>
  </p>
  <button type="submit">Send</button>
</form>

3. עדכנו את מדיניות הפרטיות

מדיניות הפרטיות היא המקום שבו ההודעה המלאה נמצאת. קשרו אליה מהפוטר של כל דף, כתבו אותה בשפה פשוטה, וודאו שהיא תואמת את מה שהאתר עושה בפועל: כל מטרה, סוגי מקבלי המידע (כולל שירותי האנליטיקס והפרסום שמצאתם בשלב 1), כמה זמן שומרים את המידע, איך אנשים מממשים את זכויותיהם, וכתובת ליצירת קשר. הסירו שאריות של תבנית; מדיניות שכתוב בה שם חברה בסוגריים מרובעים אומרת למבקרים שאף אחד לא קרא אותה.

4. הפכו את ההסכמה לאמיתית

כשמסתמכים על הסכמה, היא צריכה להיות בחירה פעילה ומודעת:

• תיבות הסימון מתחילות לא מסומנות. הסכמה לתנאים והסכמה לדיוור הן תיבות נפרדות.
• דיוור שיווקי בדוא״ל וב־SMS מחייב הסכמה מראש לפי „חוק הספאם” (סעיף 30א לחוק התקשורת), וכל הודעה צריכה דרך קלה להסרה.
• שמרו תיעוד של מתי ואיך כל אדם הסכים, ואיזה נוסח הוא ראה.
• הימנעו מעיצוב שדוחף לתשובה אחת, כמו אפשרות „לא מסכים” מוסתרת.

<label><input type="checkbox" name="terms" required> I agree to the <a href="/terms">terms</a></label>
<label><input type="checkbox" name="marketing"> Send me news and offers by email (optional)</label>

לגבי כלי אנליטיקס ופרסום, ההנחיות של הרשות בנושא הסכמה מכוונות להסכמה נפרדת ופעילה לפרופיילינג ולדיוור ישיר. אם יש לכם גם מבקרים מהאיחוד האירופי, ה־GDPR וכללי ה־ePrivacy כבר מחייבים הסכמה לפני עוגיות לא חיוניות, כך שכלי הסכמה שטוען כלי מעקב רק אחרי „אישור” מכסה את שני המקרים.

5. טפלו בבקשות עיון ותיקון

אנשים רשאים לבקש לעיין במידע האישי שאתם מחזיקים עליהם, ולבקש לתקן או למחוק מידע שגוי, חסר או לא מעודכן. פרסמו כתובת פנייה ברורה (למשל תיבת privacy@), והחליטו מי עונה, איך מאמתים זהות ואיפה המידע נמצא. לפי התקנות שעוסקות בבקשות עיון, יש לאפשר את העיון בתוך 30 ימים מקבלת הבקשה.

6. אבטחו את המידע

תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז־2017, כבר מחייבות אמצעי אבטחה שמתאימים לרגישות המידע. באתר, היסודות הם:

• HTTPS בכל מקום, עם תעודה תקפה ו־HSTS. ראו איך מתקנים את האזהרה „לא מאובטח”.
• מערכת ניהול תוכן, תוספים ותבניות מעודכנים; הסירו את מה שלא בשימוש.
• התחברות דו־שלבית לכל מנהל, והתפקיד הנמוך ביותר שמספיק לכל השאר. ראו איך מאבטחים את ההתחברות לוורדפרס.
• אל תשלחו בדוא״ל פניות מלאות עם פרטים רגישים בטקסט גלוי; השאירו אותן באזור הניהול המוגן.
• גיבויים, ותוכנית מה עושים אם יש אירוע אבטחה.

7. בדקו אם אתם צריכים ממונה הגנת פרטיות

חובת המינוי חלה על גופים ציבוריים, על סוחרי מידע ונותני שירותי דיוור ישיר שמחזיקים מידע על 10,000 איש לפחות, על ארגונים שעיסוקם העיקרי הוא ניטור שיטתי של אנשים בהיקף משמעותי, ועל ארגונים שעיסוקם העיקרי הוא עיבוד כמויות גדולות של מידע בעל רגישות מיוחדת, כמו מידע רפואי, ביומטרי או פיננסי. רוב אתרי העסקים הקטנים לא נכללים בקבוצות האלה, אבל בדקו אם אתם מפעילים פרופיילינג, מעקב מיקום או שירותים שקשורים לבריאות.

למה זה חשוב עכשיו

לפי המדריך של הרשות, אי מסירת ההודעה לפי סעיף 11 כשאוספים מידע מהציבור, למשל דרך קישור באתר, עלולה להוביל לעיצום של 2 ש״ח לכל אדם שמידע עליו נמצא במאגר (4 ש״ח אם יש בו מידע בעל רגישות מיוחדת), ולא פחות מ־20,000 ש״ח (40,000 ש״ח עם מידע רגיש).

מה HackGrade בודקת

מסלולי Pro,‏ Business ו־Agency של HackGrade כוללים אינדיקציות ציות מאותם דפים שמבקר רואה: דפי פרטיות או תנאי שימוש חסרים, כלי מעקב שנטענים לפני הסכמה או בלי כלי הסכמה, תיבות הסכמה שמסומנות מראש, מדיניות פרטיות בלי פרק זכויות, שאריות טקסט של תבנית, והיעדר הצהרת נגישות באתרים ישראליים. אלה אינדיקציות לבדיקה, לא ייעוץ משפטי, והן לא משנות את ציון האבטחה. הסריקה החינמית מכסה HTTPS, תעודות, כותרות אבטחה ותוכנה לא מעודכנת.