העברת מידע לחו"ל: חובות ומגבלות

הסדרת העברת מידע לחו"ל בדין הישראלי

העברת מידע בעל אופי אישי או קנייני לחו"ל כרוכה בהשלכות משפטיות משמעותיות בדין הישראלי. הבסיס החוקי לשליטה על העברה זו מצוי בעיקר בחוק הגנת הפרטיות, התשנ"א-1981, וכן בתקנות הגנת הפרטיות (העברת מידע לחו"ל), התשס"א-2001. על פי סעיף 2 של חוק הגנת הפרטיות, סוף הגוף הציבורי או בעל השליטה מחויב להגן על זכותו של כל אדם לפרטיות. זה כולל מידע שאדם שמר בעצמו כסודי או מידע הנאסף עליו על ידי ארגון ממשלתי או מסחרי. ההעברה לחו"ל של מידע כזה דורכת על זכות בסיסית זו ודורשת הרשאה משפטית מפורשת.

הוראות תקנות הגנת הפרטיות (העברת מידע לחו"ל)

תקנות הגנת הפרטיות (העברת מידע לחו"ל), התשס"א-2001, קובעות מסגרת משפטית מוגדרת להעברת מידע אישי לחו"ל. על פי תקנה 2, לא ניתן להעביר מידע אישי לחו"ל אלא בתנאים קפדניים: (1) בידי אישור מפורש של הדוברת הפרטיות (או על פי רשות משפטית אחרת), (2) לטיפול בקשור לצרכים משפטיים ספציפיים, (3) לשם אכיפת דיני ישראל או הגנה על זכויותיו של קרוב או שלישי. כל העברה חייבת לעמוד בעקרון של "מינימום הנדרש" - כלומר רק המידע ההכרחי בדיוק יועבר, ללא מידע סיומי יתר.

תנאים בדבר מדינות וסוגי מידע

תקנה 5 של התקנות דורשת שמדינת היעד תעמוד בדרגת הגנה משפטית "סבירה" או "מספקת" על הפרטיות. רשימה של מדינות המוכרות כמספקות הגנה סופקת מעת לעת על ידי משרד החוץ ומשרד הצדק. כלל זה משמעותי במיוחד עבור מעביר מידע מישראל למדינות עם חקיקה חלשה בנושא הגנת הפרטיות, כמו חלק מהמדינות במזרח אירופה או אפריקה. מידע רגיש במיוחד - כמו מידע עלי בריאות, מידע ביומטרי, או מידע על הטיות דתיות וממשק - דורש הגנה משפטית חזקה יותר ובדיקה ספציפית לפני העברה.

הוקיפות דיוק ותנאי העברה

כל העברת מידע חייבת להיעשות בעיון ובמקצועיות. על הארגון המעביר להבטיח: (1) שהמידע עדכני ודיוק; (2) שהמידע יורשם ברמת בטיחות המקובלת בעולם (כלל של הצפנה בעיתוי העברה ובאחסון שלהם); (3) שקיימות הסכמות הדדיות עם הצד המקבל בחו"ל בדבר משמורת וטיפול במידע; (4) שהמידע לא יעבור לצד שלישי ללא הסכמה נוספת. בחלק מהמקרים, משרד הצדק דורש בדיקה משפטית עומקית או היתר מיוחד קודם להעברה.

זכויות הנושא שלו המידע מועבר

לאדם שמידע עליו מועבר לחו"ל יש זכויות חשובות על פי חוק הגנת הפרטיות. ראשית, לפי סעיף 21 של החוק, לאדם יש זכות לדעת שמידע עליו יועבר לחו"ל ובאילו תנאים. שנית, לפי סעיף 8 של החוק, לאדם יש זכות לבקש תיקון או מחיקה של מידע שמחזיקים עליו. שלישית, לפי סעיף 10, לאדם יש זכות להגיש תלונה לדובר הציבור או לנציבות הגנת הפרטיות כאשר מידע עליו מועבר ללא הרשאה או בניגוד להסכם. רביעית, כאשר קיים קשר בין מידע מועבר בישראל למידע מעובד בחו"ל, על המעביר להבטיח שאדם יוכל להוכיח את זכותו או לערער על שימוש במידע שלו גם במחוז זה.

הסכמת הנתון ואופי ההסכם

בעוד שבקרים מסוימים, העברה של מידע לחו"ל דורשת הסכמה מפורשת של הנתון (על פי סעיף 7 של חוק הגנת הפרטיות). הסכמה זו חייבת להיות מידעית ובחירה חופשית - כלומר הנתון חייב להיות מודע למלוא ההשלכות של הסכמה זו ויכול היה להסיר את ההסכמה בכל עת. הסכמה המתקבלת דרך "תנאים אבל להמשך" (כלומר בתנאי שניתן הסכמה או לא יתקיים השירות) עשויה להיחשב כפוגעת בחופש הבחירה של הנתון. בחלק מהמקרים, בתי משפט דחו הסכמות כאלה כ"לא הוגנות" על פי חוק הגנת הצרכן, התשנ"א-1981, במיוחד כאשר ההסכמה נדרשת לצרך מינורי או שאיננו חיוני.

קבלנים בחו"ל ותחיקת עירובים

בחלק מהמקרים, נדרש בעל עסק או ארגון ישראלי להעביר מידע לקבלן בחו"ל (כמו שירות ענן, שרות הנדסי, או שרות בדיקות רפואיות). בהתאם לתקנה 7 של תקנות הגנת הפרטיות, המעביר חייב להבטיח חוזה משפטי עם הקבלן הזר קובע את התחייבותו להגן על המידע ברמה זהה למה שנדרש בישראל. החוזה חייב לכלול סעיפים בדבר: (1) השימוש המותר במידע; (2) צמדים מינימליים לעיבוד מידע (דיוק, בטיחות, שמירת סוד); (3) הזכות שלה להשיג גישה או מחיקה של מידע; (4) הזמנה בעומק לחקירות משפטיות בדבר ניגודים או הפרות. קבלנים שלא עומדים בתנאים אלה עשויים לחייב את המעביר בתביעת נזיקין.

סיכונים משפטיים וחובות דיווח

כאשר מידע אישי נמסר לחו"ל ואחר כך נפרץ, נגנב, או שימש שלא כהלכה, לעסק או הארגון המעביר יש חובה דיווח משפטית. על פי סעיף 27 של חוק הגנת הפרטיות, בעל אתר או מערכת מידע חייב להודיע לנושא על הפרת או נזק למידע שלו "ללא דיחוי" לאחר שנודע לו על כך. חוק זה חל גם על מידע שנמסר בחו"ל. כשלון בהודעה יכול להוביל לטענות משפטיות נגד המעביר בדבר הנזק שנגרם לנתון עקב הנזק למידע שלו. בנוסף, על פי חוק הגנת הצרכן (כפי שתוקן בשנים האחרונות), קבלן המעביר מידע צרכן בלא הסכמה מפורשת עשוי להיות חייב בקנס אדמיניסטרטיבי של עד שני מיליון שקל וטענות אזרחיות של צרכנים שנפגעו.

מעבר בינלאומי וקליטת נדנדות

בעקבות חתימת הסכמים בינלאומיים כמו הסכם אשכול ירוק עם האיחוד האירופי (GDPR - General Data Protection Regulation), ישראל מתוקדמת כדי להחמיר את הדרישות שלה להעברת מידע לחו"ל. הודעה הוצאה ממשרד הצדק בנוגע לעמידה בתקנים בינלאומיים וכללים שהוטלו על עסקים המשדרים מידע בחו"ל. עסקים המעניקים מידע לחו"ל צריכים להיות מודעים לחוקים המקומיים של מדינת היעד וגם לדרישות ישראליות. בקרים מסוימים דורשים שיתוף פעולה בין המעביר, הרשות הממשלתית הישראלית, וגם הרשויות בחו"ל.