אף תאגיד פרטי אינו מחזיק עליכם את מה שהרשות המקומית מחזיקה: היכן אתם גרים, תיק הרווחה, בית הספר של הילדים, החובות, ומצלמות הרחוב. כשבינה מלאכותית מתחילה לעבד את כל זה, הפרטיות עומדת למבחן. מדריך השוואתי: מה מחייב תיקון 13 לחוק הגנת הפרטיות, היכן ה-GDPR מרחיק לכת יותר, ואילו הגנות חייבות לעטוף כל מערכת AI ברשות.
חִשבו רגע על מה שהרשות המקומית יודעת עליכם. היכן אתם גרים ומי מתגורר אתכם, תיק הרווחה של המשפחה, לאיזה גן ובית ספר הולכים הילדים, כמה אתם חייבים בארנונה, אילו בקשות הגשתם, והיכן צעדתם מול מצלמות הרחוב. אף תאגיד פרטי אינו מחזיק תמונה שלמה כזו של חייו של אדם. כל עוד המידע הזה שכב במגירות נפרדות, הפיזור עצמו היה הגנה.
בינה מלאכותית מוחקת את הפיזור: היא יודעת להצליב, לנתח ולהחליט על בסיס הכול יחד. כאן מתחיל המבחן האמיתי של הפרטיות ברשות, והתושב הישראלי מוגן בו אחרת מהאירופי. מאמר זה משווה בין המסגרות ומצביע על ההגנות שחייבות לעטוף כל מערכת AI ברשות.
הרשות אינה עוד מחזיקת מידע, היא מחזיקה את המידע הרגיש ביותר על התושב, ולרוב בלי שהתושב בחר למסור אותו לה. דווקא משום כך, השילוב של ריכוז מידע כזה עם יכולת עיבוד אוטומטית מחייב את רף ההגנה הגבוה ביותר, לא את הנמוך. על חובות הגנת המידע הבסיסיות של הרשות הרחבנו בהגנת פרטיות ומידע תושבים.
חוק הגנת הפרטיות הוא הבסיס, ותיקון 13, שנכנס לתוקף באוגוסט 2025, חיזק אותו משמעותית. בין השינויים: חובה למנות ממונה על הגנת הפרטיות בגופים ציבוריים, סמכויות אכיפה מוגברות של הרשות להגנת הפרטיות לרבות עיצומים כספיים, מעבר מחובת רישום מאגרים לחובת הודעה, והרחבת חובת היידוע באיסוף מידע. עבור רשות שמפעילה בינה מלאכותית, המשמעות ברורה: היא בעלת שליטה במידע, עם אחריות מוגברת, ממונה ייעודי, וחשיפה לעיצום אם תיכשל.
על חובת הממונה הרחבנו במינוי ממונה הגנת פרטיות בתיקון 13, ועל אבטחת המידע במדריך אבטחת המידע בתיקון 13.
הרגולציה האירופית, ה-GDPR, בנתה כמה שכבות שלדין הישראלי אין להן מקבילה מפורשת, והן רלוונטיות במיוחד ל-AI:
- **הגנה מובנית כברירת מחדל:** חובה לתכנן את המערכת כך שתכבד פרטיות מראש, ולא כתוספת.
- **תסקיר השפעה על הפרטיות:** בעיבוד בסיכון גבוה, ובכלל זה הערכה אוטומטית שיטתית של אנשים, נדרש תסקיר (DPIA) לפני ההפעלה.
- **זכות מול החלטה אוטומטית:** זה הפער הבולט. ה-GDPR קובע עיקרון שלפיו אדם אינו כפוף להחלטה המבוססת על עיבוד אוטומטי בלבד, כשיש לה השפעה משפטית או דומה, בכפוף לסייגים ולבטוחות. בדין הישראלי אין זכות מפורשת מקבילה. הרחבנו על הפער הזה בנפרד.
ההשוואה אינה אקדמית: רשות ישראלית שמוכרת שירות או מעבדת מידע של תושבים אירופים עשויה להיות כפופה גם ל-GDPR, ובכל מקרה, הרף האירופי הוא אמת מידה מקצועית שכדאי לבנות אליה. על הזווית האירופית לחברות ישראליות ראו GDPR לחברות ישראליות שמפעילות AI.
- **הגבלת מטרה ואיסור אימון:** המידע משמש רק למטרה שלשמה נאסף, ואינו מוזן לאימון מודל של ספק. על סעיף זה ראו הסכם עיבוד ושיתוף נתונים עם ספק AI.
- **אבטחה מידתית לרגישות:** ככל שהמידע רגיש יותר, האבטחה הדוקה יותר, ברוח דרישות תיקון 13.
- **בקרה והנמקה בהחלטות:** אדם מוסמך מאחורי כל החלטה בעלת השפעה, עם הנמקה, ברוח חובת ההנמקה והשקיפות בהחלטה נתמכת AI.
- **למנות ממונה ולמפות מידע:** לעמוד בחובת הממונה ולדעת איזה מידע כל מערכת נוגעת בו.
- **לבנות לרף הגבוה:** להתייחס לדרישות ה-GDPR כאמת מידה, לא רק למינימום הישראלי.
- **לערוך תסקיר לפני הפעלה:** בעיבוד בסיכון גבוה, לבחון את הסיכון לפרטיות מראש.
- **לעטוף בשלוש ההגנות:** הגבלת מטרה ואיסור אימון, אבטחה, ובקרה אנושית עם הנמקה.
הנושא יושב בלב תחום ה-AI & Law של המשרד. על מפת השימושים ברשות וגבולותיהם ראו את עוגן הסדרה, בינה מלאכותית ברשות מקומית.
ד״ר עו״ד אברהם ללום מלווה רשויות מקומיות בהיערכות הפרטיות לשימוש בבינה מלאכותית, מול הדין הישראלי ומול אמות המידה האירופיות. העמדה שד״ר ללום מיישם קבועה: ברשות, ריכוז המידע הוא עצמו הסיכון, ולכן ההגנה צריכה להיבנות לרף הגבוה שבעולם, לא למינימום המקומי.
מאמר זה מתבסס על חוק הגנת הפרטיות ותיקון 13 בישראל ועל עקרונות ה-GDPR, ומתאר מסגרת כללית נכון למועד הכתיבה. אין באמור ייעוץ משפטי, והנוסח המחייב הוא זה שמפרסמות הרשויות. יש לבחון כל מקרה לגופו עם עורך דין מורשה.
כגוף ציבורי, הרשות חייבת למנות ממונה הגנת פרטיות, היא חשופה לסמכויות האכיפה והעיצומים של הרשות להגנת הפרטיות, ועליה לקיים חובת הודעה על מאגרים במקום רישום, לצד הרחבת חובת היידוע באיסוף מידע.
בהגנה מובנית כברירת מחדל, בחובת תסקיר השפעה על הפרטיות בעיבוד בסיכון גבוה, ובזכות מפורשת מול החלטה המבוססת על עיבוד אוטומטי בלבד, שאין לה מקבילה ישראלית מפורשת.
הגבלת מטרה ואיסור אימון המודל על מידע התושבים, אבטחה מידתית לרגישות המידע, ובקרת אדם עם הנמקה בכל החלטה בעלת השפעה.
כן, אם היא מעבדת מידע של תושבים אירופים או מציעה להם שירות. בכל מקרה הרף האירופי הוא אמת מידה מקצועית שכדאי לבנות אליה.
נושא: בינה מלאכותית וממשל סיכונים
ייעוץ וחוות דעת נדל״ן · ייעוץ וחוות דעת AI · ייעוץ משפטי · גישור ויישוב סכסוכים · מאמרים · שאלות ותשובות · מבדק מוכנות · לקביעת שיחה