הטור החודשי בנושא הגנת הפרטיות בארץ ובעולם 03-2026

הגנת הפרטיות – ישראל

שימוש במצלמות במעונות יום לפעוטות

הרשות להגנת הפרטיות פרסמה הנחיה מס' 1/26 המסדירה את השימוש במצלמות אבטחה במעונות יום לפעוטות. ההנחיה מאזנת בין דרישת ההורים לשקיפות לבין הזכות לפרטיות של הפעוטות והצוות. בהתאם לעדכון החקיקה, ניתן לאפשר צפייה להורים בשידור חי או באופן עתידי, בכפוף להסכמה גורפת של כלל ההורים ולשיקול דעת המפעיל. חשוב לשים לב למספר הגבלות: 

1. חל איסור על הצבת מצלמות באזורים פרטיים ואיסור מוחלט על הקלטת קול. 

2. תיעוד חזותי של קטינים מוגדר כמידע רגיש המחייב עמידה בסטנדרטים מחמירים של אבטחת מידע וסייבר, לרבות ניהול הרשאות והגבלת גישה. 

אי-עמידה בהוראות ההנחיה עלולה להוביל לעיצומים כספיים משמעותיים ואף להליכים פליליים, ועל כן נדרשת היערכות רגולטורית וארגונית מוקפדת מצד המפעילים.  

גילוי דעת בנושא הסכמה בדיני הגנת הפרטיות

הרשות להגנת הפרטיות פרסמה גילוי דעת המבהיר את אופן יישום עיקרון ההסכמה בדיני הגנת הפרטיות, בהתאם לחוק הגנת הפרטיות, התשמ"א-1981, ובמיוחד בהקשר של הסביבה הדיגיטלית. גילוי הדעת משקף את הפרשנות המשפטית שתשמש את הרשות בפעולות פיקוח ואכיפה, לרבות רישום מאגרי מידע והטלת עיצומים. גילוי הדעת מבהיר מהי הסכמה תקפה לשימוש במידע אישי בהתאם לחוק הגנת הפרטיות, וכי הסכמה לפגיעה בפרטיות חייבת להיות מדעת, חופשית וברורה, תוך הצגת מטרות השימוש במידע באופן נגיש ומובן. שיטות נפוצות כיום, כמו תיבות מסומנות מראש או לחיצה על “אני מסכים” מבלי לקרוא, עלולות להיחשב לא חוקיות.
המשמעות: ארגונים יצטרכו להראות שהמשתמש באמת הבין את מה שהוא מאשר, ולא להסתמך על הסכמה פורמלית בלבד.

תזכיר חוק הגנת הסייבר הלאומית, התשפ"ו – 2026

תזכיר החוק מבקש לחזק את ההגנה על מרחב הסייבר הלאומי כדי להבטיח את פעילותם הרציפה והבטוחה של ארגונים חיוניים, ספקי שירותים דיגיטליים ושירותי אחסון. החוק מבוסס על ניסיון שנצבר בישראל בהתמודדות עם איומי סייבר ועל לקחי אירועים ביטחוניים בשנים האחרונות.

החקיקה מציעה ליצור מסגרת רגולטורית לניהול והפיקוח על הגנת הסייבר, הכוללת סמכויות לגופי הממשלה וחובות לארגונים – במיוחד ארגונים חיוניים – לפעול להגנה מפני מתקפות סייבר הן בשגרה והן בזמן תקיפה. 

מטרת החוק היא לשפר את המוכנות והתגובה לאיומי סייבר, לחזק את החוסן הלאומי ולהבטיח את יציבות המשק והמשך תפקודם של שירותים חיוניים.

 אתרי קניות בחו"ל – האם יוכפפו לחוק הישראלי?

תזכיר חוק חדש של משרד המשפטים מבקש לקבוע כי חברות זרות שמוכרות מוצרים או שירותים לישראלים באינטרנט תהיינה כפופות לדין הישראלי, גם אם תנאי השימוש שלהן קובעים שהדין החל הוא של מדינה אחרת. החוק יחול כאשר החברה מכוונת את פעילותה לשוק הישראלי – למשל באמצעות אתר בעברית, מחירים בשקלים או שירות לקוחות בעברית. 

אם ההצעה תתקבל, חברות בינלאומיות יצטרכו לעמוד בחוקים ישראליים כמו חוק הגנת הצרכן, חוק הגנת הפרטיות וחוק החוזים האחידים, ולקוחות ישראלים יוכלו לתבוע אותן בישראל. מטרת המהלך היא לחזק את ההגנה על צרכנים ועסקים קטנים בעסקאות מול תאגידים גלובליים. 

עם זאת, מומחים מזהירים כי החלת הדין הישראלי על חברות זרות עלולה להרתיע חלק מהחברות הבינלאומיות מלפעול מול לקוחות בישראל בשל עלויות הציות והחשיפה המשפטית.

פס"ד של בית המשפט העליון כנגד עיריית רמת גן בהקשר לשימוש בכלי AI

עיריית רמת גן ננזפה על שימוש בלתי מבוקר בכלי בינה מלאכותית בידי רשות מינהלית מול אזרח. 

החלטה בדבר זכות הסעה לילד בעל מוגבלות שהוריו פרודים, מביתו של אביו בימים בהם נמצא במשמורת האב נדחתה ע"י עיריית רמת גן בהסתמכה, בין היתר, על חוזר מנכ"ל של משרד החינוך שבדיעבד הסתבר כלא קיים. 

פסק הדין מונה מספר כללי אצבע ראשוניים לשימוש בכלי AI בכלל ובשירות הציבורי בפרט: 

* יש להשתמש בכלי הבינה המלאכותית ככלי עזר לצורך איסוף מקורות מידע, תיקון ובקרה על נוסחים ולא כאמצעי הסופי לצורך החלטות, בעיקר כשהן כאלה המשפיעות על זכויות אדם. 

*האחריות הסופית להחלטה או למסמך הנוצר ע"י הרשות/עובד היא תמיד שלו ולא ניתן להסתמך על הבינה המלאכותית ללא אימות נתונים המתקבלים ממנה וכמובן שיקול דעת אישי. חשוב מאד לבדוק ידנית כל ציטוט או אסמכתא שהעלתה הבינה לצורך וידוא כי המידע אכן מהימן ומדויק.    

הגנת הפרטיות - בעולם

מחקר: כ-80% מהחברות באירופה חושפות נתוני לקוחות לגישה מחוץ לאיחוד האירופי

מחקר שפורסם על ידי Regolo.ai מצביע על פער משמעותי בין מדיניות הגנת הפרטיות המחמירה באירופה לבין התלות של ארגונים בתשתיות טכנולוגיה אמריקאיות. לפי הדוח, יותר מ-80% מהחברות באיחוד האירופי משתמשות בשירותי ענן שמקורם בארה״ב, מה שעלול לחשוף נתוני לקוחות לחוקים אמריקאיים כמו CLOUD Act, המאפשרים לרשויות בארה״ב גישה לנתונים גם כאשר הם שייכים לארגונים אירופיים. 

לטענת החוקרים, תלות זו יוצרת סיכונים משפטיים ורגולטוריים עבור חברות אירופאיות, במיוחד לאור דרישות הפרטיות המחמירות של ה-GDPR והחובות החדשות הנובעות מ-EU AI Act. שימוש בכלים מבוססי AI או אנליטיקה מחברות מחוץ לאיחוד עלול להוביל להפרות רגולטוריות, קנסות משמעותיים ואף מגבלות על שימוש במערכות מסוימות.  

עובד בפרויקט DOGE העתיק נתונים של מאות מיליוני אזרחים

מהנדס תוכנה לשעבר בפרויקט DOGE, 

גוף ממשלתי-מייעץ שהוקם ביוזמת דונאלד טראמפ ואילון מאסק, חשוד כי העתיק מאגרי מידע רגישים של מינהל הביטוח הלאומי האמריקני לשני התקני USB. לפי הדיווחים, המאגר כולל נתונים של יותר מ-500 מיליון אזרחים, חיים ומתים, בהם מספרי ביטוח לאומי, תאריכי לידה ופטירה, אזרחויות, וכן פרטים משפחתיים. 

החשד התעורר לאחר שהעובד סיפר לעמיתים כי בכוונתו להשתמש במידע במסגרת חברה חדשה שהקים. הפרשה נחשפה בעקבות תלונה של חושף שחיתויות וכעת נמצאת בחקירה של משרד המבקר הכללי. במינהל הביטוח הלאומי דחו את הדיווחים וטענו כי מדובר בפרסום "מוגזם", אך טרם נמסרה תגובה רשמית מצד גורמי הביקורת. 

האירוע מצטרף לשורת מחלוקות סביב פעילות DOGE, גוף שמטרתו המוצהרת היא לייעל את הממשל הפדרלי ולקצץ רגולציה והוצאות. מאז הקמתו שולבו אנשיו במספר סוכנויות ממשלתיות, מה שעורר ביקורת פוליטית ומשפטית בנוגע לגישה למידע רגיש וניגודי עניינים אפשריים.

האיחוד האירופי בוחן חשש לפגיעה בפרטיות במשקפי ה-AI של Meta

מחוקקים בפרלמנט האירופי פנו לפרלמנט האירופי בדרישה לבחון דיווחים לפיהם משקפי ה-AI של Meta תיעדו אנשים ברגעים אינטימיים ללא ידיעתם. לפי פרסומים בתקשורת השוודית, משקפי Ray-Ban החכמים הקליטו תמונות וסרטונים שנשלחו לבדיקה אנושית אצל קבלן חיצוני בקניה לצורך אימון מערכות בינה מלאכותית. העובדים של אותו קבלן נחשפו לכאורה לתמונות רגישות של אנשים, לעיתים ללא טשטוש מספק של פרטים מזהים. מצב זה עשוי להוות הפרה של דרישות ההסכמה והעיבוד של נתונים אישיים לפי ה-GDPR.

הרגולטור המרכזי שמפקח על פעילות החברה באירופה, Irish Data Protection Commission, מתבקש לבחון האם החברה עמדה בדרישות החוק, במיוחד בכל הנוגע להעברת נתונים למדינות מחוץ לאיחוד שאינן בעלות מעמד הגנת נתונים מוכר.

נתוני שימוש של נהגי רכב חשמלי הועברו לממשלת בריטניה

דיווח בתקשורת הבריטית מעלה כי נתוני שימוש של מיליוני משתמשי סלולר הועברו לממשלת בריטניה במסגרת מחקר ממשלתי שנועד לנתח את השימוש ברכבים חשמליים. לפי הפרסום, חברות סלולר שונות העבירו מידע אנונימי על דפוסי תנועה ושימוש באפליקציות הקשורות לרכבים חשמליים, כחלק ממחקר בהיקף של כ-600 אלף ליש״ט שבוצע עבור משרד התחבורה הבריטי.

על פי הדיווח, המחקר בחן דפוסי תנועה, הרגלי נסיעה ואימוץ טכנולוגיות תחבורה חשמלית, באמצעות נתונים שנאספו ממכשירי סלולר של משתמשים שביקרו באתרים ובאפליקציות הקשורות לרכבים חשמליים. ההערכה היא כי הנתונים נאספו מכ-25 מיליון מכשירים.

הפרסום עורר ביקורת פוליטית וחשש לפגיעה בפרטיות, כאשר מבקרים טוענים כי איסוף המידע בוצע ללא מודעות מספקת של המשתמשים. מנגד, מטרת המחקר הייתה לספק לממשלה תמונה רחבה על אימוץ רכבים חשמליים ותשתיות תחבורה, כחלק מתכנון מדיניות התחבורה ומעבר לכלי רכב נקיים יותר.

קבוצת ShinyHunters טוענת לפריצה ל-Woflow ולגניבת מאות מיליוני רשומות

קבוצת הסייבר ShinyHunters טוענת כי פרצה לפלטפורמת הנתונים למסחר Woflow וגנבה מאות מיליוני רשומות של נתונים ארגוניים ונתוני לקוחות. לפי הדיווחים, המידע שנגנב עשוי לכלול נתונים פנימיים של החברה, מידע אישי מזהה, וכן פרטי עסקאות והזמנות. הקבוצה איימה לפרסם את המידע אם דרישותיה לא ייענו, אך עד כה לא פרסמה דוגמת נתונים שתאמת את טענותיה. החברה עצמה טרם הגיבה רשמית לפרסום בזמן הדיווח. ShinyHunters ידועה בתקיפות נגד חברות גדולות או ספקים שעובדים עם מותגים מוכרים, מתוך הנחה שהחשש מפגיעה במוניטין ולחץ רגולטורי יגדילו את הסיכוי לתשלום כופר. בין לקוחות הפלטפורמה נמנות חברות גדולות כמו Walmart, Uber ו-DoorDash, אם כי לא ברור בשלב זה האם נתונים הקשורים אליהן אכן נחשפו.

רגולטור הפרטיות בקליפורניה מטיל קנס של 1.1 מיליון דולר על PlayOn Sports

רגולטור הפרטיות של קליפורניה הטיל קנס של 1.1 מיליון דולר על חברת PlayOn Sports לאחר שנמצא כי אספה ושיתפה מידע אישי של משתמשים לצורכי פרסום ממוקד ללא מנגנון opt-out תקין כנדרש בחוק. לפי ההחלטה, החברה השתמשה בעוגיות וטכנולוגיות מעקב אחרות כדי לאסוף נתונים ולהעבירם לשותפי פרסום, אנליטיקה ורשתות חברתיות. עם זאת, המשתמשים לא קיבלו אפשרות יעילה לסרב לשיתוף המידע, והחברה אף הפנתה אותם לכלי opt-out של גורמים חיצוניים במקום לספק מנגנון ישיר באתריה. בנוסף, נמצא כי המערכת לא כיבדה אותות opt-out מבוססי דפדפן, כגון Global Privacy Control.

מעבר לקנס, ההסדר מחייב את החברה לבצע הערכות סיכוני פרטיות שוטפות, לשפר מנגנוני הסכמה ו-opt-out, ולעדכן את הודעות הפרטיות כך שיהיו ברורות ונגישות במיוחד למשתמשים צעירים. המקרה מדגיש את הגברת האכיפה בתחום הפרטיות בארה״ב ואת הציפייה מרגולטורים לעמידה טכנית מלאה במנגנוני בחירה ושליטה בנתונים.