טעות שחוזרת על עצמה
”אנחנו עובדים לפי ה-GDPR, אז אנחנו בסדר.”
שמענו את המשפט הזה מספיק פעמים כדי לדעת שהוא מסוכן. ה-GDPR (תקנת הגנת הפרטיות האירופית) הוא מסגרת שנכתבה לאיחוד האירופי. הדין הישראלי, כולל לאחר תיקון 13 שנכנס לתוקף ב-14 באוגוסט 2025, שונה ממנה במספר נקודות קריטיות. ומי שלא מכיר את ההבדלים משחק בכיסאות מוזיקליים שאחד מהם לא קיים.
ההבדל המרכזי: ב-GDPR קיימת עילת ”אינטרס לגיטימי” שמאפשרת עיבוד מידע גם בלי הסכמה מפורשת של הנושא, כל עוד האינטרס העסקי גובר על הפגיעה בפרטיות. הדין הישראלי לא מכיר בעילה הזאת. לא קיימת. ארגון ישראלי שנשען על ”legitimate interests” כבסיס לעיבוד מידע לא נשען על כלום.
מה כן קיים: הבסיס לעיבוד בדין הישראלי
החוק הישראלי לא מגדיר הסכמה כ”עילה” רחבה וכוללת לכל עיבוד מידע. המודל הישראלי מבוסס על הסכמה מדעת (מפורשת או מכללא) של נושא המידע, או על הסמכה שבדין. סעיפים 23–23ד לחוק עוסקים במסירת מידע מגוף ציבורי, ולא בבסיס לעיבוד מידע במגזר הפרטי.
גילוי דעת ההסכמה של הרשות (פברואר 2026) חידד את הגבולות: שתיקה אינה הסכמה, תיבה מסומנת מראש ועיצובים מטעים (dark patterns) פוסלים אותה, ובמצבי פערי כוח נטל ההוכחה מוטל על מבקש ההסכמה.
ההשלכה המעשית: אם הארגון שלכם מעבד מידע ואין עילה ברורה לכל פעולת עיבוד, זה לא ”אזור אפור”. זו הפרה.
דיוור ישיר: כאן ההסכמה הכי ברורה ובה הכי הרבה הפרות
חשוב להבחין בין שני משטרים. משטר הדיוור הישיר בחוק הגנת הפרטיות (סימן ב' לפרק ב', סעיף 17ג ואילך) הוא במהותו opt-out: לנושא המידע עומדת הזכות לדרוש את מחיקתו ממאגר המשמש לדיוור ישיר (סעיף 17ו). חובת ה-opt-in המפורש לפני משלוח דבר פרסומת נובעת דווקא מסעיף 30א לחוק התקשורת (בזק ושידורים).
Opt-in מפורש לפני כל דיוור שיווקי. לא opt-out שבו המשתמש צריך לבטל. לא ”V מסומן מראש שאפשר להוריד”. הסכמה פעילה, חד-משמעית, לפני שנשלח מסר שיווקי ראשון.
ומה עם לקוחות קיימים? כאן קיים חריג מוגדר בסעיף 30א(ג): מותר לשלוח דבר פרסומת למי שמסר את פרטיו במהלך רכישה, אם הודעתם לו שהפרטים ישמשו לדיוור, נתתם לו הזדמנות לסרב, והפרסומת נוגעת למוצר או שירות מסוג דומה. התנאים מצטברים, וכולם צריכים להתקיים. מי שמסתמך על ”הוא קנה אצלנו פעם” בלי לעמוד בהם, מפר.
כל הודעה שיווקית חייבת לכלול דרך הסרה פשוטה ומיידית. לא ”אנו עושים כל מאמץ להסיר אתכם תוך 30 יום”. הסרה.
אגב, הפרות דיוור ישיר חוזרות שוב ושוב בהחלטות האכיפה שהרשות מפרסמת, וביולי 2026 אף הנפיקה הרשות מחדש את הנחיית הדיוור הישיר שלה (2/2017) בגרסה מיושרת לתיקון 13. זה לא תחום שמדלגים עליו.
מה תיעוד הסכמה צריך לכלול
לא מספיק לקבל הסכמה. צריך להוכיח שקיבלתם אותה, מתי, ומה בדיוק הוצג לנושא המידע ברגע שנתן אותה.
שישה מרכיבים של תיעוד ראוי: זהות הנושא (שם ואמצעי קשר), מועד ההסכמה המדויק, הנוסח שהוצג לו, הערוץ שדרכו ניתנה ההסכמה (טופס מקוון, מסמך פיזי, שיחת טלפון מוקלטת), כתובת IP בטפסים דיגיטליים, ורישום ביטול ההסכמה אם היה.
זה לא מדד. זה רישום שאמור לאפשר לארגון, בעת חקירה או תלונה, להראות בדיוק מה קרה. ארגון שאין לו מנגנון רישום כזה לא רק לא עומד בדרישות. הוא לא יכול להגן על עצמו.
Double Opt-In: ההגנה הטובה ביותר ולמה היא עובדת
מנגנון ה-Double Opt-In (אישור כפול), שבו לאחר ההרשמה נשלח אימייל אישור שהמשתמש חייב ללחוץ עליו, הוא לא דרישה חוקית מפורשת. הוא שכבת הגנה.
שתי תועלות ממשיות: הוא מאמת שכתובת האימייל שייכת לנושא המידע ולא הוכנסה בטעות או על ידי גורם שלישי. והוא יוצר ראיה דיגיטלית מוצקת, תיעוד שמישהו נכנס לתיבת הדואר שלו, לחץ על קישור אישור, ובאותו רגע אושרה ההסכמה.
בסכסוך משפטי, ה-Double Opt-In הוא ההבדל בין ”אמרנו שהוא הסכים” לבין ”הנה ההוכחה”.
ביטול הסכמה: הצד שארגונים שוכחים
כשנושא מידע חוזר בו מהסכמתו, שלושה כללים פשוטים חלים.
ראשית, מפסיקים את העיבוד המבוסס על ההסכמה, ללא דיחוי ובתוך זמן סביר. שנית, לא גובים תשלום על הסרה, לא דורשים נימוק, ולא מכניסים את הנושא לרשימת ”מי שביטל” שמשמשת לאחר מכן לכל מטרה שהיא. שלישית, הסרה מדיוור ישיר מתבצעת מיד, לא ”בסוף מחזור העיבוד הקרוב”.
והאכיפה אינה תיאורטית: הרשות מפרסמת את החלטות האכיפה שלה בפומבי, ותחום הדיוור הישיר חוזר בהן שוב ושוב. פרסום השם הוא לעיתים קרובות כלי כואב לא פחות מהעיצום עצמו.
סיכום מקוצר לכל מי שחייב לסנן
ארבע שאלות שכל ארגון צריך לדעת לענות עליהן: על איזו עילה חוקית אנחנו נשענים לכל סוג של עיבוד מידע אישי? האם מנגנון ההסכמה שלנו כולל opt-in פעיל ולא opt-out? האם אנחנו מתעדים הסכמות בצורה שתאפשר לנו להוכיח אותן? ואם נושא מידע מבקש להסיר עצמו, מה בדיוק קורה בשעה הקרובה?
אם אחת מהתשובות היא ”לא יודע”, זו לא תשובה.