רגולציית ה- General Data Protection Regulation – GDPR הינה אוסף של תקנות כלליות להגנת פרטיות המידע – שחוקק האיחוד האירופי. תקנות GDPR מורכבות מהקדמה המהווה חלק בלתי נפרד מהתקנות עצמם, ההקדמה מורכבת מרקע חקיקתי ודברי הסבר, וכן מתקנות אופרטיביות (תפעוליות) שעל מדינות האיחוד לפעול על פיהן וליישמן. רגולציית ה-GDPR נכנסה לתוקף ביום 25.5.2018.
GDPR הוא אוסף של כללים והנחיות רגולטוריות שנועדו להסדיר איסוף, שמירה, עיבוד, העברה ואבטחה של נתונים ומידע אישי על מי שמתגורר באיחוד האירופי (לא רק אזרחים!). מטרת GDPR היא לחזק את ההגנה על הפרטיות במאגרי מידע ולאפשר לנשואי המידע שליטה מרבית על המידע האישי שנצבר אודותיהם.
האם העסק שלכם צריך להגן על עצמו מפני ה-GDPR?
באתרים רבים מותקנים סקריפטים שונים ו/או קודי מעקב כמו הפיקסל של פייסבוק (Facebook Pixel), סקריפטים של גוגל (Google Anlytics, Google Tag Manager) המוטמעים באתר שלכם ואוספים נתונים על הגולשים שביקרו באתר ל-"צביעת הגולשים" וביצוע תהליך של רימרקטינג (שיווק חוזר).
הסקריפטים הנ"ל אוספים את נתוניו של האתר והגולש ו-"מאזינים" ללידים מהאתר שלכם ולאחר מכן מציגים את הסטטיסטיקות אנליטיקס ופייסבוק לצורך זיהוי הרגלי גלישה של הגולשים באתר.
ע"פ איגוד התקינה האירופית דבר זה אסור בתכלית האיסור, זה נכון שישראל זה לא אירופה אבל כל אתר אינטרנט המופנה לקהל אירופאי נכלל בקטגוריה זו של הרגולציה.
גם אתרים המאוחסנים בשרתים באירופה גם עליהם חלים התקנות בלי יוצאים מן הכלל, לא מומלץ לעבור על התקנות דבר שיכול לסבך אתכם עם איגוד התקינה האירופית ומעבר על חוקי ה-GDPR.
אז מהי הרגולציה הזו?
ה-General Data Protection Regulation היא רגולציית הגנת הפרטיות האירופית מ-27.4.2016 שנכנסה לתוקף במאי 2018 והטקסט שלה (לרבות כל סעיפי ההקדמה החשובים, ה-Recitals) זמין לקריאה כאן.
הרגולציה האירופית מסדירה כיצד על גופים שונים לפעול ביחס לנושאי פרטיות ואבטחת מידע שמתייחס לאנשים ואשר נשמר בידי אותם עסקים. שימו לב!!! הנחיות דומות, אם כי שונות במידת מה, קיימות גם בישראל כך שבכל מקרה כדאי שתתאימו את עצמכם.
הרגולציה חלה ומחייבת ארגונים מסחריים (החל מחנויות, סטארט-אפים, חברות,בבנקים וכלה בחברות ביטוח וכו'…) שמעוניינים לקבל תשלומים מאזרחים אירופיים, אין הבדל בין אתר אינטרנט לאפליקציה דיגיטלית כלשהי.
לכן ההמלצה היא – בידקו האם יש בין העסק שלכם לבין השוק האירופאי קשר כלשהו, ואם כן? האם רגולציית ה-GDPR חלה עליכם?
"קשר" יכול להיות לקוחות, גולשים באתר אינטרנט, ספקים זרים וכדומה.
תקנות GDPR מחייבות כמעט כל גוף שעוסק בנתונים המתייחסים לאירופים (או לזרים הנמצאים באירופה) או שיש לו קשר משמעותי אחר לאיחוד האירופי, להתאים את כל התנהלותו מול המידע הפרטי לדרישות ה-GDPR.
על מי תחול רגולציית ה-GDPR?
הרגולציה תחול על שני סוגי עסקים:
1. כל עסק שיש לו נוכחות של קבע (Establishment) במידה כזו או אחרת באחת ממדינות האיחוד האירופי (EU).
2. כל עסק שמעבד מידע שמתייחס למי שנמצא באחת ממדינות האיחוד האירופי, מכוון אליו מכירות או מנטר את פעילותו לשוק האירופי.
עקרון היסוד של ה-GDPR
הרגולציה תקפה כתוקפו של כל חוק אירופי בכל אחת ממדינות אירופה. היא חלה באופן ישיר על כל גוף מסחרי שנמצא ו/או פועל או נמצא בקשר עם המדינות החברות באיחוד האירופי.
סעיף 2 לרגולציה מצהיר:
"עקרון ההגנה על אנשים פרטיים בקשר לעיבוד מידע אישי שלהם, תהא אזרחותם ותושבותם אשר תהא, חייב לכבד את הזכויות והחירויות הבסיסיות שלהם, ובעיקר את זכותם והחירות הבסיסית להגנה על מידע אישי. רגולציה זו נועדה לתרום להשגת חופש, בטחון וצדק, ולהביא לכדי איחוד כלכלי, תוך התקדמות כלכלית וחברתית, חיזוק וליכוד הכלכלות בתוך השוק הפנימי ולדאוג לשלמותם (well being) של אנשים פרטיים."
האיחוד האירופי מעגן באמצעות הרגולציה את דרישות הגנת הפרטיות וזכויות הפרט של תושבים בעלי אזרחות אירופית. הרגולציה יוצרת כללים רגולוטרים מפורטים בכך שהוא מגן על זכויות הפרט, נתונים פרטיים והמידע של אזרחי אירופה.
על מה בישראל חלות תקנות GDPR?
שימו לב! GDPR הוחל באופן גורף למדי גם על אזרחים הגרים מחוץ לתחומי מדינות האיחוד האירופי כולל ישראל, ועל גורמים מחוץ לאיחוד האירופי, כל עוד הם פעילים באיחוד או מעבדים מידע או אוספים מידע בנוגע לאנשים הנמצאים בתחומי האיחוד.
GDPR מגדיר "עיבוד" (Processing) של מידע באופן רחב מאוד, והוא כולל גם איסוף ואגירה של מידע. "כל פעולה או סדרת פעולות המבוצעות על מידע אישי או על מקבצי מידע אישי, באופן ממוכן/אוטומטי או אחר, לרבות איסוף, הקלטה, סידור, הבנייה, אגירה, התאמה או שינוי, קבלה, היוועצות, שימוש, גילוי באמצעות מסירה או שידור, הפצה או כל הנגשה אחרת, סידור או שילוב, הגבלה, מחיקה או השמדה".
עיבוד המידע אינו מבחין אם העיבוד נעשה בארצות האיחוד האירופי או בישראל אם העיבוד כולל:
- ניטור התנהגות או הרגלים צרכניים של אנשים בעלי אזרחות ו/או גרים בתחומי האיחוד האירופי.
- עיבוד מידע הקשור לאזרחים מהאיחוד האירופי הקשור להצעה מסחרית, שירותים, בתמורה או שלא בתמורה.
- ריכוז או ניהול המידע ו/או האמצעים הנדרשים לעיבוד נמצאים בתוך תחומי האיחוד האירופי.
- אם יש לכם נציגות באיחוד האירופי או משרד מכירות וכדומה.
ה-GPDR חל על כל מידע הקשור לאדם טבעי "אמיתי"(natural person) ולא תאגיד/חברה – אם אותו אדם מזוהה או ניתן לזיהוי, במישרין או בעקיפין, באמצעות המידע, ובמיוחד באמצעות אלמנט מזהה כדוגמת שם, מספר זהות/מזהה, מיקום, מזהה מקוון (און ליין), או באמצעות מאפיינים פיזיים, פיזיולוגיים, גנטיים, מנטאליים, כלכליים, תרבותיים או חברתיים.
ה-GDPR מכיר ב-6 אפשרויות שכל אחת מהן יכולה להוות בסיס חוקי לעיבוד מידע אישי והן:
1. מתן הסכמה.
2. אינטרסים לגיטימיים.
3. חוזה שנחתם עם נשוא המידע.
4. מחוייבות חוקית- העיבוד נחוץ לצורך קיום הוראות הדין.
5. אינטרסים חיוניים: העיבוד נחוץ על מנת להגן על החיים או על שלמות הגוף של נשוא המידע.
6. מטרה ציבורית: העיבוד נחוץ לצורך מטרה ציבורית המעוגנת בדין.
חשוב לדעת, שבכל האפשרויות נדרש שהעיבוד יהיה נחוץ (necessary). כלומר, אם ניתן באופן סביר להשיג את אותה המטרה ללא ביצוע עיבוד מידע אישי, הרי שנראה שהעיבוד אינו נחוץ. במקרה כזה נשלל הבסיס החוקי לעיבוד המידע.
מה האחריות שלנו כבעלי אתרי אינטרנט?
על בעל השליטה במידע חלה אחריות מוגברת לקיים את תקנות GDPR. כבעלי אתרים עלינו להציג דף תקנון אתר שבו כלולים סעיפים:
1. הצהרה על מדיניות פרטיות והגנת הנתונים.
2. הסכמה לאיסוף נתונים.
3. אילו נתונים אישיים אנו אוספים.
4. כיצד אנחנו משתמשים בנתונים האישיים.
5. היכן נשמרים נתונים אלו.
6. כיצד אנחנו מגנים על הנתונים.
7. במשך כמה זמן אנחנו שומרים את הנתונים.
8. עם מי אנו חולקים את הנתונים.
9. איך יוכלו הגולשים לעיין בנתונים האישיים שלהם, לשלוט בהם או למחוק אותם.
10. מידע על קבצי cookie ומעקב שימוש.
11. הודעת הסכמה לקובצי cookie.
12. היכן באתר הנתונים יהיו חשופים או לא שמורים.
13. כיצד ליצור עמנו קשר.
14. הסכמה ואישור שמירה על התקנון.
15. תקנון והסכמה לדיוור ישיר ורשימת תפוצה.
חברה שלא תציית להוראות הרגולציה של ה-GDPR תיקנס ב- עד 4% מהתוצר השנתי הגלובלי שלה, או על 20 מיליון אירו – לפי הגבוה מבין השניים. זהו גובה הקנס המנהלי (ללא צורך באישור של בית משפט), שרשויות הגנת מידע אירופיות תוכלנה להטיל על מי שיעבור על החוק.
