חבילת הפרטיות לממונה על הגנת הפרטיות

מי אחראי על מה

כמעט כל שאלה שממונה על הגנת הפרטיות שואל על עוזר מבוסס בינה מלאכותית נפתרת באותו אופן, ברגע שהבחנה אחת ברורה. חוק הגנת הפרטיות מבחין בין בעל המאגר — הגוף שהמידע נאסף עבורו ולמטרותיו — לבין המחזיק, שהמאגר מצוי ברשותו והוא רשאי לעשות בו שימוש.

זו אינה הסתייגות אלא העובדה המשפטית שממנה הכול נגזר. משמעותה שהחובות שהחוק מטיל על בעל מאגר — רישום המאגר, חובת היידוע, פרסום מדיניות הפרטיות, מענה לבקשות עיון ותיקון, דיווח על אירוע לרשות — אינן עוברות אלינו רק משום שהתוכנה במיקור חוץ. משמעותה גם שרשימה קצרה של חובות חלה עלינו במישרין, כמחזיקים, ואי אפשר להעביר אותה אליכם בחוזה:

• אבטחת המידע בפועל. תקנות אבטחת המידע חלות על מחזיק במישרין.
• ההתחייבות להעברת מידע לחו״ל. בלעדיה ההעברה אינה חוקית כלל, ולכן זהו תנאי לכך שהשירות יוכל לפעול.
• הודעה לכם על אירוע אבטחת מידע מהר מספיק כדי שתוכלו למסור את הדיווח מטעמכם.
• שימוש במידע רק לפי הוראותיכם — ובכלל זה איסור אימון מודלים עליו.

ארבע אלה מעוגנות בנספח הפרטיות הישראלי שלנו. כל יתר הדברים שאנחנו עושים הם יכולת שאנחנו מעמידים ומגדירים לפי נוסח והגדרות שאתם מאשרים.

אין באמור ייעוץ משפטי. הדף הזה מתאר כיצד השירות בנוי ומה נעמיד לרשותכם. הוא אינו קובע מה הארגון שלכם חייב לעשות — זו הכרעה של הממונה ושל היועץ המשפטי שלכם, על בסיס הנסיבות שלכם.

מה אנחנו מעמידים לרשותכם

בקשו מאיש הקשר שלכם את חבילת הפרטיות ונשלח את כל אלה. ללא תשלום, ובלי צורך להיות לקוח ארגוני.

• תיאור זרימת מידע — מה העוזר אוסף בשיחה, היכן זה נשמר, לאילו ספקי משנה זה מגיע ובאיזו מדינה. זהו המסמך שעליו נשענים סקר הסיכונים ורישום המאגר שלכם.
• רשימת ספקי משנה — כל צד שלישי שנוגע במידע, מטרתו ומיקומו, מתוך נספח ב׳ לנספח עיבוד המידע שלנו. תזדקקו לה כדי לתאר את ההעברות בהודעת היידוע שלכם.
• תיאור אמצעי אבטחת המידע — נספח ג׳ ל-DPA, בתוספת הפירוט הדרוש לסיווג רמת האבטחה של המאגר.
• נספח עיבוד מידע (DPA) — חלוקת התפקידים, הודעה על אירוע אבטחה, גלגול חובות לספקי משנה, זכות ביקורת, ומחיקה בתום ההתקשרות.
• נספח פרטיות ישראלי — שכבת הדין הישראלי מעל ל-DPA: ההתחייבות לפי תקנה 2(4) להעברה לחו״ל, ההתחייבות לאי-אימון מודלים, הודעה על אירוע בתוך 24 שעות, וחלוקת התפקידים במונחי החוק.
• טיוטת נוסח הודעת גילוי — הצעת נוסח להודעה הראשונה בעברית, לבחינתכם, לתיקונכם ולאישורכם. טיוטה, ולעולם לא נוסח סופי מטעמנו.
• תיעוד ההגדרות — תקופת השמירה, היקף המענה וסוגי השדות החסומים שבחרתם, בכתב, כדי שהתיק שלכם יראה מה הוחלט ועל ידי מי.

למה התיעוד חשוב. החבילה היא גם מה ששומר על עמדתו של כל צד. היא מתעדת שאנחנו העמדנו את המידע ושהחלטות היו שלכם — וזו בדיוק חלוקת האחריות שהחוק מניח.

מה רק אתם יכולים לעשות

אף אחד מהדברים האלה אינו ניתן להעברה לספק, ולא נציע לעשות אותם עבורכם. שניים מהם הם גם אלה שלרוב מתברר שטרם נעשו, כשמישהו סוף סוף שואל.

• להכריע אם הארגון שלכם הוא גוף ציבורי לעניין החוק. מכאן נגזרות חובת הרישום, חובת מינוי הממונה וסיווג רמת האבטחה — ולכן זה ראשון.
• למנות ממונה על הגנת הפרטיות, אם חלה חובה ואין כזה. העוזר אינו יוצר את החובה — הוא חושף אותה.
• לרשום את המאגר אצל הרשם, ככל שהרישום חל עליכם.
• לפרסם ולעדכן את מדיניות הפרטיות. היא שלכם, באתר שלכם, ואתם בעל השליטה הנקוב בה. מדיניות שאינה מזכירה את ערוץ ההודעות ואת השימוש בבינה מלאכותית אינה מכסה את זה.
• לאשר את נוסח הודעת הגילוי. אנחנו מנסחים טיוטה; הנוסח ונכונותו הם שלכם.
• להגדיר על מה העוזר מוסמך להשיב בשמכם ומה חייב לעבור לאדם. אם אתם רשות ציבורית, זהו הפעלת סמכויותיכם ואיננו יכולים לתחום זאת עבורכם.
• לאייש את המסלול לנציג אנושי. אנחנו בונים את הצינור; מישהו מטעמכם צריך לעמוד בקצה שלו.
• לענות לבקשות עיון, תיקון ומחיקה מפונים. אנחנו נותנים את הנתונים ואת יכולת המחיקה; המענה הוא שלכם.
• לדווח על אירוע לרשות. אנחנו מודיעים לכם; אתם מדווחים.
• לקבוע את תקופת השמירה ולומר לנו מהי.
• נגישות השירות שאתם מציעים לציבור.

אם הארגון שלכם ממלא תפקידים ציבוריים, יש עוד אחד שיושב מחוץ לדיני הפרטיות לגמרי: נוהל כתוב לשימוש בבינה מלאכותית, בקרה אנושית על התוצר, והכשרת עובדים. שאלו את היועץ המשפטי שלכם על כך מוקדם — זה הסעיף שהכי נוטים לפספס, כי הוא לא נראה כמו שאלת פרטיות.

הודעת הגילוי הפותחת

ההודעה הראשונה בכל שיחה חדשה היא המקום שבו חובת היידוע מתקיימת. היא חייבת להיות טקסט קבוע — לא משהו שהמודל מנסח — ולכן היא הגדרה במערכת ולא הנחיה בפרומפט.

הודעת גילוי שעושה את העבודה כוללת את כל אלה:

• שהתשובות מגיעות ממערכת אוטומטית מבוססת בינה מלאכותית, ולא מאדם.
• לשם מה נאסף המידע, באופן קונקרטי.
• האם המסירה היא מרצון, ומה קורה אם הפונה בוחר שלא למסור.
• מי עוד מקבל את המידע — לרבות ספק טכנולוגי, והאם הוא מועבר לחו״ל.
• כיצד לממש את זכות העיון והתיקון.
• כיצד להגיע לנציג אנושי במקום.

אם אתם רשות ציבורית, הוסיפו עוד אחד: שתשובות העוזר הן מידע כללי ואינן מחייבות את הארגון. השורה הזו מגינה עליכם, לא עלינו.

שני דברים שכדאי להימנע מהם. אל תיתנו לעוזר שם פרטי אנושי, ואל תוסיפו עיכובי הקלדה מלאכותיים. שניהם מחלישים את הגילוי, ושניהם אסורים לפי מדיניות ההודעות העסקיות של וואטסאפ — במנותק מכל דין פרטיות.

קישור למדיניות המלאה הוא שכבה שנייה טובה, אבל העיקר חייב להיות קריא בהודעה עצמה. רוב האנשים קוראים אותה בטלפון ולעולם לא לוחצים על הקישור.

לפני עלייה לאוויר

הסדר חשוב יותר מהאורך. ארבעת הראשונים הם הכרעות ולא עבודה, והם חוסמים את כל היתר — אבל הם רצים במקביל להקמה, ולכן להתחיל אותם מוקדם לא עולה לכם דבר.

• היועץ המשפטי מכריע אם אתם גוף ציבורי לעניין החוק.
• ממונה על הגנת הפרטיות מונה, או שאושר שכבר קיים.
• המאגר נרשם, ככל שהרישום חל עליכם.
• הגדרתם על מה העוזר מוסמך להשיב ומה חייב להגיע לאדם.

• ה-DPA ונספח הפרטיות הישראלי נחתמו.
• מדיניות הפרטיות עודכנה כך שתכסה את הערוץ ואת השימוש בבינה מלאכותית.
• הממונה קיבל את חבילת הפרטיות וסיווג את רמת האבטחה.
• נוסח הודעת הגילוי אושר על ידי הממונה והיועץ המשפטי.

• הנוסח המאושר מוגדר להישלח בכל שיחה חדשה.
• המסלול לנציג אנושי פעיל ומאויש בשעות מוגדרות.
• תקופת השמירה נקבעה והוחלה.
• סוגי שדות רגישים שאינכם רוצים לאסוף — חסומים.
• קיימים נוהל כתוב לשימוש בבינה מלאכותית והכשרת עובדים, אם אתם ממלאים תפקידים ציבוריים.

ושוב, במפורש. זהו תיאור של אופן פעולת השירות ושל מה שנעמיד לרשותכם. אין בו ייעוץ בנוגע לחובות החלות עליכם, ואין בו תחליף לבדיקה משפטית מטעמכם.