نقل المعلومات إلى الخارج: الواجبات والقيود

صفحة الخدمة: محامٍ للتجارة الرقمية والذكاء الاصطناعي: شروط الموقع، والخصوصية، والتسويق المباشر.

تنظيم نقل المعلومات إلى الخارج في القانون الإسرائيلي

لنقل المعلومات ذات الطابع الشخصي أو طابع الملكية إلى الخارج تبعات قانونية كبيرة في القانون الإسرائيلي. والأساس القانوني للرقابة على هذا النقل موجود أساسًا في قانون حماية الخصوصية، 1981 (חוק הגנת הפרטיות, התשמ״א-1981)، وكذلك في أنظمة حماية الخصوصية (نقل المعلومات إلى قواعد بيانات خارج حدود الدولة)، 2001. ويحمي قانون حماية الخصوصية، 1981 حق كل شخص في الخصوصية، ويفرض على من يحتفظ بمعلومات عنه واجبات حذر مختلفة. ويشمل ذلك المعلومات التي احتفظ بها الشخص لنفسه أو المعلومات التي تجمعها عنه منظمة حكومية أو تجارية. ونقل هذه المعلومات إلى الخارج يُخرجها من نطاق حماية القانون الإسرائيلي، ولذلك تشترط الأنظمة له شروطًا.

أحكام أنظمة حماية الخصوصية (نقل المعلومات إلى الخارج)

تضع أنظمة حماية الخصوصية (نقل المعلومات إلى قواعد بيانات خارج حدود الدولة)، 2001 إطارًا واضحًا. فالمادة 1 من الأنظمة تحظر نقل المعلومات من قاعدة بيانات في إسرائيل إلى الخارج إلا إذا كان قانون دولة الوجهة يضمن مستوى حماية لا يقل عمّا في القانون الإسرائيلي: جمع ونقل قانونيان ومنصفان، واستخدام للغرض الذي جُمعت المعلومات من أجله، ودقة وحداثة، وحق الاطّلاع والتصحيح، ووسائل تأمين. وتعدّد المادة 2 من الأنظمة استثناءات يكفي واحد منها: موافقة الشخص الذي تتعلق به المعلومات؛ النقل الضروري لحماية صحته عندما يتعذر الحصول على الموافقة؛ النقل إلى هيئة اعتبارية خاضعة لسيطرة صاحب قاعدة البيانات ضمنت حماية الخصوصية؛ التزام تعاقدي من المتلقي بالوفاء بشروط القانون الإسرائيلي؛ معلومات نُشرت للجمهور بصورة قانونية؛ النقل المطلوب لحماية سلامة الجمهور أو بحكم القانون؛ أو النقل إلى دولة طرف في الاتفاقية الأوروبية لحماية الفرد (الاتفاقية 108)، أو إلى دولة تتلقى المعلومات من الاتحاد الأوروبي بالشروط نفسها، أو إلى دولة أعلن عنها مسجّل قواعد البيانات في الجريدة الرسمية (רשומות). ومبدأ تقليل المعلومات، أي نقل الضروري فقط، ممارسة موصى بها تقلّل التعرّض للمخاطر.

شروط بشأن الدول وأنواع المعلومات

لا توجد في إسرائيل قائمة رسمية بـ«الدول الملائمة»: فمن يعتمد على المادة 1 من الأنظمة يجب أن يثبت بنفسه أن قانون دولة الوجهة يبلغ المستوى المطلوب، وفي الواقع تستند معظم عمليات النقل إلى استثناءات المادة 2: الموافقة، أو السيطرة المؤسسية، أو الالتزام التعاقدي. وهذه القاعدة مهمة بشكل خاص في النقل إلى دول لا يوجد فيها تشريع شامل للخصوصية. والمعلومات ذات الحساسية الخاصة، أي الطبية، أو البيومترية، أو المتعلقة بالميول الجنسية أو بالمعتقد الديني، تستوجب فحصًا أدقّ ووسائل تأمين معزَّزة قبل النقل.

دقة المعلومات وشروط النقل

يجب أن يتم كل نقل للمعلومات بتمعّن ومهنية. وعلى المنظمة الناقلة أن تضمن: (1) أن المعلومات دقيقة وحديثة؛ (2) أن المعلومات مؤمَّنة بالمستوى المطلوب وفق أنظمة حماية الخصوصية (أمن المعلومات)، 2017 (תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017)، بما في ذلك التشفير بأساليب متّبعة عندما تُنقل المعلومات عبر شبكة عامة أو عبر الإنترنت (المادة 14(ب) من الأنظمة)؛ (3) أن هناك التزامًا مكتوبًا من المتلقي في الخارج بشأن تأمين المعلومات ومعالجتها (المادة 3 من أنظمة النقل إلى الخارج)؛ (4) ألا تُنقل المعلومات إلى طرف ثالث، في الدولة نفسها أو في دولة أخرى.

ومن المفيد أن تتذكروا أيضًا وثيقة تعريفات قاعدة البيانات: وفق المادة 2(أ)(4) من أنظمة حماية الخصوصية (أمن المعلومات)، 2017، يجب على صاحب قاعدة البيانات أن يفصّل فيها كل نقل لقاعدة البيانات أو لجزء جوهري منها إلى خارج إسرائيل، وكل استخدام للمعلومات خارج إسرائيل: غرض النقل، ودولة الوجهة، وطريقة النقل، وهوية المنقول إليه، وأن يحدّث الوثيقة عند حدوث تغيير جوهري (المادة 2(ب) من الأنظمة). والمستند الناقص إخلال تُفرض عليه عقوبة مالية في البند (1) من الملحق الثالث لقانون حماية الخصوصية: يتراوح المبلغ الأساسي بين 2,000 ش.ج. و160,000 ش.ج. بحسب مستوى أمن قاعدة البيانات، ويُحدَّث وفق المؤشر في 1 كانون الثاني/يناير من كل سنة (المادة 23لب(ب)).

حقوق الشخص الذي تُنقل معلوماته

للشخص الذي تُنقل معلومات عنه إلى الخارج حقوق مهمة وفق قانون حماية الخصوصية.

قائمة فحص عملية

1. وفق قانون حماية الخصوصية، للشخص الحق في أن يعرف أي جهات تحتفظ بمعلومات عنه ولأي غرض تُستخدم، بما في ذلك نقلها إلى الخارج.
2. للشخص الحق في أن يطلب الاطّلاع على المعلومات المحفوظة عنه وأن يطالب بتصحيحها إذا كانت خاطئة.
3. الشخص الذي يرى أن معلومات عنه نُقلت إلى الخارج دون تفويض أو خلافًا للاتفاقية يستطيع تقديم شكوى إلى سلطة حماية الخصوصية.
4. حقّا الاطّلاع والتصحيح (المادتان 13–14 من القانون) قائمان للشخص حتى عندما تكون المعلومات محفوظة فعليًا لدى متلقٍّ في الخارج، والمسؤولية عن إعمالهما تبقى على صاحب قاعدة البيانات في إسرائيل.

موافقة صاحب البيانات وطبيعة الاتفاقية

عندما يستند النقل إلى موافقة صاحب البيانات (المادة 2(1) من الأنظمة)، يجب أن تكون الموافقة «موافقة مستنيرة» كما عُرّفت في المادة 3 من قانون حماية الخصوصية، أي بعد أن فهم الشخص لمن تُنقل المعلومات، وإلى أي دولة، ولأي غرض. والموافقة المفروضة شرطًا للحصول على خدمة لا تتوقف على النقل («take-it-or-leave-it») معرّضة للادعاء بأنها ليست حرة، ولذلك يُفضَّل أن تستند عمليات النقل الروتينية إلى التزام تعاقدي من المتلقي لا إلى الموافقة وحدها.

المقاولون خارج البلاد: ما الذي يجب أن يتضمنه العقد؟

في بعض الحالات، يحتاج صاحب مصلحة تجارية أو منظمة إسرائيلية إلى نقل معلومات إلى مقاول في الخارج (مثل خدمة سحابية، أو تعهيد خدمات الدعم، أو مختبر في الخارج). وفق المادة 3 من الأنظمة، يجب على الناقل أن يحصل على التزام مكتوب من المقاول الأجنبي باتخاذ وسائل كافية لضمان الخصوصية وبعدم نقل المعلومات إلى أي أحد. وعندما يحصل المقاول على وصول إلى قاعدة البيانات، تُلزم المادة 15 من أنظمة حماية الخصوصية (أمن المعلومات)، 2017 بأن يُحدَّد في الاتفاقية، من بين أمور أخرى: (1) المعلومات التي يحق له معالجتها وأغراض استخدامها؛ (2) أنظمة قاعدة البيانات التي يحق له الوصول إليها ونوع المعالجة المسموح بها؛ (3) طريقة تطبيق واجبات أمن المعلومات وتوقيع عامليه على التزام بالسرية؛ (4) مدة التعاقد، وإعادة المعلومات وإتلافها عند انتهائه؛ (5) شروط الاستعانة بمقاول فرعي؛ (6) تقديم تقرير مرة في السنة على الأقل والإبلاغ عن حادث خرق أمني. ويبقى الناقل مسؤولًا تجاه أصحاب البيانات حتى عندما يقع الخلل لدى المقاول.

المخاطر القانونية وواجبات الإبلاغ

عندما تُسلَّم المعلومات الشخصية إلى الخارج ثم تُخترق أو تُسرق أو تُستخدم استخدامًا غير سليم، تبقى المسؤولية على صاحب قاعدة البيانات في إسرائيل. ووفق أنظمة حماية الخصوصية (أمن المعلومات)، 2017، يستوجب حادث الخرق الأمني الخطير إبلاغًا فوريًا إلى سلطة حماية الخصوصية، التي يجوز لها أن تأمر بإبلاغ أصحاب البيانات أيضًا. ومنذ التعديل رقم 13 لقانون حماية الخصوصية (الساري منذ آب/أغسطس 2025)، أصبحت السلطة مخوَّلة بفرض عقوبات مالية على الانتهاكات، إلى جانب الدعاوى المدنية لأصحاب البيانات المتضررين.

إسرائيل مقابل GDPR: ما الذي يتغير؟

يعترف الاتحاد الأوروبي بإسرائيل دولةً ذات مستوى حماية ملائم (قرار الملاءمة، adequacy، من عام 2011، الذي أُكّد في كانون الثاني/يناير 2024)، ولذلك يمكن أن تتدفق المعلومات من الاتحاد إلى إسرائيل دون موافقات خاصة. وفي الوقت نفسه، تفرض أنظمة حماية الخصوصية (أحكام بشأن المعلومات المنقولة إلى إسرائيل من المنطقة الاقتصادية الأوروبية)، 2023 (תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי), התשפ״ג-2023) على صاحب قاعدة البيانات في إسرائيل الذي يحتفظ بمعلومات مصدرها المنطقة الاقتصادية الأوروبية واجبات إضافية: محو المعلومات التي لم تعد ضرورية أو إخفاء هوية أصحابها، والحفاظ على الدقة، وإبلاغ أصحاب البيانات. والمصلحة التجارية الإسرائيلية التي تنقل هذه المعلومات إلى دولة ثالثة يجب أن تستوفي المتطلبات الإسرائيلية وقانون دولة الوجهة معًا.

أسئلة شائعة

الشركة تستخدم مزوِّد خدمات سحابية معروفًا. هل يكفي ذلك؟

لا. العقد مع مزوِّد الخدمات السحابية يجب أن يتضمن بنودًا محددة وفق المادة 3 من أنظمة نقل المعلومات إلى الخارج: التزام مكتوب من المتلقي باتخاذ وسائل كافية لضمان الخصوصية وبعدم نقل المعلومات إلى أي أحد، لا اتفاقية معالجة بيانات (DPA) فقط.

هل تكفي موافقة الزبون لنقل معلوماته إلى خارج البلاد؟

ليس دائمًا. عندما يستند النقل إلى موافقة صاحب البيانات (المادة 2(1) من الأنظمة)، يجب أن تكون الموافقة «موافقة مستنيرة» (المادة 3 من قانون حماية الخصوصية)، أي بعد أن فهم الشخص لمن تُنقل المعلومات، وإلى أي دولة، ولأي غرض. والموافقة المفروضة شرطًا للحصول على خدمة لا تتوقف على النقل معرّضة للادعاء بأنها ليست حرة، ولذلك يُفضَّل أن تستند عمليات النقل الروتينية إلى التزام تعاقدي من المتلقي.

تسرّبت المعلومات لدى المقاول في الخارج. من المسؤول؟

تبقى المسؤولية على صاحب قاعدة البيانات في إسرائيل. فحادث الخرق الأمني الخطير يستوجب إبلاغًا فوريًا إلى سلطة حماية الخصوصية، التي يجوز لها أن تأمر بإبلاغ أصحاب البيانات أيضًا، ومنذ التعديل رقم 13 أصبحت السلطة مخوَّلة بفرض عقوبات مالية، إلى جانب الدعاوى المدنية لأصحاب البيانات المتضررين.