פרסום נמחק מהחוק, ונתפס בכל זאת: מפת הרגולציה על טירגוט אוטומטי
משפט אחד בתקנות של סוכנות הפרטיות של קליפורניה מסביר את כל הבלבול בתחום הזה. סעיף 7001(ddd)(6) קובע בתשע מילים: "Significant decision does not include advertising to a consumer". כלומר החלטה משמעותית אינה כוללת פרסום לצרכן. אותו רעיון חוזר, בנוסחים שונים, בחוק של קולורדו ובקווים המנחים של הנציבות האירופית. שלוש רשויות, שלושה נוסחים, מסקנה אחת: כשמדובר בחוקי החלטות אוטומטיות, פרסום נמחק מהמשחק בכוונה. ובכל זאת, שניים מאותם שלושה משטרים תופסים את סטאק הטירגוט שלכם ממקום אחר לגמרי, ורוב הצוותים לא יודעים מאיפה.
הערה לפני שממשיכים: אני לא עורכת דין, וזו לא חוות דעת משפטית. זו מפה תפעולית של מה נוגע במה, שנועדה לעזור לכם לדעת אילו שאלות בכלל להביא ליועץ המשפטי.
מה בדיוק נמחק, ולמה זה לא סוגר את העניין
שווה לקרוא את שלוש ההחרגות זו לצד זו, כי הן לא זהות.
בקליפורניה, ההחרגה יושבת בתוך ההגדרה של "החלטה משמעותית" בתקנות שאישרה רשות התקינה של המדינה ב-22 בספטמבר 2025 ושנכנסו לתוקף ב-1 בינואר 2026. ההגדרה מונה שירותים פיננסיים, דיור, חינוך, תעסוקה ובריאות, ואז מוסיפה סעיף קטן שישי שאומר שפרסום אינו נכנס. המשמעות המעשית: פרק ההחלטות האוטומטיות בתקנות, על חובת ההודעה המוקדמת וזכות ההתנגדות שבו, לא חל על מודעה.
בקולורדו, ההחרגה רחבה יותר. חוק SB 26-189, שנחתם ב-14 במאי 2026, מגדיר "החלטה תוצאתית" ואז שולל ממנה במפורש, בסעיף 6-1-1701(3)(b)(II), את "ADVERTISING, MARKETING, DIFFERENTIATED PRODUCT RECOMMENDATIONS, SEARCH, OR CONTENT MODERATION". כלומר לא רק פרסום, אלא גם שיווק, המלצות מוצר מובחנות, חיפוש ומודרציית תוכן. זו ההחרגה הנקייה ביותר מבין הארבע.
באירופה אין החרגה בנוסח החוק עצמו, אלא בקווים המנחים. מסמך C(2025) 5052 final מ-29 ביולי 2025 קובע בפסקה 133 שפרקטיקות מסחריות לגיטימיות ונפוצות כמו פרסום לא ייחשבו כשלעצמן מניפולטיביות או נצלניות, ומוסיף דוגמה: טכניקות פרסום שמשתמשות ב-AI כדי להתאים תוכן להעדפות משתמש אינן מניפולטיביות מטבען.
שלוש ההחרגות האלה אמיתיות, והן שוות כסף. אבל אף אחת מהן אינה החרגה של הנתונים שמזינים את הטירגוט, וזו הנקודה שבה המפה נפתחת.
| המשטר | מה הוחרג | מה תופס אתכם בכל זאת | התאריך שקובע |
|---|---|---|---|
| קליפורניה, תקנות CCPA | פרסום אינו "החלטה משמעותית", סעיף 7001(ddd)(6) | חובת הערכת סיכונים על מכירה או שיתוף של מידע אישי, סעיף 7150(b)(1) | 01.01.2027 לפרק ההחלטות האוטומטיות, 31.12.2027 להערכות סיכונים על פעילות קיימת |
| קולורדו, SB 26-189 | פרסום, שיווק, המלצות מוצר, חיפוש ומודרציה, סעיף 6-1-1701(3)(b)(II) | שום דבר בתוך החוק הזה. ההחרגה מלאה, בכפוף לשבעת התחומים המכוסים | 01.01.2027, וחל על החלטות שהתקבלו מאותו יום |
| האיחוד האירופי, חוק ה-AI | פרסום אינו מניפולטיבי כשלעצמו, פסקה 133 לקווים המנחים | האיסור בסעיף 5(1)(b) על ניצול פגיעוּת עקב גיל, מוגבלות או מצב חברתי או כלכלי | האיסורים חלים מ-02.02.2025, פרק העונשין מ-02.08.2025 |
| ישראל, תיקון 13 | אין החרגה, כי אין בחוק מושג של "החלטה אוטומטית" | חוקיות העיבוד עצמו, עם עיצום שמחושב לפי מספר נושאי המידע במאגר | בתוקף מ-14.08.2025 |
קליפורניה: פרסום יצא מהדלת הראשית ונכנס דרך "שיתוף"
זה החלק שהכי כדאי להבין, כי הוא נוגע בכל חברה ישראלית שמוכרת לשוק האמריקאי בהיקף מסוים.
אותן תקנות שמחקו פרסום מהגדרת ההחלטה המשמעותית מכילות פרק נפרד לגמרי על הערכות סיכונים. סעיף 7150(a) קובע שכל עסק שהעיבוד שלו מציג סיכון משמעותי לפרטיות חייב לבצע הערכת סיכונים לפני שהוא מתחיל בעיבוד. וסעיף 7150(b) מונה את פעילויות העיבוד שנחשבות סיכון משמעותי. הראשונה ברשימה, לפני הכול, היא "Selling or sharing personal information".
עכשיו צריך לדעת מה "שיתוף" אומר בחוק הקליפורני. סעיף 1798.140(ah)(1) לקוד האזרחי של קליפורניה מגדיר שיתוף כמסירה של מידע אישי מהעסק לצד שלישי לצורך cross-context behavioral advertising, בין אם תמורת כסף ובין אם לא. וסעיף קטן (k) מגדיר את המונח הזה כטירגוט של פרסום לצרכן על בסיס מידע אישי שנאסף על פעילותו באתרים, אפליקציות ושירותים שאינם אלה שאיתם הוא בחר לתקשר.
קראו את שני הסעיפים ברצף. פרסום הוחרג מפרק ההחלטות האוטומטיות, ואז הוחזר לתוך פרק הערכות הסיכונים בשם אחר. ההגדרה של "שיתוף" בחוק הזה היא פרסום מבוסס התנהגות חוצה-הקשרים, לא פחות ולא יותר. פיקסל שמעביר אירועים לרשת מודעות, קהל מותאם שנבנה מאירועי אתר ונטען לפלטפורמה, קהל דמוי שנגזר ממנו: כל אלה יושבים בדיוק על ההגדרה.
יש עוד טריגר ברשימה שאני רואה שמפספסים כמעט תמיד. סעיף 7150(b)(5) מוסיף לרשימה עיבוד אוטומטי שמסיק על צרכן העדפות, מצב כלכלי, בריאות או התנהגות, על בסיס נוכחות שלו במיקום רגיש. סעיף 7001(aaa) מגדיר "מיקום רגיש" ברשימה סגורה: מוסדות רפואיים, בתי מרקחת, מקלטים לנפגעות אלימות במשפחה, מוסדות חינוך, משרדי מפלגות, משרדי שירותים משפטיים, ועדי עובדים ובתי תפילה. כל מי שבנה קהל גיאוגרפי סביב אחת מהנקודות האלה צריך לדעת שהוא נמצא ברשימה.
מה שההערכה עצמה דורשת הוא החלק שהופך את זה למשימה תפעולית ולא לטופס. סעיף 7152(a)(1) מחייב לתעד את מטרת העיבוד, ואוסר לתאר אותה במונחים כלליים. הנוסח בתקנות מפורש: המטרה לא תתואר בביטויים כמו "לשפר את השירותים שלנו" או "למטרות אבטחה". סעיף 7154(a) מגדיר את המטרה של כל התרגיל כהגבלה או איסור של העיבוד כאשר הסיכון לפרטיות עולה על התועלת. זו לא בדיקת תיעוד, זו החלטה שיכולה לסגור פעילות.
ושלושה תאריכים שכדאי לשים ביומן. סעיף 7200(b) קובע שעסק שמשתמש בטכנולוגיית החלטות אוטומטיות להחלטה משמעותית לפני 1 בינואר 2027 חייב לעמוד בדרישות הפרק לא יאוחר מ-1 בינואר 2027. זה התאריך הנכון, ולא אפריל 2027 שמסתובב בכמה סיכומים. סעיף 7155(b) קובע שלפעילות עיבוד שהתחילה לפני מועד התחילה של התקנות וממשיכה אחריו, ההערכה חייבת להסתיים לא יאוחר מ-31 בדצמבר 2027. וסעיף 7157(a)(1) קובע שדיווח על הערכות שנערכו ב-2026 וב-2027 יוגש לסוכנות לא יאוחר מ-1 באפריל 2028.
הדיווח עצמו הוא הפרט שמשנה את ההתנהגות בארגון. סעיף 7157(b)(5) מחייב הצהרה שכוללת את המילים "Under penalty of perjury under the laws of the state of California", וסעיף 7157(c) קובע שמי שמגיש אותה חייב להיות חבר בהנהלה הבכירה של החברה שאחראי ישירות על העמידה בדרישות הערכת הסיכונים. כלומר יש אדם ספציפי בהנהלה שחותם, תחת אזהרת שבועה, על כך שההערכה נעשתה.
מי בכלל בפנים. סעיף 1798.140(d)(1) מחיל את החוק על עסק שפועל בקליפורניה ועומד באחד משלושה ספים: הכנסות שנתיות מעל 25 מיליון דולר, או קנייה, מכירה או שיתוף של מידע אישי של 100,000 צרכנים או משקי בית ומעלה בשנה, או הפקת 50 אחוזים ומעלה מההכנסות ממכירה או שיתוף של מידע אישי. הסף האמצעי הוא זה שתופס חברות ישראליות בינוניות שלא חשבו על עצמן כשחקן אמריקאי.
קולורדו: ההחרגה שאין מאחוריה דלת
קולורדו היא המקרה ההפוך, וכדאי לומר את זה במפורש כדי לא לייצר חרדה מיותרת.
החוק החדש ביטל וחוקק מחדש את כל הפרק הרלוונטי בספר החוקים של המדינה, והוא חל על "החלטות תוצאתיות" בשבעה תחומים בלבד: חינוך, תעסוקה, שכירה או רכישה של נדל"ן למגורים בקולורדו, שירותים פיננסיים או אשראי, ביטוח, שירותי בריאות, ושירותי ממשלה חיוניים והטבות ציבוריות. פרסום ושיווק אינם אחד מהם, והם גם מוחרגים במפורש ברשימת השלילה.
מה שכן צריך לבדוק הוא הכיוון ההפוך. אם המערכת שלכם מדרגת מועמדים לעבודה, מתמחרת פוליסה, מסננת בקשות אשראי או משפיעה על קבלה למוסד חינוכי, היא עלולה להיכנס גם אם היא יושבת פיזית בתוך מערכת השיווק. חוק קולורדו נכנס לתוקף ב-1 בינואר 2027 וחל על החלטות תוצאתיות שהתקבלו מאותו יום ואילך, כך שיש זמן למפות.
אירופה: כאן זה לא נוהל, זה איסור
שלושת המשטרים האחרים מדברים בשפה של תיעוד, הודעה וזכות התנגדות. אירופה היא היחידה מבין הארבעה שבה החשיפה על טירגוט אינה נוהל שהופר אלא פרקטיקה אסורה.
סעיף 5(1)(b) לתקנה (EU) 2024/1689 אוסר על העמדה בשוק, הפעלה או שימוש במערכת AI שמנצלת פגיעוּת של אדם או של קבוצה בשל גיל, מוגבלות או מצב חברתי או כלכלי מסוים, במטרה או בתוצאה של עיוות מהותי של ההתנהגות באופן שגורם או עלול לגרום נזק משמעותי.
המילים "מצב חברתי או כלכלי" הן אלה שמושכות פנימה מערכות טירגוט. הקווים המנחים של הנציבות נותנים דוגמה שכל מנהל שיווק ביצועים יזהה: אלגוריתם חיזוי שמשמש כדי לטרגט במודעות למוצרים פיננסיים טורפניים אנשים שגרים במיקודים בעלי הכנסה נמוכה ונמצאים במצוקה כלכלית, וכך מנצל את הרגישות שלהם למודעות כאלה מתוך ייאוש אפשרי וגורם להם נזק כספי משמעותי. זו פסקה 110 באותו מסמך שבפסקה 133 קובע שפרסום כשלעצמו אינו מניפולטיבי. שתי הפסקאות יחד הן המפה האמיתית: הכלי מותר, השימוש בו על אוכלוסייה פגיעה כדי לגרום נזק אסור.
שווה לשים לב לניואנס נוסף באותה פסקה. הקווים המנחים מבחינים בין טירגוט מכוון לבין הטיה לא מכוונת שנובעת מדאטת אימון מוטה, וקובעים שהאחרונה אינה הופכת אוטומטית לניצול פגיעוּת. אבל הם מוסיפים סייג: כשההשפעה נובעת מטירגוט על מאפיינים חלופיים שמתואמים מאוד עם מאפיין מוגן, למשל מיקוד דואר, זה כן נכנס. במונחי שיווק זה אומר שהשאלה אינה אילו שדות בחרתם בממשק, אלא במה השדות האלה מתואמים בפועל.
הסכומים כאן גדולים מכל השאר. סעיף 99(3) לתקנה קובע שאי-עמידה באיסור שבסעיף 5 תגרור קנס מנהלי של עד 35 מיליון אירו, או עד 7 אחוזים מהמחזור העולמי השנתי הכולל של השנה שקדמה, לפי הגבוה. זו התקרה הגבוהה ביותר בכל התקנה. האיסורים עצמם חלים מ-2 בפברואר 2025 ופרק העונשין מ-2 באוגוסט 2025, כך שזה כבר לא לוח זמנים עתידי.
והחלק שרלוונטי לישראלים במיוחד: סעיף 2(1)(c) מחיל את התקנה על ספקים ומטמיעים שמקום מושבם במדינה שלישית, כאשר הפלט של המערכת נעשה בו שימוש באיחוד. אין צורך בישות אירופית. הבסיס להבנת שכבת השקיפות המקבילה, זו של סימון תוכן, מפורק במדריך סימון תוכן ה-AI.
ישראל: המשטר שלא מדבר על החלטות אוטומטיות בכלל
ישראל היא המקרה היוצא דופן על המפה, ולא בגלל חומרה. בתיקון 13 לחוק הגנת הפרטיות אין מושג של "החלטה אוטומטית", אין הגדרה של פרופיילינג, ואין פרק מקביל לפרק ההחלטות האוטומטיות של קליפורניה. כלומר אין מה להחריג. במקום זאת החוק מטפל בשאלה מוקדמת יותר: האם העיבוד עצמו חוקי.
המשמעות המספרית מתוארת במדריך המקצועי של הרשות להגנת הפרטיות, שמפרט את מדרגות העיצום. על הפרות שנוגעות לעיבוד מידע שלא כדין, סכום העיצום הוא 4 שקלים בגין כל נושא מידע במאגר, או 8 שקלים אם קיים במאגר מידע בעל רגישות מיוחדת, וסכום העיצום בגין כל הפרה לא יפחת מ-200,000 שקל. הרשות מביאה דוגמה משלה: עיבוד מידע אישי בחריגה מהרשאה של בעל השליטה, במאגר שבו מידע על 200,000 איש שכולל מידע בעל רגישות מיוחדת, מגיע ל-1,600,000 שקל. בדוגמה נוספת, במדרגה אחרת של החוק, פנייה לקבוצה בלתי מסוימת של אנשים לאיסוף מידע אישי בלי ההודעה הנדרשת, במאגר שנאסף בו מידע על 500,000 איש עם רגישות מיוחדת, מגיעה ל-2,000,000 שקל.
ההיגיון הזה שונה מהותית משלושת האחרים. בקליפורניה ובקולורדו הקנס נגזר מהפרה, באירופה מהמחזור, ובישראל מגודל המאגר. מפרסם שבנה מאגר גדול של קהלים חי כאן עם חשיפה שגדלה ליניארית עם ההצלחה שלו באיסוף. התיקון נכנס לתוקף ב-14 באוגוסט 2025. הפירוק המלא של המשטר הזה, כולל מה נחשב מידע בעל רגישות מיוחדת ואיך זה נוגע בדאטה שיווקית מקצה לקצה, נמצא במדריך תיקון 13 לדאטה שיווקית.
איך יודעים אילו משטרים באמת נוגעים בסטאק שלכם
המפה שלמעלה שווה משהו רק אם היא מצטלבת עם מה שיש לכם בפועל. ארבע בדיקות שאפשר לסיים בשבוע עבודה אחד, לפי סדר התשואה. אני ממליצה לעשות אותן בסדר הזה, כי כל אחת מצמצמת את הבאה.
ספרו לכמה צדדים שלישיים אתם מוציאים מידע
פתחו את מנהל התגיות ואת רשימת האינטגרציות, ורשמו כל יעד שמקבל אירועים או קהלים. כל יעד כזה הוא "שיתוף" לפי ההגדרה הקליפורנית, וזה בדיוק מה שמפעיל את חובת הערכת הסיכונים. רוב הצוותים מגלים כאן יותר יעדים ממה שהם זכרו.
בדקו את הספים, לא את התחושה
שלפו את מספר הצרכנים שהמידע שלהם עבר לצדדים שלישיים בשנה האחרונה והשוו ל-100,000. חברה ישראלית בינונית שמריצה קמפיינים בארה"ב חוצה את הסף הזה הרבה לפני שהיא חוצה את סף ההכנסות, וזה הסף שמפתיע.
חפשו פרוקסי למאפיין מוגן
עברו על הקהלים הפעילים ושאלו על כל אחד במה הוא מתואם בפועל, לא מה כתוב בשם שלו. מיקוד, רשימת מיקומים או שכבת הכנסה שמתואמת עם מצוקה כלכלית היא בדיוק המקרה שהקווים המנחים האירופיים מתארים.
כתבו את מטרת העיבוד במשפט אחד ספציפי
התקנות הקליפורניות פוסלות במפורש ניסוחים כמו "לשפר את השירותים שלנו". אם אתם לא מצליחים לנסח את המטרה בלי הביטויים האלה, זה סימן שהעיבוד רחב יותר ממה שאתם באמת צריכים, וזו בעיה תפעולית לפני שהיא בעיה משפטית.
אחרי ארבע הבדיקות האלה תדעו בוודאות אילו משטרים נוגעים בכם ואילו לא, וזה בדרך כלל פחות ממה שחששתם. את מבנה הקהלים עצמו והשאלה מה נשען על מידע צד ראשון פירקנו במדריך קהלי צד ראשון בטירגוט, ואת שכבת ההסכמה שמזינה את כל זה בצ'קליסט פיצול ההסכמה ב-GA4 ובגוגל אדס.
שאלות נפוצות
אם פרסום הוחרג בקליפורניה, למה בכלל צריך הערכת סיכונים?
כי מדובר בשני פרקים נפרדים בתקנות. ההחרגה שבסעיף 7001(ddd)(6) מוציאה פרסום מהגדרת "החלטה משמעותית", ולכן פרק ההחלטות האוטומטיות אינו חל עליו. פרק הערכות הסיכונים עובד לפי רשימה אחרת לגמרי, וסעיף 7150(b)(1) מציב בראשה מכירה או שיתוף של מידע אישי. "שיתוף" מוגדר בחוק כמסירה לצד שלישי לצורך פרסום התנהגותי חוצה-הקשרים, כך שאותה פעילות שהוחרגה מפרק אחד מפעילה את הפרק השני.
אנחנו חברה ישראלית בלי ישות בארה"ב או באירופה. זה נוגע לנו?
יכול להיות. בקליפורניה הטריגר הוא עשיית עסקים במדינה יחד עם אחד משלושת הספים שבסעיף 1798.140(d)(1), ולא מקום ההתאגדות. באיחוד האירופי סעיף 2(1)(c) לחוק ה-AI חל על ספקים ומטמיעים ממדינה שלישית כאשר הפלט של המערכת נעשה בו שימוש באיחוד. שתי המסגרות בנויות סביב מקום הפעילות והפלט, לא סביב מקום הרישום. את התשובה למקרה ספציפי צריך לקבל מיועץ משפטי.
מה ההבדל המעשי בין ההחרגה של קולורדו לזו של קליפורניה?
ההחרגה של קולורדו רחבה יותר ואין מאחוריה מסלול חלופי בתוך אותו חוק. היא מוציאה פרסום, שיווק, המלצות מוצר מובחנות, חיפוש ומודרציית תוכן, והחוק כולו חל רק על שבעה תחומים מכוסים שפרסום אינו אחד מהם. ההחרגה של קליפורניה צרה יותר: היא נוגעת רק להגדרת ההחלטה המשמעותית, בעוד שפרק אחר באותן תקנות תופס את אותה פעילות דרך הגדרת השיתוף.
איפה בישראל מוסדר טירגוט אוטומטי?
לא במסגרת של החלטות אוטומטיות, כי מסגרת כזאת אינה קיימת בחוק הישראלי. הרגולציה נוגעת בטירגוט דרך חוקיות העיבוד ודרך הכללים על דיוור ישיר בחוק הגנת הפרטיות. מה שהשתנה בתיקון 13 הוא בעיקר גובה החשיפה ואופן החישוב שלה, שנגזר ממספר נושאי המידע במאגר ולא מחומרת ההפרה בלבד.
מה עושים עם זה
קחו השבוע שעה אחת ופתחו את מנהל התגיות ואת רשימת האינטגרציות של הפלטפורמות, ורשמו כל יעד חיצוני שמקבל אירועים או קהלים, יחד עם מספר המשתמשים המשוער שעובר אליו בשנה. זו הרשימה היחידה שממנה נגזרות שלוש מתוך ארבע ההחלטות שבכתבה הזאת, והיא גם הרשימה שאף אחד לא מחזיק מעודכנת. אחרי שהיא קיימת, השאלה מי מבין ארבעת המשטרים נוגע בכם הופכת לבדיקה של חצי שעה מול טבלה, במקום לפרויקט.
5 עדכונים שחשוב לדעת + ניתוח אחד. אימייל אחד בשבוע, בלי ספאם.