באוגוסט 2026 פרסמה הרשות להגנת הפרטיות הודעה על הטלת עיצום כספי על חברת קרטינג חוצות, בעקבות טופס הרשמה שאסף מידע אישי בלי ליידע כראוי את מי שמסר את הפרטים. אם יש לכם טופס הרשמה, טופס יצירת קשר או כל דף באתר שאוסף פרטים אישיים, ההודעה הזו רלוונטית גם אליכם - אבל לא בדיוק כמו שנוטים לחשוב. חובת היידוע לפי סעיף 11 לחוק הגנת הפרטיות היא חובה למסור מידע מסוים לאדם בעת איסוף המידע ממנו - לא רק חובה "לכתוב את זה במדיניות הפרטיות". מדיניות הפרטיות יכולה לרכז ולהרחיב חלק גדול מהמידע הזה, אבל היא לא בהכרח כל מנגנון היידוע. במאמר הזה נעבור על המקרה, נסביר מה סעיף 11 באמת דורש, ונראה מה מדיניות הפרטיות שלכם יכולה לכסות - ומה עדיין כדאי לבדוק בנקודות האיסוף עצמן.
מה קרה בפועל - העיצום על קרטינג חוצות
לפי דיווחים על החלטת הרשות להגנת הפרטיות שפורסמה באוגוסט 2026, חברת א.ד קרטינג חוצות (2014) בע"מ הפעילה טופס הרשמה מקוונת שאסף שמות מלאים, מספרי תעודת זהות, תאריכי לידה, מספרי טלפון ופרטי קטינים - בלי יידוע מתאים על מטרת האיסוף, זהות בעל השליטה במאגר, ולפי חלק מהדיווחים גם ללא פירוט על נמעני המידע. הבדיקה נפתחה, על פי הדיווחים, בעקבות תלונת לקוחה שנדרשה למסור פרטים אישיים מפורטים בלי יידוע נאות. הרשות הפחיתה את העיצום מ-20,000 ש"ח ל-12,000 ש"ח, בהתחשב - כך על פי הדיווחים - בהיעדר הפרות קודמות ובצעדי תיקון שננקטו לאחר פתיחת הבדיקה.
מקור: הודעת הרשות להגנת הפרטיות. פרטי המקרה במאמר זה מבוססים על סיקור משני עצמאי; מומלץ לאמת אותם מול נוסח ההחלטה המלא לפני הסתמכות עליהם.
מה זו חובת היידוע - ולמה היא לא זהה למדיניות הפרטיות
סעיף 11 לחוק הגנת הפרטיות מחייב למסור לאדם מידע מסוים בעת שמבקשים ממנו למסור פרטים אישיים - למשל בטופס הרשמה, בשיחת טלפון או בכל נקודת איסוף אחרת. לפי הנחיית הרשות, היידוע אמור להימסר יחד עם הבקשה למידע עצמה - כלומר בנקודת האיסוף, ולא רק במקום כללי באתר.
מדיניות הפרטיות היא מסמך חשוב שיכול לרכז ולהרחיב חלק ניכר מהמידע הזה, ולתת לו הקשר מלא יותר ממה שמעשי להציג לצד כל טופס. אבל זו לא בהכרח אותה חובה: מדיניות מקיפה שמפורסמת בעמוד נפרד לא בהכרח פותרת את השאלה אם היידוע הנדרש הוצג בפועל למי שנתבקש למסור את הפרטים, ברגע שבו הוא נתבקש למסור אותם. מבחינת מדיניות הפרטיות, השאלה המרכזית היא מה היא מסבירה על איסוף המידע, ומה עדיין צריך להציג בנקודת האיסוף עצמה.
הפרטים המרכזיים שהיידוע לפי סעיף 11 צריך לכסות
לפי סעיף 11 לחוק הגנת הפרטיות, ולפי התוספות שנוספו בתיקון 13, ההיידוע צריך לכסות בין היתר:
- האם קיימת חובה חוקית למסור את המידע, או שהמסירה תלויה ברצון ובהסכמה - ואם אין חובה כזו, מה תוצאת אי-ההסכמה.
- מה המטרה שלשמה מבוקש המידע.
- מי בעל השליטה במאגר המידע, ואיך ניתן ליצור איתו קשר.
- למי יימסר המידע ולאילו מטרות - כאשר המידע נמסר לגורמים אחרים.
- קיומה של הזכות לעיין במידע לפי סעיף 13 לחוק, והזכות לבקש תיקון לפי סעיף 14.
מבחינה מעשית, כדאי שהמדיניות גם תסביר בצורה ברורה איך פונים למימוש הזכויות האלה - זו לא דרישת הסעיף במילותיו, אלא שקיפות שימושית שמקלה על הקורא.
במקרה של קרטינג חוצות, הדיווחים על החלטת הרשות מתייחסים בעיקר להיעדר הסבר על מטרת האיסוף, היעדר זיהוי ברור של בעל השליטה במאגר, ולפי חלק מהמקורות גם היעדר פירוט על נמעני המידע. זה לא אומר שכל חמשת הפרטים שלמעלה נבדקו ונמצאו חסרים במקרה הספציפי הזה - רק שאלה הפרטים שמוזכרים במפורש בסיקור שסקרנו.
מה אפשר לבדוק בטקסט המדיניות - ומה דורש אימות מחוץ לו
יש הבדל חשוב בין מה שאפשר ללמוד מקריאת טקסט המדיניות, לבין מה שדורש בדיקה בפועל - הן מול העסק והן מול האתר עצמו.
אפשר לבדוק ישירות בטקסט המדיניות:
- האם מוסברת מטרת האיסוף.
- האם מזוהה בעל השליטה במאגר המידע ואיך יוצרים איתו קשר.
- האם מוזכרים צדדים שלישיים שמקבלים את המידע, אם רלוונטי.
- האם יש התייחסות לזכויות עיון ותיקון.
דורש אימות מחוץ לטקסט:
- האם היידוע הנדרש מוצג בפועל לצד כל טופס שאוסף מידע, ולא רק קיים בעמוד מדיניות נפרד.
- האם העסק פועל בפועל כפי שהמדיניות מתארת.
- האם יש צורך במינוי ממונה על הגנת הפרטיות (DPO) - שאלה תפעולית רחבה יותר.
הצהרה במדיניות אינה הוכחה למה שקורה בפועל בעסק. Privacy Score יכול לזהות מה כתוב, או לא כתוב, בטקסט המדיניות הציבורי - אבל הוא לא בודק את הטפסים, את הקוד או את הממשק של האתר, ולכן הוא לא יכול לקבוע אם היידוע הנדרש אכן מוצג בפועל לצד נקודת האיסוף עצמה.
איך בודקים את זה אצלכם עכשיו
כדאי לבצע שתי בדיקות נפרדות:
בדיקה 1 - עברו על המדיניות עצמה
האם היא מסבירה את מטרות האיסוף, זהות בעל השליטה במאגר, נמעני המידע (אם רלוונטי) והזכויות לעיון ותיקון? כשהניסוח כללי מדי - למשל "לצורך מתן השירות" בלי הסבר נוסף - כדאי לשאול אם הוא באמת מבהיר לקורא מה נעשה במידע בפועל, גם אם ניסוח כזה, כשלעצמו, לא בהכרח פסול.
בדיקה 2 - עברו על נקודות האיסוף
האם המידע הנדרש מהיידוע נגיש למשתמש כחלק מתהליך מסירת הפרטים עצמו - למשל ליד הטופס או בסמוך אליו - ולא רק קיים במקום אחר באתר? זו הבדיקה שהמקרה של קרטינג חוצות ממחיש: הרשות מתייחסת לתזמון ולמיקום של היידוע כעניין מהותי, לא רק לתוכן שלו.
לרשימה המלאה של 12 הנושאים שכדאי לבדוק במדיניות פרטיות, אפשר לעבור על המדריך המלא לעדכון מדיניות הפרטיות לפי תיקון 13.
שאלות נפוצות
מה ההבדל בין מדיניות פרטיות לבין חובת היידוע?
מדיניות הפרטיות יכולה לרכז ולהסביר את המידע שהעסק מוסר על אופן השימוש במידע אישי. חובת היידוע לפי סעיף 11 מתייחסת גם לאופן שבו המידע נמסר לאדם בעת איסוף פרטיו - כלומר בנקודת האיסוף עצמה. לכן מדיניות מפורטת היא חלק חשוב מהתמונה, אבל צריך לבדוק גם מה מוצג בפועל לצד הטפסים ונקודות האיסוף.
כמה עולה אי-עמידה בחובת היידוע?
במקרה של קרטינג חוצות העיצום הועמד, על פי הדיווחים, על 12,000 ש"ח, לאחר הפחתה מ-20,000 ש"ח. הסכום בכל מקרה נקבע לפי הנסיבות הספציפיות, ואינו מהווה תעריף קבוע.
סיכום
חובת היידוע לפי סעיף 11 היא חובה למסור מידע מסוים בעת איסוף פרטים אישיים - לא רק חובה לפרסם מדיניות פרטיות. המקרה של קרטינג חוצות מראה שהיעדר הסברים בסיסיים על מטרת האיסוף וזהות בעל השליטה במאגר, בנקודה שבה המידע נאסף בפועל, יכול להוביל לעיצום כספי. מדיניות פרטיות טובה היא כלי מרכזי למילוי החובה הזו - אבל כדאי לבדוק גם מה קורה בפועל בנקודות האיסוף עצמן.
רוצים לראות איך המדיניות שלכם נראית מול הנושאים האלה? הדביקו את כתובת מדיניות הפרטיות ב-Privacy Score וקבלו ניתוח ראשוני של הטקסט והממצאים שכדאי לבדוק.