הטור החודשי בנושא הגנת הפרטיות בארץ ובעולם 07-2026

הגנת הפרטיות -  בישראל

גילוי דעת: מינוי ממונה על הגנת הפרטיות בארגון לפי דרישות תיקון 13 לחוק הגנת הפרטיות

בעקבות תיקון 13 לחוק הגנת הפרטיות, הרשות להגנת הפרטיות פרסמה גילוי דעת המפרט את חובת מינוי ממונה על הגנת הפרטיות (DPO) בארגונים. המסמך מציג את עמדת הרשות באשר לאופן שבו תפרש ותאכוף את דרישות החוק החדשות. להלן עיקרי החידושים והדגשים:

• הרחבת חובת המינוי למגזר הפרטי: פירוט והגדרה של הארגונים שאינם גופים ציבוריים המחויבים במינוי ממונה. בין היתר, מדובר בארגונים העוסקים בסחר במידע, גופים המבצעים ניטור שוטף ושיטתי של בני אדם, וארגונים שעיקר עיסוקם עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר.
  
  
• דרישות הכשירות והידע המקצועי: הגדרת רמת המומחיות הנדרשת מהממונה, בדגש על "ידע מעמיק" בדיני הגנת הפרטיות בישראל. הובהר כי קורס הכשרה של כ-40 שעות נחשב להכשרה בסיסית בלבד, ואינו מספק כשלעצמו ללא השכלה מלווה או ניסיון מעשי משמעותי.
  
  
• תפקידי ה-DPO ומעורבותו השוטפת: הגדרה ברורה של תחומי האחריות של הממונה, הכוללים ייעוץ להנהלה, הדרכת עובדים ובקרה שוטפת. הרשות מצפה מהממונה למעורבות פרואקטיבית בכל הפרויקטים המשמעותיים בארגון ובכל שלבי מחזור החיים של המידע, תוך הטמעת עקרונות של "עיצוב לפרטיות".
  
  
• חיזוק המעמד והעצמאות הארגונית: כדי להבטיח את אפקטיביות התפקיד, החוק מחייב להקצות לממונה את כל התנאים והמשאבים הדרושים לו. כמו כן, נדרש כי הממונה ידווח ישירות למנכ"ל או לעובד הכפוף למנכ"ל במישרין, תוך הקפדה על היעדר ניגוד עניינים עם תפקידים אחרים.
  
  
• סוגיית כפל תפקידים: אף שאין בחוק איסור מפורש על כך, הרשות מדגישה כי מינוי ממונה אבטחת המידע בארגון לתפקיד ממונה הגנת הפרטיות, מעורר שאלות כבדות משקל של חשש לניגוד עניינים ועומס תפקידים. מינוי משולב שכזה דורש מהארגון בחינה פרטנית והנמקה מבוססת ומתועדת.

הרשות להגנת הפרטיות מפרסמת הנחיות לשימוש בטוח בסוכני AI 

הרשות פרסמה מסמך ובו המלצות לשימוש בטוח בסוכני בינה מלאכותית, הפועלים באופן עצמאי ומקבלים גישה למידע אישי כמו דוא"ל, יומנים וחשבונות. יכולתם של סוכני ה-AI לבצע פעולות, להסיק מסקנות ואף לשתף מידע רגיש, מעמידה אותנו כמשתמשים בפני סכנה של חשיפת מידע בעל רגישות מיוחדת כגון מידע רפואי, פיננסי ועוד, ולכן מציגה מספר המלצות:

• מתן הרשאות מינימליות ולזמן מוגבל.
•  הגבלת המידע אליו הסוכן ייחשף לצורך ביצוע המשימה.
•  דרישת אישור אנושי בטרם ביצוע פעולות משמעותיות או שיתוף מידע.
•  הימנעות מאימון הסוכן על מידע אישי כשניתן.
•  גביית מידע חשוב לפני שמאפשרים לסוכן לבצע את אותן פעולות באופן אוטומטי.
  
  

משרד הבריאות חסם כלי AI בבתי חולים בארץ מחשש לדליפת מידע רגיש

משרד הבריאות חסם את הגישה לכלי בינה מלאכותית חיצוניים, בהם ChatGPT, Gemini ו-Claude, במחשבי בתי החולים הממשלתיים, בעקבות חשש לדליפת מידע רפואי רגיש ולהתגברות איומי הסייבר. ההחלטה מהווה החמרה של הנחיה קודמת מחודש מרץ 2026, אשר הגבילה את השימוש בכלים אלה. החלטה זו נובעת מתוך ההבנה שהזנת מידע רפואי או ארגוני לכלי AI ציבוריים עלולה לחשוף נתונים רגישים של מטופלים ולהפוך את מערכת הבריאות לפגיעה יותר למתקפות סייבר. במשרד הבריאות הדגישו כי פרטיות המטופלים והסודיות הרפואית הן בראש סדר העדיפויות, וכי בעתיד יתאפשר שימוש רק בכלי AI מאובטחים ובכפוף לניהול סיכונים.

חובת הקלטת שיחות מכירה בעסקאות מעל 750 ₪

הכנסת אישרה תיקון לחוק הגנת הצרכן, המחייב עסקים להקליט שיחות מכירה בכל עסקה מעל 750 ₪, לשמור את ההקלטות למשך שנתיים ולהעבירן לצרכן ללא עלות בתוך 10 ימי עסקים. במקרה שהעסק לא ימסור את ההקלטה במסגרת תלונה, גרסת הצרכן תיחשב כנכונה, אלא אם בית המשפט יקבע אחרת. מדובר במהלך לחיזוק זכויות הצרכנות מנקודות מבט של הגנת הפרטיות אך בד בבד מגדיל את היקף איסוף ושמירת המידע האישי על ידי עסקים.  שינוי זה שיגדיל את השקיפות בפני הצרכנים, יטיל על עסקים אחריות משמעותית עוד יותר לניהול מאובטח של מאגר הלקוחות שלהם.

הגנת הפרטיות - בעולם

הרשות הצרפתית להגנת הפרטיות פרסמה הנחיות חדשות לשימוש בפיקסלי מעקב בהודעות דוא"ל 

הרשות הצרפתית להגנת הפרטיות פרסמה את הגרסה הסופית של המלצותיה בנוגע לשימוש בפיקסלי מעקב בהודעות דוא"ל, לאחר הליך של שימוע ציבורי. מטרת ההנחיות היא להבהיר את הדרישות הרגולטוריות החלות על ארגונים המשתמשים בטכנולוגיה זו ולחזק את ההגנה על פרטיות הנמענים. 

בהמלצותיה מבחינה הרשות בין שימושים המחייבים קבלת הסכמה מראש לבין שימושים הפטורים מהסכמה. בין היתר נקבע כי ניתן להשתמש בפיקסלים ללא הסכמה לצורך מדידת יכולת מסירת הודעות דוא"ל במסגרת שירות שהמשתמש ביקש, כגון הודעות תפעוליות  הכוללות למשל אישורי הזמנה, איפוס סיסמה, התראות אבטחה או עדכוני משלוח, ובלבד שהשימוש במידע יהיה מוגבל למטרה זו בלבד. בנוסף, ההמלצות מפרטות כיצד יש ליידע את הנמענים על השימוש בפיקסלי מעקב, כיצד יש לקבל ולתעד הסכמה במקרים הנדרשים, וכיצד לאפשר לנמענים להסיר את הסכמתם בקלות.

אפל תובעת את OpenAI בטענה לגניבת סודות מסחריים לצורך פיתוח חומרה

חברת אפל הגישה תביעה נגד OpenAI ושני עובדים לשעבר, בטענה כי נעשה שימוש אסור בסודות מסחריים ומידע חסוי של החברה לצורך קידום פעילותה של OpenAI בתחום החומרה הצרכנית. לפי כתב התביעה, OpenAI ניהלה לכאורה מהלך מתואם לגיוס עובדים לשעבר של אפל וניצול קשרים עם ספקים לצורך השגת מידע הנוגע לעיצוב, תהליכי ייצור וטכנולוגיות פנימיות. אפל טוענת כי מאות מעובדיה לשעבר עברו לעבוד ב-OpenAI, וכי חלק מהמידע שהועבר לכאורה עשוי לסייע לחברה בפיתוח מוצרי חומרה חדשים. התביעה מגיעה על רקע מתיחות מתמשכת בין שתי החברות, לאחר ש-OpenAI רכשה את חברת החומרה io Products בעסקה בהיקף של כ-6.5 מיליארד דולר.

חבר הפרלמנט האירופי נפרץ באמצעות תוכנת פגאסוס

חקירה של מכון המחקר Citizen Lab העלתה כי סטליוס קולוגלו, לשעבר חבר בפרלמנט האירופי וחבר בוועדת PEGA שחקרה את השימוש בתוכנות ריגול כדוגמת Pegasus באירופה, נדבק במערכת הריגול של חברת NSO Group בזמן שכיהן בוועדה.לפי ניתוח פורנזי שבוצע למכשיר הטלפוני שלו, זוהו לפחות שתי הדבקות מוצלחות בתוכנה באוקטובר 2022 ובמרץ 2023. בתקופות אלו עסקה ועדת PEGA בדיונים רגישים, כולל הכנת דוחות, דיונים פנימיים וביקורים במדינות שנבדקו במסגרת חקירת השימוש בתוכנות. החוקרים ציינו כי בעקבות ההדבקה ייתכן שלתוקפים הייתה גישה למסמכים חסויים, התכתבויות פנימיות ופרטי דיונים של הוועדה. בנוסף, נמצא כי קולוגלו קיבל מספר התראות אבטחה מ-Apple בנוגע לניסיון תקיפה באמצעות תוכנת ריגול מתקדמת, אך לדבריו לא היה מודע לכך בזמן אמת. החוקרים הדגישו כי בשלב זה לא ניתן לייחס את התקיפה לגורם ממשלתי מסוים, ולא נמצאו אינדיקציות לכך שממשלת יוון הייתה אחראית לאירוע.

עובדי EY חשודים בגישה בלתי מורשית לפרטי חשבון הבנק של ראש ממשלת אוסטרליה

שני עובדים של חברת הייעוץ והראיית חשבון EY אשר הוצבו באופן זמני בבנק Commonwealth Bank of Australia, פוטרו ונמצאים תחת הליכים פליליים בחשד לגישה בלתי מורשית לפרטי חשבון הבנק האישיים של ראש ממשלת אוסטרליה אנתוני אלבניזי, ושל גורם נוסף הקשור ל-EY. לפי הדיווחים, העובדים ניגשו למידע בנקאי חסוי למרות שלא הייתה להם הרשאה מתאימה לכך. מערכת הבנק כללה מנגנון התרעה אשר דרש מהמשתמשים לאשר כי הם מורשים לגשת למידע לקוחות, ולאחר אישור זה אפשרה את הגישה לפרטים האישיים.

משטרת אוסטרליה מסרה כי שני אנשים נעצרו בחשד לגישה אסורה למידע בנקאי מוגבל של חבר פרלמנט פדרלי ולהפצתו. הבנק וחברת EY מסרו כי אינם יכולים להתייחס לפרטים הנוגעים לחקירה המתנהלת.שר האוצר האוסטרלי הגדיר את האירוע כ"חמור ומדאיג ביותר", והדגיש כי החשש אינו מוגבל רק לפרטי ראש הממשלה אלא לכל מידע אישי של לקוחות העלול להיחשף כתוצאה מגישה לא מורשית.

קליפורניה שוקלת לצמצם תביעות פרטיות מכוח חוק האזנות הסתר בעקבות גל תביעות נגד אתרי אינטרנט

המחוקקים בקליפורניה צפויים לדון מחדש בהצעת חוק S.B. 690 שנועדה לצמצם את תחולתו של חוק California Invasion of Privacy Act משנת 1967, אשר בשנים האחרונות משמש בסיס למספר רב של תביעות נגד חברות בגין שימוש בטכנולוגיות נפוצות באתרי אינטרנט. החוק נחקק במקור במטרה למנוע הקלטה או יירוט של תקשורת ללא הסכמת כל המשתתפים. עם זאת, בשנים האחרונות נעשה שימוש בחוק לצורך הגשת תביעות נגד ארגונים בגין שימוש בכלים דיגיטליים נפוצים כגון כלי ניתוח אתרים, טכנולוגיות מעקב והתאמה אישית, כאשר התובעים טוענים כי מדובר ב"מעקב" או "האזנה" ללא הרשאה.

אחת הסיבות המרכזיות לריבוי התביעות היא האפשרות לקבלת פיצוי כפסי של 5,000 דולר לכל הפרה ללא הגבלת סכום כולל, דבר שהוביל לטענות כי החוק מנוצל להגשת תביעות סדרתיות נגד עסקים. הצעת החוק S.B. 690 מבקשת להחריג פעילויות עיבוד מידע המתבצעות למטרה עסקית לגיטימית, ובכך לצמצם את האפשרות להגיש תביעות נגד חברות המשתמשות בטכנולוגיות מקובלות באתרי אינטרנט. עם זאת, ההצעה עדיין אינה סופית ועתידה להיבחן מחדש בבית המחוקקים של קליפורניה.