בקצרה: בארצות הברית אין חוק פדרלי כללי להגנת הפרטיות. ההגנה נשענת על פסיפס של חוקים פדרליים מגזריים — כמו HIPAA בבריאות, GLBA בפיננסים ו-COPPA לילדים — על סמכות ה-FTC נגד פרקטיקות מטעות ובלתי הוגנות, ועל חוקי מדינות, ובראשם חוק הפרטיות של קליפורניה (CCPA, כפי שתוקן ב-CPRA). בכל 50 המדינות קיימים חוקי דיווח על דליפת מידע, ומספר הולך וגדל של מדינות חוקקו חוקי פרטיות כלליים.
חברות ישראליות רבות, ובמיוחד חברות טכנולוגיה, פועלות בשוק האמריקאי. כשהן מנסות להבין את דיני הפרטיות שם, הן מגלות מערכת שונה מאוד מזו המוכרת בישראל ובאירופה: אין חוק אחד, אין רגולטור פרטיות פדרלי ייעודי, והכללים משתנים לפי מגזר ולפי מדינה. המאמר מסביר את המבנה של שיטת המשפט האמריקאית בתחום ואת החוקים המרכזיים שכדאי להכיר.
שיטת המשפט: פדרלי, מדינתי ומשפט מקובל
ארצות הברית היא פדרציה. הקונגרס מחוקק חוקים פדרליים בתחומים שבסמכותו, וכל אחת מ-50 המדינות מחוקקת חוקים משלה. בנוסף, המשפט האמריקאי מבוסס על המשפט המקובל, שבו פסיקת בתי המשפט יוצרת כללים מחייבים. בתחום הפרטיות שלוש השכבות פועלות במקביל:
- החוקה — התיקון הרביעי מגן מפני חיפוש ותפיסה בלתי סבירים, אבל חל על המדינה ולא על חברות פרטיות.
- עוולות פרטיות במשפט המקובל — ארבע עוולות מוכרות: חדירה לפרטיות, פרסום עובדות פרטיות, הצגה באור כוזב, ושימוש בשם או בדמות של אדם.
- חקיקה פדרלית ומדינתית — הלב של הרגולציה המעשית.
החוקים הפדרליים המגזריים
| חוק | תחום | עיקר ההסדר |
|---|---|---|
| HIPAA | בריאות | הגנה על מידע רפואי אצל ספקי שירותי בריאות, קופות ביטוח בריאות ושותפיהם העסקיים |
| GLBA | פיננסים | הודעת פרטיות, הגבלות על שיתוף מידע ודרישות אבטחה במוסדות פיננסיים |
| COPPA | ילדים | הסכמת הורים לאיסוף מידע מקוון מילדים מתחת לגיל 13 |
| FCRA | דוחות אשראי | כללים לגופי דירוג אשראי ולשימוש בדוחות צרכניים |
| FERPA | חינוך | הגנה על רשומות תלמידים במוסדות חינוך |
| TCPA ו-CAN-SPAM | שיווק | הגבלות על שיחות, הודעות ודוא״ל שיווקי |
| VPPA | וידאו | הגנה על היסטוריית צפייה |
ה-FTC: הרגולטור דה פקטו
ועדת הסחר הפדרלית (FTC) אינה רגולטור פרטיות ייעודי, אבל סעיף 5 לחוק שלה מסמיך אותה לפעול נגד פרקטיקות מטעות או בלתי הוגנות במסחר. על בסיס זה היא פועלת נגד חברות שהפרו את מדיניות הפרטיות שפרסמו, שלא אבטחו מידע כראוי, או שאספו מידע באופן שמטעה את הצרכנים. הסדרים עם ה-FTC כוללים לעיתים קרובות התחייבות לתוכנית פרטיות ארוכת שנים עם ביקורות חיצוניות. ה-FTC אוכפת גם את COPPA.
ההסבר המקצועי: בעוד שבאירופה ובישראל נקודת המוצא היא שעיבוד מידע אישי צריך בסיס או מטרה מוגדרת, בארה״ב נקודת המוצא ההיסטורית הפוכה: מותר לעבד מידע, אלא אם חוק מסוים אוסר או מגביל זאת. לכן חברה ישראלית שנכנסת לשוק האמריקאי צריכה לשאול לא "מה מותר לי", אלא "אילו חוקים חלים על המגזר שלי ועל המדינות שבהן אני פועלת".
חוקי המדינות
קליפורניה: CCPA ו-CPRA
חוק הפרטיות הצרכנית של קליפורניה (CCPA) נחקק ב-2018 ונכנס לתוקף ב-2020, ותוקן משמעותית בעקבות משאל עם ב-2020 (CPRA). הוא מעניק לתושבי קליפורניה זכות לדעת איזה מידע נאסף עליהם, זכות למחיקה ולתיקון, זכות לבקש שהמידע שלהם לא יימכר או ישותף לצורכי פרסום התנהגותי, וזכות להגביל שימוש במידע רגיש. הוא חל על עסקים שעומדים בספי מחזור או היקף מידע שקבועים בחוק, והוקמה סוכנות ייעודית לאכיפתו — California Privacy Protection Agency.
חוקים כלליים במדינות נוספות
בעקבות קליפורניה, מדינות רבות חוקקו חוקי פרטיות צרכנית כלליים, ביניהן וירג׳יניה, קולורדו, קונטיקט, יוטה וטקסס, ומספרן ממשיך לגדול. החוקים דומים במבנה — זכויות עיון, תיקון, מחיקה וניידות, אפשרות לסרב לפרסום ממוקד ולמכירת מידע, והסכמה לעיבוד מידע רגיש — אבל נבדלים בפרטים, בספים ובמנגנוני האכיפה.
חוקים ייחודיים
חוק המידע הביומטרי של אילינוי (BIPA) מחייב הסכמה כתובה לפני איסוף מידע ביומטרי, ומעניק לאנשים זכות תביעה פרטית — מה שהוביל לתביעות ייצוגיות רבות. מדינות נוספות חוקקו חוקים לגבי מידע בריאותי צרכני, מידע על ילדים ובינה מלאכותית.
דיווח על דליפת מידע
בכל 50 המדינות קיימים חוקים שמחייבים להודיע לאנשים כשמידע אישי מסוים שלהם נחשף באירוע אבטחה, ובחלקן גם לתובע הכללי של המדינה. ההגדרות, לוחות הזמנים והחריגים שונים ממדינה למדינה, ולכן חברה עם לקוחות בכל רחבי ארה״ב צריכה מפת דרישות מראש. במגזרים מסוימים, כמו בריאות ופיננסים, יש גם חובות דיווח פדרליות.
מה זה אומר לחברה ישראלית?
- לזהות את המגזר: בריאות, פיננסים, חינוך, ילדים או צרכנות כללית.
- למפות את המדינות שבהן יש לקוחות או משתמשים, ולבדוק אילו חוקי מדינה חלים.
- לוודא שמדיניות הפרטיות מדויקת — פער בין המדיניות למציאות הוא הבסיס הנפוץ לאכיפה של ה-FTC.
- לבנות מנגנון לבקשות צרכנים ולסירוב למכירה או לשיתוף מידע.
- להכין נוהל דיווח על דליפה שמתאים לדרישות של המדינות השונות.
- לבדוק חוזים עם לקוחות אמריקאיים, שמטילים לעיתים דרישות אבטחה ופרטיות מחמירות מהחוק.
להשוואה בין ישראל, אירופה וארה״ב ראו כתבת ההשוואה המלאה.
מגמות בחקיקה האמריקאית
כמה מגמות בולטות בשנים האחרונות. ראשית, הניסיונות לחוקק חוק פרטיות פדרלי כללי חוזרים שוב ושוב בקונגרס, אבל נתקלים במחלוקות על שתי שאלות מרכזיות: האם החוק הפדרלי יגבר על חוקי המדינות, והאם יינתן לאנשים זכות תביעה פרטית. שנית, המדינות ממשיכות לחוקק בקצב מהיר, ולכן מפת החוקים משתנה כמעט כל שנה. שלישית, תשומת לב מיוחדת מופנית למידע בריאותי שאינו מכוסה ב-HIPAA, כמו מידע מאפליקציות כושר ומעקב מחזור, למידע על מיקום, למידע על קטינים ולשימוש במידע אישי במערכות בינה מלאכותית.
ההבדל בגישה: צרכן מול זכות יסוד
הדרך הטובה ביותר להבין את המשפט האמריקאי היא לראות בו בעיקר הגנת צרכן. השאלה המרכזית היא אם החברה הטעתה את הצרכן או נהגה כלפיו באופן בלתי הוגן, ולא אם היה לה בסיס חוקי לעבד את המידע. לכן שקיפות ודיוק בהצהרות הם קריטיים: חברה שמבטיחה במדיניות הפרטיות שלה שהיא לא משתפת מידע עם צדדים שלישיים, ובפועל מתקינה באתר כלים ששולחים מידע למפרסמים, חשופה לאכיפה גם אם אין חוק ספציפי שאוסר את השיתוף עצמו.
ההסמכה CIPP/US
אנשי מקצוע שעובדים מול השוק האמריקאי לומדים לעיתים קרובות לקראת הסמכת CIPP/US של IAPP, שמכסה את מבנה המשפט האמריקאי, את החוקים המגזריים, את חוקי המדינות ואת פרטיות העובדים.
שאלות נפוצות
האם יש בארה״ב חוק פרטיות פדרלי כללי?
לא. ההגנה מבוססת על חוקים פדרליים מגזריים, על סמכות ה-FTC נגד פרקטיקות מטעות ובלתי הוגנות, ועל חוקי מדינות.
מה זה CCPA?
חוק הפרטיות הצרכנית של קליפורניה, שתוקן ב-CPRA. הוא מעניק לתושבי קליפורניה זכויות לדעת, למחוק, לתקן ולסרב למכירה או לשיתוף של המידע שלהם.
מי אוכף את דיני הפרטיות בארה״ב?
ברמה הפדרלית בעיקר ה-FTC ורגולטורים מגזריים, וברמת המדינות התובעים הכלליים וסוכנויות כמו סוכנות הפרטיות של קליפורניה. בחלק מהחוקים קיימת גם זכות תביעה פרטית.
האם חברה ישראלית כפופה לחוקי פרטיות אמריקאיים?
כן, אם היא פועלת מול צרכנים או לקוחות בארה״ב ועומדת בתנאי החלות של החוק הרלוונטי.
המידע במאמר הוא כללי ומבוסס על נוסח חוק הגנת הפרטיות, התשמ״א-1981, כפי שתוקן בתיקון מס׳ 13. הוא אינו מהווה ייעוץ משפטי, ובכל מקרה פרטני כדאי להתייעץ עם עורך דין המתמחה בדיני פרטיות.
