טופס לידים באתר: איך מאבטחים את המידע שנאסף לפי תקנות אבטחת המידע

נקודות עיקריות

• חוק הגנת הפרטיות מגדיר מאגר מידע כאוסף מידע אישי שמעובד באמצעי דיגיטלי. רשימת לידים פטורה רק במקרה מצומצם.
• ליד הטופס צריך להופיע מידע לפי סעיף 11: מטרה, מי מקבל את המידע, מי בעל השליטה במאגר, והזכות לעיין ולתקן.
• תקנה 14(ב) מחייבת להעביר מידע מהמאגר באינטרנט בשיטות הצפנה מקובלות.
• אחסון, תוסף הטפסים, מערכת ה-CRM וכלי הדיוור מקבלים גישה ללידים, ולכן חלה עליהם תקנה 15 (מיקור חוץ).
• לפי תקנה 2(ג) בודקים פעם בשנה אם נשמר מידע רב מהנדרש. לידים ישנים שלא הבשילו הם המועמדים הראשונים.

תוכן עניינים

• האם רשימת לידים מהאתר היא מאגר מידע?
• מה צריך לכתוב ליד טופס הלידים?
• איך מאבטחים את הטופס עצמו?
• לאן הלידים מגיעים ומה חל על הספקים?
• כמה זמן מותר לשמור לידים?
• צ׳קליסט: אבטחת טופס לידים ב-8 צעדים
• שאלות ותשובות

אבטחת טופס לידים היא כל הצעדים שמגנים על המידע שגולשים משאירים בטופס יצירת קשר, מהרגע שלחצו "שלח" ועד שהמידע נמחק. כל אתר עסקי כמעט מפעיל טופס כזה, והלידים עוברים בדרך כלל בשרשרת ארוכה: תוסף טפסים, מסד הנתונים של האתר, מייל התראה, מערכת CRM, אוטומציה וכלי דיוור. כל חוליה בשרשרת הזו יכולה להיות מקור לדליפה. הצעד הראשון הוא למפות את השרשרת, ואפשר לעשות זאת בעזרת מערכת הציות לחוק הגנת הפרטיות של Privorify.

האם רשימת לידים מהאתר היא מאגר מידע?

ברוב המקרים כן. החוק מגדיר מאגר מידע כ"אוסף פרטי מידע אישי המעובד באמצעי דיגיטלי". יש חריג לאוסף שכולל רק שם, מען ודרכי התקשרות של 100,000 אנשים לכל היותר, אבל הוא מצומצם, ורוב טפסי הלידים לא עומדים בתנאיו.

לפי ההגדרה, החריג חל רק כשהאוסף לא מלמד כשלעצמו על מידע אישי נוסף, ורק כשלבעל האוסף אין אוסף אחר עם פרטים נוספים על אותם אנשים. בפועל, טופס לידים כולל לרוב שדה "הודעה" או "באיזה שירות אתם מתעניינים", והלידים נכנסים ל-CRM לצד הערות שיחה וסטטוס מכירה. כבר בשלב הזה האוסף מלמד על יותר מפרטי קשר. הנחת העבודה הבטוחה היא להתייחס לרשימת הלידים כמאגר. על רמת האבטחה הנדרשת לעסקי מסחר מקוון ראו הגנת הפרטיות בחנות אונליין.

מה צריך לכתוב ליד טופס הלידים?

לפי סעיף 11 לחוק, פנייה לאדם לקבלת מידע אישי למאגר צריכה להיות מלווה בהודעה. בטופס לידים זו שורה או שתיים ליד כפתור השליחה, עם קישור למדיניות הפרטיות.

שני דברים נוספים קשורים לאותו שלב. אם רוצים לשלוח ללידים דיוור שיווקי, צריך הסכמה נפרדת לפי הכללים שמתוארים בדיוור ישיר אחרי תיקון 13, ולא שוטפים אותה לתוך כפתור השליחה. ומדיניות הפרטיות שהטופס מפנה אליה צריכה לתאר את השרשרת בפועל; ראו מדיניות פרטיות לאתר: מה חייב להופיע בה אחרי תיקון 13.

איך מאבטחים את טופס הלידים עצמו?

תקנה 14 לתקנות אבטחת המידע קובעת שלושה כללים שרלוונטיים לטופס: לא מחברים מערכות מאגר לאינטרנט בלי אמצעי הגנה מתאימים, מעבירים מידע באינטרנט בשיטות הצפנה מקובלות, ומוודאים את זהות מי שניגש מרחוק.

בפועל, הכללים האלה מתורגמים לכמה צעדים מוכרים:

• HTTPS בכל האתר, כולל עמוד הטופס וכתובת השליחה. כך המידע מוצפן בדרך מהדפדפן לשרת.
• עדכונים שוטפים של מערכת האתר, תבנית העיצוב ותוסף הטפסים. תוסף ישן הוא אחד מערוצי החדירה הנפוצים.
• אימות דו-שלבי לממשק הניהול, כי מי שנכנס לניהול האתר רואה בדרך כלל גם את הלידים. ראו סיסמאות ואימות דו-שלבי במאגר מידע.
• מייל התראה מצומצם: הודעה שיש ליד חדש, בלי לשכפל את כל הפרטים לתיבות דואר של כל העובדים.
• הגנה מפני ספאם ובוטים, שמצמצמת ניסיונות להזריק תוכן זדוני דרך הטופס.

אם הטופס אוסף מידע רגיש, כמו פרטים רפואיים או כלכליים, כדאי לשקול גם הצפנה באחסון. ראו הצפנת מידע אישי בעסק: מתי זו חובה ואיך בוחרים מה להצפין. ואם באתר פועלים גם פיקסלים של רשתות פרסום, כדאי לוודא שתוכן הטופס לא נשלח אליהם; ראו קוקיז ופיקסלים באתר.

לאן הלידים מגיעים ומה חל על הספקים?

כל ספק שמקבל גישה ללידים, כמו חברת האחסון, מערכת ה-CRM, כלי האוטומציה ושירות הדיוור, נחשב גורם חיצוני לפי תקנה 15. לפני ההתקשרות בודקים את סיכוני אבטחת המידע, ובהסכם קובעים מה מותר לספק לעשות עם המידע ומה קורה בסיום ההתקשרות.

תקנה 15 מחייבת לפרט בהסכם בין היתר: איזה מידע הספק רשאי לעבד ולאיזו מטרה, לאילו מערכות הוא רשאי לגשת, איך מחזירים או משמידים את המידע בסוף ההתקשרות, וחובת דיווח שנתית והודעה על אירוע אבטחה. עם ספקי ענן גדולים לרוב לא מנהלים משא ומתן על הסכם, ולכן העבודה היא לבדוק שתנאי העיבוד שלהם מכסים את הנושאים האלה. על רכיבי ההסכם ראו הסכם עיבוד מידע (DPA) עם ספק, ואת רשימת הספקים כדאי לתעד במסמך הגדרות המאגר.

כמה זמן מותר לשמור לידים מהאתר?

החוק לא קובע מספר ימים, אבל תקנה 2(ג) מחייבת לבדוק פעם בשנה אם נשמר במאגר מידע רב מהנדרש למטרותיו. ליד שפנה לפני שלוש שנים ולא הפך ללקוח הוא דוגמה מובהקת למידע שכבר אין בו צורך.

הרשימה של לידים ישנים לא תורמת כמעט למכירות, אבל היא מגדילה את הנזק אם המאגר ידלוף. דרך פשוטה ליישם את התקנה היא לקבוע תקופת שמירה ללידים שלא הבשילו, למחוק אותם בסופה, ולבדוק פעם בשנה שהמחיקה באמת קורית גם אצל הספקים. זכרו שלידים נשמרים לעתים בכמה מקומות בו זמנית: במסד הנתונים של האתר, במיילים וב-CRM.

צ׳קליסט: אבטחת טופס לידים ב-8 צעדים

הצ׳קליסט הזה מסדר את החובות לפי סדר העבודה, מהמיפוי ועד הבדיקה השנתית. אפשר לעבור עליו בפגישה אחת עם מי שמנהל את האתר.

1. מפו את כל הטפסים באתר ואת כל המקומות שאליהם הלידים מגיעים: מסד נתונים, מייל, CRM ואוטומציות.
2. הסירו מהטופס שדות שלא צריך, כמו תאריך לידה או מספר זהות.
3. הוסיפו ליד כפתור השליחה הודעה לפי סעיף 11 וקישור למדיניות הפרטיות.
4. ודאו HTTPS בכל האתר, ושכל העברה של לידים לספקים מוצפנת, לפי תקנה 14(ב).
5. עדכנו את מערכת האתר והתוספים, והפעילו אימות דו-שלבי לכל משתמשי הניהול.
6. בדקו שלכל ספק שנוגע בלידים יש הסכם שמכסה את נושאי תקנה 15.
7. הגבילו את הגישה ללידים למי שצריך אותם, ובטלו הרשאות של עובדים וספקים שסיימו.
8. קבעו תקופת שמירה, מחקו לידים ישנים, וחזרו על הבדיקה פעם בשנה לפי תקנה 2(ג).

האחריות לאבטחת המידע נשארת אצל העסק גם כשמי שבנה את האתר הוא ספק חיצוני: סעיף 17 לחוק עוסק באחריות לאבטחת מידע במאגר. לתמונה הרחבה של החובות של בעלי אתרים אחרי התיקון ראו את המדריך המלא לתיקון 13 לבעלי אתרים.

סיכום

• רשימת לידים מהאתר היא ברוב המקרים מאגר מידע, והחריג לרשימות של שם ופרטי קשר בלבד מצומצם.
• ליד הטופס מוסיפים הודעה לפי סעיף 11 וקישור למדיניות הפרטיות.
• מצפינים את ההעברה, מעדכנים את האתר ומגן על ממשק הניהול באימות דו-שלבי.
• מסדירים הסכם עם כל ספק, ומוחקים לידים ישנים בבדיקה השנתית.

שאלות ותשובות

האם רשימה של שמות וטלפונים מטופס באתר נחשבת מאגר מידע?

לרוב כן. החוק פוטר אוסף של שם, מען ודרכי התקשרות של עד 100,000 אנשים, אבל רק אם הוא לא מלמד על מידע נוסף ואם לבעל האוסף אין אוסף אחר על אותם אנשים. שדה הודעה, תחום עניין או רישום ב-CRM מוציאים בדרך כלל את הרשימה מהחריג.

מה חייב להופיע ליד כפתור השליחה של טופס לידים?

לפי סעיף 11 לחוק הגנת הפרטיות: האם המסירה תלויה בהסכמה ומה תוצאת אי-ההסכמה, מה המטרה, מי בעל השליטה במאגר ואיך פונים אליו, למי יימסר המידע, והזכות לעיין במידע ולבקש לתקן אותו.

האם חובה להצפין את טופס הלידים?

תקנה 14(ב) לתקנות אבטחת המידע מחייבת להעביר מידע מהמאגר באינטרנט בשיטות הצפנה מקובלות. בפועל, HTTPS בכל האתר והעברה מוצפנת של הלידים לספקים הם המינימום.

האם צריך הסכם עם מערכת ה-CRM שמקבלת את הלידים?

כן. ספק שמקבל גישה למאגר הוא גורם חיצוני לפי תקנה 15. לפני ההתקשרות בודקים את הסיכונים, ובהסכם קובעים את מטרות העיבוד, המערכות שהספק רשאי לגשת אליהן, מה קורה למידע בסיום ההתקשרות, וחובת דיווח על אירוע אבטחה.

מתי צריך למחוק לידים ישנים?

כשכבר אין בהם צורך למטרה שלשמה נאספו. תקנה 2(ג) מחייבת לבדוק פעם בשנה אם נשמר מידע רב מהנדרש, ולכן כדאי לקבוע תקופת שמירה ללידים שלא הבשילו ולמחוק אותם בכל המערכות.

לקריאה נוספת ומקורות

• חוק הגנת הפרטיות, התשמ״א-1981 — סעיף 3 (הגדרת מאגר מידע), סעיף 11 וסעיף 17
• תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 — תקנה 2, תקנה 14 (אבטחת תקשורת) ותקנה 15 (מיקור חוץ)

המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.