עיצומים כספיים בהגנת הפרטיות

עד לא מזמן, ארגון שהפר את חוק הגנת הפרטיות נחשף בעיקר להליך פלילי או לתביעה אזרחית. תיקון 13 לחוק הוסיף כלי אכיפה מנהלי: הסמכות של הרשות להגנת הפרטיות להטיל עיצום כספי על מי שהפר הוראות מסוימות בחוק. במאמר הזה נסביר, בקווים כלליים, מהו עיצום כספי, על מה הוא עלול להיות מוטל, איך נראה ההליך, ואיך ארגון יכול להפחית את החשיפה שלו.

חשוב לומר מראש: ישנו פירוט ביחס לסכומי העיצום ותנאי חישובם המפורטים בחוק ובתוספות לחוק, והם עשויים להתעדכן מעת לעת. לכן במאמר זה לא נציין סכומים. את הנוסח המחייב והעדכני כדאי לבדוק באתר הרשות להגנת הפרטיות ובספר החוקים, ובליווי משפטי.

מהו עיצום כספי

עיצום כספי הוא סכום שרשות מנהלית רשאית להטיל על מפר, מבלי להגיש כתב אישום ומבלי להידרש בפתיחת הליך בבית משפט. מי שהעיצום הוטל עליו רשאי לטעון נגדו, לבקש הפחתה, ובמקרים המתאימים גם לערער לבית משפט. ההבדל מהליך פלילי הוא בעיקר המהירות והנגישות של הכלי לרשות, ולכן הוא משנה את מאזן התמריצים של ארגונים.

על אילו הפרות אפשר להיחשף לעיצום

החוק מפרט רשימת הפרות שבגינן אפשר להטיל עיצום. בלי להיכנס לנוסח המלא, אלה הנושאים שחוזרים בתחום:

• ניהול מאגרי מידע ורישום. הפרות של חובות הרישום והדיווח על מאגרים, לפי הדין.
• הודעה לאדם שאוספים עליו מידע במאגר. אי-מסירת פרטים על מטרת האיסוף וזהות בעל המאגר.
• זכות עיון ותיקון. התעלמות מבקשה של אדם לעיין במידע שנשמר עליו או לתקנו.
• אבטחת מידע. אי-עמידה בתקנות אבטחת המידע, ובכלל זה היעדר נהלים מתאימים.
• שיתוף פעולה עם הרשות. אי-מסירת מסמכים או מידע שהרשות דרשה במסגרת פיקוח.
• שימוש במידע שלא למטרה שלשמה נמסר, והעברת מידע לאחרים שלא כדין.

תיקון 13 גם הרחיב את הגדרת המידע הרגיש, ואת הצורך להקפיד יותר כשמדובר בו. להרחבה על התיקון: תיקון 13: מה השתנה.

מה משפיע על גובה העיצום

בדרך כלל מנגנון החישוב בחוק מביא בחשבון כמה גורמים: סוג ההפרה, מספר האנשים שהמידע עליהם מעורב, האם מדובר במידע בעל רגישות מיוחדת, והאם ההפרה חוזרת. הרשות רשאית גם לשקול נסיבות כמו שיתוף פעולה, תיקון מהיר של הליקוי ואמצעים שננקטו מראש למניעת ההפרה.

מכאן שני לקחים מעשיים. הראשון: ארגון עם מידע רגיש או רב-היקף - נושא בחשיפה גדולה יותר, מארגון קטן שמחזיק מעט מידע. השני: מי שמתעד, מתקן ומשתף פעולה נמצא בעמדה טובה יותר מול הרשות.

איך נראה ההליך

ההליך המנהלי כולל, בדרך כלל, את השלבים הבאים (כדאי לוודא את הפרטים המדויקים בחוק ובהנחיות הרשות):

1. פיקוח או בירור. פנייה של אדם לרשות, אירוע שהתפרסם או ביקורת יזומה.
2. דרישת מסמכים והבהרות. הרשות מבקשת מידע מהארגון.
3. הודעה על כוונת חיוב. הארגון מקבל הודעה על כוונה להטיל עיצום ונימוקיה, ויש לו הזדמנות להשמיע את טענותיו ולהעלותן על הכתב.
4. החלטה. אם הרשות מחליטה להטיל עיצום, נשלחת דרישת תשלום.
5. בקשה להפחתה או ערעור. לפי החוק, אפשר לבקש הפחתה ובנסיבות מסוימות אף לערער על גובה החיוב או עצם החיוב.

בשלב ההודעה על כוונת חיוב חשוב במיוחד לקבל ייעוץ משפטי: התגובה בכתב עשויה להשפיע על ההחלטה הסופית.

אחריות של מנהלים ודירקטורים

הרשות פרסמה הנחיה בנוגע לתפקיד הדירקטוריון בקיום חובות אבטחת מידע. המשמעות היא שהנושא אינו נשאר רק ברמה הטכנית של מחלקת ה-IT: הנהלה ודירקטוריון נדרשים להבין את התחום, לקבל דיווח ולוודא שיש מי שאחראי עליו. כך גם ממונה הגנת פרטיות, שמתפקידו לסייע לארגון לעמוד בחובות. פירוט בעמוד תפקידי ממונה הגנת פרטיות ובמאמר מי חייב DPO.

איך מתכוננים: רשימת בדיקה לארגון

אין דרך לאפס סיכון, אך אפשר להפחית אותו משמעותית:

• מיפוי מידע. לדעת אילו נתונים אישיים נאספים, איפה הם נשמרים ומי רואה אותם.
• מדיניות ונהלים כתובים. כולל נוהל לטיפול בבקשות עיון ותיקון, ונוהל לטיפול באירוע אבטחה. ראו דיווח על אירוע אבטחת מידע.
• הודעות ברורות. נוסח מסודר באתר ובטפסים. ראו מדיניות פרטיות באתר.
• דיוור ושיווק בהסכמה. ראו חוק הספאם והסכמה לדיוור.
• הסכמים עם ספקים. ספק שמעבד מידע בשמכם צריך להתחייב לרמת אבטחה ולדיווח.
• הדרכת עובדים ותיעוד שההדרכה בוצעה.
• מינוי ממונה, כשנדרש, ובדיקה אם מתאים גורם פנימי או ממונה חיצוני.

מה עושים אם מתקבלת פנייה מהרשות

• לא להתעלם. פנייה של הרשות מחייבת מענה בתוך המועד שנקבע.
• לרכז את כל המסמכים הרלוונטיים לפני שעונים.
• להימנע ממסירת גרסאות סותרות, ולכן כדאי שמענה אחיד וקוהרנטי יתואם בין כל הגורמים בארגון.
• לפנות לליווי משפטי מוקדם, לפני הוצאת תגובה בכתב.
• לתקן ליקויים שהתגלו, ולתעד את התיקון.

לסיכום

עיצום כספי הפך לחלק מהמציאות של ארגונים שמחזיקים מידע אישי. הדרך המעשית להתמודד איתו היא להיערך מראש: מיפוי, נהלים, הדרכה ותיעוד. אם אתם רוצים לבדוק את מצב הארגון שלכם או שקיבלתם פנייה מהרשות, אפשר לפנות אלינו. עוד על התחום בעמוד הגנת הפרטיות וממונה DPO.

המידע במאמר הוא כללי, אינו מהווה ייעוץ משפטי, ואינו מחליף בדיקה של המקרה הספציפי. סכומי העיצום ותנאיהם נקבעים בחוק ועשויים להשתנות; יש לבדוק את הנוסח העדכני.