מאת עידן צברי · יועץ אבטחת מידע והגנת פרטיות · מומחה תיקון 13
מאת: עידן צברי, יועץ בכיר לאבטחת מידע והגנת פרטיות · עדכון שבועי · 13 בספטמבר 2026
1. גריינדר תפצה גולשים ישראלים ב-6.4 מיליון ₪ על שיתוף מידע רגיש
ב-10 בספטמבר 2026 אישר בית המשפט המחוזי בתל אביב הסדר פשרה בתובענה ייצוגית (ת״צ 47202-12-20, חזקי נ’ Grindr LLC). לפי ההסדר תפצה גריינדר את גולשיה בישראל בהטבות בשווי 6.4 מיליון ₪ לפחות. התובענה טענה שהאפליקציה העבירה מידע אישי ורגיש של משתמשים, לרבות נתונים על מצב בריאותי, לשותפות פרסום כצד שלישי לצורכי פרסום מבוסס התנהגות, בלי הסכמה תקפה ובלי גילוי מספק במדיניות הפרטיות. במקביל התחייבה גריינדר לתשלום של 26 מיליון ליש״ט בבריטניה (2 בספטמבר 2026), ובנורווגיה אושרר בערעור קנס של 65 מיליון קרונה שהוטל עליה על אותה התנהלות (אוקטובר 2025). המקור: law.co.il.
רוב החברות משתפות מידע לקוחות עם צדדים שלישיים בלי לשים לב לכך: פיקסלים של פרסום (מטא, גוגל), כלי אנליטיקה, רכיבי ad-tech ורכיבי SDK חיצוניים שמוטמעים באתר ובאפליקציה. מאז שתיקון 13 נכנס לתוקף זו כבר לא סוגיה תיאורטית. הרשות יכולה להטיל עיצום כספי של עד 5% מהמחזור השנתי, ובמקביל אתם חשופים לתובענה ייצוגית, בדיוק המסלול שבו נתפסה גריינדר. כדאי לבצע שלושה צעדים: למפות אילו צדדים שלישיים מקבלים מידע לקוחות ולאילו מטרות, לוודא שקיים בסיס חוקי והסכמה תקפה בהתאם לגילוי הדעת של הרשות בנושא ההסכמה, ולוודא שמדיניות הפרטיות מפרטת מי מקבל את המידע ומה נעשה בו. כשמדובר במידע רגיש כמו בריאות, נטייה מינית או מצב פיננסי, רמת הסיכון עולה משמעותית.
2. הרשות להגנת הפרטיות מפרטת שלושה סיכונים בשימוש בסוכני AI
ב-9 בספטמבר 2026 קיימה הרשות להגנת הפרטיות וובינר בנושא סיכוני הפרטיות בשימוש בסוכני בינה מלאכותית (AI agents), כלים שפועלים באופן עצמאי מול מערכות כמו דואר אלקטרוני, יומן, קבצים ומערכות ארגוניות. הוובינר היה בהמשך להמלצות שפרסמה הרשות ביולי 2026. הרשות מנתה שלושה סיכונים מרכזיים: ריכוז מידע אישי אצל הסוכן מעבר לנדרש למשימה, שימוש במידע מחוץ להקשר שלשמו נאסף, וביצוע פעולות עצמאיות ובלתי הפיכות כמו עריכה, עדכון או מחיקה על בסיס שיקול דעת שגוי. ההמלצות המעשיות: לצמצם את החשיפה, למשל תיקיית דואר ייעודית במקום גישה לכל תיבת הדואר, להגביל הרשאות למינימום ההכרחי ולהעדיף גישת צפייה בלבד, ולשמור על פיקוח אנושי כך שהסוכן ימליץ על הפעולה ואדם יאשר אותה בפועל. המקור: הרשות להגנת הפרטיות ו-law.co.il.
עובדים בארגון שלכם כבר מחברים סוכני AI לדואר, ל-CRM ולכונני הקבצים, לרוב עם הרשאות רחבות מדי ובלי שההנהלה יודעת. הרשות מסמנת שזו סוגיית הגנת פרטיות לכל דבר, והאחריות מוטלת על הארגון כבעל השליטה במידע. השאלה שכדאי למנכ״ל לשאול: האם קיימת מדיניות שמגדירה אילו כלי AI מותר לחבר למערכות הארגון ובאילו הרשאות? כדאי ליישם עיקרון של הרשאות מינימום, להימנע מגישה מלאה לתיבת הדואר או ל-CRM, ולדרוש אישור אנושי לכל פעולה בלתי הפיכה. סגירת הפער הזה כמעט לא עולה כסף היום, אבל התעלמות ממנו עלולה להסתבר כיקרה.
שורה תחתונה לשבוע הזה
לשני הנושאים יש מכנה משותף אחד: אובדן שליטה על מי נוגע במידע שלכם. זו יכולה להיות שותפת פרסום שמקבלת נתוני לקוחות, וזה יכול להיות סוכן AI שקיבל גישה לתיבת הדואר. בשני המקרים הרשות ובית המשפט שואלים אותו דבר: האם ידעתם, האם קיבלתם הסכמה, והאם גיליתם זאת ללקוח. השבוע מזכיר שהמחיר של תשובה שלילית כבר לא תיאורטי.
שאלות ותשובות
האם תיקון 13 חל על שיתוף מידע לקוחות עם ספקי פרסום ואנליטיקה?
כן. העברת מידע אישי של לקוחות לצד שלישי, כולל פיקסלים, כלי אנליטיקה ורכיבי פרסום, מחייבת בסיס חוקי והסכמה תקפה, וכן גילוי במדיניות הפרטיות מי מקבל את המידע ולאיזו מטרה.
מה העונש על שיתוף מידע ללא הסכמה לפי תיקון 13?
הרשות להגנת הפרטיות רשאית להטיל עיצום כספי של עד 5% מהמחזור השנתי של הארגון, ובמקביל קיימת חשיפה לתובענות ייצוגיות מצד הלקוחות, כפי שקרה במקרה גריינדר.
האם מותר לעובדים לחבר סוכני AI למייל ולמערכות הארגון?
הרשות להגנת הפרטיות ממליצה להגביל את הרשאות הסוכן למינימום ההכרחי למשימה, להעדיף גישת צפייה בלבד ללא הרשאות עריכה או מחיקה, ולדרוש אישור אנושי לפני כל פעולה בלתי הפיכה.
מאיפה מתחילים?
משלושה צעדים: מיפוי הצדדים השלישיים שמקבלים מידע לקוחות, בדיקה שקיימת הסכמה תקפה לכל העברה, וקביעת מדיניות ברורה לשימוש בכלי AI בתוך הארגון.
רלוונטי להעמקה: שאלות ותשובות על תיקון 13 · ממונה הגנת פרטיות כשירות · סקר סיכונים · רישום מאגר מידע והודעה לרשות · דיווח על אירוע אבטחה חמור
יודעים מי מקבל את מידע הלקוחות שלכם?
בדיקת מיפוי צדדים שלישיים והסכמות תוך שבוע, לפני שהרשות או תובע ייצוגי שואלים.
מקורות: law.co.il, פשרת גריינדר בישראל ובבריטניה (10.9.2026) · הרשות להגנת הפרטיות ו-law.co.il, המלצות לשימוש בסוכני AI (9.9.2026)
עידן צברי — יועץ אבטחת מידע והגנת פרטיות
מייסד SEC-IT, עם מעל 15 שנות ניסיון. משלב רקע משפטי (תואר במשפטים) עם ניסיון IT מבצעי ומומחיות סייבר (CISM, CISO), ומתמחה ביישום תיקון 13 והגנת פרטיות לעסקים קטנים ובינוניים. עוד על עידן ←
