בקצרה: ה-GDPR (General Data Protection Regulation) הוא רגולציית הגנת המידע של האיחוד האירופי, שחלה מ-25 במאי 2018. הוא חל גם על חברות מחוץ לאיחוד, כולל ישראליות, כשהן מציעות מוצרים או שירותים לאנשים באיחוד או מנטרות את התנהגותם שם. הרגולציה מבוססת על שבעה עקרונות, שישה בסיסים חוקיים לעיבוד, זכויות רחבות לנושאי המידע, חובת דיווח על אירוע אבטחה בתוך 72 שעות, ועיצומים של עד 20 מיליון אירו או 4% מהמחזור העולמי.
ה-GDPR הוא אחד החוקים המשפיעים ביותר בעולם בתחום הגנת המידע. הוא שימש מקור השראה לחקיקה במדינות רבות, ובהן ישראל בתיקון 13, והוא חל ישירות על חברות ישראליות רבות שפועלות מול לקוחות או משתמשים באירופה. המאמר מסכם את עיקרי הרגולציה, ברוח החומר שנלמד לקראת הסמכת CIPP/E של הארגון הבינלאומי למקצועני פרטיות, IAPP.
הרקע: המסגרת האירופית
הזכות להגנה על מידע אישי מוכרת באירופה כזכות יסוד, לצד הזכות לפרטיות. היא מעוגנת באמנה האירופית לזכויות אדם ובאמנת זכויות היסוד של האיחוד האירופי. לפני ה-GDPR פעלה באיחוד דירקטיבה משנת 1995, שכל מדינה יישמה בחוק משלה, והתוצאה הייתה פערים בין המדינות. ה-GDPR, שאושר ב-2016 וחל מ-25 במאי 2018, הוא רגולציה שחלה ישירות בכל מדינות האיחוד ובאזור הכלכלי האירופי. לצידו פועלת דירקטיבת ePrivacy, שמסדירה בין היתר עוגיות ודיוור אלקטרוני.
על מי ה-GDPR חל?
ה-GDPR חל על עיבוד מידע אישי במסגרת פעילות של גוף שיש לו שלוחה באיחוד, בלי קשר למקום שבו מתבצע העיבוד. בנוסף, לפי סעיף 3(2), הוא חל גם על גוף שאין לו שלוחה באיחוד, כשהוא:
- מציע מוצרים או שירותים לאנשים שנמצאים באיחוד, גם בחינם; או
- מנטר את התנהגותם באיחוד, למשל באמצעות מעקב מקוון ופרופיילינג.
חברה ישראלית שמפעילה אתר באנגלית או בגרמנית, מקבלת תשלום באירו ושולחת מוצרים לאירופה, או אפליקציה שעוקבת אחרי משתמשים אירופים לצורך פרסום, עשויה להיות כפופה ל-GDPR. גוף כזה נדרש בדרך כלל גם למנות נציג באיחוד.
שבעת העקרונות
| עיקרון | משמעות |
|---|---|
| חוקיות, הגינות ושקיפות | עיבוד על בסיס חוקי, באופן הוגן ושקוף לנושא המידע |
| הגבלת מטרה | איסוף למטרות מוגדרות, ואיסור עיבוד שאינו תואם להן |
| צמצום מידע | רק המידע הדרוש למטרה |
| דיוק | מידע מדויק ומעודכן |
| הגבלת שמירה | שמירה רק כל עוד נדרש |
| שלמות וסודיות | אבטחה מתאימה מפני גישה, אובדן ונזק |
| אחריותיות | הארגון אחראי ונדרש להוכיח עמידה בעקרונות |
ההסבר המקצועי: לישראל יש החלטת הלימות (Adequacy) של האיחוד האירופי, כלומר האיחוד מכיר ברמת ההגנה בישראל כמספקת לצורך העברת מידע מאירופה לישראל. זה מקל על העברת מידע, אבל אינו פוטר חברה ישראלית מה-GDPR כשהיא עצמה כפופה לו בגלל הפעילות שלה מול אנשים באיחוד.
שישה בסיסים חוקיים לעיבוד
- הסכמה — חופשית, ספציפית, מדעת וחד-משמעית, שניתן לחזור ממנה.
- חוזה — עיבוד שנדרש לביצוע חוזה עם נושא המידע.
- חובה חוקית — עיבוד שנדרש לפי דין.
- אינטרס חיוני — הגנה על חייו של אדם.
- אינטרס ציבורי — ביצוע משימה ציבורית או הפעלת סמכות רשמית.
- אינטרס לגיטימי — של הארגון או של צד שלישי, כשאינו גובר על זכויות נושא המידע.
לקטגוריות מיוחדות של מידע — בריאות, גנטיקה, ביומטריה, מוצא, דעות פוליטיות, אמונה דתית, חברות באיגוד מקצועי, חיי מין ונטייה מינית — נדרש תנאי נוסף מתוך רשימה סגורה.
זכויות נושאי המידע
- זכות למידע על העיבוד (שקיפות).
- זכות עיון וקבלת עותק.
- זכות לתיקון.
- זכות למחיקה ("הזכות להישכח"), בתנאים מסוימים.
- זכות להגבלת עיבוד.
- זכות לניידות מידע.
- זכות להתנגד לעיבוד, ובמיוחד לשיווק ישיר.
- זכות שלא להיות כפוף להחלטה אוטומטית בלבד שיש לה השפעה משמעותית.
ככלל, יש להשיב לבקשה בתוך חודש, עם אפשרות הארכה במקרים מורכבים.
חובות הארגון
- רישום פעולות עיבוד (Records of Processing Activities).
- פרטיות מובנית ופרטיות כברירת מחדל — שילוב הגנת מידע בתכנון מערכות.
- הערכת השפעה על פרטיות (DPIA) — לעיבוד שעלול ליצור סיכון גבוה.
- הסכמי עיבוד עם מעבדי מידע (processors), לפי סעיף 28.
- דיווח על אירוע אבטחה לרשות הפיקוח בתוך 72 שעות מרגע שהארגון נודע לו, ולנושאי המידע כשיש סיכון גבוה לזכויותיהם.
- מינוי DPO — לרשויות ציבוריות, ולגופים שפעילותם המרכזית כוללת ניטור שוטף ושיטתי בהיקף נרחב או עיבוד בהיקף נרחב של קטגוריות מיוחדות.
העברת מידע אל מחוץ לאיחוד
העברת מידע אישי למדינה מחוץ לאזור הכלכלי האירופי מותרת כשהנציבות האירופית קבעה שהמדינה מספקת רמת הגנה נאותה — החלטת הלימות — או כשקיימים אמצעי הגנה מתאימים, כמו סעיפים חוזיים סטנדרטיים או כללים תאגידיים מחייבים. לישראל יש החלטת הלימות מ-2011, שהנציבות אישררה בסקירה שפורסמה ב-2024. כדי לשמור על רמת ההגנה, ישראל התקינה תקנות מיוחדות שחלות על מידע שהועבר אליה מאירופה.
אכיפה וקנסות
כל מדינה באיחוד מפעילה רשות פיקוח עצמאית, ומנגנון "חלון אחד" מאפשר לחברה עם שלוחות בכמה מדינות לעבוד מול רשות מובילה אחת. הוועדה האירופית להגנת מידע (EDPB) מפרסמת הנחיות ומכריעה במחלוקות. העיצומים יכולים להגיע עד 20 מיליון אירו או 4% מהמחזור השנתי העולמי, לפי הגבוה מביניהם, ובהפרות מסוימות עד 10 מיליון אירו או 2%. בנוסף, לנושאי מידע יש זכות לפיצוי על נזק חומרי ולא חומרי.
להשוואה מפורטת עם החוק הישראלי ראו תיקון 13 ו-GDPR: מה זה אומר.
בעל שליטה ומעבד: המונחים האירופיים
ה-GDPR מבחין בין Controller, מי שקובע את מטרות העיבוד ואת אמצעיו, לבין Processor, מי שמעבד מידע עבור ה-Controller. החלוקה דומה להבחנה בחוק הישראלי בין בעל שליטה למחזיק. ל-Processor יש חובות עצמאיות, כמו אבטחת מידע, ניהול רישום של פעולות העיבוד שהוא מבצע והודעה ל-Controller על אירוע אבטחה. הוא אינו רשאי להעסיק מעבד משנה בלי אישור מוקדם בכתב של ה-Controller. כשמספר גופים קובעים יחד את מטרות העיבוד, הם נחשבים Joint Controllers, ועליהם להסדיר ביניהם את חלוקת האחריות.
צעדים ראשונים לחברה ישראלית
- לבדוק אם הפעילות מול אירופה מכפיפה את החברה ל-GDPR.
- למנות נציג באיחוד, כשאין שלוחה שם והחובה חלה.
- לקבוע בסיס חוקי לכל פעולת עיבוד ולתעד אותו.
- לעדכן מדיניות פרטיות ומנגנון הסכמה לעוגיות.
- לחתום על הסכמי עיבוד עם ספקים.
- להכין נוהל לדיווח על אירוע אבטחה בתוך 72 שעות.
- לבחון חובת DPO ו-DPIA.
ההסמכה CIPP/E
הסמכת CIPP/E של IAPP מכסה את המסגרת האירופית, את עקרונות ה-GDPR, את הזכויות והחובות, את העברות המידע ואת מנגנוני האכיפה, והיא מוכרת בעולם כסטנדרט לאנשי מקצוע בתחום.
שאלות נפוצות
האם ה-GDPR חל על חברות ישראליות?
כן, במקרים מסוימים: כשיש להן שלוחה באיחוד, או כשהן מציעות מוצרים או שירותים לאנשים באיחוד או מנטרות את התנהגותם שם.
מה הקנס המרבי לפי ה-GDPR?
עד 20 מיליון אירו או 4% מהמחזור השנתי העולמי, לפי הגבוה מביניהם, ובהפרות מסוימות עד 10 מיליון אירו או 2%.
תוך כמה זמן צריך לדווח על אירוע אבטחה לפי ה-GDPR?
לרשות הפיקוח בתוך 72 שעות מרגע שהארגון נודע לאירוע, אלא אם אין סבירות שהאירוע יסכן את זכויות האנשים. כשיש סיכון גבוה, יש להודיע גם לנושאי המידע.
מה זו החלטת הלימות?
קביעה של הנציבות האירופית שמדינה מסוימת מספקת רמת הגנה נאותה למידע אישי, כך שמותר להעביר אליה מידע מהאיחוד בלי אמצעים נוספים. לישראל יש החלטה כזו.
המידע במאמר הוא כללי ומבוסס על נוסח חוק הגנת הפרטיות, התשמ״א-1981, כפי שתוקן בתיקון מס׳ 13. הוא אינו מהווה ייעוץ משפטי, ובכל מקרה פרטני כדאי להתייעץ עם עורך דין המתמחה בדיני פרטיות.
