以色列隐私法第 13 号修正案：网站检查清单

仅为参考指标，不构成法律建议。本清单总结了以色列隐私保护局面向网站所有者发布的公开指引，不能替代针对你具体业务的专业意见。

第 13 号修正案带来了哪些变化

第 13 号修正案是《隐私保护法》（5741-1981）自通过以来最大的一次更新。除其他内容外，它使定义更接近国际标准（个人数据现在明确包括在线标识符和位置数据），缩小了数据库登记义务的范围，要求部分组织任命隐私保护官（DPO），并赋予隐私保护局处以行政罚款的权力。对大多数小企业网站来说，日常层面的变化主要涉及透明度、同意和安全。

1. 梳理你的网站收集了什么

列出网站请求或记录个人数据的每个地方：联系和报价表单、订阅邮件、结账、账户注册、聊天小部件、预约工具，以及分析工具、广告像素、地图和嵌入视频等第三方脚本。要查看首页从哪些外部服务加载脚本：

curl -s https://yourdomain.com | grep -oE '<script[^>]+src="https?://[^/"]+' \
  | sed -E 's#.*src="https?://##' | sort -u

对结账、联系和注册页面重复这一操作；标签管理器可能在页面打开后加载更多服务，所以也要查看浏览器的“网络”标签页。

2. 在每个表单旁放置告知（第 11 条）

当你向人们索取个人数据以便存储和使用时，请求必须附带告知。自第 13 号修正案起，告知应包括：

• 此人是否有法律义务提供数据，还是自愿提供，以及不提供会有什么后果。
• 索取数据的目的（列出全部目的，而不是“包括但不限于”）。
• 谁会收到这些数据以及用于什么目的（接收方类型，例如快递公司）。
• 数据库控制者（通常是你的企业）的身份及联系方式。
• 访问数据并要求更正的权利。

在提交按钮旁放一段简短告知，并链接到完整的隐私政策，可以让表单保持简洁易读。请用你网站的语言撰写；结构如下：

<form action="/contact" method="post">
  <!-- name, email, phone fields -->
  <p class="form-notice">
    Providing these details is optional, but without them we can't reply to you.
    We use them only to answer your request. We share them with no one except our email provider.
    Controller: Example Ltd., privacy@yourdomain.com. You may ask to see or correct your data.
    <a href="/privacy">Privacy policy</a>
  </p>
  <button type="submit">Send</button>
</form>

3. 更新隐私政策

完整的告知放在隐私政策中。在每个页面的页脚链接它，使用通俗的语言，并确保它与网站的实际做法一致：每一个目的、接收方类型（包括你在第 1 步中发现的分析和广告服务）、数据保存多久、人们如何行使权利，以及联系地址。删除模板残留文字；写着“[公司名称]”的政策会告诉访客根本没人读过它。

4. 让同意名副其实

在依赖同意时，它应当是主动且知情的选择：

• 复选框默认不勾选。同意条款和同意营销是两个独立的复选框。
• 根据以色列的反垃圾信息规定（《通信法》第 30A 条），营销邮件和短信需要事先取得对方同意，并且每条信息都要提供便捷的退订方式。
• 记录每个人何时、以何种方式同意，以及他们看到的文字。
• 避免诱导某一答案的设计，例如隐藏“拒绝”选项。

<label><input type="checkbox" name="terms" required> I agree to the <a href="/terms">terms</a></label>
<label><input type="checkbox" name="marketing"> Send me news and offers by email (optional)</label>

对于分析和广告跟踪器，隐私保护局关于同意的指引倾向于对画像分析和直接营销取得单独、主动的同意。如果你也服务欧盟访客，GDPR 和 ePrivacy 规则本就要求在使用非必要 Cookie 之前取得同意，因此只在点击“接受”后才加载跟踪器的同意工具可以同时满足两者。

5. 处理访问和更正请求

人们可以要求查看你持有的关于他们的个人数据，并要求更正或删除错误、不完整或过时的数据。公布清晰的联系方式（例如 privacy@ 邮箱），并确定由谁答复、如何核实身份以及数据存放在哪里。根据有关访问请求的规定，应在收到请求后 30 天内提供访问。

6. 保护数据安全

2017 年的《隐私保护（数据安全）条例》早已要求采取与数据敏感程度相称的安全措施。对网站而言，基本要求包括：

• 全站 HTTPS，配有有效证书和 HSTS。参见如何修复“不安全”警告。
• 保持 CMS、插件和主题为最新版本；删除不用的内容。
• 每位管理员使用两步验证登录，其他人只给够用的最低角色。参见如何保护 WordPress 登录。
• 不要以明文邮件发送包含敏感信息的完整表单内容；将其保存在受保护的管理后台中。
• 做好备份，并准备好发生数据泄露时的应对计划。

7. 确认是否需要 DPO

任命隐私保护官的义务适用于：公共机构；持有至少 10,000 人数据的数据经纪商和直邮服务商；核心业务是大规模系统性监控个人的组织；以及主要业务是处理大量高度敏感数据（如健康、生物识别或财务数据）的组织。大多数小企业网站不属于这些类别，但如果你进行画像分析、位置跟踪或提供与健康相关的服务，请仔细核查。

为什么现在很重要

根据隐私保护局的指南，在向公众收集数据时（例如通过网站链接）未提供第 11 条规定的告知，可能被处以数据库中每人 2 新谢克尔的罚款（如含特别敏感数据则为 4 新谢克尔），最低 20,000 新谢克尔（含敏感数据时为 40,000 新谢克尔）。

HackGrade 会检查什么

HackGrade 的 Pro、Business 和 Agency 套餐包含基于访客可见页面的合规指标：缺少隐私或条款页面、在同意之前或在没有同意工具的情况下加载跟踪器、预先勾选的同意框、没有权利说明部分的隐私政策、模板残留文字，以及以色列网站缺少无障碍声明。这些是供你复核的指标，不构成法律建议，也不会影响安全评级。免费扫描涵盖 HTTPS、证书、安全响应头和过时软件。