חובת יידוע היא החובה הנפוצה ביותר שעסקים בישראל מפרים בלי לשים לב. כל טופס יצירת קשר באתר, כל הרשמה לרשימת תפוצה וכל טופס קליטה של לקוח חדש הם פנייה לאדם לקבלת מידע עליו, ולכן הם מפעילים את החובה הזו. ב-Privorify אנחנו נתקלים שוב ושוב באותה תמונה: לעסק יש מדיניות פרטיות מסודרת, אבל בנקודה שבה המידע נאסף בפועל — הטופס עצמו — אין אף מילה שמסבירה למה המידע נאסף.
מה בדיוק דורשת חובת היידוע לפי סעיף 11?
סעיף 11 לחוק הגנת הפרטיות קובע שפנייה לאדם לקבלת מידע שיישמר או ישמש במאגר מידע חייבת להיות מלווה בהודעה. ההודעה צריכה לכלול שלושה רכיבים בסיסיים:
- אם קיימת חובה חוקית למסור את המידע, או שמסירתו תלויה ברצונו ובהסכמתו של האדם.
- המטרה שלשמה מבוקש המידע — מה העסק עומד לעשות איתו.
- למי יימסר המידע ומה מטרות המסירה — כולל צדדים שלישיים שמעבדים את המידע עבור העסק.
שימו לב לניסוח: החובה חלה בעת הפנייה, לא בדיעבד. זו הסיבה שהצבת לינק למדיניות הפרטיות בתחתית האתר בלבד אינה פתרון מושלם — המידע צריך להיות זמין לאדם ברגע שבו הוא מתבקש למסור את פרטיו.
מה השתנה בחובת היידוע אחרי תיקון 13?
תיקון 13 הרחיב את היקף הגילוי הנדרש. מעבר לשלושת הרכיבים הוותיקים, נדרש להסביר גם מהי התוצאה של אי-מסירת המידע או אי מתן הסכמה, וליידע את האדם בדבר זכויותיו לעיין במידע, לבקש את תיקונו ולבקש את מחיקתו. בפרקטיקה זה אומר שהודעת יידוע שנוסחה לפני שנים ולא עודכנה מאז עשויה להיות חסרה היום.
הרכיב של תוצאת אי-ההסכמה חשוב במיוחד, משום שהוא מכריח עסקים להיות כנים מול עצמם. אם לקוח שמסרב לקבל דיוור שיווקי עדיין יכול לקבל את השירות במלואו, צריך לומר זאת. אם ללא מסירת פרט מסוים לא ניתן לספק את השירות, צריך לומר גם את זה.
למה עמידה בסעיף 11 היא רק המינימום?
עמדת הרשות להגנת הפרטיות, כפי שעולה מגילוי דעת שפרסמה בנושא הסכמה בדיני הגנת הפרטיות, היא שעמידה בדרישות סעיף 11 מהווה דרישת מינימום לקיום חובת היידוע, אך אינה מבטיחה בהכרח שההסכמה שניתנה היא הסכמה מדעת. לפי נסיבות ההסכמה המבוקשת, ייתכן שיידרש גילוי רחב ומפורט יותר.
מתי נדרש יותר? בדרך כלל כאשר השימוש במידע חורג ממה שאדם סביר היה מצפה לו. למשל, כאשר מידע שנמסר לצורך שירות משמש גם לפרופילינג שיווקי, כאשר המידע מועבר לגורמים נוספים, או כאשר מדובר במידע רגיש במיוחד. המבחן המעשי פשוט: אם הלקוח היה מופתע לגלות מה נעשה עם המידע שלו, היידוע כנראה לא היה מספיק.
איפה היידוע צריך להופיע בפועל?
היידוע צריך להופיע בנקודת האיסוף עצמה. אלה המקומות הנפוצים שבהם הוא נדרש בעסק טיפוסי:
- טופסי יצירת קשר וטופסי השארת פרטים באתר.
- הרשמה לניוזלטר או למועדון לקוחות.
- טופסי קליטה של לקוחות או של מועמדים לעבודה.
- שיחות טלפון שבהן נאספים פרטים לצורך שמירה במערכת.
- טפסים פיזיים בנקודת המכירה או בקבלת שירות.
הנוסח אינו חייב להיות ארוך. משפט קצר מתחת לטופס, שמסביר למה הפרטים נאספים ומפנה למדיניות הפרטיות המלאה, עדיף על פסקה משפטית שאף אחד לא קורא.
איך מנסחים הודעת יידוע שעובדת?
הדרך הפשוטה היא לענות על ארבע שאלות במשפט או שניים כל אחת:
| השאלה | דוגמה לניסוח |
|---|---|
| חובה או הסכמה? | מסירת הפרטים אינה חובה חוקית ונעשית בהסכמתכם |
| למה אנחנו אוספים? | הפרטים ישמשו למתן מענה לפנייתכם ולניהול השירות |
| למי זה עובר? | המידע נשמר במערכת ניהול לקוחות ובכלי דיוור המשמשים אותנו |
| מה אם לא אסכים? | ניתן לפנות אלינו גם בטלפון בלי למלא את הטופס |
שני כללים נוספים עוזרים: אל תסמנו מראש תיבת הסכמה לדיוור שיווקי, ואל תאגדו הסכמה לשירות עם הסכמה לשיווק בתיבה אחת. הפרדה של השתיים מחזקת את הטענה שההסכמה ניתנה באופן חופשי ומדעת.
מה ההבדל בין הודעת יידוע למדיניות פרטיות?
הודעת היידוע היא נקודתית וצמודה לרגע האיסוף; מדיניות הפרטיות היא מסמך כולל וקבוע שמתאר את כל פעולות העיבוד בארגון. שתיהן נדרשות, והן אינן מחליפות זו את זו. חשוב גם שהן לא יסתרו זו את זו: סתירה בין מה שכתוב בטופס לבין מה שכתוב במדיניות היא בדיוק הסוג של ממצא שעולה בהליכי פיקוח של הרשות. בדומה לכך, היידוע על זכות העיון מחייב שיהיה בפועל תהליך סדור לטיפול בבקשות עיון מאחורי ההצהרה. לסקירה רחבה יותר ראו את המדריך המלא לתיקון 13.
איך בודקים שהיידוע באתר שלכם תקין?
בדיקה עצמית קצרה חושפת את רוב הפערים בתוך שעה. עברו על הסעיפים הבאים מול כל טופס פעיל באתר:
- מיפוי טפסים — האם יש לכם רשימה מלאה של כל המקומות באתר שבהם משתמש משאיר פרטים? טפסים בדף נחיתה ישן או בחלון קופץ נוטים להישכח.
- נוסח צמוד — האם ליד כל טופס מופיע הסבר קצר, או שההסבר קיים רק במסמך נפרד?
- התאמה למציאות — האם המטרות שמצוינות בטופס הן באמת המטרות שלשמן המידע משמש היום, או שנוספו בינתיים שימושים חדשים?
- צדדים שלישיים — האם כל הכלים שמקבלים את פרטי הלקוח — מערכת ניהול לקוחות, כלי דיוור, ספק אחסון — משתקפים בהצהרה?
- עקביות בערוצים — האם הנוסח בטופס הדיגיטלי ובטופס הפיזי אומרים אותו דבר?
אם מצאתם טופס שאינו עומד בסעיפים האלה, התיקון בדרך כלל פשוט: הוספת שלושה עד ארבעה משפטים מתחת לשדות הטופס. עדיף לעשות את זה עכשיו ובאופן אחיד בכל הטפסים, מאשר לנסות לשחזר בדיעבד מה הוצג למשתמש לפני שנה.
שאלות ותשובות
האם חובת היידוע חלה גם על עסק קטן מאוד?
החובה קשורה לפעולה של איסוף מידע למאגר, ולא לגודל העסק. עסק קטן שמנהל רשימת לקוחות במערכת דיגיטלית נדרש ליידע בדיוק כמו ארגון גדול.
האם מספיק לשים לינק למדיניות הפרטיות בטופס?
לינק הוא רכיב נדרש אך לא מספיק בפני עצמו. המידע המהותי — מטרת האיסוף, האם המסירה ולונטרית ולמי המידע עובר — צריך להיות גלוי לעין בנקודת האיסוף עצמה.
מה צריך לעשות עם רשימות שנאספו לפני שנים בלי יידוע מסודר?
זהו מצב שדורש בחינה פרטנית של הנסיבות. באופן כללי, נהוג למפות את מקור המידע, לבחון אם השימוש הנוכחי תואם למטרה שלשמה נאסף, ולשקול פנייה מחודשת. במקרים האלה כדאי להיוועץ בבעל מקצוע.
האם היידוע חייב להיות בכתב?
החוק מדבר על הודעה המלווה את הפנייה. מבחינה מעשית, תיעוד בכתב הוא הדרך היחידה להוכיח בדיעבד שהיידוע ניתן, ולכן מומלץ לשמור תיעוד של הנוסח שהוצג ושל מועד השינויים בו.
האם צריך ליידע מחדש כשמטרת השימוש משתנה?
כן. כאשר המידע מתחיל לשמש למטרה חדשה שהאדם לא יודע עליה, היידוע המקורי כבר אינו מכסה את השימוש בפועל. שינוי מהותי במטרות הוא אירוע שמצדיק עדכון ובחינה מחדש של בסיס ההסכמה.
המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
שני מקרים שבהם חובת היידוע נבחנת בפועל
- פרטיות ילדים במוסדות חינוך וצהרונים — היידוע נמסר להורה ולא לנושא המידע עצמו — מצב שמחייב ניסוח שונה והסכמה נפרדת לצילום.
- מצלמות אבטחה ופרטיות — שילוט בכניסה הוא יידוע לכל דבר וענין — ובדרך כלל הוא היידוע היחיד שהמצולם יקבל.
להמשך קריאה
- הסכמה מדעת לעיבוד מידע אישי: איך מנסחים ומתעדים אותה — היידוע הוא רק החצי הראשון; ההסכמה עצמה צריכה להיות מנוסחת ומתועדת כך שתחזיק מים מול הרשות.
- פרטיות מועמדים בגיוס: מה מותר לאסוף בתהליך המיון — חובת היידוע לפי סעיף 11 חלה גם על מועמדים לעבודה, ושם היא נבדקת בפועל.
מקורות רשמיים לחובת היידוע
- חוק הגנת הפרטיות, התשמ״א-1981 — נוסח החוק (ויקיטקסט) — סעיף 11 קובע שפניה לאדם לשם קבלת מידע שיישמר במאגר תלווה בהודעה, ומפרט מה חייבת ההודעה לכלול.
- הרשות להגנת הפרטיות — שאלות ותשובות על תיקון 13 — עמדת הרשות על החובות שחלות על בעלי מאגרי מידע אחרי כניסת התיקון לתוקף.
- אתר הרשות להגנת הפרטיות — הנחיות, גילויי דעת ופרסומי אכיפה עדכניים.
חובת היידוע בשני הערוצים הנפוצים
שני המקומות שבהם עסקים פוגשים את סעיף 11 הכי הרבה בפועל: מדיניות הפרטיות באתר, שבה מפרטים לגולשים אילו פרטים נאספים ולאיזו מטרה, ודיוור ישיר ורשימות תפוצה, שבהם כדאי שההודעה על השימוש השיווקי בפרטים תופיע כבר בטופס ההרשמה.
להמשך קריאה
- שעון נוכחות ביומטרי בעבודה: מה מותר למעסיק לדרוש
- תובענה ייצוגית בגלל דליפת מידע: מה החשיפה האזרחית של העסק
קריאה משלימה: הקלטת שיחות
