עמידה ברגולציה28 בינואר 2026 | FlexyConsent

מה קורה כשלא אוספים הסכמה: קנסות אמיתיים ומקרי בוחן

חושבים שבאנרי הסכמה הם אופציונליים? חושבים שמספיקה הודעת עוגיות פשוטה? הרגולטורים לא מסכימים — ויש להם הוכחות. מאז כניסת GDPR לתוקף ב-2018, הטילו רשויות הגנת המידע ברחבי אירופה ומחוצה לה קנסות של מעל 4.5 מיליארד אירו. רבים מהם קשורים ישירות לכשלים באיסוף הסכמת משתמשים תקפה.

הנה המקרים האמיתיים, המספרים האמיתיים, ומה שהם אומרים לגבי העסק שלכם.

הקנסות הגדולים ביותר הקשורים להסכמה בהיסטוריה

Meta (Facebook/Instagram) -- אירלנד, 2023

€1.2 מיליארד

ה-DPC האירי מצא כי Meta העבירה נתוני משתמשים מהאיחוד האירופי לארה"ב ללא מנגנונים משפטיים תקפים והסכמה מתאימה. זה נותר הקנס הגדול ביותר שהוטל אי פעם תחת GDPR. Meta גם קיבלה קנס של 390 מיליון אירו בינואר 2023 בגין כפיית קבלת פרסום מותאם אישית כתנאי לשימוש ב-Facebook וב-Instagram — הפרה ברורה של דרישת ההסכמה "שניתנה מרצון".

Amazon -- לוקסמבורג, 2021

€746 מיליון

Amazon קיבלה קנס על עיבוד נתונים אישיים לצורך פרסום ממוקד ללא הסכמה מתאימה מהמשתמשים. רשות הגנת המידע של לוקסמבורג (CNPD) קבעה כי מערכת מיקוד הפרסום של Amazon אינה עומדת בדרישות ההסכמה של GDPR.

Google -- צרפת (CNIL), 2022

€150 מיליון

ה-CNIL הטיל קנס על Google מכיוון שמנגנון הסכמת העוגיות שלה ב-google.fr וב-youtube.com הקל על קבלת כל העוגיות בלחיצה אחת, אך לסירוב נדרשו לחיצות מרובות. עיצוב א-סימטרי זה — שהפך את הסירוב לקשה יותר מהקבלה — נפסק כהפרה של עיקרון ההסכמה "שניתנה מרצון".

TikTok -- אירלנד, 2023

€345 מיליון

TikTok קיבלה קנס על עיבוד נתונים אישיים של ילדים ללא אמצעי הסכמה ושקיפות מספקים. ה-DPC מצא כי חשבונות ילדים הוגדרו כפומביים כברירת מחדל וכי הגדרות הפרטיות של הפלטפורמה לא היו נגישות מספיק.

Criteo -- צרפת (CNIL), 2023

€40 מיליון

חברת ה-ad-tech קיבלה קנס על איסוף נתוני גלישה של מיליוני משתמשים באמצעות עוגיות מעקב מבלי להוכיח שהתקבלה הסכמה תקפה. ה-CNIL מצא כי Criteo לא יכלה להוכיח שרשרת הסכמה תקפה מהאתרים שבהם הוצבו העוגיות.

לא רק חברות טכנולוגיה גדולות: קנסות לעסקים קטנים

אל תחשבו שקנסות הם רק לענקיות הטכנולוגיה. רשויות הגנת המידע ברחבי אירופה מקנסות באופן קבוע עסקים קטנים ובינוניים בגין הפרות הסכמה:

AEPD ספרדית: מוציאה קנסות קבועים של 2,000 עד 60,000 אירו לעסקים קטנים על הנחת עוגיות ללא הסכמה או מדיניות עוגיות חסרה.
Garante איטלקי: הטיל קנס של 20,000 אירו על אתר מסחר אלקטרוני קטן על שימוש ב-Google Analytics ללא מנגנוני העברת הסכמה תקפים.
CNIL צרפתי: הטיל קנס של 150,000 אירו על אתר בריאות על איסוף נתונים רגישים באמצעות טפסים ללא הסכמה מפורשת.
DSB אוסטרי: פסק כי שימוש ב-Google Analytics ללא הסכמה הוא בלתי חוקי, ויצר תקדים שהשפיע על אלפי עסקים.
DPA בלגי: הטיל קנס של 250,000 אירו על IAB Europe בגין בעיות עם מחרוזת ההסכמה של TCF, והדגים כי אפילו מסגרת ההסכמה עצמה כפופה לאכיפה.

מעבר לקנסות: העלויות הנסתרות

העונשים הכספיים הם רק קצה הקרחון. הנזק האמיתי כולל לעיתים קרובות:

פגיעה במוניטין: קנסות GDPR הם עניין ציבורי. המותג שלכם יוקשר להפרות פרטיות בסיקור חדשותי ובתוצאות חיפוש.
אובדן הכנסות פרסום: ללא CMP מוסמכת, Google עשויה להגביל את הגשת המודעות ב-EEA. מוציאים לאור דיווחו על ירידות הכנסה של 30-70% כאשר הגדרת ההסכמה שלהם אינה עומדת בדרישות.
עלויות משפטיות: ההגנה מפני תלונות, מענה לחקירות DPA, ועיצוב מחדש של נוהלי הנתונים עלולים לעלות מאות אלפי שקלים בשכר טרחת עורכי דין.
שיבוש תפעולי: ה-DPA יכולות להורות לכם להפסיק לעבד נתונים לחלוטין עד להשגת ציות — מה שבאופן יעיל סוגר את העסק המקוון שלכם.
סיכון תביעה ייצוגית: GDPR מאפשר פעולה משפטית קולקטיבית. ארגוני צרכנים באוסטריה, צרפת וגרמניה הגישו תביעות ייצוגיות נגד חברות על הפרות הסכמה.

טעויות ההסכמה הנפוצות ביותר המובילות לקנסות

תיבות הסכמה מסומנות מראש: GDPR אוסר על כך במפורש. ההסכמה חייבת להיות פעולה חיובית.
חומות עוגיות: חסימת גישה לתוכן אלא אם המשתמשים מקבלים את כל העוגיות אינה הסכמה "שניתנה מרצון".
כפתורים א-סימטריים: הבלטת כפתור "קבל" תוך הסתרה או מזעור כפתור "דחה" מפר את עיקרון ההסכמה מרצון.
הסכמה מאוגדת: שילוב הסכמה למטרות מרובות בפעולת "קבל" אחת שוללת מהמשתמשים את הבחירה הספציפית שהם זכאים לה.
ללא מנגנון ביטול: אם משתמשים אינם יכולים לשנות או לבטל את הסכמתם בקלות, כל איסוף ההסכמה שלכם אינו תקף.
רשומות הסכמה חסרות: ללא יומנים עם חותמות זמן המראים מי הסכים, מתי, ולמה, אינכם יכולים להוכיח ציות במהלך ביקורת.
מעקב לפני הסכמה: טעינת analytics, פיקסלים של מודעות, או סקריפטים שיווקיים לפני שהמשתמש מקבל החלטה היא ההפרה הנפוצה ביותר — והקלה ביותר לאיתור.