חוק הגנת הפרטיות, התשמ״א–1981, לא מחייב מסמך שנקרא "מדיניות פרטיות". הוא מחייב הודעה. כשאתם מבקשים מאדם מידע אישי כדי לשמור אותו ולהשתמש בו במאגר מידע, למשל דרך טופס באתר, הבקשה צריכה להגיע יחד עם הודעה שמפרטת את הדברים שקובע סעיף 11 לחוק. זו חובת היידוע, ומדיניות הפרטיות באתר היא בדרך כלל המקום שבו ההודעה הזו כתובה במלואה.
תיקון 13, שנכנס לתוקף ב־14 באוגוסט 2025, הוסיף להודעה שלושה דברים: מה יקרה אם האדם לא ימסור את המידע, מי בעל השליטה במאגר ואיך פונים אליו, ושיש לאדם זכות לעיין במידע ולבקש לתקן אותו.
מה ההודעה חייבת לכלול
הסעיף מונה חמישה דברים שההודעה צריכה לומר. כדאי לעבור עליהם אחד אחד, כי כל אחד מהם הוא גם שורה במדיניות שלכם:
- האם האדם חייב לפי חוק למסור את המידע, או שהמסירה תלויה ברצונו ובהסכמתו, ומה יקרה אם לא יסכים. למשל: אין חובה למסור מספר טלפון, אבל בלעדיו לא תוכלו לחזור אליו.
- לשם מה אתם מבקשים את המידע. צריך לפרט את כל המטרות. לפי הרשות להגנת הפרטיות, רשימה חלקית שנגמרת ב"וכיו״ב" או ב"בין היתר" בדרך כלל לא מספיקה כדי שההסכמה תהיה הסכמה מדעת.
- מי בעל השליטה במאגר ואיך יוצרים איתו קשר. בדרך כלל זה העסק עצמו, ולא חברת האחסון.
- למי יימסר המידע ולאיזו מטרה. לפי הרשות להגנת הפרטיות מספיק לציין את סוג המקבלים, למשל "חברות פרסום", אבל ניסוח כמו "חברות טכנולוגיה" עלול להיות כללי מדי.
- שיש לאדם זכות לעיין במידע האישי עליו ולבקש לתקן אותו.
החובה חלה בכל ערוץ שבו אתם מבקשים מידע, לא רק בטופס באתר אלא גם בצ׳אט ובטלפון. לעמדת הרשות להגנת הפרטיות, היא חלה גם כשהאדם פנה אליכם ראשון כדי לקבל שירות. וכדאי לזכור ש"מאגר מידע" הוא כמעט כל אוסף דיגיטלי של מידע אישי שמשמש את העסק.
מה החוק לא מחייב, ומה כדאי לכתוב בכל זאת
חלק מהדברים שאנשים מצפים למצוא במדיניות פרטיות לא נדרשים בהודעה לפי החוק. ובכל זאת יש טעם לכתוב אותם. הטבלה מפרידה בין מה שהחוק קובע לבין ההמלצה שלנו.
| נושא | מה החוק קובע | המלצה |
|---|---|---|
| תקופת שמירה | לא נדרשת בהודעה. תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017, מחייבות לבדוק פעם בשנה שאתם לא שומרים יותר מידע ממה שצריך | לכתוב כמה זמן שומרים כל סוג מידע, ומי רשאי לגשת אליו |
| כתובת לפניות בנושא פרטיות | חובה לתת דרכי התקשרות עם בעל השליטה. מי שחייב למנות ממונה על הגנת הפרטיות חייב לפרסם לציבור גם איך יוצרים קשר עם הממונה (סעיף 17ב2) | כתובת אחת לבקשות עיון ותיקון |
| העברת מידע לחו״ל | לא נדרשת בהודעה. ההעברה עצמה כפופה לתקנות נפרדות | לכתוב אם המידע נשמר או מעובד מחוץ לישראל |
| ספקים שמעבדים מידע בשבילכם | חובה לציין למי יימסר המידע ולמה. החוק לא מזכיר ספקי שירות במפורש | לפרט את סוגי הספקים, כמו אחסון, דיוור וניהול לקוחות, ומה התפקיד של כל אחד |
הזכויות שההודעה מפנה אליהן
כל אדם זכאי לעיין במידע האישי עליו שנמצא במאגר. אם המידע לא נכון, לא שלם, לא ברור או לא מעודכן, הוא רשאי לבקש לתקן אותו או למחוק אותו (סעיפים 13–14 לחוק). את העיון צריך לאפשר בתוך 30 ימים מהיום שקיבלתם את הבקשה, כך קובעות התקנות שעוסקות בעיון במידע.
תיקון 13 לא שינה את הנוסח של הזכויות האלה, אבל הוא הרחיב את מה שהן חלות עליו: לפי סעיף 3, "מידע אישי" הוא היום כל נתון שנוגע לאדם מזוהה או לאדם שאפשר לזהות. התיקון גם חייב להזכיר את הזכויות בהודעה, וקבע סנקציות למי שלא מכבד אותן.
פיצויים ועיצומים
הודעה חסרה יוצרת שני סוגי סיכון. הראשון הוא תביעה. סעיף 15א לחוק מתיר לבית משפט לפסוק לאדם עד 10,000 ש״ח בלי שיצטרך להוכיח נזק, אבל רק אם הוא דרש מכם את ההודעה וחלפו 30 ימים מיום שפנה. לכן, אם הגיעה אליכם דרישה כזו, שלחו את ההודעה מיד.
הסיכון השני הוא עיצום כספי שהרשות להגנת הפרטיות רשאית להטיל לפי סעיף 23כו, והוא מחושב לפי מספר האנשים. אם פניתם לאנשים מסוימים, העיצום הוא 50 ש״ח לכל אדם, ולפחות 30,000 ש״ח לפני הפחתות. אם פניתם לקבוצה לא מסוימת של אנשים, העיצום הוא 2 ש״ח לכל אדם שמידע עליו נמצא במאגר, ולפחות 20,000 ש״ח. המדריך לתיקון 13 של משרד המשפטים והרשות להגנת הפרטיות נותן "לינק באתר אינטרנט" כדוגמה לפנייה לקבוצה לא מסוימת. במידע בעל רגישות מיוחדת, הסכומים לכל אדם כפולים.
גם הזכויות עצמן מגובות בפיצויים. אם לא אפשרתם עיון בזמן, לא ביצעתם תיקון שהסכמתם לו, או לא הודעתם על סירוב, בית משפט רשאי לפסוק עד 10,000 ש״ח בלי הוכחת נזק. כאן לא צריך דרישה מוקדמת. סירוב לאפשר עיון, ואי־הודעה על סירוב לתקן, הם גם עילה לעיצום כספי של 15,000 ש״ח (סעיף 23כו(ב)).
לעסק זעיר ולעסק קטן יש תקרות נמוכות יותר לפי התוספת החמישית לחוק, אם מבקשים אותן בזמן. הפירוט נמצא במאמר על תיקון 13. הסכומים כאן הם סכומי העיצום שכתובים בחוק, והם מתעדכנים כל שנה לפי המדד.
איפה ההודעה צריכה להופיע
החוק דורש שהפנייה לאדם לקבלת מידע "תלווה בהודעה". הרשות להגנת הפרטיות מוסיפה שהיידוע צריך "להינתן בד בבד עם הפניה לאדם" (במסמך שלה על חובת היידוע). לכן אנחנו ממליצים לשים את ההודעה ליד הטופס, לפני כפתור השליחה, ולא להסתפק בקישור בתחתית העמוד. בפועל זה נראה כך: כמה שורות ליד הטופס שמכסות את חמשת הדברים, וקישור למדיניות המלאה. הרשות להגנת הפרטיות גם ממליצה להציג את המידע ברמות פירוט שונות.
עוגיות וכלי מעקב
בישראל אין חוק מיוחד לעוגיות. אבל "מזהה מקוון" מופיע בהגדרה של מידע אישי, ולכן מידע שנאסף באמצעות עוגיות או פיקסלים יכול להיות מידע אישי. על גלישה באתר כתבה הרשות להגנת הפרטיות, בגילוי הדעת שלה על הסכמה מ־25 בפברואר 2026:
"המשך 'גלישת' משתמש באתר אינטרנט, לאחר שהוצג בפניו המידע הנדרש לשם קבלת הסכמתו מדעת לאיסוף מידע על אודותיו עם כניסתו לאתר (גם אם הופנה לפירוט נוסף במקום אחר באתר), תיחשב על-פי רוב הסכמה מכללא לאיסוף המידע ושימוש בו."
באותו מסמך הרשות להגנת הפרטיות מסייגת: הסכמה כזו תקפה רק כשיש קשר סביר בין המטרות שלשמן אוספים את המידע לבין מאפייני השירות. ויש מקרים שבהם, לעמדתה, המשך הגלישה לא מספיק ונדרשת הסכמה אקטיבית ונפרדת. זה המצב כשהמידע משמש לפרופיילינג שהשירות לא צריך, בין צדדים שיש ביניהם פערי כוח, וכשמדובר בשירותי דיוור ישיר.
ההמלצה שלנו, כפרקטיקה טובה ולא כחובה שבחוק: באנר קצר כשנכנסים לאתר, שאומר אילו כלים פועלים ולשם מה, ואפשרות לסרב לכלים שהאתר לא צריך כדי לעבוד.
רשימת בדיקה
- ליד כל טופס כתוב אם מסירת המידע היא חובה או רשות, ומה יקרה אם לא ימסרו אותו.
- כל מטרות האיסוף מפורטות, בלי "בין היתר".
- ההודעה כוללת את שם בעל השליטה ואת דרכי ההתקשרות איתו, את סוגי מקבלי המידע ואת הזכות לעיין במידע ולתקן אותו.
- יש לכם נוהל פנימי שעונה לבקשת עיון בתוך 30 ימים.
- אותה הודעה ניתנת בכל ערוץ שבו אתם אוספים מידע, גם בטלפון, בוואטסאפ ובטופס נייר.
- אתם מעדכנים את ההודעה כשהשימוש במידע משתנה. לעמדת הרשות להגנת הפרטיות, שינוי מהותי מחייב הסכמה נוספת.
מקורות רשמיים
- הרשות להגנת הפרטיות — חובת יידוע במסגרת איסוף ושימוש במידע אישי, נוסח מעודכן בעקבות תיקון 13 (PDF)
- הרשות להגנת הפרטיות — גילוי דעת בנושא הסכמה בדיני הגנת הפרטיות, 25 בפברואר 2026 (PDF)
- משרד המשפטים והרשות להגנת הפרטיות — מדריך לתיקון מס׳ 13 לחוק הגנת הפרטיות, מאי 2025 (PDF)
אין באמור ייעוץ משפטי
המאמר הזה, כמו שאר התוכן באתר, הוא מידע כללי בלבד. הוא לא ייעוץ משפטי ולא חוות דעת משפטית, והוא לא מתייחס לנסיבות של ארגון מסוים. התשובה לשאלה שלכם תלויה בעובדות של המקרה, ולכן אל תסתמכו על המאמר בלי ייעוץ שמתייחס אליהן. קריאת המאמר לא יוצרת יחסי עורך דין ולקוח.
הסעיפים המוזכרים במאמר הם של חוק הגנת הפרטיות כנוסחו אחרי תיקון 13, שנכנס לתוקף ב־14 באוגוסט 2025. עמדות הרשות להגנת הפרטיות שמובאות כאן הן הפרשנות שלה, ולא הלכה שנפסקה בבית משפט. הדין משתנה, ומה שהיה נכון ביום הפרסום עשוי שלא להיות נכון היום. המידע נכון ליום 7 באוקטובר 2026.