התאמה לחוק מדיניות הפרטיות: איך בודקים את האתר אחרי שינויים?

כדי לבדוק אם האתר עדיין תואם למדיניות הפרטיות שלו, השוו בין המסמך לבין המידע שהאתר אוסף בפועל, מטרות האיסוף והמערכות שאליהן המידע מועבר. במסגרת התאמה לחוק מדיניות הפרטיות, כדאי לחזור לבדיקה אחרי הוספת טופס, כלי מדידה או חיבור חיצוני. זו בדיקת התאמה מעשית, לא חוות דעת משפטית; את החובות החלות על העסק יש לברר עם גורם משפטי מוסמך.

מה בודקים במסגרת התאמה לחוק מדיניות הפרטיות באתר קיים?

מטרת הבדיקה היא לזהות פער בין התיאור במדיניות לבין התנהגות האתר. מדיניות שמציינת כי פניות מתקבלות בדואר אלקטרוני עשויה שלא לשקף תהליך חדש שבו פרטי הפונים נשמרים גם באתר ומועברים למערכת לניהול לקוחות.

הביטוי המקובל בחיפוש אינו שם של חוק נפרד: המסגרת המשפטית הרלוונטית היא, בין היתר, חוק הגנת הפרטיות והדינים החלים לפי נסיבות הפעילות. כאן נתמקד באיסוף העובדות הטכניות שיאפשרו לבדוק את ההתאמה, ולא בקביעה שהאתר עומד בכל דרישות הדין.

מיפוי טפסים, שדות ומטרות איסוף המידע

התחילו ברשימת המקומות שבהם מבקרים מוסרים מידע: טופס יצירת קשר, הרשמה לדיוור, פתיחת חשבון, בקשת הצעת מחיר ותהליך רכישה. אל תסתפקו בטפסים שבתפריט הראשי; בדקו גם חלונות קופצים, דפי נחיתה וטפסים המוטמעים משירות אחר.

לכל נקודת איסוף רשמו:

• אילו שדות מופיעים ואילו מהם חובה למלא.
• מה מטרת האיסוף בפועל ומי משתמש במידע בעסק.
• האם מצורפים קבצים או מתקבל תוכן חופשי שעשוי לכלול מידע נוסף.
• היכן המידע נשמר ולאילו נמענים או מערכות הוא נשלח.
• איזה הסבר מוצג למשתמש בסמוך למסירה והאם אפשר להגיע למדיניות מהמסך הרלוונטי.

כדאי לשאול גם אם כל שדה עדיין נחוץ. למשל, טופס לבקשת שיחת היכרות אינו בהכרח זקוק לכל הפרטים שנאספים בתהליך הזמנה. ההחלטה העסקית מה נחוץ והבחינה המשפטית של האיסוף קשורות זו בזו, אך אינן אותה בדיקה.

בדיקת כלים, תוספים וחיבורים למערכות חיצוניות

מידע אינו נאסף רק כשמבקרים לוחצים על כפתור שליחה. כלי מדידה, רכיבים מוטמעים ותוספים עשויים לפעול בזמן טעינת העמוד או במהלך השימוש בו. לכן צריך לבדוק גם את ההגדרות ואת ההתנהגות בפועל, ולא רק את רשימת התוספים המותקנים.

באתר WordPress, לדוגמה, טופס עשוי לשמור עותק במסד הנתונים, לשלוח הודעה בדואר אלקטרוני ולהפעיל חיבור למערכת CRM, כלומר מערכת לניהול קשרי לקוחות. ביטול אחד היעדים לא בהכרח מפסיק את האחרים. בקשו מהגורם הטכני למפות את המסלול המלא, כולל שירותי ביניים, יומני פעילות וגיבויים ככל שהם רלוונטיים לבדיקה.

איך לבצע בדיקה מעשית לאחר שינוי באתר?

בחרו שינוי אחד ועקבו אחריו מתחילתו ועד סופו. קל יותר לבדוק תהליך מוגדר מאשר להסתפק בשאלה כללית כמו האם מדיניות הפרטיות מעודכנת. השתמשו בפרטי בדיקה פיקטיביים ומובחנים, והימנעו מהזנת מידע אישי אמיתי שלא לצורך.

שלב 1: לתעד את השינוי ואת המידע המעורב

רשמו מה נוסף או השתנה, באיזה עמוד, מתי ומי אחראי להגדרה. תעדו את השדות, מטרת הטופס, יעדי המשלוח ומקומות השמירה הידועים. אם אין לכם גישה למערכת חיצונית, סמנו זאת כמגבלה שצריך להשלים ולא כהוכחה שאין בה מידע.

בדוגמה כללית, עסק מוסיף טופס לקבלת הצעת מחיר שמחובר למערכת ניהול לקוחות. הטופס כולל שם, טלפון, כתובת דואר אלקטרוני ותיאור הבקשה. בבדיקה צריך לברר לא רק אם נוצרה פנייה במערכת, אלא גם אם נשמר עותק באתר ואם נשלחה הודעה נוספת לצוות.

שלב 2: להשוות בין ההתנהגות באתר לנוסח הקיים

פתחו את מדיניות הפרטיות לצד המיפוי. חפשו מה היא אומרת על סוגי המידע, מטרות השימוש, העברתו לגורמים אחרים ושמירתו. אין צורך למצוא התאמה מילולית לכל שדה, אבל צריך לזהות תיאור חסר, סותר או כזה שלא ניתן להבין ממנו את התהליך.

למשל, אם המדיניות מתארת שימוש בפרטים לצורך מענה לפנייה בלבד, ובפועל הטופס מצרף את הפונה גם לרשימת דיוור, זהו פער שדורש בירור. אל תפתרו אותו אוטומטית באמצעות הרחבת המשפט במסמך: צריך לבדוק גם את התהליך, את הממשק ואת השאלות המשפטיות שהוא מעלה.

שלב 3: לתעד פערים ולקבוע למי להעביר אותם

הפרידו בין ממצא מאומת לבין שאלה פתוחה. רשמו, למשל, שנמצאה שמירה באתר, אך משך השמירה במערכת החיצונית עדיין לא ידוע. כך לא הופכים הנחה להחלטה שעל בסיסה מעדכנים מסמך.

לאחר תיקון, חזרו על תרחיש הבדיקה ותעדו את התוצאה. שינוי הגדרה בלוח הניהול אינו מספיק כדי לוודא שהשינוי נכנס לתוקף בכל מסלולי המידע.

אילו שינויים באתר הם סימן שכדאי לבדוק את המדיניות?

שינוי באתר הוא סיבה לבדוק, לא הוכחה אוטומטית שנדרשת עריכה משפטית. גם רכיב שנראה קטן יכול להשפיע על איסוף המידע, בעוד שינוי עיצובי בלבד עשוי שלא לשנות דבר בתחום הזה.

• טופס או שדה חדש: בדקו אם נוספו סוגי מידע, קבצים או פרטים שלא נאספו קודם.
• שינוי במטרת הפנייה: למשל, שימוש בפרטי מבקשי שירות גם לפעילות שיווקית.
• כלי מדידה או רכיב מוטמע: בררו מה הוא מפעיל ואיזה מידע הוא מעביר בהגדרה שנבחרה.
• אינטגרציה או אוטומציה: בדקו יעדים חדשים, העתקת מידע והרשאות גישה.
• שינוי בתהליך הזמנה: כגון פתיחת חשבון, ספק תשלום אחר או חיבור חדש למערכת משלוחים.

במיוחד כשמוסיפים אוטומציות שמחברות את האתר למערכות עסקיות, כדאי למפות את שרשרת ההעברה ולא רק את החיבור הראשון. פנייה יכולה לעבור מהאתר לשירות אוטומציה, ממנו למערכת לקוחות ומשם לכלי דיוור, בהתאם להגדרות התהליך.

מה ההבדל בין בדיקה טכנית לבין בדיקה משפטית?

הבדיקה הטכנית מסבירה מה האתר עושה; הבדיקה המשפטית בוחנת מה נדרש מהעסק ביחס לפעילות הזו. איש מקצוע טכני יכול לבדוק שדות, חיבורים, אחסון, הגדרות ומנגנונים. ההכרעה לגבי חובות גילוי, הסכמה, נוסח המסמך והוראות הדין הרלוונטיות שייכת לגורם משפטי מוסמך.

השאלה מה חייבים לפרסם באתר לפי חוק הגנת הפרטיות אינה נענית רק מצילום מסך של הטופס. גם לשאלה מה צריכה לכלול מדיניות פרטיות לאתר עסקי נדרשת תמונה של הפעילות העסקית, מטרות השימוש וזרימת המידע. לכן כדאי להעביר לבדיקה המשפטית מיפוי עובדתי ולא רק בקשה לנסח טקסט כללי.

גם הכיוון ההפוך חשוב: מסמך שעודכן אינו מוכיח שהאתר פועל כמתואר בו. אם הוחלט לשנות תהליך, צריך ליישם את ההחלטה ולבדוק אותה. מידע על מסגרת השירות מופיע בעמוד השירות של יושי דיגיטל בנושא התאמה למדיניות הפרטיות; הבדיקה המתוארת כאן מסייעת להכין את התמונה הטכנית לקראת טיפול בפערים.

איך לשמור על התאמה לאורך זמן?

שלבו בדיקת פרטיות בתהליך העלאת שינויים, לפני ההשקה ולא רק אחריה. בכל טופס, תוסף או חיבור חדש שאלו איזה מידע מעורב, למה הוא נדרש, לאן הוא מגיע והאם התהליך המתוכנן שונה ממה שכבר נבדק.

שמרו רישום תמציתי הכולל את תאריך השינוי, הרכיב, האחראי, יעדי המידע והשאלות שנותרו פתוחות. צרפו את גרסת המדיניות שנבדקה או תיעוד שלה, כדי שיהיה ברור למה הושווה האתר. כחלק מתחזוקת אתר ותהליך מסודר לבדיקת שינויים, אפשר להגדיר מי אחראי לעדכן את הרישום ומי מאשר שהטיפול הושלם.

הצעד הבא הוא לבחור את השינוי האחרון באתר ולמפות את מסלול המידע שלו. אם הוספתם טופס, אינטגרציה או רכיב ואינכם בטוחים מה הוא עושה מבחינה טכנית, תוכלו לפנות ליושי דיגיטל לבדיקת האתר ולבירור הצעדים הבאים. שאלות משפטיות על חובות הפרטיות יש להפנות לגורם משפטי מוסמך.