המאמר נועד למידע כללי ואינו תחליף לייעוץ משפטי המותאם לנסיבות המקרה.
לא מתחילים ב־GDPR
שירותי ענן וכלי בינה מלאכותית מאפשרים לארגונים לייעל תהליכים ולהסתייע בספקים בינלאומיים. מבחינה משפטית, השימוש בהם עשוי לעורר שאלה שלא תמיד מקבלת תשומת לב מספקת: האם מידע ממאגר בישראל מועבר למאגר מידע מחוץ לישראל? ארגונים רבים מתחילים בשאלה אם הספק עומד ב־GDPR. זהו נתון רלוונטי ולעיתים משמעותי, אך הוא אינו מחליף את הבדיקה הנדרשת לפי הדין הישראלי. כאשר מידע ממאגר בישראל מועבר לחו״ל יש לבחון את תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א–2001. אם הספק מקבל גם גישה למאגר או מעבד את המידע עבור הארגון, עשויות לחול במקביל הוראות תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017.
לא כל שימוש בכלי AI הוא בהכרח העברה לפי התקנות
תקנות העברת המידע אינן חלות על כל תקשורת עם גורם זר, אלא עוסקות בהעברת מידע ממאגר מידע בישראל אל מאגר מידע שמחוץ לגבולות המדינה. לכן אין לקבוע באופן גורף כי כל הזנת פרט אישי לכלי AI היא בהכרח העברה לפי התקנות. יש לבדוק אם המידע נלקח ממאגר של הארגון; אם הוא נשלח לשרתים מחוץ לישראל; אם הוא נקלט או נשמר במערכות הספק, בלוגים או בגיבויים; אם נעשה בו שימוש למתן השירות בלבד; ואם לעובדים או לספקי משנה מחוץ לישראל קיימת גישה אליו. גם מקום מושבו הרשום של הספק אינו מספק בהכרח את התשובה. יש למפות את מסלול המידע בפועל.
השלב הראשון: מהו הבסיס להעברת המידע?
תקנה 1 לתקנות העברת המידע קובעת את הכלל שלפיו אין להעביר מידע ממאגר בישראל אל מחוץ לגבולות המדינה, אלא אם הדין במדינת היעד מבטיח רמת הגנה שאינה פחותה, בשינויים המחויבים, מרמת ההגנה הקבועה בדין הישראלי. תקנה 2 קובעת מצבים נוספים שבהם ניתן להעביר מידע לחו״ל, ובהם, בין היתר, העברה בהסכמת נושא המידע; העברה למדינה המקבלת מידע ממדינות האיחוד האירופי לפי אותם תנאי קבלה; והעברה למי שהתחייב בהסכם עם בעל השליטה במאגר לקיים את התנאים להחזקת מידע ולשימוש בו החלים על מאגר מידע בישראל, בשינויים המחויבים. העובדה שספק נחשב מאובטח, מוכר או כפוף ל־GDPR אינה כשלעצמה תשובה לשאלה זו. יש לזהות איזו הוראה בתקנות מאפשרת את ההעברה המסוימת.
הסתמכות על התחייבות הספק לפי תקנה 2(4)
התקשרויות עם ספקי ענן ו־AI נשענות לא אחת על תקנה 2(4), המתייחסת להתחייבות חוזית של מקבל המידע לקיים את התנאים להחזקת מידע ולשימוש בו החלים על מאגר בישראל, בשינויים המחויבים. בגילוי דעת סופי מאפריל 2026 הבהירה הרשות להגנת הפרטיות כי אין די בהצהרה כללית שלפיה הספק מציית לדין החל עליו. ההסכם צריך לעגן את העקרונות המהותיים שנועדו להגן על נושאי המידע, ובהם חוקיות העיבוד, הגבלת השימוש למטרות מוגדרות, שמירת סודיות, אבטחת מידע, הגבלת תקופת השמירה וכיבוד זכויות נושאי המידע. מנגד, ספק זר אינו נדרש בהכרח לקיים הוראות טכניות או מוסדיות שאינן מתאימות למקבל מידע זר. עוד הובהר כי לא ניתן להסתמך על תקנה 2(4) אם הדין החל על המקבל מונע ממנו לקיים את ההגנות המהותיות שלהן התחייב. לכן הבדיקה אינה מסתיימת בנוסח החוזה.
השלב השני: התחייבות לפי תקנה 3
גם לאחר שנמצא בסיס להעברה לפי תקנה 1 או 2 נותרת דרישה נוספת. תקנה 3 לתקנות העברת המידע מחייבת את בעל השליטה במאגר להבטיח, בהתחייבות בכתב של מקבל המידע, כי המקבל ינקוט אמצעים מספיקים להגנת פרטיותם של נושאי המידע וכי המידע לא יועבר לאדם אחר, בין באותה מדינה ובין במדינה אחרת. לשון התקנה מעוררת קושי בשירותי ענן ו־AI המבוססים על שרשרת ספקי משנה. בגילוי דעת מאוקטובר 2024 הבהירה הרשות כי אין מדובר בהכרח באיסור מוחלט על כל העברת המשך. ניתן לאפשר העברה נוספת כאשר המקבל הנוסף עומד בעצמו בתנאי התקנות, או כאשר ההעברה כפופה לערובות מקובלות אחרות המספקות הגנה נאותה בהתאם להיקף המידע, לרגישותו וליתר נסיבות העניין.
המקום המדויק של ה־GDPR בניתוח הישראלי
במסגרת פרשנות תקנה 3 ציינה הרשות, בין היתר, עמידה ב־GDPR או בדין של מדינה שהוכרה בידי האיחוד האירופי כבעלת רמת הגנה נאותה כדוגמאות לערובות שעשויות להיות רלוונטיות. לכן אין להתעלם מה־GDPR, אך גם אין להפוך אותו לבסיס המשפטי הישראלי להעברה. עמידת הספק ב־GDPR עשויה להיות נתון משמעותי בבחינת רמת ההגנה ובניסוח ההתחייבויות לפי תקנה 3; היא אינה מהווה כשלעצמה בסיס להעברת מידע מישראל ואינה מייתרת את יתר החובות לפי הדין הישראלי.
שלוש שאלות חוזיות שונות
הסכם עם ספק זר צריך לתת מענה לשלוש שאלות נפרדות: מדוע מותר להעביר את המידע — באמצעות זיהוי הבסיס המתאים בתקנה 1 או 2; כיצד יגן המקבל על המידע — באמצעות ההתחייבות הנדרשת לפי תקנה 3 והסדרת העברות המשך; וכיצד ינוהל מיקור החוץ — כאשר הספק מקבל גישה למאגר או מעבד מידע עבור הארגון. מסמך DPA או תנאי שימוש סטנדרטיים עשויים לסייע, אך הכותרת שניתנה למסמך אינה מעידה שהוא אכן מכסה את שלושת הרבדים.
השלב השלישי: מיקור חוץ ואבטחת מידע
כאשר ההתקשרות מעניקה לספק חיצוני גישה למאגר מידע, תקנה 15 לתקנות אבטחת מידע מחייבת בחינה מוקדמת של סיכוני אבטחת המידע והסדרה מפורשת של ההתקשרות. ההסכם נדרש להתייחס לסוגי המידע שהספק רשאי לעבד, למטרות העיבוד, למערכות שאליהן תינתן גישה, לסוג הפעולות המותרות, למשך ההתקשרות, להשבת המידע או למחיקתו בסיומה, לחובות הסודיות ולאופן יישום דרישות אבטחת המידע. ככל שהספק רשאי להסתייע בגורם נוסף יש להסדיר גם את החובות שיוטלו עליו. תקנה 15 אינה מסתפקת בחתימה על הסכם, אלא מחייבת גם בקרה ופיקוח בהתאם לסיכונים הכרוכים בהתקשרות.
ישראל מוכרת באירופה כבעלת רמת הגנה נאותה
ישראל נמנית עם הקבוצה המצומצמת של מדינות וטריטוריות שהנציבות האירופית הכירה בהן כמספקות רמת הגנה נאותה למידע אישי. משמעות ההכרה היא שניתן להעביר מידע מהאיחוד האירופי, וכן מנורווגיה, איסלנד וליכטנשטיין, לישראל ללא צורך באמצעי העברה נוסף לפי פרק V ל־GDPR, כגון התנאים החוזיים האחידים של הנציבות. החלטת הנאותות ביחס לישראל התקבלה בשנת 2011, ובינואר 2024 קבעה הנציבות לאחר בחינה מחודשת כי ישראל מוסיפה לספק רמת הגנה נאותה. אולם ההחלטה פועלת בכיוון מוגדר: מהאזור הכלכלי האירופי לישראל. היא אינה פוטרת ארגון ישראלי מבחינת הדין הישראלי כאשר אותו מידע מועבר לאחר מכן מישראל לספק במדינה שלישית.
המידע הגיע מאירופה? מקור המידע הופך לנתון משפטי
כאשר מידע מועבר לישראל מהאזור הכלכלי האירופי עשויות לחול גם תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי), התשפ״ג–2023. תקנות אלה מוסיפות, בכפוף לתחולתן ולחריגים הקבועים בהן, חובות בנוגע למחיקת מידע, החזקת מידע שאינו נחוץ, דיוק המידע ויידוע נושאי המידע. חובות מסוימות עשויות לחול גם על מידע נוסף המצוי באותו מאגר, ולא רק על המידע שהגיע מאירופה. מכאן נובעת נקודה חשובה: לצורך ניהול ציות לא תמיד מספיק לדעת איזה מידע מחזיק הארגון. לעיתים יש לדעת גם מה מקורו ולאיזה מאגר הוא נקלט. ארגון שאינו מזהה כי מאגר מסוים כולל מידע שהגיע מהאזור הכלכלי האירופי עלול להחמיץ שכבת חובות שלמה, בפרט כאשר הוא מבקש להעביר את המידע לספק נוסף מחוץ לישראל.
רשימת בדיקה לפני שימוש בענן או ב־AI
לפני העברת מידע ממאגר לספק זר יש לבדוק: איזה מידע יועבר והאם ניתן לצמצמו, להשחירו או להתמימו; האם השימוש תואם את המטרה שלשמה נאסף; מהו הבסיס להעברה לפי תקנה 1 או 2; היכן יישמר ויעובד המידע; מי יוכל לגשת אליו ומאילו מדינות; האם הוא ישמש לאימון מודלים או לשיפור השירות; כמה זמן יישמרו קלטים, פלטים, לוגים וגיבויים; אילו ספקי משנה מעורבים; האם תנאי ההתקשרות נותנים מענה לתקנה 3; האם חלה תקנה 15; האם מקור המידע באזור הכלכלי האירופי; כיצד יימחק או יושב המידע בתום ההתקשרות; וכיצד יתקיימו בקרה, פיקוח ודיווח על אירועי אבטחה.
האם מותר לשמור מידע אישי בענן מחוץ לישראל?
כן, אך אחסון מידע בענן מחוץ לישראל אינו מותר באופן אוטומטי רק משום שמדובר בספק מוכר. כאשר מדובר בהעברת מידע אישי ממאגר בישראל למאגר בחו״ל, יש לזהות בסיס מתאים לפי תקנה 1 או 2 לתקנות העברת מידע לחו״ל, לקבל את ההתחייבות הנדרשת לפי תקנה 3, ולבחון אם ההתקשרות כפופה גם לתקנה 15 לתקנות אבטחת מידע. יש לבדוק גם את מדינות האחסון והעיבוד, ספקי המשנה, תקופת השמירה והאפשרות למחוק או להשיב את המידע.
האם עמידה ב־GDPR מספיקה להעברת מידע מישראל?
לא. עמידה ב־GDPR עשויה להעיד על קיומן של הגנות משמעותיות ואף לשמש ערובה רלוונטית במסגרת יישום תקנה 3, אך היא אינה מהווה כשלעצמה עילה להעברת מידע מישראל. הארגון עדיין נדרש לזהות בסיס העברה לפי התקנות הישראליות ולבחון את יתר החובות החלות עליו.
האם שימוש ב־ChatGPT או בכלי AI הוא העברת מידע לחו״ל?
לא בכל מקרה. יש לבחון אם המידע המוזן לכלי נלקח ממאגר מידע בישראל, אם הוא מועבר או נשמר במאגר מחוץ לישראל, היכן מתבצע העיבוד, מי רשאי לגשת אליו והאם הוא נשמר בלוגים או משמש למטרות נוספות. כאשר עובדים מזינים מידע אישי, מידע רגיש או מידע הכפוף לסודיות לכלי AI חיצוני, אין להסתפק בבחינת שם הכלי או סוג הרישיון; יש לבחון את זרימת המידע ואת תנאי השירות בפועל.
מה צריך לכלול הסכם DPA עם ספק זר?
הסכם DPA עם ספק ענן או AI אינו תחליף לבחירת בסיס משפטי להעברה, אך הוא צריך לשקף את ההתחייבויות הנדרשות לפי הדין. בין היתר יש להסדיר את מטרות העיבוד, סוגי המידע, הוראות הספק, סודיות ואבטחה, מיקומי עיבוד, תקופות שמירה, מחיקה או השבה, טיפול באירועי אבטחה, ספקי משנה והעברות המשך, זכויות נושאי המידע ומנגנוני בקרה ופיקוח. כאשר ההתקשרות כפופה לתקנה 15, יש לוודא שההסכם נותן מענה מפורש גם לדרישותיה.
לסיכום
הצהרת ספק שלפיה הוא עומד ב־GDPR אינה חותמת כשרות אוטומטית להעברת מידע מישראל. היא עשויה להיות רלוונטית לבחינת ההגנות שמעניק הספק ואף לשמש ערובה במסגרת יישום תקנה 3, אך היא אינה מייתרת את הדין הישראלי. בחינה נכונה דורשת להפריד בין הבסיס להעברה, ההתחייבויות להגנת המידע, האפשרות להעבירו לספקי משנה וחובות מיקור החוץ ואבטחת המידע. במקרים שבהם המידע הגיע לישראל מהאזור הכלכלי האירופי יש להביא בחשבון שכבת חובות נוספת. החלטת הנאותות מאפשרת למידע להגיע מאירופה לישראל ביתר קלות; היא אינה מבטיחה שהמשך דרכו מישראל לספק נוסף מותר ללא בדיקה.