בקצרה: ישראל ואירופה רואות בפרטיות זכות יסוד ומסדירות אותה בחוק כללי שחל על כל המגזרים — חוק הגנת הפרטיות בישראל וה-GDPR באיחוד האירופי. ארה״ב רואה בה בעיקר נושא של הגנת צרכן, בלי חוק פדרלי כללי, ועם חוקים מגזריים וחוקי מדינות. אחרי תיקון 13 ישראל התקרבה מאוד למודל האירופי, אבל נותרו הבדלים בבסיסים החוקיים, בחובות הדיווח ובגובה העיצומים.
ארגונים ישראליים פועלים יותר ויותר מעבר לים, וחלקם כפופים בו-זמנית לחוק הישראלי, ל-GDPR האירופי ולחוקים אמריקאיים. כל אחת משלוש השיטות צמחה מתפיסה אחרת של הזכות לפרטיות, ולכן גם הכללים שונים. המאמר משווה בין השיטות בפרמטרים המרכזיים, כדי לעזור להבין מה משותף, מה שונה ואיך בונים תוכנית ציות שמתאימה לכולן.
שלוש תפיסות יסוד
אירופה רואה בהגנה על מידע אישי זכות יסוד עצמאית. כל עיבוד מחייב בסיס חוקי, והאדם הוא בעל זכויות רחבות על המידע עליו.
ישראל מעגנת את הזכות לפרטיות בחוק יסוד: כבוד האדם וחירותו. חוק הגנת הפרטיות, ובמיוחד אחרי תיקון 13, מבוסס על עקרונות דומים לאירופה: מטרה מוגדרת, יידוע, אבטחה וזכויות.
ארה״ב מתייחסת לפרטיות בעיקר כעניין של הגנת צרכן. נקודת המוצא היא שמותר לעבד מידע, אלא אם חוק מגזרי או חוק מדינה מגביל זאת, או שהעיבוד מטעה או בלתי הוגן.
טבלת השוואה
| פרמטר | ישראל | אירופה (GDPR) | ארה״ב |
|---|---|---|---|
| מבנה | חוק כללי ותקנות | רגולציה כללית אחידה | חוקים מגזריים וחוקי מדינות |
| הגדרת מידע אישי | רחבה, כוללת מזהים מקוונים | רחבה, כוללת מזהים מקוונים | משתנה לפי חוק |
| מידע רגיש | מידע בעל רגישות מיוחדת, כולל נתוני שכר ופעילות פיננסית | קטגוריות מיוחדות, רשימה סגורה | מוגדר בחוקי מדינות ובחוקים מגזריים |
| בסיס לעיבוד | מטרה שנקבעה כדין, יידוע, ובמקרים מסוימים הסכמה | שישה בסיסים חוקיים | אין דרישה כללית; סירוב (opt-out) במקרים מסוימים |
| רישום והודעה | רישום מצומצם והודעה על מאגרים רגישים גדולים | רישום פנימי של פעולות עיבוד | אין ברמה הכללית |
| DPO | חובה לארבעה סוגי גופים | חובה לשלושה סוגי גופים | אין חובה כללית; HIPAA מחייב אחראי פרטיות |
| דיווח על אירוע | לרשות על אירוע אבטחה חמור, לפי התקנות | לרשות בתוך 72 שעות | לאנשים, לפי חוקי המדינות |
| רגולטור | הרשות להגנת הפרטיות | רשות פיקוח בכל מדינה ו-EDPB | FTC, רגולטורים מגזריים ומדינתיים |
| עיצומים | לפי סוג הפרה, עד 5% מהמחזור | עד 20 מיליון אירו או 4% מהמחזור העולמי | משתנה לפי חוק |
| תביעות אזרחיות | פיצוי ללא הוכחת נזק עד 10,000 ש״ח בהפרות מסוימות | פיצוי על נזק חומרי ולא חומרי | תביעות ייצוגיות, במיוחד לפי BIPA |
ההסבר המקצועי: חברה ישראלית שפועלת בשלושת השווקים לא צריכה שלוש תוכניות ציות נפרדות. הדרך היעילה היא לבנות תשתית אחת שעומדת ברף הגבוה ביותר — לרוב ה-GDPR — ולהוסיף שכבות ספציפיות: הודעה לרשות ועיצומים לפי החוק הישראלי, וזכויות סירוב ודיווח לפי חוקי המדינות בארה״ב.
היכן ישראל התקרבה לאירופה?
תיקון 13 אימץ כמה מהמושגים האירופיים: הגדרה רחבה של מידע אישי, הבחנה בין בעל שליטה למחזיק שמקבילה להבחנה בין Controller ל-Processor, ממונה על הגנת הפרטיות לגופים שעיסוקם כולל ניטור או עיבוד מידע רגיש בהיקף ניכר, ועיצומים כספיים משמעותיים עם תקרה לפי מחזור. במקביל ביטל התיקון את רוב חובת הרישום, בדומה לביטול חובת ההודעה לרשויות באירופה עם כניסת ה-GDPR. לישראל יש גם החלטת הלימות של האיחוד האירופי, שמאפשרת העברת מידע מאירופה לישראל.
היכן נותרו הבדלים?
- בסיסים חוקיים — החוק הישראלי אינו מונה שישה בסיסים חוקיים כמו ה-GDPR, ומתמקד במטרת המאגר, ביידוע ובהרשאה.
- זכויות — ה-GDPR מעניק זכויות רחבות יותר, כמו ניידות מידע, התנגדות לעיבוד וזכות בנוגע להחלטות אוטומטיות.
- כלים פנימיים — הערכת השפעה על פרטיות (DPIA) ורישום פעולות עיבוד הם חובות מפורשות באירופה.
- סוחרי מידע — החוק הישראלי יצר קבוצה ייחודית של סוחרי מידע שחייבים ברישום ובמינוי ממונה.
- עיצומים — בישראל העיצומים מחושבים לרוב לפי סוג ההפרה ומספר נושאי המידע; באירופה לפי שיקול דעת עד התקרה.
היכן ארה״ב שונה מכולן?
בארה״ב אין חובה כללית לבסס עיבוד, אין חובת DPO כללית, ואין רגולטור פרטיות פדרלי ייעודי. מצד שני, חוקי המדינות החדשים מאמצים יותר ויותר מושגים אירופיים — זכויות עיון ומחיקה, הסכמה לעיבוד מידע רגיש והערכות סיכון — וחוקי הדיווח על דליפות מחייבים בכל המדינות. בנוסף, הסיכון המשפטי בארה״ב מגיע לעיתים קרובות דווקא מתביעות ייצוגיות ומאכיפה של ה-FTC בגין הצהרות מטעות.
איך בונים תוכנית ציות לשלושת השווקים?
- מיפוי אחד של כל המידע, עם סימון של המדינות שמהן הוא נאסף.
- תשתית ברמת ה-GDPR: בסיס חוקי מתועד, צמצום, שמירה מוגבלת ואבטחה.
- שכבה ישראלית: בדיקת רישום והודעה, ממונים, נוסחי יידוע לפי סעיף 11 ותקנות אבטחת המידע.
- שכבה אמריקאית: זיהוי חוקים מגזריים, מנגנון סירוב למכירה ולשיתוף, ונוהל דיווח לפי מדינות.
- מדיניות פרטיות אחת עם פרקים ייעודיים לכל אזור, ומנגנון אחיד לטיפול בבקשות.
- הסכמים עם ספקים שעומדים בדרישות של כל השיטות.
להעמקה בכל שיטה ראו פרטיות בישראל, פרטיות באירופה — GDPR ופרטיות בארה״ב.
דוגמה: אפליקציה ישראלית עם משתמשים בשלוש היבשות
נניח חברה ישראלית שמפעילה אפליקציית כושר עם משתמשים בישראל, בגרמניה ובקליפורניה, ואוספת נתוני דופק, מיקום ריצה ופרטי תשלום. בישראל, נתוני הבריאות הם מידע בעל רגישות מיוחדת, ואם העיבוד הוא חלק מרכזי מהשירות ובהיקף ניכר, ייתכן שהחברה חייבת בממונה על הגנת הפרטיות ובהודעה לרשות כשהמאגר גדול מספיק. באירופה, היא כפופה ל-GDPR כי היא מציעה שירות למשתמשים באיחוד, צריכה בסיס חוקי ותנאי נוסף לעיבוד מידע בריאותי — לרוב הסכמה מפורשת — וכנראה גם נציג באיחוד ו-DPIA. בקליפורניה, היא צריכה לבדוק אם היא עומדת בספים של ה-CCPA, לאפשר למשתמשים לדעת, למחוק ולהגביל שימוש במידע רגיש, ולוודא שהצהרות הפרטיות שלה מדויקות. בכל שלושת השווקים, דליפה של המידע תחייב תגובה מהירה ודיווח לפי הכללים המקומיים.
שלוש טעויות נפוצות
- להניח שעמידה ב-GDPR מספיקה — היא מכסה הרבה, אבל לא את חובות ההודעה, הממונים והעיצומים הישראליים, ולא את חוקי הדיווח האמריקאיים.
- להעתיק מדיניות פרטיות אמריקאית — היא בדרך כלל לא עונה על דרישות היידוע הישראליות ועל דרישות השקיפות האירופיות.
- לשכוח את הספקים — כל שיטה מטילה דרישות על ההסכמים עם ספקים ועל העברת מידע בין מדינות.
שאלות נפוצות
מה ההבדל העיקרי בין דיני הפרטיות בישראל, באירופה ובארה״ב?
ישראל ואירופה מסדירות פרטיות בחוק כללי שחל על כל המגזרים ורואות בה זכות יסוד. ארה״ב מסדירה אותה בחוקים מגזריים ובחוקי מדינות, בעיקר כעניין של הגנת צרכן.
האם החוק הישראלי דומה ל-GDPR?
אחרי תיקון 13 הוא דומה יותר, למשל בהגדרות, בהבחנה בין בעל שליטה למחזיק, בחובת DPO ובעיצומים. נותרו הבדלים בבסיסים החוקיים, בהיקף הזכויות ובכלים כמו DPIA.
איזו שיטה מחמירה יותר?
ה-GDPR נחשב ככלל המחמיר והמקיף ביותר, אבל בתחומים מסוימים, כמו תביעות ייצוגיות בארה״ב או חובות הרישום וההודעה בישראל, הסיכון המקומי משמעותי.
האם חברה ישראלית יכולה לבנות תוכנית ציות אחת לכל השווקים?
כן. מומלץ לבנות תשתית ברמת ה-GDPR ולהוסיף לה שכבות ייעודיות לדרישות הישראליות והאמריקאיות.
המידע במאמר הוא כללי ומבוסס על נוסח חוק הגנת הפרטיות, התשמ״א-1981, כפי שתוקן בתיקון מס׳ 13. הוא אינו מהווה ייעוץ משפטי, ובכל מקרה פרטני כדאי להתייעץ עם עורך דין המתמחה בדיני פרטיות.
