מחינוך לאכיפה - שנה ראשונה לתיקון 13 לחוק הגנת הפרטיות
הרגולטור מחדד שיניים, ה-AI משנה את כללי המשחק, וארגונים נדרשים להוכיח שליטה אמיתית במידע
התמונה המייצגת של המשק הישראלי בשנה החולפת הייתה של עובדים, מנהלים ויועצים משפטיים שמריצים פרומפטים מהממ"ד, מנסים לשמור על רציפות עסקית בעיצומה של סופת ה-AI, כשאיומי הסייבר מנסים לפרוץ את חומות האש ולהשיג אחיזה במידע הרגיש של הארגון. בתווך הזה, יום השנה הראשון לתיקון 13 לחוק הגנת הפרטיות, מסמן נקודת מפנה משמעותית בדיני הגנת הפרטיות והמידע בישראל, מעבר מחינוך והסתגלות לאכיפה קשוחה.
מי שחשב שהמצב הביטחוני והמציאות המלחמתית יספקו "עיר מקלט" לרשלנות בהגנה על הפרטיות ואבטחת המידע, טעה. החלטת הרשות להגנת הפרטיות להטיל עיצום כספי משמעותי על אחד מגופי הבריאות הגדולים במשק בעקבות אירוע אבטחה, הבהירה באופן נחרץ, תקופת ההסתגלות מתקרבת לסיומה.
תמחור מחדש של הזכות לפרטיות
תיקון 13 אינו רק עדכון טכני או הרחבה פרוצדורלית של סמכויות הרגולטור. התיקון משקף שינוי תפיסתי עמוק, מעבר ממשטר המתמקד בנהלים וברישום פורמלי, למשטר המבוסס על עיבוד מידע, אחריותיות (Accountability), ניהול סיכונים, שקיפות ובקרה ארגונית מתמשכת.
מדובר ב"תמחור מחדש" ויסודי של הזכות לפרטיות בישראל. מחובה אתית משפטית אמורפית, המלווה בסנקציות זניחות שהפכו ל-"אות מתה", לסיכון עסקי-כלכלי קשיח ולמרכיב יסודי בממשל התאגידי, המגובה בשיניים רגולטוריות חסרות תקדים.
מצהוב לאדום
ערב כניסת התיקון לתוקף שררה במשק חרדה מפני "מבול" של קנסות דרקוניים. בפועל, בשנה הראשונה נקטה הרשות בגישה של "רגולטור מחנך". היא ביצעה פעולות פיקוח רוחביות במגזרים רגישים, מרשויות מקומיות, דרך אפליקציות נפוצות ועד לחברות מסחר מקוון, ומיפוי כשלים ענפיים. כניסתן לתוקף של תקנות ההתראה המנהלית מיסדה את מנגנון ה"כרטיס הצהוב", אזהרה במקום קנס, במקרים של הפרה ראשונה או חוסר בהירות.
אולם, מי שפירש את המדיניות הזו כוויתור, החמיץ את המטרה. הכרטיס הצהוב נועד לתקופת הסתגלות קצרה, ולא כרישיון להזנחה. בעוד שהרגולטור הפגין סבלנות בדרישות דיווח, בנושאי אבטחת מידע מהותיים הקו היה בלתי מתפשר. הרשות הבהירה כי דווקא בצל המלחמה והעלייה באיומי הסייבר, נדרשת החמרה יתרה. היעדר מבדקי חדירות, כשלים באימות, או היעדר הסכמים תקינים עם ספקים חיצוניים (בהתאם לתקנה 15 לתקנות אבטחת מידע) נקבעו כהפרות נחרצות, המהוות "כרטיס אדום".
פרטיות בעידן ה-AI
במקביל לכניסתו של תיקון 13 לחיינו, חווה המשק הישראלי אימוץ מואץ, ולעיתים בלתי מבוקר, של כלי בינה מלאכותית. עובדים ומנהלים נעזרים בכלים אלה לצורך כתיבה, ניתוח נתונים וייעול תהליכים, לא פעם ללא מדיניות ארגונית סדורה או בחינה משפטית מספקת. מציאות זו יוצרת מלכוד רגולטורי חדש. מידע שנראה אנונימי או טכני עשוי להפוך למידע אישי ומזוהה כאשר מערכות AI מצליחות להצליבו עם מקורות אחרים; שימוש בכלי בינה לצורך סינון או הערכה של עובדים, מועמדים ולקוחות עלול לערב מידע בעל רגישות מיוחדת; והזנה אגבית של מידע ארגוני למודלי שפה לשימושים החורגים מהמטרה המקורית שלשמה נאסף, ובכלל זה, אימון המודל, עלולה ליצור חשיפה משפטית משמעותית. לכן, הטמעה ושימוש בכלי AI אינה עוד עניין טכנולוגי גרידא, אלא מחייבת ניהול סיכוני פרטיות שיטתי, לרבות ביצוע סקרי השפעה על פרטיות ואימוץ עקרונות של Privacy by Design כבר משלב התכנון.