נכתב בתאריך 18 באוקטובר 2026
אם האתר או האפליקציה שלכם אוספים אפילו כתובת IP או קובץ עוגייה מילד מתחת לגיל 13 ללא אישור מפורש ומתועד מההורים שלו, אתם חשופים לקנסות שיכולים להגיע לעשרות מיליוני שקלים. זו הנקודה הקריטית ביותר שכל בעל אתר ומפתח אפליקציות חייב להכיר בשנת 2026.
מהניסיון שלנו ב-Mediniot, בעלי אתרים רבים בישראל בטוחים שהחוק האמריקאי לא חל עליהם, או שאם הם לא מבקשים מהילד להזין שם וטלפון בטופס אז הכול בסדר. בשטח, המציאות המשפטית שונה לגמרי.
פיקסל מעקב פשוט של רשת חברתית, כלי אנליטיקס סטנדרטי או רשת פרסום אוטומטית באתר משחקים יכולים להפוך אתכם למפירי חוק. במדריך הזה נסביר בדיוק איך להגן על העסק שלכם ועל הילדים שגולשים אצלכם.
מהו חוק COPPA ואיך הוא תופס גם עסקים בישראל?
חוק הגנת פרטיות הילדים באינטרנט, המוכר בשם COPPA (Children's Online Privacy Protection Act), הוא חוק פדרלי בארצות הברית שנאכף בנוקשות על ידי נציבות הסחר הפדרלית (FTC). המטרה המרכזית שלו היא להעניק להורים שליטה מלאה על המידע שנאסף מהילדים שלהם מתחת לגיל 13 ברשת.
הטעות הנפוצה ביותר שאנחנו פוגשים אצל לקוחות היא המחשבה שחוק אמריקאי נשאר בגבולות ארצות הברית. החוק קובע מפורשות שהוא חל על כל מפעיל אתר או אפליקציה בעולם, כולל חברות ישראליות, אם השירות מכוון לילדים בארצות הברית או אוסף ביודעין מידע מילדים תושבי ארצות הברית.
אם יש לכם אפליקציית חינוך באנגלית, אתר משחקים בינלאומי או חנות אונליין למוצרי ילדים שמוכרת לחו"ל, אתם כפופים לחוק הזה ישירות. מעבר לסיכון המשפטי, איסוף בלתי מבוקר של מידע אישי, נתוני מיקום מדויקים או תמונות מילדים חושף אותם לסכנות מוחשיות של פגיעה פיזית, פדופיליה, סחיטה ובריונות רשת.
מתי אתר נחשב לכזה שפונה לילדים? (שאלון בדיקה עצמית)
החוק מבחין בין שני סוגים עיקריים של אתרים: אתרים שמכוונים ישירות לילדים מתחת לגיל 13, ואתרים לקהל כללי שיש להם ידיעה בפועל (Actual Knowledge) שהם אוספים מידע מילד מתחת לגיל 13. בנוסף, קיימת קטגוריה של אתרי קהל מעורב (Mixed Audience), שפונים גם לילדים אך לא כקהל יעד בלעדי.
איך תדעו אם הרגולטור יגדיר את האתר שלכם כפונה לילדים? בדקו את עצמכם מול השאלות הבאות:
שאלון: האם האתר שלי כפוף לתקנות פרטיות קטינים?
אם עניתם "כן" על אחת או יותר מהשאלות האלו, אתם נמצאים באזור סיכון גבוה. באתרי קהל מעורב, החוק מחייב להטמיע מנגנון סינון גילאים ניטרלי (Age Screening) לפני איסוף מידע כלשהו. ניטרלי אומר שאסור לכתוב "אשר שאתה מעל גיל 13", אלא לבקש מהגולש להזין שנת לידה בצורה חופשית שלא רומזת לו איזה גיל כדאי להזין כדי להיכנס.
מה נחשב למידע אישי של קטינים ב-2026?
כשאנחנו מדברים על שמירה על פרטיות ילדים באינטרנט, רבים חושבים רק על שם מלא, כתובת מגורים, אימייל או מספר טלפון. אבל החוק רחב הרבה יותר, ובשנת 2026 נכנסו לתוקף תקנות חדשות ומחמירות במיוחד.
ב-22 באפריל 2025 פרסמה נציבות הסחר הפדרלית תיקונים מקיפים לתקנות COPPA, כאשר מועד האכיפה המחייב לעמידה מלאה בכל הדרישות החדשות נקבע ל-22 באפריל 2026. תיקונים אלו מרחיבים דרמטית את רשימת הנתונים שאסור לאסוף מילדים ללא הסכמת הורים:
- מזהים דיגיטליים קבועים: כתובת IP, קובצי עוגיות (Cookies) למעקב, ומזהי מכשיר ייחודיים שמאפשרים לזהות את אותו גולש לאורך זמן ובאתרים שונים.
- קבצי מדיה ומיקום: תמונות, סרטונים או הקלטות קול שמכילים את דמותו או קולו של הילד, וכן נתוני מיקום גיאוגרפי מדויקים (GPS).
- נתונים ביומטריים (חדש בתקנות 2025/2026): טביעות אצבע, תבניות זיהוי פנים (כמו בפילטרים של מצלמה באפליקציות), דפוסי קול, סריקות רשתית ומידע גנטי.
- מזהים ממשלתיים: מספר תעודת זהות, מספר דרכון או פרטי תעודת לידה.
חובת קבלת הסכמת הורים מאומתת (ומנגנוני אישור)
הלב של חוקי הגנת הפרטיות לקטינים הוא הדרישה לקבל הסכמת הורים ניתנת לאימות (Verifiable Parental Consent) לפני שאתם אוספים, שומרים או משתמשים במידע של הילד. תיבת סימון פשוטה שבה הילד מסמן "קיבלתי רשות מההורים שלי" אינה חוקית ולא תעמוד במבחן בית המשפט.
החוק העדכני מגדיר כמה שיטות מאושרות להשגת הסכמה מאומתת:
- ביצוע עסקה סמלית בכרטיס אשראי: גביית סכום זעיר מכרטיס האשראי של ההורה, שמספקת הוכחה שמדובר באדם מבוגר שמודע לפעולה.
- שיחת וידאו או טלפון: יצירת קשר ישיר של ההורה עם נציג שירות מיומן לצורך אימות זהותו.
- טופס חתום או זיהוי ממשלתי: שליחת טופס הסכמה חתום או בדיקת תעודה מזהה של ההורה (בתנאי שפרטי התעודה נמחקים מיד לאחר האימות).
- שיטת Text Plus (אושרה בעדכון החוק האחרון): שליחת הודעת טקסט (SMS) לטלפון של ההורה, בליווי צעד אימות נוסף שמוודא שהמאשר הוא אכן ההורה ולא הילד שהחזיק בטלפון.
המלכודת הטכנית: אחריות על תוספים, פרסומות ועיצוב מניפולטיבי
אחת הטעויות היקרות ביותר של בעלי אתרי וורדפרס ומפתחי אפליקציות היא הטמעה אוטומטית של כלי צד שלישי. לפי החוק, בעל האתר נושא באחריות משפטית ישירה גם למידע שנאסף באתר שלו על ידי רכיבים חיצוניים.
אם התקנתם באתר שפונה לילדים פיקסל של פייסבוק או טיקטוק, מערכת Google Analytics בהגדרות רגילות, או רשת פרסום שמציגה מודעות מותאמות אישית (Behavioral Advertising), אתם מפרים את החוק מיד. הכלים האלו שותלים עוגיות מעקב ואוספים כתובות IP של הילדים ללא אישור הורים.
בנוסף, הרגולטורים נלחמים כיום בתופעה שנקראת עיצוב מניפולטיבי (Dark Patterns). החוק אוסר לחלוטין להתנות השתתפות של ילד במשחק, תחרות או פעילות באתר במסירת מידע אישי מעבר למינימום ההכרחי להשתתפות באותה פעילות. אסור ללחוץ על הילד למסור אימייל של חבר או לאשר גישה למיקום רק כדי לקבל עוד נקודות במשחק.
דרישות מיוחדות בניסוח מדיניות פרטיות וזכויות הורים
מדיניות פרטיות באתר שאוסף מידע מקטינים לא יכולה להיראות כמו מסמך משפטי רגיל וארוך. החוק דורש לפרסם קישור בולט וברור למדיניות הפרטיות בעמוד הבית ובכל מקום באתר שבו נאסף מידע מילדים.
המדיניות חייבת להיות כתובה בשפה פשוטה ונטולת עמימות, ולכלול את פרטי הקשר של כל המפעילים (כולל רשימת הצדדים השלישיים שאוספים מידע באתר), סוגי המידע שנאספים וכיצד משתמשים בהם. החל מ-2026, חובה ליישם גם תוכנית אבטחת מידע כתובה ומדיניות קפדנית למחיקת נתונים, שאוסרת לשמור מידע של ילדים מעבר לזמן הנדרש למטרה שלשמה נאסף.
בנוסף, עליכם להעניק להורים זכויות מלאות ונגישות בכל עת:
- לעיין בכל המידע האישי שנאסף מהילד שלהם.
- לדרוש מחיקה מוחלטת של המידע ממאגרי האתר (הזכות להישכח).
- לבטל את הסכמתם ולמנוע כל איסוף או שימוש עתידי במידע של הילד, מבלי שהדבר יפגע ביכולת של הילד להשתמש בחלקים באתר שלא דורשים מידע אישי.
השוואה: COPPA מול ה-GDPR באירופה והדין בישראל (תיקון 13)
בעל אתר ישראלי צריך לעיתים לתמרן בין שלוש מערכות חוקים שונות במקביל. ב-14 באוגוסט 2025 נכנס לתוקף בישראל תיקון 13 לחוק הגנת הפרטיות, שהרחיב דרמטית את הגדרת "מידע אישי" (כולל מזהים מקוונים וביומטריים) והעניק לרשות להגנת הפרטיות סמכות להטיל קנסות מנהליים כבדים ללא צורך בהוכחת נזק.
בישראל, גיל הבגרות לפי חוק הכשרות המשפטית והאפוטרופסות הוא 18, אך לפי הנחיות הרשות להגנת הפרטיות, קטינים (ובפרט מתחת לגיל 14) נחשבים לאוכלוסייה פגיעה שעיבוד המידע שלה דורש משנה זהירות והסכמת הורים. כדי לעשות סדר, ריכזנו בטבלה את ההבדלים המרכזיים:
| מאפיין רגולטורי | ארה"ב (COPPA 2026) | אירופה (GDPR) | ישראל (חוק הגנת הפרטיות ותיקון 13) |
|---|---|---|---|
| גיל הקטין המוגן | מתחת לגיל 13 | גיל 16 (מדינות חברות רשאיות להוריד עד גיל 13) | עד גיל 18 (דגש מחמיר במיוחד מתחת לגיל 14) |
| דרישת הסכמת הורים | הסכמה מאומתת מראש לפני כל איסוף מידע; הסכמה נפרדת לשיתוף ו-AI | חובת אימות סבירה שההסכמה ניתנה או אושרה על ידי ההורה | חובת קבלת הסכמת הורים לעיבוד מידע של קטינים צעירים בשפה ברורה |
| הגדרת מידע אישי | פרטים מזהים, עוגיות, IP, מיקום, ביומטרי ומזהים ממשלתיים | כל נתון שמזהה אדם במישרין או בעקיפין, כולל מזהים מקוונים | הורחב בתיקון 13 וכולל מזהים מקוונים, מיקום ונתונים ביומטריים |
| קנסות ואכיפה | עד כ-195,000 ₪ לכל הפרה בודדת (מצטבר למיליונים) | עד כ-80 מיליון ₪ או 4% מהמחזור השנתי העולמי | עיצומים כספיים של מאות אלפי ועד מיליוני שקלים לפי תיקון 13 |
אכיפה וקנסות: כמה באמת עולה להפר את החוק?
נציבות הסחר הפדרלית בארצות הברית לא מסתפקת במכתבי התראה. נכון לשנים 2025 ו-2026, סכום הקנס האזרחי המקסימלי על הפרת תקנות COPPA עומד על כ-195,000 ₪ (53,088 דולר) לכל הפרה בודדת.
המשמעות הקריטית היא שהקנס מחושב לרוב לפי כל ילד שפרטיו נאספו שלא כחוק או לפי כל יום שבו ההפרה נמשכה. כך קנס על תקלה טכנית אחת באתר עם אלפי גולשים מזנק בקלות לסכומי עתק.
צ'ק-ליסט יישומי לבעלי אתרים: עמידה בדרישות החוק ב-2026
כדי לעזור לכם להגן על האתר או האפליקציה שלכם בצורה מעשית, בנינו ב-Mediniot רשימת פעולות שחובה לבצע אם קהל היעד שלכם כולל קטינים:
שאלות נפוצות
מהו חוק הגנת הפרטיות של ילדים באינטרנט (COPPA) ועל מי הוא חל?
חוק COPPA הוא חוק פדרלי בארצות הברית שמטרתו להגן על פרטיותם של ילדים מתחת לגיל 13 ברשת. החוק חל על מפעילי אתרים, אפליקציות ושירותים מקוונים שפונים בתוכן או בעיצוב שלהם לילדים מתחת לגיל 13, וכן על אתרים לקהל כללי שיודעים בפועל שהם אוספים מידע אישי מילדים בגילאים אלו.
מאלו גילאים מותר לאתרים ולאפליקציות לאסוף מידע אישי מילדים ללא אישור הורים?
הגיל משתנה לפי אזור השיפוט: בארצות הברית (לפי חוק COPPA) נדרש אישור הורים מתחת לגיל 13. באיחוד האירופי (לפי תקנות ה-GDPR) גיל ההסכמה הדיגיטלית עומד על 16, אך מדינות חברות רשאיות להוריד אותו עד לגיל 13. בישראל, גיל הבגרות החוקי הוא 18, והנחיות הרשות להגנת הפרטיות מחייבות משנה זהירות וקבלת הסכמת הורים באיסוף מידע מקטינים, ובפרט מתחת לגיל 14.
איך מקבלים הסכמת הורים מאומתת לאיסוף נתונים מקטינים ברשת?
החוק דורש להשתמש באמצעי שמוודא שהמאשר הוא אכן אדם מבוגר, לפני איסוף המידע. שיטות מאושרות כוללות ביצוע חיוב סמלי בכרטיס אשראי, שליחת טופס הסכמה חתום, שיחת וידאו עם נציג, אימות באמצעות תעודה מזהה ממשלתית (שנמחקת מיד לאחר הבדיקה), או שיטת Text Plus החדשה שמשלבת הודעת SMS להורה יחד עם צעד אימות נוסף.
האם חוקי פרטיות ילדים האמריקאים (COPPA) חלים גם על אתרים וחברות מישראל?
כן, בהחלט. לחוק COPPA יש תחולה בינלאומית והוא חל על כל חברה או בעל אתר מחוץ לארצות הברית, כולל עסקים מישראל, אם האתר או האפליקציה שלהם מכוונים לילדים בארצות הברית או אוספים ביודעין מידע אישי מילדים שהם תושבי ארצות הברית.
אילו סוגי מידע נחשבים למידע אישי שאסור לאסוף מילדים באינטרנט?
מעבר לשם, כתובת, אימייל ומספר טלפון, החוק אוסר לאסוף ללא אישור הורים גם קובצי תמונה, וידאו או קול של הילד, מיקום גיאוגרפי מדויק, ומזהים טכנולוגיים קבועים כמו כתובת IP וקובצי עוגיות (Cookies). בעדכון החוק לשנת 2026 נוספו לרשימה גם נתונים ביומטריים (טביעת אצבע, תבנית פנים ודפוס קול) ומזהים ממשלתיים כמו תעודת זהות או דרכון.
מהם הקנסות והסנקציות על הפרת חוקי פרטיות לקטינים ברשת?
נכון לשנת 2026, הקנס המקסימלי בארצות הברית על הפרת COPPA עומד על כ-195,000 ₪ (53,088 דולר) לכל הפרה בודדת, מה שמצטבר בקלות לעשרות מיליוני שקלים כאשר מדובר באלפי משתמשים. בישראל, תיקון 13 לחוק הגנת הפרטיות מעניק לרשות להגנת הפרטיות סמכות להטיל עיצומים כספיים כבדים של מאות אלפי ועד מיליוני שקלים על הפרות פרטיות.
כיצד בונים מדיניות פרטיות לאתר או אפליקציה שפונים לילדים?
מדיניות פרטיות לקטינים חייבת להיות מוצגת בקישור בולט בעמוד הבית ובכל אזור שבו נאסף מידע. עליה להיכתב בשפה פשוטה וברורה, לפרט בדיוק אילו נתונים נאספים (כולל על ידי תוספי צד שלישי), להבהיר שלא מתנים השתתפות במשחק במסירת מידע מיותר, ולהסביר להורים כיצד הם יכולים לעיין במידע של ילדם, לדרוש את מחיקתו או לבטל את הסכמתם בכל עת.
מה כדאי לזכור
שנת 2026 מציבה רף חדש ומחמיר בכל הנוגע לשמירה על פרטיות ילדים באינטרנט, הן בעקבות כניסתן לתוקף של תקנות COPPA החדשות בארצות הברית והן בעקבות תיקון 13 לחוק הגנת הפרטיות בישראל. עבור בעלי אתרים, חנויות אונליין ומפתחי אפליקציות, המשמעות היא שאי אפשר עוד להסתפק בתבנית מדיניות פרטיות גנרית.
בדקו היטב אילו נתונים ומערכות מעקב פועלים באתר שלכם, הטמיעו מנגנוני סינון גילאים והסכמת הורים תקניים, וודאו שמדיניות הפרטיות שלכם משקפת בשקיפות מלאה את אופן הטיפול במידע של קטינים. ציות מדויק לחוק לא רק יחסוך לכם חשיפה לקנסות כבדים, אלא גם יבנה אמון אמיתי מול ההורים שמשתמשים בשירותים שלכם.
