Emenda 13 da lei de privacidade de Israel: checklist para o seu site

Indicadores, não aconselhamento jurídico. Este checklist resume orientações públicas da Autoridade de Proteção da Privacidade de Israel para donos de sites. Ele não substitui uma orientação específica para o seu negócio.

O que mudou com a Emenda 13

A Emenda 13 é a maior atualização da Lei de Proteção da Privacidade, 5741-1981, desde que foi aprovada. Entre outras coisas, ela aproxima as definições dos padrões internacionais (dados pessoais agora incluem expressamente identificadores on-line e dados de localização), reduz a obrigação de registrar bancos de dados, exige que algumas organizações nomeiem um encarregado de proteção da privacidade (DPO) e dá à Autoridade de Proteção da Privacidade o poder de aplicar multas administrativas. Para a maioria dos sites de pequenas empresas, as mudanças do dia a dia são sobre transparência, consentimento e segurança.

1. Mapeie o que seu site coleta

Liste todo lugar onde o site pede ou registra dados pessoais: formulários de contato e orçamento, cadastros de newsletter, checkout, criação de conta, widgets de chat, ferramentas de agendamento e scripts de terceiros, como analytics, pixels de anúncios, mapas e vídeos incorporados. Para ver de quais serviços externos sua página inicial carrega scripts:

curl -s https://yourdomain.com | grep -oE '<script[^>]+src="https?://[^/"]+' \
  | sed -E 's#.*src="https?://##' | sort -u

Repita nas páginas de checkout, contato e cadastro; gerenciadores de tags podem carregar mais serviços depois que a página abre, então confira também a aba Rede do navegador.

2. Coloque um aviso junto a cada formulário (seção 11)

Quando você pede dados pessoais para guardar e usar, o pedido precisa vir acompanhado de um aviso. Desde a Emenda 13 ele deve informar:

• Se a pessoa é legalmente obrigada a fornecer os dados ou se isso depende da vontade dela, e o que acontece se não fornecer.
• A finalidade para a qual os dados são pedidos (todas, sem “entre outras”).
• Quem vai receber os dados e para quê (o tipo de destinatário, por exemplo uma transportadora).
• A identidade do controlador do banco de dados (normalmente sua empresa) e como contatá-lo.
• O direito de acessar os dados e de pedir que sejam corrigidos.

Um aviso curto perto do botão de envio, com link para a política de privacidade completa, mantém o formulário legível. Escreva-o no idioma do seu site; esta é a estrutura:

<form action="/contact" method="post">
  <!-- name, email, phone fields -->
  <p class="form-notice">
    Providing these details is optional, but without them we can't reply to you.
    We use them only to answer your request. We share them with no one except our email provider.
    Controller: Example Ltd., privacy@yourdomain.com. You may ask to see or correct your data.
    <a href="/privacy">Privacy policy</a>
  </p>
  <button type="submit">Send</button>
</form>

3. Atualize a política de privacidade

A política de privacidade é onde fica o aviso completo. Coloque o link no rodapé de cada página, use linguagem simples e garanta que ela corresponda ao que o site realmente faz: cada finalidade, os tipos de destinatários (incluindo os serviços de analytics e anúncios que você encontrou no passo 1), por quanto tempo guarda os dados, como as pessoas exercem seus direitos e um endereço de contato. Tire restos de modelo; uma política com “[Nome da empresa]” mostra aos visitantes que ninguém a leu.

4. Torne o consentimento real

Quando você se baseia em consentimento, ele deve ser uma escolha ativa e informada:

• As caixas começam desmarcadas. Aceitar os termos e aceitar marketing são caixas separadas.
• E-mail e SMS de marketing exigem consentimento prévio da pessoa pelas regras antispam de Israel (seção 30A da Lei de Comunicações), e toda mensagem precisa de um jeito fácil de descadastrar.
• Guarde registro de quando e como cada pessoa concordou e de qual texto ela viu.
• Evite designs que empurram para uma resposta, como uma opção “recusar” escondida.

<label><input type="checkbox" name="terms" required> I agree to the <a href="/terms">terms</a></label>
<label><input type="checkbox" name="marketing"> Send me news and offers by email (optional)</label>

Para rastreadores de analytics e anúncios, as orientações da Autoridade sobre consentimento apontam para um consentimento separado e ativo para criação de perfis e marketing direto. Se você também atende visitantes da UE, o GDPR e as regras de ePrivacy já exigem consentimento antes de cookies não essenciais, então uma ferramenta de consentimento que só carrega rastreadores após “Aceitar” cobre os dois casos.

5. Atenda pedidos de acesso e correção

As pessoas podem pedir para ver os dados pessoais que você tem sobre elas e para corrigir ou apagar dados errados, incompletos ou desatualizados. Publique um contato claro (por exemplo uma caixa privacy@) e defina quem responde, como verificar a identidade e onde os dados estão. Pelo regulamento sobre pedidos de acesso, o acesso deve ser dado em até 30 dias a partir do pedido.

6. Proteja os dados

O Regulamento de Proteção da Privacidade (Segurança de Dados) de 2017 já exige medidas de segurança compatíveis com a sensibilidade dos dados. Para um site, o básico é:

• HTTPS em todo lugar, com certificado válido e HSTS. Veja como corrigir o aviso “Não seguro”.
• CMS, plugins e temas atualizados; remova o que não usa.
• Login em duas etapas para todo administrador e o menor papel que funcione para os demais. Veja como proteger o login do WordPress.
• Não envie por e-mail formulários completos com dados sensíveis em texto puro; mantenha-os na área administrativa protegida.
• Backups e um plano do que fazer se houver um incidente.

7. Verifique se você precisa de um DPO

A obrigação de nomear um encarregado de proteção da privacidade vale para órgãos públicos, corretores de dados e serviços de mala direta com dados de pelo menos 10.000 pessoas, organizações cuja atividade principal é o monitoramento sistemático de pessoas em escala significativa e organizações cuja atividade principal é tratar grandes volumes de dados altamente sensíveis, como dados de saúde, biométricos ou financeiros. A maioria dos sites de pequenas empresas não está nesses grupos, mas verifique se você faz criação de perfis, rastreamento de localização ou serviços ligados à saúde.

Por que isso importa agora

Segundo o guia da Autoridade, deixar de dar o aviso da seção 11 ao coletar dados do público, por exemplo por um link num site, pode levar a uma multa de 2 NIS por pessoa no banco de dados (4 NIS se houver dados de sensibilidade especial), com mínimo de 20.000 NIS (40.000 NIS com dados sensíveis).

O que o HackGrade verifica

Os planos Pro, Business e Agency do HackGrade incluem indicadores de conformidade a partir das mesmas páginas que um visitante vê: páginas de privacidade ou de termos ausentes, rastreadores carregados antes do consentimento ou sem ferramenta de consentimento, caixas de consentimento pré-marcadas, política de privacidade sem seção de direitos, restos de texto de modelo e a falta de declaração de acessibilidade em sites israelenses. São indicadores para revisar, não aconselhamento jurídico, e não mudam a nota de segurança. A análise gratuita cobre HTTPS, certificados, cabeçalhos de segurança e software desatualizado.