Privacy Score לא סורק את האתר שלכם, לא בודק את הקוד ולא מתחבר לשום מערכת אצלכם. הוא קורא את הטקסט של מדיניות הפרטיות שפרסמתם, ובודק עד כמה הוא מסביר בצורה ברורה ושימושית מה קורה למידע האישי של הגולשים שלכם. זו נקודת המוצא הכי חשובה להבנת כל דוח שתקבלו מהכלי - ולפני שמסתכלים על הציון עצמו, שווה להבין מה בדיוק עומד מאחוריו.
בפוסט הזה נסביר בשקיפות מלאה מה נכנס לציון, איך לפרש כל אחד ממצבי התשובה בדוח, ומה הכלי לעולם לא יוכל לדעת רק מקריאת המדיניות - כדי שתשתמשו בתוצאה בצורה נכונה, בין אם אתם בעלי העסק שקיבלתם דוח, ובין אם אתם אנשי מקצוע שבודקים אם השיטה מתאימה לשימוש.
איך Privacy Score בודק את מדיניות הפרטיות שלכם
הנקודה הכי חשובה להבין: Privacy Score בודק מה מדיניות הפרטיות שלכם אומרת לקוראים - לא את כל מה שקורה מאחורי הקלעים בעסק.
המערכת בוחנת את מה שכתוב במדיניות עצמה, מול הדרישות שחשוב לגלות בישראל, הנחיות רשמיות, ודרכי כתיבה שעוזרות לקוראים להבין את המדיניות טוב יותר. אם רוצים להבין קודם מה בכלל אמור להיות כתוב במדיניות פרטיות טובה, המדריך המלא לפי תיקון 13 הוא נקודת התחלה טובה לפני שמתעמקים בשיטת הבדיקה עצמה.
הציון שמתקבל בסוף אינו אישור שהעסק עומד בכל דרישות החוק, והוא גם אינו קובע שהעסק מפר אותו. הוא משקף אך ורק את איכות, הכיסוי והבהירות של מה שנכתב במסמך שנבדק.
איך לקרוא את תוצאות הבדיקה - 5 מצבים שכדאי להכיר
לכל בדיקה בדוח, המערכת עשויה להציג אחד מחמישה מצבים:
- מכוסה במדיניות - המידע מופיע באופן ברור ומספיק בטקסט.
- מכוסה חלקית - הנושא מוזכר, אבל חסר פרט חשוב או שהניסוח אינו מספיק ברור.
- לא נמצא במדיניות - המידע שניתן לבדוק לא הופיע בטקסט שנמסר.
- לא ניתן לקבוע מהמדיניות - התשובה תלויה במה שהעסק עושה בפועל, ולכן אי אפשר לדעת אותה רק מקריאת מסמך ציבורי.
- לא רלוונטי לפי הטקסט - רק כאשר עולה מהמדיניות עצמה, באופן ברור, שהבדיקה הזו אינה רלוונטית בנסיבות המתוארות במסמך.
זו נקודה שכדאי לזכור לפני כל דבר אחר בפוסט הזה: מצב "לא נמצא במדיניות" אינו אומר בהכרח שהעסק לא עושה את הדבר בפועל. הוא אומר שהקוראים אינם מקבלים עליו הסבר מספיק במדיניות שנבדקה.
מה בדיוק נכנס לציון
3 סוגי הבדיקה ומשקלן
הציון הכולל מורכב משלושה מרכיבים, בחלקים יחסיים שונים:
| סוג הבדיקה | חלק יחסי בציון | מה זה אומר בפשטות |
|---|---|---|
| דרישות גילוי מרכזיות | 70% | האם המדיניות מסבירה את הפרטים העיקריים שהקוראים צריכים לדעת |
| הנחיות רשמיות | 20% | האם המדיניות עומדת בציפיות ההסבר והשקיפות של הרשות להגנת הפרטיות |
| איכות ובהירות | 10% | האם המדיניות נותנת הקשר שימושי, כתובה באופן ברור ומתוחזקת |
הציון משוקלל לפי שלושת מרכיבי הבדיקה שלמעלה: לנושאים מרכזיים יש השפעה גדולה יותר על הציון מנקודות איכות משניות, וממצא מלא, חלקי או חסר לא משפיעים על התוצאה באותה מידה. בדיקות שאי אפשר להכריע בהן רק מתוך טקסט המדיניות מטופלות בנפרד, כדי שאי-ודאות לגבי המציאות לא תיספר כפער מוכח במדיניות.
הדירוג הסופי הוא A, B או C. אם אין מספיק בדיקות שאפשר לענות עליהן מתוך טקסט המדיניות, הדוח מציג "הערכה מוגבלת" במקום דירוג - וחשוב להבהיר: זו לא בהכרח קביעה שהעסק "נכשל". המשמעות היא שאין מספיק מידע בטקסט כדי לענות על מספיק מהבדיקות.
:::panel--outlined
מה זה "הערכה מוגבלת"? זה לא ציון נמוך במיוחד וזו לא הרשעה. זו הודעה טכנית שאומרת: "אין מספיק בדיקות שאפשר לענות עליהן מתוך הטקסט כדי לתת דירוג אמין". במקרה כזה, כדאי לבדוק את הנושאים הספציפיים שהדוח מציין כלא ניתנים להערכה, ולבחון האם חסר במדיניות מידע שכדאי להוסיף, או שמדובר בנושא שבאמת דורש בדיקה מחוץ לטקסט.
:::
דוגמה: כך זה נראה על נושא אמיתי
בדוח לעסק, המערכת סוקרת 15 תחומים במדיניות (הרשימה המלאה מופיעה בדוח עצמו). כדי להמחיש איך זה עובד בפועל, הנה כמה דוגמאות מייצגות. הדוגמאות הבאות מתארות את אופן הניתוח של Privacy Score, ולא רשימה עצמאית של חובות גילוי לפי החוק:
| נושא | מה נבדק | גבול חשוב לזכור |
|---|---|---|
| זהות העסק ודרך יצירת קשר | מי אחראי למידע ואיך אפשר לפנות אליו באופן שימושי | מספר חברה, כתובת וטלפון יכולים להוסיף מידע, אבל היעדרם לבדו אינו מוריד ציון אם הזהות ודרך הקשר ברורות |
| מטרות האיסוף והשימוש | למה העסק מבקש את המידע ולמה הוא משתמש בו, לפי מה שנכתב במדיניות | אי אפשר לדעת מהמדיניות בלבד אם העסק משתמש במידע בפועל רק למטרות שהוגדרו |
| זכויות של אנשים | האם יש הסבר על אפשרות לעיין במידע ולבקש לתקן מידע לא נכון | היעדר המילה "מחיקה" לבדו אינו מוריד ציון, ואין לתאר מחיקה כזכות אוטומטית למחוק כל מידע בכל מצב |
| שיתוף מידע והעברה לחו"ל | אילו סוגי גורמים עשויים לקבל מידע, ולשם מה - ואם יש אזכור מפורש להעברה לחו"ל, גם אם היעד מוסבר | אי אפשר לדעת רק מהמדיניות אם ההעברה לחו"ל אכן מתבצעת בפועל בדרך הנכונה |
סימנים נוספים שהדוח עשוי להעלות
מעבר ל-15 הנושאים, הדוח עשוי להציג גם סימני בדיקה שאינם ציון נוסף, אלא תזכורות לבדיקה אנושית:
- ניסוח שעלול להטעות - רק כאשר יש ציטוט מדויק במדיניות שתומך בכך, למשל ויתור גורף על אחריות לפרטיות או אבטחה, או אמירה שהמשך שימוש באתר מאשר כל שימוש עתידי במידע.
- סתירה בין שני משפטים באותו נושא - אך רק במקרים מוגדרים ושמרניים, למשל טענה מפורשת שאין העברת מידע, לצד תיאור של נמענים חיצוניים שכן מקבלים אותו. הצהרה כללית כמו "אין שיתוף מידע" אינה נספרת אוטומטית כסתירה, כי מדיניות יכולה להבחין בין מכירה או העברה של מידע לבין שימוש בספקים חיצוניים לתפעול השירות.
- הצהרה מפורשת על מידע של ילדים או על אנשים שאינם משתמשי השירות, וכן הצהרה מפורשת וגורפת שאין שימוש בעוגיות, במעקב או באנליטיקה - האות בנושא עוגיות מופעל לפי מה שכתוב בטקסט המדיניות, לא לפי בדיקה בפועל של האתר.
חשוב לנסח את זה נכון: אלה תזכורות לבדיקה אנושית, לא בדיקה טכנית של האתר ולא קביעה משפטית. המערכת עשויה לסמן נקודה לבדיקה - היא לא "מוכיחה" שהמדיניות מטעה.
מה Privacy Score לא יכול לדעת רק מקריאת המדיניות
זה אולי החלק הכי חשוב בפוסט הזה, כי הוא קובע איך נכון להשתמש בציון שקיבלתם. יש שורה ארוכה של דברים ש-Privacy Score פשוט לא יכול לראות או לדעת בוודאות רק מקריאת מדיניות פרטיות:
- מה האתר והעסק עושים בפועל עם מידע לאחר שנאסף.
- טפסים, תיבות סימון, מסכי הסכמה ותהליך קבלת ההסכמה בפועל.
- כלים טכניים שמותקנים באתר - עוגיות, אנליטיקה, פיקסלים, או העברות מידע שקורות בפועל.
- אמצעי אבטחת מידע, הרשאות עובדים, הצפנה, גיבויים, סודיות או נהלי עבודה פנימיים.
- טיפול אמיתי באירועי אבטחה ודיווחים שנדרשים במקרים מסוימים.
- חוזים מול ספקים, גורמים שמעבדים עבורכם מידע, צדדים שלישיים או גורמים מחוץ לישראל.
- תקינות של העברת מידע לחו"ל בפועל.
- האם העסק מבצע בדיקות תקופתיות של מידע שאינו נחוץ עוד.
- האם קיימת חובה למנות ממונה על הגנת הפרטיות במקרה הספציפי שלכם, או האם החובה הזו מתקיימת בפועל.
- כל נקודת איסוף מידע שאינה מוצגת במדיניות שנשלחה לניתוח.
- עמידה מלאה בחוק, התאמה לתקנות נוספות, או ייעוץ משפטי אישי.
זו לא חולשה ייחודית ל-Privacy Score - זו תוצאה טבעית מהאופן שבו הכלי עובד: הוא קורא טקסט כתוב, ולכן הוא פשוט לא יכול לדעת מה קורה מעבר לטקסט הזה.
איך להשתמש נכון בציון שקיבלתם
הדרך הנכונה להתייחס לדוח היא ככלי שמצביע איפה הטקסט שלכם ברור ואיפה הוא לא - לא ככלי שקובע אם העסק שלכם "בסדר" מבחינה משפטית.
:::panel--soft
גם מדיניות כתובה היטב אינה מחליפה בדיקה של התהליכים בפועל בעסק. ציון גבוה אומר שהמסמך שלכם מסביר טוב את מה שהמדיניות אומרת שקורה עם המידע - הוא לא אומר שכל תהליך פנימי בעסק תואם למה שכתוב בו.
:::
בפועל, זה אומר שכדאי להתייחס לממצאים בדוח בשני שלבים: קודם לתקן את מה שחסר או עמום בטקסט עצמו (זה בדיוק מה ש-Privacy Score עוזר לזהות), ואחר כך, בנפרד, לבדוק מול מי שמכיר את העסק שלכם - מפתח, איש שיווק, ממונה הגנת הפרטיות בעסק (אם יש כזה), או עורך דין - אם התהליכים בפועל אכן תואמים למה שכתוב. אם אתם רוצים להבין אילו נושאים נוספים כדאי לבדוק מעבר למסמך המדיניות עצמו, הפוסט מדיניות פרטיות זה לא עמידה בחוק - הנה מה שבאמת נדרש ב-MindfulWebNerd מרחיב בדיוק על כך.
שאלות נפוצות
האם ציון גבוה ב-Privacy Score אומר שהעסק שלי עומד בחוק?
לא. הציון משקף עד כמה מדיניות הפרטיות שלכם ברורה, מלאה ומסבירה את מה שהיא אמורה להסביר. הוא אינו אישור משפטי לעמידה בדין ואינו תחליף לייעוץ משפטי מקצועי.
האם הכלי בודק את האתר בפועל - עוגיות, אבטחה, טפסי הסכמה?
לא. Privacy Score קורא את טקסט מדיניות הפרטיות בלבד. הוא אינו סורק את האתר, אינו בודק כלים טכניים כמו עוגיות או אנליטיקה בפועל, ואינו מעריך אמצעי אבטחת מידע או תהליכי הסכמה בפועל.
"לא נמצא במדיניות" - זה אומר שהעסק לא עושה את זה בפועל?
לא בהכרח. זה אומר שהקוראים אינם מקבלים על כך הסבר מספיק בטקסט שנבדק. ייתכן שהעסק כן עושה את הדבר, אבל פשוט לא כתב עליו במדיניות.
האם צריך למנות ממונה על הגנת הפרטיות כדי לקבל ציון טוב?
Privacy Score לא קובע מהמדיניות בלבד אם עסק מסוים חייב למנות ממונה על הגנת הפרטיות, וגם לא קובע שאם אין אזכור על כך במדיניות, זה אומר שאין חובה כזו. אם יש במדיניות מידע רלוונטי על ממונה, הדוח יבחן אם פרטי הקשר שימושיים - אך השאלה אם יש חובת מינוי היא שאלה נפרדת שדורשת בדיקה מול העסק עצמו.
סיכום
Privacy Score מנתח את נוסח מדיניות הפרטיות שלכם ואת בהירות הגילוי לקוראים - שלושה מרכיבים (דרישות גילוי מרכזיות, הנחיות רשמיות, ואיכות ובהירות), חמישה מצבי תשובה אפשריים לכל בדיקה בדוח, ורשימה ברורה של דברים שהכלי פשוט לא יכול לדעת רק מקריאת הטקסט. ציון גבוה הוא סימן טוב לכך שהמדיניות שלכם ברורה ומועילה לקוראים - לא אישור שהעסק עומד בכל דרישות החוק, ודירוג נמוך יותר מצביע על נקודות בטקסט שכדאי לבדוק ולשפר - לא על קביעה שהעסק מפר את החוק.
המידע כללי ואינו מהווה ייעוץ משפטי, אינו בודק עמידה ב-GDPR, ואינו בודק את הפעילות בפועל בתוך העסק.
עכשיו כשאתם יודעים בדיוק מה נבדק ומה לא - הריצו בדיקת Privacy Score חינמית על המדיניות שלכם ותראו איפה היא כבר ברורה, ואיפה כדאי לחדד אותה.