מאת: עו”ד אור אבי ווזנה
החל מיום 8.5.2018 רגולציה נוספת תחול על כל גוף במשק (עסקים, רשויות ציבוריות, רשויות מקומיות וכיוצא באלה) שברשותו מאגר מידע, עם כניסתן לתוקף של תקנות הגנת הפרטיות (אבטחת מידע), התשע”ז-2017.
הזכות לפרטיות היא מהחשובות שבזכויות האדם, ומהווה במשפט הישראלי זכות יסוד חוקתית. דומה כי אין צורך להכביר במילים אודותיה ואודות חשיבותה לקיום ערכים דמוקרטיים, מימוש האוטונומיה של הפרט והגנה על זכויותיו. ואולם, בעידן המידע הדיגיטלי, כאשר מידע אישי רב מאוחסן במאגרי מידע של גופים שונים, לא פעם עולה חשש כי אלו ישתמשו במידע באופן שיחרוג מההרשאה שניתנה להם, או שהמאגר “ייפרץ” והמידע האישי ייחשף. אך לאחרונה התוודענו לפרשת קיימברידג’ אנליטיקה, ואף בישראל הרשות להגנת הפרטיות החליטה לפתוח בחקירה מנהלית בעניין חברת פייסבוק, בשל האפשרות לביצוע הפרות חוק הגנת הפרטיות, תשמ”א-1981. על רקע החששות הותקנו מכח החוק תקנות הגנת הפרטיות (אבטחת מידע), התשע”ז-2017, שכאמור ייכנסו לתוקף ביום 8.5.2018. התקנות מחילות הוראות שונות וצפויות להשפיע באופן ניכר על גופים שונים, ומטרת מאמר זה היא ליידע בדבר וליתן סקירה קצרה שלהן.
בחוק קבועה אחריות לאבטחת מידע, והתקנות מבקשות לפרט כיצד תיעשה אבטחת המידע בעידן המידע הדיגיטלי. התקנות עוצבו ברוח תקנות הגנת המידע האירופאיות (GDPR) ומטרתן הגנה הן על שלמות המידע והן מפני חשיפתו, העתקתו או שימוש בו על ידי גורמים שאינם מורשים. התקנות חלות על כל המשק הישראלי ועל כל פעילות של עיבוד מידע אישי הכפופה לחוק, ובפרט על מי שהם בעלי, מנהלי ומחזיקי מאגר המידע. בכלל זה, התקנות חלות גם על מאגרי מידע של גופים ציבוריים, וכן מאגרים מסוימים של מפלגות, מועמדים ורשימות.
מאגרי המידע סווגו ל-3 קבוצות, בהתאם לרמת האבטחה החלה עליהם (בסיסית, בינונית, גבוהה). התקנות נוסחו במתכונת מודולארית; בהתאם לרמת האבטחה, חלות הוראות שונות מהתקנות, כך שככל שרמת האבטחה גבוהה יותר – כך יחולו הוראות רבות יותר. קבוצה נוספת נוגעת למאגרים המנוהלים בידי יחיד, שלגביהם חלות אך חלק קטן מההוראות.
הסיווג ייעשה בהתאם למספר מורשי הגישה למאגר, בהתאם למספר האנשים במאגר, ובהתאם לסוג המידע ולמטרת מאגר המידע. כך למשל, מאגר מידע המכיל מידע אודות הרגלי צריכה מסוימים, נכסים של אדם או אמונותיו הפוליטיות/דתיות יסווג ברמת אבטחה בינונית, וכך גם לגבי מאגר שבעליו הוא גוף ציבורי. על מאגר המכיל מידע על יותר מ-100,000 אנשים תחול רמת האבטחה הגבוהה.
בין ההוראות השונות: הכנת “מסמך הגדרות מאגר” (שיעודכן בכל שינוי משמעותי ולפחות אחת לשנה), מינוי ממונה על אבטחת מידע, שבין היתר יכין נוהל לאבטחת מידע, מיפוי מערכות המאגר וביצוע סקר סיכונים ואבטחה פיזית וסביבתית של התשתיות ומערכות החומרה (ובמקרים מסוימים תיעוד כניסות ויציאות של העובדים). בנוסף, קיימות הוראות שונות בדבר תיעוד גישה, תיעוד אירועי אבטחה, קיום ביקורות תקופתיות, גיבוי ושחזור המידע וחובות תיעוד.
היערכות מתאימה תביא (בתקווה) לשמירה טובה יותר על מידע אישי ולהגנה טובה יותר על הזכות לפרטיות.