מאת עו"ד דן חי
משרד המשפטים מנסה לקרב אותנו לאירופה. המשרד מקדם בימים אלו תיקון לחוק הגנת הפרטיות בשלושה שלבים: הרחבת סמכויות האכיפה של הרשות להגנת הפרטיות, צמצום חובת רישום מאגרי המידע והרחבת זכויות מושאי המידע. עם תיקונים אלו, מקווים, יתקרב משטר המידע האישי שלנו לזה השורר באירופה מאז מאי 2018, עת נכנסו שם לתוקף תקנות הגנת מידע חדשות (ה-GDPR).
ההתקרבות לאירופה חשובה, לאור בחינה שעורכים הרשויות באירופה בימים אלו ממש, האם משטר המידע בישראל תואם את זה של אירופה. בהמשך לכך יקבעו האירופאיים האם ניתן להמשיך להעביר מידע אישי מאירופה לישראל. קביעה כי העברה כזו לא ניתנת תחולל מכה קשה לחברות בישראל העוסקות בתחום, חברות אשר יש להם מוצר האוסף מידע מלקוחות פרטיים באירופה, דוגמת מוצרים של בית חכם. במשרד המשפטים מקווים שזה לא יקרה, לא מעט בזכות הצעדים לתיקון החוק.
הסנונית הראשונה של הטרילוגיה המתוכננת לתיקון החוק הגנת הפרטיות פורסמה לאחרונה, במסגרת תזכיר חוק המציע לצמצם את חובת רישום מאגרי המידע. על-פי התזכיר חובת הרישום תיוותר רק ביחס להיקף מאגרים מצומצם יותר, מאגרים הכוללים 100,000 מושאי מידע לפחות, שיש בהם רגישות מיוחדת בשל סוגי המידע הכלולים בהם, בשל סוג בעל המאגר (גוף ציבורי או לא) ובשל מטרת עיבוד המידע. השאלה שמעלה ההצעה היא, האם זו הבשורה שחיכינו לה, אחרי שחוק הגנת הפרטיות, שחוקק ב-1981, תוקן באופן ממשי לאחרונה ב-1996. האם לא היה מקום לבשר על ביטול חובת הרישום לחלוטין?
מטרתה המקורית של חובת רישום מאגרי המידע, שהתזכיר מבקש לצמצם, הייתה לשקף לציבור היכן קיימים מאגרי מידע ולשמש כלי אכיפה לרגולטור בתחום. לאחרון יש את הסמכות שלא לאשר רישום מאגר, מקום בו הוא סבור שדרך איסוף המידע אליו או מטרתו אינם חוקיים. מאז חוקק החוק ב-1981 צומצמה חובת רישום המאגרים בתיקון החוק שנעשה ב-1996. המהלך המוצע עכשיו הוא פעימה שנייה בדרך.
המצדדים בתיקון המוצע ובהמשך מתכונת מצומצמת של חובת רישום המאגרים טוענים, כי חובה זו גורמת לארגונים רבים להיות מודעים לחובות הקיימות בחוק, ביחס לאיסוף והשימוש במידע אישי ולהיות עם האצבע על הדופק בכל הקשור לשימושים שהם עושים במידע זה. בין אלה יש אף הסבורים, כי אין מקום כלל לצמצם את חובת הרישום ולהוציא ממסגרתה ארגונים בינוניים וקטנים, אשר במאגרי המידע שלהם מצויים פחות ממאה אלך מושאי מידע, שכן בכך יקבלו אותם ארגונים את התחושה המוטעית כי החובות הקיימות בחוק מתרחקות מהם. עוד טוענים התומכים בחובה, כי חובת הרישום המצומצמת המוצעת תאפשר לרשם מאגרי המידע, הרגולטור בתחום, לשלוט טוב יותר ולפקח על הנעשה במידע האישי בישראל ולמפות את החברות בהן עיבודי המידע נעשים בהיקף גדול של מושאי מידע ובעיבודי מידע רגישים יותר.
הטענות בעד חובת הרישום כמו מנותקות מהעובדה שאנחנו חיים בעידן אחר ושונה בהרבה מזה ששרר ב-1981, עת התקבלה חובת הרישום לראשונה ואף 1996 עת נעשה צמצום ראשון של היקף החובה. במקומות רבים בעולם נחשבת חובת רישום מאגרי מידע כחובה ארכאית ומיותרת. באירופה היא בוטלה מזמן וכך גם במקומות רבים אחרים בעולם. הבסיס לביטול בכל אותם מקומות הייתה ההכרה, כי אין כל הגיון בשימוש בכלי זה בתקופה של ימינו. אין צורך להיעזר בה כדי לדעת באילו מערכות מחשב ישנם מאגרי מידע ובאילו מהם נעשה עיבוד מידע רגיש. ישנן דרכים אחרות למפות את אותם ארגונים, ואין כל צורך בה ככלי לפיקוח ואכיפה.
המפתח למשטר מידע אישי נכון משלב בין הוראות חוק ברורות ומעודכנות ביחס למותר והאסור, בכל הקשור לאיסוף ושימוש במידע אישי אל מול סמכויות אכיפה משמעותיות. את ההוראות הברורות נקבל רק בשלב השלישי של הטרילוגיה החוקית שמציעים לנו. את סמכויות האכיפה נקבל אולי לפני, ככל ואכן יקודם תיקון החוק העוסק בכך. דווקא צמצום חובת רישום המאגרים, הבאה לפתחנו עתה, מיותרת, גם במתכונת המצומצמת שלה המוצעת. ראוי היה פשוט לבטל את החובה הזו וליישר קו עם כל המדינות המתקדמות בעולם. עדיין לא מאוחר.
