פרשת הדלפת התכתבויות הוואטסאפ של היועץ לראש הממשלה ממשיכה לטלטל את הזירה הציבורית. החומר, שהגיע ממקור אנונימי ותוכנו טרם אומת, כולל גם שיחות עם אנשים פרטיים שלא בחרו להיחשף, וברקע עולה טענה לחיבור בין החשבון לשירות חיצוני בחו"ל. בינתיים ההתכתבויות כבר מתגלגלות בקבוצות ובפיד של הרשתות החברתיות, ורבים לוחצים על "שתף" בלי לחשוב פעמיים. אבל האם מדובר בפגיעה בפרטיות לפי החוק? מה דינו של מי שרק העביר הלאה? והיכן עובר הגבול בין זכות הציבור לדעת לבין זכותו של איש ציבור לפרטיות? שוחחנו עם עו"ד רועי וולר, ממונה הגנת פרטיות (DPO) ומנהל סיכונים, על הסיכונים המשפטיים שמאחורי ההדלפה ועל השינויים שנדרשים בחקיקה.
עו"ד וולר, הדלפה של התכתבויות פרטיות, גם של איש ציבור, היא פגיעה בפרטיות לפי החוק? ומה הדין לגבי מי שמפרסם אותן, או רק משתף ברשתות?
"ראשית, חשוב להבהיר מראש: הניתוח כאן הוא ניתוח משפטי-עקרוני של הוראות החוק והפסיקה. איננו קובעים עובדות או מסקנות לגבי מקרה כזה או אחר, אלא מסבירים את מכלול הכללים והסיכונים המשפטיים שהדין הישראלי מעמיד בסיטואציות כאלו.
חשוב להבין שכפתור ה'שתף' או 'העבר' נתפס אצל משתמשים רבים כפעולה טכנית פשוטה או כהבעת עניין פסיבית, אך מבחינה משפטית מדובר בפעולת פרסום והפצה לכל דבר ועניין. דיני הגנת הפרטיות קובעים שהעתקה או שימוש בכתב שלא נועד לפרסום, ללא רשות של הכותב או הנמען, מהווים פגיעה בפרטיות. החוק מוסיף וקובע שגם עצם הפרסום או המסירה של מידע שהושג תוך פגיעה בפרטיות הם פגיעה נפרדת בפני עצמה, וכשזה נעשה במזיד, מדובר כבר בעבירה פלילית שדינה עד חמש שנות מאסר.
כדי להבין את התמונה המשפטית המלאה, צריך להסתכל על הסיטואציה הזו דרך שלושה מעגלים: המעגל הראשון הוא האדם שפרץ או השיג את החומר. לפי חוק המחשבים מדובר בעבירה פלילית של עד שלוש שנות מאסר על עצם החדירה, ועד חמש שנים אם החדירה נועדה לבצע עבירה נוספת, כשבחוק המחשבים אין שום הגנה של 'עניין ציבורי'. המעגל השני הוא המפרסם המקורי, שעלול להיות חשוף הן במישור הפלילי והן במישור האזרחי. המעגל השלישי הוא המשתף האקראי. בית המשפט העליון כבר קבע שפעולת שיתוף היא פרסום חדש ועצמאי, ובדיני פרטיות עצם ההעברה הלאה מהווה שימוש ומסירה. בפועל, הגשת כתבי אישום פליליים נגד משתפים בודדים אינה סבירה, אבל החשיפה שלהם לתביעות אזרחיות מצד הנפגעים היא אמיתית ומוחשית לחלוטין."
ההתכתבויות שפורסמו כוללות שיחות עם מספר אנשים שלא בחרו להיחשף. מה מעמדם המשפטי, ואילו כלים עומדים לרשותם?
"על פניו, הם הנפגעים השקטים בסיפור הזה. ברגע שהשיחות שלהם דלפו ללא הסכמתם, קמה לכל אחד מאנשים אלו עילת תביעה עצמאית. מעבר לזה, אם מפיץ החומר ינסה לטעון בבית המשפט לטענת 'עניין ציבורי', הטיעון הזה יהיה חלש ורופף מאוד כשמדובר באנשים פרטיים שלא בחרו להיחשף.
"במישור האזרחי, ייתכן שפגיעה בפרטיות עלולה לחשוף את האחראים לה לתביעות כספיות ולסעדים משפטיים נוספים. חוק הגנת הפרטיות מאפשר, במקרים המתאימים, לפסוק פיצוי ללא הוכחת נזק. כאשר ניתן להוכיח נזק שנגרם עקב הפגיעה בפרטיות, ניתן לבחון גם תביעה לפיצוי בגין אותו נזק, בהתאם לעילת התביעה ולדין החל. משמעות הדבר היא שהחשיפה המשפטית אינה מסתכמת בהכרח בסכומים הקבועים בחוק לפיצוי ללא הוכחת נזק.
המחשה לכך ניתן למצוא בפסק הדין שניתן באוקטובר 2026 בעניינו של עו"ד אפי נוה, שבו דווח על פסיקת פיצוי בסך 450,000 ש"ח בגין פגיעה בפרטיות בעקבות חדירה לטלפונים ניידים והפקת מידע אישי מהם. המקרה ממחיש את החשיפה הכספית האפשרית כאשר נסיבות הפגיעה חמורות, אך אין להסיק ממנו כי בכל מקרה של פגיעה בפרטיות ייפסק פיצוי דומה.
בהתאם לנסיבות, עשויים לעמוד לנפגע גם סעדים נוספים, ובהם בקשה לצו מניעה, דרישה להסרת תוכן שפורסם שלא כדין, הגשת תלונה במשטרה כאשר קיים חשד לעבירה פלילית, ובמקרים המתאימים גם תביעה לפי חוק איסור לשון הרע. הבחירה במסלול המשפטי מחייבת בחינה פרטנית של אופן השגת המידע, השימוש שנעשה בו, היקף הפצתו והנזק שנגרם."
יועץ לראש הממשלה הוא דמות ציבורית. איפה עובר הגבול בין זכות הציבור לדעת לבין זכותו לפרטיות, ומי מכריע בזה?
"המבחן המשפטי אינו זהותו או מעמדו הציבורי של האדם שעליו נסב הפרסום, אלא טיב המידע, תוכנו, נסיבות השגתו והצדקתו של הפרסום בנסיבות העניין. העובדה שאדם מוכר לציבור אינה הופכת את חייו הפרטיים לנחלת הכלל, ואינה מקנה היתר גורף לחשיפת מידע אישי עליו. יש לבחון אם מתקיים עניין ציבורי ממשי בפרסום, להבדיל מסקרנות ציבורית גרידא, וכן אם עומדת למפרסם הגנה מן ההגנות הקבועות בדין.
"גם כאשר המידע אמין, אין בכך לבדו כדי להכשיר את פרסומו. יש לבחון את התכלית שביסוד הפרסום, את מידת הפגיעה בפרטיות, את הרלוונטיות של המידע לעניין הציבורי ואת האיזון בין חופש הביטוי וזכות הציבור לדעת לבין הזכות לפרטיות. במקרים המתאימים יש לבחון גם את דרישת תום הלב ואת יתר התנאים הקבועים בהגנה המשפטית הרלוונטית.
בית המשפט הוא שיכריע בדיעבד אם הפרסום היה מותר, אך האחריות הראשונית להערכת הסיכון המשפטי והאתי מוטלת על העורך ועל המפרסם בזמן אמת. ההכרעה אינה מסתכמת בשאלה אם המידע מעניין את הציבור, אלא אם קיימת הצדקה משפטית לפרסמו, בהתחשב בהיקף הפגיעה בפרטיות ובחלופות אפשריות להשגת מטרת הפרסום."
קיימת טענה שנוצר חיבור בין חשבון הוואטסאפ לבין שירות חיצוני בחו"ל. כשאדם חושף מידע לצד שלישי, הוא מוותר על ההגנה המשפטית?
"השארת דלת פתוחה אינה הזמנה לפרוץ פנימה. אדם שמחבר את חשבון ה-WhatsApp שלו לשירות חיצוני עשוי להסכים לעיבוד מידע מסוים בידי ספק השירות, בהתאם להרשאות שניתנו ולתנאי השימוש. מכאן לא נובע שהוא ויתר על פרטיותו כלפי העולם כולו. בוודאי שהוא לא העניק לכל אדם הרשאה לעיין בהתכתבויותיו, להעתיקן או לפרסמן.
נדגיש: יש הבדל בין הסכמה לשימוש בשירות, הרשאה טכנית לגשת לחשבון, והסכמה לחשיפת המידע לצדדים שלישיים. כל אחת מהן נבחנת לפי תוכנה, היקפה ונסיבותיה. העובדה שמידע היה נגיש מבחינה טכנית אינה מכריעה כשלעצמה אם הגישה אליו הייתה מותרת מבחינה משפטית.
מנגד, אין להתעלם מהשאלה אם התנהלותו של בעל החשבון תרמה לחשיפת המידע. בנסיבות המתאימות עשויה להתעורר טענה בדבר 'אשם תורם', היינו תרומת הנפגע לנזק. אך שוב, אין בכך כדי להכשיר גישה בלתי מורשית.
למיקום השירות מחוץ לישראל עשויה להיות משמעות נוספת. כאשר מידע אישי נשמר או מעובד מחוץ לישראל, יש לבדוק מי מחזיק בו, אילו גורמים רשאים לגשת אליו, מהן התחייבויות ספק השירות בנוגע להגנת הפרטיות ולאבטחת המידע, ואילו דינים חלים על עיבודו ועל מסירתו. אם מדובר במידע רגיש או במידע בעל משמעות ביטחונית, עשויות להתעורר גם שאלות של אבטחת מידע, ביטחון מידע, חשיפה לגורמים זרים, ניהול סיכונים וכיוצ"ב.
בסופו של דבר, השאלות המכריעות הן מה נחשף, למי ניתנה הרשאה, כיצד הושג המידע, לאיזו מטרה נעשה בו שימוש והאם התקיימה הסמכה חוקית מתאימה. במקרים שבהם מעורבים מידע אישי רגיש, שירותים חוצי גבולות או חשש לחשיפה ביטחונית, אין להסתפק בבחינת תנאי השימוש של האפליקציה. נדרשת בחינה משולבת של דיני הפרטיות, דיני המחשבים, אבטחת המידע והדין החל על העברת מידע בין מדינות."
אם יש זיקה בין פרצת האבטחה להדלפה, יש אחריות משפטית לחברה שסיפקה את השירות? ומה היכולת לאכוף חוק ישראלי על חברה זרה?
"יש להבחין בין עצם קיומה של פרצת אבטחה לבין אחריותו המשפטית של ספק השירות. כדי לבסס אחריות בעילות כגון רשלנות, הפרת חוזה או הפרת חובות לפי דיני הגנת הפרטיות ואבטחת המידע, יש לבחון את החובות שחלו על הספק, את אמצעי האבטחה שנקט, את הקשר הסיבתי בין התנהלותו להדלפה ואת הנזק שנגרם. גם הקביעה כי חלה חובת דיווח לרשות להגנת הפרטיות מחייבת בדיקה לפי סוג האירוע, היקפו והוראות הדין הרלוונטיות.
באשר לחברה זרה, אין להניח מראש שהדין הישראלי אינו חל עליה, אך גם אין להניח שניתן לאכוף אותו בקלות. יש לבחון את זיקת החברה לישראל, את תחולת הדין הישראלי על פעילותה, את סמכות השיפוט, את תנאי ההתקשרות ואת האפשרות להמציא לה כתבי בי־דין ולאכוף פסק דין במדינת מושבה. תניית שיפוט זר עשויה להשפיע על ניהול ההליך, אך אינה מכריעה בהכרח בכל מקרה.
אם הדברים מתייחסים לאירוע קונקרטי, יש לאמת את זהות ספק השירות, מקום התאגדותו, תנאי השימוש, היקף החשיפה והנסיבות שבהן התרחשה ההדלפה. בהיעדר נתונים אלה, נכון להציג את האחריות ואת אפשרויות האכיפה כשאלות משפטיות הטעונות בחינה פרטנית, ולא כמסקנות שכבר הוכרעו. מבחינה מעשית, ראוי לבחון במקביל את האפשרות לפעול נגד גורמים בישראל, ככל שקיימת נגדם עילת תביעה עצמאית, בלי להניח שהדבר מייתר את בחינת אחריותו של הספק הזר."
ההדלפה מגיעה ממקור אנונימי והתוכן לא אומת. מה הסיכון בהפצת חומר שעלול להיות מזויף או ערוך?
"הפצת חומר שמקורו אינו ידוע ושאמינותו טרם נבדקה עלולה לחשוף את המפרסם לסיכון משפטי משמעותי. כאשר ניתן לייצר בתוך שניות בודדות, באמצעות AI, הקלטות, התכתבויות ומסמכים הנחזים לאותנטיים, עצם קבלת החומר או העובדה שהוא כבר מופץ ברשת אינן תחליף לבדיקת אמינותו."
יש כאן היבט שחורג מפרטיות אישית, כמו אבטחת מידע של גורמים ממלכתיים?
"היבט זה חורג מהזכות לפרטיות ונוגע גם לאבטחת מידע, לשמירת מסמכים רשמיים, לניהול של עבודת המגזר הציבורי. כאשר מידע הנוגע לפעילות שלטונית מועבר באמצעות יישומי מסרים או מכשירים פרטיים, עלולות להתעורר שאלות בדבר אבטחתו, נגישותם של גורמים מורשים אליו, שמירתו לאורך זמן והאפשרות לאתרו ולשחזרו בעת הצורך.
חוק הארכיונים, וההסדרים הנוגעים לניהול חומר ארכיוני עשויים להיות רלוונטיים גם לתיעוד דיגיטלי. לצד זאת, השימוש באמצעי תקשורת פרטיים אינו מהווה כשלעצמו הפרה של הדין בכל מקרה. מבלי להתייחס לפרטי הפרשה, הסוגיה העקרונית היא הפער האפשרי בין חובותיהן של רשויות ציבוריות בתחום אבטחת המידע, שמירת התיעוד והשקיפות, לבין פרקטיקות עבודה שאינן מבטיחות בהכרח עמידה בחובות אלה. נדרשת מדיניות ברורה באשר לשימוש ביישומי מסרים, לתיעוד התכתבויות בעלות משמעות ציבורית, לשמירת מידע ולהעברת מידע בין מערכות, תוך איזון בין צורכי העבודה, אבטחת המידע והחובות המשפטיות החלות על הרשות, וכן הגנת הפרטיות."
מה הפרשה הזו מלמדת את האזרח הפשוט על שימוש בוואטסאפ ובכלי AI, ואיזה שינוי נדרש בחקיקה?
"מבלי להתייחס לפרטים הספציפיים שפורסמו, הכלל שכל אזרח חייב להפנים הוא שהוואטסאפ שלו מאובטח בדיוק כמו החוליה החלשה ביותר שהוא חיבר אליה. ברמה המעשית, כל אדם צריך להיכנס כבר עכשיו להגדרות הוואטסאפ שלו ולבדוק את רשימת המכשירים המקושרים, להפעיל אימות דו-שלבי בכל אפליקציות המסרים, ולהימנע מחיבור של אפליקציות חיצוניות, שירותי גיבוי לא מוכרים או כלי בינה מלאכותית מבלי לבדוק תחילה מי מפעיל אותם, היכן נשמר המידע ומהם תנאי הפרטיות שלהם.
במישור החקיקתי, הפרשה הזו מוכיחה שנדרשת סדרה של שינויים דחופים. ראשית, חייבים לחוקק מסגרת משפטית שתאפשר לחשוף את זהותם של מפיצים אנונימיים ברשת. שנית, יש צורך בהחלת תחולה חוץ-טריטוריאלית מפורשת של חוק הגנת הפרטיות על חברות ושרתים זרים המעניקים שירותים לישראלים, בדומה ל-GDPR האירופי. בנוסף, נדרשת רגולציה מחייבת ואכיפה לכלי AI המתממשקים לתקשורת אישית, לצד קביעת נהלים מחייבים לגבי האופן שבו עובדי מדינה ונבחרי ציבור משתמשים באפליקציות מסרים לצורכי עבודתם."
עו"ד רועי וולר ממשרד וולר ושות' הוא מוסמך במשפטים, ממונה הגנת הפרטיות (DPO), מנהל סיכונים (C.R.O) ומגשר. כיהן כמנכ"ל המועצה האזורית גוש עציון, כראש מטה שר התיירות וכיועץ בכיר ליו"ר ועדת הכספים בכנסת, ומרצה בין היתר בתחום דיני הגנת הפרטיות.
*המידע במאמר זה הינו כללי בלבד ואינו מהווה תחליף לייעוץ משפטי מקצועי
** חלק מהתמונות והתכנים המופיעים בכתבה זו הוכנו בעזרת מחוללי בינה מלאכותית. אם זיהיתם תמונה או תוכן כלשהו בו אתם בעלי זכויות יוצרים, אתם רשאים לפנות אלינו ולבקש לחדול משימוש בו, באמצעות כתובת המייל mailto:[email protected]
