قوانين السايبر وأمن المعلومات في إسرائيل 2026: ما يجب أن تعرفه كل شركة ناشئة

صفحة الخدمة: محامٍ للتجارة الرقمية والذكاء الاصطناعي: شروط الموقع، والخصوصية، والتسويق المباشر.

هل تخضع شركتكم الناشئة لمتطلبات السايبر؟

قوانين حماية الخصوصية وأمن المعلومات في إسرائيل تسري على كل شركة تعالج معلومات شخصية، بغضّ النظر عن حجمها أو مرحلة تطوّرها. ولم تعد عبارة «لم نكن نعلم» عذرًا مقبولًا.

سبب التشديد التنظيمي بسيط: المخالفات مستمرة في الازدياد، والأضرار بخصوصية المواطنين تتفاقم، والقوانين الجديدة تأتي لحماية أصحاب المعلومات من السلوك غير المسؤول لجهات تجارية. وكل تسريب للمعلومات، ولو كان صغيرًا، قد يسبّب ضررًا كبيرًا ويجرّ مخالفات قانونية خطيرة.

ما القوانين التي تسري على شركات التكنولوجيا في إسرائيل؟

عملت الحكومة الإسرائيلية في السنوات الأخيرة على تشديد متطلبات السايبر في قوانين وأنظمة مختلفة. مديرية السايبر الوطنية ترسم السياسة الوطنية وتعليمات الحماية، والإطار المُلزِم الرئيسي هو:

• قانون حماية الخصوصية، 1981 — الإطار الأساسي لحماية المعلومات الشخصية، بما في ذلك حقوق الاطلاع والتصحيح وقانونية المعالجة.
• أنظمة حماية الخصوصية (أمن المعلومات)، 2017 — متطلبات مُلزِمة لأمن المعلومات لكل صاحب قاعدة بيانات، خاصًا كان أم عامًا، في تدرّج من أربعة مستويات أمن (أساسي، ومتوسط، ومرتفع، وقاعدة بيانات يديرها فرد) بحسب حجم المعلومات وحساسيتها.
• واجبات الإبلاغ عن الخرق (breach) — عن حادث الخرق الأمني الخطير تُبلَّغ سلطة حماية الخصوصية فورًا؛ أما إبلاغ أصحاب البيانات فمطلوب فقط إذا أمرت السلطة بذلك (المادة 11(د) من الأنظمة).
• متطلبات الوزارات الحكومية — للوزارات الحكومية متطلبات أمن مشدَّدة تؤثر في المزوِّدين وفي المقاولين الثانويين.

ما الذي يجب على شركة تكنولوجيا إسرائيلية فعله عمليًا وفق قوانين السايبر والخصوصية؟

1. فحوص المخاطر وتجهيزات الأمن

يوصى بأن تُجري كل شركة تعالج بيانات حساسة فحوص مخاطر دورية (Risk Assessment)، وأن تقيّم تهديدات السايبر التي تواجهها. ويشمل ذلك تحديد نقاط الضعف في البنية التحتية، وفي البرمجيات، وفي العمليات الإدارية. وفق المادة 5 من الأنظمة، يجب في قاعدة بيانات ذات مستوى أمن مرتفع إجراء مسح للمخاطر واختبارات اختراق مرة كل 18 شهرًا على الأقل، ومناقشة النتائج وإصلاح العيوب؛ وفي كل مستوى أمن يجب الاحتفاظ بوثيقة تعريفات قاعدة البيانات (المادة 2)، وفي كل مستوى باستثناء قاعدة البيانات التي يديرها فرد — بإجراء أمن موثَّق أيضًا (المادتان 4 و21).

2. الإبلاغ عن الخروقات (Breach Reporting)

عندما يقع خرق أو هجوم سايبر يعرّض بيانات شخصية للخطر، يجب على الشركة:

• إبلاغ سلطة حماية الخصوصية فورًا عن حادث الخرق الأمني الخطير، وإطلاعها على الخطوات التي اتُّخذت (المادة 11(د) من أنظمة أمن المعلومات). و«حادث الخرق الأمني الخطير» هو استخدام المعلومات دون إذن أو المسّ بسلامتها — في قاعدة بيانات ذات مستوى مرتفع كل حادث كهذا، وفي قاعدة بيانات ذات مستوى متوسط حادث يتعلق بجزء جوهري من قاعدة البيانات.
• إبلاغ أصحاب البيانات الذين قد يتضرّرون — إذا أمرت السلطة بذلك بعد التشاور مع مديرية السايبر الوطنية (المادة 11(د)(2)).
• توثيق جميع التفاصيل — من بادر إلى الخرق، وما البيانات التي انكشفت، وما الخطوات التي اتُّخذت في أسرع وقت.

3. تعيين مسؤول أمن المعلومات ومسؤول حماية الخصوصية

تُلزم المادة 17ب من قانون حماية الخصوصية بتعيين مسؤول أمن المعلومات في الهيئات العامة، وفي البنوك وشركات التأمين، ولدى من يتحكّم في خمس قواعد بيانات ملزمة بالتسجيل أو بالإبلاغ. وأضاف التعديل رقم 13 (المادة 17ب1) واجب تعيين مسؤول حماية الخصوصية، ومن ذلك على من يتضمّن عمله الرئيسي مراقبة منهجية للأشخاص على نطاق كبير، أو الاتجار بمعلومات شخصية عن أكثر من 10,000 شخص. وحتى الشركة الناشئة غير الملزمة بذلك — يُستحسن أن تعيّن مسؤولًا عن الأمن يتولّى الإجراءات والتحديثات والتدريبات ومعالجة الحوادث.

ما العقوبة على شركة لا تستوفي متطلبات أمن المعلومات والخصوصية؟

العقوبات على مخالفات قوانين السايبر في إسرائيل تزداد شدّة. ويمكن لسلطة حماية الخصوصية أن تفرض:

• غرامات إدارية — عقوبات مالية بموجب التعديل رقم 13، يُشتقّ مبلغها من نوع المخالفة ومن حجم قاعدة البيانات، وقد تصل إلى مبالغ كبيرة في قواعد البيانات الكبيرة أو في المخالفات المتكرّرة.
• أوامر تصحيح وامتثال تنظيمي — مطالبة بإصلاح المنظومات والعمليات لتتوافق مع المتطلبات التنظيمية.
• إعلان عام — النشر على موقع السلطة عن فرض العقوبة، وطبيعة المخالفة، ومبلغ العقوبة، وكقاعدة عامة أيضًا اسم المخالِف إذا كان هيئة اعتبارية، لمدة أربع سنوات (المادة 23مو) — وهو نشر قد يمسّ بشكل كبير بالسمعة التجارية للشركة.
• المسؤولية المدنية — يمكن للأفراد الذين تضرّروا من المخالفة أن يرفعوا دعاوى للحصول على تعويض عن الضرر الذي لحق بهم.

الشركات الناشئة التي تُهمل أمن السايبر تخاطر أساسًا بالمسّ بسمعتها، وبفشل الصفقات، وبانخفاض قيمة الشركة في نظر المستثمرين وجهات أخرى.

هل يُسمح بإدخال معلومات شخصية للزبائن في أداة ذكاء اصطناعي توليدي؟

إدخال معلومات شخصية من قاعدة بيانات الزبائن في أداة ذكاء اصطناعي خارجية هو «معالجة» للمعلومات — فالتعريف في المادة 3 من قانون حماية الخصوصية يشمل أيضًا النقل والتسليم وإتاحة الوصول — ولذلك لا يُسمح به إلا للغرض الذي حُدِّد لقاعدة البيانات وفق القانون (المادة 8(ب)). ومزوِّد الأداة، عندما يعالج المعلومات لصالح الشركة، قد يُعدّ «حائزًا» (المادة 3)، وإذا كانت الخدمة تتضمّن إتاحة الوصول إلى قاعدة البيانات — يجب فحص مخاطر الأمن مسبقًا، وأن تُحدَّد في الاتفاق المعلوماتُ المسموح بمعالجتها، وأغراض الاستخدام، ووسائل الأمن (المادة 15 من أنظمة أمن المعلومات). وعندما تكون الخوادم خارج إسرائيل تسري أيضًا أنظمة نقل المعلومات إلى الخارج. الأمر يتوقّف على الظروف، لكن يُفضَّل عادةً إدخال معلومات أُزيلت منها التفاصيل المعرِّفة، وأن يُحدَّد في إجراء الأمن ما الأدوات المسموح بها.

من أين تبدأون: قائمة الخطوات الدنيا للامتثال لقوانين السايبر في إسرائيل؟

للامتثال للمتطلبات التنظيمية، تحتاج الشركات الناشئة إلى:

• حصر البيانات — استقصاء كامل لأيّ البيانات تُعالَج، وكيف تُحفَظ، ومن بالضبط يملك الوصول إليها.
• سياسات وعمليات موثَّقة — وثّقوا سياسات سايبر واضحة، وفحوصًا دورية للوصول، وتشفير البيانات، ومعالجة الحوادث.
• تدريب واسع للطاقم — كل عامل يحتاج إلى تأهيل أساسي في كشف التصيّد الاحتيالي (phishing)، واستخدام كلمات مرور قوية، ومعالجة البيانات الحساسة.
• تحديثات البرمجيات ورُقَع الأمن — احرصوا على التحديث المنتظم لأنظمة التشغيل ومكوّنات الاتصال وبرمجيات الطرف الثالث.
• فحوص خارجية — فكّروا في الاستعانة بمقاولي فحوص سايبر أو بتدقيقات دورية للشيفرة (audits).
• تأمين السايبر — افحصوا تأمين سايبر يغطّي النفقات في الاستجابة لخرق أو لحادث سايبر.

الشركات الناشئة التي تستعدّ لمتطلبات السايبر مبكرًا لا تتجنّب الغرامات فحسب — بل تبني ميزة تنافسية. فالزبائن والشركاء والمستثمرون يريدون أن يعرفوا أن معلوماتهم محميّة. والأمن الجيد أصبح جزءًا من العرض التقديمي للمستثمرين (pitch).