החובה למנות ממונה

תיקון 13 לחוק הגנת הפרטיות, התשמ"א-1981, נכנס לתוקף ביום 14 באוגוסט 2025. סעיף 17ב1 לחוק מחייב ארבעה סוגי גופים למנות ממונה על הגנת הפרטיות:

• גוף ציבורי, וכל מחזיק שמעבד עבורו מידע, גם אם הוא רק מאחסן אותו.
• גוף שמטרתו העיקרית איסוף מידע אישי כדי למסור אותו לאחרים, כשיש במאגר מידע על יותר מ-10,000 בני אדם.
• גוף שעיסוקו העיקרי כרוך בניטור שוטף ושיטתי של בני אדם בהיקף ניכר.
• גוף שעיסוקו העיקרי כולל עיבוד בהיקף ניכר של מידע בעל רגישות מיוחדת. בנקים, חברות ביטוח, בתי חולים וקופות חולים חייבים במינוי לפי החוק במפורש.

ביום 14 ביולי 2026 פרסמה הרשות להגנת הפרטיות גילוי דעת על מינוי הממונה. לפיו, אין סף כמותי ל"היקף ניכר". השיקולים מנויים בסעיף 17ב1(ב) לחוק: מספר נושאי המידע ושיעורם באוכלוסייה, היקף המידע ומגוונו, ומשך העיבוד ותדירותו. אצל מחזיק שמעבד מידע עבור לקוחות רבים, ההיקף נבחן במצטבר על כל הלקוחות. הדוגמה בגילוי הדעת היא מחזיק שמעבד מידע עבור 1,000 מאגרים, ובכל אחד מהם מידע בעל רגישות מיוחדת על 100 בני אדם בלבד.

לפי גילוי הדעת, ניטור שיטתי רלוונטי במיוחד למעקב אחר פעילות משתמשים וליצירת פרופיל של תכונות, התנהגויות והעדפות, למשל לפרסום ממוקד, להתאמה אישית של תוכן, לדירוג אשראי, לחיתום ביטוחי ולאיתור הונאות. חלק מהשימושים האלה נעשים באמצעות מערכות בינה מלאכותית.

תפקידי הממונה

סעיף 17ב2 לחוק מונה את תפקידי הממונה, ובהם:

• סמכות מקצועית ומוקד ידע להנהלה ולעובדים.
• הדרכה ובקרה שוטפת על העמידה בהוראות החוק.
• וידוא שקיימים נוהל אבטחת מידע ומסמך הגדרות מאגר.
• טיפול בפניות של נושאי מידע.
• קשר עם הרשות.

לפי גילוי הדעת, הממונה צריך להיות מעורב גם בהחלטות על רכישת מערכות מידע חדשות ועל שדרוגן, ומומלץ שיקדם עריכת תסקיר השפעה על הפרטיות. הארגון אינו חייב לאמץ את עמדת הממונה, אבל עליו לשקול אותה בכובד ראש ולנמק החלטה שלא לאמץ אותה. הממונה אינו נושא באחריות אישית לאי ציות של הארגון, ואין עליו חובה אישית לדווח לרשות באופן יזום על הפרות. החוק קובע שהממונה ידווח ישירות למנכ"ל או לגורם הכפוף למנכ"ל במישרין.

כלי בינה מלאכותית ומידע אישי

ביום 28 באפריל 2025 פרסמה הרשות להערות הציבור טיוטת הנחיה על תחולת חוק הגנת הפרטיות על מערכות בינה מלאכותית. המועד להערות הסתיים ביום 31 ביולי 2025, ועד למועד כתיבת המאמר לא פורסם באתר הרשות נוסח סופי. לפי הטיוטה:

• החוק חל על מודל שמאחסן או מעבד מידע אישי, הן בשלב הלימוד והן בשלב היישום.
• מידע שהמערכת מסיקה על אדם הוא מידע אישי שהחוק חל עליו.
• הסכמה מדעת מחייבת תיאור של אופן פעולת המערכת, וגילוי לאדם שהוא מתכתב עם מערכת אוטומטית, כשיש לכך השפעה מהותית על ההסכמה.
• פרסום מידע של אדם על עצמו ברשת אינו מלמד בהכרח על הסכמתו לשימוש בו לפיתוח מערכות בינה מלאכותית.
• בעל מאגר שמשתמש בכלים חיצוניים של בינה מלאכותית יוצרת נדרש לקבוע מדיניות ארגונית ייעודית.

הטיוטה ממליצה על תסקיר השפעה על הפרטיות לפני שימוש במערכת בינה מלאכותית לעיבוד מידע אישי, ומציעה מינוי ממונה שירכז את היבטי הפרטיות בארגון. בעמוד ההנחיה כתבה הרשות שהיא מתכוונת להקפיד על אכיפת החובה למנות ממונה. גילוי הדעת על הממונה אינו עוסק בבינה מלאכותית, וממליץ לממונה לקדם עריכת תסקירי השפעה.

מידע שנשמר אצל ספק חיצוני

ספק של כלי בינה מלאכותית שמקבל מידע אישי מהארגון ושומר אותו, או רק מעבד אותו, הוא בדרך כלל "מחזיק" לפי החוק. תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, מסדירה את ההתקשרות עם גורם חיצוני כזה:

• לפני ההתקשרות: בעל המאגר בוחן את סיכוני אבטחת המידע הכרוכים בה.
• בהסכם: המידע שהספק רשאי לעבד ומטרות השימוש בו, המערכות שהוא רשאי לגשת אליהן, סוג העיבוד, משך ההתקשרות, יישום חובות האבטחה, החתמת בעלי ההרשאות אצלו על סודיות, התנאים לנתינת השירות בידי גורם אחר, ודיווח אחת לשנה לפחות והודעה על אירוע אבטחה.
• סיום ההתקשרות: ההסכם קובע איך המידע מושב לבעל המאגר, איך הוא מושמד אצל הספק, ואיך הספק מדווח על כך.
• לאורך ההתקשרות: בעל המאגר נוקט אמצעי בקרה ופיקוח על עמידת הספק בהסכם.

הרשות פרסמה ב-2023 מדריך ליישום תקנה 15. לפי גילוי הדעת שלה על העברת מידע אישי מחוץ לישראל לפי תקנה 2(4) לתקנות ההעברה, מחזיק שמקום מושבו מחוץ לישראל חייב בכל חובות האבטחה לפי תקנות אבטחת מידע, וחובות בעל המאגר לפי תקנה 15 חלות גם על התקשרות איתו. כלי בינה מלאכותית רבים פועלים בשרתים מחוץ לישראל. בדיקת הסיכונים לפני ההתקשרות וההסכם עם הספק הם חובות של בעל המאגר, והממונה אמור לוודא שהם נעשו.

ניגוד עניינים

סעיף 17ב3(ג) לחוק קובע שהממונה לא ימלא תפקיד נוסף ולא יהיה כפוף לנושא משרה שעלולים להעמיד אותו בניגוד עניינים. לפי גילוי הדעת, הממונה אינו יכול למלא תפקיד שכולל סמכות לקבוע מדיניות עיבוד מידע, כמו קביעת מטרות העיבוד והחלטות מהותיות על אמצעיו. ניגוד עניינים מתקיים ככלל אצל מנהל מערכות המידע, ועשוי להתקיים פעמים רבות אצל מנהל שיווק, מנהל לקוחות, מנהל כספים ומנהל טכנולוגיות. מנהל מערכות מידע שבוחר את כלי הבינה המלאכותית בארגון קובע את אמצעי העיבוד, ולכן אינו מתאים לשמש בו ממונה.

גילוי הדעת מאפשר להציב את הממונה במחלקת הייעוץ המשפטי של הארגון, אם אין ניגוד עניינים. מי שמשמש גם יועץ משפטי צריך להבחין בבירור בין התפקידים, למשל בחתימה שמציינת שהוא פועל כממונה ובתיבת דואר שמשמשת רק לתפקיד זה. בהערת שוליים מצוטטת רשות הפרטיות הצרפתית: עורך דין יכול לשמש ממונה חיצוני, אבל לא לייצג את אותו ארגון בבית משפט בעניינים של מידע אישי.

מה עשוי לשנות את המסקנה

• נוסח סופי של ההנחיה על בינה מלאכותית, שלפיו חלות על הממונה חובות ישירות, או שהאחריות לבדיקת הכלי עוברת לספק.
• חקיקה ייעודית לבינה מלאכותית שתקבע בעל תפקיד אחר לבדיקת כלי בינה מלאכותית בארגון.

להמשך

מקורות

חוק הגנת הפרטיות, התשמ"א-1981, סעיפים 17ב1 עד 17ב3 · גילוי דעת הרשות להגנת הפרטיות על מינוי ממונה, 14 ביולי 2026 · טיוטת הנחיה: תחולת חוק הגנת הפרטיות על מערכות בינה מלאכותית, 28 באפריל 2025 · תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, תקנה 15 · גילוי דעת הרשות על העברת מידע אישי מחוץ לישראל לפי תקנה 2(4)