חומר רקע
אכיפה מנהלית–
התראה
מנהלית לפי
'תיקון מס
14
לחוק הגנת הפרטיות, התשמ"א-
1981
)(חלף עיצומים כספיים
א.
כללי
1.
'בתיקון מס
14
לחוק הגנת הפרטיות, התשמ"א-
1981
(להלן :החוק,)
עודכנו אמצעי
האכיפה המנהליים של הרשות להגנת הפרטיות (להלן :הרשות), כך שהתווספו מנגנוני
ם
.הכוללים הטלת עיצום כספי, התחייבות להימנע מהפרה, והתראה מנהלית
לפיכך , הפרה
,של הוראה מהוראות החוק או מהתקנות שהותקנו מכוחו
עשויה להוביל ל
פתיחה
בהליך
אכיפה מנהלי,
שבסופו תנקוט הרשות באחד מהמנגנונים
האמורים
.נגד המפר
2.
מטרת נוהל זה היא לקבוע נסיבות בהן תעשה הרשות להגנת הפרטיות שימוש בכלי של
התראה מנהלית חלף הטלת עיצום כספי. יודגש כי כלי חלופי
זה
יינקט בנסיבות בהן מדובר
ב.הפרה שבגינה יש להטיל עיצום כספי
ככל
שבתום הליך ה אכיפה נמצא כי לא בוצעה הפרה
של החוק ולפיכך לא ניתן להטיל עיצום כספי, לא ייעשה שימוש גם בכלי אכיפה מנהלי
.אחר
3.
התקיימו
נסיבות כאמור בנוהל זה, בעטיין ניתן להפעיל את כלי ההתראה
המינהלית , יינקט
כלי ההתראה המנהלית. בהמשך לכך, ינהגו לגבי אותה הפרה לפי סעיפים23לג –
23לה
לחוק .
4.
,יובהר, כי אין בנוהל זה כדי לגרוע מאחריותו הפלילית של אדם לפי כל דין או מהאפשרות
לנקוט הליכים פליליים בשל עבירה לפי כל דין .
המצאת התראה מנהלית חלף עיצום כספי
5.
התראה מנהלית היא כלי אכיפה המקל עם המפר במובן זה,
שעל אף קיומה של תשתית
ראייתי
ת מספקת לקביעה שנעשתה הפרה של החוק , בוחרת הרשות שלא להטיל עיצום
.כספי בגין ביצוע ההפרה האמורה
6.
,בד בבד התראה מנהלית למפר משמעותה כי
במקרה שתבוצע הפרה חוזרת,
או שהמפר
ימשיך לבצע את אותה ההפרה, הוא יחויב בעיצום כספי מוגבר בגין הפרה נמשכת או הפרה
חוזרת, בהתאם להוראות סעיף23הל
.לחוק
7.
ראש הרשות
ימסור
התראה מנהלית במקום הודעה על ה
כוונ
ה להטיל עליו עיצום כספי ,
בהתקיים אחד ,או יותר ,מהמקרים הבאים:
(א) הוראה חדשה –
ההפרה היא הפרה של חובה חדשה או איסור חדש, שנקבעו בחוק
הגנת הפרטיות או
ב
תקנות שהותקנו מכוחו ו
ראש הרשות רשאי להטיל
עיצום
כספי ב
של
,הפרתם
בהתאם להוראות סעיף23
,כג
ובלבד שטרם ניתנה למפר
התראה לגבי ההפרה "; לעניין זה "חובה חדשה", או "איסור חדש–
חובה או
.איסור שלא חלפו שלושה חודשים ממועד כניסתם לתוקף1
(ב) הפרה ראשונה –
ההפרה היא של אחת מבין ההוראות
המפורטות
,להלן ובלבד
שהמפר לא ביצע הפרה קודמת של אותה הוראה –
1) חשש לניגוד עניינים
(פרט1
)לתוספת -
בעל שליטה במאגר מידע שאינו
מנוהל בידי יחיד, מחזיק במאגר כאמור או מנהל מאגר כאמור, שהממונה
על
אבטחה במאגר מילא תפקיד נוסף בו שעלול להעמידו בחשש לניגוד עניינים
במילוי תפקידו
כממונה על אבטחה במאגר, בניגוד להוראות תקנה3(4
)
לתקנות, או להוראות התקנה האמורה כפי שהוחלה בתקנה19(א) לתקנות;
2) זיהוי ואימות בעלי הרשאה מורשים
(פרט22
)לתוספת - בעל שליטה במאגר
מידע ,מחזיק במאגר או מנהל מאגר שלא נקט אמצעים מקובלים בנסיבות
העניין ובהתאם לאופי המאגר וטיבו ,כדי לוודא כי הגישה למאגר ולמערכות
המאגר נעשית בידי בעל הרשאה המורשה לכך בלבד לפי רשימת ההרשאות
התקפות ,בניגוד להוראות תקנה 9
)(א
לתקנות
, לפי העניין; ובלבד ש ראש
הרשות לא נתן הנחיות לעניין אמצעים מקובלים כאמור .
3) הפרדת מערכות המאגר
(פרט32
)לתוספת -
בעל שליטה במאגר מידע, מחזיק
במאגר או מנהל מאגר שלא הפריד בין מערכות המאגר אשר ניתן לגשת מהן
למידע, לבין מערכות מחשוב אחרות המשמשות אותו, בניגוד להוראות תקנה
13
(ב) לתקנות או להוראות התקנה האמורה כפי שהוחלה בתקנה19
)(א
;לתקנות, לפי העניין
4) התקנת אמצעי הגנה מתאימים
(פרט34
)לתוספת -
,בעל שליטה במאגר מידע
מחזיק במאגר או מנהל מאגר שחיבר את מערכות המאגר לרשת האינטרנט
או לרשת ציבורית אחרת, בלא התקנת אמצעי הגנה מתאימים, בניגוד
להוראות תקנה14
(א) לתקנות או להוראות התקנה האמורה כפי שהוחלה
בתקנה19
,(א) לתקנות
לפי העניין ;ובלבד ש
ראש הרשות לא תן נ הנחיות לעניין
התקנת אמצעי הגנה מתאימים כאמור.
5) שיטות הצפנה מקובלות
(פרט35
)לתוספת - בעל שליטה במאגר מידע ,מחזיק
במאגר או מנהל מאגר שלא דאג לכך שהעברת מידע ממאגר המידע ,ברשת
ציבורית או באינטרנט ,תיעשה תוך שימוש בשיטות הצפנה מקובלות ,בניגוד
להוראות תקנה
14
(ב )לתקנות או להוראות התקנה האמורה כפי שהוחלה
בתקנה
19
(א )לתקנות ,לפי העניין ;
ובלבד
ש
ראש הרשות
לא נתן
הנחיות
לעניין
אמצעי הצפנה מקובלים כאמור.
1
יובהר כי
תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי), תשפ"ג-
2023
,
אשר נכנסו לתוקפן ביום7.8.2023
,
וכן
תקנות הגנת הפרטיות (אבטחת מידע), תשע"ז-
2017
אינן בבחינת הוראה
חדשה., בכל הנוגע לאמור בנוהל זה
6) שמירת עותק גיבוי של נתוני אבטחה
(פרט12
)לתוספת -
בעל שליטה במאגר
מידע שחלה ע ליו רמת האבטחה הגבוהה, מחזיק במאגר כאמור או מנהל מאגר
כאמור שלא דאג לכך שיישמר עותק הגיבוי של הנתונים האמורים בתקנה
18
()(א1
) לתקנות או של הנהלים כאמור בתקנה18
()(א2
) לתקנות, בהתאם
להוראות תקנה18
(ב) לתקנות או להוראות התקנה האמורה כפי שהוחלה
בתקנה19
,(א) לתקנות, לפי העניין ובלבד
ש ראש
הרשות
לא נתן
הנחיות
לעניין
שמירת עות
ק הגיבוי של הנתונים והנהלים כאמור.
7)
חובת תיעוד (פרט13
)לתוספת -
בעל שליטה במאגר מידע שאינו מנוהל בידי
יחיד, מחזיק במאגר כאמור או מנהל מאגר כאמור שלא תיעד באופן סביר את
אופן ביצועה של פעולה שאינה יצירת מסמך, שחלה עליו חוב ה או אחריות
לבצעה לפי תקנות, בניגוד להוראות תקנה19
;(ב) לתקנות ובלבד
ש ראש
הרשות
לא נתן
הנחיות
.לעניין תיעוד כאמור יצוין, כי
אם לא נעשה כל תיעוד
כאמור, ימסור
ראש הרשות
הודעה על הכוונה להטיל עיצום כספי, ולא ייעשה
.שימוש בכלי של התראה מינהלית
(ג)
שינוי מדיניות
אכיפה לחומרה –
ההפרה שבוצעה היא הפרה של הוראה שביחס
אליה פרסם
ראש הרשות
הודעה
לציבור על שינוי מדיניות האכיפה לחומרה
בעניינים שקודם לכן לא
ננקטו בגינ
ם פעולות אכיפה.
בהודעה כאמור, יצוין פרק
הזמן בו
תינתן
התראה מנהלית חלף הטלת עיצום כספי בגין הפרה לגביה נעשה
שינוי במדיניות האכיפה .
פרק הזמן שייקבע לעניין זה לא יעלה על תקופה של
שלושה חודשים. ראש הרשות
,רשאי להאריך את התקופה שנקבעה לפרק זמן נוסף
אם השתכנע כי נדרשת תקופת הסתגלות ארוכה יותר , תוך שיובהר כי תקופת
ההסתגלות הכוללת לא תעלה על שישה חודשים .
8.
ההפרה היא של הוראה שהרשות סברה כי גבולותיה אינם ברורים ים יד או שנוסחה נתון
לפרשנויות סבירות שונות, ו
בעקבות זאת פרסמה לגביה את פרשנות
ה .הרשות תפרסם את
פרק הזמן שבו תינתן התראה מינהלית חלף הטלת עיצום כספי בגין הפרה כאמור .פרק
הזמן שייקבע לעניין זה לא יעלה על תקופה של שלושה חודשים .ראש הרשות רשאי להאריך
את התקופה שנקבעה לפרק זמן נוסף ,אם כנע וש כי נדרשת תקופת הסתגלות ארוכה יותר ,
תוך שיובהר כי תקופת ההסתגלות הכוללת לא תעלה על שישה חודשים.
9.
לעניין נוהל זה, הפרה קודמת הינה הפרה של אותה הוראת חוק או תק
נה , בגינה הוטל על
המפר בעבר עיצום כספי
.או אמצעי אכיפה מנהלית אחר