חומר רקע
14
פברואר2022
1403120
לכבוד
חה"כ גלעד קריב, יו"ר הוועדה
ועדת החוקה, חוק ומשפט
כנסת ישראל
בדוא"ל-
[email protected]
,כבוד יו"ר הועדה
:הנדון
הצעת
חוק הגנת הפרטיות(
'תיקון מס14
), התשפ"ב- 2
202
לקראת דיון ועדת החוקה 'הקבוע ליום ג15.2.22
בנושא
שבנ דון, להלן מובאת:עמדת איגוד לשכות המסחר
חוק הגנת הפרטיות קיים מזה מעל40
,שנה ועל אף שינויים שהוכנסו בו לאורך השנים בבחינת טלאי על טלאי
אינו תואם כיום לקצב ההתפתחות הטכנולוגית
בישראל ו בעולם ומהווה נטל בירוקרטי קיצוני על העוסקים
.המחזיקים מאגרי מידע
מטרתו של החוק הינה להגן על כלל הציבור משימוש לא תקין באינפורמציה
,אודותיו
.הנשמרת במאגר
אנו
סבורים כי יש ליצור חוק חדש ועדכני המותאם לימינו אנו
, בו י
ובא לידי ביטוי
איזון בין הפן העסקי והפן
הציבורי, ו .בו ירוכזו ההנחיות הן לעניין ניהול מאגרי מידע והן לעניין ההגנות הנדרשות בתחום הסייבר
כמו כן, בחוק יש לשקף הדדיות כך שהדרישות והסנקציות אשר יחולו על גורמים עסקיים, יחולו גם על גופים
.ממשלתיים המחזיקים מצבורי מידע מקיפים ביותר על אזרחי המדינה
תיקון החוק הקי
ים,
משול לשיפוץ בניין תוך.ידיעה שיסודותיו רעועים
שינוי הגדרת מחזיק
,כפי שיורחב בהמשך מהנוסח המוצע
ניתן להבין כי
"גם "מחזיק משנה, המשתמש בנתונים כנותן שירותי
מיקור
חוץ עבור המחזיק, יחשב בעצמו כמחזיק לצורך החוק. יש להתחשב בעובדה כי ייתכן שמיקור החוץ יינתן באופן
חד פעמי או שיינתן ע"י חברה קטנה, כאשר אין כל סבירות בהטלת אחריות שווה לחברות גדולות המנהלות
מאגרי מידע ולספקים מזדמנים ו/או קטנים, אשר יכול שיחשפו מתוקף
.עבודתם למאגרי מידע אלה
כמו כן, יכול שהספק החיצוני יקבל גישה רק לחלק ממאגר המידע, כך שגם את אחריותו יש להתאים כך שיהיה
בקנה המידה
ה.סביר
הגנה על עובדים
יש לוודא כי לא תוטל אחריות אישית ולא תופעל סנקציה אישית, כנגד כל עובד בחברה
"המוגדרת כ"מחזיק .
הטלת א
חריות אישית יכול שתיעשה כאשר מדובר ב נושא משרה בתאגיד
במסגרת
""הרמת מסך
תוך עמידה
בדרישות מסוימות שיוגדרו בחוק בצורה מפורטת. הטלת אחריות אישית על עובד חברה,
הינה מרחיקת לכת
וסביר לקיימה רק כ
אשר הוכח כי אותו עובד פעל בכוונה פלילית
.ולא במקרה בו נעשתה טעות בתום לב
בפן הפלילי
הטלת סנקציה פלילית מרחיקת לכת
,בעבירת של אחריות קפידה כגון מאסר
בפועל למשך3-5
שנים
בגין עבירות
נטענות כאמור בהצעה , אינה מידתית כלל ועיקר לעניין בו עסקינן ואף אינה מקובלת במדינות אחרות בהן
מיושמת חקיקה המסדירה את .נושא מאגרי מידע
מנוסח,ם הכללי של סעיפי העונשין
לא
ברור באופן וודאי מה תיחשבנה עבירות לעניינם , שכן הנוסח כיום רחב
.במידה שאינה בהירה
:לדוגמה
המונח "מ "ידע בעל רגישות מיוחדת מוצג באופן רחב ביותר. יש לציין רשימה
סגורה לעניין מה ייחשב מידע שהוא בעל רגישות
מיוחדת ולא להותיר ו.פתוח לפרשנות
בטרם יוטלו סנקציות פליליות מרחיקות לכת ב עלות השלכות הרות גורל, יש להוכיח קיומה של כוונה פלילית
,מצד הנטען להפרה ויש להקדים סנקציות כבדות אלה בהתראה מנהלית ומתן זמן סביר ל
הפסקת
.ההפרה
התקשרויות עם ספקי מיקור חוץ
בהתאם לדיני הגנת הפרטיות ,השונים בעת התקשרות בעל מאגר מידע עם גורם חיצוני
ה מקבל גישה לנתוני
המאגר, הגורם החיצוני נחשב כ"מחזיק" המידע ונדרש לעמוד בדרישות
ביניהן : דיווח אודות עמידה בדרישות
,התקנות, עמידה במסמך אבטחה אפשרות לביצוע
ביקורת פתע, דרישות ביטוח אחר
יות מקצועית
.ועוד
במהלך השוטף של עסקים, אופן העבודה במיקור חוץ אפשרי, מקובל ונפוץ בתחומים רבים אשר בעניינם סביר
לדרוש מספקי מיקור החוץ עמידה בדרישות בדומה למחזיק עצמו, כגון: חברות השמה, ניהול חשבונות, מחשוב
ועוד. אולם לעיתים נערכות התקשרויות קצרות טווח ואף
חד פעמיות ויכול שתהיה התקשרות קבועה אך עם
חברה קטנה בתחומים כגון ,שליחויות, התקנות
אשר ייתכן שיקבלו גישה חלקית לנתוני ה מאגר לצורך מתן
השירות . במקרים מסוג זה, אין כל סבירות
בהחלת מלוא דרישות הדין והאחריות הנלווית אליהם .
הדין הקיים אינו מבחין בין התקשרות ע
ם גורם שמקבל גישה מלאה למאגר ומבצע בו פעולות ע יבוד לבין
התקשרות עם ספק מזדמן
ה מקבל נתונים חלקיים מן המאגר לצורך מתן השירותים. היכולת של הספקים
הקטנים לעמוד בדרישות הדין היא מוגבלת מאוד ומדובר עבורם בנטל רגולטורי שאינם יכולים לעמוד בו
ולעיתים משית עלויות עס .קה משמעותיות
ל סיכום
ה
אמור, לטעמנו יש להבחין בדין ב
דבר האחריות המוטלת ב
התקשרויות קבועות עם ספקי עיבוד מידע
וגישה למאגר המלא,
לבין התקשרויות מזדמנות עם ספקים
ה
כוללות העברת מידע בסיסי מהמאגר,
לצורך ביצוע
השירות.
ככל שיעלה
,הצורך
איגוד לשכות המסחר עומד לרשות הועדה
לכל
ע.ניין
ב
כבוד רב,
מירב ולדמן, עו"ד
יועצת משפטית