הרבה חברות ישראליות מניחות שה-GDPR האירופי לא נוגע להן כי הן לא רשומות באירופה. ההנחה הזו שגויה. התקנה חלה לפי מי הלקוחות ולא לפי היכן החברה רשומה, ולכן היא נוגעת לחברות ישראליות רבות שמעולם לא פתחו משרד ביבשת. העמוד הזה מסביר מתי זה חל, מה נדרש בפועל, ואיך זה מתחבר לחובות שכבר יש לכם לפי תיקון 13.
מתי GDPR חל על חברה ישראלית
סעיף 3 לתקנה קובע תחולה מחוץ לגבולות האיחוד בשני מצבים עיקריים, ומספיק שאחד מהם מתקיים:
- הצעת מוצרים או שירותים לאנשים שנמצאים באיחוד האירופי, בין בתשלום ובין בחינם. סימנים לכך הם אתר בשפה אירופית, מחירים ביורו, משלוח למדינות האיחוד או פרסום ממוקד לקהל אירופי.
- ניטור התנהגות של אנשים באיחוד. זה כולל מעקב אחרי גולשים באתר, פרופיילינג לצורכי פרסום או אנליטיקה מבוססת התנהגות.
מה שלא מפעיל תחולה: העובדה שגולש אירופי נכנס לאתר שלכם באקראי, או שיש לכם ספק אירופי. מה שכן מפעיל אותה: החלטה עסקית לפנות לשוק האירופי. הקנס המרבי לפי התקנה הוא 20 מיליון יורו או 4% מהמחזור העולמי השנתי, לפי הגבוה.
החלטת ההלימות: מה היא אומרת ומה היא לא
לישראל יש החלטת הלימות מהנציבות האירופית, שאושררה מחדש בהחלטה שפורסמה ב-31 בינואר 2024. המשמעות שלה היא שאפשר להעביר מידע אישי מהאיחוד לישראל בלי מנגנון העברה נוסף כמו תניות חוזיות תקניות. זה יתרון תחרותי אמיתי מול ספקים ממדינות ללא הלימות.
מה שההחלטה לא אומרת: היא אינה פוטרת חברה ישראלית מעמידה ב-GDPR כשהתקנה חלה עליה ישירות. הלימות פותרת את שאלת ההעברה, לא את שאלת התחולה. חברה ישראלית שמוכרת ללקוחות באירופה כפופה לתקנה במלואה, גם עם ההלימות בתוקף.
כדאי גם לדעת שההחלטה נבחנת מחדש מעת לעת, והיא נתונה ללחץ ציבורי מצד ארגוני זכויות באירופה. ארגון שבונה מודל עסקי שלם על ההנחה שההלימות תישאר לנצח לוקח סיכון מיותר, וכדאי שתהיה לו תוכנית חלופית מוכנה.
GDPR מול תיקון 13: איפה זה חופף ואיפה לא
| GDPR | תיקון 13 ותקנות אבטחת מידע | |
|---|---|---|
| על מי חל | מי שמעבד מידע של אנשים באיחוד | מי שמחזיק מאגר מידע בישראל |
| בסיס חוקי לעיבוד | שישה בסיסים, הסכמה הוא רק אחד מהם | הסכמה מדעת כבסיס מרכזי |
| דיווח על אירוע | 72 שעות לרשות המפקחת | דיווח לרשות להגנת הפרטיות לפי סוג האירוע |
| מינוי ממונה | לפי סעיף 37, בעיקר עיבוד בהיקף נרחב או ניטור שיטתי | לפי ארבע קטגוריות שנקבעו בחוק |
| רישום פעילויות עיבוד | חובה לפי סעיף 30 | אין חובה מקבילה בנוסח זהה |
| תקרת עיצום | 20 מיליון יורו או 4% מהמחזור העולמי | 5% מהמחזור השנתי |
החפיפה גדולה אך לא מלאה. ארגון שעשה עבודה רצינית לקראת תיקון 13 נמצא בנקודת פתיחה טובה ל-GDPR, אבל יידרש להשלים נושאים שאינם קיימים בדין הישראלי באותה צורה, בעיקר רישום פעילויות עיבוד, בסיס חוקי מתועד לכל עיבוד, ומינוי נציג באיחוד.
מה נדרש בפועל מחברה ישראלית
- מיפוי עיבודים ורישום. מסמך שמפרט אילו סוגי מידע אתם מעבדים, לאיזו מטרה, על סמך איזה בסיס חוקי, למי הוא מועבר וכמה זמן הוא נשמר.
- בסיס חוקי לכל עיבוד. הסכמה היא רק אחת מהאפשרויות, ולעיתים קרובות היא הבחירה הגרועה ביותר כי אפשר לחזור ממנה. אינטרס לגיטימי או ביצוע חוזה מתאימים יותר לרוב הפעילות העסקית.
- הודעת פרטיות אמיתית. לא נוסח מועתק, אלא מסמך שמשקף את מה שאתם באמת עושים עם המידע.
- מנגנון למימוש זכויות. עיון, תיקון, מחיקה, ניידות והתנגדות, עם לוח זמנים מוגדר למענה.
- נוהל דיווח על אירוע תוך 72 שעות. מי מחליט, למי מדווחים ומה מתעדים. נוהל שנכתב אחרי האירוע כבר לא עוזר.
- הסכמי עיבוד מול ספקים. כל ספק שנוגע במידע צריך הסכם עיבוד שעומד בדרישות התקנה.
נציג באיחוד האירופי
חברה מחוץ לאיחוד שהתקנה חלה עליה נדרשת בדרך כלל למנות נציג במדינה אחת באיחוד, לפי סעיף 27. הנציג משמש כתובת לפניות של נושאי מידע ושל רשויות הפיקוח. התקנה קובעת חריגים, בין היתר לעיבוד מזדמן שאינו כולל מידע רגיש בהיקף נרחב, ולכן השאלה אם אתם חייבים בנציג היא שאלה שכדאי לבדוק ולתעד ולא להניח.
מה כולל הליווי
- בדיקת תחולה: האם התקנה חלה עליכם, ועל אילו פעילויות בדיוק.
- מיפוי עיבודים ובניית רישום פעילויות עיבוד.
- קביעת בסיס חוקי לכל עיבוד ותיעוד ההנמקה.
- נהלים: מימוש זכויות, דיווח על אירוע, ניהול ספקים.
- סקירת הסכמי עיבוד והעברות מידע.
- חיבור לעבודה שכבר נעשתה לקראת תיקון 13, כדי לא לשלם פעמיים על אותו דבר.
שאלות ותשובות
האם GDPR חל על חברה ישראלית?
כן, אם היא מציעה מוצרים או שירותים לאנשים שנמצאים באיחוד האירופי או מנטרת את התנהגותם. מקום הרישום של החברה אינו קובע.
יש לישראל החלטת הלימות, אז למה בכלל צריך GDPR?
ההלימות מאפשרת להעביר מידע מאירופה לישראל בלי מנגנון נוסף. היא לא פוטרת חברה ישראלית מעמידה בתקנה כשהתקנה חלה עליה ישירות. אלה שתי שאלות נפרדות.
מה ההבדל בין DPO לפי GDPR לממונה לפי תיקון 13?
הקריטריונים למינוי שונים. ב-GDPR החובה נגזרת בעיקר מעיבוד בהיקף נרחב או מניטור שיטתי, ובתיקון 13 מקטגוריות שנקבעו בחוק. ארגון יכול להיות חייב באחד ולא בשני, או בשניהם. אפשר להעמיק בעמוד ממונה הגנת פרטיות כשירות.
עמדנו בתיקון 13. כמה עבודה נוספת זו?
פחות ממה שנדמה. רוב המיפוי, ההרשאות והנהלים משרתים את שתי המסגרות. ההשלמות העיקריות הן רישום פעילויות עיבוד, תיעוד בסיס חוקי לכל עיבוד, ובחינת הצורך בנציג באיחוד.
הבהרה
העמוד הזה הוא מידע מקצועי בתחום אבטחת המידע והגנת הפרטיות ואינו ייעוץ משפטי. שאלות של תחולה, של מינוי נציג ושל חשיפה משפטית הן שאלות משפטיות, וכדאי ללבן אותן מול עורך דין המתמחה בתחום. רלוונטי להעמקה: שאלות ותשובות על תיקון 13 · היערכות לתיקון 13 · ייעוץ אבטחת מידע.