DPIA
תסקיר השפעה על פרטיות.
תסקיר השפעה על פרטיות (Data Protection Impact Assessment) לפרויקטים חדשים, מערכות AI, עיבוד מידע רגיש, שיתוף מידע חוץ-ארגוני וניטור שיטתי. מתודולוגיה לפי תיקון 13, גילויי דעת הרשות, ו-GDPR Article 35. תוצר: דוח DPIA כתוב, מטריצת סיכונים, אמצעי מיתון מתועדפים, והחלטה האם נדרשת התייעצות עם הרשות.
שש סיטואציות שמחייבות DPIA
AI להחלטות אוטומטיות
מערכת שמקבלת החלטות על אנשים: סינון מועמדים, אישור אשראי, הערכת סיכון, פרופיילינג. גם בארגון בינוני זה DPIA חובה.
עיבוד מידע רגיש בהיקף נרחב
מידע רפואי, מידע על קטינים, סקרים אישיים, נתוני מיקום, סקסואליות, דת. תיקון 13 וגילוי הדעת מ-2026 מחייבים.
ניטור שיטתי של מרחב ציבורי
מצלמות בעיר, סנסורים, ניתוח התנהגות לקוחות בחנות, מעקב עובדים. נוגע ב-Privacy by Design.
שיתוף מידע עם צד שלישי
העברת מאגר ל-vendor חדש, אינטגרציה עם מערכת חיצונית, share של רישומי לקוחות לשותף עסקי, Cross-border transfer.
מערכת חדשה ש"נוגעת" בעובדים
מערכת ניטור פרודוקטיביות, מערכת בריאות לעובדים, מערכת שכר חדשה, מערכת אבטחה ביומטרית.
מיזוג, רכישה, אקזיט
בעת העברת מאגרי מידע בין ישויות — DPIA הוא הכלי שמאתר סיכוני פרטיות שלא נשקלו בעסקה.
שישה שלבים מ-kick-off לדוח
הגדרת היקף
פגישת kick-off של 90 דקות עם מנהל הפרויקט, IT, ועו"ד. מהי המערכת? מה הזרימה? מי המשתמשים? מה הסיכון העסקי?
מיפוי מידע ועיבודים
איזה מידע נאסף? למה? מאיפה? לאן הוא הולך? בסיס משפטי? מועדי שמירה? נושאי מידע? צד שלישי?
מטריצת סיכונים
לכל זרימת מידע — מה יכול להשתבש? בהסתברות גבוהה / נמוכה? בחומרה חמורה / קלה? התוצאה: מטריצה ויזואלית.
אמצעי מיתון (Mitigations)
לכל סיכון — אילו controls יכולים להפחית? Privacy by Design (Pseudonymization, Minimization, אחסון מקומי, גישה לפי תפקיד).
התייעצות עם הרשות
אם הסיכון הנותר עדיין גבוה — נדרשת התייעצות עם הרשות להגנת הפרטיות לפי תיקון 13. אנחנו מנהלים את התהליך.
דוח DPIA סופי
מסמך כתוב (20-40 עמ׳), מטריצות, החלטות, מאמני מיתון, ותאריך עדכון. נחתם על ידי בעל המאגר ו-DPO.
DPIA לפרויקטי AI — מה שונה
מערכות AI דורשות DPIA מורחב. מעבר לסיכוני פרטיות הקלאסיים, יש שכבת סיכון של הסבר, הטיה, מינימיזציה, ומעבר נתונים למודלי בסיס. גילוי דעת של הרשות מ-2026 הציב סטנדרט גבוה מאוד למערכות AI.
גורם הסבר (Explainability)
איך המערכת מקבלת החלטות? האם נושא המידע יכול לבקש הסבר? יש זכות לערעור?
הטיה (Bias)
האם המודל מאומן על נתונים מייצגים? האם תוצאות לא הוגנות לקבוצות מסוימות? איך מודדים?
מינימיזציה במודלים
האם נדרש כל המידע שמוזן למודל? האם אפשר להשתמש בנתונים סינתטיים או pseudonymized?
מעבר נתונים למודלי בסיס
OpenAI, Claude, Gemini, אחרים — איפה הנתונים מעובדים? יש Data Processing Addendum? האם המידע משמש לאימון?
Human in the loop
האם כל החלטה אוטומטית עוברת ביקורת אדם? אם לא — נדרש בסיס חוקי מיוחד תחת תיקון 13.
תקופת שמירת prompts ולוגים
הפרומפטים מכילים מידע אישי — איך הם נשמרים? למשך כמה זמן? מי גישה?
שאלות נפוצות על DPIA
מתי חובה לעשות DPIA?
כמה זמן לוקח DPIA?
מה ההבדל בין DPIA ל-PIA?
יש לכם תבנית מוכנה?
מה אם הרשות תדרוש התייעצות?
כמה זה עולה?
מה אם הפרויקט כבר הושק?
יש לכם פרויקט שצריך DPIA?
שיחה של 30 דקות, הצעת מחיר תוך 48 שעות, kick-off תוך שבועיים.
לדבר על פרויקט