التعرّف على الوجه: التنظيم والخصوصية

صفحة الخدمة: محامٍ للتجارة الرقمية والذكاء الاصطناعي: شروط الموقع، والخصوصية، والتسويق المباشر.

التكنولوجيا هنا بالفعل. أما القانون — فلا.

التعرّف على الوجه مجال تسبق فيه التكنولوجيا ويلحق بها النظام القانوني متأخرًا. في إسرائيل عام 2026 تتعايش عدة وقائع جنبًا إلى جنب دون انسجام: مشاريع قوانين تتيح للشرطة نصب أنظمة تصوير بيومترية في الحيّز العام مطروحة على طاولة الكنيست، والبنوك تعرض التحقق البيومتري من الهوية، والمواقع الأمنية تمسح الوجوه — وكل ذلك يجري دون قانون محدَّد ينظّم الموضوع.

هذه ليست مصادفة. إنه اختيار. ففي كل مرة يُصاغ فيها قانون واسع في موضوع الذكاء الاصطناعي والخصوصية في إسرائيل، يتعثّر النقاش بين الأمن والحرية. وفي هذه الأثناء يدفع المواطن الثمن.

لا يوجد قانون خاص — فما الذي يسري فعلًا؟

في غياب قانون خاص بالتعرّف على الوجه، يستند التنظيم إلى عدة طبقات بُنيت لأغراض أخرى — وتصمد بصعوبة أمام تكنولوجيا لم يتخيّلها أحد في الثمانينيات:

• قانون حماية الخصوصية، 1981 — يحظر المسّ بخصوصية الإنسان دون موافقته (المادة 1)، و«الموافقة» هي الموافقة المستنيرة، الصريحة أو الضمنية (المادة 3). ومنذ التعديل رقم 13، المعرِّف البيومتري الذي يُستخدم للتعرّف على شخص أو للتحقق من هويته بطريقة محوسبة هو «معلومات ذات حساسية خاصة» (المادة 3)
• أنظمة حماية الخصوصية (أمن المعلومات)، 2017 (תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017) — قاعدة البيانات التي فيها معلومات بيومترية تخضع عادةً لمستوى الأمان المتوسط على الأقل (الملحق الأول)، وقاعدة البيانات كهذه التي فيها معلومات عن 100,000 شخص فأكثر، أو أكثر من 100 صاحب صلاحية وصول، تخضع لمستوى الأمان المرتفع (الملحق الثاني)
• سلطة حماية الخصوصية (PPA) — الجهة الرقابية، وقد نشرت وثيقة سياسة بشأن جمع المعلومات البيومترية واستخدامها لمراقبة حضور العاملين (2024، بصيغة محدَّثة في أعقاب التعديل رقم 13)

وهنا يدخل عامل مفاجئ: الشركات الإسرائيلية التي تعرض سلعًا أو خدمات لأشخاص موجودين في الاتحاد الأوروبي، أو التي تراقب سلوكهم هناك، تخضع أيضًا لـاللائحة الأوروبية لحماية البيانات (GDPR) (المادة 3(2)). ووفقها، معالجة البيانات البيومترية بغرض التعرّف الفريد على شخص محظورة، إلا إذا تحقّق أحد الاستثناءات — ومنها الموافقة الصريحة (المادة 9).

الموافقة — المسألة التي تُغفلها الشركات

لجمع المعلومات البيومترية ومعالجتها — بما في ذلك صور الوجه لأغراض التعرّف — دون تخويل في القانون، يلزم الحصول على موافقة مستنيرة (المادتان 1 و3 من القانون)، وتوصي سلطة حماية الخصوصية في حالة كهذه بتفضيل الموافقة الصريحة. هذا ليس "تحديثًا لسياسة الخصوصية" لا يقرؤه أحد. إنها موافقة محدَّدة على جمع بيانات الوجه، مع شرح واضح لما يلي:

• ما الذي يُجمع ولماذا
• كم من الوقت يُحفظ
• مع من يُشارَك
• كيف يمكن حذفه

كاميرات مراقبة مع التعرّف على الوجه عند مدخل المبنى؟ لافتة "تنبيه: كاميرات مراقبة" لا تكشف أن هناك تعرّفًا بيومتريًا يجري. ووفق نهج سلطة حماية الخصوصية، فإن السكوت أو عدم الاعتراض ليسا بحدّ ذاتهما موافقة صحيحة، ولذلك أوصي بالإبلاغ صراحةً عن التعرّف على الوجه وبالحصول على موافقة فاعلة.

المشكلة الكبرى: خوارزمية منحازة، وإنسان بريء يُعتقَل

تُظهر الأبحاث مرة بعد مرة أن خوارزميات التعرّف على الوجه أقلّ دقة — أحيانًا بنسب كبيرة — بالنسبة إلى النساء، وذوي البشرة الداكنة، وكبار السن. هذه ليست نظرية: ففي الولايات المتحدة وُثّقت عدة حالات اعتقال خاطئ نتجت عن تعرّف خاطئ على الوجه.

إذا اعتقلت الشرطة في إسرائيل شخصًا استنادًا إلى التعرّف على الوجه وحده — فهذا دليل موضع خلاف. ومحامي الدفاع الذي يفهم الموضوع سيطعن في مقبولية التعرّف، وسيطالب بالكشف عن تفاصيل الخوارزمية، وسيطلب رأيًا مضادًا.

ماذا يحدث في العالم — وماذا يعني ذلك لإسرائيل

أقرّ الاتحاد الأوروبي قانون الذكاء الاصطناعي AI Act (2024)، الذي يحظر استخدام أنظمة التعرّف البيومتري عن بُعد «في الوقت الحقيقي» في الأماكن المتاحة للجمهور لأغراض إنفاذ القانون، باستثناء حالات ضيّقة (المادة 5(1)(h))، ويحظر أيضًا إنشاء قواعد بيانات للتعرّف على الوجه أو توسيعها عن طريق الجمع غير الموجَّه لصور الوجوه من الإنترنت أو من كاميرات المراقبة (المادة 5(1)(e)). وهو من أكثر القوانين حزمًا في العالم.

إسرائيل غير ملزَمة بتبنّي AI Act — لكن الشركات الإسرائيلية التي تعرض أنظمة كهذه في السوق الأوروبية، أو التي يُستخدم ناتج نظامها في الاتحاد، تخضع له (المادة 2(1)). وهذه سوق لا تستطيع إسرائيل تجاهلها.

داخل إسرائيل: حتى تشرين الأول/أكتوبر 2026، لا يوجد قانون خاص بالتعرّف على الوجه. التعديل رقم 40 لمرسوم الشرطة [صيغة جديدة]، 1971 (פקודת המשטרה [נוסח חדש], התשל״א-1971) (نُشر في 8.1.2024) نظّم أنظمة التصوير الخاصة التي تتعرّف على الأغراض والأجسام، لكنه لم ينظّم أنظمة التصوير البيومترية التي تتيح التعرّف على الوجه. ومشاريع القوانين والإصلاحات في هذا الموضوع خاضعة للتغيّرات السياسية؛ ويُستحسن متابعة مستجدّات الكنيست.

ما الذي يجب فعله — دليل سريع للمؤسسات

إذا كانت مؤسستكم تستخدم التعرّف على الوجه (المداخل، التحقق من الهوية، الأمن):

• أجروا مسحًا — أين وكيف تُجمع المعلومات البيومترية
• حدّثوا سياسة الخصوصية — لتشمل تفصيلًا محدَّدًا عن التعرّف على الوجه
• ابنوا آلية للموافقة — موافقة فاعلة، لا "استخدام الموقع يُعدّ موافقة"
• حدّدوا جدولًا زمنيًا للحذف — لا تحفظوا بيانات الوجه إلى الأبد
• احموا قاعدة البيانات — وفق أنظمة حماية الخصوصية (أمن المعلومات)، 2017

ما المستندات التي تُحضَّر قبل التشغيل

• وثيقة تعريفات قاعدة البيانات (מסמך הגדרות מאגר) — وصف الجمع والاستخدام، والأهداف، وأنواع المعلومات (ومنها المعلومات البيومترية)، والمعالجة بواسطة حائز، والنقل إلى الخارج (المادة 2 من أنظمة حماية الخصوصية (أمن المعلومات)، 2017)
• صيغة إشعار وفق المادة 11 من القانون — هل تقديم المعلومات واجب أم متوقف على الموافقة، وما نتيجة عدم الموافقة، والغرض، واسم المتحكّم في قاعدة البيانات وطرق التواصل معه، ولمن ستُنقل المعلومات، وحقّا الاطّلاع والتصحيح
• توثيق الموافقة — حين لا يكون للجمع تخويل في القانون، يجب إثبات أن موافقة مستنيرة قد أُعطيت (المادتان 1 و3)
• اتفاق مع مزوِّد النظام — إذا كانت لديه صلاحية وصول إلى قاعدة البيانات (المادة 15 من أنظمة أمن المعلومات)
• إشعار إلى سلطة حماية الخصوصية — حين تحتوي قاعدة بيانات غير ملزَمة بالتسجيل على معلومات ذات حساسية خاصة عن أكثر من 100,000 شخص: خلال 30 يومًا، مع نسخة من وثيقة تعريفات قاعدة البيانات (المادة 8أ(ب))

أسئلة شائعة

عند مدخل المبنى يوجد نظام للتعرّف على الوجه ولافتة «كاميرات المراقبة». هل يكفي ذلك؟

لا. لافتة «تنبيه: كاميرات مراقبة» لا تكشف أن هناك تعرّفًا بيومتريًا يجري. لجمع المعلومات البيومترية ومعالجتها دون تخويل في القانون يلزم الحصول على موافقة مستنيرة (المادتان 1 و3 من قانون حماية الخصوصية)، ووفق نهج سلطة حماية الخصوصية، فإن السكوت أو عدم الاعتراض ليسا بحدّ ذاتهما موافقة صحيحة. لذلك يُستحسن الإبلاغ صراحةً عن التعرّف على الوجه والحصول على موافقة فاعلة.

هل يحق للشرطة استخدام التعرّف على الوجه؟

حتى تشرين الأول/أكتوبر 2026، لم يكن لذلك ترتيب خاص. التعديل رقم 40 لمرسوم الشرطة (نُشر في 8.1.2024) نظّم أنظمة التصوير الخاصة التي تتعرّف على الأغراض والأجسام، لكنه لم ينظّم أنظمة التصوير البيومترية التي تتيح التعرّف على الوجه، والمسّ بالخصوصية مسموح فقط بقانون أو وفق قانون بموجب تخويل صريح فيه (المادتان 7 و8 من قانون أساس: كرامة الإنسان وحريته (חוק-יסוד: כבוד האדם וחירותו)). لذلك يُفحص كل استخدام على حدة.

شركة إسرائيلية تبيع نظام تعرّف على الوجه في أوروبا. ما القواعد التي تسري عليها؟

تسري GDPR على من يعرض سلعًا أو خدمات لأشخاص موجودين في الاتحاد الأوروبي، أو يراقب سلوكهم هناك (المادة 3(2))، ووفقها، معالجة البيانات البيومترية بغرض التعرّف الفريد على شخص محظورة، إلا إذا تحقّق أحد الاستثناءات — ومنها الموافقة الصريحة (المادة 9). ويسري AI Act على الشركات التي تعرض أنظمة كهذه في السوق الأوروبية، أو التي يُستخدم ناتج نظامها في الاتحاد (المادة 2(1)).

أي مستوى أمان يسري على قاعدة بيانات تحتوي على معلومات بيومترية؟

قاعدة البيانات التي فيها معلومات بيومترية تخضع عادةً لمستوى الأمان المتوسط على الأقل، وقاعدة البيانات كهذه التي فيها معلومات عن 100,000 شخص فأكثر، أو أكثر من 100 صاحب صلاحية وصول، تخضع لمستوى الأمان المرتفع (الملحق الأول والملحق الثاني لأنظمة حماية الخصوصية (أمن المعلومات)، 2017).

ما المستندات التي تُحضَّر قبل تشغيل نظام التعرّف على الوجه في المؤسسة؟

وثيقة تعريفات قاعدة البيانات (المادة 2 من أنظمة أمن المعلومات)؛ وصيغة إشعار وفق المادة 11 من قانون حماية الخصوصية؛ وتوثيق الموافقة المستنيرة، حين لا يكون للجمع تخويل في القانون؛ واتفاق مع مزوِّد النظام، إذا كانت لديه صلاحية وصول إلى قاعدة البيانات (المادة 15)؛ وفي قاعدة البيانات غير الملزَمة بالتسجيل التي فيها معلومات ذات حساسية خاصة عن أكثر من 100,000 شخص — إشعار إلى سلطة حماية الخصوصية خلال 30 يومًا (المادة 8أ(ب)).