מה נחשב עיבוד

תקנת ההגנה הכללית על מידע של האיחוד האירופי, תקנה (EU) 2016/679, מגדירה עיבוד בסעיף 4(2) כמעט כל פעולה שנעשית במידע אישי, לרבות איסוף, שמירה, שימוש, אחזור וגילוי. כששאלה שנשלחת למודל מכילה שם, מספר תיק, פרטי עסקה או תוכן מסמך, המידע האישי שבה מעובד. השאלה המשפטית אינה אם נעשה עיבוד, אלא מי מבצע אותו ואיפה.

מודל שרץ על המכשיר

כשהמודל פועל על המכשיר עצמו והטקסט אינו יוצא ממנו, אין מסירה לצד שלישי, אין ספק שמעבד את המידע בעבור הארגון, ואין העברה מעבר לגבול. הארגון עצמו נשאר בעל השליטה במידע, וחלות עליו חובותיו הרגילות, ובהן בסיס חוקי לעיבוד, יידוע, אבטחה ומחיקה. מה שנחסך הוא שכבת ההתקשרות עם הספק וכללי ההעברה.

מודל שרץ בענן

כשהטקסט נשלח לשרת של ספק, הספק מעבד מידע אישי בעבור הארגון. לפי סעיף 28 לתקנה נדרש הסדר בכתב, שבו הספק פועל רק לפי הוראות הארגון, מתחייב לסודיות ולאבטחה, אינו מצרף קבלני משנה בלי אישור, ומוחק או מחזיר את המידע בתום ההתקשרות. אם השרת נמצא מחוץ לאיחוד האירופי, נוספים כללי ההעברה שבפרק החמישי לתקנה. שאלה נפרדת, שנבדקת בתנאי השימוש עצמם, היא אם המידע שנשלח משמש לאימון המודל.

ישראל והחלטת ההלימה

נציבות האיחוד האירופי הכירה בישראל כמדינה שרמת ההגנה בה נאותה בהחלטה מיום 31 בינואר 2011. ביום 15 בינואר 2024 פרסמה הנציבות דוח שבחן אחת עשרה החלטות הלימה שניתנו לפני התקנה, ובהן זו של ישראל, וקבעה שמידע אישי שמועבר לישראל ממשיך לקבל רמת הגנה נאותה, לרבות בכל הנוגע לסייגים ולערובות בעניין גישה של רשויות המדינה למידע. הנציבות ציינה שתמשיך לעקוב אחר ההחלטות ואחר ההתפתחויות בדינים הלאומיים. משמעות ההכרה מעשית: העברה מן האיחוד לישראל אינה דורשת מנגנון העברה נוסף. העברה נוספת מישראל לספק במדינה שלישית נבחנת בפני עצמה.

תיקון 13 לחוק הגנת הפרטיות

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ביום 14 באוגוסט 2025. הוא התאים הגדרות בחוק לשפה המקובלת באירופה, החליף את חובת הרישום של מאגרי מידע בחובת דיווח על מאגרים מסוימים, קבע חובת מינוי של ממונה על הגנת הפרטיות ושל ממונה אבטחת מידע בסוגי גופים שנמנו בו, והרחיב את סמכויות האכיפה של הרשות להגנת הפרטיות ואת העיצומים הכספיים. הרשות דחתה את אכיפת חובת מינוי ממונה אבטחת המידע עד 31 באוקטובר 2025, ופרסמה טפסים והנחיות ליישום.

מה שנבדק בפועל לפני שמפעילים כלי

להמשך

הרקע הכלכלי שמסביר מדוע חלק מן העיבוד עובר אל המכשיר מופיע במאמר על יעילות ההמרה ומירוץ הבינה המלאכותית.

מקורות

תקנה (EU) 2016/679, סעיפים 4(2), 28 ופרק חמישי · החלטת נציבות האיחוד האירופי מיום 31.1.2011 בעניין ישראל · דוח הנציבות מיום 15.1.2024 בדבר אחת עשרה החלטות הלימה · חוק הגנת הפרטיות, התשמ"א-1981, כנוסחו לאחר תיקון 13, שנכנס לתוקף ביום 14.8.2025 · פרסומי הרשות להגנת הפרטיות