אין המדובר בתיקון 13 לחוק, שהתקבל לא מכבר בכנסת וייכנס לתוקף ב-14.8.2025… מדובר בתקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאיזור הכלכלי האירופי), התשפ"ג – 2023 שהתקבלו ב-2023. מה להן ולתיקון החוק?
התקנות קובעות שורה של חובות חדשניות, שחלקן כלל אינן מוכרות בחוק הישראלי. לדוגמה, "הזכות להישכח" (למחוק מידע אישי לבקשת נושא המידע), חובת יידוע על עיבוד הנתונים לאדם שהמידע האישי על אודותיו לא הגיע ממנו עצמו במישרין, חובה לדאוג לדיוק המידע ועוד. כל אלה זכויות שהוקנו בתחילה למי שהמידע עליהם הועבר למאגרי בישראל מהאזור הכלכלי האירופי (האיחוד האירופי וכן נורווגיה, איסלנד וליכטנשטיין).
אבל עוד שלושה חודשים וחצי, תחולתן תורחב מאד.
על מי יחולו התקנות
החל מ-1.1.2025 יחולו התקנות על כל המידע המצוי במאגרי מידע בישראל, כל עוד יש באותם מאגרים גם מידע שהגיע מהאזור הכלכלי האירופי. מידע שהגיע במישרין מיחיד באירופה, פטור מתחולת התקנות. ארגונים רבים במשק מקבלים מידע ממאגרי מידע באיזור הכלכלי האירופי. לדוגמה בלבד –
- בנקים ומוסדות פיננסיים;
- חברות ביטוח;
- בתי חולים, קופות חולים ואירגוני בריאות;
- משרדי רואי-חשבון ועורכי דין;
- חברות תעופה, סוכני נסיעות וחברות תיירות;
- גופי ממשלה ורשויות ציבור.
למי התקנות יקנו זכויות
עם תחילת השנה, התקנות יחולו לא רק על מידע שמקורו באזור הכלכלי האירופי ומוחזק במאגרים בישראל, אלא גם על מידע אישי של תושבי ישראל. הלכה למעשה הן יקנו זכויות לתושבי כל מדינה בעולם, שהמידע האישי על אודותם מוחזק בישראל. הן יחוללו אפוא שינוי מהותי בזכויות שמעניק חוק הגנת הפרטיות, התשמ"א-1981 ליחידים.
מה קובעות התקנות
רוב מכריע של החובות לפי התקנות אינו מוכר בחוק הקיים. הנה חלקן בקליפת אגוז (זו לא רשימה ממצה!) –
- חובת מחיקת מידע – בעל מאגר נדרש למחוק מידע לבקשת נושא המידע, בין השאר ככל שהמידע אינו נחוץ עוד למטרות שלשמן נוצר, נתקבל, נצבר או נאסף. בעל מאגר רשאי לסרב לבקשה מטעמים מוגבלים.
- הגבלת החזקת מידע שאינו נחוץ – בעל מאגר נדרש להפעיל מנגנונים שיבטיחו כי לא יוחזק במאגר מידע שאינו נחוץ עוד למטרה שלשמה נאסף או הוחזק מלכתחילה, או למטרה אחרת שלשמה מותר להחזיקו לפי כל דין.
- חובת דיוק מידע –בעל מאגר נדרש להפעיל מנגנונים שיבטיחו כי המידע שהתקבל במאגר הוא נכון, שלם, ברור ומעודכן. ככל שמצא כי המידע אינו כזה, עליו לנקוט באמצעים לצורך תיקון או מחיקת המידע.
- חובת יידוע – כאשר המידע שבידי בעל המאגר לא התקבל במישרין מנושא המידע, בעל המאגר נדרש להודיע לנושא המידע לכל המאוחר תוך חודש, על זהות בעל מאגר המידע ומנהל המאגר, מענם ודרכי ההתקשרות עמם; מטרת העברת המידע; סוג המידע שהועבר; וקיומן של זכויות המחיקה, העיון ותיקון המידע של נושא המידע. החובה חלה גם כאשר בעל המאגר מעוניין להעביר את המידע לצדדים שלישיים.
כיצד להיערך
מניסיוננו, ההיערכות שונה מהותית מאירגון לאירגון. בעיקרו של דבר היא מחייבת הבנה מהו המידע המגיע לאירגון ממאגרי מידע באיזור הכלכלי האירופי, לאילו מאגרים באירגון הוא מתקבל, מה השלכות תחולתן של התקנות על כל נושאי המידע בישראל והאם האירגון יכול לעמוד בכך, ומהם הצעדים שהאירגון יכול לנקוט כדין כדי להגביל את תחולת התקנות על כל נושאי המידע שאצלו.
הערות לסיום
- משרד המשפטים הודיע בדיון שהתקיים ב-23.4.2023 בוועדת החוקה, חוק ומשפט בכנסת, כי בכוונתו להציג בתוך חודשים ספורים את התיקונים המהותיים לחוק הגנת הפרטיות, הידועים כתיקון 15. המשרד שאף לייתר את ההסדר בתקנות, בכך שהתיקונים המהותיים ייקבעו בחוק עוד לפני תחילת 2025. היות שטרם פורסם אפילו תזכיר חוק לתיקון 15, אין סיכוי נראה לעין שב-1.1.2025 התקנות לא ייכנסו לתוקף כאמור מעלה, אלא אם משרד המשפטים יבקש לדחות את תחולתן ויספיק להשלים תיקון כזה בתקנות.
- אנו צפויים למצב בלתי-רצוי בעליל שבו בינואר ייכנס לתוקף הסדר מהותי חדש באמצעות התקנות, וזמן לא ידוע לאחר מכן ייכנס לתוקף הסדר מהותי אחר באמצעות התיקון לחוק גופו.
- העובדה שהתקנות מבקשות לתקן הסדרים מהותיים בחוק, שהמדינה עצמה מכירה בכך שמקומם בהסדר ראשוני – דהיינו, בתיקון חוק הגנת הפרטיות – מאפשרת לדעתנו לטעון נגד תוקפן.
נשמח לעמוד לרשותכם לפרטים נוספים ולכל שאלה בנדון.
חיים רביה, עו"ד HRavia@pearlcohen.com
דותן המר, עו"ד DHammer@pearlcohen.com
קבוצת הסייבר, הפרטיות וזכויות היוצרים.
האמור בעדכון זה אינו מתיימר למצות את כל הבטי הנושא. מטרתו היא עדכון כללי בלבד. אין להסתמך על האמור בו כעצה משפטית.
