קליפורניה מחקה פרסום מהחוק, והחזירה אותו דרך ההגדרה של "שיתוף"
שתי שורות באותו מסמך רגולציה סותרות זו את זו לכאורה, וההבדל ביניהן הוא ההבדל בין קמפיין שדורש נייר לקמפיין שלא. הראשונה היא סעיף 7001(ddd)(6) בנוסח התקנות שפרסמה רשות הפרטיות של קליפורניה: "Significant decision does not include advertising to a consumer". השנייה היא סעיף 7150(b)(1) באותן תקנות בדיוק: "Selling or sharing personal information" נמנה בין פעילויות העיבוד שמציגות סיכון משמעותי לפרטיות הצרכן ומחייבות הערכת סיכונים מתועדת. ההגדרה של שיתוף בחוק היא העברת מידע אישי לצד שלישי לצורך פרסום חוצה הקשרים. כלומר בדיוק אותה פעילות שנמחקה בסעיף אחד חוזרת פנימה בסעיף אחר, דרך דלת אחרת ועם חובות אחרות.
הערה אחת לפני שממשיכים: אני לא עורכת דין וזו אינה חוות דעת משפטית. זו קריאה בנוסח התקנות עצמו ומיפוי של מה שנופל בפועל על צוות שיווק. את ההחלטות צריך לקבל מול יועץ משפטי שמכיר את המבנה הספציפי שלכם.
מה בדיוק נמחק, ולמה
התקנות שבהן מדובר הן חבילת ה-CCPA Updates, Cyber, Risk, ADMT and Insurance של רשות הפרטיות של קליפורניה, שנכנסה לתוקף ב-1 בינואר 2026. הן מוסיפות שלושה משטרים חדשים על גבי ה-CCPA הקיים: ביקורות סייבר, הערכות סיכונים, וחובות סביב טכנולוגיית החלטה אוטומטית שהתקנות מכנות ADMT.
בטיוטות המוקדמות פרסום התנהגותי היה בפנים בשתי דרכים. הוא היה חלק מהגדרת "פרופיילינג נרחב" שהופיעה בסעיף 7150, והוא היה יכול להיחשב החלטה משמעותית. בנוסח הסופי שניהם ירדו. ב-Final Statement of Reasons, המסמך שבו הרשות מסבירה בעצמה כל שינוי שביצעה, ההנמקה כתובה בלי עיטורים: הרשות הסירה את החלק בהגדרת הפרופיילינג הנרחב שעסק בפרופיילינג של צרכן לצורך פרסום התנהגותי "to simplify implementation for businesses at this time by reducing the amount of risk assessments they must conduct". על הסעיף שמחריג פרסום מהחלטה משמעותית היא כותבת נוסח כמעט זהה, "by reducing the type of activities that are in scope of the definition".
הרשות גם כימתה את המחיקה. באותו מסמך, בפרק ההשפעה הכלכלית, היא מעריכה שהסרת פרסום התנהגותי כפעילות שמחייבת הערכת סיכונים הקטינה בשני אחוזים את מספר החברות שכפופות לחובת הערכת הסיכונים, ושמספר השעות הנדרשות להערכה ירד בעשרה אחוזים. שני אחוזים הם מספר קטן, וזה בדיוק העניין. המחיקה שכולם דיברו עליה הוציאה מהמעגל מיעוט מזערי של חברות, כי הרוב המכריע של מי שעושה פרסום התנהגותי נשאר בפנים ממילא דרך טריגר אחר.
הטריגר שנשאר: מכירה או שיתוף
סעיף 7150(a) קובע שכל עסק שהעיבוד שלו מציג סיכון משמעותי לפרטיות הצרכן, כמפורט בסעיף קטן (b), חייב לערוך הערכת סיכונים לפני שהוא מתחיל בעיבוד הזה. הפריט הראשון ברשימה בסעיף קטן (b) הוא מכירה או שיתוף של מידע אישי. אין שם סייג לפרסום, ואין שם החרגה.
המילה שיתוף אינה מונח כללי כאן. סעיף 1798.140(ah)(1) ל-Civil Code של קליפורניה מגדיר "share, shared, or sharing" כהעברה, השכרה, שחרור, גילוי, הפצה, העמדה לרשות או תקשור אחר של מידע אישי של צרכן על ידי העסק לצד שלישי לצורך פרסום חוצה הקשרים, בין אם תמורת תשלום ובין אם לא. הסיפא חשובה. עסקה שבה לא עובר כסף היא עדיין שיתוף. אותו סעיף בפסקה (k) מגדיר פרסום חוצה הקשרים כטירגוט של פרסום לצרכן על בסיס מידע אישי שנאסף מפעילותו על פני עסקים ואתרים ואפליקציות אחרים, שאינם אלה שאיתם הצרכן בחר לתקשר.
זה תיאור מדויק של פיקסל, של Conversions , של רשימת קהל מותאם שנטענת למערכת מודעות, ושל כל הטמעה פרוגרמטית סטנדרטית. אם המידע יוצא מהאתר שלכם אל ספק שמשתמש בו כדי לטרגט את אותו אדם במקום אחר, זה שיתוף לפי ההגדרה.
ואם נשאר ספק, התקנות עצמן פותרות אותו בדוגמה. סעיף 7150(c)(3) מתאר את Business C, אפליקציית תקצוב אישי שצרכנים מזינים אליה נתונים פיננסיים. היא מתכננת להציג לאותם צרכנים מודעות באתרים אחרים להלוואות מהירות, על בסיס הערכות של ההעדפות, תחומי העניין והאמינות שלהם שנגזרו מאותם נתונים. המסקנה בתקנות: היא חייבת לערוך הערכת סיכונים "because it plans to share personal information". זו דוגמת פרסום, בתוך רגולציה שהחריגה פרסום, שמגיעה למסקנה שצריך הערכת סיכונים.
מה הפרסום כן הרוויח מהמחיקה
ההחרגה אינה חסרת ערך, והיא רלוונטית לקנה מידה אחר לגמרי. פרק ה-ADMT בתקנות, שמתחיל בסעיף 7200, חל רק על עסק שמשתמש ב-ADMT כדי לקבל החלטה משמעותית. מכיוון שפרסום אינו החלטה משמעותית, כל הפרק הזה לא חל על סטאק הפרסום.
מה שנחסך שם הוא שרשרת של חובות מול הצרכן עצמו: הודעה מקדימה לפני השימוש לפי סעיף 7220, שחייבת להסביר בשפה פשוטה את המטרה הספציפית ואסור לה לנסח אותה בכלליות; זכות לסרב לשימוש ב-ADMT לפי סעיף 7221; וזכות גישה לפי סעיף 7222, שמחייבת להסביר לצרכן את הלוגיקה ואת הפלט. אילו פרסום היה נשאר בפנים, כל מודעה מותאמת הייתה גוררת מנגנון סירוב ייעודי ותשתית מענה לבקשות גישה. זה לא קרה.
אבל מה שנחסך הוא הממשק מול הצרכן, לא התיעוד מול הרגולטור. הערכת הסיכונים היא מסמך שהעסק כותב לעצמו ומגיש בתמצית לרשות, והיא נשארה בתוקף מלא לגבי פרסום. בפועל, החברות שנהנו מהמחיקה הן אלה שעשו פרופיילינג ולא שיתפו מידע לצד שלישי. חברה שמריצה מודעות דרך פלטפורמה חיצונית אינה במצב הזה.
לוח התאריכים, ולמה תאריך אפריל מבלבל
התאריכים כאן אינם באים ממקור אחד, וזו הסיבה שהם מתערבבים בסיקור. הטבלה מפרידה ביניהם לפי הסעיף שקובע כל אחד.
| מועד | מה נדרש | הסעיף |
|---|---|---|
| 01.01.2026, כבר מאחורינו | התקנות נכנסו לתוקף | הנוסח המאוחד |
| לפני התחלת כל עיבוד חדש | הערכת סיכונים מתועדת לפני שמתחילים, לא אחרי | 7155(a)(1) |
| 45 יום משינוי מהותי | עדכון ההערכה כשהעיבוד משתנה מהותית | 7155(a)(3) |
| 01.01.2027, בעוד כארבעה חודשים | מועד הציות לפרק ה-ADMT. לא חל על פרסום | 7200(b) |
| 31.12.2027, בעוד כ-15 חודשים | השלמת הערכת סיכונים לפעילות שהתחילה לפני 01.01.2026 וממשיכה | 7155(b) |
| 01.04.2028 | הגשת מידע התמצית והתצהיר לרשות, עבור הערכות של 2026 ו-2027 | 7157(a)(1) |
| אחת לשלוש שנים לפחות | סקירה ועדכון של ההערכות הקיימות | 7155(a)(2) |
הבלבול הנפוץ ביותר בתאריכים האלה נוגע לסעיף 7200(b). מסתובב סיקור שקושר אותו לתאריך באפריל. נוסח הסעיף אומר משהו אחר: עסק שמשתמש ב-ADMT להחלטה משמעותית לפני 1 בינואר 2027 חייב לעמוד בדרישות הפרק לא יאוחר מ-1 בינואר 2027. אין שם אפריל. תאריך אפריל שייך לסעיף אחר לגמרי, 7157(a)(1), שקובע 1 באפריל 2028 כמועד ההגשה לרשות עבור הערכות שנערכו ב-2026 וב-2027. שני סעיפים, שני תאריכים, שתי חובות שונות.
שווה גם לשים לב לסעיף 7155(c), שמחייב לשמור כל הערכת סיכונים, כולל גרסאות מקוריות ומעודכנות, כל עוד העיבוד נמשך או חמש שנים מהשלמת ההערכה, לפי המאוחר. זו התחייבות ארכיון ארוכה יותר ממה שרוב צוותי השיווק מורגלים אליה.
למה זה נוגע לחברה ישראלית
הסף לתחולה אינו נוכחות פיזית. סעיף 1798.140(d)(1) מגדיר "עסק" ככל ישות שפועלת למטרות רווח, שאוספת מידע אישי של צרכנים או שנאסף עבורה, שקובעת את מטרות העיבוד ואמצעיו, ש-does business in the State of California, ושעומדת באחד משלושה תנאים.
התנאי הראשון הוא מחזור שנתי מעל 25 מיליון דולר בשנה הקודמת, סכום שמתעדכן לפי מדד המחירים. לפי עדכון הסכומים של הרשות, החל מ-1 בינואר 2025 הסכום הוא 26,625,000 דולר. השני הוא קנייה, מכירה או שיתוף של מידע אישי של 100,000 צרכנים או משקי בית או יותר בשנה. השלישי הוא הפקת חמישים אחוזים או יותר מההכנסות ממכירה או שיתוף של מידע אישי.
התנאי השני הוא זה שתופס חברות ישראליות שלא חשבו שהן בפנים. "צרכן" מוגדר בסעיף 1798.140(i) כאדם טבעי שהוא תושב קליפורניה. חברת מסחר ישראלית עם מחזור צנוע יחסית, שמריצה ריטרגטינג ופרוגרמטיק לקהל אמריקאי, יכולה לחצות מאה אלף תושבי קליפורניה דרך סטאק הפרסום בלבד, גם בלי למכור להם דבר. השיתוף עצמו הוא שמייצר את הספירה. אם אתם לא יודעים מה המספר הזה אצלכם, אתם לא יודעים אם התקנות חלות עליכם, וזו שאלה שאפשר לענות עליה מתוך הדוחות הקיימים בלי עורך דין.
השאלה השנייה, אם החברה "עושה עסקים בקליפורניה", היא שאלה משפטית ולא שאלת מדידה, והיא זו שכן דורשת ייעוץ. אבל שימו לב לסדר: אם המספר קטן משמעותית ממאה אלף והמחזור רחוק מהסף, השאלה המשפטית פחות דחופה. אם המספר גדול, היא הופכת לדחופה מאוד. תשתית המדידה שקובעת אילו נתונים בכלל יוצאים החוצה היא נושא נפרד שפירקנו במדריך המדידה בצד השרת, ומי שכבר עבר לשם יגלה שהמיפוי הזה כמעט מוכן אצלו.
מה בעצם נכנס לתוך הערכת הסיכונים
המילים "הערכת סיכונים" נשמעות כמו תרגיל בירוקרטי גנרי, וזו הסיבה שרוב הצוותים דוחים אותן. הנוסח בסעיף 7152 ספציפי הרבה יותר, ושתיים מהדרישות שם משנות את התמונה לצוות שיווק.
הראשונה היא סעיף 7152(a)(3)(F): צריך לזהות ולתעד בדוח את השמות או הקטגוריות של ספקי השירות, הקבלנים או הצדדים השלישיים שלהם העסק מגלה או מעמיד את המידע האישי, ואת המטרה שלשמה. מי שהריץ פעם ניקוי של תגיות באתר יודע כמה גורמים באמת יושבים שם, וכמה מהם איש לא יודע להסביר. סעיף 7152(a)(3)(D) מוסיף את המספר המשוער של הצרכנים שמידע שלהם מעובד, וסעיף 7152(a)(2) דורש לזהות מהו המידע המינימלי הנחוץ להשגת המטרה.
השנייה היא סעיף 7152(a)(7): צריך לתעד בדוח אם העסק יתחיל בעיבוד או לא. זה נראה טכני והוא לא. סעיף 7154(a) מנסח את מטרת ההערכה במפורש כהגבלה או איסור של העיבוד כשהסיכונים לפרטיות הצרכן עולים על התועלת לצרכן, לעסק, לבעלי עניין אחרים ולציבור. כלומר התוצר אינו מסמך שמאשר את מה שכבר קורה. זו הכרעה מתועדת, ומי שמכריע חייב להיות מזוהה בשמו לפי סעיף 7152(a)(9), עם התוספת שאדם בעל סמכות להשתתף בהחלטה אם להתחיל בעיבוד הוא זה שחייב לסקור ולאשר.
יש הקלה אחת שכדאי להכיר. סעיף 7156(a) מתיר הערכה אחת לקבוצה של פעילויות עיבוד דומות שמציגות סיכונים דומים לפרטיות. בפועל זה אומר שכל הריטרגטינג לא דורש הערכה נפרדת לכל קמפיין, אלא הערכה אחת שמכסה את הדפוס. סעיף 7156(b) מוסיף שאפשר להשתמש בהערכה שנערכה לצורך חוק אחר, בתנאי שמשלימים את מה שחסר.
התצהיר: מי חותם, ועל מה
החלק שהכי כדאי להקריא בקול בישיבת הנהלה נמצא בסעיף 7157. ההגשה לרשות אינה דוח ההערכה המלא אלא תמצית: שם העסק ואיש קשר, התקופה המכוסה, מספר ההערכות שנערכו או עודכנו בחלוקה לפי כל אחת מפעילויות העיבוד שבסעיף 7150(b), ואילו קטגוריות מידע היו מעורבות.
ואז מגיע סעיף 7157(b)(5), שקובע את נוסח ההצהרה מילה במילה: "I attest that the business has conducted a risk assessment for the processing activities set forth in California Code of Regulations, Title 11, section 7150, subsection (b), during the time period covered by this submission, and that I meet the requirements of section 7157, subsection (c). Under penalty of perjury under the laws of the state of California, I hereby declare that the risk assessment information submitted is true and correct."
סעיף 7157(c) קובע מי רשאי לחתום, ומכאן חשיבות ההפניה בתוך נוסח ההצהרה עצמה. המגיש חייב להיות חבר בהנהלה הבכירה של העסק, שמתקיימים בו שלושה תנאים במצטבר: הוא אחראי ישירות על עמידת העסק בחובות הערכת הסיכונים; יש לו ידע מספיק בהערכת הסיכונים כדי לספק מידע מדויק; ויש לו הסמכות להגיש את המידע לרשות.
שימו לב מה בדיוק הוא מצהיר. הוא מצהיר תחת אזהרת שבועה שהמידע המוגש נכון, וגם שהוא עצמו עומד בשלושת התנאים של סעיף 7157(c). כלומר ההצהרה כוללת הצהרה על הכשירות של המצהיר. מנהל שיווק שיחתום בלי שהיה מעורב בפועל בהערכות מצהיר על שני דברים לא מדויקים, לא על אחד. סעיף 7157(e) מוסיף שהרשות או היועץ המשפטי לממשלה רשאים לדרוש את דוחות ההערכה המלאים בכל עת, ושהעסק חייב להגיש אותם בתוך 30 ימי לוח מהבקשה. התמצית היא מה שנשלח מיוזמתכם. הדוח המלא הוא מה שיכול להידרש.
האכיפה בפועל עוסקת בדיוק בזה
אפשר להתייחס לכל זה כאל טקסט על נייר, אבל שני מקרים מהשנה האחרונה מראים איפה הרגולטורים בקליפורניה מסתכלים. ב-1 ביולי 2025 הודיע היועץ המשפטי לממשלת קליפורניה על הסדר בסך 1.55 מיליון דולר עם Healthline Media, בגין כשל במתן אפשרות לצרכנים לסרב לפרסום ממוקד ושיתוף מידע עם צדדים שלישיים ללא ההגנות שה-CCPA מחייב. אחת העילות בכתב התביעה רלוונטית ישירות לכל מי שקורא כאן: החברה לא ודאה שחוזי הפרסום שלה כוללים את ההגנות הנדרשות, אלא הניחה, בלי לאמת, שהצדדים השלישיים הסכימו לפעול לפי מסגרת חוזית תעשייתית. ההנחה הזו נפוצה מאוד, וכאן היא לא עמדה.
ב-3 בדצמבר 2025 חייבה רשות הפרטיות חברת שיווק בשם ROR Partners בתשלום של 56,600 דולר על אי רישום כברוקר מידע, בגין בניית קהלים מותאמים לפרסום ממוקד. הניסוח בהחלטה חד: "A sale is a sale. A business cannot bypass the CCPA's and the Delete Act's requirements by selling personal information as part of a larger suite of products and services it offers". גם אם החובה הספציפית שם שונה, הכיוון ברור. הסכומים שבסעיף הקנס המנהלי עצמם צנועים למראה, 2,663 דולר להפרה ו-7,988 דולר להפרה מכוונת נכון לעדכון של ינואר 2025, אבל הם נספרים לפי הפרה.
ארבע פעולות, לפי סדר התשואה
הפער בין צוות שייתפס לצוות שלא אינו כמות ההשקעה המשפטית. הוא סדר הפעולות, וכל אחת מהארבע הבאות אפשר להתחיל השבוע.
תמדדו כמה תושבי קליפורניה עוברים אצלכם בשנה
זה המספר שקובע אם התנאי השני של הגדרת "עסק" מתקיים, והוא יושב כבר היום בדוחות שלכם. תוציאו אותו לפני שאתם מזמינים ייעוץ, כי הוא זה שקובע אם הייעוץ דחוף או לא.
תרשמו את כל הצדדים השלישיים בשמם
סעיף 7152(a)(3)(F) דורש את השמות או הקטגוריות ואת מטרת ההעברה. אני ראיתי את הרשימה הזו נבנית הרבה פעמים, וכמעט תמיד מתגלים בה שניים או שלושה גורמים שאיש בצוות לא ידע להסביר למה הם שם.
תחליטו מי חותם, ותגידו לו את זה עכשיו
התצהיר תחת אזהרת שבועה דורש חבר הנהלה בכירה שאחראי ישירות על התחום. אם הוא ישמע על כך לראשונה בשבוע שלפני ההגשה, הוא יסרב לחתום, ובצדק. עדיף שיהיה מעורב בהערכה עצמה מההתחלה.
תבדקו מה כתוב בחוזי הפרסום, ולא מה אתם מניחים
בהסדר Healthline אחת העילות הייתה בדיוק זה: החברה הניחה ולא אימתה שהצדדים השלישיים כפופים למסגרת חוזית. פתחו את החוזים בפועל. זו בדיקה של יום עבודה אחד ששווה יותר מכל מסמך מדיניות פנימי.
שווה לחבר את כל זה לשכבת ההסכמה בצד הפרסומי, כי ברגע שמפרידים בין מה שיוצא החוצה למה שלא, גם המדידה משתנה. את ההשלכות על השדות שזורמים לפלטפורמות פירקנו בצ'קליסט פיצול ההסכמה ב-GA4 ובגוגל אדס, ואת מה שקורה למדידה עצמה כשמצמצמים העברות במדריך האטריביושן בעידן שאחרי הקוקיז.
שאלות נפוצות
אם פרסום מוחרג מהחלטה משמעותית, למה בכלל צריך הערכת סיכונים?
כי מדובר בשני טריגרים נפרדים בתוך אותן תקנות. ההחרגה בסעיף 7001(ddd)(6) מוציאה פרסום מהגדרת ההחלטה המשמעותית, ובכך פוטרת אותו מפרק ה-ADMT שמתחיל בסעיף 7200. הטריגר להערכת סיכונים הוא רשימה אחרת, בסעיף 7150(b), והפריט הראשון בה הוא מכירה או שיתוף של מידע אישי. מכיוון ששיתוף מוגדר בחוק כהעברה לצד שלישי לצורך פרסום חוצה הקשרים, פרסום התנהגותי נכנס דרך הפריט הזה.
אנחנו לא מוכרים מידע לאף אחד. זה עדיין שיתוף?
לפי ההגדרה בסעיף 1798.140(ah)(1), כן, אם המידע מועבר לצד שלישי לצורך פרסום חוצה הקשרים. הסעיף כולל במפורש העברות שאין בהן תמורה כספית או תמורה אחרת. הבחינה היא מה קורה למידע ולא אם עבר כסף.
מה בדיוק קורה ב-1 בינואר 2027?
סעיף 7200(b) קובע שעסק שמשתמש ב-ADMT להחלטה משמעותית לפני התאריך הזה חייב לעמוד בדרישות פרק ה-ADMT לא יאוחר ממנו. זה רלוונטי למי שמריץ החלטות אוטומטיות בגיוס, באשראי, בדיור, בחינוך או בשירותי בריאות. לפרסום זה לא נוגע. המועד שנוגע לפרסום הוא 31 בדצמבר 2027 לפי סעיף 7155(b), ואחריו ההגשה לרשות ב-1 באפריל 2028 לפי סעיף 7157(a)(1).
איך זה מתיישב עם תיקון 13 בישראל?
אלה משטרים נפרדים לגמרי, עם הגדרות שונות וחובות שונות, ואין ביניהם הכרה הדדית. מיפוי מלא של החובות הישראליות על נתוני שיווק נמצא במדריך תיקון 13 לנתוני שיווק. מסמך אחד לא סוגר את השני, אבל עבודת מיפוי הצדדים השלישיים שנעשתה לצורך אחד משמשת גם לשני, וזה מה שסעיף 7156(b) מתיר במפורש.
מה עושים עם זה
קחו השבוע שעה אחת ותוציאו מספר יחיד: כמה תושבי קליפורניה נגעו במידע שלכם בשנה האחרונה דרך האתר, האפליקציה והקהלים שנטענו לפלטפורמות. אם המספר קרוב למאה אלף או עובר אותו, יש לכם שאלת תחולה אמיתית ולוח זמנים שמסתיים ב-31 בדצמבר 2027. אם הוא רחוק, רשמו את התאריך שבו תמדדו שוב. זו ההחלטה היחידה כאן שאפשר לקבל מנתונים שכבר קיימים אצלכם, בלי להמתין לאיש.
5 עדכונים שחשוב לדעת + ניתוח אחד. אימייל אחד בשבוע, בלי ספאם.