"מעמד התאימות (Adequacy) ניתן על ידי האיחוד האירופי לפי תקנה 45 לתקנות ה-GDPR, למדינות שרמת הגנת המידע בהן תואמת לרמת ההגנה על מידע אישי הנוהגת במדינות האיחוד האירופי. המעמד ניתן לישראל עוד בשנת 2011 ולעוד מספר מצומצם של מדינות ומאפשר העברת מידע אישי באופן פשוט וללא מכשולים רגולטוריים, משפטיים וטכנולוגיים נוספים מאירופה לישראל. תהליך הבחינה מחדש של מעמדה של מדינת ישראל החל ב-2016, והיום הוחלט על ידי הנציבות האירופית כי ישראל תשמור על מעמדה בזכות התפתחויות שונות במערכת המשפט הישראלית מאז קבלת המעמד בשנת 2011, לרבות תיקונים בחוק, פסיקה, הנחיות הרשות להגנת הפרטיות וכן התקנת תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי), התשפ"ג-2023 אשר יחד העלו את רמת הגנת המידע בישראל."

הפוסט ישראל שומרת על החלטת התאימות להעברת מידע מהאיחוד האירופי. הופיע ראשון בדן חי ברשת

האיחוד האירופי החל את שיחות בנושא בחינת התאמת משטר המידע הדרום קוריאני למשטר המידע האירופאי בינואר 2017. כעת, ארבע שנים לאחר מכן, דרום קוריאה קרובה מתמיד לקבל את החלטת ההלימות.

קביעה של האיחוד האירופאי, כי דרום קוריאה מתאימה במשטר המידע האישי שלה לאיחוד האירופאי, תאפשר זרימת נתונים חופשית ובטוחה מהאיחוד האירופי לדרום קוריאה, הן במגזר הפרטי והן במגזר הציבורי. הכרזה כזו תקבל במידה רבה מאוד על יוזמות בתחום של חברות דרום קוריאניות באירופה.

במסגרת ההכנה להערכת ההלימה, תיארה דרום קוריאה בפני נציגי האיחוד האירופאי את חוקי הגנת המידע שלה משנת 2020. בהמשך לכך ההודעה של האירופאיים מתייחסת לכניסתו לתוקף של חוק חדש זה להגנת המידע האישי ברפובליקה של דרום קוריאה ולהעצמת סמכויות הגנת המידע האישי אגב כך במדינה.

השלבים הבאים עד להצהרת ההלימות האירופאית הם חוות דעת של המועצה האירופית להגנת נתונים (EDPB), ואישור ועדה המורכבת מנציגי מדינות האיחוד האירופי. לאחר השלמת צעדים אלה, הנציבות האירופאית תוכל לאמץ את החלטת הלימות.

כזכור ישראל נמצאת בתהליך דומה מול האיחוד האירופאי, אשר בסופו, כך מקווים, יאשרר האיחוד את החלטת ההלימות שניתנה לישראל בשנת 2011. ההליך נעשה על ידי האיחוד לאור כניסתם לתוקף של תקנות הגנת המידע האירופאיות (GDPR) במאי 2018.

הפוסט דרום קוריאה קרובה להכרזת תאימות להעברת מידע מאירופה הופיע ראשון בדן חי ברשת

אז איך זה קרה שחוק שנועד להגן על זכות חשובה כל-כך מעלה אבק כל כך הרבה שנים? פשוט, כי מקבלי ההחלטות בממשלה ובכנסת לא חשבו בכל השנים האלה, שהנושא הזה באמת חשוב. אחרת כבר מזמן היה לנו חוק מעודכן יותר. אבל כאשר הנושא כבר עלה על סדר היום, הוויכוח מה צריך לשנות ואיך, האפיל על קידומו של החוק.

שני נושאים עיקריים היו במחלקות. הראשון – איך לשנות את החוק. האם לחוקק חוק חדש או לתקן את הקיים וגם אם לתקן, האם לעשות זאת בכמה פעימות או באבחה אחת. הוויכוח השני בוסס סביב השאלה, מה לתקן והאם החוק החדש צריך להיות תאומו של החוק האירופאי, שם נחקקו בשנת 2016 תקנות מידע אישי מפוארות ומעודכנות לימינו, תקנות ה-GDPR. שקדו עליהם טובי המוחות בתחום באירופה וקבלתן הובילה לשינוי עולמי בתחום ההגנה על המידע האישי. ברזיל, ארגנטינה, קנדה, קליפורניה ומדינות נוספות בארה"ב ובעולם, הלכו והולכים בעקבות החקיקה האירופאיות וקובעים חקיקה חדשה בתחום או מתאימים חקיקה קיימת.

מתחת לפני השטח, לב ליבן של התקנות האירופאיות יוצא מנקודת הנחה כי המידע האישי שייך, למעשה, לאזרחים בהם עוסק המידע. כפועל יוצא מכך מקנות התקנות זכויות נרחבות לאזרח, בין היתר, לבקש למחוק את המידע עליו או לנייד אותו לחברה המתחרה, אם וכאשר מבקש האזרח לעבור מחברה אחת לרעותה. לא בהכרח כל הזכויות האלו מתאימות גם לישראל.

במידה רבה ניתן לטעון כי הוויכוחים האלה הוכרעו ברובם. כך ניתן למנות שלוש הצעות חוק שמקדם משרד המשפטים ואשר ימתינו לכנסת ה-24: הרחבת סמכויות האכיפה של הרשות להגנת הפרטיות (תיקון מס' 13), צמצום חובת רישום מאגרי המידע (תיקום מס' 14) והרחבת זכויות מושאי המידע (תיקום מס' 15).

מבין השלושה, התיקון האחרון עדיין נמצא בשלבי כתיבה. במשרד המשפטים, דומה, הכריעו כי הכף תטה להצעה שתדמה מאוד לתקנות האירופאיות. אבל אלו עוסקות רק במידע האישי, הן לא עוסקות בנושאים אחרים, שזכו לכינוי "הפרטיות הקלסית". גם בתחום הזה יש מה לתקן.

חוק הגנת הפרטיות, למשל, אינו מטיל אחריות על בעלים של גופי שידור ואתרים המתפקדים כ"עיתון ברשת", עורכים ובעלי תפקידים קשורים לתכנים פוגעי פרטיות שעולים בהם. כך כתבה שתעלה באתר חדשותי תחייב רק את הכותב ולא את מי שערך את הכתבה, עורך המדור, העורך הראשי והבעלים של האתר. כל אלה, לפי החוק הקיים, פטורים מאחריות.

נושא נוסף שלא הוסדר הוא פרטיות הנפטר. על-פי החוק היום כל הנושאים שאדם רצה לשמור לגביהם על פרטיות הופכים לנחלת הכלל עם מותו. לא זוכה להסדרה, בכלל זה, מי יהיה הבעלים של הנכסים הדיגיטליים, כמו תא הדואר האלקרטוני של הנפטר או העמודים שלו ברשתות החברתיות. בכל אלה יכול להיות מידע מאוד אישי שהנפטר אולי לא רצה לחלוק דווקא עם יורשיו.

ניתן למנות ברשימה הזו נושאים רבים נוספים, כמו שאלת פרטיותם של קטינים שאינה מוסדרת בחוק, הזכות להביא למחיקת פרסומים פוגעניים ברשת שאין דרך לאתר מי עומד מאחוריהם, הזכות לחשוף מעוולים אנונימיים ברשת, צמצום ההגנה על פגיעה בפרטיות בהליכים משפטיים והרשימה עוד ארוכה.

ניסיון העבר מלמד שתפסת מרובה לא תפסת. בעניין הזה יש לקוות שקודם כל יתקבלו התיקונים המוכנים כבר היום. אבי ניסנקורן, בזמן הקצר שהיה שר משפטים, הורה לקדם את התיקונים האלו מהר ככל האפשר. יש לקוות שהשר הבא שיגיע למשרד המשפטים, ללא כל קשר לייחוס הפוליטי שלו, יחשוב שהפרטיות שוב על הפרק.

הכותב עומד ב-16 השנים האחרונות בראש הוועדה להגנת הפרטיות של לשכת עורכי הדין ועומד בראש משרד דן חי ושות' המתמחה בדיני טכנולוגיה, פרטיות וסייבר.

הפוסט 40 שנה לחוק הגנת הפרטיות. בהמתנה לתיקונים. הופיע ראשון בדן חי ברשת

הרקע להחלטה הינה בקשה להכיר בתביעה כייצוגית שהוגשה בישראל בספטמבר 2019 לבית המשפט המחוזי בתל-אביב נגד אפל ארה"ב ואפל אירלנד. כדי למסור כתב תביעה לנתבע זר בחו"ל, יש לקבל מבית המשפט "היתר המצאה מחוץ לתחום" או שניתן לבצע את ההמצאה דרך מורשה של הנתבע בישראל. אפל ניסתה להתנגד לכך בטענה, כי יש לתבוע אותה במגרשה הביתי, אי שם מעבר לים. השופטת רחל ערקובי דחתה את הבקשה וביקרה את רצונה של החברה: "למען היעילות, הן מבחינת זמן שיפוט, הן מבחינת הוצאות והן מבחינת תועלת – על אותם תאגידים לשקול להתגונן במסגרת ההליך העיקרי ולעניין ההמצאה לבחון היטב באם אכן יעיל להקדיש משאבים ניכרים בסוגיית ההמצאה, כאשר ההגינות הבסיסית מחייבת מתן במה לצרכנים הפרטיים למול חברות הענק".

השאלה שמעוררת ההחלטה הזו היא מה יקרה במצב הפוך, בו תאגיד ישראלי יתבע בארצות הברית, נניח, על-ידי גולש שביקר באתר האינטרנט שלו? האם אז תתנהל התביעה שם, בדיוק לפי אותו הגיון?

התשובה לשאלה הזו מקשה על פעילות חברות, שיש להן אתרים שמושכים גולשים גם מחוץ לגבולות המדינה. בעולם הגלובלי של ימינו, חברה המעלה אתר שנצפה בכל מקום בעולם, אינה יכולה לצפות מהיכן תבוא התביעה הבאה נגדה. לכאורה, אם חברה כזו רוצה לבטח עצמה כנגד תביעות אפשריות, היא צריכה ביטוח שיכסה אותה בכל פינה על הגלובוס. תוצאה בהחלט בלתי סבירה.

בעולם שקדם למציאות הטכנולוגית של ימינו, תובע היה יכול לתבוע חברה בעיקר במקום מושבה או המקום שבו התרחשה העילה נשוא התביעה. חברה ידעה היכן היא פועלת והייתה יכולה לכלכל את צעדיה בהתאם. אלא שבתקופה הדיגיטלית של ימינו, כשניתן לצפות ולבצע פעולות בכל אתר מכל מקום, הלוגיקה הזו  השתבשה. בתי משפט בארץ ובעולם קבעו שוב ושוב כי בעידן הגלובלי, שבו רשת האינטרנט הינה אחד מביטויו הבולטים, לא בהכרח יש לדבוק בגישה לפיה 'הולך התובע אחר הנתבע', כפי שהיה בעבר. הטענה היא כי בעולם שמהווה 'כפר אחד גדול', ציפייתו הסבירה של צד המקיים קשר עסקי עם אדם המתגורר בארץ זרה, צריכה להביא בחשבון את האפשרות שייתבע לדין על ידי אותו אחר במקום מושבו של האחר, קל וחומר בכל הנוגע לשימוש ברשת האינטרנט.

יותר מכך. בהתאם למצב המשפטי שנוצר, למעשה כל משתמש ברשת האינטרנט צריך לצפות, בגדר אותה 'ציפייה סבירה', כי הוא עשוי להיתבע לדין בכל אחת מארצות העולם בהן הוא מקיים את פעילותו העסקית ברשת בגין שימוש הנעשה בה העולה כדי מעשה עוולה, לרבות ובמיוחד במקום מושבו של הנפגע, כאשר זהותו ברורה וידועה לו.

גם בעולם פסיקות של בתי משפט בעוולות "Cross Border"  המתבצעות באמצעות רשת האינטרנט, קבעו כי לנפגע קמה הזכות להגיש את התביעה דווקא במדינתו ולא "ללכת אחר הנתבע". המצב הזה מעורר כמה שאלות. תחילה האם המצב המשפטי הזה ראוי? ושנית – איך והאם ניתן לשנות אותו ומה ניתן לעשות כדי לצמצם את החשיפה ובעיקר את חוסר הבהירות?

אין ספק שהתוצאה המאפשרת לתובע בגין עוולות ברשת האינטרנט לתבוע במקום מושבו, הגיון רב. אדם פועל ברשת ונפגע, אינו צריך למצוא עצמו בתחילתו של מסע ארוך וקשה בניסיון להגיש  תביעה כנגד מי שפגע בו. אך יש לנסות לגדור את המצב ולקבוע לו סייגים. כאלה יוכלו לקבל משמעות, אם תושג אמנה בינלאומית בנושא, שכן בחקיקה ישראלית לבדה לא יהיה די. ראוי יהיה לקבוע באמנה כזו, כי אתר שקובע מראש שהוא מיועד לפעילות רק במדינה מסוימת, לא יהיה חשוף לתביעה במקום אחר, רק בגלל שמישהו גלש בו ממקום מושבו המצוי בארץ זרה. יתרה מכך, אתר שכתוב רק בשפת מדינת המוצא, למשל כזה הכתוב בשפה העברית בלבד ללא תרגום לאנגלית, יוכל לטעון כי הוא פונה רק לישראל ולא לישראלים מעבר לים, ושאף במקרים בהם בוצעה פעולה, כמו הזמנה אינטרנטית, על-ידי ישראלי המצוי מעבר לים – לא יוכל להגיש המזמין תביעתו במקום מושבו.

תקנות הגנת המידע האירופאיות (ה-GDPR), למשל, קובעות את תחולתן על גורמים מעבר לגבולות היבשת הפועלים ברשת, רק אם כיוונו את הסחר או הפרסומים לתושבי האיחוד האירופאי או פעלו ביחס אליהם, כמו ניטור הגלישות שלהם לטובת פרסום ופעולות דומות. בדין הזה הגיון רב וראוי היה להחיל אותו על כל פעילות אינטרנטית בעולם בכלל. כך אתר שיבוא להגדיר את הסיכונים שלו וירצה לבטח עצמו, לא יצטרך לרכוש פוליסה, שמכסה אותו בכל העולם במחיר, שאולי מכשיל מראש את היכולת לבטח את פעילותו.

הפוסט היכן נתבע מחר? בעולם הדיגיטלי של ימינו אין לדעת הופיע ראשון בדן חי ברשת

אבל בצד המנחם ניתן למנות שלוש הצעות חוק שימתינו לממשלה הבאה לאחר הבחירות. משרד המשפטים מקדם בימים אלו שלושה תיקונים לחוק הגנת הפרטיות בשלושה נושאים: הרחבת סמכויות האכיפה של הרשות להגנת הפרטיות (תיקון מס' 13), צמצום חובת רישום מאגרי המידע (תיקום מס' 14) והרחבת זכויות מושאי המידע (תיקום מס' 15). המטרה המרכזית של תיקונים אלו הינה לקרב את משטר המידע האישי של ישראל לזה התקף באירופה מאז מאי 2018.

מבין שלושת ההצעות, זו העוסקת בסמכויות האכיפה מקודמת ראשונה, לאחר שההצעה כבר הייתה "בשלה", ולאחר שכבר עברה בקריאה ראשונה בשתי כנסות, אשר לא הספיקו לסיים את הליך החקיקה, ועתה מקווים כי בכנסת ה-24 זה יקרה. גם ההצעה העוסקת בצמצום חובת הרישום כבר מוכנה לאישור ועדת השרים לחקיקה, בממשלה הבאה.

ההצעה השלישית, זו שאמורה לעסוק במרחב הזכויות שיש להעניק למושא המידע לצד הסדרה של נושאים נוספים, כמו שאלת הטלת חובת מינוי ממונה פרטיות בארגון או שימושי בינה מלאכותית, נמצאת עדיין בשלב העיבוד והכתיבה במחלקת ייעוץ וחקיקה במשרד המשפטים. המשרד עתיד להוציא תזכיר חוק בעניין בסמוך לאחר השבעת הכנסת ה-24. כבסיס לכך הוציא לפני מספר שבועות משרד המשפטים קול קורא להעברת הצעות לתיקונים שיש לעשות בחוק, והתזכיר אמור לקחת בחשבון את ההצעות הרבות שזרמו למשרד בעקבות קול קורא זה.

על כך שראוי לתקן באופן יסודי את חוק הגנת הפרטיות הישראלי, ניכר כי אין ויכוח. החוק התקבל בשנת 1981 ותוקן לאחרונה באופן מקיף בשנת 1996. ב-25 השנים שחלפו מאז התחולל מהפך דיגיטלי רחב, אשר החוק בישראל לא מתייחס אליו. הרעיון לתקן את חוק הגנת הפרטיות בהמשכים נולד עוד בתחילת העשור השני של שנות האלפיים, כשבמשרד המשפטים החלו לעבוד על התיקונים שמוצעים עתה. המחשבה הייתה שיהיה יותר קל להעביר בכנסת תיקונים קטנים יחסית, בהיקפם, מאשר תיקון אחד גדול. "לחברי הכנסת אין סבלנות לחוקים ארוכים", הסבירו במשרד המשפטים. בכנסת ה-18 קיבל הרעיון הזה תוקף. מי שהיה אז ראש ועדת חוקה חוק ומשפט בכנסת, דוד רותם המנוח, אכן דגל בקידומם של חוקים קצרים שלא גורמים לוועדה לעבודה קשה ומסובכת מדי.

מנגד, גורמים כמו המכון הישראלי לדמוקרטיה סבורים, שלא רק שעבודת תיקון חוק בחלקים  לא תביא לתוצאה הראויה, אלא גם תביא לחוק שבנוי טלאי על טלאי. במכון מתפארים במסמך מפואר שהכינו, המציע חוק הגנת פרטיות חדש, וגם בנוסח מקוצר שלו, הדוגל בתיקון החוק הקיים. בכל מקרה לא בכמה שלבים. עתה נמתין לכנסת ה-24 כדי לראות אם המהלך של העדכון בשלבים יסתיים בצורה מוצלחת.

הפוסט 40 שנה לחוק הגנת הפרטיות. בהמתנה לתיקונים. הופיע ראשון בדן חי ברשת

העברות הנתונים מסתמכות כעת על הסכם הביניים של האיחוד האירופי ובריטניה אשר יפוג בתאריך 30 ביוני 2021, כשיסתיים אימוץ תהליך ההלימה של בריטניה לדרישות האיחוד. החלטות אלה יחולו לתקופה של ארבע שנים מיום כניסתן לתוקף.

בשני הצדדים רואים חשיבות רבה בהשלמת ההליכים, במסגרתם הטיוטות שפורסמו יקבלו תוקף. בכך תתאפשר הזרמת נתונים מאובטחים בין האיחוד האירופי לבריטניה, החיונית בכדי לשמור על קשרי סחר ושיתוף הפעולה בין הצדדים בתחומים רבים נוספים. מדובר במידע אישי, העוסק באנשים בשר ודם, אנשים "טבעיים" כמוגדר בתקנות המידע האירופאיות, להבדיל מנתונים על תאגידים.

האיחוד האירופי מציין כי בריטניה התחייבה להישאר צד באמנה האירופית לזכויות אדם ובאמנה להגנת נתונים של מועצת אירופה. הקפדה על התחייבויות בינלאומיות נתפסת כבסיסית וחיונית ביחס להערכה שעליה מבוסס המהלך של האיחוד האירופאי.

הפוסט אירופה – בריטניה: התקרבות בהסכמה להעברת מידע אישי הופיע ראשון בדן חי ברשת