רוב מדיניות הפרטיות שאנחנו פוגשים ברשת נכתבות כאילו הקורא שלהן הוא עורך הדין של החברה. הן ארוכות, עמוסות בהגדרות, ומנוסחות בשפה שגם משפטן מנוסה צריך לפעמים לקרוא פעמיים.
התוצאה די צפויה – כמעט אף אחד לא קורא אותן.
וזו לא רק בעיית תקשורת, מדיניות פרטיות אמורה לעשות דבר בסיסי מאוד – להסביר לאדם איזה מידע נאסף עליו ומה עושים בו, אם אי אפשר להבין אותה, קשה לומר שהיא באמת ממלאת את התפקיד הזה.
לנקודה הזו יש גם משמעות משפטית ישירה. חובת היידוע לפי חוק הגנת הפרטיות נועדה להבטיח שאדם יבין מי אוסף עליו מידע, לאיזו מטרה, למי הוא עשוי להימסר ומהן זכויותיו. כאשר עיבוד המידע מבוסס על הסכמה, איכות היידוע משפיעה גם על השאלה אם ההסכמה ניתנה מדעת. תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף בשנת 2025, הרחיב את הפרטים שיש למסור במסגרת חובת היידוע, ובמקביל חיזק משמעותית את כלי האכיפה בחוק.
מכאן מתחיל הכלל הראשון, אל תתחילו בניסוח – תתחילו בעובדות
קודם מפו את המידע, אחר כך ערכו את המסמך
לפני שכותבים מילה אחת צריך לדעת מה העסק באמת עושה עם מידע אישי: איזה מידע נאסף, מאיפה הוא מגיע, לאילו מטרות משתמשים בו, מי מקבל אותו, אילו ספקים מעבדים אותו וכמה זמן שומרים אותו.
מדיניות פרטיות אינה תרגיל בכתיבה משפטית, היא תיאור של מערכת עובדת.
לכן מסמך שנשמע מצוין אבל לא תואם את המציאות מסוכן הרבה יותר ממסמך פשוט וישיר. אם החברה מצהירה דבר אחד ועושה דבר אחר, הבעיה כבר אינה סגנונית. תיקון 13 הרחיב באופן ניכר את סמכויות האכיפה של הרשות, ובמקביל הרחיב את האפשרות לתבוע פיצוי ללא הוכחת נזק בגין הפרות מסוימות של החוק.
כתבו לבני אדם, לא למחלקה המשפטית
הכלל השני פשוט – אם אפשר לומר משהו במילים רגילות, אין סיבה לומר אותו במשפט של חמש שורות.
ככל שהשימוש במידע משמעותי יותר, כך כדאי להיות ספציפיים יותר. במקום קטגוריות עמומות ורשימות פתוחות, הסבירו מה נאסף ומה נעשה בו. אם צריך להסביר מושג טכני כמו עוגיות, כתובת IP או מזהה מכשיר, אפשר לעשות זאת בשפה פשוטה או בהפניה נפרדת – בלי להפוך את המסמך הראשי למילון מונחים.
אל תבטיחו דברים שלא תוכלו לקיים
אחת המלכודות הנפוצות בניסוח מדיניות פרטיות היא הרצון להישמע מרגיעים.
"לעולם לא נעביר את המידע שלכם." "המידע שלכם מאובטח לחלוטין." "אנחנו משתמשים באמצעי האבטחה הטובים ביותר בעולם."
אלה משפטים שנראים טוב ביום שבו מפרסמים את המסמך, ועלולים להיראות רע מאוד ביום שבו משתנה ספק, מתרחשת תקלה או מתגלה אירוע אבטחה.
עדיף לתאר במדויק את מה שהארגון עושה ואת החובות שהוא מקבל על עצמו. גם כאן, ניסוח כללי אינו תחליף לבדיקה של החובות הקונקרטיות החלות על הארגון: הדין הישראלי כולל דרישות מפורטות בתחום אבטחת המידע, בין היתר מכוח תקנות הגנת הפרטיות (אבטחת מידע), בהתאם לסוג המאגר והפעילות.
אפשר לחשוב עליה בשכבות. בשכבה הראשונה – מה שמעניין את רוב האנשים באמת: אילו נתונים נאספים, למה, עם מי משתפים אותם ומה אפשר לעשות בקשר לכך. מי שרוצה להעמיק עובר לשכבה מפורטת יותר: ספקים, העברות מידע, אבטחת מידע, תקופות שמירה, זכויות והוראות משפטיות נוספות.
כך לא מקריבים דיוק משפטי, אבל גם לא מחייבים כל משתמש לצלוח אלפי מילים כדי להבין למה מבקשים ממנו מספר טלפון.
אל תבטיחו דברים שלא תוכלו לקיים
אחת המלכודות הנפוצות בניסוח מדיניות פרטיות היא הרצון להישמע מרגיעים.
"לעולם לא נעביר את המידע שלכם." "המידע שלכם מאובטח לחלוטין." "אנחנו משתמשים באמצעי האבטחה הטובים ביותר בעולם."
אלה משפטים שנראים טוב ביום שבו מפרסמים את המסמך, ועלולים להיראות רע מאוד ביום שבו משתנה ספק, מתרחשת תקלה או מתגלה אירוע אבטחה.
עדיף לתאר במדויק את מה שהארגון עושה ואת החובות שהוא מקבל על עצמו. גם כאן, ניסוח כללי אינו תחליף לבדיקה של החובות הקונקרטיות החלות על הארגון: הדין הישראלי כולל דרישות מפורטות בתחום אבטחת המידע, בין היתר מכוח תקנות הגנת הפרטיות (אבטחת מידע), בהתאם לסוג המאגר והפעילות.
אפשר לחשוב עליה בשכבות. בשכבה הראשונה – מה שמעניין את רוב האנשים באמת: אילו נתונים נאספים, למה, עם מי משתפים אותם ומה אפשר לעשות בקשר לכך. מי שרוצה להעמיק עובר לשכבה מפורטת יותר: ספקים, העברות מידע, אבטחת מידע, תקופות שמירה, זכויות והוראות משפטיות נוספות.
כך לא מקריבים דיוק משפטי, אבל גם לא מחייבים כל משתמש לצלוח אלפי מילים כדי להבין למה מבקשים ממנו מספר טלפון.
מה בעצם חייבים לומר
כאן כדאי להבחין בין מדיניות פרטיות כללית לבין חובת היידוע המשפטית בעת איסוף מידע – שני דברים שונים שקל לבלבל ביניהם.
חוק הגנת הפרטיות מחייב, בעת פנייה לאדם לקבלת מידע אישי לשם עיבודו במאגר מידע, למסור לו פרטים מסוימים. לאחר תיקון 13 לחוק, היידוע צריך לכלול, בין היתר: האם קיימת חובה חוקית למסור את המידע או שמסירתו תלויה ברצונו ובהסכמתו של האדם, ומה תהיה תוצאת אי-ההסכמה; מהי מטרת איסוף המידע; שמו של בעל השליטה במאגר ודרכי ההתקשרות עמו; למי המידע יימסר ולאיזו מטרה; וכן מידע בדבר זכויות העיון והתיקון.
זו לא רק חובה טכנית. לא תמיד מספיק לשים קישור למדיניות פרטיות ארוכה ולראות בזה סוף פסוק – צריך לבחון איך ומתי היידוע בפועל נמסר לאדם.
מעבר לכך, כאשר הארגון חייב במינוי ממונה על הגנת הפרטיות, יש לפרסם לציבור את דרכי ההתקשרות עמו באופן נגיש ופשוט. גם בארגון שאינו חייב במינוי ממונה, נכון מעשית להגדיר דרך ברורה לפניות בנושאי פרטיות ולמימוש זכויות.
והעבודה לא נגמרת בפרסום
מדיניות פרטיות אינה מסמך שכותבים ביום הקמת האתר ושוכחים ממנו.
עסקים משתנים – מצטרפים ספקים, מוטמעות מערכות בינה מלאכותית, כלי אנליטיקה מתחלפים, נפתחים ערוצי שיווק חדשים ומידע שפעם לא נאסף מתחיל להיאסף.
כל שינוי כזה יכול להפוך מדיניות שהייתה נכונה ביום פרסומה למסמך שכבר לא משקף את המציאות. לכן כדאי לקבוע נקודות בדיקה קבועות – כשנכנסת מערכת חדשה, כשמצטרף ספק מהותי, כשמשתנה תהליך איסוף מידע – ובכל מקרה גם בבדיקה תקופתית כללית.
בסופו של דבר, מדיניות פרטיות טובה לא נכתבת כדי להגן על העסק מפני האנשים שמשתמשים בשירותיו. היא נכתבת כדי להסביר להם, בצורה פשוטה וישירה, מה העסק עושה עם המידע שלהם.
באופן קצת אירוני, דווקא כשמפסיקים לנסות לגרום למדיניות פרטיות להישמע כמו מסמך משפטי – היא מתחילה לעשות עבודה משפטית טובה יותר.
רפי בלנקשטיין מלווה חברות בניסוח ובבדיקה של מדיניות פרטיות, בהסדרת חובת היידוע לפי החוק ובהתאמת המסמכים לפעילות בפועל.
הכותב, עו"ד רפי, הוא עורך דין מסחרי המתמחה בדיני פרטיות ובממשל תאגידי בתחום הבינה המלאכותית, ומוסמך כממונה הגנת פרטיות (DPO) מטעם לשכת עורכי הדין בישראל.