תקן PrivacyTrust.zone להגנת פרטיות ואבטחת מידע באתרים
גרסה 1.0, טיוטה
31 באוגוסט 2026
מסמך זה טרם עבר בדיקת עורך דין ואינו בתוקף עד שיעבור
1. מה התקן הזה, ומה הוא אינו
התקן קובע מה אתר או מערכת צריכים לקיים כדי לשאת את סימן PrivacyTrust.zone. הוא כתוב כך שכל דרישה בו ניתנת למדידה, ושכל תוצאה ניתנת להצגה בפני צד שלישי.
זהו תקן פרטי שלנו. הוא אינו תקן ישראלי רשמי, אינו אישור של הרשות להגנת הפרטיות, ואינו אישור של אף גוף ממשלתי. דף האימות של כל סימן אומר זאת במפורש, ואין לשווק אותו אחרת.
התקן אינו מבטיח עמידה בחוק. הוא מודד קיום של מנגנונים שהחוק דורש, וקיום מנגנון אינו זהה לעמידה בדין. ארגון שעומד בתקן יכול עדיין להפר את החוק בדרך שהתקן אינו מודד, ודף האימות אומר גם את זה.
התקן אינו מבטיח אבטחה. הוא מודד בקרות שהוגדרו מראש. סימן ירוק פירושו שלא נמצא ממצא בבדיקות שהתקן מגדיר, ולא שהמערכת מאובטחת.
2. תחולה
התקן חל על אתר אינטרנט או מערכת מקוונת שנגישים לציבור בישראל ואוספים מידע על אנשים. הוא נמדד על כתובת אחת, ולא על ארגון. ארגון שמפעיל שלושה אתרים נמדד שלוש פעמים.
3. איך נמדדת כל דרישה
לכל דרישה יש שיטת מדידה אחת מתוך שלוש, והיא נכתבת על דף האימות לצד הדרישה:
| הסימון | המשמעות |
|---|---|
| אוטומטי | נמדד בסריקה של הכתובת. אנחנו ראינו את הראיה |
| הצהרה | הארגון הצהיר, ואנחנו לא יכולים לאמת מבחוץ |
| בדיקת אדם | אדם מוסמך עבר ובדק, ושמו וגרסת התקן רשומים |
דרישה שלא נמדדה נכתבת "לא נבדק", ולעולם לא נבלעת בשתיקה. היעדר סימון נקרא כאישור, ולכן הוא אסור. זהו אותו כלל שכבר נאכף במודול התלושים של SPETZ, שם ירוק פירושו "לא נמצא ממצא בבדיקה דיגיטלית" ולא "התלוש תקין".
הצהרה אינה נחותה מאוטומטי, היא שונה ממנו. יש דרישות שאי אפשר למדוד מבחוץ, ולהעמיד פנים שמדדנו אותן היה הופך את התקן לחסר ערך.
4. הדרישות
תחום א: המסמכים
| מזהה | הדרישה | מדידה |
|---|---|---|
| SP-1.1 | מדיניות פרטיות קיימת, נגישה מכל עמוד, ונטענת בלי שגיאה | אוטומטי |
| SP-1.2 | תנאי שימוש קיימים ונגישים מכל עמוד | אוטומטי |
| SP-1.3 | המסמכים נושאים תאריך עדכון, והוא לא ישן משנתיים | אוטומטי |
| SP-1.4 | המסמכים נוקבים בשם המלא של הארגון ובמספר הרישום שלו | אוטומטי |
| SP-1.5 | המסמכים אינם מתארחים אצל צד שלישי בתוך מסגרת, והארגון מחזיק בהם | אוטומטי |
| SP-1.6 | המסמכים מפרטים אילו סוגי מידע נאספים בפועל באתר הזה | בדיקת אדם |
| SP-1.7 | קיימת מדיניות ביטולים והחזרות, אם האתר מוכר | אוטומטי |
תחום ב: איסוף מידע וטפסים
| מזהה | הדרישה | מדידה |
|---|---|---|
| SP-2.1 | ליד כל טופס שאוסף מידע יש הודעת יידוע לפי סעיף 11 | אוטומטי |
| SP-2.2 | הודעת היידוע אומרת אם מסירת המידע היא חובה או רצון, ולאיזו מטרה | בדיקת אדם |
| SP-2.3 | הסכמה לדיוור אינה מסומנת מראש ואינה תנאי לקבלת השירות | אוטומטי |
| SP-2.4 | הטופס אינו אוסף שדה שאין לו מטרה מוצהרת | בדיקת אדם |
| SP-2.5 | לא נאסף מספר זהות אלא אם קיימת חובה חוקית או צורך מוכח | בדיקת אדם |
תחום ג: תעבורה וגישה
| מזהה | הדרישה | מדידה |
|---|---|---|
| SP-3.1 | כל האתר מוגש ב-HTTPS, והתעודה בתוקף | אוטומטי |
| SP-3.2 | פנייה ב-HTTP מנותבת ל-HTTPS | אוטומטי |
| SP-3.3 | טפסים נשלחים ליעד מאובטח באותו מארח | אוטומטי |
| SP-3.4 | אין מפתחות, סיסמאות או טוקנים בקוד שנשלח לדפדפן | אוטומטי |
| SP-3.5 | כותרות אבטחה בסיסיות מוגדרות | אוטומטי |
| SP-3.6 | גישת מנהל מוגנת באימות דו-שלבי | הצהרה |
תחום ד: צדדים שלישיים
| מזהה | הדרישה | מדידה |
|---|---|---|
| SP-4.1 | כל תג צד שלישי שרץ באתר מזוהה ורשום | אוטומטי |
| SP-4.2 | כל תג שנמצא מוזכר במדיניות הפרטיות | בדיקת אדם |
| SP-4.3 | תגי מדידה ופרסום אינם נטענים לפני הסכמה | אוטומטי |
| SP-4.4 | לכל ספק שמעבד מידע יש הסכם עיבוד חתום | הצהרה |
| SP-4.5 | ספק שמעבד מידע מחוץ לישראל עומד בתקנות ההעברה לחו"ל | הצהרה |
תחום ה: זכויות נושא מידע
| מזהה | הדרישה | מדידה |
|---|---|---|
| SP-5.1 | קיימת דרך אחת ברורה לפנות בבקשת עיון, תיקון או מחיקה | אוטומטי |
| SP-5.2 | הדרך הזו מגיעה לאדם, ולא לתיבה שאיש אינו קורא | הצהרה |
| SP-5.3 | קיימת דרך להסיר את עצמך מדיוור, בלחיצה אחת ובלי התחברות | אוטומטי |
| SP-5.4 | הארגון מתעד בקשות שהתקבלו ואת מועד הטיפול בהן | הצהרה |
תחום ו: שמירה ומחיקה
| מזהה | הדרישה | מדידה |
|---|---|---|
| SP-6.1 | לכל סוג מידע שנאסף יש תקופת שמירה מוצהרת | הצהרה |
| SP-6.2 | תקופת השמירה מופיעה במדיניות הפרטיות | בדיקת אדם |
| SP-6.3 | קיים מנגנון שמוחק בפועל בתום התקופה | הצהרה |
| SP-6.4 | גיבויים נכללים במדיניות המחיקה | הצהרה |
תחום ז: אחריות
| מזהה | הדרישה | מדידה |
|---|---|---|
| SP-7.1 | הארגון בדק אם חלה עליו חובת מינוי ממונה, ותיעד את הנימוק | הצהרה |
| SP-7.2 | אם חלה חובה, מונה אדם טבעי ופרטי הקשר אליו פורסמו | אוטומטי |
| SP-7.3 | קיים נוהל לטיפול באירוע אבטחה, ובו מי מודיע ולמי | הצהרה |
| SP-7.4 | הארגון יודע לומר אילו מאגרים יש לו ומה יש בכל אחד | הצהרה |
נגישות אינה חלק מהתקן הזה. היא נמדדת בנפרד מול תקן ישראלי 5568 ונושאת הצהרה משלה, כי היא חובה מדין אחר ובודק אותה מורשה אחר.
5. התוצאה
| התוצאה | התנאי |
|---|---|
| עומד | אין ממצא פתוח באף דרישה שנמדדה |
| עומד עם הערות | אין ממצא בתחומים א, ב, ג, ויש ממצא פתוח בתחום אחר |
| אינו עומד | יש ממצא פתוח באחד מתחומים א, ב או ג |
מספר הדרישות שנמדדו נכתב תמיד לצד התוצאה. ארגון שנמדד ב-12 דרישות מתוך 33 אינו "עומד", הוא "עומד ב-12 מתוך 33", ודף האימות אומר בדיוק כך.
6. הסימן
מה הסימן אומר: שהכתובת הזו נמדדה מול גרסה זו של התקן, בתאריך זה, ואלה התוצאות.
מה הוא אינו אומר: שהארגון עומד בחוק, שהמערכת מאובטחת, שגוף כלשהו אישר אותו, ושמשהו נבדק מעבר לרשימה שבפרק 4.
תוקף. הסימן תקף כל עוד השמירה השנתית בתוקף, ולא רגע אחד יותר. אתר משתנה, ומדידה מלפני שנה אינה טענה על האתר של היום. סימן שפג נכבה בעצמו, ודף האימות ממשיך לעבוד ואומר שהוא פג ומתי.
דף אימות לכל סימן. לחיצה על הסימן מגיעה לעמוד ציבורי שמציג את גרסת התקן, תאריך המדידה, תאריך הפקיעה, מה נמדד, מה נמצא, ומה לא נבדק. העמוד הזה הוא הסימן, והסמל הוא רק קישור אליו.
שינוי גרסת התקן אינו מבטל סימנים קיימים. סימן נושא את מספר הגרסה שנמדד לפיה, וכשגרסה חדשה יוצאת הסימן הישן ממשיך לומר את האמת על מה שנמדד.
7. גרסאות
| גרסה | תאריך | מה השתנה |
|---|---|---|
| 1.0 | טיוטה | הגרסה הראשונה |
מה עוד לא הוכרע במסמך הזה
- האם התקן מתפרסם פתוח. ההמלצה כן. תקן שאי אפשר לקרוא אינו תקן.
- מי חותם על ההצהרה. DPO או CISO, והחוק דורש אדם טבעי.
- שלוש דרישות מסומנות "בדיקת אדם" ואפשר אולי למדוד אותן אוטומטית: SP-1.6, SP-2.2 ו-SP-4.2. שלושתן דורשות השוואה בין טקסט המסמך לבין מה שהסורק מצא בפועל, וזה בדיוק מה שהמחולל של מוצר ב' עושה. לא לסמן אותן אוטומטי לפני שנמדד שהן עובדות.
- הסף בפרק 5 הוא בחירה שלנו ולא נגזרת מהחוק, וצריך לאשר אותו במפורש.