בחודש מאי, 2023 פורסמו ברשומות תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי), התשפ"ג – 2023, אשר תכנסנה לתוקף ביום 7.8.2023, ביחס לכל מידע שהתקבל במאגר מידע בישראל מהאזור הכלכלי האירופי החל מיום 7.5.2023, למעט מידע שאדם העביר במישרין על עצמו. בנוגע למידע שהתקבל באותם מאגרים לפני מועד פרסום התקנות, התקנות ייכנסו לתוקף ביום 7.5.2024. ביחס למידע אחר המצוי באותם מאגרים בהם התקבל מידע מאירופה, התקנות ייכנסו לתוקף ביום 1.1.2025.
התקנות הן אבן דרך חשובה בתהליך חידוש מעמד התאימות (Adequacy) שניתן לישראל על ידי האיחוד האירופי בשנת 2011, כמדינה שרמת הגנת המידע בה תואמת לרמת ההגנה על מידע אישי הנוהגת במדינות האזור הכלכלי האירופי.
התקנות לא תחולנה על: (1) מידע שאדם העביר במישרין על עצמו; (2) מידע שהועבר מרשות האחראית על הביטחון או על אכיפת החוק באזור הכלכלי האירופי, אל רשות ביטחון בישראל; ו- (3) התקנות לא יחולו ביחס לשימוש במידע שנדרש לתכלית על הגנה על ביטחון המדינה או אכיפת חוק, וזאת בהיקף הנחוץ והמידתי להבטחת מטרות אלו.
להלן עיקרי החובות הקובעות במסגרת התקנות:
- חובת מחיקת מידע – התקנות מסדירות את זכותו של נושא המידע לבקש כי מידע אישי אודותיו יימחק ממאגר המידע, ובהתאם את חובתו של בעל המאגר למחוק מידע זה. חובה זו תלויה בהתקיימות אחת העילות – קרי, אם המידע נוצר או נאסף בניגוד להוראות כל דין, או אם המידע אינו נחוץ עוד למטרות שלשמן נוצר או נאסף. בעל המאגר רשאי לסרב לבקשת המחיקה בהתקיים אחד מהחריגים המפורטים בתקנות, וזאת בהיקף הנחוץ והמידתי לאותו צורך. ככל שהתקבלה אצל בעל המאגר בקשה למחיקת מידע שלגביה מתקיימות עילות המחיקה ולא מתקיים אחד החריגים המונו בתקנות, בעל המאגר ימחק את המידע שבשליטתו או יבצע פעולות המבטיחות שלא יתאפשר, באמצעים סבירים, לזהות את נושא המידע.
- הגבלת החזקת מידע שאינו נחוץ – התקנות קובעות כי על בעל המאגר להפעיל מנגנון שמטרתו להבטיח כי במאגר המידע לא מוחזק מידע שאינו נחוץ למטרה שלשמה נאסף או הוחזק או למטרה אחרת שלשמה מותר להחזיקו לפי כל דין. עוד נקבע כי אם מצא בעל המאגר כי במאגר המידע מוחזק "מידע שאינו נחוץ", עליו למחוק מידע זה בהקדם האפשרי, ככל שלא מתקיים אחד החריגים לזכות המחיקה שנמנו לעיל. חובת המחיקה לא תחול אם בוצעו פעולות המבטיחות שלא יתאפשר, באמצעים סבירים, לזהות את נושא המידע.
- חובת דיוק מידע – התקנות קובעות חובת דיוק מידע, לפיה על בעל המאגר להפעיל מנגנון שמטרתו להבטיח כי המידע שנמצא במאגר יהיה נכון, שלם, ברור ומעודכן. עוד קובעות התקנות, כי ככל שמצא בעל המאגר כי קיים במאגר מידע נכון, שלם, ברור או מעודכן, עליו לנקוט אמצעים סבירים בנסיבות העניין לצורך תיקון או מחיקת המידע.
- חובת יידוע – התקנות קובעות חובה על בעל מאגר שבו מוחזק מידע שהתקבל מהאזור הכלכלי האירופי, ליידע את נושא המידע על זהות בעל המאגר ומנהל המאגר, מענם ודרכי ההתקשרות עמם; מטרת העברת המידע; סוג המידע שהועבר; וקיומה של זכות מחיקה לפי התקנות, זכות עיון במידע וזכות לתיקון המידע, לפי חוק הגנת הפרטיות. ככל שבעל המאגר מבקש להעביר את המידע שקיבל על נושא המידע לצד שלישי, עליו ליידע את נושא המידע בדבר הזהות ופרטי ההתקשרות עם הצד השלישי, לצד יתר הפרטים שעליהם חלה חובת היידוע. התקנות כוללות שורה של חריגים לחובת היידוע כאמור.
- פרטי מידע נוספים המוגדרים מידע רגיש – התקנות קובעות כי מידע שהתקבל מהאזור הכלכלי האירופי בדבר מוצאו של אדם או מידע על חברותו בארגון עובדים, ייחשבו "מידע רגיש" לפי חוק הגנת הפרטיות. החל מיום 1.1.2025 תקנה זו תחול גם על כל מידע אחר המוחזק באותו מאגר יחד עם המידע שהתקבל מהאזור הכלכלי האירופי.
לנוסח המלא של התקנות, לחץ כאן
סקירה זו כוללת מידע תמציתי בלבד שנמסר רק למטרות אינפורמטיביות. המידע כאמור אינו מהווה חוות דעת משפטית או ייעוץ משפטי ואין להסתמך עליו.