לפני כמה חודשים התקשר אליי בעל פיצרייה בהיסטריה קלה. מישהו בקבוצת ווטסאפ של מסעדנים כתב שכל עסק שאוסף מספרי טלפון חייב לרשום מאגר מידע ולמנות ממונה פרטיות, אחרת מחכה לו קנס. הוא רצה לדעת כמה זה יעלה לו ומתי אני יכול להתחיל. התשובה הייתה שברוב מוחלט של המקרים, מסעדה שכונתית לא צריכה לא רישום ולא ממונה — אבל יש כן ארבעה־חמישה דברים פשוטים שהיא כן חייבת, ורובן לא עושות אף אחד מהם.
תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025, והוא השינוי הגדול ביותר שקרה לתחום הזה בישראל מזה עשורים. הוא לא המציא חובות חדשות ומטורפות לעסקים קטנים — הוא בעיקר נתן שיניים לחובות שכבר היו קיימות על הנייר, ובמקביל דווקא הקל וצמצם את הבירוקרטיה המיושנת של רישום מאגרים. אם אתם מנהלים מסעדה, בית קפה או פיצרייה עם אתר שיש בו טופס יצירת קשר ורשימת לקוחות לצד הקופה, זה המדריך שמסביר מה זה אומר עליכם בפועל.
מה בכלל נחשב "מידע אישי" במסעדה
רוב בעלי המסעדות חושבים על "מאגר מידע" כמשהו של בנקים וחברות ביטוח. בפועל, כמעט כל מסעדה בישראל מחזיקה מידע אישי בחמישה־שישה מקומות שונים בלי לשים לב, ותיקון 13 גם הרחיב את ההגדרה כך שהיא כוללת היום גם מזהים טכניים כמו כתובת IP, מזהה עוגייה או מזהה מכשיר:
טופס באתר
שם, טלפון ומייל של כל מי שהשאיר פרטים להזמנת אירוע או לשאלה על התפריט.
ווטסאפ העסק
כל שיחת הזמנה נשמרת בטלפון, לרוב עם שם, כתובת מסירה ולפעמים גם פרטי תשלום.
מועדון לקוחות
הפתקים ליד הקופה, הקובץ באקסל, או מערכת הניקוד — כולם מאגר לכל דבר.
מערכת הזמנת שולחנות
שם, טלפון, מספר סועדים ולעיתים העדפות תזונתיות — שנשמרות אצל ספק חיצוני.
הזמנות משלוח ישירות
כתובות מגורים של לקוחות. זה מידע רגיש יותר ממה שנדמה, ולרוב נשמר לנצח.
מצלמות אבטחה
הקלטות של אנשים מזוהים. גם זה מידע אישי, וגם עליו חלות חובות שקיפות.
מה תיקון 13 באמת שינה
שווה להפריד בין הרעש לבין השינוי האמיתי. השינוי המרכזי הוא באכיפה: לרשות להגנת הפרטיות יש היום סמכות להטיל עיצומים כספיים ממשיים, ובית משפט רשאי לפסוק פיצוי של עד 10,000 ש"ח לאדם על הפרה גם בלי שהוא הוכיח נזק כלשהו. במקביל, החוק צמצם את חובת רישום המאגרים שהייתה נטל בירוקרטי מיושן, והשאיר אותה בעיקר למאגרים גדולים ולעוסקים בסחר במידע.
רישום המאגר ברשם מאגרי המידע, מינוי ממונה הגנת פרטיות (DPO), הודעה לרשות על מאגר גדול, וסקרי סיכונים ומבדקי חדירה תקופתיים. הספים לחובות האלה — כמו עיסוק עיקרי בעיבוד מידע רגיש בהיקף ניכר, או דיוור ישיר לכ-10,000 אנשים ומעלה — רחוקים מאוד ממסעדה ממוצעת.
חובת יידוע ברגע שאתם מבקשים פרטים, צמידות מטרה (אספתם להזמנות — לא שולחים מזה פרסומות), אבטחת מידע סבירה, זכות הלקוח לעיין במידע ולבקש למחוק אותו, ואיסור על משלוח דבר פרסומת בלי הסכמה מראש. אלה חלים על עסק עם שני עובדים בדיוק כמו על רשת.
5 צעדים שסוגרים את רוב הפער
עמוד מדיניות פרטיות אמיתי באתר
לא נוסח מועתק מאתר של חברת ביטוח. עמוד קצר בעברית פשוטה שאומר איזה מידע אתם אוספים (שם, טלפון, מייל), למה (חזרה ללקוח, ביצוע הזמנה), למי הוא מועבר (למשל ספק מערכת ההזמנות), כמה זמן הוא נשמר, ואיך פונים אליכם כדי לעיין בו או לבקש מחיקה. קישור אליו מהפוטר של כל עמוד באתר.
משפט יידוע ליד הטופס עצמו
זו החובה שהכי הרבה אתרים מפספסים. מתחת לכפתור השליחה צריך להופיע משפט קצר: שמסירת הפרטים היא מרצון ולא חובה חוקית, לשם מה הם נאספים, מי אחראי עליהם, ושאפשר לפנות בכל עת לעיון או למחיקה. שורה אחת. לוקח חמש דקות להוסיף, וזה בדיוק מה שנבדק כשמישהו מתלונן.
הסכמה מפורשת לפני כל דיוור
לקוח שהשאיר טלפון כדי לתאם אירוע לא נתן לכם רשות לשלוח לו מבצע יום שישי. אם אתם מתכוונים לשווק, צריך תיבת סימון נפרדת ולא מסומנת מראש שאומרת במפורש "אני מאשר לקבל עדכונים ומבצעים". שמרו תיעוד — מי אישר, מתי ודרך איזה טופס.
דרך הסרה בכל הודעה שיוצאת
בכל מסרון, מייל או הודעת ווטסאפ פרסומית צריכה להופיע דרך פשוטה להפסיק לקבל — ולכבד אותה מיד. "השב הסר" זה מספיק, כל עוד מישהו באמת קורא את התשובות ומוציא את המספר מהרשימה.
סדר בסיסי במי נוגע ברשימה
מי מחזיק את קובץ הלקוחות? האם הוא יושב בווטסאפ של מנהל משמרת שעזב לפני שנה? האם הסיסמה למערכת ההזמנות משותפת לכל הצוות? אבטחת מידע סבירה במסעדה זה לא סייבר — זה גישה מוגבלת למי שצריך, סיסמאות שלא מתחלפות בין אנשים, גיבוי, ומחיקה של מה שכבר לא צריך.
הרשימה שאני עובר עליה בכל אתר שאני בונה
אלה הדברים שאני מוודא שקיימים באתר לפני שהוא עולה לאוויר. הם לא עולים כסף ולא מסבכים את האתר — הם פשוט צריכים להיות שם:
- עמוד מדיניות פרטיות ייעודי, מקושר מהפוטר בכל עמוד
- משפט יידוע קצר מתחת לטופס יצירת הקשר
- תיבת סימון נפרדת ולא מסומנת מראש להסכמה לדיוור שיווקי
- הטופס שולח למייל מאובטח, לא לתיבה משותפת שכל הצוות נכנס אליה
- האתר על HTTPS עם תעודת אבטחה תקינה
- לא נאסף מידע שאין בו צורך — בלי תעודת זהות ובלי תאריך לידה בטופס הזמנה
- דרך פנייה ברורה למי שרוצה לעיין במידע שלו או למחוק אותו
ומה אם באמת קורה משהו
אירוע אבטחה חמור — למשל מישהו שהשיג גישה לקובץ הלקוחות שלכם או פריצה למערכת ההזמנות — מחייב תיעוד, וברמות אבטחה מסוימות גם דיווח מיידי לרשות. בפועל, למסעדה ממוצעת התרחיש הסביר הרבה יותר הוא פרוזאי: טלפון של מנהל שאבד עם כל רשימת הלקוחות בתוכו, או עובד לשעבר שעדיין נמצא בקבוצת הווטסאפ הפנימית. שני התרחישים האלה נפתרים בהגדרות ובנוהל של חמש דקות, לא בתקציב סייבר.
וכדאי לזכור את ההיגיון שמאחורי כל זה. אותו לקוח שסומך עליכם מספיק כדי להשאיר טלפון באתר הוא גם זה שיזמין שוב ויביא חברים. בדיוק כמו בנגישות, הצד המשפטי הוא רק החצי המשעמם — החצי השני הוא שאתר שמתנהג בהגינות עם המידע של הלקוחות פשוט משדר עסק רציני.
איפה האתר שלכם עומד היום?
סמנו כל דבר שחסר לכם כרגע:
שאלות נפוצות
ברוב המקרים לא. תיקון 13 צמצם משמעותית את חובת הרישום, והיא נותרה רלוונטית בעיקר למאגרים גדולים או למי שעיסוקו סחר במידע. רשימת טלפונים של לקוחות מסעדה שכונתית כמעט תמיד לא מגיעה לסף הזה. אבל ביטול חובת הרישום לא מבטל את שאר החובות — יידוע, צמידות מטרה, אבטחת מידע וזכות למחיקה חלות על כל מי שמנהל מידע על אנשים.
שני דברים. הראשון — עמוד מדיניות פרטיות נגיש מהפוטר, שמסביר בעברית פשוטה איזה מידע נאסף, לאיזו מטרה, למי הוא מועבר ואיך אפשר לבקש לעיין בו או למחוק אותו. השני — משפט יידוע קצר ליד טופס יצירת הקשר עצמו, שמבהיר שהמסירה וולונטרית, לשם מה הפרטים נאספים ומי אחראי עליהם.
רק למי שנתן על כך הסכמה מראש. סעיף 30א לחוק התקשורת, המוכר כחוק הספאם, חל גם על הודעות במסרונים ובאפליקציות מסרים מיידיים, ולא רק על מייל. בכל הודעה פרסומית צריכה להופיע דרך הסרה פשוטה, וכדאי לשמור תיעוד של מי אישר ומתי. בית משפט רשאי לפסוק פיצוי של עד 1,000 ש"ח לכל הודעה שנשלחה בלי הסכמה, גם בלי שהנמען הוכיח נזק. אם אתם עובדים עם רשימות שידור בוואטסאפ ביזנס, זה בדיוק המקום לוודא שהאישורים מסודרים.
כמעט תמיד לא. חובת המינוי הוגדרה לגופים ציבוריים, לארגונים שעיקר עיסוקם עיבוד מידע רגיש בהיקף ניכר או מעקב שיטתי אחר אנשים, ולעוסקים בסחר במידע ובדיוור ישיר על יותר מ-10,000 אנשים. מסעדה, בית קפה או פיצרייה שמנהלים רשימת לקוחות רגילה אינם נכנסים לקטגוריות האלה.
רוצים אתר שמסודר
גם מהצד הזה?
שלחו הודעה בוואטסאפ — נחמן יעבור על האתר שלכם ויגיד לכם מה חסר בטופס, בפוטר ובמדיניות הפרטיות.
שלחו הודעה בוואטסאפ השאירו פרטים 🍊