תיקון 13 לחוק הגנת הפרטיות: מה הוא אומר לעסק שמשתמש בבוטים וב-AI

מה זה תיקון 13 לחוק הגנת הפרטיות?

תיקון 13 הוא רפורמה מקיפה בחוק הגנת הפרטיות, כך מגדירה אותו הרשות להגנת הפרטיות. הוא נכנס לתוקף ב-14 באוגוסט 2025, ולפי הרשות להגנת הפרטיות הוא כולל עדכון של הגדרות מהותיות, צמצום של חובת רישום מאגרים, חובה למנות ממונה הגנת פרטיות בחלק מהגופים, עיצומים כספיים בסכומים משמעותיים ועבירות פליליות חדשות.

אני אופק בן דוד, מייסד שותף ב-OB AI. אנחנו בונים לעסקים בוטים בוואטסאפ, צ׳אט לאתר ואוטומציות שקוראות מסמכים וממלאות טפסים. כל אחד מהם נוגע במידע אישי, ולכן כמעט בכל שיחת היכרות מישהו שואל אותי ״זה בסדר מבחינת תיקון 13?״. המאמר הזה מסביר מה ידוע מהמקורות הרשמיים ומה זה אומר בפועל לעסק קטן.

חשוב לי להגיד מראש: אני לא עורך דין, וזה לא ייעוץ משפטי. אני כותב מנקודת המבט של מי שבונה את המערכות ונדרש לתכנן אותן כך שיעמדו בחוק. בכל שאלה ספציפית, במיוחד כשמדובר במידע רפואי או פיננסי בהיקף גדול, נכון לבדוק מול עורך דין שמתמחה בפרטיות.

• המדריך המקצועי של הרשות להגנת הפרטיות לתיקון 13 (בלשונית חדשה)

מה השתנה בפועל בתיקון 13?

השינוי המרכזי הוא באכיפה. מנגנון הקנסות המנהליים הישן בוטל, ובמקומו הרשות יכולה להטיל עיצומים כספיים על הפרות של החוק ושל תקנות אבטחת המידע. במקביל צומצמה חובת רישום המאגרים, נוספה חובה למנות ממונה הגנת פרטיות בחלק מהגופים, והוגדרו מחדש מושגים כמו מידע אישי ומידע בעל רגישות מיוחדת.

לפי עמוד השאלות והתשובות של הרשות, חובת הרישום נשארת בעיקר על מאגרים של גופים ציבוריים ועל מאגרים שמטרתם העיקרית היא מסירת מידע לאחרים כעיסוק, כמו שירותי דיוור ישיר, כשיש בהם מידע על 10,000 איש ומעלה. רוב העסקים הקטנים לא נמצאים באף אחת מהקבוצות האלה.

אבל הרשות מדגישה שעסק שפטור מרישום לא פטור משום חובה אחרת. תקנות הגנת הפרטיות (אבטחת מידע) מ-2017 ממשיכות לחול במלואן, וכך גם החובה ליידע אנשים כשאוספים מהם מידע. הפרה של החובות האלה יכולה היום להסתיים בעיצום כספי, ולא רק במכתב התראה.

האם תיקון 13 חל על בוט וואטסאפ או צ׳אט באתר?

כן. החוק לא מבחין בין טופס נייר, נציג טלפוני ובוט. אם בוט וואטסאפ או צ׳אט באתר אוסף שם, טלפון, תעודת זהות או פרטים על הבעיה של הלקוח, זה מידע אישי, והוא נשמר במאגר מידע. כל החובות של שמירה, אבטחה ויידוע חלות עליו, בדיוק כמו על אקסל במשרד.

בפועל, בוט עלול לאסוף יותר ממה שהתכוונתם. לקוח שכותב לבוט של קליניקה יכול לספר בפירוט על מצב רפואי, גם אם הבוט רק שאל מתי נוח לו להגיע. לכן בבוטים שאנחנו בונים אני מגדיר מראש מה הבוט שואל, מה הוא שומר, ומה הוא מעביר לבן אדם בלי לתעד בשדה מסודר.

גם הצ׳אט באתר של OB AI עובד כך: הוא עונה על שאלות, ואם מבקר רוצה שנחזור אליו, הוא אוסף רק שם, טלפון ומה העסק צריך, ושומר את הליד במקום אחד מוגדר. אין סיבה שבוט שמסנן לידים יבקש מספר תעודת זהות.

• בוט וואטסאפ לעסק
• WhatsApp Business API: המדריך לעסק בישראל

מה צריך לעשות כשבוט או אוטומציה אוספים מידע?

צריך לעבור על חמישה דברים: ליידע את הלקוח למה המידע נאסף ומה ייעשה בו, לבקש רק את המידע שבאמת נדרש, לשמור אותו במערכת מאובטחת, להגביל מי ניגש אליו, ולהחליט מראש כמה זמן הוא נשמר. זו בדיוק הרשימה שאני עובר עליה באפיון של כל מערכת שאנחנו בונים.

בבוט וואטסאפ, היידוע יכול להיות הודעה קצרה בתחילת השיחה, עם קישור למדיניות הפרטיות של העסק. בטופס באתר, משפט ליד כפתור השליחה. מה שחשוב הוא שהלקוח יבין מי מקבל את המידע, למה, והאם הוא חייב למסור אותו.

1. 1

   מיפוי

   רושמים כל מקום שבו הבוט או האוטומציה אוספים מידע, ואיזה מידע בדיוק.

2. 2

   מזעור

   מוחקים מהתסריט כל שאלה שלא באמת צריך. מידע שלא נאסף לא יכול לדלוף.

3. 3

   יידוע

   מוסיפים הודעה קצרה וברורה בתחילת השיחה או ליד הטופס, עם קישור למדיניות הפרטיות.

4. 4

   הרשאות

   מגדירים מי בצוות ואיזה כלי רואים כל סוג מידע. בוט שקובע תורים לא צריך לראות את כל התיק.

5. 5

   שמירה ומחיקה

   מחליטים כמה זמן נשמר כל סוג מידע, ומוחקים את מה שכבר לא צריך.

מותר להכניס מידע של לקוחות ל-ChatGPT או ל-Claude?

לחשבון פרטי, עדיף שלא. בתוכניות עסקיות ובשימוש דרך API, הספקים הגדולים מצהירים שהם לא מאמנים את המודלים על המידע שלכם כברירת מחדל, אבל התנאים משתנים, וצריך לקרוא אותם. גם אז מעבירים למודל רק את מה שהמשימה דורשת, ולא תיקים שלמים.

הרשות להגנת הפרטיות פרסמה הנחיה על תחולת חוק הגנת הפרטיות על מערכות בינה מלאכותית. בין השאר היא מבהירה שהחוק חל גם על מידע אישי שמערכת AI מסיקה או יוצרת, ולא רק על מה שהוזן לה. מי שמפעיל מערכת כזו על מידע של לקוחות צריך לקרוא את ההנחיה בעמוד הרשמי.

במערכות שאנחנו בונים, ה-AI ניגש למידע דרך חיבור מוגדר, עם הרשאות לפי משימה. פעולות רגישות, כמו שליחת מסמך ללקוח או עדכון תיק, מחכות לאישור של בעל העסק. זה גם עיקרון של בטיחות וגם הדרך הפשוטה ביותר להראות שהמידע לא מסתובב בלי שליטה.

• הנחיית הרשות על חוק הגנת הפרטיות ומערכות AI (בלשונית חדשה)
• AI לעסק קטן: 12 דרכים מעשיות

צריך למנות ממונה הגנת פרטיות (DPO)?

רוב העסקים הקטנים לא חייבים. לפי הרשות, החובה חלה על גופים ציבוריים, על סוחרי מידע עם מאגר של יותר מ-10,000 איש, על מי שעיסוקו העיקרי ניטור שיטתי של אנשים בהיקף ניכר, ועל מי שעיסוקו העיקרי עיבוד מידע רגיש בהיקף ניכר, כמו בנקים, חברות ביטוח ובתי חולים.

סוכנות ביטוח קטנה או קליניקה פרטית צריכות לבדוק את עצמן מול ההגדרות האלה, כי ״היקף ניכר״ ו״עיסוק עיקרי״ הם מונחים שהרשות מפרטת בהנחיות שלה. אם יש ספק, זו בדיוק שאלה לעורך דין. גם כשאין חובה, טוב שיהיה בעסק אדם אחד שאחראי על הנושא ויודע איפה כל מידע נמצא.

• שאלות ותשובות של הרשות על תיקון 13 (בלשונית חדשה)

מה לבדוק אצל ספק הבוט או האוטומציה?

בקשו מהספק תשובה כתובה על ארבעה דברים: איפה המידע נשמר ובאיזה שירות ענן, מי אצלו יכול לגשת אליו, אילו ספקי AI מקבלים חלק מהמידע ובאילו תנאים, ומה קורה למידע כשמפסיקים לעבוד יחד. ספק שלא יודע לענות על זה בפשטות, לא תכנן את המערכת עם פרטיות בראש.

מבחינת החוק, הספק הוא בדרך כלל ״מחזיק״ במאגר שלכם, ואתם נשארים ״בעל השליטה״. לפי מדריך הרשות, עיצום שהוטל על מחזיק יכול להגיע גם לבעל השליטה אם לא פעל להפסקת ההפרה. כלומר, האחריות לא עוברת לספק רק כי הוא בנה את המערכת. כדאי שההסכם איתו יגדיר את זה.

כתבתי רשימה מלאה של שאלות לספק במאמר על בחירת ספק בוטים ואוטומציות. אם אתם משרד עורכי דין, יש שיקולים נוספים של סודיות וחיסיון, ועליהם כתבתי במאמר על AI לעורכי דין.

• איך בוחרים ספק בוטים ואוטומציות
• AI לעורכי דין: מה מותר ואיך מתחילים
• אוטומציה למשרד עורכי דין

איך אנחנו בונים מערכות עם פרטיות מובנית ב-OB AI?

אנחנו מתחילים משיחת היכרות קצרה ומהקלטה שבה בעל העסק מתאר את התהליך. מזה נכתב אפיון, ובו סעיף קבוע: איזה מידע נאסף, איפה הוא נשמר, מי ניגש אליו ומה דורש אישור אנושי. רק אחרי שהסעיף הזה סגור אנחנו בונים, עם Claude Code ו-Codex, בדרך כלל תוך כחודש.

את אותה גישה אנחנו מפעילים על OB AI עצמה. החברה מתנהלת עם צוות של סוכני AI שמטפלים בלידים, במעקב אחרי מיילים, בהכנה לשיחות ובפענוח הקלטות, וכל אחד מהם מקבל גישה רק למה שהמשימה שלו דורשת. הלידים מהצ׳אט באתר נכנסים למקום אחד מסודר, ולא מתפזרים בין טלפונים.

אם אתם רוצים לבדוק מה זה אומר אצלכם, אפשר לקבוע שיחת היכרות של 15 דקות בחינם, או לכתוב לנו בוואטסאפ. אם הנושא הוא בעיקר תקציב, כתבתי גם על מה משפיע על המחיר של פרויקט אוטומציה.

• אוטומציות AI לעסקים
• סוכן AI לעסק
• כמה עולה אוטומציה לעסק