בקצרה: מכשירי IoT — משעונים חכמים ועד מצלמות בית — יוצרים אתגרים משפטיים בתחומי פרטיות, אחריות נזיקית ואבטחת סייבר. בישראל אין חקיקה ייחודית ל-IoT, אבל חוק הגנת הפרטיות ותקנות אבטחת המידע כבר חלים על מי שמעבד את המידע, ויצרן אחראי גם בלי אשם לנזק גוף שגרם פגם במוצר (סעיפים 2–3 לחוק האחריות למוצרים פגומים).

עמוד השירות: עורך דין מסחר דיגיטלי ו-AI: תקנון, פרטיות ודיוור.

מכשירי IoT: רגולציה שמפגרת אחרי הטכנולוגיה

השעון על ידכם יודע מתי אתם ישנים, מהי לחץ הדם שלכם, ואיפה אתם נמצאים. מצלמת הבית יודעת מתי אתם בפנים ומתי לא. הרמקול החכם מקשיב לשיחות. אלה מכשירי IoT — כל מכשיר פיזי המחובר לאינטרנט ואוסף, מעבד ומשדר נתונים — ובישראל כבר פועלים מיליונים מהם בבתים, במשרדים ובמפעלים. הצעדים המעשיים בנושא מרוכזים בעמוד היבטים משפטיים של מסחר מקוון.

הבעיה: הצמיחה מקדימה את הרגולציה. אין בישראל חקיקה ייחודית ל-IoT. החוקים הקיימים — הגנת פרטיות, הגנת הצרכן, דיני נזיקין — חלים, אבל פרשנותם לגבי מכשירים חכמים עדיין לא נסגרה. הקצוות האפורים האלה הם שיגיעו לבתי משפט בשנים הקרובות.

שאלה על המקרה שלכם? כתבו בוואטסאפ · 050-431-3155

ארבע שאלות משפטיות שעדיין אין להן תשובה חד-משמעית

אחריות על בעיות אבטחה: אם מכשיר IoT סבל מדליפת נתונים לא מורשית — מי אחראי? היצרן? חברת השירות הענני? בעל הבית שלא עדכן את הקושחה?

הגנת נתונים: מכשירי IoT אוספים נתונים אישיים רגישים — מידע על הרגלי שינה, גישה לבית, בריאות. החוק מחייב לשמור עליהם ברמת אבטחה מתאימה.

זכויות צרכנים: רכשתם מכשיר IoT שלא עובד כמובטח — מה זכויותיכם? חוק הגנת הצרכן חל, אבל אכיפה על יצרן זר מסובכת.

רשלנות נזיקית: אם מכשיר IoT גורם לנזק — כגון תקלה בתוכנה שגרמה לנזק פיזי — מי יכול להיתבע?

אבטחת סייבר ו-IoT

התקפות סייבר: מכשירי IoT הם מטרה נפוצה להתקפות — כניסה לא מורשית לבית, גניבת מידע, ואפילו השבתת מכשירים רפואיים. רשלנות ביטחונית של יצרן יכולה להוות עוולה נזיקית.

עדכוני אבטחה: גם בלי הוראת חוק ייעודית, הפסקת עדכוני אבטחה עשויה להישקל בשאלת רשלנות היצרן. מכשיר שיצרנו הפסיק לתמוך בו אך עדיין מחובר לרשת — הוא סיכון משפטי. ובצד של מי שמפעיל את המערכות יש הוראה מפורשת: בעל מאגר מידע ידאג לעדכונים שוטפים של מערכות המאגר, ולא ישתמש במערכות שהיצרן אינו תומך בהיבטי האבטחה שלהן, אלא אם ניתן מענה אבטחתי מתאים (תקנה 13(ג) לתקנות אבטחת המידע). ״מערכות המאגר״ הן מערכות המשמשות את המאגר ויש להן חשיבות בהיבטי אבטחת מידע (תקנה 1).

הצפנה: תקנה 14(ב) לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 מחייבת להעביר מידע ממאגר ברשת ציבורית או באינטרנט בשיטות הצפנה מקובלות; התקנות אינן קובעות ״רמות הצפנה״ מספריות.

עיקרון מינימום הרשאות: לא כל עובד בחברה צריך גישה לכל הנתונים שנאספים. הגבלת גישה היא גם חובה חוקית (תקנה 8 לתקנות אבטחת מידע — ניהול הרשאות גישה) וגם כלי לניהול סיכונים.

שאלה על אתר, פרטיות, תנאי שימוש או AI בעסק?אחזור אליכם בשעות הפעילות (א׳–ה׳, 9:00–18:00).

050-431-3155

חוקים ורגולציה בישראל

חוק הגנת הפרטיות, התשמ״א-1981: מי שאוסף מידע אישי באמצעות מכשיר IoT לשם עיבודו במאגר חייב, בין היתר, במסירת הודעה לפי סעיף 11, ורשאי להשתמש במידע רק למטרה שלשמה נמסר (סעיף 2(9)).

תקנות אבטחת מידע, תשע״ז-2017: קובעות שלוש רמות אבטחה (בסיסית, בינונית, גבוהה) בהתאם לסוג המידע, למספר האנשים שבמאגר ולמספר בעלי ההרשאה. מחזיקי מאגרי מידע — כולל עסקים שמשתמשים ב-IoT — חייבים לעמוד ברמה הרלוונטית.

GDPR אירופאי: אם היצרן מציע את המכשיר או השירות לאנשים הנמצאים באיחוד האירופי, או מנטר את התנהגותם שם — ה-GDPR חל (סעיף 3(2)), עם קנסות של עד 20 מיליון אירו או 4% מהמחזור העולמי, הגבוה מביניהם (סעיף 83(5)).

משרד התקשורת: בישראל, משרד התקשורת יכול להטיל דרישות תאימות על מכשירי IoT המחוברים לרשתות תקשורת. חיבור לרשת סלולרית, לדוגמה, מחייב אישורים ספציפיים.

קראו גם בנושא

עמוד התחום: תקנוני אתרים ומדיניות פרטיות

אחריות בתביעות נזיקין

אם מכשיר IoT גורם לנזק — מי אחראי? השאלה המשפטית המרכזית:

מדיניות פרטיות ו-IoT

מי שאוסף מידע אישי באמצעות מכשיר IoT חייב למסור הודעה לפי סעיף 11 לחוק הגנת הפרטיות — אם המסירה חובה או רשות, מטרת האיסוף, זהות בעל השליטה, למי יימסר המידע וזכויות העיון והתיקון. בפועל נהוג לפרט במדיניות פרטיות גם:

מדיניות זו צריכה להיות נגישה ומובנת; זכות העיון עצמה ניתנת בעברית, בערבית או באנגלית (סעיף 13(ב)). לחיצה על ״הפעל״ בלי שהוסבר מה נאסף ולמה מתקשה לעמוד בדרישת ״הסכמה מדעת״ (סעיף 3).

המלצות מעשיות

עבור יצרנים:

עבור צרכנים:

מקורות

הקישורים מפנים לנוסח החקיקה במקור. הנוסח המחייב הוא זה שפורסם בספר החוקים.

מה בודקים בפועל

  • טיפ פרקטי: בייעוץ לחברות טכנולוגיה שמפתחות מכשירי IoT — בצעו Privacy Impact Assessment (PIA) לפני השקת המוצר. זה כלי מקובל לזיהוי סיכונים, וכשה-GDPR חל ועיבוד צפוי ליצור סיכון גבוה, הערכת השפעה היא חובה (סעיף 35).
  • פסיקה רלוונטית: פסיקה ישראלית ספציפית ל-IoT עדיין מועטה — עיינו בהחלטות הרשות להגנת הפרטיות ובפסיקה האירופאית כגון פסק דין Schrems II (C-311/18) לגבי העברת נתונים.
  • טעות נפוצה: יצרנים שמשתמשים ב-Cloud אמריקאי מניחים שהם פטורים מחוק הגנת הפרטיות הישראלי — טעות. מי שמנהל בישראל מאגר מידע כפוף לחוק גם כשהשרת בחו״ל, והעברת המידע מהמאגר לשרת בחו״ל כפופה לתקנות העברת מידע לחו״ל (תקנות 1–3).
  • נקודה טקטית: ה-EU AI Act (2024) מסווג חלק ממכשירי IoT כ״מערכות AI בסיכון גבוה״ (סעיף 6) — חברות ישראליות שמוכרות לאירופה צריכות לבדוק אם המכשיר שלהן נכנס להגדרה, ולהיערך לדרישות הציות.
הבהרה משפטית: המידע במאמר זה נועד לצרכי מידע כללי בלבד ואינו מהווה ייעוץ משפטי, חוות דעת או תחליף להתייעצות עם עורך דין. כל מקרה ייחודי ויש לבחון אותו לגופו. אין ליישם את המידע ללא ייעוץ משפטי פרטני.