נוהל מתן חוות דעת מקדמית על ידי הרשות להגנת הפרטיות

חוות דעת מקדמית בהגנת הפרטיות: ודאות עסקית וטכנולוגית מלאה

עידן תיקון 13: למה פרה-רולינג הוא צעד חובה לטכנולוגיות חדשות?

בעקבות כניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות, הרשות להגנת הפרטיות מוסמכת להטיל עיצומים כספיים כבדים של מאות אלפי ומיליוני שקלים על הפרות חוק ומחדלי אבטחת מידע.

השקת מוצר טכנולוגי, מודל בינה מלאכותית (AI) או פעילות איסוף מידע מורכבת ללא בדיקה מוקדמת חושפת את הארגון ואת מנהליו לסיכון אישי וכספי ישיר.

הפתרון המשפטי: סעיף 17ט2 לחוק הגנת הפרטיות מאפשר לבעל שליטה או למחזיק במאגר מידע, וכן למי שעומד להיות אחד מאלה, לפנות לרשות להגנת הפרטיות ולקבל חוות דעת מקדמית בדבר עמידת מאגר המידע בדרישות החוק והוראותיו לעניין עיבוד המידע. חוות הדעת מאפשרת לארגון לקבל מראש את עמדת הרשות ביחס לפעילות המתוכננת ולצמצם את אי-הוודאות המשפטית והרגולטורית.

היתרון המכריע: הגשה המשלבת מומחיות משפטית והסמכות CISO ו-DPO

בקשה לחוות דעת מקדמית נבחנת על ידי אנשי הטכנולוגיה והמשפט של הרשות. בקשה שאינה מציגה ארכיטקטורת מערכת (Data Flow, הצפנה, בקרות גישה) – נדחית על הסף.

עו"ד שחר שוורץ נמנה על קבוצה מצומצמת של כ-10 עורכי דין בלבד בישראל המחזיקים בהסמכות הבכירות:

• CISO: מנהל אבטחת מידע בכיר.

• DPO: ממונה הגנת פרטיות.

שילוב זה מבטיח:

1. הצגה טכנולוגית מדויקת: תרגום הקוד, השרתים וזרימת הנתונים לדרישות החוק ותקנות אבטחת המידע.

2. ניסוח משפטי מנצח: בניית טיעון משפטי שמציג פתרונות ישימים ומונע סחבת או סירוב מצד הרגולטור.

מתי ארגון חייב לשקול פנייה לחוות דעת מקדמית?

• מערכות בינה מלאכותית: אימון מודלים, ניתוח אוטומטי של פרופיל משתמשים וקבלת החלטות מבוססת דאטה.

• מידע ביומטרי ורגיש: מערכות זיהוי פנים, טביעות אצבע, נתונים רפואיים, גנטיים ופיננסיים.

• טכנולוגיות מיקום ורכב : איסוף נתוני מיקום ושימוש מצי רכב או מכשירי IoT.

• העברת מידע בינלאומית: שימוש בספקי ענן ושרתים מחוץ לישראל.

• סוגיות DPO מורכבות: בירור מוקדם בדבר חובת מינוי ממונה הגנת פרטיות בארגונים מבוזרים.

התהליך ב-4 שלבים מעשיים

1. תסקיר השפעה על הפרטיות (PIA): מיפוי טכנולוגי מלא של זרימת המידע וזיהוי נקודות תורפה.

2. גיבוש חוות הדעת המשפטית: הגדרת השאלה המשפטית, הצגת המודל העסקי ונימוק התאמתו לחוק.

3. הגשה בטופס מקוון ותצהיר מאמת: צירוף תצהיר מנהלים, תרשימים טכנולוגיים ונהלי אבטחה.

4. קבלת מענה תוך 60 ימים: החוק מחייב את הרשות להשיב בתוך 60 יום ממועד השלמת המסמכים.

5 מוקשים שגורמים לרשות לדחות בקשות

הרשות להגנת הפרטיות תסרב לדון בבקשה במקרים הבאים:

• שאלה תיאורטית: בקשה שאינה מתייחסת למאגר קיים או למוצר קונקרטי בהקמה.

• סוגיה שהוכרעה: שאלה שקיימת לגביה הנחיה ברורה או פסיקה ידועה.

• הליכי פיקוח תלויים ועומדים: לא ניתן לבקש פרה-רולינג על פעילות שנמצאת תחת ביקורת או חקירה.

• הסתרת עובדות: בקשה חלקית שאינה פורסת את מלוא התמונה הטכנולוגית והעסקית.

• הקצאת משאבים בלתי סבירה: בקשות מעורפלות שאינן ממוקדות בסוגיה מוגדרת.

שאלות ותשובות

האם הפרטים המסחריים והטכנולוגיים שלי ייחשפו לציבור?

לא. הרשות מפרסמת תמציות של חוות דעת כדי להנחות את השוק, אך עושה זאת תחת חיסיון מלא והשחרה של כל פרט מזהה, סוד מסחרי או קוד מקור.

כמה זמן תקפה חוות הדעת המקדמית?

חוות הדעת תקפה כל עוד לא חל שינוי מהותי במערכת, באופי הנתונים הנאספים או בדין החל.

מה קורה אם הרשות מציבה תנאים או מסתייגת?

חוות הדעת כוללת לרוב הנחיות לתיקון. ליווי משולב (משפטי-טכנולוגי) מאפשר לבצע התאמות מהירות בארכיטקטורת המערכת ולהביא את המוצר לציות מלא.

האם חובה לפנות לרשות או שזה וולונטרי?

ההליך וולונטרי. יחד עם זאת, בפרויקטים עתירי דאטה ו-AI, פרה-רולינג הוא הדרך הבטוחה ביותר להגן על הדירקטוריון והמשקיעים מפני קנסות עתק.

סיכום והנעה לפעולה

חוות דעת מקדמית מאפשרת לכם להשיק מוצרים וטכנולוגיות פורצות דרך בראש שקט ובגיבוי רגולטורי מלא.

מתכננים פרויקט חדש או שימוש מתקדם בדאטה?

פנו אל עו"ד שחר שוורץ (CISO & DPO) להובלת הליך פרה-רולינג מדויק, מהיר ומנצח מול הרשות להגנת הפרטיות.