דרישות משפטיות לאתרים ואפליקציות: האיחוד האירופי
התחילו במיקום העסק שלכם, השווקים אליהם אתם פונים, ומה המוצר שלכם באמת עושה. חוקי פרטיות וצרכנות זרים עשויים לחול, אך עצם הנגישות של אתר ממדינה מסוימת אינה כשלעצמה טריגר משפטי אוניברסלי. לדוגמה, התחולה הטריטוריאלית של ה-GDPR כוללת עיבוד נתונים בהקשר של מוסד באיחוד האירופי, או עסק מחוץ לאיחוד המציע מוצרים או שירותים לאנשים באיחוד או עוקב אחר התנהגותם שם. העריכו כל חוק בנפרד. העריכו גם נגישות עבור מוצרים ושירותים מכוסים, חובות מתווכים, חובות שקיפות רלוונטיות של בינה מלאכותית (AI) ופונקציית הביטול עבור חוזי צרכנות מקוונים רלוונטיים. החדשות הטובות הן שספר החוקים של האיחוד האירופי הוא קוהרנטי. ניתן לעשות שימוש חוזר בבקרות מסוימות בשווקים אחרים, אך עמידה בדרישות האיחוד האירופי אינה מהווה עמידה בחוקים מקומיים אחרים. החדשות הרעות הן תקרת האכיפה: עד 4% מהמחזור השנתי העולמי תחת ה-GDPR. זהו פרק האיחוד האירופי של רשימת התיוג המשפטית שלפני ההשקה שלנו. הריצו קודם את רצף ההנחיות ההוא, ואז הוסיפו עליו את זה.
עיקרי הדברים
- התבססות, הצעה ממוקדת וניטור קובעים את התחולה הטריטוריאלית של ה-GDPR; זמינות בלבד אינה קובעת.
- סווגו בסיסים משפטיים, תפקידי ספקים ואמצעי הגנה על העברה במקום לקרוא לכל ספק "מעבד".
- הסכמה נדרשת בדרך כלל עבור מעקב לא פטור; קיימים חריגים לאומיים מוגבלים.
- תחולת ה-EAA והפטורים למיקרו-עסקים דורשים הערכה ספציפית לשירות.
- חובות סעיף 50 שונות עבור ספקי ומטמיעי בינה מלאכותית.
- חוזים מקוונים מכוסים עם זכות ביטול זקוקים לפונקציית הביטול הנדרשת לפי אמצעים לאומיים החלים מה-19 ביוני 2026.
- צרפת וספרד דורשות בדיקות לאומיות לצד כללי האיחוד האירופי.
זו אינה ייעוץ משפטי
מידע כללי ליזמים, מעודכן לספטמבר 2026, אינו מהווה ייעוץ משפטי. כללי האיחוד האירופי מיושמים ברמה הלאומית, ולכן פרטים — תכני אימפרינט (Imprint), קנסות נגישות, גיל ההסכמה לילדים — שונים בין מדינות חברות. אם אתם מעבדים נתונים רגישים, פונים לילדים או מפעילים זירת מסחר, קבלו ייעוץ מקומי.
GDPR: החלקים שבאמת חלים על מוצר קטן
בסיס חוקי לכל דבר. הסכמה היא אחד מששת הבסיסים ובדרך כלל הבחירה החלשה ביותר — ניתן למשוך אותה בכל עת. צורך חוזי מכסה את מה שאתם צריכים כדי לספק את השירות; אינטרס לגיטימי מכסה דברים כמו מניעת הונאה ואבטחה בסיסית, אך דורש מכם לתעד מבחן איזון. לשיווק אלקטרוני ומעקב במכשירים יש כללים וחריגים נפרדים. נתונים בקטגוריות מיוחדות דורשים גם בסיס חוקי לפי סעיף 6 וגם תנאי לפי סעיף 9; הסכמה מפורשת היא תנאי אפשרי אחד, לא היחיד.
שקיפות. הודעת הפרטיות שלכם חייבת לציין מי אתם, מה אתם אוספים, מדוע, על איזה בסיס, מי מקבל את הנתונים, כמה זמן אתם שומרים אותם, האם הם עוזבים את האיחוד האירופי ותחת אילו אמצעי הגנה, וכיצד לממש זכויות ולהתלונן בפני רשות מפקחת.
זכויות שעובדות. גישה, תיקון, מחיקה, הגבלה, ניידות, התנגדות, והזכות שלא להיות כפופים להחלטות אוטומטיות בלבד בעלות השפעות משפטיות או משמעותיות דומות. מועד אחרון: חודש אחד, ניתן להארכה בחודשיים נוספים לבקשות מורכבות. ללא תשלום.
מזעור נתונים והגבלת מטרה. אל תאספו את מה שאינכם צריכים; אל תשנו מטרה למה שאספתם עבור משהו אחר. זה העיקרון שבוני בינה מלאכותית מפרים הכי הרבה, כי קל יותר ליצור "טופס פרופיל משתמש מלא" מאשר ליצור טופס מינימלי.
חוזי ספקים (סעיף 28). כל מעבד זקוק להסכם בכתב. בדקו את התפקיד של כל בונה אפליקציות, אחסון, מסד נתונים, אימייל, אנליטיקס ושירות בינה מלאכותית; חלקם פועלים כבקרים עצמאיים או משותפים ולא כמעבדים. בדקו שכל אחד מפרסם DPA ורשימת מעבדי משנה, ושמרו עותקים.
העברות בינלאומיות. שליחת נתונים מחוץ לאיחוד האירופי דורשת אמצעי הגנה: החלטת הלימה, סעיפים חוזיים סטנדרטיים (SCCs), או — עבור מקבלים מבוססי ארה"ב — הסמכה תחת מסגרת הגנת הפרטיות של האיחוד האירופי–ארה"ב. רוב הכלים שבהם אתם משתמשים הם אמריקאים; בדקו על מה כל אחד מהם מסתמך.
רשומות והערכות. ארגונים עם פחות מ-250 עובדים מקבלים חובת ניהול רשומות מצומצמת, אך החריגים בולעים אותה עבור רוב המוצרים (עיבוד קבוע, או כל נתון מקטגוריה מיוחדת). שמרו רשומה פשוטה בכל מקרה; מלאי הנתונים מרשימת התיוג העיקרית הוא רובו ככולו. DPIA (הערכת השפעה על הגנת נתונים) נדרשת לעיבוד בסיכון גבוה — פרופיילינג בקנה מידה גדול, ניטור שיטתי, נתונים רגישים בקנה מידה גדול.
הודעה על פרצה. הודיעו לרשות המפקחת שלכם תוך 72 שעות מהרגע שנודע לכם על פרצת נתונים אישיים המהווה סיכון לאנשים, והודיעו לאנשים המושפעים ישירות אם הסיכון גבוה. החליטו עכשיו מי עושה זאת ואיך תגלו על כך.
DPO (קצין הגנת נתונים) נדרש רק אם אתם גוף ציבורי, או שהפעילויות המרכזיות שלכם כרוכות בניטור שיטתי רחב היקף או נתונים רגישים רחבי היקף. רוב המוצרים הקטנים אינם זקוקים לכך — אך אם אתם מחוץ לאיחוד האירופי ומעבדים נתוני האיחוד באופן קבוע, ייתכן שתזדקקו לנציג באיחוד האירופי לפי סעיף 27.
עוגיות ומעקבים
אחסון וגישה למכשיר מוסדרים על ידי כללי ה-ePrivacy הלאומיים לצד ה-GDPR. הסכמה נדרשת בדרך כלל למעקב לא פטור לפני שהוא מתחיל. אחסון הכרחי יכול להיות פטור, וחלק מהמדינות מתירות מדידת קהל מוגדרת בצורה צרה ללא הסכמה. בקשת גופן מרוחק אינה עוגייה באופן אוטומטי: העריכו את הבקשה, הנתונים האישיים והבסיס החוקי בנפרד.
עבור יישום משותף פשוט, חסמו פרסום ומעקב אופציונליים עד לקבלת הסכמה, הפכו את הדחייה לקלה כמו הקבלה, וספקו אפשרות למשיכת הסכמה. התייחסו לזה כאל הגדרה שמרנית. אל תתארו כל הגדרת אנליטיקס כלא חוקית ללא הסכמה: CNIL מסביר את החריג המוגבל למדידת קהל.
נגישות: חוק הנגישות האירופי (EAA)
ה-EAA חל על מוצרים ושירותים ספציפיים, כולל מסחר אלקטרוני לצרכנים, מאז ה-28 ביוני 2025. הוא לא מכסה אוטומטית כל אתר. למיקרו-עסקים המספקים שירותים יש פטור: פחות מעשרה אנשים ומחזור שנתי או מאזן שנתי שאינו עולה על 2 מיליון אירו, בכפוף להגדרת הארגון הרלוונטית. חובות מוצר הן שונות.
העריכו את השירות, היישום הלאומי וכל פטור. בדיקת WCAG היא עדות טכנית שימושית, אך אינה כשלעצמה הוכחה לכך שכל דרישות המידע, התמיכה והתפקוד של ה-EAA מתקיימות. ראו את סקירת הנגישות של האיחוד האירופי והגדרת גודל ארגון.
אם אתם מארחים תוכן משתמשים: ה-DSA
סווגו את השירות תחילה: מתווך, שירות אירוח, פלטפורמה מקוונת או זירת מסחר. חובות אירוח כוללות טיפול בהודעות על תוכן לא חוקי ומתן סיבות להגבלות רלוונטיות. לחובות פלטפורמה וזירת מסחר יש תחולה משלהן וחריגים לעסקים קטנים; אל תניחו שכל תיבת תגובות מפעילה את כל חובות זירת המסחר.
הכינו נקודות קשר, תנאי מודרציה ותהליך דיווח מבוסס רשומות. ספקים זרים עשויים להזדקק גם לנציג משפטי באיחוד האירופי. בדקו את הסעיפים והחריגים הרלוונטיים בחוק השירותים הדיגיטליים (Digital Services Act).
חוק הבינה המלאכותית (AI Act), בחלק שנוגע אליכם
חובות השקיפות לפי סעיף 50 החלו לחול ב-2 באוגוסט 2026. החובות שונות עבור ספקים ומטמיעים, ועבור צ'אטבוטים, תוכן סינתטי וטקסט בעל עניין ציבורי. חשיפת צ'אטבוט אינה תחליף לסימון טכני נדרש; לעומת זאת, שימוש בבינה מלאכותית לעזרה בכתיבת קוד אינו דורש אוטומטית תווית AI ציבורית באתר שנוצר.
בצעו מלאי של מה שהמוצר באמת עושה והאם אתם מספקים או מטמיעים את המערכת הרלוונטית. בדקו חריגים והוראות מעבר מול הנחיות סעיף 50 של הנציבות. אל תסתמכו על טענת תקופת חסד גנרית. תעסוקה, חינוך, אשראי ושימושים משמעותיים אחרים דורשים בדיקת סיווג נפרדת.
אם אתם מוכרים לצרכני האיחוד האירופי
לפני התשלום, ספקו את הזהות הרלוונטית, פרטי המוצר, המחיר, המשלוח ומידע הביטול. במקום בו קיימת זכות ביטול עבור חוזה מרחוק שנכרת דרך ממשק מקוון, חייבת להיות זמינה פונקציית ביטול מקוונת במהלך אותה תקופה, עם אישור על גבי מדיום עמיד. אמצעים לאומיים חלים מה-19 ביוני 2026. לזכות יש חריגים; זה אינו כלל המחייב החזרים עבור כל רכישה דיגיטלית ללא הגבלה. ראו את דירקטיבה 2023/2673.
לתכנים ושירותים דיגיטליים מיידיים יש תנאים שונים להתחלת אספקה ואובדן זכויות ביטול; השתמשו בתהליך הנכון למה שאתם מוכרים. שמרו על תוויות תשלום חד-משמעיות לגבי התשלום ואל תבחרו מראש תוספות בתשלום.
בדקו חשיפות זהות לאומיות וכללי צרכנות. מע"מ תלוי באספקה, בלקוח ובמוסד, לכן אל תפעילו כלל מכירה ראשונה אוניברסלי בלי לבדוק את המשטר הרלוונטי.
צרפת וספרד: השכבה הלאומית
צרפת. סקרו את זהות העסק וההודעות המשפטיות, תנאי המכירה לצרכנים וגישה למגשר צרכנים מתאים, כולל פרטי הקשר הנדרשים. אל תמציאו מגשר במדיניות שנוצרה. ראו את הנחיות הגישור הרשמיות וחובות מסחר אלקטרוני.
ספרד. העריכו את תחולת ה-LSSI ודרישות המידע על הספק שלה, כולל זהות, קשר ופרטי רישום רלוונטיים. בדקו את בחירות העוגיות מול הנחיות ה-AEPD העדכניות. ראו את סעיפים 2–4, 10 ו-22 ל-LSSI והנחיות עוגיות של AEPD.
אלו הן תוספות ספציפיות להשקה, לא סקירות מלאות של החוק הלאומי. תרגום לצרפתית אינו מבסס עמידה בדרישות קוויבק, ותרגום לספרדית אינו מבסס עמידה בדרישות מקסיקו או אמריקה הלטינית אחרות.
ההנחיה הספציפית לאיחוד האירופי
הריצו את זה אחרי עשר ההנחיות ברשימת התיוג העיקרית:
Add European Union compliance mechanics to this app. Implement each item and report exactly what changed:
1. Consent gate: no analytics, advertising, chat widget, embedded video, map or third-party font loads before the user chooses. Accept and Reject equally prominent on the first layer, granular categories behind "Manage preferences", nothing pre-selected, and a permanent footer link to change or withdraw consent. Store each consent with a timestamp and the version of the text shown.
2. Audit and list every request the app makes to a third-party domain on first page load, before any consent. This list must be empty except for strictly necessary requests — tell me which ones remain and why.
3. A privacy notice section covering: legal basis for each processing purpose, retention periods, recipients, whether data leaves the EU and under what safeguard, all user rights including the right to complain to a supervisory authority, and our contact details. Use placeholders like [[LEGAL ENTITY]], [[EU REPRESENTATIVE]], [[RETENTION PERIOD]] for anything you cannot know.
4. Self-service rights: export my data, delete my account, correct my profile, and object to marketing — each in at most two clicks, with a log of requests and their dates.
5. An identity page ("Legal notice") reachable from the footer of every page with placeholders for company name, registered address, email, trade register number and VAT number.
6. If the app has any AI feature: a disclosure at the first point of interaction stating the user is interacting with an AI system, and a note stating which provider processes the input.
7. If the app sells to consumers: total price including taxes shown before checkout, a payment button whose label states that ordering creates a payment obligation, the approved consent and acknowledgement flow for immediate digital-content supply, only where the applicable withdrawal exception permits it, and a "Withdraw from contract" function, including a route for guest buyers that opens a confirmation screen with the contract details, completes in one further click, and sends an email acknowledgement.
8. An accessibility pass against WCAG 2.1 Level AA — report findings by severity before fixing.
For each item report PASS or explain what blocked it. Do not write legal claims you cannot verify from the code.
רשימת תיוג לפני השקה — האיחוד האירופי
- שום דבר לא חיוני לא נטען לפני הסכמה; דחייה קלה כמו קבלה; הסכמה מתועדת
- הודעת פרטיות מציינת בסיס חוקי, שמירה, מקבלים, העברות וזכויות
- תפקידי ספקים נבדקו ו-DPA נאספו ממעבדים; רשימות מעבדי משנה נסקרו; אמצעי הגנה להעברה מזוהה לכל כלי מחוץ לאיחוד
- מחיקה, ייצוא ותיקון — הכל עובד מקצה לקצה
- דף הודעה משפטית / Impressum עם פרטי ישות, נגיש מכל דף
- נגישות נבדקה מול WCAG 2.1 AA (או אישור פטור למיקרו-עסק בכתב)
- מאפייני AI נחשפו באינטראקציה ראשונה
- מכירה: לחצן ביטול פעיל, מחיר כולל מע"מ מוצג, תווית לחצן חובת תשלום, תיבת סימון הסכמה לתוכן דיגיטלי
- תוכן משתמשים: מנגנון הודעה-ופעולה (Notice-and-action), הצהרות על סיבות, נקודת קשר
- תוכנית כתובה למי מודיע לרשות תוך 72 שעות אם יש פרצה
מה קובעות בדיקות הבנייה
ההנחיות הן בקשות ליישום, לא הסמכה משפטית. בקרות בשתי הקליקים וערכי מחדל של "הסכמה תחילה" הם בחירות עיצוביות מעשיות, לא דרישות סטטוטוריות אוניברסליות. אשרו תחום שיפוט, חריגים, שמירה וחוזי ספק בנפרד. אשרו בקרות עם חשבונות בדיקה והתנהגות דפדפן/רשת בפועל; אישור PASS של בונה המבוסס רק על בדיקת קוד הוא עדות לא שלמה.
מקורות רשמיים והיקף סקירה
עודכן ב-14 בספטמבר 2026. המקורות המקושרים תומכים בהיקף ובתיקונים שנדונו כאן; זוהי סקירה עריכתית, לא חוות דעת משפטית ממצה או הסמכה של המוצר שלכם. בדקו את הכלל האופרטיבי בעת פעולה.
התחילו בתחולה, ואז יישמו ובדקו את הבקרות הרלוונטיות. הריצו את רשימת התיוג לפני ההשקה, ואז את הנחיית האיחוד האירופי לעיל. מוכרים גם במקומות אחרים? השוו עם ארצות הברית, הממלכה המאוחדת, קנדה, אוסטרליה, ברזיל וישראל. אתם יכולים לבנות את זה.