עורך דין GDPR לחברות ישראליות

בקצרה

ה-GDPR הוא תקנות הגנת המידע של האיחוד האירופי. הוא חל גם על חברה ישראלית בלי סניף באירופה, אם היא מציעה מוצרים או שירותים לאנשים שנמצאים באיחוד או עוקבת אחרי ההתנהגות שלהם שם. בעמוד הזה אני מסביר מתי זה קורה, במה הוא שונה מתיקון 13 ומה אני מכין לחברה.

מתי ה-GDPR חל על חברה ישראלית

תקנות ה-GDPR (תקנה 2016/679 של האיחוד האירופי) חלות מ-25 במאי 2018. סעיף 3(2) מחיל אותן גם על חברה שאין לה סניף באיחוד, אם העיבוד קשור לאחד משני דברים: הצעת מוצרים או שירותים לאנשים שנמצאים באיחוד, גם כשהם לא משלמים, או מעקב אחרי ההתנהגות שלהם, כשההתנהגות מתרחשת באיחוד. לחברה שיש לה סניף או חברת בת באיחוד, התקנות חלות גם מכוח סעיף 3(1).

לא כל אתר שנפתח באירופה נכנס לכאן. לפי מבוא 23 ל-GDPR, נגישות של האתר מהאיחוד, כתובת מייל או פרטי קשר לא מספיקים. מה שמלמד על כוונה להציע שירות באיחוד הוא, למשל, שפה או מטבע של מדינה באיחוד עם אפשרות להזמין בהם, או אזכור של לקוחות שנמצאים באיחוד. לפי מבוא 24, מעקב כולל התחקות אחרי אנשים באינטרנט ובניית פרופיל שלהם. כמה דוגמאות:

חברת תוכנה שמוכרת מנויים ללקוחות בגרמניה ובצרפת ומחייבת באירו.
חנות אונליין שמשלחת לאיטליה ומציגה את האתר באיטלקית.
אפליקציה שעוקבת אחרי השימוש של משתמשים באיחוד כדי להציג להם תוכן ופרסומות מותאמים.
משרד תיירות שמשווק חבילות לתיירים מספרד בקמפיינים בספרדית.

נציג באיחוד האירופי (סעיף 27)

חברה שה-GDPR חל עליה מכוח סעיף 3(2) צריכה למנות בכתב נציג באיחוד. הנציג צריך להיות ממוקם באחת המדינות שבהן נמצאים האנשים שהחברה מציעה להם שירות או עוקבת אחריהם. רשויות הפיקוח והאנשים עצמם יכולים לפנות אליו בכל נושא שקשור לעיבוד המידע, והמינוי לא מונע הליכים נגד החברה עצמה.

יש שני חריגים: גוף ציבורי, ועיבוד מזדמן שלא כולל בהיקף רחב קטגוריות מיוחדות של מידע או מידע על הרשעות פליליות, ושלא צפוי לסכן את הזכויות של אנשים. חברה שמוכרת לאירופים באופן קבוע תתקשה לטעון שהעיבוד שלה מזדמן, ולכן כדאי לבדוק את השאלה לפני שמוותרים על נציג.

GDPR וישראל: מה מעמד התאימות נותן ומה לא

ב-31 בינואר 2011 קבעה הנציבות האירופית (החלטה 2011/61/EU) שישראל מספקת רמת הגנה נאותה למידע אישי שמועבר אליה מהאיחוד בהעברה ממוחשבת, או שעובר בה עיבוד ממוחשב. ב-15 בינואר 2024 פרסמה הנציבות את הבדיקה הראשונה של ההחלטות מהתקופה שלפני ה-GDPR, וקבעה שישראל ממשיכה לספק רמת הגנה נאותה. באותו דוח קראה הנציבות לעגן בחקיקה הגנות שנקבעו עד אז בתקנות ובפסיקה.

המשמעות המעשית: חברה באיחוד יכולה להעביר מידע אישי לחברה בישראל בלי אמצעי הגנה נוספים, כמו בהעברה בתוך האיחוד. אבל מעמד התאימות עוסק בהעברת מידע. הוא לא פוטר מה-GDPR חברה ישראלית שמציעה שירות לאנשים באיחוד או עוקבת אחריהם.

תקנות 2023: מידע שהגיע לישראל מאירופה

כחלק מהשמירה על מעמד התאימות הותקנו תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי), התשפ״ג-2023. הן חלות על מידע במאגר בישראל שהועבר מהאזור הכלכלי האירופי, כלומר ממדינות האיחוד, מאיסלנד, מנורווגיה ומליכטנשטיין. מידע שאדם מסר ישירות על עצמו לא נכלל. מ-1 בינואר 2025 התקנות חלות גם על כל מידע אחר שנמצא באותו מאגר.

לדוגמה: חברת תוכנה ישראלית מקבלת מלקוח בהולנד קובץ משתמשים לצורך תמיכה. הקובץ הזה, וגם שאר המידע במאגר שבו הוא נשמר, כפופים לתקנות, והרשות להגנת הפרטיות מוסמכת להטיל עיצום כספי על הפרה שלהן. אלה עיקר החובות:

מחיקת מידע לבקשה כתובה, כשהמידע נאסף שלא כדין או שאין בו עוד צורך, והודעה בכתב על ההחלטה (תקנה 3).
מנגנון שמונע שמירה של מידע שאין בו עוד צורך (תקנה 4).
מנגנון שנועד לוודא שהמידע נכון, שלם, ברור ומעודכן (תקנה 5).
הודעה לאדם, לכל המאוחר חודש אחרי קבלת המידע, על זהות בעל המאגר, מטרת ההעברה, סוג המידע וזכויות המחיקה, העיון והתיקון. הודעה דומה נדרשת לפני העברת המידע לצד שלישי (תקנה 6). יש חריגים, למשל כשאין לחברה פרטי קשר של האדם.

ההבדלים העיקריים בין GDPR לתיקון 13

תיקון 13 לחוק הגנת הפרטיות קירב את הדין הישראלי לדין האירופי, אבל הכללים לא זהים. חברה שכפופה לשניהם צריכה לעמוד בכל אחד מהם. גם הסנקציות שונות: ב-GDPR, קנס על הפרת עקרונות היסוד, כולל תנאי ההסכמה, יכול להגיע ל-20 מיליון אירו או ל-4% מהמחזור העולמי השנתי, לפי הגבוה מביניהם (סעיף 83(5)). בישראל העיצום הכולל לא יעלה על 5% ממחזור העסקאות השנתי.

אלה שלושה הבדלים שמשפיעים ישירות על המסמכים:

הסכמה. ב-GDPR הסכמה היא אחד משישה בסיסים חוקיים לעיבוד, לצד ביצוע חוזה, חובה חוקית, אינטרס לגיטימי ועוד (סעיף 6). היא צריכה להיות חופשית, ספציפית, מדעת וחד-משמעית, בהצהרה או בפעולה אקטיבית ברורה, ואפשר לחזור ממנה בכל עת (סעיפים 4(11) ו-7(3)). בחוק הישראלי הסכמה היא "הסכמה מדעת, במפורש או מכללא", ואין בו רשימה מקבילה של בסיסים. בגילוי דעת מפברואר 2026 הבהירה הרשות להגנת הפרטיות שהסכמה מפורשת ואקטיבית עדיפה, ושאסור להתנות שירות בהסכמה לאיסוף מידע שאינו חיוני.
ממונה הגנת פרטיות (DPO). המבנה דומה: גוף ציבורי, ניטור שיטתי של אנשים בהיקף ניכר ועיבוד בהיקף ניכר של מידע רגיש (סעיף 37 ל-GDPR, סעיף 17ב1 לחוק). ההבדל הוא ברשימת המידע הרגיש. בחוק הישראלי היא כוללת גם נתוני שכר ופעילות פיננסית ומידע שחלה עליו חובת סודיות לפי דין, ובסעיף 9 ל-GDPR אין קטגוריות כאלה. חברה שמעבדת מידע פיננסי בהיקף גדול עשויה להיות חייבת במינוי לפי הדין הישראלי גם כשה-GDPR לא מחייב אותה. שני הדינים מתירים ממונה חיצוני, ועל כך בעמוד שירותי DPO.
דיווח על אירוע אבטחה. ב-GDPR מדווחים לרשות הפיקוח בלי דיחוי מיותר, ואם אפשר תוך 72 שעות מהרגע שנודע על האירוע, אלא אם הוא לא צפוי לסכן אנשים. בסיכון גבוה מודיעים גם לאנשים עצמם (סעיפים 33 ו-34). בישראל, על "אירוע אבטחה חמור" במאגר ברמת אבטחה בינונית או גבוהה מדווחים לרשות להגנת הפרטיות באופן מיידי, והרשות רשאית להורות להודיע לאנשים שעלולים להיפגע (תקנה 11(ד) לתקנות אבטחת מידע).

מה אני עושה לחברה שפועלת מול אירופה

העבודה מתחילה בשאלה אם ה-GDPR חל בכלל. אני בודק לאילו מדינות החברה מוכרת, באילו שפות ומטבעות האתר פועל, אילו כלי מדידה ופרסום מותקנים בו, ואיזה מידע מגיע מלקוחות או מחברות קשורות באיחוד. לפי התשובות מחליטים מה צריך.

כל זה נעשה יחד עם ההתאמה לדין הישראלי. מי שעוד לא עבר על הדרישות המקומיות יכול להתחיל במדריך תיקון 13 לחוק הגנת הפרטיות. מה שאני מכין, לפי הצורך:

מדיניות פרטיות והודעות שעומדות גם ב-GDPR וגם בחוק הישראלי. פירוט על המסמך הזה בעמוד עורך דין מדיניות פרטיות.
בדיקה אם צריך נציג באיחוד לפי סעיף 27, וניסוח כתב המינוי.
חוזה מול לקוח אירופי שהחברה מעבדת מידע בשבילו. סעיף 28 ל-GDPR דורש חוזה שמפרט את נושא העיבוד, משכו, מהותו ומטרתו, סוגי המידע וקטגוריות האנשים. זה הסכם עיבוד מידע.
נהלים לפי תקנות 2023: טיפול בבקשות מחיקה, בדיקה של מידע שאין בו עוד צורך, והודעה לאנשים שהמידע שלהם הגיע מאירופה.
נוהל לאירוע אבטחה שעונה גם על 72 השעות של ה-GDPR וגם על הדיווח המיידי לפי הדין הישראלי.

שאלות נפוצות

שאלות ותשובות

האם חברה ישראלית חייבת לעמוד ב-GDPR?

רק אם היא בתחולה שלו: יש לה סניף או חברת בת באיחוד, או שהיא מציעה מוצרים או שירותים לאנשים שנמצאים באיחוד, או עוקבת אחרי ההתנהגות שלהם שם (סעיף 3). אתר שאפשר לגלוש אליו מאירופה לא מספיק לבדו.

ישראל מוכרת כמדינה בעלת מעמד תאימות. זה לא פוטר אותנו?

לא. מעמד התאימות מאפשר לחברות באיחוד להעביר מידע אישי לישראל בלי אמצעי הגנה נוספים. הוא לא קובע אם ה-GDPR חל על חברה ישראלית שפונה לקהל באיחוד. בינואר 2024 אישרה הנציבות האירופית שישראל ממשיכה לספק רמת הגנה נאותה.

מה זה נציג GDPR ומתי צריך אותו?

נציג הוא גורם שממוקם באיחוד ושמונה בכתב לייצג את החברה מול רשויות הפיקוח ומול האנשים שהמידע עליהם מעובד. חברה שה-GDPR חל עליה מכוח סעיף 3(2) צריכה נציג, אלא אם היא גוף ציבורי, או שהעיבוד שלה מזדמן, לא כולל בהיקף רחב מידע מהקטגוריות המיוחדות ולא צפוי לסכן אנשים (סעיף 27).

קיבלנו מידע מלקוח באירופה. מה חל עלינו בישראל?

תקנות 2023 על מידע שהועבר מהאזור הכלכלי האירופי. הן מחייבות למחוק מידע לבקשה כשאין בו צורך או כשנאסף שלא כדין, להפעיל מנגנון שמונע שמירת מידע מיותר ומוודא שהמידע מדויק, ולהודיע לאנשים בתוך חודש שהמידע עליהם התקבל. מ-1 בינואר 2025 הן חלות גם על שאר המידע באותו מאגר.

תוך כמה זמן מדווחים על אירוע אבטחה?

לפי ה-GDPR, בלי דיחוי מיותר, ואם אפשר תוך 72 שעות מהרגע שנודע על האירוע. בישראל, על אירוע אבטחה חמור במאגר ברמת אבטחה בינונית או גבוהה מדווחים לרשות להגנת הפרטיות באופן מיידי. חברה שכפופה לשניהם צריכה נוהל אחד שעומד בשתי הדרישות.