משפט וטכנולוגיה לעסקים

מה השתנה בתיקון 13 לחוק הגנת הפרטיות?

תיקון מס׳ 13 לחוק הגנת הפרטיות, התשמ״א־1981, נכנס לתוקף ב־14 באוגוסט 2025, והוא הרפורמה המשמעותית ביותר בחוק מזה שנים. בין היתר, הוא עדכן את ההגדרות הבסיסיות (כמו מידע אישי ומידע בעל רגישות מיוחדת), צמצם את חובת רישום המאגרים, הרחיב את סמכויות הפיקוח והאכיפה של הרשות להגנת הפרטיות כולל עיצומים כספיים, וקבע חובה למנות ממונה על הגנת הפרטיות בגופים מסוימים.

התיקון גם הוסיף את סעיף 15א, שמאפשר לבית המשפט לפסוק פיצויים לדוגמה, בלי הוכחת נזק, עד 10,000 ש״ח, בשל הפרות מסוימות של חובות בעל השליטה במאגר, למשל אי־מתן הודעה כנדרש בעת איסוף מידע או אי־מימוש זכות העיון. המשמעות לעסק: הודעות פרטיות, מנגנון לטיפול בבקשות עיון ונוהל אבטחת מידע אינם עוד מסמכים "על המדף".

מה צריך לבדוק לפני שמכניסים AI לעסק?

• איזה מידע נכנס לכלי: מידע אישי של לקוחות או עובדים, סודות מסחריים, מידע שהתחייבתם לשמור בסוד כלפי צד שלישי.
• מה הספק עושה עם המידע: האם הוא משמש לאימון המודל, איפה הוא נשמר, כמה זמן, ומי יכול לגשת אליו.
• על מה העסק מתחייב כלפי הלקוחות שלו: מדיניות פרטיות, הסכמי סודיות, ודרישות רגולטוריות בענף.
• מי בודק את התוצרים: החלטות שמשפיעות על אנשים (גיוס, אשראי, שירות) צריכות בקרה אנושית ותיעוד.
• האם העסק פועל גם מול לקוחות באירופה, ואז ייתכן שחלים עליו גם ה־GDPR וחקיקת ה־AI של האיחוד האירופי.

בישראל אין כיום חוק ייעודי ל־AI, והמדיניות הממשלתית מבוססת על הסדרה מגזרית ועל חקיקה קיימת: פרטיות, הגנת הצרכן, זכויות יוצרים, דיני עבודה ודיני חוזים. לכן השאלה היא לא "האם מותר", אלא איך עושים את זה בצורה שעומדת בדינים הקיימים.

עובדים משתמשים ב־ChatGPT. צריך נוהל?

כן. בלי נוהל, כל עובד מחליט בעצמו מה מותר להעתיק לכלי חיצוני. נוהל שימוש ב־AI טוב הוא קצר ומעשי: אילו כלים מאושרים, איזה מידע אסור להזין, מה בודקים לפני ששולחים תוצר ללקוח, ומי אחראי.

צריך גם לחבר אותו לדיני העבודה: פסק הדין בע״ע 90/08 איסקוב ענבר נ׳ מדינת ישראל (2011) קבע מסגרת לשאלה מתי ובאיזה אופן מעסיק רשאי לנטר ולעיין בתיבת הדואר של עובד. אותם עקרונות של שקיפות, מידתיות ותכלית רלוונטיים גם לניטור שימוש בכלי AI. ראו גם מה האחריות כשעובד מזין מידע של לקוחות לכלי AI.

חוזי SaaS ופיתוח: על מה חותמים?

בהתקשרות עם ספק תוכנה או עם בית תוכנה שמפתח עבורכם, הסעיפים שקובעים את הסיכון הם בדרך כלל אלה:

• נתונים: למי שייכים, איפה נשמרים, מה קורה בסיום ההתקשרות, ואיך מוציאים אותם.
• אבטחה ואירועי סייבר: התחייבויות אבטחה, חובת דיווח על אירוע, ושיתוף פעולה בטיפול.
• זמינות ושירות (SLA): מה נחשב תקלה, תוך כמה זמן מטופלת, ומה הפיצוי.
• הגבלת אחריות: תקרה, חריגים (למשל לדליפת מידע או הפרת סודיות), ומה כלול בה.
• קניין רוחני: למי שייך הקוד שפותח, רישיונות קוד פתוח, ומה מותר לספק לעשות עם מה שבנה עבורכם.
• קבלה ותשלום: אבני דרך, בדיקות קבלה, וזכות לעכב תשלום.

למי שייך הקוד שעובד או קבלן כתב?

לפי חוק זכות יוצרים, התשס״ח־2007, יצירה שעובד יצר לצורך עבודתו ובמהלכה שייכת ככלל למעסיק (סעיף 34). אבל ביצירה שהוזמנה מקבלן חיצוני, בהיעדר הסכם אחר, הבעלים הראשון הוא דווקא היוצר (סעיף 35). כלומר, עסק ששילם לפרילנסר על פיתוח בלי הסכם בכתב עלול לגלות שאינו הבעלים של הקוד.

לגבי אמצאות, חוק הפטנטים, התשכ״ז־1967, קובע ש״אמצאת שירות" של עובד שייכת למעסיק אם לא הוסכם אחרת, ומסדיר את זכותו של העובד לתמורה. לכן הסכמי עבודה ופיתוח בתחום הטכנולוגיה צריכים לכלול סעיפי קניין רוחני מפורשים, כולל ויתור מוסדר על תמורה ככל שהדבר אפשרי.

מה עושים כשיש דליפת מידע או אירוע סייבר?

1. לבודד ולתעד: מה קרה, מתי, איזה מידע, כמה אנשים.
2. לבדוק את החובות: תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז־2017, מחייבות במקרים מסוימים לדווח לרשות להגנת הפרטיות על אירוע אבטחה חמור.
3. לבדוק חוזים: התחייבויות כלפי לקוחות, חובות של הספק, וכיסוי ביטוחי.
4. להחליט על הודעה לנפגעים, בתיאום עם היועצים ועם המבטח.

מי מטפל בתחום במשרד?

את תחום המשפט והטכנולוגיה מוביל במשרד אילון צור, משפטן (LL.B), שהוביל תוכניות AI ובניין כוח במשרד הביטחון ופרויקטי תקשורת לוויינית לחיל האוויר, ומייעץ לחברות בישראל, בארה״ב, בבריטניה ובאמירויות בהטמעת AI בתפעול. הוא מתרגם בין המערכות לבין החוזים והנהלים.

הייעוץ והייצוג המשפטי ניתנים על ידי עו״ד שמעון צור. גם כאן, עו״ד שמעון צור מלווה את הצד המשפטי בעצמו ואילון מוביל את הצד הטכנולוגי: מסבירים בשפה פשוטה, בונים תוכנית עבודה כתובה, ומעדכנים בכל שלב. השילוב חשוב כשהשאלה הטכנולוגית הופכת למחלוקת: הפרת חוזה מול ספק, עובד שעוזב עם קוד, או שותפים שמתווכחים על בעלות במוצר.