חמש הטעויות שכולם עושים, ואף אחד לא מדבר עליהן
תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025. הוא לא הגיע בהפתעה: דנו בו שנים, הרשות להגנת הפרטיות (Privacy Protection Authority, PPA) פרסמה מדריכים, עורכי דין כתבו ניתוחים, כנסים מלאו אולמות. ובכל זאת, כשנכנסים לארגונים ובודקים, מגלים שוב ושוב את אותן חמש טעויות. בדיוק אותן חמש.
לא מדובר בארגונים שמתעלמים מהחוק. מדובר בארגונים שחושבים שהם עומדים בו.
טעות ראשונה: מדיניות הפרטיות שלא עודכנה מ-2019
סעיף 11 לחוק הגנת הפרטיות מחייב חובת יידוע. לא מדיניות פרטיות אסתטית, לא עמוד שמישהו כתב פעם כשהאתר עלה. יידוע אמיתי, בעת איסוף המידע, שכולל חמישה פרטי חובה: האם חלה חובה חוקית למסור את המידע או שהמסירה תלויה בהסכמה, ומה תהיה תוצאת אי-ההסכמה; מטרת האיסוף; למי יימסר המידע ולאילו מטרות; קיומה של זכות העיון (סעיף 13); וקיומה של זכות התיקון (סעיף 14).
בפועל, רוב מדיניות הפרטיות שאפשר למצוא באתרים ישראליים הן עותקים של עותקים. תבנית שמישהו מצא ב-2018, תרגם מגרסה אנגלית, הוסיף עליה פסקה על ה-GDPR, ושכח לעדכן כשהחוק הישראלי השתנה.
תיקון 13 הרחיב את הדרישות, והן אינן אופציונליות: רכיבי היידוע התרחבו (תוצאת אי-ההסכמה, זכויות העיון והתיקון), ההפרות מגובות כעת בעיצומים כספיים, ובארגונים מסוימים נוספה חובת מינוי ממונה הגנת הפרטיות (Data Protection Officer, DPO). ארגון שמדיניות הפרטיות שלו נכתבה לפני התיקון עשוי להיות בבעיה אפילו אם כל השאר תקין.
הפתרון הוא לא להעסיק עורך דין שיכתוב מדיניות ארוכה יותר. הפתרון הוא לקרוא את הדרישות הנוכחיות, לבדוק מה חסר, ולעדכן. פעם בשנה לפחות, ובכל פעם שמשנים תהליך עיקרי של עיבוד מידע.
טעות שנייה: ספקים שמעבדים מידע בלי הסכם
כל ספק שמעבד מידע אישי עבור הארגון שלכם הוא "מחזיק". ככה קוראים לו בחוק הישראלי (המקבילה המקומית למונח האירופי Processor). חברת ניהול השכר, ספק ה-CRM, שירות הניוזלטר, כל אחד מהם מקבל גישה למידע שנמסר לכם.
תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, מחייבת שהסכם בין בעל השליטה במאגר לבין ספק שמעבד מידע עבורו יכלול הוראות ספציפיות: איזה מידע ואילו מערכות מותרים, אבטחה, מחיקת המידע בסיום ההתקשרות, ואיסור שימוש במידע למטרות אחרות. לא הסכם שירות רגיל עם סעיף סודיות. הסכם עיבוד מידע (Data Processing Agreement, DPA) ייעודי.
מה שקורה בפועל הוא שהספק שולח הסכם, הארגון חותם מבלי לקרוא, ואיש לא בדק אם ההסכם עומד בדרישות הדין הישראלי.
אגב, חלק מהספקים הגדולים, בעיקר אמריקאים, שולחים הסכמי עיבוד מידע שנכתבו לציית ל-GDPR האירופי. זה לא מספיק. הדרישות הישראליות דומות במהות אבל שונות בפרטים, ובית משפט ישראלי יבחן אם ההסכם עומד בדין הישראלי, לא האירופי.
טעות שלישית: הסכמות שנשענות על הנחות
איך נראית הסכמה תקינה בדין הישראלי? הסכמה מדעת: האדם מבין למה הוא מסכים. היא יכולה להיות מפורשת או מכללא, אבל ככל שהמידע רגיש יותר ופערי הכוח גדולים יותר, כך נדרשת הסכמה ברורה ופעילה יותר. גילוי דעת ההסכמה של הרשות (פברואר 2026) קבע ששתיקה אינה הסכמה, שתיבה מסומנת מראש ועיצובים מטעים (dark patterns) פוסלים את ההסכמה, ושבפערי כוח נטל ההוכחה מוטל על מבקש ההסכמה.
ולעניין דיוור שיווקי: הסכמה פעילה (Opt-in) להודעות שיווק אלקטרוניות נדרשת מכוח סעיף 30א לחוק התקשורת ("חוק הספאם"), ומשטר הדיוור הישיר שבחוק הגנת הפרטיות מוסיף זכות הסרה (סעיף 17ו). שני מקורות שונים, טעות אחת נפוצה: לערבב ביניהם או להתעלם משניהם.
הבעיה גדולה יותר ממה שנדמה. הסכמה שלא התקבלה כדין לא רק מסכנת ציות, היא גם לא ניתנת לאכיפה. ארגון שמסתמך על הסכמות כבסיס משפטי לשיווק, ואותן הסכמות נפסלות, מגלה שכל מאגר השיווק שלו בעייתי.
הסקירה צריכה להיות טכנית: לבדוק כל טופס, כל pop-up, כל תהליך הרשמה, ולוודא שהמשתמש מסמן בעצמו, שמנוסח ברור לאיזו מטרה, ושיש לוג של ההסכמה שניתן להציג לרגולטור אם ידרוש.
טעות רביעית: אין תהליך לטיפול בבקשות נושאי מידע
תיקון 13 חיזק משמעותית את האכיפה על זכויות נושאי המידע (Data Subject Rights, DSR). הזכויות בדין הישראלי: זכות עיון (סעיף 13), זכות לתיקון או מחיקה של מידע שגוי (סעיף 14), וזכות הסרה מרשימת דיוור ישיר (סעיף 17ו). ארגון שמקבל בקשת עיון חייב להשיב בתוך 30 יום, לפי תקנות העיון.
שלושים יום נשמעים כמו הרבה. הם לא. ארגון שאין לו תהליך מסודר מגלה שהפנייה הגיעה לאימייל שאיש לא קורא, ששלושה אנשים צריכים לאשר את התשובה ואיש לא יזם את הדיון, ושאף אחד לא יודע בדיוק באילו מאגרים יש מידע על אותו אדם.
תהליך DSR טוב כולל כתובת פנייה ייעודית, נהלים כתובים שמגדירים מי אחראי לאיתור המידע, מי מאשר את התשובה, ומה הפורמט שלה, ומערכת לוג שמתעדת כל פנייה ואת מועד טיפולה. ארגון שמטפל בפניות DSR בגיליון אקסל ידני הוא ארגון שמחכה לתאריך שבו הוא לא יעמוד בלוח הזמנים.
טעות חמישית: הדרכת עובדים שמתרחשת פעם בחיים
תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, מחייבות במאגרים ברמת אבטחה בינונית ומעלה הדרכה תקופתית של בעלי ההרשאות (תקנה 7, אחת ל-24 חודשים לפחות). לא חד-פעמית ביום הגיוס ולא סרטון של עשר דקות שאיש לא מקשיב לו. הדרכה שמותאמת לתפקיד. וגם בארגונים שאינם חייבים בה פורמלית, זהו קו ההגנה הזול והאפקטיבי ביותר.
בפרקטיקה, חלק ניכר מאירועי האבטחה אינו נובע מכשל טכנולוגי אלא מהגורם האנושי: עובד שפתח קישור, שלח קובץ לכתובת לא נכונה, או שמר מידע על החסן נייד שאבד. האיום האנושי קדם לאיום הטכנולוגי ויישאר אחריו.
הדרכה נכונה מדברת על תרחישים אמיתיים: מה לעשות כשמקבלים מייל חשוד, איך לזהות בקשה לגישה לא מורשית, לאן מדווחים על אירוע חשוד בתוך הארגון. לא הרצאה עקרונית על ה-GDPR האירופי לעובדים שמעולם לא שמעו על בריסל.
חמש הטעויות האלה יש להן מכנה משותף: הן לא נולדות מזלזול. הן נולדות מתחושה שהציות הוא משהו שנעשה פעם אחת ואז גמרנו. הפרטיות כתהליך שוטף, כחלק מהניהול, זה הרעיון שתיקון 13 בא לקדם. אלה שיבינו את זה מוקדם יסתכנו פחות מאלה שיחכו להתראה מינהלית כדי להתחיל לחשוב.