עיצום של 825 מיליון יורו על החלטה אוטומטית — ו-400 מיליון דולר על מידע של ילדים

מאת עידן צברי · יועץ אבטחת מידע והגנת פרטיות · מומחה תיקון 13

מאת: עידן צברי, יועץ בכיר לאבטחת מידע והגנת פרטיות · עדכון שבועי · 24 באוגוסט 2026

1. 825 מיליון יורו על החלטה שהמחשב קיבל לבד

ב-21 באוגוסט 2026 דווח כי רשות הגנת המידע ההולנדית (Autoriteit Persoonsgegevens) הטילה על אובר עיצום כספי של 824.99 מיליון יורו — העיצום השני בגודלו שהוטל אי פעם מכוח ה-GDPR. הממצא אינו דליפת מידע ואינו פריצה: בין 2018 ל-2022 הפעילה אובר מערכת שהשביתה חשבונות של נהגים באופן אוטומטי, על בסיס חשד להונאה או דירוג לקוחות נמוך, בלי שאדם בחן את ההחלטה. הרשות קבעה כי מדובר בהפרה של סעיף 22 ל-GDPR, האוסר על החלטה אוטומטית לחלוטין בעלת השלכות משמעותיות על אדם, לצד הפרת חובות שקיפות. סגנית יו”ר הרשות, מוניק ורדייר, נימקה זאת במשפט אחד: מחשב לא אמור לקבל לבדו החלטות בעלות השלכות כאלה. גובה העיצום מהווה כ-1.85% ממחזור אובר העולמי לשנת 2025 (44.5 מיליארד יורו), כאשר התקרה הסטטוטורית עומדת על 4%. ההליך התחיל מתלונה של 171 נהגים צרפתיים, ואובר הודיעה כי היא מערערת — כפי שערערה על שני עיצומים הולנדיים קודמים, בסך 10 מיליון יורו (2023) ו-290 מיליון יורו (2024), שטרם הוכרעו.

2. טיקטוק תשלם 400 מיליון דולר על מידע של ילדים

באותו יום, 21 באוגוסט 2026, הודיע משרד המשפטים האמריקאי על הסדר בסך 400 מיליון דולר עם טיקטוק, ByteDance וחברות קשורות, לסיום ההליך בעניין הפרת COPPA — החוק הפדרלי להגנת פרטיותם המקוונת של ילדים. מבנה התשלום: 300 מיליון דולר מיידית, ו-100 מיליון דולר נוספים בכפוף לביטול צו הסכמה קודם. התביעה הוגשה ב-2024, ומשרד המשפטים ציין כי מאז נקטה טיקטוק צעדים נרחבים לחיזוק ההגנות על משתמשים צעירים, לשיפור בקרות הגיל ולהרחבת הפיקוח ההורי — וכי צעדים אלה השפיעו על ההחלטה להגיע להסדר במקום להמשיך בהתדיינות. בישראל, ההקשר אינו רחוק: הרשות להגנת הפרטיות הודיעה כי פיקוחי הרוחב שלה כוללים, בין היתר, אפליקציות בשימוש נפוץ, צהרונים ומכוני סקר גנטי — כלומר גופים שמעבדים מידע על קטינים נמצאים כבר עכשיו על המפה.

שורה תחתונה לשבוע הזה

שני העיצומים הגדולים של השבוע לא ניתנו על האקר שפרץ, אלא על החלטות עסקיות שהתקבלו בשגרה: אלגוריתם שחסם אנשים, וטופס שאסף מידע על ילדים. זו המגמה שכדאי לקרוא נכון — הרגולציה עוברת מהשאלה “האם נפרצתם” לשאלה “האם אתם יודעים להסביר מה המערכות שלכם עושות לאנשים”. ההבדל בין ארגון חשוף לארגון מוגן הוא לרוב לא טכנולוגיה, אלא מסמך אחד שמתעד מי מחליט, על סמך מה, ומי יכול לערער.

שאלות ותשובות

האם מותר לארגון בישראל לקבל החלטה אוטומטית לגבי לקוח או עובד?

חוק הגנת הפרטיות הישראלי אינו כולל נכון להיום איסור מפורש המקביל לסעיף 22 ל-GDPR על החלטה אוטומטית לחלוטין. עם זאת, ארגון ישראלי המספק שירות לתושבי האיחוד האירופי כפוף ל-GDPR ישירות, וגם בישראל חלות חובות שקיפות, יידוע ותיעוד. ההמלצה המעשית: לשמר בחינה אנושית ומסלול ערעור מתועד בכל החלטה אוטומטית בעלת השלכה משמעותית על אדם.

מהו העיצום הכספי המרבי לפי תיקון 13 לחוק הגנת הפרטיות?

תיקון 13 קובע סכומי עיצום המשתנים לפי סוג ההפרה וגודל העסק — לדוגמה עד 70,000 ש”ח לעסק זעיר ועד 140,000 ש”ח לעסק קטן לכל הפרה, ועד 300,000 ש”ח בגין הפרות רישום והודעה במאגר גדול. מעל הכול חלה תקרה של 5% מהמחזור השנתי לפי חוק מע”מ — שיעור גבוה מהתקרה של 4% ב-GDPR.

מה נדרש מארגון שמעבד מידע של קטינים?

ארבע בדיקות בסיס: הסכמה תקפה של הורה או אפוטרופוס ולא של הקטין בלבד; צמצום השדות הנאספים למינימום ההכרחי; מדיניות מחיקה או ארכוב לאחר סיום הקשר; ומיפוי כל הצדדים השלישיים שנחשפים למידע. הרשות להגנת הפרטיות כללה אפליקציות בשימוש נפוץ וצהרונים ברשימת פיקוחי הרוחב שלה.

האם עיצום בסדר גודל כזה אפשרי גם בישראל?

לא בסכומים המוחלטים של אובר, אך המנגנון קיים: התקרה בישראל עומדת על 5% מהמחזור השנתי, והעיצום שהוטל על אובר היווה כ-1.85% מהמחזור בלבד. כלומר, במונחי שיעור מהמחזור, סמכות העיצום של הרשות הישראלית רחבה מזו שהופעלה בהולנד.

רלוונטי להעמקה: ממונה הגנת פרטיות כשירות · שאלות ותשובות על תיקון 13 · בדיקת מוכנות לתיקון 13

מקורות: Autoriteit Persoonsgegevens — עיצום לאובר בגין החלטות אוטומטיות (21.8.2026, כפי שדווח ברויטרס) · U.S. Department of Justice — הסדר בסך 400 מיליון דולר עם TikTok ו-ByteDance (21.8.2026) · הרשות להגנת הפרטיות — הליכי פיקוח רוחב במגזרים חדשים (10.12.2025) · הקליניקה למשפט וטכנולוגיה, אוניברסיטת תל אביב — עיצומים ופיצויים לדוגמה לפי תיקון 13.