נקודות עיקריות
- שם התקנות: תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי), התשפ״ג-2023.
- מטרתן הייתה לתמוך בהכרה של האיחוד האירופי ברמת ההגנה על מידע בישראל, שמאפשרת העברת מידע מאירופה לישראל בלי מנגנונים נוספים.
- נושא מידע רשאי לבקש בכתב מחיקה של מידע שנוצר בניגוד לדין או שכבר אינו נחוץ למטרה שלשמה נאסף.
- הודעה לנושא המידע נשלחת בהקדם האפשרי ולכל היותר תוך חודש מקבלת המידע, עם חריגים מוגדרים.
- התקנות חלות רק על מידע שמקורו באזור הכלכלי האירופי, ולכן הצעד הראשון הוא לזהות איפה מידע כזה נמצא במאגרים.
תוכן עניינים
- מהן תקנות המידע שהועבר מאירופה ולמה הן קיימות?
- על אילו עסקים התקנות חלות בפועל?
- מתי חייבים למחוק מידע לבקשת אדם?
- מה חל על שמירת מידע ועל דיוקו?
- מתי ואיך מיידעים את נושא המידע?
- מה ההבדל בין התקנות לחוק הכללי?
- תוכנית עבודה ב-6 שלבים
- שאלות ותשובות
מידע שהועבר מאירופה הוא מידע אישי המצוי במאגר מידע בישראל ושמקורו במדינות האזור הכלכלי האירופי (מדינות האיחוד האירופי ואיסלנד, נורווגיה וליכטנשטיין). על מידע כזה חלות חובות נוספות שלא חלות על שאר המידע במאגר. חברת תוכנה עם לקוחות בגרמניה, סוכנות נסיעות שמקבלת רשימות תיירים מצרפת, או חברה ישראלית שמנהלת עובדים בסניף אירופי — כולן עשויות להחזיק מידע כזה. למיפוי המאגרים והחובות שחלות עליהם אפשר להיעזר במערכת הציות לחוק הגנת הפרטיות של Privorify.
מהן תקנות המידע שהועבר מאירופה ולמה הן קיימות?
התקנות אושרו ב-2023 כדי לתמוך בחידוש ההכרה של האיחוד האירופי בישראל כמדינה שמעניקה רמת הגנה נאותה למידע אישי (Adequacy). ההכרה הזו מאפשרת לחברות אירופיות להעביר מידע לישראל בלי הסכמי העברה מיוחדים, והיא יתרון תחרותי משמעותי לחברות ישראליות.
הנוסח המלא הוא תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי), התשפ״ג-2023. בינואר 2024 פרסמה הנציבות האירופית את הסקירה שלה להחלטות ההכרה הקיימות, וישראל נמנתה עם המדינות שההכרה בהן נמשכה. החובות שבתקנות מקבילות חלקית לזכויות שב-GDPR האירופי, כמו הזכות למחיקה ועקרון צמצום המידע, אבל חלות רק על מידע שמקורו באירופה.
מתי התקנות נכנסו לתוקף?
| סוג המידע | מועד תחולה לפי התקנות |
|---|---|
| מידע שהועבר אחרי פרסום התקנות (מאי 2023) | 3 חודשים מהפרסום |
| מידע שכבר היה במאגרים לפני כן | שנה מהפרסום |
| מקרים מסוימים שנקבעו בתקנות | 1 בינואר 2025 |
המשמעות המעשית בסתיו 2026: כל מועדי ההתאמה חלפו, והחובות חלות במלואן על כל מידע שהועבר מאירופה.
על אילו עסקים התקנות חלות בפועל?
על כל בעל מאגר מידע בישראל שמחזיק מידע אישי שהגיע מהאזור הכלכלי האירופי, בלי קשר לגודל העסק. השאלה הקובעת היא מקור המידע, ולא אזרחות האדם או מקום האחסון.
דוגמאות נפוצות למידע שעשוי להיכנס להגדרה:
- נתוני משתמשים של לקוחות אירופיים שמועברים למערכת SaaS ישראלית;
- תיקי עובדים של סניף אירופי שנשלחים למשאבי אנוש בישראל;
- רשימות לקוחות או לידים שמתקבלים משותף עסקי באירופה;
- פרטי תיירים שמגיעים מסוכני נסיעות אירופיים.
לעומת זאת, מידע שעסק ישראלי אוסף ישירות מאדם באירופה, למשל דרך טופס באתר, עשוי להיות כפוף ישירות ל-GDPR ולא לתקנות האלה — זו שאלה נפרדת שמחייבת בדיקה משפטית. את הכיוון ההפוך, העברת מידע מישראל החוצה, סקרנו במדריך העברת מידע אישי לחו״ל.
מתי חייבים למחוק מידע לבקשת אדם?
לפי התקנות, בעל מאגר חייב למחוק מידע שהועבר מאירופה לפי בקשה בכתב של נושא המידע, כאשר המידע נוצר בניגוד לדין, כאשר השימוש הממשיך בו מפר את הדין, או כאשר הוא כבר אינו נחוץ למטרה שלשמה נאסף. במקום מחיקה אפשר להפוך את המידע לאנונימי, כך שלא ניתן באמצעים סבירים לזהות את האדם.
זו הרחבה משמעותית לעומת החוק הכללי. בחוק הגנת הפרטיות עצמו קיימות זכות עיון וזכות לבקש תיקון של מידע שאינו נכון, שלם, ברור או מעודכן (סעיף 14). התקנות מוסיפות זכות מחיקה שלא תלויה בכך שהמידע שגוי. על טיפול בבקשות תיקון רגילות ראו את המדריך בקשה לתיקון מידע אישי לפי סעיף 14.
מתי מותר לסרב לבקשת מחיקה?
התקנות מונות חריגים שבהם אפשר להמשיך להחזיק את המידע, ביניהם: שימוש למען חופש הביטוי, קיום חובה לפי דין, אינטרס ציבורי, הליכים משפטיים, מניעת הונאה, והתחייבויות לפי אמנה בינלאומית. למשל, חשבונית שחובה לשמור לפי דיני המס לא תימחק רק בגלל בקשת הלקוח. כדאי לתעד בכתב את הנימוק לכל סירוב.
מה חל על שמירת מידע ועל דיוקו?
בעל המאגר נדרש להפעיל מנגנונים שמבטיחים שלא יישמר מידע שאינו נחוץ למטרתו, ולמחוק מידע כזה בהקדם האפשרי. בנוסף הוא חייב במנגנונים ארגוניים וטכנולוגיים שמבטיחים שהמידע נכון, שלם, ברור ומעודכן.
זו חובה יזומה, שאינה מחכה לפנייה של אדם. בפועל היא מחייבת מדיניות שמירה מוגדרת לכל סוג מידע שמקורו באירופה, ותהליך תקופתי של מחיקה או אנונימיזציה. היא משתלבת עם תקנה 2(ג) לתקנות אבטחת המידע, שמחייבת בדיקה שנתית של מידע עודף בכל המאגרים. על בניית מדיניות כזו ראו כמה זמן שומרים מידע אישי: מדיניות שמירה ומחיקה, ועל הפיכת מידע לאנונימי באמת ראו אנונימיזציה של מידע אישי.
מתי ואיך מיידעים את נושא המידע?
בעל מאגר שקיבל מידע מאירופה צריך ליידע את נושא המידע בהקדם האפשרי ולכל היותר תוך חודש מקבלת המידע. ההודעה כוללת את זהות בעל המאגר ומנהל המאגר ודרכי ההתקשרות עמם, את מטרת ההעברה, את סוג המידע ואת זכויות המחיקה, העיון והתיקון.
התקנות פוטרות מהודעה במקרים מסוימים, למשל כשסביר שנושא המידע כבר יודע את הפרטים, כשדרכי ההתקשרות עמו אינם ידועים, כשחלה חובת סודיות לפי דין, או כשהמסירה תטיל נטל בלתי מידתי. עסקים שמקבלים מידע משותף אירופי נוהגים לעיתים לתאם שהודעת הפרטיות של השותף תכלול גם את הפרטים הנדרשים. על חובת היידוע הכללית ראו חובת יידוע לפי סעיף 11.
מה ההבדל בין התקנות לחוק הכללי?
החוק הכללי חל על כל מידע אישי במאגר, והתקנות מוסיפות שכבת חובות רק למידע שמקורו באזור הכלכלי האירופי.
| נושא | כל מידע אישי (חוק הגנת הפרטיות) | מידע שהועבר מאירופה (תקנות 2023) |
|---|---|---|
| עיון ותיקון | סעיפים 13 ו-14 | חלים, וההודעה לנושא המידע מציינת אותם |
| מחיקה לבקשת האדם | אין זכות מחיקה כללית | בקשה בכתב, עם חריגים |
| שמירת מידע עודף | בדיקה שנתית לפי תקנה 2(ג) לתקנות האבטחה | מנגנונים למחיקה בהקדם האפשרי |
| דיוק המידע | תיקון לפי בקשה | חובה יזומה לוודא דיוק |
| יידוע | סעיף 11, בעת איסוף מהאדם | תוך חודש לכל היותר מקבלת המידע |
תוכנית עבודה ב-6 שלבים
עסק שמקבל מידע מאירופה יכול לעמוד בתקנות בששה שלבים מעשיים, שרובם מנצלים תשתיות שכבר נדרשות לפי תיקון 13.
- מיפוי: זהו באילו מאגרים קיים מידע שמקורו באזור הכלכלי האירופי, וסמנו את מקורו במערכת.
- מדיניות שמירה: קבעו תקופת שמירה לכל סוג מידע ומנגנון מחיקה או אנונימיזציה.
- נוהל בקשות מחיקה: קבעו מי מקבל בקשות בכתב, איך בודקים חריגים ואיך מתעדים סירוב.
- בקרת דיוק: הגדירו עדכון תקופתי ותיקון של רשומות לא מעודכנות.
- תבנית הודעה: הכינו נוסח שנשלח תוך חודש מקבלת המידע, או תאמו עם השותף האירופי שהודעתו תכלול את הפרטים.
- הסכמים: עדכנו הסכמים עם לקוחות וספקים אירופיים כך שישקפו את החובות.
סיכום
- התקנות מ-2023 חלות על מידע שמקורו באזור הכלכלי האירופי, וכל מועדי התחולה כבר חלפו.
- הן מוסיפות זכות מחיקה, חובת מחיקה יזומה, חובת דיוק ויידוע תוך חודש.
- הצעד הראשון הוא לדעת איפה נמצא מידע כזה במאגרים.
שאלות ותשובות
האם התקנות על מידע מאירופה חלות גם על עסק קטן?
כן. התקנות חלות על כל בעל מאגר מידע בישראל שמחזיק מידע אישי שהועבר מהאזור הכלכלי האירופי, בלי קשר לגודל העסק. מה שקובע הוא מקור המידע.
תוך כמה זמן צריך ליידע אדם שמידע עליו הועבר מאירופה?
בהקדם האפשרי ולכל היותר תוך חודש מקבלת המידע, אלא אם חל אחד החריגים, למשל כשהאדם כבר יודע את הפרטים או כשדרכי ההתקשרות עמו אינם ידועים.
האם מותר לסרב לבקשת מחיקה של לקוח אירופי?
כן, במקרים שהתקנות מונות, כמו חובה לפי דין לשמור את המידע, הליכים משפטיים, מניעת הונאה או אינטרס ציבורי. רצוי לתעד בכתב את נימוק הסירוב.
האם מותר להפוך מידע לאנונימי במקום למחוק אותו?
כן. התקנות מאפשרות במקום מחיקה לבצע פעולות שמבטיחות שלא ניתן באמצעים סבירים לזהות את נושא המידע. הסרת שם בלבד בדרך כלל לא מספיקה.
למה ישראל התקינה תקנות מיוחדות למידע מאירופה?
כדי לתמוך בהכרה של האיחוד האירופי ברמת ההגנה על מידע אישי בישראל. הכרה זו מאפשרת לחברות אירופיות להעביר מידע לישראל בלי מנגנוני העברה נוספים, והנציבות האירופית אישרה את המשכה בינואר 2024.
לקריאה נוספת ומקורות
- תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי), התשפ״ג-2023 — נוסח מלא
- חוק הגנת הפרטיות, התשמ״א-1981 — סעיפים 11, 13 ו-14
המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
להמשך קריאה
