מהי מדיניות פרטיות?
מדיניות פרטיות היא מסמך משפטי ותקנוני אשר מפרט כיצד ארגון, עסק או גוף ציבורי אוסף, משתמש, שומר,
משתף או מוחק מידע אישי של משתמשים, לקוחות, עובדים או כל אדם אחר שהמידע שלו מעובד במערכת.
בישראל, נושא זה מוסדר על ידי חוק הגנת הפרטיות, תשמ”א-1981, ובפרט על ידי תקנות הגנת הפרטיות (אבטחת מידע),
שנכנסו לתוקפן במאי 2018 ומותאמות לרוח ה־GDPR האירופי.
מי מחויב במדיניות פרטיות?
בישראל, מחויבים לפרסם מדיניות פרטיות כל הגופים הבאים:
אתרי אינטרנט ואפליקציות שאוספים פרטי משתמש (גם עוגיות, IP, מייל, ועוד)
עסקים המחזיקים מאגר מידע המכיל פרטים אישיים (לרבות לקוחות, ספקים, עובדים)
גופים ציבוריים ועמותות המעבדים מידע על אזרחים או תורמים
חברות טכנולוגיה המציעות שירותים דיגיטליים או SaaS
כל גורם המעביר מידע אישי לצדדים שלישיים, לרבות פרסום, אנליטיקה ושירותי תשלומים
עקרונות מדיניות פרטיות לפי החוק הישראלי
שקיפות – המשתמש צריך לדעת איזה מידע נאסף, מה המטרה ואילו צדדים גישה אליו.
הסכמה מדעת – יש לקבל הסכמת המשתמש לאיסוף ועיבוד (בעיקר במקרים שאינם חיוניים לשירות).
זכות לעיון ותיקון – כל אדם רשאי לעיין במידע שנשמר עליו ולבקש תיקון.
אבטחת מידע – חובה על בעל המאגר לאבטח את הנתונים באמצעים מתאימים.
רישום מאגר מידע – במקרים רבים יש לרשום את המאגר ברשות להגנת הפרטיות.
דוגמה 1: מדיניות פרטיות לאתר מכירות מקוון
מדיניות פרטיות – אתר XYZ
אנו ב־XYZ מכבדים את פרטיותך ומתחייבים לשמור עליה.
בעת השימוש באתר נאסף מידע כגון: שם, כתובת אימייל, כתובת למשלוח, אמצעי תשלום (באופן מוצפן),
ונתוני שימוש באתר.
המידע משמש לצורך עיבוד הזמנות, שיפור חווית המשתמש, שליחת עדכונים שיווקיים (בכפוף להסכמתך),
וניתוח סטטיסטי אנונימי.
אנו לא נעביר את פרטיך לצדדים שלישיים, למעט לצורך אספקת השירות (למשל חברות שילוח).
תוכל לעיין, לעדכן או לבקש מחיקה של פרטיך בכל עת. לפרטים – צור קשר: privacy@xyz.co.il
דוגמה 2: מדיניות פרטיות לאפליקציה רפואית
מדיניות פרטיות – אפליקציית MedCare
האפליקציה אוספת מידע אישי ורגיש, לרבות מדדים בריאותיים, היסטוריית תרופות ומידע רפואי שסיפקת.
השימוש במידע נועד לשפר את בריאותך באמצעות ניתוח נתונים רפואיים מותאמים אישית.
המידע מאוחסן בצורה מוצפנת, בהתאם לתקנות אבטחת המידע. לא נעביר את המידע לגורמים מסחריים ללא הסכמתך המפורשת.
יש לך זכות לעיין, לתקן או למחוק את המידע שנשמר אודותיך.
לפרטים נוספים: dpo@medcare.co.il
תפקיד ה־DPO במדיניות פרטיות
DPO או Data Protection Officer הוא תפקיד חובה בגופים רבים (לפי החוק הישראלי וה־GDPR),
שמטרתו להבטיח עמידה בדרישות ההגנה על הפרטיות.
תחומי אחריותו כוללים:
ליווי תהליכי פיתוח ומדיניות בהיבטי פרטיות
מענה לפניות ציבור בנושאי פרטיות
ניהול אירועי אבטחת מידע
תיווך מול הרשות להגנת הפרטיות
בישראל, מונה DPO לפי דרישות תקנות הגנת הפרטיות (אבטחת מידע), בעיקר בגופים ציבוריים
ועסקים גדולים עם מאגרי מידע רגישים.
שאלות ותשובות בנושא מדיניות פרטיות
האם כתובת IP נחשבת מידע אישי בישראל?
כן. אם כתובת ה־IP מאפשרת לזהות אדם באופן ישיר או עקיף, היא נחשבת מידע אישי לפי חוק הגנת הפרטיות.
האם חובה ליידע משתמשים על שימוש בעוגיות (Cookies)?
בהחלט. לפי תקנה 5 לחוק התקשורת (תיקון 40), יש ליידע את המשתמש ולהשיג את הסכמתו
לכל שימוש בעוגיות שאינן חיוניות לתפעול האתר, כגון עוגיות שיווק וניתוח.
האם חובה לרשום מאגר מידע שמכיל רק כתובות מייל?
תלוי בנסיבות. אם מדובר בשימוש שיווקי, בפרט כשמדובר בכמות גדולה של נמענים, בדרך כלל נדרש לרשום
את המאגר ברשות להגנת הפרטיות.
האם כל עסק מחויב למנות ממונה הגנת פרטיות (DPO)?
לא. החובה חלה בעיקר על גופים ציבוריים, מוסדות רפואיים, בנקים, חברות ביטוח ועסקים שמעבדים מידע רגיש בהיקף גדול.
עסקים קטנים לרוב פטורים, אך עדיין נדרשים לעמוד בתקנות.
מהו העונש האפשרי על הפרת פרטיות בישראל?
הפרה של החוק עלולה לגרור קנס מנהלי של עד 3 מיליון ש”ח לחברה, ולעיתים גם קנס פלילי ואחריות אישית למנהלים,
תלוי בחומרת המקרה.
האם אדם יכול לדרוש מחיקת מידע אישי עליו?
כן. החוק מאפשר לכל אדם לדרוש מחיקת מידע אישי, כל עוד אין חובה משפטית לשמרו (כמו לשם ראיות, רישומים חשבונאיים,
או לפי רגולציה מקצועית).
האם יש חובה לציין שימוש בשירותים חיצוניים כמו Google Analytics במדיניות הפרטיות?
כן. חובה לציין כל צד שלישי שיש לו גישה למידע, כולל שירותי אנליטיקה, פרסום, שליחת דיוורים או שירותי ענן.
האם ניתן להשתמש במידע רפואי לצרכים מחקריים?
רק באחת משתי דרכים: או לאחר אנונימיזציה מלאה של המידע, או בכפוף להסכמה מדעת של האדם שמסר את המידע הרפואי.
מה ההבדל בין הצפנת מידע לבין אנונימיזציה?
הצפנה מגינה על המידע כך שניתן לפענחו רק באמצעות מפתח מתאים, ואילו אנונימיזציה מוחקת כל קישור אפשרי לזהות
של אדם באופן בלתי הפיך.
האם חייבים לפרסם את מדיניות הפרטיות באתר או באפליקציה?
בהחלט. החוק מחייב לפרסם את המדיניות במקום ברור ונגיש, בניסוח ברור, פשוט ומובן, לרוב בעמוד נפרד ובקישור קבוע
בתחתית האתר או במסך ההגדרות באפליקציה.
