כמעט לכל אתר עסקי ישנו טופס יצירת קשר, פיקסל פרסום או כלי ניתוח תנועה. בכל אחד מאלה נאסף מידע על גולשים, ולכן מדיניות פרטיות היא חלק מהפעילות התקינה של האתר. עסקים רבים מעתיקים נוסח גנרי מאתר אחר, ובדרך כלל הנוסח לא תואם את מה שהאתר עושה בפועל. במאמר הזה נסביר מה כדאי שמדיניות פרטיות תכלול וכיצד יש לבנות אותה נכון.
למה צריך מדיניות פרטיות
חוק הגנת הפרטיות בישראל מחייב, בין היתר, ליידע אדם שמבקשים ממנו מידע אישי מה מטרת איסוף המידע? האם חובה למסור אותו ולמי הוא עשוי לעבור? מדיניות פרטיות באתר היא הדרך הנפוצה למסור את המידע הזה בצורה שקופה. בעקבות תיקון 13 לחוק גדלה החשיבות של נושא הפרטיות בארגונים, ולכן כדאי לבדוק את מדיניות הפרטיות מחדש, לעדכן אותה ולא להסתמך על נוסח ישן.
המידע במאמר הוא כללי. ההתאמה המדויקת תלויה בסוג העסק, בסוג המידע ובכלים שהאתר משתמש בהם.
קודם כול: ממפים מה האתר עושה בפועל
לפני שכותבים, כדאי לענות על כמה שאלות עובדתיות:
- איזה מידע אישי נאסף: שם, טלפון, דוא"ל, תוכן פנייה, כתובת IP, נתוני גלישה.
- דרך אילו ערוצים: טפסים, צ'אט, הרשמה לניוזלטר, עוגיות, פיקסלים של פרסום.
- למה: מענה לפניות, שיווק, שיפור האתר, ניתוח סטטיסטי.
- מי מקבל את המידע: ספקי אחסון, מערכות דוא"ל, כלי ניתוח, פלטפורמות פרסום, יועצים.
- היכן המידע נשמר ולכמה זמן.
מדיניות שנכתבת אחרי המיפוי משקפת את המצב האמיתי. מדיניות שנכתבת בלי מיפוי עלולה להבטיח דברים שהאתר לא עושה, או להשמיט דברים שהוא כן עושה.
מה כדאי שמדיניות הפרטיות תכלול
- מי אנחנו. שם העסק או בעל האתר ודרך פנייה בנושאי פרטיות.
- איזה מידע נאסף ומאילו מקורות, בלשון פשוטה.
- מטרות השימוש. כל מטרה בנפרד, ולא ניסוח כללי כמו "לכל מטרה עסקית".
- האם חובה למסור את המידע והשלכות של אי־מסירה, למשל חוסר יכולת להשיב לפנייה.
- למי המידע מועבר. קטגוריות של מקבלים, לרבות ספקי שירות. אם המידע עובר מחוץ לישראל, כדאי לציין זאת.
- עוגיות וכלי מעקב. אילו עוגיות פועלות, למה, ואיך אפשר לשלוט בהן. ככל שהאתר משתמש בעוגיות שיווק, נדרשת התייחסות ברורה, ולעיתים מנגנון הסכמה.
- אבטחת מידע. תיאור כללי של אמצעי ההגנה, בלי הבטחות מוחלטות מכוח "אין סיכון".
- זכויות הגולשים. זכות לעיין במידע, לבקש תיקון או מחיקה במקרים המתאימים, ואיך מגישים בקשה.
- משך השמירה. כמה זמן המידע נשמר או לפי אילו קריטריונים.
- עדכונים. תאריך עדכון אחרון ומה קורה כשהמדיניות משתנה.
עוגיות והסכמה לשיווק
אחת הטעויות הנפוצות היא להוסיף פיקסל פרסום או כלי ניתוח בלי לשקף אותם במדיניות. אם האתר מפעיל כלים כאלה, מומלץ לציין אותם ולבדוק אם נדרש באנר הסכמה. דיוור שיווקי לפונים נבדק גם לפי הדין החל על הודעות פרסומת, וכדאי לבדוק אותו בנפרד.
טופס יצירת קשר: הנקודה שנשכחת
טופס שבו גולש משאיר שם, טלפון ותיאור של בעיה אישית הוא איסוף מידע אישי, ולעיתים מידע רגיש. כדאי להציב ליד הטופס קישור למדיניות הפרטיות, לוודא שהמידע מועבר לערוץ מאובטח, ולא לשמור אותו זמן רב מהנדרש. אם הטופס משתמש בשירות צד שלישי, גם הוא נחשב ספק שמקבל מידע.
טעויות נפוצות
- העתקת נוסח מאתר אחר, כולל שם העסק ופרטים שלא קשורים לאתר.
- ניסוח כללי מדי שלא מזכיר כלים שהאתר באמת משתמש בהם.
- הבטחות מוחלטות בנושא אבטחה.
- היעדר דרך ברורה לפנות בנושאי פרטיות.
- אי־עדכון המדיניות כשמוסיפים כלי חדש לאתר.
והקשר לממונה הגנת פרטיות
ארגונים מסוימים נדרשים למנות ממונה הגנת פרטיות, ואחרים בוחרים לעשות זאת מרצון. אם אתם בודקים אם זה רלוונטי עבורכם, ראו מי חייב למנות DPO ותפקידי הממונה. מידע על התחום מופיע בעמוד הגנת הפרטיות וממונה DPO.
לסיכום
מדיניות פרטיות טובה היא מסמך קצר וברור שמשקף את מה שהאתר עושה בפועל, ומתעדכן כשהאתר משתנה. אם אתם רוצים שנבדוק את המדיניות הקיימת או נתאים אותה לעסק, אפשר לפנות אלינו.
המידע במאמר הוא כללי ואינו מהווה ייעוץ משפטי.
המידע באתר הוא כללי ואינו מהווה ייעוץ משפטי. פרסום עורך דין.
מאמרים קשורים
- ממונה הגנת פרטיות חיצוני
ממונה הגנת פרטיות חיצוני או עובד פנימי? השוואה מעשית: ידע, ניגוד עניינים, זמינות, עלות ושליטה, ומה כדאי לקבוע בהסכם עם נותן השירות.
- תפקידי ממונה הגנת פרטיות
מה תפקידו של ממונה הגנת פרטיות (DPO) בארגון: מיפוי מידע, מדיניות ונהלים, הדרכות, טיפול באירועים ופניות, וקשר עם הרשות. הסבר מעשי לפי תיקון 13.
- מי חייב למנות DPO
מי חייב למנות ממונה הגנת פרטיות (DPO) בישראל לפי תיקון 13 לחוק הגנת הפרטיות, מה בודקים בארגון, ומה עושים כשלא ברור אם החובה חלה.