מדיניות פרטיות למספרה עם אתר מפותח עצמאית – מה החוק מחייב אתכם לעשות

כן, בהחלט. תמונה שמזהה לקוח, במיוחד אם היא מציגה שינוי מראה שקשור למצב הבריאות או הגיל, מהווה מידע אישי ועשויה להיחשב מידע בעל רגישות מיוחדת לפי סעיף 7 לחוק הגנת הפרטיות. פרסום ללא הסכמה מפורשת ומתועדת מהלקוח חושף אתכם לתביעה אזרחית ולעיצום מנהלי. מומלץ לתעד הסכמה בכתב – גם אם מדובר בהודעת וואטסאפ ברורה שנשמרת.

לפי סעיף 11 לחוק הגנת הפרטיות (חובת יידוע), בעת איסוף מידע עליכם לציין: האם המסירה היא חובה או רשות, לאיזו מטרה המידע ישמש, ולמי הוא עשוי להיות מועבר (למשל, מערכת התורים, ספק SMS). הצגת פסקת יידוע קצרה ליד טופס ההזמנה – לא מספיק רק קישור למדיניות פרטיות בתחתית הדף.

מערכת תורים חיצונית שמקבלת נתוני לקוחות (שם, טלפון, היסטוריית טיפולים) היא ספק מיקור חוץ לפי תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע). אתם, כבעלי המאגר, חייבים להסדיר זאת בחוזה כתוב שמגדיר את חובות הספק בנושא אבטחה ואיסור שימוש במידע למטרות אחרות. בהיעדר חוזה כזה, האחריות נופלת עליכם.

אחסון מידע על לקוחות ישראלים בשרתים מחוץ לישראל מחייב הקפדה יתרה. עליכם לוודא שהספק הזר מחויב לרמת אבטחה שלא נופלת מזו הנדרשת בתקנות הישראליות, ולהסדיר זאת בחוזה מיקור חוץ. כמו כן, יש לציין ללקוחות שהמידע שלהם עשוי להיות מאוחסן מחוץ לישראל.

במאגר ברמת אבטחה בינונית או גבוהה, תקנה 11 לתקנות אבטחת המידע מחייבת דיווח באופן מיידי לרשות להגנת הפרטיות. מספרה שמנהלת היסטוריית טיפולים ותמונות לקוחות סביר שתסווג כמאגר ברמה בינונית לפחות. אי-דיווח בזמן מהווה הפרה עצמאית שעלולה להוביל לעיצום כספי בנוסף לנזק מהאירוע עצמו.