נקודות עיקריות
- כריית מידע (Scraping) היא איסוף אוטומטי של תוכן מאתרים באמצעות תוכנה, במקום העתקה ידנית.
- לפי טיוטת הרשות, כריית מידע אישי לצורכי AI דורשת הסכמה מדעת, גם כשהמידע פורסם ברשתות חברתיות.
- בעל אתר שמאפשר שיתוף מידע אישי נדרש לנקוט אמצעים נאותים למניעת כרייה אסורה.
- כרייה לא מורשית מאתר כזה נחשבת, לפי הטיוטה, אירוע אבטחה חמור שמחייב דיווח מיידי לרשות.
- מדובר בטיוטה שפורסמה להערות עד 5 ביוני 2025; כדאי לבדוק באתר הרשות אם פורסם נוסח סופי.
תוכן עניינים
- מהי כריית מידע מהאינטרנט?
- אם המידע גלוי לכולם, למה אסור לאסוף אותו?
- מתי נדרשת הסכמה מפורשת?
- מה האחריות של בעל אתר שכורים ממנו?
- איך מגנים אתר מפני כרייה?
- מה עושה עסק שרוצה להשתמש במידע גלוי?
- שאלות ותשובות
כריית מידע מהאינטרנט הפכה לאחת הסוגיות הרגישות ביותר בעידן ה-AI, כי מודלי שפה ומערכות זיהוי נשענים על כמויות עצומות של תוכן שנאסף מהרשת. הרשות להגנת הפרטיות התייחסה לכך במפורש בטיוטת ההנחיה שלה על תחולת חוק הגנת הפרטיות על מערכות בינה מלאכותית, והמסר חד: מידע אישי שנמצא ברשת נשאר מידע אישי. המאמר מסביר מה זה אומר למי שכורה מידע ולמי שכורים ממנו — ואיך פתרון ציות לחוק הגנת הפרטיות עוזר לתעד את שני הצדדים.
מהי כריית מידע מהאינטרנט?
כריית מידע (Web Scraping) היא שימוש בתוכנה שעוברת באופן אוטומטי על דפי אינטרנט, מחלצת מהם נתונים ושומרת אותם במבנה מסודר — למשל שמות, תמונות, תגובות, פרטי קשר או ביקורות. כשהנתונים מתייחסים לאנשים מזוהים או ניתנים לזיהוי, הכרייה היא איסוף של מידע אישי, וחלים עליה כללי חוק הגנת הפרטיות.
השימושים מגוונים: אימון מודלי שפה, בניית מאגרי לידים, מעקב מחירים, ניתוח סנטימנט ומערכות זיהוי פנים. לא כל כרייה נוגעת במידע אישי — כריית מחירי מוצרים היא סוגיה שונה מכריית פרופילים מרשת חברתית.
| סוג כרייה | מידע אישי? | רמת סיכון בפרטיות |
|---|---|---|
| מחירי מוצרים ומלאי | לרוב לא | נמוכה |
| ביקורות גולשים עם שמות | כן | בינונית |
| פרופילים מרשתות חברתיות | כן | גבוהה |
| תמונות פנים לאימון זיהוי | כן, ועשוי להיות ביומטרי | גבוהה מאוד |
אם המידע גלוי לכולם, למה אסור לאסוף אותו?
כי לפי עמדת הרשות, אדם שמפרסם מידע על עצמו למטרה מסוימת לא הסכים בכך למטרה אחרת. בלשון טיוטת ההנחיה, כפי שצוטטה בסקירת משרד הרצוג: "עצם פרסום מידע אישי באתרי אינטרנט אינו מהווה היתר לכרייה". מי שכותב תגובה בפורום או מעלה תמונת פרופיל לא ציפה שהיא תשמש לאימון מודל של חברה שאינו מכיר.
הטיוטה קובעת שכריית מידע אישי מהרשת לצורך אימון או שימוש במערכות בינה מלאכותית דורשת הסכמה מדעת, ומזהירה מפני הסקת הסכמה מעצם הפרסום ברשתות חברתיות. ההסבר הרחב על האופן שבו חוק הגנת הפרטיות חל על מערכות AI נמצא במאמר על בינה מלאכותית והגנת הפרטיות.
הקשר לעקרון צמצום המידע
כרייה היא מעצם טבעה רחבת היקף: התוכנה אוספת הכל, ומחליטים אחר כך מה להשאיר. הטיוטה קושרת את הכרייה לעקרון צמצום המידע ולתקנות אבטחת המידע מ-2017 — כלומר, גם מי שיש לו בסיס לאסוף מידע, צריך לאסוף רק את מה שנחוץ ולאבטח אותו כמאגר מידע לכל דבר.
מתי נדרשת הסכמה מפורשת?
לפי הטיוטה, כשמטרות השימוש מורכבות או חורגות מציפיותיו הסבירות של נושא המידע, נדרשת הודעה מפורטת יותר, ולעתים גם הסכמה אקטיבית (opt-in). הרשות מדגישה במיוחד שימושים רגישים כמו אימון מערכות זיהוי פנים.
העמדה הזו מתיישבת עם גילוי הדעת הסופי של הרשות בנושא הסכמה מ-25 בפברואר 2026, שלפיו נדרשת הסכמה מפורשת בין היתר כשהעיבוד חורג באופן משמעותי מציפיות סבירות או כשנאסף מידע רגיש. על הדרישות לניסוח ותיעוד הסכמה כתבנו במאמר על הסכמה מדעת לעיבוד מידע אישי.
דוגמאות לשימושים שחורגים מציפיות סבירות
- אימון מערכת זיהוי פנים על תמונות פרופיל.
- בניית פרופיל צרכני מתגובות שפורסמו בפורומים.
- איסוף פרטי קשר מפרופילים מקצועיים לצורך פניות שיווקיות.
מה האחריות של בעל אתר שכורים ממנו?
לפי הטיוטה, בעל שליטה במאגר שמאפשר שיתוף מידע אישי ברשת — רשת חברתית, לוח מודעות, פורום או אתר מכירות — נדרש לנקוט אמצעים נאותים למניעת כריית מידע אסורה. זה החידוש המעשי המשמעותי לעסקים רבים: האחריות לא מוטלת רק על מי שכורה, אלא גם על מי שמחזיק את המידע.
יתרה מזו, לפי הטיוטה כרייה לא מורשית של מידע אישי מאתר כזה נחשבת "אירוע אבטחה חמור" שיש לדווח עליו לרשות מייד. משמעות הדבר היא שנוהל התגובה לאירועים צריך לכלול גם תרחיש של בוט שמוריד אלפי פרופילים, לא רק פריצה לשרת. על השאלה מתי מדווחים ומה עושים קודם, ראו את המדריך שלנו על דיווח על אירוע אבטחת מידע.
איך מגנים אתר מפני כרייה?
אין אמצעי אחד שעוצר כרייה לחלוטין, ולכן משלבים כמה שכבות: מגבלות טכניות, ניטור, תנאי שימוש וצמצום המידע החשוף לכלל הציבור. המטרה היא להראות שננקטו "אמצעים נאותים" — זה המבחן שהטיוטה מציבה, ולא חסימה מוחלטת.
- הגבלת קצב בקשות (Rate limiting). חסימה או האטה של מקורות ששולחים מאות בקשות בדקה.
- זיהוי בוטים. שירותי WAF והגנת בוטים שמזהים דפוסי גלישה לא אנושיים.
- הסתרת שדות רגישים. טלפון ודוא״ל מוצגים רק למשתמשים מחוברים, או בכלל לא.
- ניטור חריגות. התראות על קפיצות בגישה לדפי פרופיל או ל-API.
- תנאי שימוש ו-robots.txt. איסור מפורש על כרייה. חשוב לזכור ש-robots.txt הוא בקשה ולא אמצעי אבטחה.
- נוהל תגובה. מה עושים כשמזהים כרייה, כולל הערכה אם מדובר באירוע שמחייב דיווח.
מה עושה עסק שרוצה להשתמש במידע גלוי?
עסק ששוקל לאסוף מידע מהרשת צריך קודם לשאול אם הוא בכלל צריך מידע אישי, ואם כן — על איזה בסיס הוא יעבד אותו. במקרים רבים אפשר להשיג את המטרה העסקית עם נתונים מצרפיים או ללא פרטים מזהים.
- העדיפו מקורות מורשים: API רשמי ומאגרי נתונים עם רישיון שמתאר את מקור המידע.
- סננו במקור: אל תאספו שמות, תמונות ופרטי קשר שלא דרושים.
- בצעו הערכת סיכונים לפני פרויקט אימון, ותעדו את שיקולי ההחלטה.
- בדקו ספקי נתונים: מאגר שנקנה מספק שכרה אותו עלול להעביר אליכם גם את הבעיה.
לתמונת הרגולציה הרחבה יותר סביב AI בישראל ראו את המאמר על רגולציית בינה מלאכותית בישראל.
סיכום
- מידע אישי שפורסם ברשת נשאר מוגן בחוק הגנת הפרטיות.
- כרייה לאימון או הפעלת AI דורשת, לפי טיוטת הרשות, הסכמה מדעת.
- בעלי אתרים נדרשים לנקוט אמצעים נאותים נגד כרייה, ולדווח על כרייה לא מורשית כעל אירוע חמור.
שאלות ותשובות
האם מותר לאמן מודל AI על מידע מרשתות חברתיות?
לפי טיוטת ההנחיה של הרשות להגנת הפרטיות, כריית מידע אישי מהרשת לאימון מערכות AI דורשת הסכמה מדעת, ואי אפשר להסיק הסכמה כזו מעצם פרסום המידע ברשת חברתית.
האם כריית מחירים מאתרי מתחרים נוגעת בחוק הגנת הפרטיות?
בדרך כלל לא, כי מחירים ומלאי אינם מידע אישי. חוק הגנת הפרטיות נכנס לתמונה כשנכרים פרטים על אנשים מזוהים או ניתנים לזיהוי, כמו שמות מוכרים או מחברי ביקורות.
מה עליי לעשות אם גיליתי שכורים פרופילים מהאתר שלי?
לעצור את הכרייה באמצעים טכניים, לתעד את האירוע ולהעריך את היקפו. לפי טיוטת הרשות, כרייה לא מורשית של מידע אישי עשויה להיחשב אירוע אבטחה חמור שמחייב דיווח מיידי, ולכן כדאי להיוועץ במהירות בבעל מקצוע.
האם robots.txt מספיק כדי לעמוד בחובה למנוע כרייה?
ככל הנראה לא. קובץ robots.txt הוא בקשה שבוטים יכולים להתעלם ממנה. אמצעים נאותים כוללים בדרך כלל גם הגבלת קצב בקשות, זיהוי בוטים, ניטור וצמצום המידע החשוף לציבור.
האם הטיוטה של הרשות מחייבת?
הטיוטה פורסמה ב-28 באפריל 2025 להערות הציבור ומשקפת את פרשנות הרשות לחוק. הרשות היא הגוף שאוכף את החוק, ולכן כדאי לפעול לפיה ולבדוק באתר הרשות אם פורסם נוסח סופי.
לקריאה נוספת ומקורות
- הרצוג עורכי דין — טיוטת הנחיית הרשות להגנת הפרטיות בנושא מערכות בינה מלאכותית
- המכון הישראלי לדמוקרטיה — התייחסות לטיוטת ההנחיה על מערכות AI
- גילוי דעת בנושא הסכמה בדיני הגנת הפרטיות (פברואר 2026)
המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
להמשך קריאה
מדריכים קשורים באתר:
