כמעט כל עסק מחזיק היום מידע על אנשים: רשימת לקוחות במערכת הנהלת חשבונות, פרטי עובדים ושכר, טפסים מהאתר, רשימת תפוצה לניוזלטר. חוק הגנת הפרטיות חל על כל אלה. המדריך הזה מרכז את מה שבעל עסק צריך לדעת בפועל - לא רק את תיקון 13, אלא את החוק כולו.
החוק בנוי משני רבדים. הרובד הראשון אוסר על פגיעה בפרטיות של אדם, והוא חל על כולם. הרובד השני מסדיר את ניהולם של מאגרי מידע, ושם נמצאות רוב החובות השוטפות של עסק. על השינויים שהביא תיקון 13 הרחבנו במאמר נפרד: תיקון 13 לחוק הגנת הפרטיות – רקע ומשמעויות מעשיות.
הרובד הראשון: מה נחשב פגיעה בפרטיות
סעיף 1 לחוק קובע: "לא יפגע אדם בפרטיות של זולתו ללא הסכמתו". סעיף 2 מונה את המעשים שנחשבים פגיעה. מתוך הרשימה, אלה הרלוונטיים במיוחד לעסקים:
- שימוש בשם, בכינוי, בתמונה או בקול של אדם לשם ריווח (סעיף 2(6)) - למשל תמונה של לקוח בפרסומת או המלצה בשמו, בלי הסכמה.
- שימוש בידיעה על ענייניו הפרטיים של אדם, או מסירתה לאחר, שלא למטרה שלשמה נמסרה (סעיף 2(9)) - למשל שימוש בפרטים שנמסרו לצורך שירות כדי לשווק מוצר אחר, או העברתם לגורם שלישי.
- הפרת חובת סודיות שנקבעה בדין או בהסכם (סעיפים 2(7) ו-2(8)).
- העתקה של מכתב או של מסר אלקטרוני שלא נועד לפרסום, או שימוש בתוכנו, בלי רשות הנמען או הכותב (סעיף 2(5)).
- צילום אדם כשהוא ברשות היחיד (סעיף 2(3)).
"הסכמה" לפי החוק היא הסכמה מדעת, במפורש או מכללא (סעיף 3). מכאן שהסכמה כללית ועמומה אינה מספיקה תמיד: האדם צריך להבין למה הוא מסכים.
החוק קובע גם הגנות (סעיף 18), ובהן פגיעה שנעשתה בתום לב תוך ביצוע עיסוקו של הפוגע כדין ובמהלך עבודתו הרגיל, ובלבד שלא נעשתה בפרסום ברבים, או פגיעה שנעשתה לשם הגנה על עניין אישי כשר.
החשיפה הכספית ממשית: בתביעה אזרחית בשל פגיעה בפרטיות, בית המשפט רשאי לפסוק פיצוי ללא הוכחת נזק של עד 50,000 ש"ח, ועד כפל הסכום אם הפגיעה נעשתה בכוונה לפגוע. הסכומים צמודים למדד (סעיף 29א).
האם יש לכם "מאגר מידע"?
לאחר תיקון 13, "מאגר מידע" הוא אוסף פרטי מידע אישי המעובד באמצעי דיגיטלי, בכפוף לחריגים שבחוק. "עיבוד" מוגדר רחב מאוד: כל פעולה על מידע אישי, לרבות קבלתו, איסופו, אחסונו, העתקתו, עיון בו, גילויו, העברתו או מתן גישה אליו (סעיף 3). בפועל, עסק שמנהל רשימת לקוחות או עובדים במחשב צריך להניח שהחובות שלהלן חלות עליו, ולבדוק את החריגים לגופם.
החוק מגדיר גם "מידע בעל רגישות מיוחדת" (סעיף 3), ובו בין היתר מידע על מצב בריאות, מידע ביומטרי, עבר פלילי, דעות פוליטיות ואמונות דתיות - וגם נתוני שכר ופעילות פיננסית. כלומר, תיק השכר של העובדים הוא מידע בעל רגישות מיוחדת.
עיקרון המטרה
לפי סעיף 8, אסור לעבד מידע אישי במאגר אלא למטרת המאגר שנקבעה לו כדין, ואסור לעבד מידע ממאגר בלי הרשאה של בעל השליטה בו או בחריגה מהרשאה. בעל שליטה גם לא יעבד מידע שנאסף או התקבל בניגוד לדין. המשמעות המעשית: לפני שמשתמשים במידע קיים למטרה חדשה, למשל קמפיין שיווקי, צריך לבדוק אם המטרה החדשה מכוסה.
מה חובה להודיע כשאוספים מידע
סעיף 11 מחייב שכל פנייה לאדם לקבלת מידע אישי לשם עיבודו במאגר תלווה בהודעה שמציינת:
- אם חלה עליו חובה חוקית למסור את המידע, או שהמסירה תלויה ברצונו - ומה התוצאה של אי-הסכמה;
- המטרה שלשמה מבוקש המידע;
- שם בעל השליטה במאגר ודרכי ההתקשרות עמו;
- למי יימסר המידע ולאילו מטרות;
- קיומן של זכות העיון וזכות התיקון.
בפועל, הודעה כזו צריכה להופיע בכל טופס באתר, בטופס הצטרפות ובטופס קליטה של עובד.
הזכויות של מי שהמידע עליו
- זכות עיון (סעיף 13): כל אדם זכאי לעיין במידע האישי עליו המוחזק במאגר, בעצמו או באמצעות מיופה כוח, בעברית, בערבית או באנגלית. אם המאגר מוחזק אצל ספק חיצוני, בעל השליטה יפנה את המבקש אליו ויורה לו בכתב לאפשר את העיון (סעיף 13א).
- זכות תיקון ומחיקה (סעיף 14): מי שמצא שהמידע עליו אינו נכון, שלם, ברור או מעודכן רשאי לבקש לתקנו או למחקו. אם הבקשה מתקבלת, צריך לתקן ולהודיע על כך לכל מי שקיבל את המידע בתקופה שנקבעה בתקנות. אם היא נדחית, צריך להודיע על הסירוב.
כדאי לקבוע מראש מי בעסק מטפל בבקשות כאלה ובאיזה פרק זמן.
אבטחת מידע
בעל השליטה במאגר והמחזיק בו - למשל ספק ענן או חברת שירותי מחשוב - כל אחד מהם אחראי לאבטחת המידע (סעיף 17(א)). את הפרטים קובעות תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017. בין היתר:
- מסמך הגדרות מאגר (תקנה 2): תיאור פעולות האיסוף והשימוש, מטרות השימוש, סוגי המידע, העברת מידע לחו"ל, עיבוד באמצעות ספקים, הסיכונים העיקריים ואופן ההתמודדות עמם. יש לעדכן אותו כשנעשה שינוי משמעותי, ולבחון אחת לשנה אם נשמר מידע רב מהנדרש.
- ספקים חיצוניים (תקנה 15(א)): בהתקשרות עם גורם חיצוני יש לקבוע בהסכם את חובות אבטחת המידע שלו, ולפקח על עמידתו בהן.
- אירוע אבטחה חמור (תקנה 11(ד)(1)): יש להודיע עליו לראש הרשות להגנת הפרטיות באופן מיידי, ולדווח על הצעדים שננקטו בעקבותיו.
על הפרה של חובות אלה ניתן להטיל עיצומים כספיים, בסכומים הקבועים בתוספת השלישית לחוק.
עובדים ומנהלים שנחשפים למידע בתוקף תפקידם חייבים בסודיות, ומי שמגלה מידע כזה שלא לצורך עבודתו צפוי לעונש של עד חמש שנות מאסר (סעיף 16).
רישום והודעה לרשות
לאחר תיקון 13, חובת הרישום מצומצמת (סעיף 8א). מאגר חייב ברישום רק אם מטרתו העיקרית היא איסוף מידע כדי למסור אותו לאחרים כדרך עיסוק או בתמורה, לרבות שירותי דיוור ישיר, ויש בו מידע על יותר מ-10,000 בני אדם - או אם בעל השליטה בו הוא גוף ציבורי, אלא אם כן יש בו מידע על עובדי הגוף בלבד.
לצד זאת נקבעה חובת הודעה: אם במאגר שאינו חייב ברישום יש מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם, יש להודיע על כך לרשות בתוך 30 ימים, ולמסור לה העתק ממסמך הגדרות המאגר.
ממונה על הגנת הפרטיות וממונה על אבטחת מידע
חובת מינוי ממונה על הגנת הפרטיות (סעיף 17ב1) חלה על גופים ציבוריים; על מאגרים שעיסוקם העיקרי מסירת מידע לאחרים ויש בהם מידע על יותר מ-10,000 בני אדם; על מי שעיסוקו העיקרי כרוך בניטור שיטתי של בני אדם בהיקף ניכר; ועל מי שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר, כמו בנקים, מבטחים, בתי חולים וקופות חולים. הממונה מייעץ להנהלה, מכין תוכנית בקרה והדרכה, מוודא טיפול בפניות של בעלי המידע ומשמש איש הקשר מול הרשות (סעיף 17ב2).
בנפרד, ממונה על אבטחת מידע (סעיף 17ב) נדרש בין היתר אצל בעל שליטה או מחזיק בחמישה מאגרים החייבים ברישום או בהודעה, בגוף ציבורי, ובבנק, בחברת ביטוח ובחברה לדירוג אשראי.
דיוור ישיר והודעות פרסומת
שני חוקים חלים כאן במקביל:
- דיוור ישיר לפי חוק הגנת הפרטיות (סעיף 17ו): כל פנייה בדיוור ישיר צריכה לציין באופן ברור ובולט שזו פנייה בדיוור ישיר, את זכותו של הנמען להימחק מהמאגר ואת הכתובת לכך, ואת זהות בעל השליטה במאגר ומקורות המידע. נמען רשאי לדרוש בכתב שיימחק, ובעל השליטה צריך לפעול לפי הדרישה ולהודיע לו בכתב. אם לא עשה זאת בתוך 30 ימים, הנמען רשאי לפנות לבית משפט השלום.
- "חוק הספאם" (סעיף 30א לחוק התקשורת): אסור לשלוח דבר פרסומת בדואר אלקטרוני, במסרון, בפקס או בחיוג אוטומטי בלי הסכמה מפורשת מראש של הנמען, בכתב - לרבות בהודעה אלקטרונית או בשיחה מוקלטת (סעיף 30א(ב)), בכפוף לחריגים שבחוק. על משלוח ביודעין בניגוד לחוק, בית המשפט רשאי לפסוק פיצוי לדוגמה של עד 1,000 ש"ח על כל הודעה, בלי הוכחת נזק (סעיף 30א(י)). בית המשפט העליון קבע שהרף העליון הוא נקודת המוצא, וממנו אפשר להפחית במקרים מתאימים (רע"א 2904/14 גלסברג נ' קלאב רמון).
צ'קליסט לעסק
- למפות אילו מאגרים יש לכם, איזה מידע יש בכל אחד ולאיזו מטרה.
- לבדוק אם יש מידע בעל רגישות מיוחדת, כולל נתוני שכר.
- להוסיף הודעה לפי סעיף 11 לכל טופס שבו אוספים מידע.
- להכין מסמך הגדרות מאגר ולעדכן אותו.
- לעגן חובות אבטחת מידע בהסכמים עם ספקים, ולפקח עליהם.
- לקבוע נוהל לטיפול בבקשות עיון, תיקון ומחיקה.
- להכין נוהל לאירוע אבטחה, כולל דיווח מיידי לרשות כשמדובר באירוע חמור.
- לבדוק אם חלה עליכם חובת רישום, הודעה או מינוי ממונה.
- לאסוף הסכמה מפורשת בכתב לפני משלוח פרסומות, ולכבד בקשות הסרה.
- לא להשתמש בתמונה או בשם של לקוח בפרסום בלי הסכמה.
מקורות
- חוק הגנת הפרטיות, התשמ"א-1981, סעיפים 1, 2, 3, 8, 8א, 11, 13, 13א, 14, 16, 17, 17ב, 17ב1, 17ב2, 17ו, 18, 29א, התוספת השלישית
- תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, תקנות 2, 11(ד)(1), 15(א)
- חוק התקשורת (בזק ושידורים), התשמ"ב-1982, סעיף 30א(ב), 30א(י)
- רע"א 2904/14 גלסברג נ' קלאב רמון בע"מ (בית המשפט העליון, 27.7.2014)
