פורסם 1 באוגוסט 2026
חוק הגנת הפרטיות בישראל אינו אוסר מעקב באתר, אבל הוא דורש שקיפות והסכמה. אחרי תיקון 13, שנכנס לתוקף באוגוסט 2025, שלוש חובות הפכו מעשיות לכל בעל אתר: מדיניות פרטיות שמתארת בפועל אילו כלים פועלים באתר, מנגנון הסכמה לכל מעקב שאינו הכרחי לתפעול, ובחלק מהעסקים גם מינוי ממונה הגנת פרטיות. לרשות להגנת הפרטיות יש כיום סמכות מורחבת להטיל עיצומים כספיים שעשויים להגיע למאות אלפי שקלים.
מה שינה תיקון 13 לחוק הגנת הפרטיות
תיקון 13 הוא השינוי המשמעותי ביותר בחוק מזה עשורים, והוא נוגע בשלושה מקומות רגישים במיוחד לבעלי אתרים. ראשית, הוא חידד את ההגדרות: מהו "מידע אישי", ומהו "מידע בעל רגישות מיוחדת" (בין היתר מידע רפואי, פיננסי, ביומטרי, נתוני מיקום, נתוני אמצעי זיהוי). שנית, הוא הרחיב את חובת היידוע: מי שאוסף מידע נדרש להסביר מראש למה, למי המידע עשוי להגיע, והאם המסירה היא חובה או התנדבות.
כדאי לקרוא גם: קידום אתרים לעסקים קטנים ב-2026: המדריך המלא ל-SEO ול-GEO · אחסון אתרים בישראל: איך בוחרים וכמה זה עולה · כלי AI שכל איש שיווק ובונה אתרים חייב להכיר: מדריך מעשי
שלישית, ואולי הכי מורגש בפועל, הוא חיזק את זרוע האכיפה. הרשות להגנת הפרטיות קיבלה סמכויות פיקוח וחקירה רחבות יותר, ובעיקר סמכות להטיל עיצומים כספיים מנהליים במקום להמתין להליך פלילי. המשמעות הפרקטית: אי סדר בהסכמות ובתיעוד הפסיק להיות בעיה תיאורטית.
האם יש בישראל "חוק עוגיות"?
לא במובן האירופי. בישראל אין סעיף נפרד שמדבר על קובצי עוגיות, ולכן הכללים נגזרים מהעקרונות הכלליים של החוק: איסוף מידע על אדם מזוהה או מזהה מצריך יידוע והסכמה מדעת. מכאן נובע ההיגיון שרוב האתרים מיישמים בפועל: מעקב שנחוץ לתפעול האתר עצמו אפשר להפעיל כברירת מחדל, וכל מעקב מעבר לכך, כלומר אנליטיקס, פיקסלים שיווקיים, רימרקטינג ומפות חום, דורש הסכמה אקטיבית.
חשוב להבחין בין שני סוגים:
- מעקב הכרחי: ניהול סשן, עגלת קניות, שמירת העדפת שפה, הגנה מפני בוטים, איזון עומסים.
- מעקב שאינו הכרחי: מזהי פרסום, פיקסל של פייסבוק או טיקטוק, GA4 בהגדרות ברירת מחדל, הקלטות מסך, כלי A/B טסטינג.
שלוש חובות שכל בעל אתר צריך לסדר
1. מדיניות פרטיות שמתארת את המציאות
המסמך הנפוץ ביותר באינטרנט הישראלי הוא מדיניות פרטיות מועתקת שלא תואמת לכלים שמותקנים באתר. זו בדיוק החולשה שנחשפת בבדיקה. מדיניות תקינה מציינת אילו סוגי מידע נאספים, באיזה אמצעי, לאיזו מטרה, מי הצדדים השלישיים שמקבלים גישה, כמה זמן המידע נשמר, וכיצד אפשר לעיין במידע או לבקש את מחיקתו.
2. מנגנון הסכמה אמיתי
באנר שכל האפשרויות בו מסומנות מראש, או באנר עם כפתור "אישור" בלבד, אינו נחשב הסכמה מדעת. מנגנון סביר מאפשר לסרב באותה קלות שבה מאשרים, מפריד בין קטגוריות מעקב, ומתעד את בחירת המשתמש כך שניתן להוכיח אותה בדיעבד. כלי המעקב אמורים להיטען רק אחרי האישור, לא לפניו.
3. אבטחת מידע ותיעוד
תקנות אבטחת המידע חלות גם על אתרים קטנים: הרשאות גישה מוגדרות, הפרדה בין סביבת פיתוח לסביבת ייצור, גיבויים, ותיעוד של אירועי אבטחה. מי שמעביר מידע לספק חיצוני, למשל מערכת דיוור או CRM, צריך הסדר חוזי שמגדיר את הספק כמעבד מטעמו.
רמות סיכון ודרישות לפי גודל העסק וסוג המידע
הטבלה מציגה חלוקה מעשית. המספרים הם סדרי גודל להתמצאות בלבד, והיישום המדויק תלוי בסוג הפעילות ובפרשנות הרשות.
| פרופיל האתר | רמת סיכון | מה חובה לסדר | ממונה הגנת פרטיות |
|---|---|---|---|
| אתר תדמית ללא טפסים וללא כלי מעקב שיווקיים | נמוכה | מדיניות פרטיות בסיסית, הצהרת נגישות, יידוע לגבי יצירת קשר | לרוב לא נדרש |
| אתר לידים עם טופס, GA4 ופיקסל פרסומי | בינונית | באנר הסכמה עם אפשרות סירוב, מיפוי כל הסקריפטים, ניסוח מטרות איסוף, הגדרת שמירת נתונים | בדרך כלל לא |
| חנות אונליין או מועדון לקוחות (אלפי עד עשרות אלפי רשומות) | בינונית-גבוהה | הסכמה מדעת נפרדת לדיוור, הסדרי ספקים, מסמך הגדרות מסד נתונים, ניהול הרשאות, נוהל אירוע אבטחה | תלוי בהיקף ובסוג המידע |
| איסוף מידע בעל רגישות מיוחדת (בריאות, פיננסי, ביומטרי, מיקום) | גבוהה | הסכמה מפורשת וממוקדת, מיפוי סיכונים, מינימיזציה של איסוף, בקרות גישה מחמירות, בחינת חובת רישום | סביר שכן, בהיקפים גדולים |
| מסדי נתונים גדולים (סדר גודל של 100,000 נושאי מידע ומעלה) או עיסוק בסחר ובניתוח מידע | גבוהה מאוד | כל האמור לעיל, בתוספת תיעוד שוטף, בקרה תקופתית והיערכות לפיקוח יזום | כן |
מתי נדרש ממונה הגנת פרטיות
החובה אינה חלה על כל עסק. היא מכוונת בעיקר לגופים ציבוריים, לגופים פיננסיים כגון בנקים ומבטחים, למי שעיסוקו בניתוח, במסירה או בסחר במידע, ולבעלי מסדי נתונים בהיקפים גדולים במיוחד. עסק קטן שמנהל רשימת דיוור ולקוחות בדרך כלל אינו מחויב במינוי, אך גם שם כדאי להגדיר אחראי פנימי אחד שמרכז את הנושא, פשוט כדי שיהיה מי שיודע אילו כלים מותקנים באתר ומי ניגש למידע.
איך זה משפיע על המדידה בפועל
הרבה בעלי אתרים מגלים שהסכמה נכונה משנה את המספרים. כשחלק מהגולשים מסרבים למעקב, נתוני האנליטיקס מציגים פחות סשנים והמרות ממה שבאמת התרחש. זה לא כשל, זו תמונה חדשה שצריך לעבוד איתה: הגדרת מודל הסכמה בכלי הפרסום, שימוש בהמרות מדווחות מהשרת, והשוואה קבועה בין מספרי המערכת לבין מספרי העסק האמיתיים כמו שיחות והצעות מחיר. מי שבונה החלטות תקציב על נתוני קמפיינים ימצא במדריך על פרסום בגוגל לעסקים איך לקרוא את הפערים האלה בלי לקבל החלטות שגויות. גם בצד האורגני יש השפעה, ולכן שווה לקרוא את המדריך לקידום אתרים לעסקים קטנים, מפני שמדידה חלקית מקשה לזהות איזה תוכן באמת מביא פניות.
קנסות: מה הסיכון הכספי
תיקון 13 מאפשר לרשות להגנת הפרטיות להטיל עיצומים כספיים מנהליים. הסכומים נקבעים לפי סוג ההפרה, היקף מסד הנתונים ומספר נושאי המידע, ובהפרות מהותיות הם עשויים להגיע למאות אלפי שקלים ואף מעבר לכך בגופים גדולים. אלו טווחים עקרוניים שמשתנים בהתאם לנסיבות ולשיקול דעת הרשות, ולא תעריף קבוע. חשוב לזכור שבמקביל קיימת חשיפה לתביעות אזרחיות ולתביעות ייצוגיות, ובעסקים קטנים דווקא זו לעיתים החשיפה המשמעותית יותר.
תוכנית עבודה בסיסית
- מיפוי: רשימה של כל הסקריפטים והכלים שטוענים באתר, כולל אלה ששכחו לכבות.
- סיווג: אילו מהם הכרחיים לתפעול ואילו שיווקיים.
- הסכמה: התקנת מנגנון שמאפשר אישור, סירוב וניהול העדפות, ומעכב את הטעינה עד לבחירה.
- עדכון מדיניות הפרטיות כך שתתאים למיפוי, בשפה שאפשר להבין.
- הסדרת ספקים: מי מקבל מידע, מה הוא עושה איתו, ומה מוגדר בהסכם.
- בדיקה חוזרת כל חצי שנה, כי כלים מתווספים בלי שמישהו מתעד.
שאלות נפוצות
האם חייבים באנר עוגיות באתר ישראלי?
אין סעיף בחוק שמחייב באנר ספציפית, אבל יש חובה ליידע ולקבל הסכמה לאיסוף מידע שאינו הכרחי. באנר הוא הדרך הפרקטית הנפוצה לעמוד בחובה הזו ולתעד אותה, ולכן הוא הפך לסטנדרט.
האם מותר להשתמש ב-Google Analytics 4?
כן, בתנאי שהשימוש מוצג במדיניות הפרטיות, שהמשתמש יכול לסרב, ושהכלי אינו נטען לפני קבלת ההסכמה. כדאי גם לצמצם את תקופת שמירת הנתונים ולהימנע מהעברת מזהים אישיים כמו אימייל או טלפון לתוך המערכת.
מה נחשב מעקב הכרחי שלא דורש הסכמה?
מעקב שבלעדיו האתר לא יכול לתפקד: שמירת סשן התחברות, עגלת קניות, הגנה מפני התקפות, זיכרון העדפות תצוגה. אנליטיקס ופרסום אינם נכללים בקטגוריה הזו, גם אם הם חשובים לעסק.
עסק קטן עם אתר תדמית חייב ממונה הגנת פרטיות?
בדרך כלל לא. החובה מתמקדת בגופים ציבוריים, בגופים פיננסיים, בעוסקים בסחר ובניתוח מידע ובמסדי נתונים בהיקפים גדולים. עדיין מומלץ להגדיר אחראי פנימי אחד לנושא.
מה קורה אם האתר פונה גם ללקוחות באירופה?
אז חלות גם דרישות ה-GDPR, שהן מחמירות יותר בכמה מובנים, בין היתר בתיעוד ההסכמה ובזכויות המשתמש. מי שמוכר לאירופה כדאי שייישם את הרף הגבוה מבין השניים ולא ינהל שני מנגנונים נפרדים.
לסיכום
תיקון 13 לא הפך מעקב לאסור, אלא הפך חוסר סדר ליקר. מי שיודע אילו כלים פועלים באתר, מבקש הסכמה בצורה שאפשר לסרב לה, ומחזיק מדיניות פרטיות שתואמת למציאות, נמצא במקום סביר מול הרשות ומול הלקוחות. מי שמתחיל מהמיפוי יגלה שרוב העבודה היא סדר, לא משפטים.
עורך, שיווק דיגיטלי
עומר לביא עורך את evpweb. עשר שנים בניהול קמפיינים ובאנליטיקס לעסקים קטנים לימדו אותו שרוב הכסף בשיווק דיגיטלי הולך לאיבוד בגלל החלטות קטנות: מילת מפתח לא נכונה, דף נחיתה איטי, מדידה שלא הוגדרה. הוא כותב בשביל בעלי עסקים שרוצים להבין מה הם קונים לפני שהם משלמים.
