תיק הרווחה של תושב עשוי לשכון ברגע זה על שרת במדינה אחרת, לא כי מישהו החליט לשלוח אותו, אלא כי הענן של ספק ה-AI נמצא שם. המידע חצה גבול בלי דרכון. מדריך השוואתי: מה מתירות תקנות העברת המידע לחו״ל מול המשטר האירופי המחמיר, מדוע שרשרת קבלני המשנה מטשטשת את היעד, ואיך הרשות חוזרת לשלוט.
יש סיכוי טוב שתיק הרווחה של תושב, או רשומת הארנונה שלו, שוכנים ברגע זה על שרת במדינה אחרת. לא מפני שמישהו ברשות החליט לשלוח אותם לשם, אלא מפני שספק הבינה המלאכותית שהרשות התקשרה אתו מריץ את שירותיו על ענן שיושב בחוץ. המידע חצה גבול בלי שאיש הנפיק לו דרכון. זה אחד הסיכונים הסמויים ביותר בשימוש של רשות ב-AI, והוא כפוף לדין ברור.
מאמר זה ממקד בהעברת מידע תושבים אל מחוץ לגבולות, ומשווה בין ישראל לעולם.
כשרשות מתקשרת עם ספק שהתשתית שלו בחו״ל, כל פיסת מידע שהמערכת מעבדת עשויה לעבור, להישמר ולהיות מעובדת מעבר לים. זו אינה החלטה מודעת לרוב, אלא תוצר נלווה של בחירת הספק. אבל מבחינת הדין, העברת מידע אישי אל מחוץ למדינה היא פעולה מוסדרת, לא פרט טכני.
בישראל, תקנות הגנת הפרטיות מסדירות העברת מידע אל מאגרים שמחוץ לגבולות המדינה, ומתירות אותה רק בהתקיים תנאים, למשל רמת הגנה דומה במדינת היעד או בסיס חוקי אחר. ה-GDPR מחמיר אף יותר: הוא מתיר העברה למדינה שלישית בעיקר על בסיס החלטת התאמה, או מנגנונים חוזיים מאושרים שמבטיחים רמת הגנה מקבילה. העיקרון המשותף: מידע אינו "יוצא לחופשי" בעצם המעבר לשרת זר, ההגנה חייבת לנסוע אתו.
על התמונה ההשוואתית הרחבה ראו הגנת הפרטיות ב-AI ברשות, ישראל מול ה-GDPR.
הקושי הייחודי ל-AI הוא שהשאלה "היכן המידע" נעשית קשה למענה. ספק נשען על ספק ענן, זה על קבלני משנה, והמידע עשוי לנדוד בין מרכזי נתונים במדינות שונות. בלי שקיפות חוזית, הרשות אינה יודעת היכן יושב המידע שלה, ולכן אינה יכולה לוודא שההעברה חוקית. זו בדיוק הסיבה שסעיף קבלני המשנה והמיקום בהסכם, שעליו הרחבנו בהסכם עיבוד ושיתוף נתונים עם ספק AI, אינו טכני אלא מהותי.
מעבר לשאלה המשפטית, העברת מידע תושבים לחו״ל פותחת חשיפה לגישה של גורמים זרים, לרמת הגנה נמוכה יותר, ולקושי באכיפה אם משהו משתבש. במידע הרגיש שהרשות מחזיקה, אלה אינם סיכונים תיאורטיים. על ההגנות הנדרשות בכלל ראו אבטחת מידע וההגנות הנדרשות ל-AI ברשות.
- **לדעת היכן יושב המידע:** לדרוש מהספק שקיפות על מיקום האחסון והעיבוד ועל קבלני המשנה.
- **לוודא בסיס חוקי להעברה:** רמת הגנה מקבילה או מנגנון מאושר, לפני ההתקשרות.
- **להעדיף אחסון מקומי למידע רגיש:** ככל שהמידע רגיש יותר, לשאוף שיישאר קרוב.
- **לכבול את הספק על מיקום:** איסור העברה למדינה או לקבלן משנה בלי אישור.
- **לבנות לרף הגבוה:** להתייחס לדרישות האירופיות כאמת מידה, לא רק לתנאי המינימום.
הנושא יושב בלב תחום ה-AI & Law של המשרד. על מפת השימושים ברשות ראו את עוגן הסדרה, בינה מלאכותית ברשות מקומית, ועל חובות הגנת המידע ראו הגנת פרטיות ומידע תושבים.
ד״ר עו״ד אברהם ללום מלווה רשויות מקומיות בשאלות העברת מידע תושבים לחו״ל בהקשר של ספקי בינה מלאכותית. העמדה שד״ר ללום מיישם קבועה: ההגנה על המידע חייבת לנסוע איתו אל מעבר לגבול, ולכן רשות שאינה יודעת היכן יושב המידע שלה כבר איבדה את השליטה עליו.
מאמר זה מתבסס על תקנות הגנת הפרטיות בישראל ועל עקרונות ה-GDPR להעברת מידע, ומתאר מסגרת כללית. אין באמור ייעוץ משפטי, ויישום ברשות מסוימת מחייב בחינה פרטנית מול עורך דין מורשה.
כשספק ה-AI מריץ את שירותיו על ענן שיושב בחוץ, המידע עשוי לעבור, להישמר ולהיות מעובד מעבר לים, לרוב בלי החלטה מודעת.
בישראל תקנות הגנת הפרטיות מתירות העברה רק בתנאים כמו רמת הגנה מקבילה; ה-GDPR מחמיר ומבוסס על החלטת התאמה או מנגנונים מאושרים. ההגנה חייבת לנסוע עם המידע.
המידע עשוי לנדוד בין מרכזי נתונים במדינות שונות, ובלי שקיפות חוזית הרשות אינה יודעת היכן יושב המידע ואינה יכולה לוודא שההעברה חוקית.
נושא: בינה מלאכותית וממשל סיכונים
ייעוץ וחוות דעת נדל״ן · ייעוץ וחוות דעת AI · ייעוץ משפטי · גישור ויישוב סכסוכים · מאמרים · שאלות ותשובות · מבדק מוכנות · לקביעת שיחה