תשובה קצרה: תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף באוגוסט 2025 והוא השינוי המשמעותי ביותר בחוק הזה מזה עשורים. כמעט כל מה שנכתב עליו בעברית מכוון לבעל אתר, ומדבר על מדיניות פרטיות, באנר עוגיות וטופס יצירת קשר. אבל רשימת הלקוחות של רוב העסקים הקטנים בישראל לא יושבת באתר. היא יושבת בוואטסאפ, בקובץ אקסל, בפנקס, ובאנשי הקשר של הטלפון. זה מאמר לעסק כזה: איפה המידע באמת נמצא, ומה אפשר לעשות עם זה השבוע.
גילוי נאות: אני לא עורך דין. זה תיאור תפעולי של מה שכדאי לסדר, ולא ייעוץ משפטי ולא קביעה מה חל עליכם.
מה השתנה, בשורה אחת
התיקון חיזק משמעותית את סמכויות האכיפה של הרשות להגנת הפרטיות, כולל אפשרות להטיל עיצומים כספיים בהליך מנהלי. את הפרטים המדויקים כדאי לקרוא במדריכים הרשמיים של הרשות עצמה, שהם המקור, ולא בבלוגים של ספקים, שלי כולל.
מה שרלוונטי לעסק קטן הוא הזווית הפשוטה: אם אתם מחזיקים מידע על אנשים, אתם מחזיקים משהו שיש לו כללים. וזה נכון בין אם יש לכם אתר ובין אם לא.
איפה המידע שלכם באמת יושב
עשו את התרגיל הזה, לוקח עשר דקות. כתבו רשימה של כל מקום שבו יש שם, טלפון או מייל של לקוח:
הטלפון הפרטי שלכם. אנשי קשר, וכנראה גם צילומי מסך של הודעות.
וואטסאפ. שיחות אישיות, קבוצות לקוחות, ולפעמים גם קבוצה של "לידים" עם עשרות אנשים שכל אחד מהם רואה את המספר של כולם.
אקסל. לרוב יותר מקובץ אחד, לרוב עם גרסאות, ולרוב אחד מהם נמצא גם בהורדות של מישהו אחר.
המייל. כל התכתבות עם לקוח היא רשומה.
פנקס או מחברת. נשמע ארכאי, וזה עדיין הכי נפוץ אצל בעלי מקצוע.
מערכות של ספקים. תוכנת החשבוניות, מערכת התורים, פלטפורמת הדיוור.
עכשיו תשאלו את עצמכם, על כל שורה: מי עוד יכול לגשת לזה, ומה קורה אם המכשיר הזה נעלם. זו כל הבדיקה.
שלוש הבעיות שהתרגיל הזה חושף
1. אין מקום אחד. וכשאין מקום אחד, אי אפשר לענות על שום שאלה. לא "מה יש לנו על הלקוח הזה", לא "מי ניגש למידע", ולא "תמחקו אותי" אם מישהו מבקש. אתם לא יכולים למחוק ממקום שאתם לא זוכרים שהוא קיים.
2. הגישה לא מוגדרת, היא רק קיימת. בעסק קטן אף אחד לא נותן הרשאות, פשוט כולם רואים הכל כי כולם באותה קבוצת וואטסאפ. זה עובד עד שעובד עוזב.
3. אין תיעוד של כלום. מי ניגש, מתי, ומה עשה. במערכת זה קיים כברירת מחדל. בקובץ אקסל בענן זה לא קיים בכלל.
מה מערכת פותרת כאן, ומה לא
אתחיל במה שהיא לא פותרת, כי זה חשוב יותר: מערכת ניהול לקוחות לא הופכת אתכם לעומדים בדרישות החוק, ואף ספק לא יכול להבטיח לכם את זה. מי שאומר לכם אחרת מוכר לכם משהו.
מה שהיא כן עושה זה לצמצם את הבעיה מששה מקומות לאחד, ולתת לכם תשובות שאין לכם היום:
מי יכול לראות מה. הרשאות שאפשר להגדיר במקום גישה מלאה שכולם קיבלו בשתיקה.
צילום מסך מתוך הסיסטם
מי ניגש בפועל. תיעוד פעילות, שהוא ההבדל בין להניח לבין לדעת.
איפה הכל. כשלקוח מבקש לדעת מה יש עליו, יש מקום אחד לפתוח.
שלושה צעדים מעשיים, בלי פרויקט
לרכז. להעביר את רשימת הלקוחות למקום אחד שאתם שולטים בו. לא בגלל החוק, אלא כי בלי זה אי אפשר לעשות שום דבר אחר.
לצמצם. למחוק את מה שלא צריך. קובץ אקסל מ-2019 עם לידים שלא הפכו ללקוחות הוא סיכון בלי תועלת. זה הצעד הכי זול והכי מדולג.
להגדיר גישה. להחליט מי רואה מה, גם אם אתם שניים. לא כי אתם לא סומכים, אלא כי החלטה מפורשת עדיפה על ברירת מחדל שנוצרה במקרה.
ואם אתם מחזיקים מידע רגיש במיוחד, למשל בריאותי או פיננסי, כדאי מאוד לדבר עם עורך דין ולא להסתמך על מאמר.
שאלות נפוצות
האתר הוא רק אחד המקומות שבהם מידע נאסף, והוא לרוב לא העיקרי אצל עסק קטן. השאלה היא אם אתם מחזיקים מידע על אנשים, לא איפה אספתם אותו.
דרייב פותר אחסון, לא ניהול. הוא לא יודע מי הלקוח, לא מתעד גישה ברמת הרשומה, וקל מאוד לשתף ממנו קובץ בקישור שנשאר פתוח לנצח. אם אתם עובדים ככה, הבדיקה הראשונה היא לעבור על הקבצים המשותפים ולראות מי עוד יכול לפתוח אותם.
לפני ההיבט המשפטי יש היבט מעשי: אתם צריכים לדעת לאתר את כל המקומות שבהם הוא נמצא. אם הרשימה שלכם פזורה בין חמישה מקומות, לא תוכלו לבצע את זה במלואו גם אם תרצו. זו סיבה מספיק טובה לרכז לפני שמישהו מבקש.
