ליווי ויישום לעמידה בתקנות הגנת הפרטיות GDPR של האיחוד האירופי

בהמשך היא תציע שירות בתשלום של טיפול בכל הבירוקרטיה עבורנו. נמרוד וקס, מייסד משותף ומנהל המוצר בחברה, אומר שהמוטיבציה של חברות לרכוש את שירותי ביגאיידי היא בראש ובראשונה להגן על המוניטין שלהן וכמו כן להגן על מידע הלקוחות ולמנוע נטישה, והחשש מקנסות הוא רק השיקול השלישי בחשיבותו. הרגולציה החדשה יוצרת סביבה אקוסיסטם של חברות שמעניקות שירותים בתחום. אחד הכלים המרכזיים שלנו בהתמודדות עם הפרת הפרטיות שלנו היא עצם הידיעה אילו נתונים עלינו מחזיק כל ארגון, ואז היכולת לדרוש מהארגון לתקן, להגביל את השימוש או ממש למחוק אותנו מהמאגרים שלו. אירוע דליפת נתוני אפלקציית פייבוקס בשבוע שעבר דווח על פי החוק לרשות להגנת הפרטיות והיא הודיעה שהיא בוחנת את מידת הפגיעה בלקוחות, אבל קשה לצפות כי תטיל קנסות, וגם אם כן הם יהיו נמוכים. אנשים אומרים שמי שאין לו מה להסתיר לא צריך מה לפחד.

• ד"ר דותן ברוך, ראש מחלקת אינטרנט במשרד עורכי הדין ברנע, המלווה ומייעץ בין היתר לחברות בנושאי פרטיות, טוען כי "מהשטח עולה שמרבית החברות לא ביצעו אפילו בחינה ראשונית אם החוק חל עליהן, וגם אלה שעשו לא ערוכות.
• "אלה שלא התחילו כנראה כבר שבעים מרגולציה, ופשוט מחכים לראות מה יקרה ביום שאחרי. זה חוק מסורבל ולא לכל ארגון יש מחלקה משפטית שיכולה ללוות הטמעה שלו. רוב הארגונים הבינו כי הם חייבים להתחיל במקום מסוים, וכי עליהם לצמצם את הפער מול הרגולציה".
• יש לשים לב, כי חברות ישראליות המניידות לארה"ב את המידע שהתקבל מהאיחוד האירופי או המחזיקות את המידע בשירותי ענן בארה"ב, נדרשות גם לעמוד בכללי הגנת הפרטיות שנקבעו בין נציבות האיחוד האירופי לבין הממשל האמריקאי במסגרת הסדר המכונה "מגן פרטיות" (Privacy Shield).
• מדריך זה נועד לספק סקירה מקיפה של הסמכת ISO תוך התמקדות מה התקן הזה מייצג, מהן הדרישות העיקריות בו, כיצד מתבצע תהליך היישום שלו ומהם היתרונות לארגון אשר בוחר להיות מוסמך אליו.
• שירותי SOC 2 של Infoguard מספקים מסלול מוכנות מקצה לקצה, עם בקרות, תיעוד ו-Evidence מסודר שמאפשרים להיכנס לביקורת בביטחון ולהציג ללקוחות הוכחה ברורה לניהול סיכונים.
• לכן אתם נקראים להעזר בכל מקרה ספציפי בעורך דין מומחה שיסייע בידיכם, ולא לסמוך על האמור באותם מאמרים אלא לשם השכלה כללית בלבד.

הסכמי ספקי שירות תואמים (סעיפים 28, 32 ו-82 ל-GDPR ותקנה 15 לתקנות הגנת הפרטיות הישראליות)

יורם חבר בהנהלת המכון ליישוב סכסוכי קניין רוחני, טכנולוגיה ודיגיטל ומשמש כבורר, מגשר, מגש-בר וגם מומחה במסגרת הליכים המתנהלים בגדרו. בין הארגונים הללו – מוסדות פיננסים, חברות רפואה המקיימות ניסויים קליניים באירופה, ספקי שירותים לאירופה בתחום כדוגמת איתור הונאות מקוון, ספקי תיירות הפונים למבקרים מהאיחוד האירופי, אוניברסיטאות ומוסדות מחקר המקיימים שיתוף פעולה עם מקביליהם באיחוד, ועוד. אולם יש לזכור כי ההוראות החוזיות לא נועדו להכשרת העברת מידע אישי של נושאי מידע אירופאים מגורם לא-אירופי אחד (כגון חברות ישראליות הפועלות בשוק האירופאי ומעבדות מידע על יחידים שם והן כפופות אפוא ל-GDPR) לגורם לא-אירופי אחר (כגון ספקי שירותים אמריקאים כדוגמת אמאזון ואחרים). חברות ישראליות רבות מסתייעות בספקי שירותים אמריקאיים, לרבות ספקי שירותי ענן, לצורך עיבוד מידע אישי של נושאי מידע אירופאים. בית המשפט מצא גם כי מנגנון נציב התלונות על סוכנויות הביטחון והמודיעין האמריקאיות, שהוקם במסגרת ‘מגן הפרטיות’, לא מעניק לנושאי מידע אירופאים זכות תביעה בבית משפט ברמה התואמת לדין באירופה.

למי השירות מתאים במיוחד

התקן מספק מסגרת עבודה (Framework) להוכחת תאימות מלאה לרגולציית ה-GDPR האירופאית, ה-CCPA האמריקאי וחוק הגנת הפרטיות הישראלי. היבט בסיסי של זה הוא שתהיה "החלטת נאותות" לגבי מדינת ישראל או תחום רלוונטי (או כל יעד גיאוגרפי אחר הרלוונטי עבורכם), כאשר לצד החלטת נאותות זו יש כמובן לדאוג לאמצעי האבטחה המפורטים בהוראות החוק. עליכם לבחון האם גם אתם נדרשים למנות קצין הגנת מידע כזה וכיצד תפקיד זה ישתלב במערך הארגוני שלכם – למשל הכשרה ומינוי של עובד קיים או גיוס כ"א נוסף למטרה זו. במסגרת עמידה בדרישות GDPR עסקים מסוימים יצטרכו למנות קציני אבטחת מידע בהקשר ישיר ליישום החוק. אבטחת המידע מקבלת מן הסתם דגש מהותי במסגרת ה- GDPR ועם הגדרת סוגי אבטחה רלוונטיים, כגון אבטחה דיגיטלית, אבטחה פיזית על שרתים ואבטחה ברמה ארגונית – כאשר כל הסוגים צריכים להיות מיושמים.

קנסות ועונשים

מעבר לכך, יש לבצע ניהול הסכמות, כלומר סקירה של האופן שבו הארגון אוסף מידע על לקוחות. שנית, יש לבחון מחדש את המידע – ולמנות צוות חוצה ארגון שתפקידו לבחון את הצדדים העסקיים והטכנולוגיים של הארגון. מאמר זה, נכתב כהקדמה להכנס החשוב של הגנת המידע והפרטיות, שמפיק המרכז הבינלאומי לכנסים, יציג כמה מהדרכים היעילות ביותר שבהן ארגונים יכולים להגן על מידע ופרטיות שלהם בעידן הבינה המלאכותית, ויספק הנחיות לעובדים ולמנהלים כיצד לנהל את הנושא החשוב הזה והשלכותיו. החשיבות הגוברת של מידע לפעילותן העסקית של חברות, לצד הגידול בהיקף מתקפות הסייבר כנגד חברות ואימוץ רגולציה חדשה בתחומי הסייבר והגנת הפרטיות בישראל ובמדינות נוספות, מגבירים באופן משמעותי את החשיפה לחברות ולנושאי משרה בהן.

שירותי GDPR מלאים – יעוץ משפטי, עסקי, טכנולוגי, שיווקי, מוצרי וארגוני

עו"ד ליכטנשטיין הוא גם מוסמך CIPP/E ויוכל לקדם את התאמת העסק שלכם ל-GDPR בצורה משפטית נכונה ומדוייקת. היא מוכרת כ-ANSI/ISO accreditation וכדי להשיג אותה יש לעבור הסמכה, תרגול ולימודים אינטנסיביים, המסתכמים במבחן קפדני, קשה וארוך הבודק את מידת ההיכרות של המומחה עם הדין האירופי בנושאי פרטיות ו-GDPR. זו היא הסמכה שפותחה בשיתוף פעולה עם משרדי עורכי דין מהמובילים בעולם בתחום הגנת המידע ופרטיות והיא מקיפה את מכלול הדין האירופי המתייחס לפרטיות. הצורך בעורך דין כזה נובע מהעובדה הפשוטה שחוק ה-GDPR הוא פשוט חוק אירופאי החל על כל המדינות שנכללות באיחוד האירופי, ה-EU. בנוסף יסקור הכנס את החקיקה המכסה את הגנת הפרטיות והמידע בארץ ובמספר מדינות מפתח בעולם.הכנס ידון בחששות הגוברים מהאיסוף והשימוש במידע אישי וחוסר אמון הציבור כלפי טכנולוגיות דיגיטליות, לצד פירוט הדרכים בהן ניתן ומומלץ לשפר ולהבטיח את פרטיות הנתונים בסביבה הארגוניתפרטיות הנתונים איננה עוסקת רק בטיפול נכון בנתונים, אלא גם בציפיות הציבור לפרטיות, המתמקדת סביב האדם כדמות מפתח.

אז מה צריך לעשות? איך מתגוננים מתביעות וקנסות?

אתה יכול לקרוא אותן לבד, להקים צוות של מנהלי מוצר, מנהלי שיווק ועורכי דין כדי לסקור את ההוראות, להבין במה מדובר ומה צריך לשנות באתר, במוצר, באפליקציה, בחומרי השיווק הדיגיטליים והמודפסים. אם יש לך לקוחות או משתמשים באירופה, החברה שלך כפופה להוראות החוק, גם אם היא פועלת מישראל, וארגוני הפרטיות במדינות האיחוד יכולים להטיל עליה קנסות של עד 20 מיליון אירו או 4% מההכנסות הגלובליות (הגבוה מבין השניים) על חוסר יישום של ההוראות. צרו קשר לקביעת שיחת התייעצות בלתי מחייבת עם עו"ד עודד ישראלי, כדי להבין טוב יותר את כפיפותכם ל-GDPR והדרך היעילה לעמידה בהוראות החוק.

שותפה מנהלת תחום IT ופרטיות בנשיץ, ברנדס אמיר, עוסקת בליווי לקוחות בישראל ובחו״ל בפרוייקטי ציות של הגנת הפרטיות, בדיקות נאותות, אירועי אבטחת מידע והסכמים שונים מומחה לדיני הגנת הפרטיות ו-GDPR, מרצה בבית ספר הארי רזדינר למשפטים באוניברסיטת רייכמן ויושב ראש הוועדה הארצית לבינה מלאכותית בעולם המשפט מומחית להגנת מידע ופרטיות, בעברה מנהלת הסיכונים של כל חדרי המחשב של אינטל בעולם, בעלים של Prive IT צוות הסייבר והגנת הפרטיות במשרד גורניצקי מספק ללקוחות המשרד פתרונות פרקטיים להתמודדות עם האתגרים המשפטיים המשתנים בתחומים אלה. החשיפה הזו נובעת, בין השאר, מהנזקים המיידיים ממתקפת סייבר – ובכלל זה, נזקים כספיים, תדמיתיים ותפעוליים, אולם גם מהשלכות משפטיות חמורות, לרבות קנסות רגולטוריים ותביעות מצד לקוחות ועובדים. עו"ד יורם ליכטנשטיין אף עובד בקשרים מקצועיים קרובים עם מספר גופים טכנולוגיים המספקים את הידע המקצועי הנדרש בתחום זה, על מנת להפוך את התאמת העסק שלכם ל-GDPR לקלה ומדוייקת ככל האפשר.

חוק הגנת הפרטיות בישראל מהווה נדבך מרכזי בניהול סיכונים משפטיים ותדמיתיים בעידן הדיגיטלי. כל ארגון העוסק באיסוף, עיבוד, ניתוח או שיתוף מידע אישי מחויב לנהוג לפי הוראות החוק – גם כאשר המידע נאסף אוטומטית או באמצעות צדדים שלישיים. בעידן של ביג דאטה, אפליקציות, בינה מלאכותית ופרסום מבוסס התנהגות, חוק הגנת הפרטיות מקבל משמעות חדשה.

המסגרת המשפטית המרכזית המקנה הגנה על זכותם החוקתית של פרטים לפרטיות במחרב הפיזי ולאחרונה במרחב הסייבר, הוא חוק הגנת הפרטיות. בבית המשפט הישראלי נראה שהמגמה אף הפוכה, כך שלא הכירו בזכות להימחק ואף בחר להתחמק מהדיון אודותיה. במקרה שהמידע אינו הכרחי או רלוונטי ביחס למטרה שלשמה נאסף, המשך זמינות המידע ברשת מהווה פגיעה בפרטיות מושא המידע, ולכן בית המשפט ישקול מחיקת המידע ממנוע החיפוש. בית המשפט קבע שזמינות המידע על אף חוסר הרלוונטיות שלו פוגע בזכות הפרטיות של קוסטחה, ולכן הורה לגוגל למחוק ממנוע החיפוש שבבעלותה קישורים המפנים למידע אודות קוסטחה בעניין החובות שצבר.

מסמך שאינו ארוך, אבל אחרי שתחליטו איזה מידע נאסף ולאילו מטרות, עליכם להחליט גם מתי כל רכיב מידע ימחק, וכמובן – להודיע זאת לנשואי המידע, המשתמשים שלכם למשל. יש להסדיר כיצד אתם בודקים באופן שוטף את חשיפת המידע שלכם לפרצות אבטחת מידע (פאסיביות או אקטיביות), מה הנוהל לפעולה במקרה של פרצת אבטחת מידע, כיצד ולמי מדווחים עליה (חובה הקיימת גם בארץ וגם באירופה). על הארגון ליידע מראש על מטרות האיסוף, סוגי המידע, השימושים המתוכננים והאם יועבר לצדדים שלישיים. החוק מאפשר הגשת תביעה אזרחית לפיצוי גם ללא הוכחת נזק – עד 50,000 ש"ח בגין כל פגיעה. בנוסף, גם בית המשפט רשאי להורות על פיצוי ללא הוכחת נזק בסכום של עד 10,000 ש"ח עבור מפתחי LangChain בישראל הפרה.