חתימה דיגיטלית וטפסים דיגיטליים: איך מעבירים תהליך מנייר לטופס מקוון

ברוב הארגונים הגדולים והגופים הציבוריים יש תהליך אחד לפחות שעדיין עובר דרך מדפסת: בקשה שמורידים כקובץ, ממלאים בעט, סורקים ושולחים בדואר, ומישהו בצד השני מקליד את הכל מחדש למערכת. המעבר לטופס דיגיטלי עם חתימה דיגיטלית נשמע כמו פרויקט טכנולוגי קטן, ובפועל הוא נוגע במשפטית, באבטחת מידע, בנגישות, בגבייה ובמחלקה שמטפלת בבקשות. המדריך הזה עובר על כל השכבות בסדר שבו הן מופיעות בפרויקט אמיתי, עם המקורות הרשמיים, כדי שתוכלו לקבל החלטה ולהגן עליה מול הרכש, היועץ המשפטי וההנהלה. מה שכתוב כאן אינו ייעוץ משפטי: את השאלה איזו חתימה נדרשת על מסמך מסוים אצלכם סוגר היועץ המשפטי של הארגון.

חתימה דיגיטלית, חתימה אלקטרונית וטופס מקוון: על מה מדברים

שלושה מונחים מתערבבים כמעט בכל ישיבה בנושא, וכדאי להפריד ביניהם כבר בעמוד הראשון של המפרט. טופס מקוון הוא ממשק שבו האזרח או הלקוח ממלא פרטים בדפדפן או בנייד, והנתונים נשמרים כנתונים: שם בשדה שם, מספר תעודת זהות בשדה מספר. חתימה אלקטרונית היא המונח המשפטי: כל מידע או סימן אלקטרוני שמוצמד למסר אלקטרוני או נקשר אליו. חתימה דיגיטלית היא שם של טכנולוגיה, בדרך כלל זוג מפתחות הצפנה ותעודה שמקשרת את המפתח לאדם, והיא הדרך הנפוצה לייצר את הדרגות הגבוהות של חתימה אלקטרונית.

למה זה חשוב? כי ספקים משתמשים במילים האלה בחופשיות. "חתימה דיגיטלית" בהצעת מחיר יכולה להיות ציור של חתימה באצבע על מסך, ויכולה להיות חתימה מאושרת עם כרטיס חכם. ההבדל ביניהן הוא ההבדל בין מסמך שקשה להוכיח מי חתם עליו לבין מסמך שהחוק מניח לגביו הנחות לטובתכם. במפרט כותבים את הדרגה במונחי החוק, לא את שם הטכנולוגיה.

ועוד הבחנה אחת: לא כל טופס צריך חתימה. רוב הטפסים שארגונים מבקשים "להחתים" צריכים בפועל זיהוי סביר של הממלא, אישור על קריאת תנאים ותיעוד של מה נשלח ומתי. חתימה נדרשת כשחיקוק או חוזה דורשים אותה, או כשהסיכון מצדיק אותה. על השאלה הזו נחזור בהמשך, כי היא קובעת חלק גדול מהעלות ומהחיכוך של המשתמש.

טופס מקוון או PDF למילוי

הצעד הראשון של הרבה ארגונים הוא להפוך את הטופס המודפס לקובץ PDF שאפשר למלא במחשב. זה עדיף על הדפסה, אבל זה לא טופס דיגיטלי. הקובץ עדיין נשלח בדואר כקובץ מצורף, מישהו עדיין פותח אותו ומעתיק ממנו נתונים, ואין שום בדיקה שהשדות מולאו נכון. בנוסף, PDF שנוצר בלי תשומת לב לנגישות הוא אחד המקורות הנפוצים לתלונות: קורא מסך לא יודע איזה שדה הוא איזה, והסדר שבו הוא קורא אותם לא תמיד תואם את הסדר על הדף.

טופס מקוון בנוי אחרת. כל שדה מוגדר עם סוג, חובה או רשות, ובדיקת תקינות. מספר תעודת זהות נבדק לספרת ביקורת עוד לפני השליחה. שדה שמופיע רק אם סומנה אפשרות מסוימת לא מבלבל את מי שלא צריך אותו. והנתונים מגיעים כרשומה מסודרת שאפשר להעביר אוטומטית למערכת CRM, למערכת ניהול פניות או למערכת ליבה.

יש מקרים שבהם PDF למילוי הוא עדיין הבחירה הנכונה: טופס שנדרש לפי חיקוק בנוסח קבוע שאסור לשנות, טופס שנמלא פעם בשנה על ידי עשרה אנשים, או שלב ביניים כשאין עדיין מערכת שתקבל את הנתונים. גם אז, הקובץ צריך להיות נגיש, ועדיף לצרף לו ערוץ הגשה מקוון במקום כתובת דואר.

חוק חתימה אלקטרונית: שלוש דרגות של חתימה

החוק שמסדיר את הנושא הוא חוק חתימה אלקטרונית, התשס"א-2001. הדף הרשמי שלו, עם התקנות, הצו שקובע את התוספות והתיקון משנת 2018, מתפרסם באתר הרשות להגנת הפרטיות במשרד המשפטים. החוק מגדיר שלוש דרגות, וכל אחת בנויה על הקודמת.

חתימה אלקטרונית

לפי הגדרת החוק, חתימה שהיא מידע אלקטרוני או סימן אלקטרוני שהוצמד או שנקשר למסר אלקטרוני. זו הדרגה הרחבה ביותר: שם שהוקלד בתחתית טופס, סימון בתיבת "אני מאשר", ציור חתימה על מסך מגע. החוק המתוקן קובע שקבילותה של חתימה לא תישלל רק בשל היותה אלקטרונית, אבל אין לה חזקות מיוחדות: אם יתעורר ויכוח, תצטרכו להוכיח מי חתם ושהמסמך לא שונה.

חתימה אלקטרונית מאובטחת

חתימה שמתקיימים בה ארבעה תנאים: היא ייחודית לבעל אמצעי החתימה, היא מאפשרת זיהוי לכאורה שלו, היא הופקה באמצעי שנמצא בשליטתו הבלעדית, והיא מאפשרת לזהות כל שינוי שנעשה במסר אחרי החתימה. לפי החוק המתוקן, מסר שחתום בחתימה כזו קביל בכל הליך משפטי ומהווה ראיה לכאורה שהוא לא שונה אחרי מועד החתימה.

חתימה אלקטרונית מאושרת

חתימה מאובטחת שגורם מאשר הנפיק לגביה תעודה אלקטרונית, כלומר מסמך אלקטרוני שמאשר שאמצעי האימות שייך לאדם מסוים. גורם מאשר הוא גוף שרשום במרשם שמנהל רשם הגורמים המאשרים. לחתימה מאושרת החוק נותן את החזקה החזקה ביותר: גם ראיה לכאורה שהמסר נחתם על ידי בעל אמצעי החתימה. החוק גם קובע חזקה שחתימה שמזוהה באמצעות תעודה מאושרת של גורם מאשר היא חתימה מאושרת.

שימו לב לשני פרטים שחשובים לארגונים. הראשון: הנחיות רשם הגורמים המאשרים כוללות הנחיה משנת 2009 על הנפקת תעודה לאמצעי חתימה שנשמר על שרת או על HSM, והנחיה משנת 2019 על מבנה תעודה מאושרת למבקש שהוא תאגיד. כלומר חתימה מאושרת אינה מחייבת בהכרח כרטיס חכם וקורא כרטיסים אצל כל חותם, ויש לה מסגרת גם לחתימה בשם חברה. השני: מי הגורמים המאשרים הרשומים נכון להיום בודקים במרשם של הרשם, לא בהצעת המחיר של הספק.

איזו חתימה צריך לאיזה מסמך

תיקון מס' 3 לחוק, שפורסם בפברואר 2018, שינה את התמונה. לפני התיקון, כשחיקוק דרש חתימה, אפשר היה לקיים את הדרישה במסמך אלקטרוני רק בחתימה מאושרת. מאז התיקון, סעיף 2 לחוק קובע שדרישת חתימה לפי חיקוק מתקיימת באחת משתי דרכים: חתימה אלקטרונית מאושרת, או חתימה אלקטרונית אחרת, ובלבד שמתקיימות, ברמת ודאות מספקת בנסיבות העניין, התכליות של דרישת החתימה באותו חיקוק.

יש חריגים שקבועים בתוספת הראשונה לחוק. בנוסח שנקבע בתיקון, צוואה לפי סעיפים 20 או 22 לחוק הירושה וזיכרון דברים על צוואה בעל פה טעונים חתימה אלקטרונית מאושרת, וצוואה בכתב יד לפי סעיף 19 לחוק הירושה אינה יכולה להיחתם בחתימה אלקטרונית. השר רשאי לשנות את התוספת בצו, ולכן בודקים את הנוסח העדכני לפני שמחליטים.

הסעיף שכל מי שמתכנן טופס חייב להכיר

התיקון הוסיף גם את סעיף 3א, שעוסק בנטל ההוכחה בחוזים. לפיו, "גורם מעצב", כלומר צד לחוזה שיש לו עדיפות בעיצוב אופן החתימה האלקטרונית, ומבקש להסתמך על חתימה של הצד השני על מסר אלקטרוני בקשר לחוזה, נושא בנטל להוכיח שאותו צד אכן חתם. ההוראה חלה על אף האמור בכל חוזה, והיא לא חלה כשהמסר נחתם בחתימה מאושרת.

בתרגום לשפה של פרויקט: אם הארגון שלכם בונה את הטופס וקובע איך חותמים עליו, ההוכחה שהלקוח חתם עלולה ליפול עליכם. סעיף בתנאי השימוש שאומר "הלקוח מסכים שסימון התיבה הוא חתימתו" לא מעביר את הנטל. מה שכן עוזר הוא תיעוד: מי נכנס, איך זוהה, מה הוצג לו, מה סימן, מתי, ומאיזו כתובת, יחד עם עותק של המסמך כפי שנשלח. זה ההבדל בין טופס שנראה דיגיטלי לבין טופס שאפשר לעמוד מאחוריו.

זיהוי: לדעת מי באמת מילא את הטופס

חתימה חזקה על טופס שמילא אדם לא מזוהה שווה מעט. לכן ההחלטה הראשונה היא כמה ודאות אתם צריכים לגבי זהות הממלא, וההחלטה על החתימה באה אחריה. יש כאן סולם: אימות כתובת דואר או טלפון בקוד חד פעמי, הזדהות מול מערכת קיימת של הארגון (אזור אישי, מספר לקוח), הזדהות דרך מערכת לאומית, ועד חתימה מאושרת שבעצמה מזהה את החותם.

ההזדהות הלאומית בשירותי ממשלה

לשירותי ממשלה פועלת מערכת ההזדהות הלאומית, שעלתה לאוויר בשנת 2019 ומשמשת כשער כניסה מאוחד לשירותים מקוונים מזוהים ולאזור האישי הממשלתי. לפי הדוח המיוחד של מבקר המדינה על ההזדהות הלאומית והאזור האישי, שפורסם במאי 2026, בסוף 2024 היו רשומים במערכת 4.6 מיליון אזרחים, ורק כ-400 מתוך כ-1,800 הטפסים הממשלתיים המקוונים שזוהו (23%) מנוהלים כטפסים מזוהים במערכת. טופס מזוהה הוא טופס שמכיר את המשתמש אחרי ההזדהות, ולכן חוסך ממנו להקליד מחדש פרטים אישיים שהמדינה כבר יודעת.

לפי מדריך ההרשמה הראשונית שמפרסם gov.il, ההרשמה היא חד פעמית, ובה בוחרים 2 מתוך 6 אמצעי זיהוי (בהם תעודת זהות, דרכון, כרטיס אשראי שלא מחויב, תעודת עולה, הטלפון הרשום בקופת החולים או מענה על שאלות אישיות) ומאמתים דואר ונייד. בכניסות הבאות אפשר להזדהות בסיסמה אישית, באפליקציית GovID, בתעודת זהות ביומטרית פעילה או בכרטיס חכם. בדקו את הפרטים העדכניים בדף הרשמי לפני שאתם כותבים אותם בהנחיות למשתמשים, כי הם משתנים.

ומה לגבי מי שאינו משרד ממשלתי? לפי אותו דוח, החלטת הממשלה לא חייבה את הרשויות המקומיות להתחבר למערכת אבל קידמה את החיבור, ועד מועד הביקורת רק 15 מתוך 258 רשויות מקומיות (כ-6%) התחברו אליה כחלופה להזדהות באתר הרשות. אם אתם רשות מקומית, תאגיד ציבורי או חברה שמפעילה שירות עבור משרד ממשלתי, אל תניחו שאפשר או שאי אפשר להשתמש בהזדהות הלאומית: פנו למערך הדיגיטל הלאומי או ליחידת הדיגיטל של המשרד המזמין ובקשו תשובה בכתב. אם אתם בונים אתר לרשות מקומית, זו שאלה שמקומה במפרט, לא בשלב הפיתוח.

זיהוי בארגון שאינו ממשלתי

ארגון פרטי בונה את סולם הזיהוי בעצמו. כלל אצבע שעובד: התאימו את חוזק הזיהוי לנזק שייגרם אם מישהו יתחזה. בקשה לקבל עלון לא צריכה יותר מאימות דואר. שינוי פרטי חשבון בנק לתשלום צריך זיהוי חזק וערוץ אישור נוסף. והימנעו מפרטים סטטיים שקל לדעת על אדם אחר, כמו תאריך לידה או תאריך הנפקת תעודת זהות, כאמצעי אימות יחיד.

נגישות טפסים: מה התקנות דורשות

טופס הוא המקום שבו נגישות נבחנת באמת. עמוד תוכן לא נגיש מקשה לקרוא; טופס לא נגיש מונע מאדם לקבל שירות. תקנות שוויון זכויות לאנשים עם מוגבלות (התאמות נגישות לשירות), התשע"ג-2013, בנוסח שמפרסם המוסד לביטוח לאומי, קובעות בתקנה 35א שחייב יספק התאמות נגישות בשירות אינטרנט לפי תקן ישראלי 5568 ברמה AA. כמה פרטים מהתקנות נוגעים ישירות לטפסים:

בפועל, טופס נגיש הוא טופס שבו לכל שדה יש תווית אמיתית ולא רק טקסט אפור בתוך השדה, הודעות השגיאה נאמרות לקורא המסך ומסבירות מה לתקן, אפשר לעבור על הכל במקלדת בסדר הגיוני, אין מגבלת זמן בלי אפשרות להאריך, ואין אימות "אני לא רובוט" שמחייב לזהות תמונות בלי חלופה. דוח המבקר מצביע על אותה נקודה גם במערכת ההזדהות הלאומית עצמה: מנגנון זיהוי תמונות שחוזר שוב ושוב פוגע בחוויית המשתמש. גם החתימה צריכה חלופה נגישה: מי שלא יכול לצייר חתימה על מסך צריך דרך אחרת לאשר. הפירוט המלא של החובות, הבדיקות וההצהרה נמצא במדריך נגישות אתרים, וטופס שכתוב בשפה פשוטה חוסך חצי מהשגיאות עוד לפני שהן קורות.

פרטיות, אבטחה ושמירת מידע

כל טופס שאוסף פרטים יוצר או מזין מאגר מידע. תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף באוגוסט 2025, לפי לוח הזמנים שמפרסמת הרשות להגנת הפרטיות. בין השאר, לפי הרשות, חלק מהגופים יצטרכו למנות ממונה על הגנת הפרטיות, ובהם גופים ציבוריים וארגונים פרטיים שעוסקים במידע רגיש או בפעילות שכרוכה במעקב שיטתי; חובת רישום מאגרי המידע צומצמה, ונוספה חובת הודעה לרשות על מאגרים גדולים ורגישים. הצעדים שהרשות עצמה ממליצה עליהם הם מיפוי מאגרי המידע, נוהל אבטחת מידע, צמצום מידע שאינו נחוץ ומסמך מטרות למאגר. הפירוט נמצא במדריך תיקון 13 לחוק הגנת הפרטיות, ולצדו חלות תקנות הגנת הפרטיות (אבטחת מידע).

בתכנון של טופס זה מתורגם לארבע החלטות שמקבלים לפני שכותבים שדה אחד:

שתי נקודות טכניות שכדאי לכתוב במפרט: קבצים מצורפים (צילום תעודה, אישור רפואי) הם המידע הרגיש ביותר בטופס ולעיתים קרובות גם הפחות מוגן, ולכן הם נשמרים מוצפנים ולא נשלחים בדואר; והתראה על טופס חדש נשלחת בלי התוכן עצמו, רק עם קישור למערכת שבה צריך להתחבר. במדריך אבטחת מידע לארגונים מפורט איך מתכוננים לסקר של ממונה אבטחת המידע.

תשלומים מקוונים בתוך הטופס

הרבה טפסים מסתיימים בתשלום: אגרה, דמי רישום, קנס, השתתפות עצמית. החיבור בין הטופס לתשלום הוא נקודה שבה פרויקטים נתקעים, כי היא מערבת את הגזברות או הכספים, את ספק הסליקה ואת אבטחת המידע בבת אחת.

העיקרון הראשון: אל תאספו פרטי כרטיס אשראי בטופס שלכם. בעולם כרטיסי האשראי חל תקן האבטחה PCI DSS, והיקף הדרישות ממכם תלוי בשאלה אם פרטי הכרטיס עוברים במערכות שלכם. לפי השאלות הנפוצות של מועצת התקן, ההיקף המצומצם ביותר שמור למי שכל עמודי התשלום שמוצגים ללקוח מגיעים ישירות מספק שירות שעומד בתקן, בהפניה לעמוד שלו או במסגרת שנטענת ממנו. אם רכיב אחד של עמוד התשלום מגיע מהאתר שלכם, ההיקף גדל. ספק הסליקה שלכם יגיד לכם איזה מבנה הוא תומך ומה זה אומר לגבי הבדיקה.

העיקרון השני: הטופס והתשלום הם רשומה אחת. מספר הבקשה עובר לספק הסליקה, ואישור התשלום חוזר לבקשה. בקשה ששולמה ולא הגיעה, או בקשה שהגיעה ולא שולמה, הן שתי התקלות שמייצרות את רוב הפניות למוקד. הגדירו מראש מה קורה כשהתשלום נכשל באמצע: האם הבקשה נשמרת כטיוטה, כמה זמן, ואיך המשתמש חוזר אליה.

העיקרון השלישי: קבלה או אישור תשלום נשלחים אוטומטית, ומה שמופיע בהם נקבע עם הכספים. בגוף ציבורי, בררו עם הגזבר אילו אמצעי תשלום מאושרים ואם יש ספק סליקה שהארגון כבר קשור אליו בהסכם, לפני שמתחילים לבחור.

מה קורה אחרי שליחה: ניתוב למערכות

הערך האמיתי של טופס דיגיטלי לא נמצא במסך שהאזרח רואה, אלא במה שקורה אחרי הלחיצה על "שליחה". אם הטופס נוחת בתיבת דואר ומישהו מקליד אותו מחדש, חסכתם לאזרח את הדואר והשארתם את כל העבודה בפנים. מבקר המדינה מתאר בדיוק את המחיר הזה: טפסים להדפסה ולמילוי ידני מחייבים טיפול ידני גם אצל הגוף שנותן את השירות.

ניתוב טוב עונה על חמש שאלות. לאיזו מערכת הרשומה נכנסת: CRM, מערכת ניהול פניות, מערכת ליבה או פורטל ארגוני. איך היא נכנסת: ממשק תכנות (API), קובץ שמועבר בתדירות קבועה, או הקלדה כפתרון זמני מתועד. מי מקבל אותה: לפי סוג הבקשה, אזור או שפה. מה המשתמש מקבל: מספר פנייה מיד, ואחר כך עדכון סטטוס. ומה קורה כשהמערכת היעד לא זמינה: הרשומה נשמרת בתור ונשלחת שוב, ולא הולכת לאיבוד.

הנקודה הרגישה היא כמעט תמיד מערכת הליבה. היא בדרך כלל אצל ספק אחר, עם לוחות זמנים משלו, ולעיתים נדרשת ממנו הזמנת עבודה נפרדת לפיתוח הממשק. הכניסו אותו לפגישה הראשונה. כשיש ממשק, אפשר גם לבנות אוטומציה סביב הטופס: שיוך לנציג, תזכורת כשבקשה ממתינה יותר מדי זמן, ודוח שבועי על זמני טיפול. על זה הרחבנו במדריך אוטומציות ובינה מלאכותית לעסק.

תוכנית מעבר מנייר לטופס, שלב אחר שלב

הטעות הנפוצה היא להתחיל מרשימה של כל הטפסים בארגון ולנסות להעביר את כולם בבת אחת. פרויקט כזה נתקע על הטופס הכי מסובך, וכל השאר מחכים לו. השיטה שעובדת היא לבחור טופס אחד, להעביר אותו עד הסוף כולל הניתוב והמדידה, וללמוד ממנו.

רשימת דרישות לנספח המפרט

אם אתם יוצאים למכרז או לבקשת הצעות, זו רשימה שאפשר להעתיק כנקודת פתיחה לנספח הטכני ולהתאים אותה עם היועץ המשפטי וממונה אבטחת המידע. היא נכתבה כך שספק יוכל לתמחר אותה ושמישהו יוכל לבדוק בסוף שהיא בוצעה. לשאר חלקי המכרז ראו את המדריך מכרזים ממשלתיים.

פלטפורמת טפסים, מערכת קיימת או פיתוח

יש שלוש דרכים להגיע לטופס דיגיטלי, ואף אחת מהן אינה נכונה תמיד. הנה השוואה כנה, כולל המקרים שבהם אתם לא צריכים ספק בכלל.

שאלה אחת שכדאי לשאול כל ספק, בכל אחת מהדרכים: תראו לי את רשומת התיעוד של הגשה אחת, מההזדהות ועד המסמך החתום. ספק שמראה אותה בתוך דקה חשב על נטל ההוכחה. ספק שמבקש לחזור אליכם עם תשובה, עוד לא חשב.

טעויות שחוזרות בפרויקטים של טפסים

לדרוש חתימה בכל מקום

חתימה מוסיפה שלב, ולעיתים מחייבת אמצעי שלמשתמש אין. אם החוק או החוזה לא דורשים אותה, זיהוי טוב ותיעוד מסודר נותנים את רוב הערך עם הרבה פחות נטישה.

להעתיק את הטופס הישן אחד לאחד

הטופס המודפס נבנה סביב מגבלות של נייר. טופס דיגיטלי יכול לשאול רק את מה שרלוונטי, למלא מראש את מה שידוע, ולחשב בעצמו. העתקה ישירה משמרת את כל הבעיות ומוסיפה עליהן מסך קטן.

לגלות את הנגישות בסוף

תיקון נגישות אחרי שהעיצוב והפיתוח הסתיימו יקר יותר מתכנון נכון מההתחלה, ולפעמים מחייב לבנות רכיב מחדש. רכיב חתימה או בחירת תאריך שלא עובדים במקלדת הם הדוגמה הקלאסית.

להשאיר את הצוות הפנימי מחוץ לתמונה

מי שמטפל בבקשות יודע אילו שדות תמיד ממולאים לא נכון ואילו מסמכים תמיד חסרים. שיחה של שעה איתו לפני האפיון חוסכת חודשים של תיקונים.

לשלוח טפסים מלאים בדואר

טופס דיגיטלי שמסתיים בהודעת דואר עם כל הפרטים וצילום תעודת זהות מצורף לתיבה משותפת הוא אירוע פרטיות שמחכה לקרות. הנתונים נשארים במערכת, ההתראה כוללת רק קישור.

לא למדוד

בלי נתונים על התחלה, השלמה ונטישה אין דרך לדעת אם הטופס עובד, ואין טיעון כדי לקבל תקציב לטופס הבא. המדידה נכנסת לאפיון, לא נוספת אחרי ההשקה.

מה עושים עכשיו

השבוע: בחרו טופס אחד שמגיע היום בנייר או כקובץ מצורף, ובדקו ארבעה דברים לגביו. כמה הגשות הוא מקבל בשנה. האם חיקוק או חוזה דורשים בו חתימה, ואיזו. לאן הנתונים שלו צריכים להגיע. והאם הוא עומד היום בדרישות הנגישות. ארבע התשובות האלה הן כבר חצי מהמפרט.

אם הטופס הוא חלק מאתר קיים, כדאי להתחיל בתמונת מצב: האבחון הדיגיטלי חינם בודק את האתר ומראה מה לתקן קודם. ואם אתם מתכננים מעבר של תהליך שלם, עם זיהוי, חתימה, תשלום וחיבור למערכות, בעמוד מערכות ואפליקציות מוסבר איך נראית עבודה כזו איתנו, מהאפיון ועד התחזוקה.