מה קובע חוק הגנת הפרטיות אחרי תיקון 13, מה זה אומר על עבודה עם בינה מלאכותית, וחוברת הסבר וסרטון, מנוסח החוק הישראלי.
חוק הגנת הפרטיות הישראלי עבר בתיקון 13 שינוי מהותי: הגדרות חדשות, חובות עיבוד, ממונה על הגנת הפרטיות, סמכויות אכיפה ועיצומים כספיים. המדריך נכתב מנוסח החוק המאוחד כפי שנקרא במלואו, עם הפניה לסעיף ליד כל טענה. הוא עוסק בדין הישראלי בלבד.
אסור לפגוע בפרטיות זולתו ללא הסכמתו. סעיף 2 מונה רשימה סגורה של 11 דרכים לפגיעה, ובהן שימוש בידיעה על ענייניו הפרטיים של אדם שלא למטרה שלשמה נמסרה. פגיעה בפרטיות היא עוולה אזרחית (סעיף 4) ובמזיד גם עבירה שדינה מאסר 5 שנים (סעיף 5).
הפרק שעוסק בארגונים: עיבוד חוקי של מידע, רישום והודעה על מאגרים, הודעה לאדם בעת איסוף, זכות עיון ותיקון, אבטחת מידע וממונה על הגנת הפרטיות.
מפקחים מטעם הרשות להגנת הפרטיות, הוראות להפסקת הפרה, עיצומים כספיים, צו שיפוטי להפסקת עיבוד ועבירות פליליות חדשות.
בשש הפרות מנויות בית המשפט רשאי לפסוק פיצויים לדוגמה עד 10,000 ש״ח לכל הפרה, בלי שהתובע הוכיח נזק.
מידע אישי הוא נתון הנוגע לאדם מזוהה או לאדם הניתן לזיהוי, כלומר מי שניתן לזהותו במאמץ סביר, במישרין או בעקיפין, לרבות באמצעות מזהה מקוון ונתוני מיקום.
קטגוריה של 12 פסקאות: צנעת חיי המשפחה והנטייה המינית, מצב בריאותי, מידע גנטי, מזהה ביומטרי לזיהוי ממוחשב, מוצא, עבר פלילי, דעות פוליטיות ואמונות דתיות, הערכת אישיות, נתוני מיקום ותעבורה שנוצרו אצל ספק מורשה, נתוני שכר ופעילות פיננסית, מידע שחלה עליו חובת סודיות בדין, ומידע אחר שייקבע בתוספת.
במקום ״בעל מאגר״ הוגדר ״בעל שליטה״, ו״מחזיק״ הוא גורם חיצוני שמעבד מידע בעבור בעל השליטה. שניהם אחראים לאבטחת המידע (סעיף 17).
מאגר מידע הוא אוסף של מידע אישי המעובד באמצעי דיגיטלי, למעט אוסף לשימוש אישי שאינו למטרות עסק ואוסף של שם, מען ודרכי התקשרות בלבד של עד 100,000 בני אדם בתנאים. ״עיבוד״ הוא כל פעולה על מידע אישי, לרבות קבלה, איסוף, אחסון, העתקה, עיון, גילוי, העברה ומתן גישה.
עיבוד של מידע אישי ממאגר מותר רק למטרת המאגר שנקבעה כדין ורק בהרשאת בעל השליטה. לא יעבד בעל שליטה, ולא ירשה לאחר לעבד בעבורו, מידע שנאסף בניגוד לחוק או לדין אחר המסדיר עיבוד מידע.
בפנייה לקבלת מידע אישי יש לציין, בין היתר, את שם בעל השליטה ודרכי ההתקשרות עימו, את קיום זכויות העיון והתיקון, ואם חלה חובה חוקית למסור את המידע או שהמסירה תלויה בהסכמה ומהי תוצאת אי ההסכמה.
רישום חובה חל על מאגר שמטרתו העיקרית איסוף מידע אישי למסירה לאחר כדרך עיסוק או בתמורה (לרבות דיוור ישיר) על יותר מ-10,000 בני אדם, ועל מאגר של גוף ציבורי. מאגר שאינו חייב ברישום ויש בו מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם מחייב הודעה לרשות בתוך 30 ימים.
חייבים במינוי: גוף ציבורי (למעט גוף ביטחוני), בעל שליטה שמטרת מאגרו מסירת מידע לאחר כדרך עיסוק ויש בו מעל 10,000 בני אדם, ומי שעיסוקו כרוך בניטור שוטף ושיטתי של בני אדם בהיקף ניכר או בעיבוד מידע בעל רגישות מיוחדת בהיקף ניכר. הממונה מכין תוכנית הדרכה ובקרה, מטפל בפניות ומשמש איש קשר מול הרשות. הוא כפוף למנכ״ל או לכפוף לו ישירות, ואסור לו תפקיד היוצר ניגוד עניינים.
בעל שליטה ומחזיק, כל אחד מהם, אחראי לאבטחת המידע. שר המשפטים רשאי לקבוע תקנות. תקנות אבטחת מידע (2017) מחלקות את המאגרים לארבע רמות ומרחיבות את החובות לפי הרמה.
לאדם זכות לעיין במידע עליו ולבקש תיקון או מחיקה. בעל שליטה שהסכים לבקשה חייב לבצע את השינויים וליידע את מי שקיבל את המידע בתקופה שנקבעה בתקנות. סירוב מחייב הודעה לפי התקנות.
בית המשפט רשאי לפסוק עד 10,000 ש״ח לכל הפרה בשש הפרות מנויות: עיבוד במאגר חייב ברישום בלי שנרשם, פנייה לקבלת מידע בלי הודעה לפי סעיף 11, סירוב עיון, אי ביצוע תיקון או מחיקה שהוסכמו, אי הודעה על סירוב לתקן, ואי הודעה לרשות על קבלת מידע דרך קבע מגוף ציבורי. בחלק מהן נדרשת פנייה קודמת וחלוף תקופה שנקבעה.
מפקח מוסמך רשאי לדרוש שם ותעודה, ידיעה או מסמך, העתק של חומר מחשב לרבות נתוני מערכת, ולהיכנס למקום שיש בו מאגר (מקום מגורים רק בצו).
בארבעה מקרים רשאי ראש הרשות, אחרי שמיעת טענות, להורות על הפסקת הפרה, ובהם עיבוד מידע שנאסף בניגוד לדין ופגמים במינוי הממונה. אפשר לערער תוך 45 ימים לבית משפט השלום.
הרשות רשאית להטיל עיצום. בסכומי הבסיס שבנוסח: עד 153,540 ש״ח בהפרות רישום והודעה (כפל הסכום במאגר על 1,000,000 בני אדם ומעלה), 15,350 ש״ח בהפרות בזכויות הפרט כגון סירוב עיון, ו-307,080 ש״ח באי מסירת מסמך למפקח. הפרת תקנות אבטחת מידע מחושבת לפי פרט ולפי רמת האבטחה של המאגר. הליך: הודעה על כוונת חיוב, טיעון תוך 45 ימים ודרישת תשלום, וערעור תוך 45 ימים. הפרה נמשכת מוסיפה לכל יום, והפרה חוזרת בתוך שנתיים מוסיפה עיצום. הסכומים מתעדכנים ב-1 בינואר בכל שנה.
הפחתת עיצום עד 70% במצטבר: 30% על הפסקת הפרה ביוזמה ודיווח, 20% על פעולות למניעת הישנות והקטנת נזק, הפחתה על היעדר אכיפה קודמת, ועוד. לעסק זעיר (מחזור עד 4 מיליון ש״ח) ולעסק קטן (עד 10 מיליון ש״ח) נקבעות תקרות.
ראש הרשות רשאי לבקש מבית משפט לעניינים מינהליים צו להפסקת עיבוד, ובית המשפט רשאי להורות על מחיקת המידע האישי שבמאגר במלואו, בתנאים מצטברים שמגבילים את הסעד.
הפרעה לראש הרשות, לחוקר או למפקח: מאסר 6 חודשים. הטעיה בכוונה של ראש הרשות, מפקח או מומחה: מאסר שנתיים. עיבוד מידע ממאגר בלא הרשאה: מאסר 3 שנים. מסירת פרטים לא נכונים בפנייה לקבלת מידע בכוונה להטעות: 3 שנים.
בנוסח החוק המאוחד אין התייחסות מפורשת לבינה מלאכותית, להחלטה אוטומטית, לפרופיילינג, לזכות להסבר או להערכת השפעה על פרטיות. מה שכן קיים הוא מונחים רחבים שחלים על כל כלי, וממנו נגזרות השאלות הבאות. הפרשנות היא שלנו, והסעיף מצוין ליד כל נקודה.
״עיבוד״ הוא כל פעולה על מידע אישי, לרבות קבלה, אחסון, גילוי, העברה ומתן גישה. הזנת מידע אישי לכלי בינה מלאכותית, שמירת הנחיות ופלטים, ומתן גישה לספק הכלי נכנסים להגדרה.
הרף הוא זיהוי במאמץ סביר, במישרין או בעקיפין. פלט של כלי שניתן לקשור לאדם במאמץ סביר עשוי להיות מידע אישי.
הערכת אישיות שנערכה באמצעי שמיועד להעריך מאפייני אישיות מהותיים, כגון קווי אופי, יכולת שכלית ויכולת תפקוד בעבודה או בלימודים, היא מידע בעל רגישות מיוחדת. הנוסח אינו מחייב שהמעריך יהיה אדם.
מזהה ביומטרי המשמש או מיועד לשמש לזיהוי אדם או לאימות זהותו באופן ממוחשב הוא מידע בעל רגישות מיוחדת. המאפיין יכול להיות גם התנהגותי.
עיבוד מותר רק למטרת המאגר ובהרשאה, ואסור לעבד מידע שנאסף בניגוד לדין. שימוש במידע שנאסף למטרה אחת כדי להפעיל כלי למטרה אחרת עלול להיות עיבוד שלא למטרה. הנוסח אינו אומר דבר על קבצי אימון בפרט.
ספק שמעבד מידע בעבור הארגון הוא מחזיק, ושניהם אחראים לאבטחה. תקנה 15 דורשת הסכם עם גורם חיצוני שמפרט את המידע המותר, המערכות הנגישות, סוג העיבוד, משכו, ההשמדה ודיווח על אירוע אבטחה.
בפנייה לקבלת מידע יש לציין למי יימסר המידע ולאילו מטרות. מסירה לספק של כלי בינה מלאכותית היא מסירה שיש לציין.
ניטור שוטף ושיטתי של בני אדם בהיקף ניכר, וכן עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר, מחייבים ממונה. מערכות מעקב או פרופיילינג מבוססות בינה מלאכותית עשויות להיכנס לקטגוריות אלה, לפי הנסיבות.
״מסמך״ כולל פלט, ו״נתוני מערכת״ הם נתונים על החזקה וניהול של מידע אישי ועל השימוש בו. מפקח רשאי לדרוש אותם, ואי מסירה מקימה עיצום. יומני שימוש במערכות בינה מלאכותית הם מועמדים טבעיים לדרישה כזו.
בית המשפט רשאי להורות על מחיקת המידע האישי שבמאגר במלואו. הנוסח אינו מתייחס למודלים שאומנו על המידע.
נוסח החוק המאוחד בנבו מסמן בהערות את התיקונים 1, 2, 4, 5, 6, 8, 9, 10, 11 ו-13. התיקונים 3, 7 ו-12 אינם מופיעים כהערות בנוסח, ואין בכך כדי לקבוע שאינם קיימים. הציר מבוסס על ההערות ועל הנוסח הנוכחי, ולא על נוסח התיקונים עצמם.
לפי הערות נבו, פרק ד׳ על מסירת מידע מגופים ציבוריים (סעיפים 23 עד 23ז) והסעיפים 24 עד 37 מסומנים בתיקון 1. בסעיף 13(ה)(4) מסומנת הפסקה על מאגר של גופים שקבע שר המשפטים כולל מידע סודי, ובסעיף 19(ג)(4) מסומן המוסד למודיעין ולתפקידים מיוחדים כרשות ביטחון. בסעיף 23 מסומן שהגדרות ״מאגר מידע״, ״מידע״, ״הרשם״ ו״שימוש״ נמחקו.
בסעיף 23, בהגדרת ״גוף ציבורי״, פסקה (3) מסומנת כנמחקה.
לפי הערות נבו, תיקון 4 הוא מקור הנוסח של: סעיף 5 (עבירה, מאסר 5 שנים), הוראות הרישום והמרשם (9, 10, 12, בחלקם הוחלפו או הושלמו בתיקון 13), סעיף 11 (הודעה בפנייה לקבלת מידע, בחלקו), זכויות העיון והתיקון (13, 13א, 14, 15), סעיף 16 (סודיות, מאסר 5 שנים), סעיף 17 (אחריות לאבטחת מידע, בחלקו), סעיף 17ב (ממונה על אבטחת מידע), דיוור ישיר (17ד עד 17ט), סעיף 29(א)(4) (צו להשמדת מידע שנתקבל שלא כדין), סעיף 31ב (עוולה בנזיקין) וסעיפים 36 ו-36א (תקנות ואגרות).
בסעיף 9(ג): שר המשפטים, באישור ועדת החוקה, רשאי לקבוע בתקנות פרטים נוספים שיפורטו בבקשה לרישום. בסעיף 36א(ג) מסומן (בוטל).
בסעיף 13(ה)(6): זכות העיון אינה חלה על מאגר מידע שהוקם לפי סעיף 28 לחוק איסור הלבנת הון, התש״ס-2000.
נוספה לרשימת הפגיעות בפרטיות בסעיף 2 פסקה (11): פרסומו של ענין הנוגע לצנעת חייו האישיים של אדם, לרבות עברו המיני, או למצב בריאותו, או להתנהגותו ברשות היחיד.
הערות נבו מסמנות בתיקון 9: סעיף 2(5) (העתקת תוכן מכתב או כתב אחר שלא נועד לפרסום, כולל מסר אלקטרוני); ההגדרה ״הסכמה״ בסעיף 3 (״הסכמה מדעת, במפורש או מכללא״); סעיף 20(ג) (חזקה על בעל הגנה לפי 18(2)(ב) או (ד) שפעל שלא בתום לב אם הפר כללי אתיקה מקצועית); וסעיף 29א (פיצוי ללא הוכחת נזק עד 50,000 ש״ח, כפל בכוונה לפגוע, פעם אחת, עם הצמדה חודשית למדד מאי 2007).
בסעיף 19(ג), בהגדרת ״רשות בטחון״, פסקה (5): הרשות להגנה על עדים.
נוספו שני עניינים. (1) סעיף 2(4א): פגיעה בפרטיות היא פרסום תצלומו של ״נפגע״ ברבים, שצולם בזמן הפגיעה או סמוך לאחריה, באופן שניתן לזהותו ובנסיבות שבהן עלול הפרסום להביאו במבוכה, למעט פרסום תצלום בלא השהיות בין רגע הצילום לרגע השידור בפועל שאינו חורג מהסביר באותן נסיבות. ״נפגע״ הוא מי שסבל מפגיעה גופנית או נפשית עקב אירוע פתאומי ושפגיעתו ניכרת לעין. (2) סעיף 2א: פרסום ברבים של תצלום גופת אדם גלויה באופן שניתן לזהותה הוא פגיעה בפרטיות, אלא אם התקיים אחד מאלה: האדם הסכים בחייו; חלפו 15 שנים מפטירתו; התקבלה הסכמת הראשון מבין בן הזוג, כל הילדים, ההורים וכל האחים שעודו בחיים, ובלבד שהנפטר לא התנגד בחייו וילדו או הורהו לא הודיע למפרסם שהוא מתנגד; או שלא היו קרובי משפחה כאמור ובית המשפט אישר את הפרסום. בסעיף 2א(ב): בן זוגו של נפטר, ילדו, הורהו או אחיו רשאים להגיש תובענה אזרחית בשל פרסום לפי הסעיף.
תיקון מקיף: הגדרות חדשות, עיבוד חוקי, רישום והודעה, ממונה על הגנת הפרטיות, הרשות להגנת הפרטיות, סמכויות פיקוח וחקירה, עיצומים כספיים ועבירות חדשות. הפירוט המלא ב-privacy-digest.json (amendment13).
חוקים ישראליים נוספים שנוגעים בפרטיות. לכל חוק מצוינות רק הוראות שנקראו, ורמת הקריאה מצוינת.
המדריך נועד למידע כללי בלבד. אין בו ייעוץ משפטי, והוא אינו חוות דעת מחייבת. הנוסח הקובע הוא נוסח החוק כפי שפורסם ברשומות.
ייעוץ וחוות דעת נדל״ן · ייעוץ וחוות דעת AI · ייעוץ משפטי · גישור ויישוב סכסוכים · מאמרים · שאלות ותשובות · מבדק מוכנות · לקביעת שיחה