מסגרות ותקנים / EU
GDPR
ה-GDPR הוא תקנת הגנת המידע של האיחוד האירופי, המסדירה כיצד מידע אישי של אנשים באיחוד האירופי נאסף, מעובד, מאובטח, מועבר ונמחק. הוא חל על ארגונים מחוץ לאיחוד האירופי, לרבות בישראל, בכל פעם שהם מכוונים לאנשים באיחוד האירופי או מנטרים אותם.
מה זה דורש
העיבוד חייב להתבסס על בסיס חוקי (סעיף 6: הסכמה, חוזה, חובה חוקית, אינטרסים חיוניים, משימה ציבורית או אינטרסים לגיטימיים), עם תנאי נוסף לפי סעיף 9 עבור נתונים מקטגוריה מיוחדת. בקרים חייבים לתחזק רישומי פעילויות עיבוד (סעיף 30), ליישם אמצעי אבטחה טכניים וארגוניים מתאימים (סעיף 32), לכבד את זכויות נושא המידע לרבות גישה, תיקון, מחיקה, הגבלה, ניוד והתנגדות (סעיפים 12-23), ולבצע הערכת השפעה על הגנת המידע כאשר העיבוד עלול לגרום לסיכון גבוה (סעיף 35). הפרות מידע אישי חייבות להיות מדווחות לרשות הפיקוח בתוך 72 שעות מרגע היוודען, אלא אם ההפרה אינה עלולה לגרום לסיכון ליחידים (סעיף 33), וליחידים המושפעים ללא עיכוב מיותר כאשר הסיכון גבוה (סעיף 34). ארגונים מסוימים חייבים למנות ממונה הגנת מידע (סעיף 37), והעברות מידע אישי מחוץ ל-EEA דורשות מנגנון העברה תקף כגון החלטת נאותות או סעיפים חוזיים סטנדרטיים עם הערכת השפעת העברה (פרק V). הקנס המנהלי המרבי הוא עד 20 מיליון אירו או 4% מהמחזור השנתי העולמי הכולל, הגבוה מביניהם, עבור ההפרות החמורות ביותר; דרג נמוך יותר של עד 10 מיליון אירו או 2% חל על הפרות אחרות.
ה-GDPR חל על כל ארגון המבוסס באיחוד האירופי, ולפי סעיף 3(2), על ארגונים בכל מקום בעולם המציעים סחורות או שירותים לאנשים באיחוד האירופי או מנטרים את התנהגותם. ישראל מחזיקה בהחלטת נאותות של האיחוד האירופי, המאפשרת למידע אישי לזרום מהאיחוד האירופי לנמענים ישראליים ללא אמצעי הגנה נוספים; נאותות זו אינה פוטרת חברה ישראלית מה-GDPR כאשר היא עצמה מכוונת ליחידים באיחוד האירופי. הטריגר המעשי עבור רוב חברות שוק הביניים הישראליות הוא לקוח אירופי השולח הסכם עיבוד נתונים, או השקת מוצר המכוון לאיחוד האירופי.
הבקרות שאנשים באמת נכשלים בהן
- רישום פעילויות העיבוד לפי סעיף 30 נכתב פעם אחת על ידי יועץ חיצוני ולעולם אינו מתעדכן: מערכות חדשות, מעבדי-משנה חדשים וזרימות מידע חדשות נוספו מבלי לגעת בו.
- שמירת מידע אינה נאכפת בפועל: המדיניות מבטיחה מחיקה לאחר X שנים, אך שום דבר אינו נמחק, ומסדי נתונים ישנים, גיבויים וייצואים נותרים ללא הגבלת זמן.
- מעבדי-משנה מנוצלים ללא הסכם עיבוד חתום לפי סעיף 28, מבלי לרשום אותם עבור הלקוחות, וללא מנגנון העברה עבור אלה שמחוץ ל-EEA.
- לבקשות נושא המידע אין תהליך תפעולי: אין ערוץ קליטה, אין בעלים, אין שעון, אין יכולת לאתר בפועל את כל העותקים של המידע של אדם אחד בכל המערכות.
- הערכות השפעה על הגנת המידע (DPIA) אינן מבוצעות עבור עיבוד בסיכון גבוה (פרופיילינג בקנה מידה גדול, עיבוד ביומטרי, ניטור שיטתי), או מבוצעות כתרגיל מילוי טפסים ללא הפחתת סיכון כתוצאה.
- הסכמה לעוגיות ולמעקב באתר אינה תואמת את המציאות: כלי מעקב פועלים לפני הסכמה, ו"אינטרס לגיטימי" נטען עבור אנליטיקת שיווק הדורשת הסכמה.
- אין יכולת גילוי הפרות, מה שהופך את שעון ה-72 שעות לבלתי ניתן לעמידה: אינכם יכולים לדווח בתוך 72 שעות מרגע ההיוודעות אם לעולם אינכם נודעים.
האם ה-GDPR חל על חברות ישראליות?
כן, בכל פעם שהחברה הישראלית מציעה סחורות או שירותים לאנשים באיחוד האירופי או מנטרת את התנהגותם (סעיף 3(2)), או מעבדת מידע אישי בשם לקוח מהאיחוד האירופי כמעבד. ישראל נהנית מהחלטת נאותות של האיחוד האירופי, שמשמעותה שמידע אישי ניתן להעברה מהאיחוד האירופי לישראל ללא אמצעי הגנה נוספים כגון סעיפים חוזיים סטנדרטיים, אך הנאותות מסדירה את ההעברה, לא את החובות שלכם עצמכם. חברת SaaS ישראלית עם משתמשים באיחוד האירופי כפופה ישירות ל-GDPR.
מתי עלינו למנות ממונה הגנת מידע לפי ה-GDPR?
סעיף 37 דורש DPO כאשר העיבוד מבוצע על ידי רשות או גוף ציבורי; כאשר הפעילות המרכזית כוללת ניטור סדיר ושיטתי של נושאי מידע בקנה מידה גדול; או כאשר הפעילות המרכזית כוללת עיבוד בקנה מידה גדול של קטגוריות מיוחדות של נתונים (כגון בריאות, ביומטריה או מוצא גזעי/אתני) או של נתונים הנוגעים להרשעות ועבירות פליליות. ה-DPO חייב להתמנות על בסיס תכונות מקצועיות וידע מומחה בדין ובפרקטיקה של הגנת המידע, חייב לדווח לרמת ההנהלה הגבוהה ביותר, אסור להורות לו כיצד לבצע את התפקיד, והוא יכול להיות קבלן חיצוני. חלק ממדינות החברות מטילות דרישות לאומיות נוספות.
מהי מגבלת הזמן להודעה על הפרה לפי ה-GDPR?
הודעה לרשות הפיקוח המוסמכת נדרשת ללא עיכוב מיותר, וכאשר ניתן, לא יאוחר מ-72 שעות לאחר היוודע ההפרה של מידע אישי, אלא אם ההפרה אינה עלולה לגרום לסיכון לזכויות ולחירויות של יחידים (סעיף 33). אם ההפרה עלולה לגרום לסיכון גבוה ליחידים, יש גם ליידע אותם ללא עיכוב מיותר (סעיף 34). אם העובדות המלאות עדיין אינן ידועות, אתם מודיעים בתוך 72 שעות עם מה שיש לכם ומספקים את השאר בשלבים; מעבד חייב להודיע לבקר שלו ללא עיכוב מיותר.
מהם הקנסות המרביים לפי ה-GDPR?
שני דרגים. הדרג הגבוה (עד 20 מיליון אירו או 4% מהמחזור השנתי העולמי הכולל של השנה הכספית הקודמת, הגבוה מביניהם) חל על הפרות של העקרונות הבסיסיים, הבסיס החוקי, זכויות נושא המידע והכללים על העברות בינלאומיות. הדרג הנמוך (עד 10 מיליון אירו או 2%) חל על הפרות כגון כשלים באבטחה (סעיף 32), רישומי עיבוד, הודעה על הפרה, DPIA וחובות DPO. לרשויות הפיקוח יש גם סמכויות תיקון מעבר לקנסות, לרבות איסורים על עיבוד, שלעיתים קרובות הם התוצאה המזיקה יותר מסחרית.