מאת: חיים רביה, דותן המר, אור כהן
חוק הנתונים של האיחוד האירופי ייכנס לתוקף ב-12 בספטמבר 2025. אין לבלבל אותו עם התקנות הכלליות להגנה על מידע (ה-GDPR), שאינן קשורות אליו. חוק הנתונים מסדיר את החלוקה ההוגנת, השיתוף והניידות של נתונים שנאספים על ידי כל מוצר המחובר לרשת ושירותים נלווים. הוא חל על כל סוגי הנתונים, ולא רק על מידע אישי.
הגדרות ותחולת החוק
החוק חל על מוצרים מחוברים המופצים בשוק האיחוד האירופי, המסוגלים להשיג, לייצר או לאסוף ולשתף נתונים. החוק חל על מחזיקי נתונים: יצרני מוצרים מחוברים וספקי שירותים נלווים החיוניים לתפקוד התקין של המוצרים. הוא חל על כל המשתמשים שבבעלותם מוצר מחובר או המשתמשים שמקבלים שירותים נלווים, ועל ספקי שירותי עיבוד נתונים, כולל IaaS, PaaS ו-SaaS.
'נתונים' מוגדרים באופן רחב כ"כל מצג דיגיטלי של פעולות, עובדות או מידע". ההגדרה כוללת מידע אישי, נתונים על ביצועי המוצר המחובר, נתוני שימוש ונתונים סביבתיים.
זכויות משתמשים חדשות וגישה ישירה לנתונים
החוק מציב דרישות ומעניק זכויות משתמשים חדשות עבור מוצרים מחוברים, כאשר המטרה הכוללת היא שמירה על ניידות נתונים.
- זכות לגישה ישירה או עקיפה. למשתמשים חייבת להיות גישה ישירה, המוענקת כברירת מחדל, לנתונים, כולל מטא-דאטה, כאשר הגישה רלוונטית ואפשרית מבחינה טכנית. בכל מקום שבו הגישה הישירה אינה אפשרית, למשתמשים חייבת להיות יכולת להגיש בקשה פשוטה לגישה לנתונים.
- זכות לשימוש בנתונים. ניתן להשתמש בנתונים לכל מטרה חוקית, כולל הנדסה לאחור (reverse engineering). אסור להשתמש בנתונים כדי לפתח מוצר מחובר מתחרה, אך ניתן להשתמש בהם כדי לפתח שירותים נלווים מתחרים.
- זכות לשיתוף. מחזיקי נתונים חייבים להיענות לבקשות משתמשים לשתף נתונים עם צדדים שלישיים, כולל מתחרים המספקים שירותי תמיכה לא רשמיים לאחר מכירת המוצרים (Aftermarket services). הענקת זכות זו מחייבת רק ארגונים בינוניים וגדולים.
- זכות לניוד. יצרנים ומוצריהם חייבים לאפשר למשתמשים לעבור בין שירותי עיבוד נתונים, להסיר מכשולים ארגוניים, חוזיים וטכניים, לעבור לשירותים מקומיים (on-prem) ולמחוק נתונים.
סודות מסחריים – מעצור הבטיחות והאבטחה
משתמשים ומחזיקי נתונים יכולים להסכים, להגביל או לסרב לשתף נתונים רק אם קיים סיכון לפגיעה באבטחת המוצר המחובר, אשר עלול לגרום להשפעות שליליות חמורות על הבריאות, הבטיחות או האבטחה.
מחזיקי נתונים רשאים גם לזהות נתונים המהווים סודות מסחריים ולהסכים עם המשתמשים על האמצעים הנחוצים לשמירה על סודיותם. מחזיק הנתונים רשאי לעכב או להשעות את שיתוף הסודות המסחריים רק אם אין הסכם לשמירה על סודיות, אם אמצעי שמירת הסודיות המוסכמים אינם מיושמים, או אם סודיות הסודות המסחריים נפגעת. רק כאשר קיימת סבירות גבוהה מאוד שייגרם נזק כלכלי חמור כתוצאה מחשיפה כזו, מחזיק הנתונים יהיה רשאי לסרב לשתף את הסודות המסחריים.
תנאי חוזה לא הוגנים המוטלים באופן חד צדדי על ארגון אחר
תנאי חוזה לא הוגנים הנוגעים לגישה ושימוש בנתונים, או לאחריות ותרופות הקשורות לנתונים, לא יהיו מחייבים. תנאי חוזה ייחשבו כלא הוגנים אם הם התקבלו על ידי ניצול לרעה של עמדת מיקוח חזקה יותר. תנאים אלה כוללים הגבלת אחריות על מעשים מכוונים או רשלנות חמורה, שלילת תרופות וסיום חוזה בהתראה קצרה.
תנאים חוזיים חדשים
יצרנים, מוכרים ומשכירים של מכשירים מחוברים חייבים להודיע למשתמשים על הסוג, הפורמט וההיקף המשוער של נתוני מוצר הנוצרים, יכולתו של המוצר לייצר נתונים, מיקום הנתונים, משך שמירת הנתונים וזכויות המשתמשים.
ספקים של שירותים נלווים חייבים להודיע למשתמשים על האופי, הכמות המשוערת ותדירות האיסוף של נתוני המוצר, האופי והכמות המשוערת של נתוני השירות הנלווים שייוצרו, פרטי מחזיק הנתונים או פרטי הצדדים השלישיים האחרים המשתמשים בנתונים, זכויות המשתמשים וזהות מחזיקי הסודות המסחריים.
ספקי שירותים חייבים ליישם אמצעים לתמיכה במעבר יעיל בין שירותים. עליהם להודיע למשתמשים באמצעות החוזה על האופן והדרכים למעבר לשירות אחר, ניוד נתונים, הגבלות, מגבלות טכניות ופרטים על מבנה ופורמט הנתונים. ספקי שירותים חייבים גם לפרסם באתרם מידע על תחום השיפוט החל על תשתיותיהם, האמצעים שננקטו כדי למנוע העברות נתונים מחוץ לאיחוד האירופי ולמניעת גישה ממשלתית בלתי מורשית ומידע על עמלות סיום ההתקשרות החוזית.
אמצעי אבטחת נתונים ויכולת פעולה הדדית
ספקי שירותים חייבים ליישם אמצעים כדי למנוע גישה ממשלתית או העברת נתונים למדינות מחוץ לאיחוד האירופי, אלא אם הגישה או ההעברה נעשות במסגרת הסכם בינלאומי או אם הורה על כך בית משפט של אותן מדינות, ובתנאי שמערכת המשפט של אותן מדינות הוגנת ושקופה. יש ליידע את המשתמשים כאשר מתרחשת העברה כזו.
מחזיקי נתונים חייבים גם לעמוד בדרישות יכולת פעולה הדדית לשיתוף נתונים (Interoperability), כדי למנוע את נעילת המשתמש אצל אותם ספקים, ולקדם תחרות על ידי הקלת והפשטת המעבר בין שירותים ושימוש במספר ספקים במקביל.
אכיפה
מדינות חברות באיחוד האירופי יגדירו עונשים וימנו רשויות לאומיות מוסמכות עד ספטמבר 2025.
לוח זמנים ליישום
החוק ייכנס לתוקף ב-12 בספטמבר 2025. זכויות הגישה הישירה יחולו על מוצרים מחוברים והשירותים הקשורים אליהם המוצעים בשוק האירופי לאחר ה-12 בספטמבר 2026.
החוק החדש מציג זכויות וחובות חדשות החלות על פעילויות עסקיות שלא הוסדרו בעבר. ארגונים צריכים לבחון ולהיערך לחובות חדשות אלה בשוק האירופי. נשמח לסייע.
עו"ד חיים רביה
HRavia@pearlcohen.com
עו"ד דותן המר
DHammer@pearlcohen.com
עו"ד אור כהן
OCohen@pearlcohen.com
קבוצת סייבר, פרטיות וזכויות יוצרים
הבהרה: עדכון זה אינו מיועד למצות את כל היבטי החוק. מטרתו היא לספק מידע כללי בלבד. אין להסתמך עליו כייעוץ משפטי.
