"מעמד התאימות (Adequacy) ניתן על ידי האיחוד האירופי לפי תקנה 45 לתקנות ה-GDPR, למדינות שרמת הגנת המידע בהן תואמת לרמת ההגנה על מידע אישי הנוהגת במדינות האיחוד האירופי. המעמד ניתן לישראל עוד בשנת 2011 ולעוד מספר מצומצם של מדינות ומאפשר העברת מידע אישי באופן פשוט וללא מכשולים רגולטוריים, משפטיים וטכנולוגיים נוספים מאירופה לישראל. תהליך הבחינה מחדש של מעמדה של מדינת ישראל החל ב-2016, והיום הוחלט על ידי הנציבות האירופית כי ישראל תשמור על מעמדה בזכות התפתחויות שונות במערכת המשפט הישראלית מאז קבלת המעמד בשנת 2011, לרבות תיקונים בחוק, פסיקה, הנחיות הרשות להגנת הפרטיות וכן התקנת תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי), התשפ"ג-2023 אשר יחד העלו את רמת הגנת המידע בישראל."

הפוסט ישראל שומרת על החלטת התאימות להעברת מידע מהאיחוד האירופי. הופיע ראשון בדן חי ברשת

בפסק דין שניתן ב12 בדצמבר בבית הדין האזורי לעבודה נקבע תקדים חדש ומעתה במצבים מסוימים, הצבת מצלמות במקום העבודה עלולה לעלות לכדי הרעת תנאים מוחשית המקימה עילה להתפטר כדין מפוטר.

במקרה דנן, השבר בין הצדדים החל בשעה שפקידה בחברה שהייתה כפופה לתובעת, שלחה מייל לנתבע על כך שאחד מהעובדים בחברה מטריד אותה מינית. לאחר דין ודברים עם המתלוננת והנילון, הוא החליט להציב מצלמות במרחבים הציבוריים של המשרד. כעבור זמן מה, הותקנו 9 מצלמות בנקודות שונות במשרד.

באותה העת, ומיד עם הגעת הטכנאים להתקין את המצלמות, שלחה התובעת מייל לנתבע ובו נכתב: "מבחינתי זה הרעת תנאים, אני לא מעוניינת שמישהו יצלם אותי 24 שעות. זה חדירה לפרטיות". בנוסף, ניסתה התובעת לשכנע את הנתבע להסיר את המצלמות אך הוא לא הסכים והסביר לה את הרקע להצבתן. לאחר הצבתן, החלה התובעת להימנע מלבצע את עבודתה, ולשבש את הפעילות התקינה של החברה. לבסוף, נעדרה הנתבעת לחמישה ימים ממקום העבודה בטענה שהייתה חולה ועם חזרתה הודיעה שהיא מתפטרת.

כידוע, הזכות לפרטיות הוכרה בפסיקה כזכות יסוד וכחלק ממערך זכויות המגן במשפט העבודה. מתמונות שהגישו הנתבעים, נראה בבירור שהמצלמות שהוצבו בקרבת התובעת מציגות תמונה רחבה של סביבת העבודה שלה. המצלמה האחורית מתעדת את גבה של התובעת, את סביבת עבודתה, את המסמכים שלפניה, את חפציה ואת צג המחשב עליו היא עובדת. המצלמה הקדמית מתעדת את פניה וחלק מפלג גופה העליון. אמנם, המצלמות לא הוצבו בחדר עבודה פרטי של התובעת, אך ניכר הן שהוצבו בסמוך אליה ובסביבת העבודה שלה: מעל דלפק העבודה שלה, מאחוריו ומלפניו.

לפיכך, סבר בית הדין האזורי לעבודה והכריע שצילום מעין זה עולה כדי פגיעה בפרטיותה של התובעת כאמור בסעיף 2(3) לחוק הגנת הפרטיות,– "צילום אדם כשהוא ברשות יחיד". "גם מתחם, חדר או עמדת עבודה בהם שוהה העובדה לשם ביצוע עבודתו, ואשר איננו פתוח לכניסה חופשית של הציבור – מהווה רשות היחיד בה רשאי העובד לצפות למרחב פרטי שיהיה חופשי ממעקב קבוע".

בעניין הנדון, עמדת הרשות קובעת שעל המעסיק לגבש מדיניות ברורה ומפורטת בדבר אופן והיקף השימוש במצלמות מעקב ומטרותיהן, שתיקבע ככל הניתן לאחר היוועצות עם העובדים או עם נציגיהם ותוצג באופן קבוע לידיעתם ולמדיניות המעקב של המעסיק. יתרה מזאת, צוין כי הצבת מצלמות במקום העבודה הוכרה על ידי הרשות להגנת הפרטיות כמעשה היוצר "שינוי מהותי ומשמעותי באופן בו מפקח הארגון על עבודת המועסקים אצלו".

הפוסט הצבת מצלמות במקום העבודה כעילה מספקת לפיטורים כדין מפוטר הופיע ראשון בדן חי ברשת

האיחוד האירופי החל את שיחות בנושא בחינת התאמת משטר המידע הדרום קוריאני למשטר המידע האירופאי בינואר 2017. כעת, ארבע שנים לאחר מכן, דרום קוריאה קרובה מתמיד לקבל את החלטת ההלימות.

קביעה של האיחוד האירופאי, כי דרום קוריאה מתאימה במשטר המידע האישי שלה לאיחוד האירופאי, תאפשר זרימת נתונים חופשית ובטוחה מהאיחוד האירופי לדרום קוריאה, הן במגזר הפרטי והן במגזר הציבורי. הכרזה כזו תקבל במידה רבה מאוד על יוזמות בתחום של חברות דרום קוריאניות באירופה.

במסגרת ההכנה להערכת ההלימה, תיארה דרום קוריאה בפני נציגי האיחוד האירופאי את חוקי הגנת המידע שלה משנת 2020. בהמשך לכך ההודעה של האירופאיים מתייחסת לכניסתו לתוקף של חוק חדש זה להגנת המידע האישי ברפובליקה של דרום קוריאה ולהעצמת סמכויות הגנת המידע האישי אגב כך במדינה.

השלבים הבאים עד להצהרת ההלימות האירופאית הם חוות דעת של המועצה האירופית להגנת נתונים (EDPB), ואישור ועדה המורכבת מנציגי מדינות האיחוד האירופי. לאחר השלמת צעדים אלה, הנציבות האירופאית תוכל לאמץ את החלטת הלימות.

כזכור ישראל נמצאת בתהליך דומה מול האיחוד האירופאי, אשר בסופו, כך מקווים, יאשרר האיחוד את החלטת ההלימות שניתנה לישראל בשנת 2011. ההליך נעשה על ידי האיחוד לאור כניסתם לתוקף של תקנות הגנת המידע האירופאיות (GDPR) במאי 2018.

הפוסט דרום קוריאה קרובה להכרזת תאימות להעברת מידע מאירופה הופיע ראשון בדן חי ברשת

העברות הנתונים מסתמכות כעת על הסכם הביניים של האיחוד האירופי ובריטניה אשר יפוג בתאריך 30 ביוני 2021, כשיסתיים אימוץ תהליך ההלימה של בריטניה לדרישות האיחוד. החלטות אלה יחולו לתקופה של ארבע שנים מיום כניסתן לתוקף.

בשני הצדדים רואים חשיבות רבה בהשלמת ההליכים, במסגרתם הטיוטות שפורסמו יקבלו תוקף. בכך תתאפשר הזרמת נתונים מאובטחים בין האיחוד האירופי לבריטניה, החיונית בכדי לשמור על קשרי סחר ושיתוף הפעולה בין הצדדים בתחומים רבים נוספים. מדובר במידע אישי, העוסק באנשים בשר ודם, אנשים "טבעיים" כמוגדר בתקנות המידע האירופאיות, להבדיל מנתונים על תאגידים.

האיחוד האירופי מציין כי בריטניה התחייבה להישאר צד באמנה האירופית לזכויות אדם ובאמנה להגנת נתונים של מועצת אירופה. הקפדה על התחייבויות בינלאומיות נתפסת כבסיסית וחיונית ביחס להערכה שעליה מבוסס המהלך של האיחוד האירופאי.

הפוסט אירופה – בריטניה: התקרבות בהסכמה להעברת מידע אישי הופיע ראשון בדן חי ברשת

כתוצאה מכך, היה צורך דחוף בנציבות האירופית לנסח הוראות חוזיות אחידות מתוקנות כדי לאפשר שימוש בהם בנסיבות נוספות. נעשה שימוש בהוראות החוזיות האחידות לראשונה בשנת 2001, כאשר גרסאותיהן המקוריות נועדו לחתימה בין גורם אירופי המעביר מידע אישי לבין הגורם החוץ-אירופי שמקבל ממנו את המידע. בחתימתו על ההוראות החוזיות, מתחייב מקבל המידע בשורה של הוראות שנועדו להעניק למידע רמת הגנה התואמת לדיני האיחוד האירופי. הגרסה החדשה מגיעה בשני מסמכים, טיוטה ונספח, הכוללים את ההוראות הקודמות במספר נושאים בולטים, בהם:

• הצורך במודרניזציה של ההוראות החוזיות האחידות בכדי לשקף את המציאות של שימוש נרחב בפעולות עיבוד מידע חדשות ומורכבות וקשרי עסקים מתפתחים. במערכת יחסים עם מעבד (Processor)  או מעבד-משנה (Sub-processor) ההוראות החוזיות כוללות כבר את התכנים הנדרשים לפי ה- GDPR.
• כיסוי למכלול הנסיבות האפשריות להעברת מידע בין-מדינתית: מבעל שליטה במידע (Controller)  אחד לאחר, מבעל שליטה במידע למעבד מידע  ולהיפך, וממעבד מידע למעבד-משנה  – וזאת ללא קשר למיקומם הגיאוגרפי של הצדדים.
• מספר הצדדים המסוגלים להצטרף לחוזה- מבנה מודולרי המאפשר לבעלי שליטה, מעבדים, או מעבדי-משנה נוספים להצטרף לחוזה כתלות בצורך בהרחבת מעגל המטפלים במידע האישי. עליהם לבחור את המודל הרלוונטי למצבם, מה שמאפשר להתאים את חובותיהם על-פי ההוראות החוזיות האחידות לתפקידם המקביל ביחס לעיבוד המידע הנדון.
• סמכות שיפוט – הצדדים לחוזה נדרשים לבחור את הדין ומקום השיפוט שיחולו על ההוראות, מבין מדינות האיחוד האירופי שדיניהן מתירים זכויות צדדים שלישיים לחוזה. הצדדים מתחייבים כי הם בחנו את דיני מדינת היעד ולא מצאו טעם מדוע לא יוכלו לעמוד בהתחייבויותיהם להגן על המידע. בחינה זו צריכה להיות מתועדת בכתב.
• חובות החלות על מקבל המידע במקרים בהם רשויות ממשלתיות מבקשות גישה למידע האישי. לרבות, הודעה למוסר המידע ובמקרים מתאימים גם לנושאי המידע, תקיפה משפטית של בקשת הגישה ומזעור המידע שנמסר. ברמה הכללית, על-פי ההוראות מקבל המידע צריך להעמיד לרשותו את המידע הדרוש בדבר ההוכחה בעמידה בהוראות ולאפשר ביקורת על פעולות העיבוד שלו על-ידי מוסר המידע.
• אחריות ופיצוי- דרישות שקיפות כלפי נושאי המידע בדבר העובדה כי הנתונים האישיים שלהם מועברים למדינה שלישית והוראות שיפוי בין הצדדים. כאשר נגרם נזק כתוצאה מהפרה כלשהיא של הצד השלישי על נושא המידע להיות זכאי לפיצוי.
• דרישת ההסכמה – יש לאפשר העברת נתונים נמשכות לנמען במדינה השלישית רק אם המקבל נעתר להוראות החוזיות האחידות ואם מובטחת המשכיות הגנת הנתונים ו/או הסכמה מפורשת ומודעת של נושא המידע.
• זכויות נושאי המידע- הצדדים רשאים לעבות ולהוסיף להוראות החוזיות האחידות ובלבד שתוספות אלו לא סותרות את תכולת ההוראות ולא תפגע בזכויות נושאי המידע. כמו כן, נושאי המידע צריכים לדעת לאכוף, במידת הצורך, את ההוראות ולהיות מסוגלים להגיש תלונה לרשויות הפיקוח או להפנות סכסוך לבתי המשפט.

על פי טיוטת ההחלטה, כשתתקבל  ההחלטה היא תבטל את ההוראות החוזיות הישנות אך תיצור תקופת מעבר בת שנה, במהלכה הוראות חוזיות אחידות שכבר נחתמו בגרסתן הישנה יוכלו להמשיך להתקיים, עד חלוף השנה או עד המועד בו הצדדים עורכים שינויים חוזיים במערכת היחסים שלהם – המוקדם מהשניים. הטיוטה פתוחה להערות הציבור עד ל-10 בדצמבר.

הפוסט אירופה: הצעה להסדר חדש להעברת נתונים אישיים מחוץ ליבשת הופיע ראשון בדן חי ברשת

חוק הפרטיות החדש יכנס לתוקף רק ב-1 לינואר 2023, דבר המקנה לעסקים זמן הסתגלות של למעלה משנה להוראותיו. החוק הקליפורני (CCPA)  נחשב לחוק הפרטיות החזק ביותר בארה"ב עד כה. בנוסף לשינוי חלק מההגדרות המהותיות ביחסים מסחריים במסגרת CCPA (למשל, בהגדרת "מכירה" ו"נותן שירותים"), CPRA מקנה זכויות צרכניות נוספות, משלב מינימום נתונים ועקרונות מסוימים נוספים מהתקנה הכללית להגנת נתונים, ומקים סוכנות חדשה להגנת הפרטיות בקליפורניה, שתחליף את משרד היועץ המשפטי לממשלה כממונה על החוק.

ה- CPRA מציג את המונח "שיתוף" כפעילות נבדלת מ"מכירת מידע אישי". שיתוף מוגדר כגילוי או מסירה אחרת של מידע אישי של צרכן לצורך פרסום ממוקד על סמך היסטוריית הרכישות של הצרכן. לצרכנים ניתנת הזכות לבטל הסכמה לשימוש במידע למטרות אלו, כמו גם שיתופו עם צדדים שלישיים. בנוסף, בהתאם להוראות -CPRA שהתקבלו קמה זכות התיקון, לפיה צרכנים יוכלו לבקש לתקן מידע לא מדויק עליהם המצוי בידי החברות.

בחוק החדש כלולה התייחסות גם לנושא קבלת החלטות אוטומטית תוך שימוש בתוכנות של בינה מלאכותית. בהתאם לחוק החדש לצרכנים יש זכות לבטל את השימוש במידע האישי שלהם לצורך קבלת החלטות אוטומטיות, הכוללות "פרופיל" בקשר להערכות או החלטות לגבי ביצועי העבודה של הצרכן, מצבו הכלכלי, בריאותו, העדפות אישיות, תחומי עניין, אמינות, התנהגות, מיקום או תנועות. לצרכן יש גם זכות לגשת ל"מידע משמעותי אודות ההיגיון הכרוך בתהליכי קבלת החלטות מסוג זה, כמו גם תיאור התוצאה הסבירה של התהליך ביחס לצרכן. "

החוק החדש מגביל את השימוש במידע אישי רגיש, הכולל נתוני מיקום גיאוגרפי מדויק, גזע, דת, נטייה מינית, מספרי ביטוח לאומי ומידע בריאותי מסוים מחוץ להקשר של HIPAA. הצרכנים עשויים להגביל את השימוש והגילוי של מידע אישי רגיש למטרות "משניות" מסוימות, כולל איסור על עסקים לחשוף IP רגיש לצדדים שלישיים, בכפוף לפטורים מסוימים.

בדומה לתקנות המידע האירופאיות (GDPR) כולל החוק החדש גם זכות לניידות נתונים. בהתאם לכך הצרכנים יהיו רשאים לבקש מהעסק להעביר חלקים מסוימים של מידע אישי לגורם אחר בפורמט מובנה, נפוץ וקריא במכונה.

הפוסט הזכות לפרטיות מתחזקת בקליפורניה. אושר חוק פרטיות חדש – CPRA הופיע ראשון בדן חי ברשת