עוגיות ומעקב: חובות הסכמה ופרטיות

עמוד השירות: עורך דין מסחר דיגיטלי ו-AI: תקנון, פרטיות ודיוור.

מה זו עוגייה ולמה החוק מתעניין בה

עוגיות (cookies) הן קבצים קטנים שהאתר מאחסן על מחשב המשתמש. חלקן הכרחיות לחלוטין — שמירת התחברות, עגלת קניות. אלה לא מחייבות הסכמה מיוחדת, ואיש לא יתלונן עליהן. הבעיה מתחילה עם השאר: עוגיות אנליטיקה שעוקבות אחרי כל קליק שלכם, ועוגיות שיווקיות שבונות פרופיל התנהגותי שמועבר לגוגל, פייסבוק ופלטפורמות פרסום.

לצד עוגיות, יש גם pixels (כמו Meta Pixel שמדווח על פעולות באתר חזרה לפייסבוק), fingerprinting (זיהוי לפי מאפייני הדפדפן), ו-local storage. כל אלה כפופים לאותן דרישות הסכמה.

שאלה על המקרה שלכם? כתבו בוואטסאפ · 050-431-3155

הדין הישראלי: מה מחייב ומה מומלץ

בישראל אין חוק ייעודי לעוגיות, והמסגרת היא חוק הגנת הפרטיות, התשמ״א-1981: ״מידע אישי״ הוא נתון על אדם מזוהה או הניתן לזיהוי, ובכלל זה באמצעות ״מזהה מקוון״ (סעיף 3), ופגיעה בפרטיות מחייבת הסכמה מדעת (סעיפים 1 ו-3). לעמדת היועץ המשפטי לממשלה, שהרשות להגנת הפרטיות אימצה בגילוי דעת מ-25.2.2026, שימוש במידע לפרופיילינג שאינו קשור לתכלית העסקה מחייב הסכמה אקטיבית. עוגייה שיוצרת פרופיל אישי — בין אם היא ״אנליטיקה״ ובין אם ״שיווק״ — היא עיבוד מידע אישי לכל דבר.

רשות הגנת הפרטיות (PPA) — הגוף הרגולטורי בישראל בתחום זה — המליצה כבר בנובמבר 2020, בטיוטה להערות הציבור בנושא ״פרטיות באמצעי תשלום מתקדמים״, שההסכמה לשימוש בעוגיות באמצעים אלה תתבקש בנפרד, עם הסבר, ובאמצעות פעולה אקטיבית של המשתמש (opt-in) ולא כברירת מחדל. גובה העיצומים הכספיים שהרשות מוסמכת להטיל גדל משמעותית בתיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף ב-14 באוגוסט 2025.

GDPR חל גם עליכם — גם אם החברה בישראל

אם אתם מציעים סחורות או שירותים לאנשים הנמצאים באיחוד האירופי, או עוקבים אחר התנהגותם שם — למשל בעוגיות פרופיילינג — ה-GDPR חל עליכם גם אם החברה בישראל (סעיף 3(2)). ה-GDPR (תקנה 2016/679) הוא מן ההסדרים המחמירים בעולם בנושא הסכמה: לפי סעיף 4(11) הסכמה חייבת להיות ״חופשית, ספציפית, מדעת וחד-משמעית״, בפעולה חיובית של המשתמש. ישראל מוכרת כמדינה עם רמת הגנת נתונים נאותה על ידי האיחוד האירופי — אך זה לא פוטר מציות ל-GDPR כשהוא חל.

הקנסות ב-GDPR עצומים: עד 20 מיליון יורו או 4% מהמחזור השנתי הגלובלי — הגבוה מביניהם. הרשויות האירופאיות הטילו קנסות על גוגל, מטא ואתרים קטנים כאחד.

דוגמה: חנות אונליין שמטמיעה כלי מעקב לפני קבלת הסכמה

נניח חנות אונליין ישראלית שמוכרת גם לגולשים מאירופה, ומטמיעה תגי Google Analytics ו-Meta Pixel שנטענים אוטומטית מרגע הכניסה לאתר — לפני שהמשתמש הביע כל הסכמה. במקרה כזה החנות חשופה בכפילות: מול הרשות להגנת הפרטיות בישראל, כעוסק שאסף מידע התנהגותי בלי הסכמה מדעת; ומול רגולטורים אירופאים, כשהיא עוקבת אחר גולשים הנמצאים באיחוד האירופי, לפי הדרישות המחמירות יותר של ה-GDPR. הפתרון הפרקטי: לחסום את הטמעת התגים בקוד האתר עצמו עד לקבלת הסכמה בפועל, ולא להסתפק ב-banner שמוצג אך אינו חוסם את הטעינה בזמן אמת.

Cookie Banner: מה הופך אותו לחוקי — ומה פסול

כדי שה-banner יהיה כשר, הוא חייב לעמוד בתנאים הבאים: כפתור ״אסכים״ וכפתור ״אסרב״ נגישים ברמה שווה, ללא מניפולציה ויזואלית; לחיצה על ״X״ — לא נחשבת הסכמה; גלילה באתר — לא נחשבת הסכמה; ברירת מחדל של כל העוגיות ל״מופעל״ — לא חוקית.

ה-dark patterns הנפוצים שרגולטורים כבר קנסו עליהם: כפתור ״הסכמה״ ירוק ובולט, כפתור ״דחייה״ קטן ואפור; מסלול של 5 קליקים לדחיית עוגיות לעומת קליק אחד לאישור; ומסר ״עזרו לנו לשפר״ שיוצר לחץ נפשי לאשר.

ניהול הסכמות: למה תיעוד הוא ההגנה שלכם

כשרגולטור דופק בדלת — השאלה הראשונה היא ״הוכיחו שהמשתמש הסכים.״ אתר שמפעיל Consent Management Platform (CMP) כמו Cookiebot, OneTrust או Axeptio — שומר יומן מוצפן של כל הסכמה: מועד, גרסת ה-banner, אילו קטגוריות אושרו. זה ההגנה שלכם.

בנוסף: אם המשתמש ביקש לשלול הסכמה — גם Google Analytics וגם Meta Pixel חייבים להיחסם. אתרים שמפעילים אותם ״בכל מקרה״ לאחר דחייה — מפרים את דרישות ה-GDPR ודירקטיבת ePrivacy, ובישראל פועלים בלי הסכמה.

צעדים מעשיים לציות מיידי

בדקו ידנית שכל script של צד שלישי באתר (Analytics, Pixel, HotJar, LinkedIn Insight) לא נטען לפני קבלת הסכמה. השתמשו ב-Google Tag Manager עם Consent Mode v2 — הוא מאפשר ניהול הסכמות מסודר ממקום אחד. עדכנו את מדיניות הפרטיות שלכם לכלול רשימה של כל עוגיות צד שלישי שהאתר מפעיל.

שאלות נפוצות

אילו עוגיות מחייבות הסכמה מפורשת מהמשתמש?

עוגיות הכרחיות לתפקוד האתר — כמו שמירת התחברות או עגלת קניות — פטורות מהסכמה. עוגיות אנליטיקה ושיווקיות, שיוצרות פרופיל התנהגותי של המשתמש, מחייבות לפי הדין האירופי הסכמה ברורה מראש, בפעולה חיובית; בישראל זו גם ההסכמה שהרשות להגנת הפרטיות מעדיפה לשימושים שאינם נדרשים לשירות.

מה הופך Cookie Banner לבלתי חוקי?

באנר אינו עומד בדרישות כאשר כפתור הדחייה קטן או מוסתר יחסית לכפתור ההסכמה, כשגלילה באתר או לחיצה על ״X״ נחשבות כהסכמה, וכשברירת המחדל היא שכל העוגיות פעילות מראש.

האם GDPR חל על עסק ישראלי?

כן, כשהעסק מציע סחורות או שירותים לאנשים הנמצאים באיחוד האירופי או עוקב אחר התנהגותם שם — גם בלי סניף באירופה (סעיף 3(2) ל-GDPR). המבחן הוא מקום הימצאות המשתמש, לא אזרחותו.

תוסף הסכמת עוגיות: האם הוא מספיק כדי לעמוד בדרישות?

תוסף או פלטפורמה לניהול הסכמות (CMP) הוא כלי, ואינו מבטיח ציות בפני עצמו. בדקו שלושה דברים: שהתוסף חוסם בפועל את תגי האנליטיקה והפרסום עד ללחיצה על ״אסכים״, ולא רק מציג באנר; שכפתור הסירוב נגיש ובולט כמו כפתור ההסכמה; ושנשמר תיעוד של כל הסכמה. באתר שחל עליו ה-GDPR, מי שמסתמך על הסכמה צריך להיות מסוגל להוכיח שניתנה (סעיף 7(1)), ומשיכת ההסכמה צריכה להיות קלה כמו מתן ההסכמה (סעיף 7(3)). מומלץ גם לפרט במדיניות הפרטיות את העוגיות שהאתר מפעיל.