הפוסט הזה עוסק בשני המסמכים המשפטיים שכמעט כל אתר עסקי בישראל צריך: מדיניות פרטיות ותקנון. הוא מיועד לבעלי עסקים קטנים ולנותנות שירות, כמו מאמנות, מטפלות, יועצות ומורות פרטיות, שיש להן אתר עם טופס יצירת קשר, ואולי גם מכירה של סדנה, קורס או מוצר.
מה תלמדו כאן:
- מתי חייבים מדיניות פרטיות, ומה החוק דורש שיהיה בה
- מה השתנה בתיקון 13 לחוק הגנת הפרטיות, ומה זה אומר לעסק קטן
- מתי צריך תקנון, ומה חייב להופיע בו כשמוכרים באינטרנט
- מה עושים עם עוגיות ועם רשימת דיוור
- למה העתקה של מסמך מאתר אחר היא טעות, ורשימת סעיפים לבדיקה
חשוב לומר מראש: זה מידע כללי, לא ייעוץ משפטי. אני מחזיק הסמכה של ממונה הגנת פרטיות (DPO), ובונה אתרים יותר מ-10 שנים, אבל כל עסק שונה. לפני שמפרסמים מסמך משפטי, כדאי שעורך דין יעבור עליו.
מילון קצר לפני שמתחילים
- מידע אישי: כל נתון על אדם מזוהה או על אדם שאפשר לזהות. לפי החוק כפי שתוקן, זה כולל גם מזהה מקוון ונתוני מיקום, לא רק שם ותעודת זהות.
- מדיניות פרטיות: המסמך שמסביר לגולש איזה מידע האתר אוסף, למה, למי הוא מועבר ומה הזכויות שלו.
- תקנון (תנאי שימוש): החוזה בין העסק לבין מי שמשתמש באתר או קונה דרכו. מה מותר, מה המחיר, איך מבטלים, מי אחראי למה.
- עסקת מכר מרחוק: קנייה שבה הלקוח והעסק לא נפגשים, למשל דרך אתר, טלפון או וואטסאפ. לעסקה כזו יש כללים מיוחדים בחוק הגנת הצרכן.
- עוגייה (Cookie): קובץ קטן שהאתר שומר בדפדפן, למשל כדי לזכור העדפות או כדי למדוד ביקורים.
מתי חייבים מדיניות פרטיות?
התשובה הקצרה: כמעט תמיד, ברגע שהאתר אוסף פרטים של אנשים.
סעיף 11 לחוק הגנת הפרטיות קובע שכאשר מבקשים מאדם מידע אישי כדי לשמור אותו במאגר, צריך לצרף לבקשה הודעה. ההודעה צריכה לומר אם יש חובה חוקית למסור את המידע או שזה מרצון, ומה קורה אם לא מוסרים אותו. היא צריכה לומר למה המידע נאסף, מי השולט במאגר ואיך פונים אליו, למי המידע יועבר ולאיזו מטרה, ושלאדם יש זכות לעיין במידע ולבקש לתקן אותו.
עכשיו תחשבו על האתר שלכם. טופס “השאירו פרטים ואחזור אליכם” אוסף שם וטלפון. הרשמה לניוזלטר אוספת מייל. כלי מדידה כמו גוגל אנליטיקס או פיקסל של פייסבוק אוספים מזהים מקוונים. בוט צ’אט שומר שיחות. כל אחד מאלה הוא איסוף מידע אישי.
ניקח דוגמה: מורה ליוגה מהקריות עם אתר של שלושה עמודים וטופס הרשמה לשיעור ניסיון. הטופס שולח את הפרטים למייל שלה וגם לגיליון בגוגל. כבר יש פה איסוף מידע, שמירה שלו, וספק חיצוני (גוגל) שמחזיק אותו. מדיניות פרטיות קצרה, עם קישור ליד כפתור השליחה, עונה בדיוק על מה שסעיף 11 דורש.
מה חייב להיות במדיניות פרטיות
מעבר לסעיפים שהחוק מונה במפורש, יש כמה דברים שכל מדיניות טובה כוללת. הנה הרשימה:
- מי אתם: שם העסק ודרך ליצור קשר בנושא פרטיות.
- איזה מידע נאסף: מה הגולש מוסר בעצמו (טפסים, צ’אט) ומה נאסף אוטומטית (עוגיות, כתובת IP, נתוני גלישה).
- למה: לחזור לפנייה, לספק שירות, לשלוח עדכונים, למדוד את האתר. כל מטרה בנפרד.
- האם חובה למסור: ומה קורה אם לא. למשל, בלי טלפון אי אפשר לחזור אליכם.
- למי המידע עובר: ספקי אחסון, מייל, מדידה, סליקה, ספק הבוט אם יש. לפי שם או לפי סוג.
- כמה זמן שומרים: ומה קורה אחר כך.
- איך שומרים עליו: במילים כלליות, בלי להבטיח הבטחות שאי אפשר לעמוד בהן.
- הזכויות של הגולש: לעיין במידע, לבקש לתקן אותו, ולהסיר את עצמו מרשימת דיוור. ואיך עושים את זה בפועל.
- עוגיות: אילו כלים מותקנים ואיך מסרבים להם.
- תאריך עדכון אחרון: תאריך אמיתי, שמשתנה רק כשהמסמך משתנה.
תיקון 13: מה השתנה, ומה זה אומר לעסק קטן
תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025. זה העדכון הגדול ביותר של החוק מזה שנים, והוא שינה כמה דברים:
- ההגדרות עודכנו. “מידע אישי” מוגדר עכשיו כנתון על אדם מזוהה או על אדם שאפשר לזהות, כולל באמצעות מזהה מקוון או נתוני מיקום.
- לרשות להגנת הפרטיות יש סמכויות אכיפה רחבות יותר, כולל עיצומים כספיים.
- חובה למנות ממונה הגנת פרטיות חלה על סוגים מסוימים של גופים: גופים ציבוריים, סוחרי מידע עם מאגרים גדולים, מי שעיקר פעילותו ניטור שיטתי של אנשים בהיקף גדול, ומי שמעבד מידע רגיש בהיקף גדול (כמו בנקים וקופות חולים). האכיפה של החובה הזו נדחתה ל-31 באוקטובר 2025.
מה זה אומר לקוסמטיקאית מרעננה עם אתר וטופס תורים? כנראה שהיא לא צריכה למנות ממונה. אבל חובת היידוע של סעיף 11 חלה עליה כמו על כל אחד, והגדרת המידע האישי הרחבה אומרת שגם המדידה באתר נחשבת. השורה התחתונה: מדיניות פרטיות שנכתבה לפני 2025 ולא עודכנה מאז, שווה בדיקה.
מתי צריך תקנון, ומה חייב להיות בו כשמוכרים
תקנון הוא החוזה של האתר. באתר תדמית בלי מכירה, הוא מגדיר בעיקר של מי התוכן, מה האחריות שלכם על המידע שמופיע באתר, ואיזה בית משפט ידון בסכסוך. ברגע שמוכרים דרך האתר, גם סדנה, קורס דיגיטלי או מוצר, נכנס לתמונה חוק הגנת הצרכן, והתקנון הופך לחובה מעשית. גם חברות סליקה בודקות אותו לפני שהן מאשרות סליקה באתר.
לפי סעיף 14ג לחוק הגנת הצרכן, בעסקת מכר מרחוק העסק צריך לגלות ללקוח לפני העסקה, בין השאר:
- שם העוסק, מספר הזהות שלו (ע.מ או ח.פ) וכתובתו
- התכונות העיקריות של המוצר או השירות
- המחיר ותנאי התשלום
- מועד האספקה ואופן האספקה
- פרטי האחריות, אם יש
- הזכות לבטל את העסקה ואיך עושים את זה
זכות הביטול, בקצרה: במוצר, הלקוח יכול לבטל תוך 14 יום מקבלת המוצר או מקבלת מסמך הגילוי, המאוחר מביניהם. בשירות, 14 יום מיום העסקה או מקבלת המסמך. דמי ביטול מוגבלים ל-5% מהמחיר או 100 ש״ח, הנמוך מביניהם. אם הביטול נובע מפגם, מאיחור באספקה או מאי התאמה לתיאור, אסור לגבות דמי ביטול בכלל.
יש חריגים. מוצר שיוצר במיוחד עבור הלקוח, מוצר מתכלה ומידע דיגיטלי לא נכללים בזכות הביטול. לאנשים עם מוגבלות, לאזרחים ותיקים בני 65 ומעלה ולעולים חדשים יש בנסיבות מסוימות תקופת ביטול ארוכה יותר, של ארבעה חודשים. ואחד הכללים החשובים: סעיף בתקנון שמצמצם זכות שהחוק נותן לצרכן לא תופס.
שימו לב לפרט אחד שמפתיע עוסקים יחידים: אצל עוסק פטור או מורשה שהוא אדם פרטי, מספר העוסק הוא מספר תעודת הזהות. זה שיקול אמיתי לפני שמפרסמים, אז שווה להתייעץ על הדרך הנכונה לעמוד בחובה.
עוגיות ורשימת דיוור: מה עושים בפועל
עוגיות. בישראל אין חוק ייעודי לעוגיות, כמו שיש באירופה. הרשות להגנת הפרטיות פרסמה בפברואר 2026 גילוי דעת סופי בנושא הסכמה, ולפי סיכומים של משרדי עורכי דין נכתב בו שהמשך שימוש בשירות דיגיטלי אחרי שהוצג מידע מספק עשוי להיחשב הסכמה, אבל שתיקה או היעדר התנגדות לבדם לא מספיקים. ההמלצה המעשית שלי:
- באנר שמסביר בקצרה אילו כלים נטענים ולמה
- כפתור סירוב שבולט בדיוק כמו כפתור האישור
- קישור בתחתית כל עמוד לשינוי הבחירה
- ואם יש לכם לקוחות באיחוד האירופי, שם נדרשת הסכמה מפורשת לפני שנטען כלי מדידה
והכי חשוב: הבאנר צריך לעשות את מה שהוא אומר. באנר שמבטיח “בלי אישור לא נטען כלום” בזמן שהמדידה רצה בכל מקרה, הוא הצהרה לא נכונה. בדקו את זה אצלכם. אם אתם מודדים את האתר, בפוסט על מדידה פשוטה תמצאו גם מה שווה למדוד.
רשימת דיוור. סעיף 30א לחוק התקשורת, שנקרא בפי כולם “חוק הספאם”, אוסר לשלוח דבר פרסומת בלי הסכמה מראש של הנמען, ומאפשר לנמען לתבוע פיצוי בלי להוכיח נזק. בטופס זה אומר תיבת סימון נפרדת להצטרפות לדיוור, שאינה מסומנת מראש. אישור הזמנה או תזכורת לתור הם הודעות שירות, לא פרסומת, וכדאי לכתוב את ההבחנה הזו במדיניות.
למה להעתיק מדיניות מאתר אחר זו טעות
זה הקיצור הכי נפוץ שאני רואה, והוא נשמע הגיוני: למה לכתוב מאפס אם יש מסמך מוכן? הנה הבעיה. מדיניות פרטיות היא לא טקסט כללי, היא תיאור של מה שהאתר הספציפי שלכם עושה. אתר של רשת חנויות מתאר משלוחים, מועדון לקוחות וחמישה כלי פרסום. האתר שלכם אולי שולח טופס לוואטסאפ ומודד עם כלי אחד.
כשמעתיקים, מקבלים שלוש בעיות. המסמך מצהיר דברים לא נכונים על האתר שלכם. הוא חסר את מה שבאמת קורה אצלכם, למשל בוט צ’אט ששומר שיחות. והטקסט עצמו מוגן בזכויות יוצרים של מי שכתב אותו. מסמך קצר ומדויק עדיף על מסמך ארוך ומרשים שמתאר מישהו אחר.
טעויות נפוצות
- “המשך הגלישה מהווה הסכמה” וזהו. בלי הסבר מה נאסף ובלי אפשרות לסרב.
- תקנון שאומר “לא ניתן לבטל” על מוצר מדף. החוק נותן זכות ביטול, והתקנון לא יכול לבטל אותה.
- מסמך שלא עודכן אחרי שהוסיפו פיקסל, בוט או חנות.
- תאריך “עודכן לאחרונה” שמתעדכן אוטומטית בכל פרסום של האתר, גם כשהמסמך לא השתנה.
- סתירה בין התקנון לאתר. כתוב “משלוח תוך 3 ימי עסקים” בתקנון, ו”עד שבועיים” בעמוד המוצר.
- מסמכים שאי אפשר למצוא. הקישור צריך להופיע בתחתית כל עמוד, וליד כל טופס.
צ’קליסט: איזה מסמך, מתי, ומה בו
| מסמך | מתי צריך אותו | מה חייב להיות בו |
|---|---|---|
| מדיניות פרטיות | כל אתר שאוסף פרטים, כולל טופס, דיוור, צ’אט או מדידה | מה נאסף, למה, למי עובר, אם חובה למסור, זכות עיון ותיקון, פרטי קשר |
| תקנון | כל אתר שמוכר או גובה תשלום; מומלץ גם באתר תדמית | פרטי העוסק, מחירים ותשלום, אספקה, ביטול והחזרים, אחריות, סמכות שיפוט |
| הסבר על עוגיות | כל אתר עם כלי מדידה או פרסום | אילו כלים, למה, איך מסרבים ואיך משנים בחירה |
| הצהרת נגישות | נדרשת מרוב העסקים, יש פטורים | רמת הנגישות, מה עוד לא נגיש, פרטי איש קשר לנגישות |
על הצהרת הנגישות לא ארחיב כאן, יש לה עמוד משלה עם כל הפרטים וגם פוסט על מה שהחוק דורש. ואם אתם לפני השקה, המסמכים האלה הם חלק מצ’קליסט ההשקה.
לפני שמפרסמים, עברו על השאלות האלה:
- האם כל טופס באתר מופיע במדיניות, כולל לאן הוא שולח?
- האם כל כלי מדידה ופרסום שמותקן באמת מופיע ברשימה?
- האם התקנון מתאים לסוג המכירה: מוצר מדף, מוצר בהזמנה אישית, שירות מתמשך או שירות חד פעמי?
- האם המחירים, זמני האספקה ותנאי הביטול זהים בתקנון ובעמודי המכירה?
- האם יש קישור לשני המסמכים בתחתית כל עמוד?
- האם עורך דין עבר על המסמכים?
לסיכום
מדיניות פרטיות ותקנון הם לא קישוט בתחתית האתר. מדיניות פרטיות עונה על חובת היידוע שבחוק הגנת הפרטיות, שתיקון 13 הרחיב החל מאוגוסט 2025, והיא נדרשת כמעט בכל אתר שאוסף פרטים. תקנון נדרש בפועל ברגע שמוכרים, והוא חייב לכבד את זכויות הצרכן, כמו גילוי פרטי העוסק וזכות הביטול. שני המסמכים צריכים לתאר את האתר שלכם כפי שהוא באמת, ולהתעדכן כשהוא משתנה. ושוב: זה מידע כללי, ולפני פרסום כדאי שעורך דין יעבור על המסמכים.
רוצים אתר שהמסמכים שלו נכתבים לפי מה שהאתר באמת עושה, ולא מועתקים? בואו נדבר על האתר שלכם ↗