מאת: עו”ד רוית הלוי-ברזילי
ב25 בחודש מאי 2018 נכנסו לתוקף תקנות הגנת המידע (GDPR) אשר חלות על כל חברה הפועלת באיחוד האירופי, או מציעה את שירותיה לתושבי ואזרחי האיחוד האירופי. תקנות אלה הן תוצאה של מגמה עולמית להגנה על הפרט מפני שימוש במידע האישי שלו על ידי חברות וארגונים לצרכיהם, ובין היתר לצורך התאמת פרסומות ממוקדות (Retargeting).
תקנות ה-GDPR האירופאיות קובעות מספר עקרונות המהווים בסיס לאיסוף ועיבוד המידע ואשר מחייבים כל גוף שאוסף מידע אישי:
חוקיות – איסוף המידע ועיבודו חייבים להתבצע בדרך הקבועה בתקנות.
איסוף המידע יעשה למטרה מוגדרת בלבד – לא ניתן לאסוף מידע אשר המשתמש הסכים לספק אותו לצורך מסויים, ולאחר מכן להשתמש במידע זה לצרכים אחרים.
הגבלת איסוף כמות המידע – מותר לאסוף רק את המידע ההכרחי לביצוע הפעולה המבוקשת על ידי המשתמש.
דיוק – על המידע להיות נכון ומדויק. עיקרון זה משתקף גם בזכויות הפרט המחייבות את אוסף המידע לתקן אותו לבקשת המשתמש.
מגבלת זמן – אין לשמור מידע מעבר לזמן הדרוש לצורך השימוש אשר לשמו נאסף מידע זה.
הגנה וסודיות – על אוסף המידע מוטלות חובות נרחבות בקשר עם אבטחת המידע והדיווחים לגבי אירועים של פריצת מאגר הנתונים שברשותו.
על מנת שבעל מאגר המידע יאסוף את המידע מן המשתמש באופן חוקי, ראשית כל, עליו לקבל את הסכמת הפרט לאיסוף המידע עליו ולעיבודו (למעט במקרים מסוימים הקבועים בתקנות, כגון מכוח הסכם). הסכמה זו צריכה להיות הסכמה מדעת, פשוטה ומפורשת – כלומר הסכמה לאחר שמטרת האיסוף והשימוש במידע הוסברו והובנו. כחלק מיישום הוראה זו, על המשתמש לסמן באופן אקטיבי את הסכמתו לשימוש במידע (OPT IN) כאשר טקסט קצר מסביר את מטרת איסוף המידע, וזאת בניגוד לנוהג לסמן מראש את ההסכמה לשימוש במידע (OPT OUT) והפניה לקישור ובו תנאי השימוש באתר. התקנות אף מחייבות לספק למשתמש מנגנון פשוט לביטול הסכמתו זו.
יש לשים לב, כי התקנות מרחיבות את הגדרת ה-“מידע האישי” למידע אשר ניתן לזיהוי לא רק בדרך של קישור לשמו של אדם, אלא גם קישור למיקום, כתובת IP, או כל קישור למידע גנטי, תרבותי, חברתי וכדומה.
בנוסף, התקנות מקשיחות את הכללים הקיימים באבטחת נתונים. למשל, הטלת מגבלה על המידע שמותר להעביר לצדדים שלישיים לצורך ביצוע עיבוד על הנתונים, וחיוב הענקת הרשאות לגישה לנתונים אלה על מנת למנוע ככל הניתן שימוש לא מורשה. בנוסף קובעות התקנות את עיקרון ה-Data Protection by Design and by Default – הגנת המידע כברירת מחדל במערכות איסוף ועיבוד מידע.
על פי תקנות ה-GDPR, מידע אישי, החושף מוצא אתני, דעות פוליטיות, אמונות דתיות, מידע גנטי או ביומטרי וכד’ הינו אסור בעיבוד, וניתן לעבד אותו רק תחת הסכמה מפורשת של נושאי המידע (הפרט) לעיבוד מידע זה ולמטרות ספציפיות בלבד.
התקנות מעניקות זכויות נרחבות לפרט שעליו נאסף מידע, ובעל מאגר המידע נדרש להתאים את המאגר שבבעלותו כך שיעמוד בדרישות הטכנולוגיות הנובעות מיישום זכויות אלו:
הזכות לדעת – לנושא המידע יש זכות לדעת את זהותו של בעל מאגר המידע, מיהם נציגיו, מיהו נושא המשרה האמון על אבטחת המידע (Data Protection Officer), מהו הבסיס החוקי המאפשר את עיבוד המידע ובנוסף לכך שורה ארוכה של פרמטרים הנוגעים למידע שנאגר על הפרט והשימוש בו.
הזכות להישכח – על אוסף המידע להיות ערוך למחיקת פרטי המשתמש באופן מיידי.
זכות התיקון של המידע ברשומה של הפרט אצל בעל מאגר המידע – על בעל מאגר המידע לתקן את המידע על הפרט בהתאם לבקשת הפרט לעדכון הנתונים.
זכות הגישה לרשומות אצל בעל מאגר המידע, לרבות צורת העיבוד של המידע – על בעל מאגר המידע להיות ערוך לספק לנושא המידע אישור האם יש ברשותו מידע לגבי הפרט, ובמידה וכן נתונים לגבי צורת עיבוד המידע, מטרתה, התקופה בה ישמר המידע בידי בעל המאגר וכו’.
הזכות לחסום את עיבוד המידע – לנושא המידע יש זכות לחסום את עיבוד המידע על ידי בעל המאגר במקרים מסוימים, כגון במקרה בו בעל מאגר המידע איננו מעוניין עוד במידע ומעוניין למחוק אותו, אך הפרט זקוק לו לשם הגשתו בהליך משפטי.
הזכות לניוד המידע על-ידי העברת הרשומה לפרט – על בעל מאגר המידע להעביר את המידע על הפרט שברשותו בצורה אלקטרונית ניתנת לקריאה.
זכות הסירוב לעיבוד המידע על ידי בעל המאגר – זכות זו מתקיימת בכל עת כאשר מדובר בעיבוד מידע לצורך בניית פרופיל צרכני, ובמקרים אחרים (כגון עיבוד על ידי רשות או שימוש במידע לטובת הציבור) על בסיס המצב הפרטני של אותו הפרט.
סקירה זו הינה כללית ונוגעת בחלקיות בהוראות ה- GDPR. היא איננה מלאה ואינה מחליפה יעוץ משפטי ואין להסתמך עליה בכל מקרה של שאלה ספציפית.