מה מחייב תיקון 13 לחוק הגנת הפרטיות רשות מקומית שמפעילה בינה מלאכותית, היכן ה-GDPR מרחיק לכת יותר, ואילו שלוש הגנות חייבות לעטוף כל מערכת AI ברשות.
עודכן
חִשבו רגע על מה שהרשות המקומית יודעת עליכם. היכן אתם גרים ומי מתגורר אתכם, תיק הרווחה של המשפחה, לאיזה גן ובית ספר הולכים הילדים, כמה אתם חייבים בארנונה, אילו בקשות הגשתם, והיכן צעדתם מול מצלמות הרחוב. אף תאגיד פרטי אינו מחזיק תמונה שלמה כזו של חייו של אדם. כל עוד המידע הזה שכב במגירות נפרדות, הפיזור עצמו היה הגנה.
בינה מלאכותית מוחקת את הפיזור: היא יודעת להצליב, לנתח ולהחליט על בסיס הכול יחד. כאן מתחיל המבחן האמיתי של הפרטיות ברשות, והתושב הישראלי מוגן בו אחרת מהאירופי. מאמר זה משווה בין המסגרות ומצביע על ההגנות שחייבות לעטוף כל מערכת AI ברשות.
הרשות אינה עוד מחזיקת מידע, היא מחזיקה את המידע הרגיש ביותר על התושב, ולרוב בלי שהתושב בחר למסור אותו לה. דווקא משום כך, השילוב של ריכוז מידע כזה עם יכולת עיבוד אוטומטית מחייב את רף ההגנה הגבוה ביותר, לא את הנמוך. על חובות הגנת המידע הבסיסיות של הרשות הרחבנו בהגנת פרטיות ומידע תושבים.
חוק הגנת הפרטיות הוא הבסיס, ותיקון 13, שנכנס לתוקף באוגוסט 2025, חיזק אותו משמעותית. בין השינויים: חובה למנות ממונה על הגנת הפרטיות בגופים ציבוריים, סמכויות אכיפה מוגברות של הרשות להגנת הפרטיות לרבות עיצומים כספיים, מעבר מחובת רישום מאגרים לחובת הודעה, והרחבת חובת היידוע באיסוף מידע. עבור רשות שמפעילה בינה מלאכותית, המשמעות ברורה: היא בעלת שליטה במידע, עם אחריות מוגברת, ממונה ייעודי, וחשיפה לעיצום אם תיכשל.
על חובת הממונה הרחבנו במינוי ממונה הגנת פרטיות בתיקון 13, ועל אבטחת המידע במדריך אבטחת המידע בתיקון 13.
את נוסח הסעיפים עצמם אחרי תיקון 13, ובהם רישום מאגרים, חובת ההודעה והממונה על הגנת הפרטיות, ריכזנו במדריך לחוק הגנת הפרטיות ותיקון 13.
הרגולציה האירופית, ה-GDPR, בנתה כמה שכבות שלדין הישראלי אין להן מקבילה מפורשת, והן רלוונטיות במיוחד ל-AI:
את הזכות מול החלטה אוטומטית ואת הפער בדין הישראלי פירטנו בהזכות שיש לאירופי ואין לכם.
ההשוואה אינה אקדמית: רשות ישראלית שמוכרת שירות או מעבדת מידע של תושבים אירופים עשויה להיות כפופה גם ל-GDPR, ובכל מקרה, הרף האירופי הוא אמת מידה מקצועית שכדאי לבנות אליה. על הזווית האירופית לחברות ישראליות ראו GDPR לחברות ישראליות שמפעילות AI.
את התסקיר עצמו, שלב אחר שלב, פירטנו במדריך תסקיר השפעה על הפרטיות (DPIA) ל-AI ברשות.
הנושא יושב בלב תחום ה-AI & Law של המשרד. על מפת השימושים ברשות וגבולותיהם ראו את עוגן הסדרה, בינה מלאכותית ברשות מקומית.
ד״ר עו״ד אברהם ללום מלווה רשויות מקומיות בהיערכות הפרטיות לשימוש בבינה מלאכותית, מול הדין הישראלי ומול אמות המידה האירופיות. העמדה שד״ר ללום מיישם קבועה: ברשות, ריכוז המידע הוא עצמו הסיכון, ולכן ההגנה צריכה להיבנות לרף הגבוה שבעולם, לא למינימום המקומי.
מאמר זה מתבסס על חוק הגנת הפרטיות ותיקון 13 בישראל ועל עקרונות ה-GDPR, ומתאר מסגרת כללית נכון למועד הכתיבה. אין באמור ייעוץ משפטי, והנוסח המחייב הוא זה שמפרסמות הרשויות. יש לבחון כל מקרה לגופו עם עורך דין מורשה.
כגוף ציבורי, הרשות חייבת למנות ממונה על הגנת הפרטיות (סעיף 17ב1 לחוק הגנת הפרטיות), היא חשופה לסמכויות האכיפה ולעיצומים של הרשות להגנת הפרטיות, ומאגר המידע שלה חייב ברישום (סעיף 8א). לצד זה, לפי סעיף 11, פנייה לתושב לקבלת מידע אישי מציינת בין היתר למי יימסר המידע ולאילו מטרות, ומסירה לספק של כלי AI היא מסירה שיש לציין.
בהגנה מובנית כברירת מחדל, בחובת תסקיר השפעה על הפרטיות בעיבוד בסיכון גבוה, ובזכות מפורשת מול החלטה המבוססת על עיבוד אוטומטי בלבד, שאין לה מקבילה ישראלית מפורשת.
הגבלת מטרה ואיסור אימון המודל על מידע התושבים, אבטחה מידתית לרגישות המידע, ובקרת אדם עם הנמקה בכל החלטה בעלת השפעה.
כן, אם היא מעבדת מידע של תושבים אירופים או מציעה להם שירות. בכל מקרה הרף האירופי הוא אמת מידה מקצועית שכדאי לבנות אליה.
לפי המאמר, הרשות מחזיקה תמונה שלמה של חיי התושב: היכן הוא גר ומי מתגורר איתו, תיק הרווחה של המשפחה, מוסדות החינוך של הילדים, חוב הארנונה, הבקשות שהגיש ותיעוד ממצלמות הרחוב. כל עוד המידע שכב במגירות נפרדות, הפיזור עצמו היה הגנה. בינה מלאכותית מוחקת את הפיזור, כי היא מצליבה, מנתחת ומחליטה על בסיס הכול יחד, ולכן נדרש רף ההגנה הגבוה ביותר.
כן. לפי סעיף 8א לחוק הגנת הפרטיות, רישום חובה חל על מאגר של גוף ציבורי, לצד מאגר שמטרתו העיקרית איסוף מידע אישי למסירה לאחר כדרך עיסוק או בתמורה, על יותר מ-10,000 בני אדם. חובת ההודעה לרשות להגנת הפרטיות בתוך 30 ימים חלה על מאגר שאינו חייב ברישום ויש בו מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם, ולכן היא אינה מחליפה את הרישום במאגר של רשות מקומית.
לפי המאמר, זו אחת השכבות שה-GDPR בנה ושלדין הישראלי אין להן מקבילה מפורשת: חובה לתכנן את המערכת כך שתכבד פרטיות מראש, ולא להוסיף את ההגנה אחרי שהמערכת כבר פועלת. המאמר ממליץ לרשות להתייחס לדרישות ה-GDPR כאמת מידה ולא להסתפק במינימום הישראלי. בהמלצה המעשית שלנו, ההחלטה איזה מידע המערכת תקבל, מי ייגש אליו ומתי יימחק מתקבלת לפני ההפעלה.
לפי המאמר, זה בדיוק מה שהרשות צריכה למנוע: המידע משמש רק למטרה שלשמה נאסף, ואינו מוזן לאימון מודל של ספק. סעיף 8 לחוק הגנת הפרטיות מתיר עיבוד של מידע ממאגר רק למטרת המאגר ובהרשאת בעל השליטה. הנוסח אינו מתייחס לקבצי אימון בפרט, ולכן את האיסור כותבים במפורש בהסכם עם הספק, יחד עם אופן השמדת המידע, שתקנה 15 לתקנות אבטחת מידע דורשת לפרט בהסכם עם גורם חיצוני.
לפי המאמר, אדם מוסמך, מאחורי כל החלטה בעלת השפעה, ועם הנמקה. זו אחת משלוש ההגנות שחייבות לעטוף כל מערכת AI ברשות, לצד הגבלת מטרה ואבטחה. בנוסח חוק הגנת הפרטיות אין התייחסות מפורשת להחלטה אוטומטית, ולכן, בשונה מהעיקרון שקובע ה-GDPR, אין לתושב בישראל זכות מפורשת מקבילה, והמאמר ממליץ לבנות את הבקרה ברוח חובת ההנמקה והשקיפות של הרשות.
לפי המאמר, ארבעה צעדים: למנות ממונה ולמפות איזה מידע כל מערכת נוגעת בו; לבנות לרף הגבוה, כלומר להתייחס לדרישות ה-GDPR כאמת מידה ולא רק למינימום הישראלי; לערוך תסקיר השפעה על הפרטיות לפני הפעלה בעיבוד בסיכון גבוה; ולעטוף את המערכת בהגבלת מטרה ובאיסור אימון, באבטחה ובבקרה אנושית עם הנמקה.
נושא: בינה מלאכותית וממשל סיכונים
השירות בתחום: ייעוץ וחוות דעת שנייה בנושא AI
ייעוץ וחוות דעת נדל״ן · ייעוץ וחוות דעת AI · ייעוץ משפטי · גישור ויישוב סכסוכים · מאמרים · שאלות ותשובות · מבדק מוכנות · לתיאום פגישת ייעוץ
כל שינוי בקוד נבדק בשער פיתוח מאובטח לפי עקרונות OWASP Top 10, ISO/IEC 27001:2022 (A.8.28) ו-NIST SSDF. בדיקה אחרונה: 2.11.2026. פירוט הבקרות