הכלי שרוב הארגונים לא מפעילים לפני שהם צריכים להתחרט
מצגת הדירקטוריון מוכנה. הפיצ'ר החדש יוצא לפרודקשן בחודש הבא. IT אישרה, משפטי עיינו בתנאי הספק, ו... מישהו שאל מה ההשפעה על הפרטיות של המשתמשים?
בדרך כלל לא.
הרשות להגנת הפרטיות (PPA) ותיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף ב-14 באוגוסט 2025, שינו את המשוואה הזאת. חשוב לדייק: בישראל אין חובת DPIA פורמלית בחוק. תסקיר ההשפעה על הפרטיות, ה-DPIA (Data Protection Impact Assessment), הוא פרקטיקה מומלצת, למשל במאגרים רגישים בהיקף ניכר, בניטור שיטתי וב-AI, וכדאי לבצעו לפני שמתחילים.
מהו DPIA ולמה ההגדרה חשובה
DPIA הוא תהליך שיטתי לזיהוי סיכוני פרטיות ולצמצומם. לא מסמך שמגישים. לא תיבת סימון ברשימת ציות. תהליך חשיבה שמוביל להחלטות עיצוב טובות יותר.
ההבדל בין ארגונים שמפעילים DPIA נכון לארגונים שרק ממלאים את הטופס נמדד בתוצאות. הראשונים מגלים בעיות לפני שמשקיעים 6 חודשי פיתוח. השניים מגלים אותן אחרי.
הרשות פרסמה באוקטובר 2025 כלי אבחון עצמי דיגיטלי לזיהוי סיכוני פרטיות (גרסת בטא). הכלי זמין וחינמי, והוא נקודת פתיחה טובה למיפוי פערים, לא תחליף לתסקיר מלא. היחס אליו לא צריך להיות של ”עוד כלי ציות” אלא של תשתית תכנונית.
חמישה מצבים שבהם DPIA מומלץ במיוחד
אלה חמישה מצבים שבהם DPIA הוא פרקטיקה מומלצת לפני תחילת הפעילות, לא רשימת ”טריגרים מחייבים” שקבעה הרשות.
הטריגר הראשון: פרופיילינג בהיקף נרחב. ניתוח אוטומטי של התנהגות, מיקום, העדפות, קשרים של קבוצה גדולה של אנשים. לא מדובר רק בחברות AdTech ענקיות. גם אפליקציה שמנתחת דפוסי שימוש ומתאימה תוכן על בסיסם עשויה להיכנס לטריגר הזה, בהתאם להיקף.
הטריגר השני: עיבוד מידע בעל רגישות מיוחדת בהיקף מהותי. מידע רפואי, ביומטרי, גנטי, פיננסי מפורט. לא כל עיבוד, אלא עיבוד בהיקף שמגיע לרמה מהותית של נושאי מידע. ספק פתרונות בריאות דיגיטלית, חברת ביטוח שמפתחת כלי חיתום חדש, בנק שמשנה תהליך אשראי, כולם בטריגר.
הטריגר השלישי: עיבוד שיטתי של מידע על עובדים. ניטור עובדים דרך מחשב, GPS, מצלמות, מערכות נוכחות ביומטריות. לא ניטור נקודתי, ניטור שיטתי. ארגון שמתקין מערכת לניתוח פרודוקטיביות עובדים בזמן אמת צריך תסקיר לפני שמפעיל.
הטריגר הרביעי: מאגר רחב-היקף הפונה לציבור. מידע על מאות אלפי אנשים ומעלה. לא עיבוד רגיש דווקא, אלא היקף שיוצר סיכון בעצמו. פלטפורמת סחר אלקטרוני גדולה, שירות ממשלתי שעובר דיגיטציה, ספק תקשורת.
הטריגר החמישי: טכנולוגיות חדשניות. AI גנרטיבי שפועל על מידע אישי, זיהוי פנים, IoT עם נתוני מיקום, עיבוד ביומטרי בזמן אמת. הנוסח ”טכנולוגיות חדשניות” מכוון. הוא לא מוגבל לרשימה סגורה. הכוונה היא לטכנולוגיות שהסיכונים שלהן לפרטיות עדיין לא ידועים במלואם.
חמישה שלבי DPIA: התהליך בפועל
ה-DPIA לא מתחיל בטופס. הוא מתחיל בשאלה.
שלב ראשון: תיאור העיבוד. מה בדיוק אנחנו עושים? מי מעורב? לשם מה? על אילו מאגרים? איפה נשמר המידע ולכמה זמן? ארגון שלא יכול לענות על השאלות האלה בצורה מדויקת כבר הגיע לממצא חשוב.
שלב שני: הערכת הצורך והמידתיות. האם מה שמתוכנן נחוץ? האם אפשר להשיג את אותה מטרה עם פחות מידע? עם מידע פחות רגיש? עם תקופת שמירה קצרה יותר? השלב הזה הוא לא שאלה פילוסופית. הוא תרגיל פרקטי שמוריד עלויות ציות.
שלב שלישי: זיהוי סיכונים. מה יכול להשתבש? מה ההשפעה אם ישתבש? מי עלול להיפגע? כיצד? כאן נכנס ניהול הסיכונים הקלאסי, אבל מוכוון פרטיות.
שלב רביעי: צמצום הסיכונים (mitigation). על כל סיכון שזוהה, מה האמצעים להפחתה? הצפנה, הגבלת גישה, התממה, קיצור תקופת שמירה, שינוי ארכיטקטורה טכנית. לא כל סיכון ניתן לביטול מלא, אבל כולם ניתנים להפחתה.
שלב חמישי: תיעוד ושמירה. ה-DPIA, מסקנותיו, ואמצעי הצמצום שאומצו, נשמרים. לא כטקס. כהוכחה שהתהליך בוצע ושהחלטות מודעות התקבלו.
מה שמבדיל DPIA אמיתי מ”טיק בסעיף”
כשה-GDPR נכנס לאכיפה באירופה ב-2018, חברות רבות הזמינו ייעוץ וביצעו DPIA בהיקף נרחב לפני הדדליין. חלקן עשו זאת נכון, ויצאו עם תהליכים עיצוביים טובים יותר. חלקן מילאו טפסים ושמרו אותם בתיקייה שאיש לא פתח שוב.
ישראל, 2025-2026. תיקון 13 פעיל. הרשות הוציאה כלי דיגיטלי. ארגונים נמצאים בדיוק באותה נקודת מפנה.
ה-DPIA שנעשה נכון לא מעכב פרויקטים. הוא מגלה בעיות מוקדם מספיק כדי לפתור אותן בזול. ה-DPIA שנעשה רק כדי לסמן V לא עושה שום דבר מלבד ליצור מסמכים שאיש לא יקרא עד שיצטרכו אותם בדיוק ברגע הלא נכון.
בחרו נכון.