העברת מידע לחו״ל: חובות ומגבלות

עמוד השירות: עורך דין מסחר דיגיטלי ו-AI: תקנון, פרטיות ודיוור.

הסדרת העברת מידע לחו״ל בדין הישראלי

העברת מידע בעל אופי אישי או קנייני לחו״ל כרוכה בהשלכות משפטיות משמעותיות בדין הישראלי. הבסיס החוקי לשליטה על העברה זו מצוי בעיקר בחוק הגנת הפרטיות, התשמ״א-1981, וכן בתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א-2001. חוק הגנת הפרטיות, התשמ״א-1981, מגן על זכותו של כל אדם לפרטיות ומטיל על מי שמחזיק במידע עליו חובות זהירות שונות. זה כולל מידע שאדם שמר לפרטיותו או מידע הנאסף עליו על ידי ארגון ממשלתי או מסחרי. העברה לחו״ל של מידע כזה מוציאה אותו מתחום ההגנה של הדין הישראלי, ולכן התקנות מתנות אותה בתנאים.

שאלה על המקרה שלכם? כתבו בוואטסאפ · 050-431-3155

הוראות תקנות הגנת הפרטיות (העברת מידע לחו״ל)

תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א-2001, קובעות מסגרת ברורה. תקנה 1 אוסרת העברת מידע ממאגר בישראל לחו״ל אלא אם דין מדינת היעד מבטיח רמת הגנה שאינה פחותה מזו שבדין הישראלי — איסוף והעברה חוקיים והוגנים, שימוש למטרה שלשמה נאסף, דיוק ועדכניות, זכות עיון ותיקון, ואמצעי אבטחה. תקנה 2 מונה חריגים שדי באחד מהם: הסכמת האדם שעליו המידע; העברה הכרחית להגנה על בריאותו כשלא ניתן לקבל הסכמה; העברה לתאגיד בשליטת בעל המאגר שהבטיח את ההגנה על הפרטיות; התחייבות חוזית של המקבל לקיים את תנאי הדין הישראלי; מידע שפורסם לרבים כדין; העברה הנדרשת להגנה על שלום הציבור או מכוח דין; או העברה למדינה שהיא צד לאמנה האירופית להגנת הפרט (אמנה 108), למדינה המקבלת מידע מהאיחוד האירופי באותם תנאים, או למדינה שרשם מאגרי המידע הודיע עליה ברשומות. עקרון צמצום המידע — להעביר רק את הנחוץ — הוא נוהג מומלץ שמקטין את החשיפה.

תנאים בדבר מדינות וסוגי מידע

אין בישראל רשימה רשמית של ״מדינות נאותות״: מי שמסתמך על תקנה 1 צריך לבסס בעצמו שדין מדינת היעד עומד ברף, ובפועל רוב ההעברות נשענות על חריגי תקנה 2 — הסכמה, שליטה תאגידית או התחייבות חוזית. כלל זה משמעותי במיוחד בהעברה למדינות שאין בהן חקיקת פרטיות מקיפה. מידע בעל רגישות מיוחדת — רפואי, ביומטרי, על נטייה מינית או על אמונה דתית — מצדיק בדיקה קפדנית יותר ואמצעי אבטחה מוגברים לפני ההעברה.

דיוק המידע ותנאי ההעברה

כל העברת מידע חייבת להיעשות בעיון ובמקצועיות. על הארגון המעביר להבטיח: (1) שהמידע מדויק ועדכני; (2) שהמידע מאובטח ברמה הנדרשת לפי תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 — לרבות הצפנה בשיטות מקובלות כשהמידע מועבר ברשת ציבורית או באינטרנט (תקנה 14(ב)); (3) שיש התחייבות בכתב של המקבל בחו״ל בדבר אבטחת המידע והטיפול בו (תקנה 3); (4) שהמידע לא יועבר לצד שלישי — באותה מדינה או במדינה אחרת.

כדאי לזכור גם את מסמך הגדרות המאגר: לפי תקנה 2(א)(4) לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017, בעל המאגר חייב לפרט בו כל העברה של המאגר או של חלק מהותי ממנו אל מחוץ לישראל, וכל שימוש במידע מחוץ לישראל — מטרת ההעברה, ארץ היעד, אופן ההעברה וזהות הנעבר — ולעדכן את המסמך כשנעשה שינוי משמעותי (תקנה 2(ב)). מסמך חסר הוא הפרה שעליה קבוע עיצום כספי בפרט (1) לתוספת השלישית לחוק הגנת הפרטיות: סכום הבסיס נע בין 2,000 ₪ ל-160,000 ₪ לפי רמת האבטחה של המאגר, והוא מתעדכן לפי המדד ב-1 בינואר בכל שנה (סעיף 23לב(ב)).

זכויות הנושא שלו המידע מועבר

לאדם שמידע עליו מועבר לחו״ל יש זכויות חשובות על פי חוק הגנת הפרטיות.

צ׳קליסט מעשי

1. לפי חוק הגנת הפרטיות, לאדם יש זכות לדעת אילו גורמים מחזיקים מידע עליו ולאיזו מטרה הוא משמש — לרבות העברתו לחו״ל.
2. לאדם יש זכות לבקש לעיין במידע המוחזק עליו ולדרוש את תיקונו אם הוא שגוי.
3. אדם שסבור כי מידע עליו הועבר לחו״ל ללא הרשאה או בניגוד להסכם יכול להגיש תלונה לרשות להגנת הפרטיות.
4. זכויות העיון והתיקון (סעיפים 13–14 לחוק) עומדות לאדם גם כשהמידע מוחזק בפועל אצל מקבל בחו״ל — האחריות למימושן נשארת על בעל המאגר בישראל.

הסכמת הנושא ואופי ההסכם

כשההעברה נשענת על הסכמת נושא המידע (תקנה 2(1)), ההסכמה צריכה להיות ״הסכמה מדעת״ כהגדרתה בסעיף 3 לחוק הגנת הפרטיות — כלומר לאחר שהאדם הבין למי מועבר המידע, לאיזו מדינה ולאיזו מטרה. הסכמה הנכפית כתנאי לקבלת שירות שאינו תלוי בהעברה (״take-it-or-leave-it״) חשופה לטענה שאינה חופשית, ולכן עדיף לבסס העברות שגרתיות על התחייבות חוזית של המקבל ולא על הסכמה בלבד.

קבלנים בחו״ל: מה חייבים לכלול בחוזה?

בחלק מהמקרים, נדרש בעל עסק או ארגון ישראלי להעביר מידע לקבלן בחו״ל (כמו שירות ענן, מיקור חוץ של שירותי תמיכה, או מעבדה בחו״ל). לפי תקנה 3 לתקנות, המעביר חייב לקבל התחייבות בכתב של הקבלן הזר לנקוט אמצעים מספיקים להבטחת הפרטיות ולא להעביר את המידע לאיש. כשהקבלן מקבל גישה למאגר, תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 מחייבת לקבוע בהסכם, בין היתר: (1) המידע שהוא רשאי לעבד ומטרות השימוש בו; (2) מערכות המאגר שהוא רשאי לגשת אליהן וסוג העיבוד המותר; (3) אופן יישום חובות אבטחת המידע והחתמת עובדיו על התחייבות לסודיות; (4) משך ההתקשרות, השבת המידע והשמדתו בסיומה; (5) תנאים להעסקת קבלן משנה; (6) דיווח אחת לשנה לפחות והודעה על אירוע אבטחה. המעביר נשאר אחראי כלפי נושאי המידע גם כשהכשל אירע אצל הקבלן.

סיכונים משפטיים וחובות דיווח

כאשר מידע אישי נמסר לחו״ל ואחר כך נפרץ, נגנב או שימש שלא כהלכה — האחריות נשארת על בעל המאגר בישראל. לפי תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017, אירוע אבטחה חמור מחייב דיווח מיידי לרשות להגנת הפרטיות, שרשאית להורות להודיע גם לנושאי המידע. מאז תיקון 13 לחוק הגנת הפרטיות (בתוקף מאוגוסט 2025) הרשות מוסמכת להטיל עיצומים כספיים על הפרות, לצד תביעות אזרחיות של נושאי המידע שנפגעו.

ישראל מול GDPR: מה משתנה?

ישראל מוכרת על ידי האיחוד האירופי כמדינה בעלת רמת הגנה נאותה (החלטת adequacy משנת 2011, שאושררה בינואר 2024), ולכן מידע יכול לזרום מהאיחוד לישראל בלי אישורים מיוחדים. במקביל, תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי), התשפ״ג-2023 מטילות על בעל מאגר בישראל המחזיק מידע שמקורו באזור הכלכלי האירופי חובות נוספות: מחיקה או אנונימיזציה של מידע שאינו נחוץ עוד, שמירה על דיוק, והודעה לנושאי המידע. עסק ישראלי שמעביר מידע כזה הלאה למדינה שלישית צריך לעמוד גם בדרישות הישראליות וגם בדין מדינת היעד.