הגנת פרטיות ו-GDPR: חובות של חברות ישראליות

עמוד השירות: עורך דין מסחר דיגיטלי ו-AI: תקנון, פרטיות ודיוור.

האם GDPR חל עליכם — גם אם החברה רק בישראל?

יש לכם משתמשים בגרמניה? לקוחות בצרפת? מנויים לניוזלטר באיטליה? ה-GDPR חל על חברה שאינה ממוקמת באיחוד כשהיא מציעה טובין או שירותים לאנשים הנמצאים באיחוד — בתשלום או בחינם — או מנטרת את התנהגותם שם (סעיף 3(2)). המבחן אינו אזרחות ואינו מקום רישום החברה, אלא מיקום האנשים והזיקה של הפעילות אליהם; נגישות האתר מאירופה לבדה אינה מספיקה (הערת מבוא 23). הצעדים המעשיים בנושא מרוכזים בעמוד תקנוני אתרים ומדיניות פרטיות.

זה לא תיאוריה: על הפרת עקרונות העיבוד, תנאי ההסכמה וזכויות נושאי המידע הקנס מגיע עד €20 מיליון או 4% מהמחזור השנתי העולמי, הגבוה מביניהם (סעיף 83(5)); ותיעוד פעולות העיבוד (ROPA) הוא חובה לפי סעיף 30, בכפוף לפטור לארגון שמעסיק פחות מ-250 עובדים — שאינו חל כשהעיבוד אינו מזדמן, כרוך בסיכון או כולל נתונים מיוחדים.

שאלה על המקרה שלכם? כתבו בוואטסאפ · 050-431-3155

ה-GDPR — עיקרי התקנות האירופיות

ה-GDPR (General Data Protection Regulation) הוא החוק על הגנת הפרטיות של האיחוד האירופי שחל מ-25 במאי 2018 (סעיף 99). הוא אחד החוקים הקשים ביותר בעולם בנושא הגנת נתונים, והוא משנה את דרך שחברות בעולם כולו מטפלות בנתונים אישיים.

עיקרי ה-GDPR:

• Legal basis for processing: חברות יכולות לעבד נתונים רק אם יש להן בסיס משפטי (הסכמה, חוזה, חובה חוקית ועוד — סעיף 6(1)). לא יכולים לעבד נתונים רק כי זה "נחמד" או "שימושי".
• Consent: הסכמה היא רק אחד מששת הבסיסים החוקיים (סעיף 6(1)); כשמסתמכים עליה, היא צריכה להיות חופשית, ספציפית, מדעת וחד-משמעית, בהצהרה או בפעולה חיובית ברורה (סעיף 4(11)) — שתיקה או תיבה מסומנת מראש אינן הסכמה (הערת מבוא 32). הסכמה ״מפורשת״ נדרשת במקרים מיוחדים, כמו עיבוד נתונים רגישים (סעיף 9(2)(א)).
• Data subject rights: לאנשים יש זכות גישה, תיקון, מחיקה, הגבלת עיבוד, ניידות נתונים והתנגדות (סעיפים 15–21).
• Data protection impact assessment: כשהעיבוד — במיוחד בטכנולוגיות חדשות — צפוי ליצור סיכון גבוה לזכויות ולחירויות של אנשים, יש לערוך הערכת השפעה על הגנת המידע לפני תחילתו (סעיף 35).
• Data protection officer: חובה למנות ממונה הגנת מידע (DPO — Data Protection Officer) חלה על רשות ציבורית, ועל גוף שפעילות הליבה שלו כוללת ניטור סדיר ושיטתי של אנשים בהיקף נרחב, או עיבוד בהיקף נרחב של נתונים מיוחדים — למשל נתוני בריאות — או של נתונים על הרשעות (סעיף 37(1)).
• Breach notification: הודעה לרשות הפיקוח בלי דיחוי ובתוך 72 שעות מהמועד שבו נודע על ההפרה, ככל שהדבר אפשרי, אלא אם ההפרה אינה צפויה ליצור סיכון (סעיף 33); הודעה לנושאי המידע — בלי דיחוי, כשההפרה צפויה ליצור סיכון גבוה עבורם (סעיף 34).
• Fines: על הפרת עקרונות העיבוד, תנאי ההסכמה, זכויות נושאי המידע וכללי ההעברה — עד €20 מיליון או 4% מהמחזור השנתי העולמי, הגבוה מביניהם (סעיף 83(5)); על הפרות אחרות, כמו חובות האבטחה והתיעוד — עד €10 מיליון או 2% (סעיף 83(4)).

ה-GDPR הוא פיתרון עוצמתי בעד הזכות לפרטיות, והוא יצר סטנדרט חדש עבור הגנת נתונים בעולם.

חוק הגנת הפרטיות התשמ״א-1981 הישראלי ותקנות אבטחת מידע

בישראל, הגנת פרטיות מוסדרת על ידי חוק הגנת הפרטיות התשמ״א-1981 וחוקים ותקנות נלוות. הוא לא חזק כמו ה-GDPR, אבל הוא עדיין מטיל חובות משמעותיות על חברות.

• חוק הגנת הפרטיות התשמ״א-1981: מידע במאגר מותר לעבד רק למטרה שנקבעה לו כדין (סעיף 8(ב)), ומי שאוסף מידע אישי לשם עיבודו במאגר חייב להודיע לאדם אם המסירה חובה או תלויה בהסכמתו, מה מטרת האיסוף ולמי יימסר המידע; מאז תיקון 13 ההודעה כוללת גם את תוצאת אי-ההסכמה, את שם בעל השליטה במאגר ודרכי ההתקשרות עמו, ואת קיומן של זכות העיון וזכות התיקון (סעיף 11).
• תקנות אבטחת המידע: תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 חלות על כל מאגר מידע, ברמת אבטחה בסיסית, בינונית או גבוהה לפי סוג המידע, מספר האנשים ומספר בעלי ההרשאה; ומי שמחזיק מידע שהועבר מהאזור הכלכלי האירופי כפוף גם לתקנות 2023 — חובות מחיקה, דיוק ויידוע.
• Chief Privacy Officer: מאז תיקון 13 (בתוקף מ-14.8.2025) חובה למנות ממונה על הגנת הפרטיות בגוף ציבורי, בסוחר מידע שבמאגרו מידע על יותר מ-10,000 איש, ובגוף שעיסוקו העיקרי כולל ניטור שיטתי בהיקף ניכר או עיבוד בהיקף ניכר של מידע בעל רגישות מיוחדת (סעיף 17ב1) — בדומה ל-DPO תחת ה-GDPR.

ומה הסנקציה בישראל? מאז תיקון 13 רשאי ראש הרשות להגנת הפרטיות להטיל עיצומים כספיים, שחלקם מחושבים לפי מספר האנשים במאגר. למשל, על עיבוד מידע אישי למטרה שאינה כדין — 4 ₪ לכל אדם שמידע עליו נמצא במאגר (8 ₪ במידע בעל רגישות מיוחדת), ו-200,000 ₪ אם הסכום המחושב נמוך מזה (סעיף 23כו(ה)); ועל עיבוד במאגר חייב ברישום שלא נרשם — 150,000 ₪, וכפל הסכום במאגר של 1,000,000 בני אדם ומעלה (סעיף 23כו(א)). בנוסף, על הפרות מסוימות, כמו סירוב לאפשר עיון במידע, רשאי בית המשפט לפסוק פיצויים לדוגמה של עד 10,000 ₪ שאינם תלויים בנזק (סעיף 15א).

מתי בדיוק חברה ישראלית חייבת לציית ל-GDPR?

התשובה פשוטה יותר ממה שחושבים — ה-GDPR חל בשלושה מצבים:

• Scope: ה-GDPR חל על עיבוד במסגרת פעילות של שלוחה של החברה באיחוד, בלי קשר למקום העיבוד (סעיף 3(1)); וגם על חברה שאינה ממוקמת באיחוד, כשהעיבוד קשור להצעת טובין או שירותים לאנשים הנמצאים באיחוד או לניטור התנהגותם שם (סעיף 3(2)).
• Targeting EU residents: הצעת טובין או שירותים נבחנת לפי כוונה לפנות לאנשים באיחוד — למשל שפה או מטבע של מדינה אירופית, או אזכור לקוחות שם; נגישות האתר מאירופה, או שימוש בעברית, השפה המקובלת בישראל, אינם מספיקים לבדם (הערת מבוא 23).
• Offering services/goods: אם מציעים שירותים או מוצרים לאנשים באיחוד — גם בחינם — ה-GDPR חל (סעיף 3(2)(א)); וכך גם כשמנטרים את התנהגותם שם, למשל במעקב ובפרופיילינג באינטרנט (סעיף 3(2)(ב), הערת מבוא 24).

מקרה מעשי: סטארטאפ ישראלי שבנה אפליקציה ומוכר אותה לשוק האירופאי יצטרך לציית ל-GDPR לגבי עיבוד הנתונים של המשתמשים באיחוד (סעיף 3(2)(א)), וככלל גם למנות נציג באיחוד (סעיף 27) — גם אם רוב הלקוחות בישראל.

7 צעדים לציות GDPR — תתחילו מכאן

הנה מה שצריך לסגור, לפי סדר עדיפות:

• Privacy policy ברורה: כתבו מדיניות פרטיות שמסבירה בפירוט אילו נתונים אתם אוספים, למה, וכיצד אתם משתמשים בהם.
• Consent management: בדוקו שיש הסכמה ברורה ופעילה מ-משתמשים. אל תשתמשו בברירות מחדל שמסכימות מראש, ואל תכתבו תנאים מטעים.
• Data minimization: אספו רק נתונים שצריכים לו למטרות מפורשות. אל תאספו "רק כי זה מעניין".
• Vendor management: אם אתם נעזרים במעבדי מידע (ספקי ענן, פלטפורמות פרסום וכדומה), ודאו שיש איתם הסכם עיבוד בכתב (סעיף 28(3)).
• Data security: קחו אמצעים טכניים וארגוניים לשמור על נתונים בטוחים — הצפנה, גישה מוגבלת, ניטור תקופתי.
• Breach response plan: הכינו תוכנית על מה לעשות אם קורה הפרה של נתונים. מה תעשו, את מי תודיעו, וכיצד תעשו זאת בתוך 72 שעות.
• Regular audits: בדוקו את מדיניות הפרטיות שלכם בתקופה. איך אתם בפועל מטפלים בנתונים? זה משתנה ל-מעת לעת.

הגנת פרטיות היא לא רק חובה משפטית — היא גם עניין של אמון. חברות שמטפלות בנתונים בשקיפות ובאחריות בונות מוניטין חזק יותר אצל משקיעים, לקוחות, ורגולטורים — ואלה שמזניחות פרטיות משלמות את המחיר, לעתים קרובות יותר ממה שחשבו.