הטור החודשי בנושא הגנת הפרטיות בארץ ובעולם 11-2023

הגנת הפרטיות בארץ

עדכוני פרטיות עקב מלחמת "חרבות הברזל" - תקנות שעת חירום – 

לאור התנהלות בחירום ותיקון תקנות בהתאם, הגיש משרד הביטחון תזכיר המאפשר לחיילי צה"ל ולעובדי שירות הביטחון הכללי לבצע חדירה למחשבים בבעלות פרטית לצורך הפעלת מצלמות אבטחה בעלות מידע חזותי וביצוע פעולות בחומר הנאסף, גם ללא ידיעת בעלי המצלמה. טעמי התזכיר הינו החשש מפני גישה למידע העלול לסכן את ביטחון המדינה והרציפות התפקודית של הלחימה. התזכיר מפרט כי בעלי הגישה למידע יהיו חיילי צה"ל ועובדי השירות בלבד, בעלי מיומנות נדרשת שיוסמכו לנושא והינו תקף לחצי שנה מיום פרסומו. בנוסף לאמור לעיל, לאור הצורך המיידי לתת תמונת מצב ברורה ככל הניתן בנוגע לזיהוי הנרצחים, הפצועים, השבויים והנעדרים, והיעדר מידע מלא המצוי במאגרים הממשלתיים, תוקן חוק "העברת מידע לצורך זיהוי או אימות זהות של אדם לרבות גופה, ואיתור נעדר או שבוי, הנדרשים בשל פעולות האיבה או פעולות המלחמה". תמצית החוק הינה מתן אפשרות לרשות האוכלוסין וההגירה להעביר לצה"ל ולרשויות הביטחון אמצעים ונתונים ביומטריים מהמאגר הביומטרי במשרד הפנים ומידע רפואי, גנטי וביולוגי ממאגרי משרד הבריאות.

הגנת פרטיות תלמידים ותלמידות במתכונת למידה מקוונת מרחוק –

המצב הביטחוני הרגיש והלחימה המתמשכת הביאו גופים רבים למעבר למודל עבודה מקוונת המתבסס על פלטפורמות שונות המאפשרות התחברות מרחוק. גם משרד החינוך עבר למודל למידה מקוונת מלא או חלקי, דבר אשר עלול להוות השלכה משמעותית על פרטיות המידע של המשתמשים, בהם אנשי חינוך, תלמידים ותלמידות רבים, לאור חשש מחשיפת מידע אישי ורגיש אודותם והגעתו לגורמים שעלולים לעשות בו שימוש לרעה. יישומים דיגיטליים ללמידה מקוונת מרחוק עשויים לאסוף או לחשוף מידע על המשתמשים בעת שימוש ישיר - לאור השימוש במצלמות והמיקרופון ואיסוף נתונים הנוגעים לזהות, קול, מראה ועוד, וכן מידע עקיף שאינו נובע ישירות מהתהליך הלימודי כגון כתובות מגורים, הרגלי גלישה וצריכה והעברתם לגורמים שלישיים וחברות מסחריות, שאיסוף מידע מהווה רכיב מרכזי בפעילותן. החששות העולים ממודל למידה זה נובעים ממס' נקודות מרכזיות הנוגעות לשימוש הספציפי של האוכלוסייה הצעירה, היות וילדים נחשבים מטרה נוחה לאיסוף מידע לצרכים מסחריים, משום שילדים פחות מודעים לניסיונות "דיוג" מידע אישי ברשת, וכן כי ילדים נוהגים לחשוף ברשת מידע הנוגע אליהם או לבני משפחתם, מבלי להבין את ההשלכות הנובעות מחשיפתו, ובאופן העשוי לפגוע בהם ובעתידם. לאור האמור לעיל זאת פרסמה הרשות להגנת הפרטיות מסמך המרכז את דגשים והמלצות הן להורים ולתלמידים והן למוסדות החינוך.

פרטיות במוצרי IoT ביתיים ובבתים חכמים

הרשות להגנת הפרטיות פרסמה ראשון מסוגו בנושא פרטיות במוצרי IoT (Internet of Things) ביתיים ובבתים חכמים לאור עליית השימוש במוצרים אלה במרחב הביתי. הכוונה לשימוש במכשירים חשמליים המצוידים בחיישנים הקולטים ואוספים מידע מהסביבה בה הם נמצאים תוך שהם מקושרים לרשת אינטרנט ו/או למוצרי IoT אחרים, למשל באמצעות Bluetooth או Wi-Fi באופן המאפשר העברת ועיבוד מידע בהיקף רב ובאיכות גבוהה (כגון, מערכות לשליטה מרחוק על מוצרי חשמל שואב אבק רובוטי, מקרר חכם, דלתות חכמות, עוזרים דיגיטליים וכיו"ב). המסמך מציג דגשים והמלצות הן לחברות המספקות שירותי ומוצרי "בית חכם" חכמים, והן למשתמשים בשירותים ומוצרים אלו, בין היתר: הגבלת תנועת המוצרים הניידים למרחבים רגישים בבית; שינוי סיסמאות ברירת מחדל של המכשירים וכן של רשת ה-Wi-Fi הביתית לסיסמאות חזקות ומורכבות ושינוי הסיסמה באופן תקופתי; הימנעות מלקשר מערכות אלו לחשבונות ברשתות חברתיות; ביצוע עדכוני תוכנה למוצרים בהתאם להוראות היצרן, וכיו"ב. הרשות גם מזכירה למשתמשים כי עומדת להם הזכות לעיין במידע אודותם שנשמר במאגרי המידע של החברות המספקות את שירותי הבית החכם. אם נתקלתם במידע שאינו נכון, מדויק או שלם, זכותכם לפנות בבקשה למחיקתו ממאגרי החברה.

הגנת הפרטיות בעולם

הרגולטור הפיננסי של ניו יורק פרסם תקני אבטחת סייבר מעודכנים

ב- 1 בנובמבר 2023 הרגולטור הפיננסי של מדינת ניו יורק פרסם עדכון לתקני הגנת הסייבר עבור מוסדות פיננסיים במדינה. השינויים כוללים דרישה לאימות רב-שלבי, הרחבת תפקידי ממשל תאגידי בסייבר וביצוע בדיקות תקופתיות לאיומים. חברות גדולות יידרשו גם לביצוע סקרי סיכונים שנתיים, יישום מערכות זיהוי חדירות ודיווח על תשלומי כופר תוך 24 שעות. השינויים באים בעקבות התגברות תקיפות הסייבר ונועדו לחזק את התעשייה הפיננסית. התקנות החדשות ייכנסו לתוקף תוך 180 ימים מיום הפרסום.

הצו הנשיאותי של ביידן לפיקוח על בינה מלאכותית

ב-30 באוקטובר 2023 הוציא ממשל ביידן צו נשיאותי גורף בנושא פיתוח ושימוש בטוחים, מאובטחים ואמינים בבינה מלאכותית. הצו מבקש לשפר את תקני הבטיחות והפרטיות של מערכות AI ,לקדם שוויון, להגן על הצרכנים ולתמוך בעובדים בעידן הבינה המלאכותית. עיקרי התקן: יצירת תקני בטיחות ואבטחה חדשים בתחום (למשל תיוג של תכנים שנוצרו בעזרת AI). הגנה על פרטיות הצרכן ובריאותו תוך יצירת קווים מנחים שבאמצעותם גופים ומוסדות יכולים להעריך טכניקות שונות לשמירת פרטיות בנוגע לשימוש ב-AI. חברות שמנהלות שירותי ענן חייבות לדווח לממשלה על כלל הלקוחות שלהן מחוץ למדינה. קידום זכויות אזרח וזכויות עובדים ע"י, בין היתר, הנחיה למעסיקים ורשויות המדינה להימנע מאלגוריתמים של בינה מלאכותית שמקדמים אפליה במקום העבודה, ויצירת שיטות מוסדרות לגבי שימוש בבינה מלאכותית במערכת המשפט. קידום חדשנות ותחרות בתחום באמצעות הרחבת מענקים למחקר ב- AI בתחומים שונים כמו שינויי אקלים, עדכון קריטריונים להגירה, כך שימשכו עובדים מיומנים עם מומחיות בתחום ה AI להישאר בארה”ב, וקידום תחרות בתחום הבינה המלאכותית על ידי מתן משאבים כספיים לעסקים קטנים בתחום הבינה המלאכותית. שיתוף פעולה בינלאומי - הצו הנשיאותי מנחה את מחלקות המסחר והמדינה לקבוע סטנדרטים טכניים גלובליים לפיתוח ושימוש בבינה מלאכותית, תוך כדי שיתוף פעולה, תיאום ושיתוף מידע עם בעלי ברית בינלאומיים מרכזיים, שותפים וארגוני פיתוח תקנים.

יוטה – חוק פרטיות חדש מתקרב

חוק פרטיות הצרכן של יוטה (UCPA) צפוי להיכנס לתוקף ב-31 בדצמבר 2023. יוטה תצטרף לקליפורניה (CCPA) ווירג'יניה (VCDPA) עם חוקי פרטיות נתונים מקיפים, כשהיא משיקה את חוק פרטיות הצרכן החדש שלה. UCPA דומה לחוק הגנת נתוני הצרכן של וירג'יניה (VCDPA), אך נוקט גישה קלילה וידידותית יותר לעסקים לשמירה על פרטיות הצרכנים. החוק נועד לספק תקן מעשי לעסקים, תוך הגנה על הזכויות המובטחות של הצרכנים ביוטה. כדי לציית לחוק עסקים חייבים לנקוט במספר צעדים, כולל בדיקה ועדכון של הודעת הפרטיות שלהם, יישום תהליכים לתגובה לבקשות צרכנים ומתן מנגנון ביטול הסכמה לעיבוד נתונים רגישים. על פי החוק "נתונים אישיים" מוגדרים כמידע המקושר או ניתן לקישור סביר לאדם מזוהה או ניתן לזיהוי. זה כולל את כל הנתונים שניתן להשתמש בהם כדי לזהות אדם במישרין או בעקיפין, כגון שם, כתובת, כתובת דוא"ל, מספר טלפון או מזהים דומים אחרים. החוק אינו מגדיר נתונים שעברו אנונימיזציה, נתונים מצטברים או מידע הזמין לציבור כנתונים אישיים.

שבדיה – הרשות להגנת הפרטיות השיתה קנס של 3 מיליון דולר על חברת ביטוח. 

הרשות השיתה את הקנס לאחר שחברת הביטוח Trygg-Hansa חשפה בטעות מידע של לקוחות. הדיווח על הדליפה הגיע לרשות מלקוחה של חברת הביטוח שזיהתה כי בהצעת המחיר שהיא מקבלת מחברת הביטוח קיימים קישורים המאפשרים גישה למאגרי מידע של החברה ללא הזדהות. בנוסף, בשינוי של אחד הערכים בכתובת ה-URL ניתן להגיע למידע פרטי של לקוחות. המסמכים, שהיו נגישים לגורמים בלתי מורשים, הכילו בחלק מהמקרים מידע אישי רגיש, כולל מידע רפואי עם רמת פירוט גבוהה, כך שניתן היה לברר, למשל, כיצד התעוררה בעיה בריאותית או פרטים על מצב רפואי. בסך הכל, הכמות הגדולה של נתונים אישיים אפשרה ליצור תמונה ברורה של הנסיבות הפרטיות של אדם. 

קליפורניה – התובע הכללי קונס את גוגל ב- 93 מיליון דולר

ענקית הטכנולוגית Google הפרה את חוקי הגנת הצרכן כאשר אספה נתוני מיקום של משתמשים ללא הסכמה. חקירה של משרד המשפטים בקליפורניה מצאה כי Google הונתה משתמשים כאשר אספה, אחסנה והשתמשה בנתוני המיקום שלהם למטרות יצירת פרופיל צרכנים ופרסום. בנוסף לתשלום הקנס בסך 93 מיליון דולר למדינת קליפורניה, גוגל הסכימה להיות שקופה יותר עם המשתמשים לגבי מועד איסוף נתוני המיקום שלהם ולמה הם משמשים.

טור זה מהווה תקציר אירועים וחדשות שפורסמו ברשת, ואין לראות בו תחליף לייעוץ משפטי, רגולטורי או טכני. 

פריימסק אינה אחראית למהימנות המידע ושמורה לה הזכות לעדכן ולתקן את המידע בכל עת.