העברת מידע חוצת גבולות: חוק הגנת הפרטיות ו-GDPR, זה לצד זה

שני משטרים משפטיים נפרדים יכולים לחול על אותה העברת מידע בדיוק. אם אתם חברה ישראלית ששולחת מידע אישי אל מחוץ לישראל, הוראות ההעברה של חוק הגנת הפרטיות חלות. אם חלק מהמידע הזה שייך לאנשים באיחוד האירופי, הוראות ההעברה של ה-GDPR חלות גם הן — בלי קשר למקום ההתאגדות של החברה שלכם. רוב ספקי הבינה המלאכותית חוצי הגבולות מפעילים את שני המשטרים בו-זמנית.

מתי כל משטר חל

הוראות ההעברה של חוק הגנת הפרטיות חלות בכל פעם שמאגר מידע הנשלט מישראל שולח מידע אישי אל מחוץ לישראל — הטריגר הוא היכן המאגר נשלט, לא הלאום של האנשים שבו. הוראות ה-GDPR חלות בכל פעם שהמידע שייך לאנשים הנמצאים באיחוד האירופי, בלי קשר לשאלה אם לחברה שלכם יש נוכחות באיחוד האירופי — הטריגר הוא של מי המידע, לא היכן אתם ממוקמים. חברה עם בסיס לקוחות ישראלי בלבד אך עם ספק בינה מלאכותית שמתארח בארה״ב נמצאת בבירור בתחום חוק הגנת הפרטיות. חברה עם לקוחות באיחוד האירופי נמצאת בשני המשטרים בו-זמנית, גם אם מעולם לא פתחה משרד באירופה.

מה כל משטר דורש בפועל

ברירת המחדל לפי תקנות ההעברה של חוק הגנת הפרטיות היא שמידע לא יעזוב את ישראל אלא אם דין מדינת היעד מבטיח רמת הגנה שאינה פחותה מזו הקבועה בדין הישראלי. מעבר לכך, העברה מותרת רק לפי אחד משמונה בסיסים חלופיים ספציפיים שקובעות התקנות: הסכמת האדם שעליו המידע; העברה הכרחית להגנה על בריאותו או שלמות גופו; העברה לתאגיד תחת שליטת בעל מאגר המידע שהתחייב להגן על הפרטיות; העברה למי שהתחייב בהסכם לקיים את תנאי אחזקת המידע הנהוגים בישראל; מידע שכבר פורסם כדין לרבים; העברה הכרחית להגנת שלום הציבור; העברה המתחייבת לפי דין ישראלי; או העברה למדינה שהיא צד לאמנה האירופית להגנת הפרט, מקבלת מידע לפי תנאים שווי-ערך לתנאי האיחוד האירופי, או הוכרה על ידי הרשם כמבטיחה הגנה נאותה. ה-GDPR פועל על מבנה דומה אך במנגנון שונה: הוא אוסר כברירת מחדל העברות למדינות שלישיות אלא אם חלה החלטת נאותות על היעד, או שההעברה מגובה באמצעי הגנה מתאים — לרוב תניות חוזיות סטנדרטיות (SCCs).

היכן הם נבדלים

לישראל יש החלטת נאותות מטעם האיחוד האירופי — שניתנה במקור ב-2011 לפי הדירקטיבה משנת 1995, ולפי דיווחים אושררה מחדש ב-2024 תחת ה-GDPR, תוך ציון חיזוק העצמאות של הרשות להגנת הפרטיות, תיקון 14 משנת 2022, תקנות אבטחת המידע משנת 2017, ותקנות ספציפיות להעברת מידע מהאיחוד האירופי שאומצו ב-2023. זה מה שהופך זרימות מידע בין ישראל לאיחוד האירופי לפשוטות יחסית בכיוון אחד. זה לא הופך את ההעברות היוצאות של חברה ישראלית למדינה שלישית (ספק בינה מלאכותית שמתארח בארה״ב, לדוגמה) לתואמות באופן אוטומטי לפי חוק הגנת הפרטיות — זו שאלה נפרדת, שנפתרת מול שמונת הבסיסים שלעיל, לא מול מעמד הנאותות של ישראל עצמה. שני המשטרים נבדלים גם בציפיות התיעוד ובמה שנחשב מנגנון העברה מקובל במקרי קצה, וזה בדיוק המקום שבו העברה שנראית תקינה תחת משטר אחד עדיין יכולה להיות חשופה תחת המשטר השני.

המקרה המצטבר: ספקי בינה מלאכותית

זה בדיוק התרחיש שתוכנית עסקית מכנה “סמן הפלח” — חברה עם בסיס לקוחות חוצה גבולות, המשתמשת בספקי בינה מלאכותית שעשויים לעבד מידע מחוץ לישראל ומחוץ לאיחוד האירופי. השילוב הזה יוצר חשיפה מצטברת: שאלה לפי חוק הגנת הפרטיות לגבי ההעברה מישראל, ושאלה נפרדת לפי ה-GDPR לגבי העברת המידע של כל לקוח מהאיחוד האירופי, שתיהן נשענות על אותו חשבון ספק.

מה לבדוק

לגבי כל ספק שנוגע במידע אישי מחוץ לישראל: היכן המידע מעובד בפועל (לא רק היכן מטה הספק ממוקם), איזה מנגנון העברה מכסה את הזרימה הספציפית הזו, והאם המנגנון הזה מתועד במקום שתוכלו להציג על פי דרישה. “הספק אומר שהוא תואם GDPR” אינה, כשלעצמה, תשובה לאף אחת משלוש השאלות האלה.