תשובה מהירה: ה-TDDDG (Telecommunications Digital Services Data Protection Act) הוא החוק הלאומי של גרמניה המסדיר כיצד אתרי אינטרנט ושירותים דיגיטליים חייבים לטפל בהסכמת קובצי Cookie ובגישה לאחסון מכשירים. הוא חורג מה-GDPR בכך שהוא דורש הסכמה מוקדמת ומפורשת לפני הפעלת כל קובץ Cookie לא חיוני או טכנולוגיית מעקב, והוא חל על כל ישות הפועלת דיגיטלית בגרמניה, ללא קשר למקום מושבה.
נקודות מפתח
- ה-TDDDG שונה מ-TTDSG ב-14 במאי 2024, כדי להתיישר עם חוק שירותים דיגיטליים של האיחוד האירופי, אם כי הוראות הליבה שלו נותרו ללא שינוי [1]
- סעיף 25 ל-TDDDG דורש הסכמה מוקדמת לפני אחסון או גישה לכל מידע במכשיר של משתמש, עם פטורים צרים עבור קובצי Cookie הכרחיים מבחינה טכנית [4]
- הסכמה תקפה חייבת להינתן בחופשיות, להיות ספציפית, מיודעת, חד-משמעית וניתנת לביטול; תיבות מסומנות מראש וגלישה פסיבית אינן עומדות בדרישות [3]
- אי-ציות עלול לגרור קנסות TDDDG עד 300,000 אירו לכל הפרה, בתוספת קנסות GDPR של עד 20 מיליון אירו או 4% מהמחזור השנתי העולמי [2]
- החוק חל על עסקים, רשויות ציבוריות, מוסדות חינוך, עמותות ועצמאים בעלי נוכחות מקוונת בגרמניה [1]
- חברות אמריקאיות ועסקים שאינם מהאיחוד האירופי המכוונים למשתמשים גרמנים חייבים לציית ל-TDDDG
- תקנת ניהול ההסכמה (EinwV), שנכנסה לתוקף באפריל 2025, הציגה שירותי ניהול הסכמה מרכזיים כדי להפחית את עייפות הסכמת המשתמשים [3]
- באנרים של קובצי Cookie חייבים להציע אפשרות "דחייה" אמיתית הבולטת באותה מידה כמו אפשרות "קבלה" [5]
מהו ה-TDDDG? חוק הפרטיות הדיגיטלי הלאומי של גרמניה מוסבר
ה-TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, או Telecommunications Digital Services Data Protection Act) הוא החוק העיקרי של גרמניה המסדיר את אחסון וגישה למידע במכשירי קצה של משתמשים. הוא פועל לצד ה-GDPR ומשלים אותו, ומתייחס לפער ספציפי שה-GDPR אינו מכסה ישירות: הרגע שבו קובץ Cookie או סקריפט מעקב נוגעים לראשונה בדפדפן של משתמש.
החוק, שנחקק במקור כ-TTDSG בדצמבר 2021, שונה ל-TDDDG ב-14 במאי 2024, כדי לשקף את הטרמינולוגיה שהוצגה על ידי חוק שירותים דיגיטליים של האיחוד האירופי. שינוי השם היה בעיקר סמלי; הכללים המהותיים, במיוחד אלה שבסעיף 25 המסדירים את הסכמת קובצי ה-Cookie, נותרו ללא שינוי [1].
החוק נאכף על ידי מבנה רשויות רב-שכבתי: הנציב הפדרלי להגנת נתונים (BfDI), הסוכנות הפדרלית לרשתות (BNetzA), ו-16 רשויות הגנת הנתונים המדינתיות המתואמות באמצעות ועידת הגנת הנתונים (DSK) [2]. מודל אכיפה מבוזר זה אומר שאין צוואר בקבוק יחיד, וניתן לטפל בהפרות מכיוונים מרובים בו-זמנית.
כיצד ה-TDDDG שונה מה-GDPR?
ה-TDDDG וה-GDPR משלימים זה את זה, ולא מתחרים. ה-GDPR מסדיר מה קורה לנתונים אישיים לאחר שהם נאספים ומעובדים. ה-TDDDG מסדיר את הרגע המוקדם יותר: האם אתר אינטרנט רשאי בכלל לאחסן או לקרוא נתונים במכשיר של משתמש מלכתחילה [6].
הבדלים עיקריים:
| ממד | GDPR | TDDDG |
|---|---|---|
| היקף | עיבוד נתונים אישיים | אחסון/גישה במכשירי משתמשים |
| אפשרויות בסיס משפטי | שישה בסיסים חוקיים (הסכמה, אינטרס לגיטימי וכו') | הסכמה או הכרח טכני בלבד |
| חל על | בקרי נתונים ומעבדים | כל ישות בעלת נוכחות דיגיטלית בגרמניה |
| אכיפה | רשויות הגנת נתונים | BfDI, BNetzA, רשויות הגנת נתונים מדינתיות |
| נקודת הפעלה | פעילויות עיבוד נתונים | הפעלת קובצי Cookie/מעקב |
ההבדל המעשי הקריטי: תחת ה-GDPR, "אינטרס לגיטימי" יכול לפעמים להצדיק מעקב ללא הסכמה. תחת ה-TDDDG, אפשרות זו אינה קיימת עבור אחסון מכשירים. הסכמה או הכרח טכני קפדני הם שני הבסיסים התקפים היחידים [4].
דרישות קובצי Cookie של TDDDG מוסברות
סעיף 25 ל-TDDDG הוא הליבה התפעולית של החוק. הוא קובע כי אחסון מידע במכשיר קצה של משתמש, או גישה למידע שכבר מאוחסן שם, דורש את הסכמתו המוקדמת של המשתמש, אלא אם הפעולה הכרחית באופן מוחלט להעברת תקשורת או למתן שירות שהמשתמש ביקש במפורש [4].
הוראה זו מכסה הרבה יותר מקובצי HTTP מסורתיים. היא חלה על:
- localStorage ו-sessionStorage של הדפדפן
- פיקסלי מעקב ו-web beacons
- סקריפטים של זיהוי מכשירים (device fingerprinting)
- קובצי Flash ומזהים קבועים דומים
- כל מנגנון אחר שקורא או כותב למכשיר של משתמש
הפטורים צרים. קובצי Cookie של סשן עגלת קניות, אסימוני אימות כניסה וקובצי Cookie של איזון עומסים נחשבים הכרחיים מבחינה טכנית. קובצי Cookie של אנליטיקה, עוקבי פרסום, סקריפטים של בדיקות A/B ותוספים של מדיה חברתית אינם נכללים, הם דורשים הסכמה מוקדמת ללא קשר לאופן שבו הם ממוסגרים [5].
אילו אתרי אינטרנט צריכים לציית ל-TDDDG?
ה-TDDDG חל על כל הישויות הפועלות בגרמניה ואוגרות או ניגשות למידע במכשירי משתמשים. זה לא מוגבל לחברות גרמניות. כל עסק, מוסד או אדם פרטי עם אתר אינטרנט הנגיש למשתמשים גרמנים, ומשתמש בקובצי Cookie או מעקב לא חיוניים, נכלל בהיקף [1].
זה כולל:
- חנויות מסחר אלקטרוני ופלטפורמות SaaS
- מפרסמי מדיה וחדשות
- רשויות ציבוריות ופורטלים ממשלתיים
- מוסדות חינוך עם נוכחות מקוונת
- עמותות וארגונים לא ממשלתיים
- פרילנסרים ועצמאים המנהלים אתרי אינטרנט עסקיים
האם חברות אמריקאיות צריכות לציית ל-TDDDG? כן. אם אתר אינטרנט של חברה אמריקאית נגיש בגרמניה ומשתמש בקובצי Cookie או טכנולוגיות מעקב במכשירי מבקרים גרמנים, ה-TDDDG חל. טווח ההגעה של החוק נקבע לפי מיקום המשתמש, לא לפי מקום ההתאגדות של המפעיל [2]. זה משקף את ההיגיון הטריטוריאלי של ה-GDPR תחת סעיף 3.
דרישות הסכמת TDDDG למעקב
הסכמה תקפה תחת ה-TDDDG חייבת לעמוד בחמישה קריטריונים מצטברים: היא חייבת להינתן בחופשיות, להיות ספציפית, מיודעת, חד-משמעית וניתנת לביטול [3]. לכל קריטריון יש משקל תפעולי אמיתי.
- ניתנת בחופשיות פירושה שהמשתמש אינו עומד בפני עונש על סירוב. חסימת גישה לתוכן אלא אם קובצי Cookie מתקבלים ("חומת קובצי Cookie") נתונה במחלוקת משפטית ובדרך כלל נחשבת כלא תואמת.
- ספציפית פירושה שהסכמה מתקבלת לכל מטרה, אנליטיקה אינה יכולה להיות מקובצת עם פרסום.
- מיודעת פירושה שהמשתמש יודע בדיוק למה הוא מסכים לפני שההסכמה נרשמת.
- חד-משמעית פירושה שנדרשת פעולה חיובית. תיבות סימון מסומנות מראש, גלילה או גלישה מתמשכת אינן מהוות הסכמה [3].
- ניתנת לביטול פירושה שביטול הסכמה חייב להיות קל כמו מתן הסכמה.
הגדרות ברמת הדפדפן (כגון אות "אל תעקוב" המובנה בדפדפן) אינן מתקבלות כהסכמה תקפה תחת ה-TDDDG [2]. פלטפורמת ניהול הסכמה מוגדרת כהלכה היא המנגנון הסטנדרטי ללכידה ותיעוד הסכמה תואמת.
קנסות ועונשים של TDDDG בגין אי-ציות
הפרות של ה-TDDDG עלולות לגרור קנסות מנהליים של עד 300,000 אירו לכל הפרה בודדת [2]. מכיוון שכל הצבת קובץ Cookie ללא הסכמה בכל סשן משתמש יכולה להוות טכנית הפרה נפרדת, החשיפה המצטברת לאתרי אינטרנט בעלי תעבורה גבוהה היא משמעותית.
מעבר לקנסות ספציפיים ל-TDDDG, רגולטורים יכולים בו-זמנית לנקוט בקנסות GDPR בגין עיבוד נתונים במורד הזרם שנאספו ללא הסכמה תקפה. קנסות GDPR יכולים להגיע ל-20 מיליון אירו או 4% מהמחזור השנתי העולמי, הגבוה מביניהם [2].
מה קורה אם מפרים את ה-TDDDG? פעולות אכיפה יכולות לכלול אזהרות רשמיות, צווים להפסקת פרקטיקות לא תואמות וקנסות כספיים. בהתחשב בכך שהאכיפה מפוזרת על פני 17 רשויות (BfDI בתוספת 16 רשויות הגנת נתונים מדינתיות), הסבירות לבדיקה גבוהה באופן משמעותי מאשר בתחומי שיפוט עם רגולטור יחיד.
מי פטור מכללי ה-TDDDG?
הפטורים תחת ה-TDDDG מוגבלים לקובצי Cookie ופעולות אחסון הכרחיים מבחינה טכנית. פעולה נחשבת הכרחית מבחינה טכנית רק אם היא עומדת בשני התנאים: היא נדרשת אך ורק להעברת תקשורת דרך רשת, או שהיא הכרחית באופן מוחלט למתן שירות שהמשתמש ביקש במפורש [4].
מקרי שימוש נפוצים פטורים:
- קובצי Cookie של סשן השומרים על מצב מחובר
- התמדת עגלת קניות במהלך סשן גלישה יחיד
- קובצי Cookie של איזון עומסים המנתבים תעבורה בין שרתים
- קובצי Cookie אבטחתיים המונעים זיוף בקשות בין אתרים (CSRF)
אנליטיקה, התאמה אישית, ריטרגטינג ופונקציות שיתוף חברתי אינם פטורים, גם אם המפעיל רואה בהם חשובים מבחינה תפעולית. המבחן הוא האם השירות יכול לתפקד עבור המשתמש המבקש ללא פעולת אחסון ספציפית זו, ולא האם העסק יעדיף לקבל את הנתונים.
כיצד להפוך את האתר שלך לתואם TDDDG
ציות ל-TDDDG ניתן להשגה באמצעות גישה מובנית. השלבים הבאים משקפים את התקן הרגולטורי הנוכחי נכון לשנת 2026:
- בצע ביקורת על כל קובצי ה-Cookie והעוקבים באתר שלך. סווג כל אחד כהכרחי באופן מוחלט או לא חיוני.
- חסום את כל הסקריפטים הלא חיוניים מלהיטען עד שהמשתמש נתן הסכמה מפורשת.
- הטמע באנר הסכמה תואם המציג אפשרויות קבלה ודחייה בבולטות ויזואלית שווה. אפשרות הדחייה אסור שתהיה מוסתרת מאחורי תפריטים משניים [5].
- הגדר מטרות הסכמה מדויקות כך שמשתמשים יוכלו לקבל אנליטיקה בנפרד מפרסום, למשל.
- תעד רשומות הסכמה עם חותמות זמן, מזהי משתמשים (במידת הצורך), וגרסת ההסכמה הספציפית שהוצגה.
- אפשר ביטול הסכמה קל, קישור קבוע להגדרות ההסכמה חייב להיות נגיש מכל עמוד.
- בדוק את מסגרת ה-EinwV (בתוקף מאפריל 2025) אם ברצונך להשתלב עם שירותי ניהול הסכמה מרכזיים מוכרים, המאפשרים למשתמשים לאחסן העדפות על פני מספר אתרים [3].
פלטפורמת ניהול הסכמה כגון Biscotti CMP מיועדת לטפל ביישום הטכני של דרישות אלו, כולל תיעוד הסכמה, הגדרת באנרים וחסימת סקריפטים.
שיטות עבודה מומלצות לבאנר קובצי Cookie של TDDDG
באנר קובצי Cookie תואם TDDDG אינו רק הודעה, אלא מנגנון הסכמה פונקציונלי. רגולטורים הבהירו כי באנרים שנועדו לדחוף משתמשים לקבלה באמצעות דפוסי עיצוב מטעים (dark patterns) אינם תואמים.
שיטות עבודה מומלצות כוללות:
- בולטות כפתורים שווה: כפתורי "קבל הכל" ו"דחה הכל" חייבים להיות שווי ערך ויזואלי בגודל, בצבע ובמיקום.
- אין אפשרויות מסומנות מראש: כל מתג הסכמה חייב להיות כבוי כברירת מחדל.
- אין חסימת תוכן: הבאנר לא אמור למנוע ממשתמשים לקרוא את העמוד, אם כי הוא עשוי להופיע כשכבת-על.
- תיאורי מטרה ברורים: כל קטגוריית קובצי Cookie חייבת להיות מתוארת בשפה פשוטה, לא בז'רגון משפטי.
- מנגנון ביטול נגיש: קישור "הגדרות קובצי Cookie" בכותרת התחתונה, נגיש בכל עת, עונה על דרישה זו.
- אין עיצוב מטעה: שימוש באפקטי עמעום על כפתור הדחייה, או דרישת מספר לחיצות כדי לדחות בעוד הקבלה היא בלחיצה אחת, מהווה דפוס עיצוב מטעה ואינו תואם.
טעויות נפוצות בציות ל-TDDDG שיש להימנע מהן
אפילו מפעילים בעלי כוונות טובות עושים לעיתים קרובות טעויות החושפות אותם לסיכון אכיפה.
טעות 1: התייחסות לציות ל-GDPR כמספיק. ה-GDPR וה-TDDDG עוסקים בשאלות משפטיות שונות. אתר יכול להיות תואם GDPR בפרקטיקות עיבוד הנתונים שלו, אך עדיין להפר את ה-TDDDG על ידי טעינת עוקבים לפני רישום הסכמה.
טעות 2: הסתמכות על אותות דפדפן כהסכמה. הגדרות פרטיות ברמת הדפדפן אינן עומדות בתקן ההסכמה של ה-TDDDG [2].
טעות 3: קיבוץ מטרות הסכמה. בקשה ממשתמשים לקבל "את כל קובצי ה-Cookie" כבחירה יחידה, ללא יכולת לקבל אנליטיקה אך לדחות פרסום, מפרה את דרישת הספציפיות.
טעות 4: אי-חסימת סקריפטים של צד שלישי. כלים רבים של צד שלישי (פלטפורמות אנליטיקה, מנהלי תגים, פיקסלי פרסום) נטענים אוטומטית בעת רינדור העמוד. ללא חסימה טכנית, הם מופעלים לפני קבלת הסכמה, הפרה ישירה של ה-TDDDG.
טעות 5: אי-עדכון רשומות הסכמה. אם מטרות ההסכמה שהתקבלה משתנות, הסכמה שנאספה בעבר אינה תקפה עוד למטרות החדשות. יש לבקש מהמשתמשים שוב.
TDDDG מול הוראת ePrivacy: הבדלים עיקריים
ה-TDDDG הוא היישום הלאומי של גרמניה של הוראת ePrivacy (2002/58/EC, כפי שתוקנה ב-2009), אך הוא הולך רחוק יותר במספר היבטים. הוראת ePrivacy קבעה את המסגרת הכלל-אירופית הדורשת ממדינות חברות לחייב הסכמת קובצי Cookie; ה-TDDDG של גרמניה הוא החוק המקומי הממלא, ובאזורים מסוימים אף עולה, על התחייבות זו [6].
תקנת ePrivacy הצפויה, שתחליף את ההוראה בכל המדינות החברות באיחוד האירופי בתקנה ישימה ישירות, נמצאת בקיפאון חקיקתי מזה שנים. עד שתאומץ, חוקים לאומיים כמו ה-TDDDG נשארים התקן הפעיל בגרמניה. מפעילים אינם יכולים להניח שציות ליישום ePrivacy של מדינה חברה אחרת באיחוד האירופי עונה על הדרישות הגרמניות.
מסקנה: צעדים מעשיים הבאים לציות ל-TDDDG בשנת 2026
ה-TDDDG מייצג את הבחירה המכוונת של גרמניה לאכוף תקני פרטיות דיגיטליים בקפדנות רבה יותר מהרף המינימלי של האיחוד האירופי. עבור בעלי אתרים, מפתחים וצוותי שיווק הפועלים בשוק הגרמני, דרישות החוק ספציפיות, ניתנות לאכיפה ומנוטרות באופן פעיל על ידי 17 רשויות נפרדות.
צעדים מעשיים הבאים:
- בצע ביקורת מלאה על קובצי Cookie באמצעות כלי סריקה כדי לזהות כל עוקב באתר שלך.
- ודא שכל הסקריפטים הלא חיוניים חסומים טכנית לפני הסכמה, לא רק נחשפים.
- בדוק את באנר ההסכמה שלך מול דרישות הבולטות השווה ואי-הבחירה מראש.
- ודא שרשומות ההסכמה שלך מתועדות בפירוט מספק כדי להוכיח ציות אם תבוצע ביקורת.
- הערך אם מסגרת ההסכמה המרכזית של EinwV רלוונטית לבסיס המשתמשים ולערימה הטכנית שלך.
- הערך פלטפורמת ניהול הסכמה ייעודית כגון Biscotti CMP כדי להפוך את הדרישות הטכניות והתיעודיות לאוטומטיות.
עלות אי-הציות, עד 300,000 אירו לכל הפרה תחת ה-TDDDG, עם חשיפה נוספת ל-GDPR, עולה בהרבה על ההשקעה הנדרשת ליישום זרימת עבודה תואמת הסכמה. עבור כל ישות עם תעבורת אינטרנט גרמנית משמעותית, ציות אינו אופציונלי; זוהי דרישה תפעולית בסיסית.
שאלות נפוצות
מה פירוש TDDDG? TDDDG מייצג Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, המתורגם כחוק הגנת נתונים של שירותים דיגיטליים בתקשורת. זהו החוק הלאומי של גרמניה המסדיר את הסכמת קובצי Cookie וגישה לאחסון מכשירים.
מתי שונה השם TTDSG ל-TDDDG? שינוי השם נכנס לתוקף ב-14 במאי 2024. השינוי יישר את הטרמינולוגיה של החוק עם חוק שירותים דיגיטליים של האיחוד האירופי. כללי הסכמת קובצי ה-Cookie המהותיים בסעיף 25 לא שונו [1].
האם ה-TDDDG חל על עסקים קטנים? כן. ה-TDDDG חל על כל הישויות בעלות נוכחות מקוונת בגרמניה שאוגרות או ניגשות למידע במכשירי משתמשים, כולל עסקים קטנים, פרילנסרים ועמותות [1].
האם ניתן להשתמש באינטרס לגיטימי במקום הסכמה תחת ה-TDDDG? לא. בניגוד ל-GDPR, ה-TDDDG אינו מתיר אינטרס לגיטימי כבסיס משפטי לאחסון או גישה למכשירים. רק הסכמה או הכרח טכני הם בסיסים תקפים [4].
מהו ה-EinwV וכיצד הוא קשור ל-TDDDG? ה-Einwilligungsverwaltungsverordnung (EinwV), שנכנס לתוקף באפריל 2025, קבע מסגרת לשירותי ניהול הסכמה מרכזיים מוכרים. הוא מאפשר למשתמשים לאחסן העדפות קובצי Cookie על פני מספר אתרים, ומפחית בקשות הסכמה חוזרות ונשנות [3].
האם קובצי Cookie של אנליטיקה פטורים מדרישות הסכמת TDDDG? לא. קובצי Cookie של אנליטיקה אינם הכרחיים מבחינה טכנית ודורשים הסכמת משתמש מוקדמת תחת סעיף 25 ל-TDDDG, ללא קשר לשאלה אם הם מעבדים נתונים אישיים [5].
מה הופך באנר קובצי Cookie ללא תואם תחת ה-TDDDG? אינדיקטורים נפוצים לאי-ציות כוללים: אפשרות דחייה שקשה יותר למצוא מאשר אפשרות הקבלה, מתגי הסכמה מסומנים מראש, באנרים הטוענים סקריפטים של מעקב לפני רישום הסכמה, והיעדר בקרות מפורטות ברמת המטרה [2].
האם ה-TDDDG מיועד רק לאתרי אינטרנט גרמניים? לא. ה-TDDDG חל על בסיס מיקום המשתמש, לא על בסיס מיקום מפעיל האתר. כל אתר אינטרנט הנגיש למשתמשים בגרמניה המשתמש בקובצי Cookie לא חיוניים חייב לציית [2].
מהו הקנס המרבי על הפרת ה-TDDDG? ה-TDDDG עצמו קובע קנסות של עד 300,000 אירו לכל הפרה. בנפרד, הפרות GDPR הנגרמות כתוצאה מאיסוף נתונים ללא הסכמה יכולות לגרור קנסות של עד 20 מיליון אירו או 4% מהמחזור השנתי העולמי [2].
כיצד ה-TDDDG קשור להוראת ePrivacy? ה-TDDDG הוא היישום הלאומי של גרמניה של הוראת ePrivacy של האיחוד האירופי. הוא ממלא ובמובנים מסוימים עולה על דרישות ההוראה, והוא נשאר התקן הפעיל בגרמניה עד לאימוץ תקנת ePrivacy המוצעת ברמת האיחוד האירופי [6].
הפניות
[1] Tdddg - https://skill-sprinters.de/foerderungen/glossar/tdddg/?utm_source=openai [2] De Tdddg - https://www.consentstack.io/regulations/de-tdddg?utm_source=openai [3] Germany Gdpr Compliance Bdsg Dpo Rules And Penalties - https://legalclarity.org/germany-gdpr-compliance-bdsg-dpo-rules-and-penalties/?utm_source=openai [4] Cookies Einwilligung Tdddg - https://konfora.de/ratgeber/cookies-einwilligung-tdddg?utm_source=openai [5] Cookie Banner Pflicht - https://cookie-consent-tools.com/cookie-banner-pflicht.html?utm_source=openai [6] Ttdsg - https://www.preeco.de/en/glossary/data-protection/ttdsg?utm_source=openai