עמוד השירות: עורך דין מסחר דיגיטלי ו-AI: תקנון, פרטיות ודיוור.
הטכנולוגיה כבר כאן. החוק — לא.
זיהוי פנים הוא עסקה אחת שבה הטכנולוגיה רצה קדימה ומערכת החוק מגיעה מאחור. בישראל 2026, יש כמה מציאויות שחיות זו לצד זו בחוסר נוחות: הצעות חוק שיאפשרו למשטרה להציב מערכות צילום ביומטריות במרחב הציבורי מונחות על שולחן הכנסת, הבנקים מציעים אימות ביומטרי, ואתרי ביטחון סורקים פנים — וכל זה מתרחש בלי חוק ספציפי שמסדיר את הנושא.
זה לא תאונה. זה בחירה. כל פעם שמנסחים חוק רחב בנושא AI ופרטיות בישראל, הדיון מסתבך בין ביטחון לחירות. בינתיים, האזרח משלם את המחיר.
שאלה על המקרה שלכם? כתבו בוואטסאפ · 050-431-3155
אין חוק ייעודי — אז מה בעצם חל?
בהיעדר חוק ייעודי לזיהוי פנים, הרגולציה מתבססת על כמה שכבות שנבנו לצרכים אחרים — ושורדות בדוחק מול טכנולוגיה שלא דמיינו בשנות ה-80:
- חוק הגנת הפרטיות, התשמ״א-1981 — אוסר לפגוע בפרטיות של אדם ללא הסכמתו (סעיף 1), ו״הסכמה״ היא הסכמה מדעת, במפורש או מכללא (סעיף 3). מאז תיקון 13, מזהה ביומטרי המשמש לזיהוי אדם או לאימות זהותו באופן ממוחשב הוא ״מידע בעל רגישות מיוחדת״ (סעיף 3)
- תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 — מאגר שיש בו מידע ביומטרי כפוף בדרך כלל לרמת האבטחה הבינונית לפחות (התוספת הראשונה), ומאגר כזה שיש בו מידע על 100,000 בני אדם ומעלה, או יותר מ-100 בעלי הרשאה, כפוף לרמת האבטחה הגבוהה (התוספת השנייה)
- רשות הגנת הפרטיות (PPA) — הגוף המפקח, שפרסם מסמך מדיניות על איסוף ושימוש במידע ביומטרי לבקרת נוכחות עובדים (2024, בנוסח מעודכן בעקבות תיקון 13)
וכאן נכנס גורם מפתיע: חברות ישראליות שמציעות סחורות או שירותים לאנשים הנמצאים באיחוד האירופי, או שמנטרות את התנהגותם שם, כפופות גם ל-GDPR האירופאי (סעיף 3(2)). לפיו, עיבוד נתונים ביומטריים לצורך זיהוי ייחודי של אדם אסור, אלא אם מתקיים אחד החריגים — ובהם הסכמה מפורשת (סעיף 9).
הסכמה — הסוגיה שחברות מפספסות
כדי לאסוף ולעבד מידע ביומטרי — כולל תמונות פנים לצרכי זיהוי — בלי הסמכה בדין, צריך הסכמה מדעת (סעיפים 1 ו-3 לחוק), והרשות להגנת הפרטיות ממליצה להעדיף במקרה כזה הסכמה מפורשת. זה לא "עדכון מדיניות פרטיות" שאף אחד לא קורא. זה הסכמה ספציפית לאיסוף נתוני פנים, עם הסבר ברור על:
- מה נאסף ולמה
- כמה זמן נשמר
- עם מי משותף
- כיצד ניתן למחוק
מצלמות אבטחה עם זיהוי פנים בכניסה לבניין? שלט "אזהרה: מצלמות אבטחה" אינו מגלה שמתבצע זיהוי ביומטרי. לגישת הרשות להגנת הפרטיות, שתיקה או היעדר מחאה אינם כשלעצמם הסכמה תקפה, ולכן אני ממליץ ליידע במפורש על זיהוי הפנים ולקבל הסכמה פעילה.
שאלה על אתר, פרטיות, תנאי שימוש או AI בעסק?אחזור אליכם בשעות הפעילות (א׳–ה׳, 9:00–18:00).
הבעיה הגדולה: אלגוריתם מוטה, אדם חף מפשע נעצר
מחקרים חוזרים ומראים שאלגוריתמי זיהוי פנים מדויקים פחות — לפעמים בשיעורים משמעותיים — לגבי נשים, אנשים כהי עור, ומבוגרים. זה לא תיאוריה: בארה״ב תועדו מספר מקרים של מעצר שגוי שנבע ממזהה פנים שגוי.
בישראל, אם המשטרה עצרה מישהו על סמך זיהוי פנים בלבד — זה ראיה שנויה במחלוקת. סנגור שמבין את הנושא יטען כנגד קבילות הזיהוי, ידרוש גילוי של פרטי האלגוריתם, ויבקש חוות דעת נגדית.
מה קורה בעולם — ומה זה אומר לישראל
האיחוד האירופאי עבר את ה-AI Act (2024), שאוסר שימוש במערכות זיהוי ביומטרי מרחוק ״בזמן אמת״ במרחבים הנגישים לציבור לצורכי אכיפת החוק, למעט חריגים צרים (סעיף 5(1)(h)), ואוסר גם ליצור או להרחיב מאגרי זיהוי פנים באמצעות גריפה לא ממוקדת של תמונות פנים מהאינטרנט או ממצלמות אבטחה (סעיף 5(1)(e)). זה אחד החוקים הכי חדים בעולם.
ישראל לא חייבת לאמץ את ה-AI Act — אבל חברות ישראליות שמציעות מערכות כאלה בשוק האירופי, או שהתוצר של המערכת שלהן משמש באיחוד, כפופות אליו (סעיף 2(1)). זה שוק שישראל לא יכולה להתעלם ממנו.
בתוך ישראל: נכון למרץ 2026, אין חוק ייעודי לזיהוי פנים. תיקון 40 לפקודת המשטרה (פורסם ב-8.1.2024) הסדיר מערכות צילום מיוחדות שמזהות חפצים ואובייקטים, אך לא מערכות צילום ביומטריות המאפשרות זיהוי פנים. הצעות חוק ורפורמות בנושא — כפופות לשינויים פוליטיים; מומלץ לעקוב אחר עדכוני הכנסת.
מה צריך לעשות — מדריך מהיר לארגונים
אם הארגון שלכם משתמש בזיהוי פנים (כניסות, אימות, אבטחה):
- בצעו מיפוי — היכן ואיך נאסף מידע ביומטרי
- עדכנו מדיניות פרטיות — לכלול פירוט ספציפי על זיהוי פנים
- בנו מנגנון הסכמה — הסכמה פעילה, לא "שימוש באתר מהווה הסכמה"
- קבעו לוח זמנים למחיקה — לא לשמור נתוני פנים לנצח
- הגנו על מסד הנתונים — בהתאם לתקנות אבטחת מידע, תשע״ז-2017
אילו מסמכים להכין לפני הפעלה
- מסמך הגדרות מאגר — תיאור האיסוף והשימוש, המטרות, סוגי המידע (ובהם מידע ביומטרי), עיבוד באמצעות מחזיק והעברה לחו״ל (תקנה 2 לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017)
- נוסח הודעה לפי סעיף 11 לחוק — אם מסירת המידע חובה או תלויה בהסכמה ומה תוצאת אי-ההסכמה, המטרה, שם בעל השליטה ודרכי ההתקשרות עמו, למי יימסר המידע, וזכויות העיון והתיקון
- תיעוד ההסכמה — כשאין לאיסוף הסמכה בדין, צריך להראות שניתנה הסכמה מדעת (סעיפים 1 ו-3)
- הסכם עם ספק המערכת — אם יש לו גישה למאגר (תקנה 15 לתקנות אבטחת מידע)
- הודעה לרשות להגנת הפרטיות — כשבמאגר שאינו חייב ברישום יש מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם: בתוך 30 ימים, בצירוף העתק ממסמך הגדרות המאגר (סעיף 8א(ב))
מקורות
- חוק הגנת הפרטיות, התשמ״א-1981
- תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 — קובץ התקנות 7809
- הרשות להגנת הפרטיות — גילוי דעת בנושא הסכמה בדיני הגנת הפרטיות (25.2.2026)
- הרשות להגנת הפרטיות — איסוף ושימוש במידע ביומטרי לדיווח ולבקרת נוכחות עובדים במקום העבודה
- חוק חופש המידע, התשנ״ח-1998 (סעיפים 6, 14, 17)
- הצעת חוק לתיקון פקודת המשטרה (מערכת צילום ביומטרית), התשפ״ה-2025 — דברי ההסבר (הכנסת)
- Regulation (EU) 2016/679 (GDPR) - EUR-Lex (סעיפים 3 ו-9)
- Regulation (EU) 2024/1689 (AI Act) - EUR-Lex (סעיפים 2 ו-5)
הקישורים מפנים לנוסח החקיקה במקור. הנוסח המחייב הוא זה שפורסם בספר החוקים.
מה בודקים בפועל
- טיפ פרקטי: בהליכים מול רשויות שמשתמשות בזיהוי פנים — הכלי הבסיסי הוא בקשה לפי חוק חופש המידע, התשנ״ח-1998: רשות ציבורית חייבת להעמיד לעיון הציבור את ההנחיות המינהליות הכתובות שלפיהן היא פועלת (סעיף 6), ועל החלטתה אפשר לעתור לבית המשפט לעניינים מינהליים (סעיף 17(א)). החוק אינו חל על מערכי המודיעין והחקירות של המשטרה (סעיף 14(א)(9)).
- טעות נפוצה: להניח ששימוש משטרתי בזיהוי פנים חוקי מעצם העובדה שנעשה. פרק שני1 לפקודת המשטרה, שנוסף בתיקון מס׳ 40 (התשפ״ד-2024), מסדיר ״מערכות צילום מיוחדות״ בעלות יכולת ל״זיהוי חד-ערכי של חפץ״ (סעיף 10א לפקודה) ואינו מזכיר זיהוי פנים או מידע ביומטרי, ופגיעה בפרטיות מותרת רק בחוק או לפי חוק מכוח הסמכה מפורשת בו (סעיפים 7 ו-8 לחוק-יסוד: כבוד האדם וחירותו), ולכן כל שימוש נבחן לגופו.
- נקודה טקטית: לקוח עסקי שמתכנן להשתמש בזיהוי פנים? לפני ההשקה — תיק ציות שכולל DPIA (Data Protection Impact Assessment) מקטין חשיפה ומשמש ראיה להתנהלות ראויה.