עידן חדש בהגנת הפרטיות: חוק מקיף ומודרני שמתאים לעולם הדיגיטלי

ברקע הכפלת אירועי אבטחת מידע בזירת הסייבר מתחילת המלחמה, ועדת החוקה סיימה (יום א', 14.7.24) להכין לקריאות שנייה ושלישית את הצעת חוק הגנת הפרטיות (תיקון מס' 14), התשפ"ב-2022, בתום 20 דיונים ממושכים ובהם מרתון דיונים שנערך היום. הצעת החוק עוסקת בשיפור יכולת הפיקוח והאכיפה של הרשות להגנת הפרטיות ובהגברתה, ביחס להוראות החוק הנוגעות לפרטיות במאגרי מידע. על-פי המוצע, הרשות תקבל סמכויות נוספות לפיקוח שוטף ולבירור מינהלי; ייקבע מנגנון אכיפה מינהלי של עיצומים כספיים, ויעוגנו בחוק, סמכויות חקירה פלילית שנתונות כיום לרשות מכוח הסמכה של השר לביטחון הפנים, לפי פקודת הפרוצדורה הפלילית. תיקון מוצע נוסף הוא התאמת חלק מהמונחים שבחוק וחלק מההסדרים בו להתפתחויות הטכנולוגיות, החברתיות והמשקיות שהתרחשו מאז נחקק החוק לפני ארבעים שנה. בנוסף מוצע צמצום של חובת הרישום על מאגרי מידע.החוק ייכנס לתוקפו שנה מיום פרסומו.

בהצעת החוק נקבע כי מאגר מידע הוא אוסף פרטי מידע המוחזק באמצעי דיגיטלי, למעט אוסף אישי שלא למטרות עסק, או אוסף הכולל רק שם, מען ודרכי התקשרות של עד 10,000 בני אדם.

בהצעת החוק צומצמה חובת הרישום של מאגרי המידע כך שמאגר יהיה חייב ברישום אם מטרתו העיקרית היא איסוף מידע אישי לשם מסירתו לאחר כעיסוק או בתמורה, לרבות שירותי דיוור ישיר, ויש במאגר יותר מ-10,000 בני אדם. כמו-כן, תחול חובת רישום אם בעל השליטה במאגר המידע הוא גוף ציבורי, למעט אם המאגר כולל מידע על עובדי הגוף הציבורי בלבד.

הרשות להגנת הפרטיות תגיש לוועדת החוקה דוח שנתי על פעילותה ובפרט על פעולות האכיפה והפיקוח של הרשות והמועצה להגנת הפרטיות תגיש את הערותיה לדוח. בנוסף, הוענקה לרשות הסמכות לקבוע כי התקיימה הפרה של הוראות החוק ולהורות על תיקונה. הוועדה קבעה כי במקרה זה, יוכל מי שנקבעה לגביו ההפרה, לפנות בערעור לבית המשפט. בנוסף, הוקנתה לרשות הסמכות לפנות לבית המשפט לבקשת צו הפסקת עיבוד של מידע במאגר מידע.

כדי לחזק את הזכות להגנת הפרטיות, הוסיפה הוועדה סעיף של פיצויים ללא הוכחת נזק: על-פי סעיף זה, בית המשפט יהיה רשאי לפסוק על בעל שליטה או מחזיק במאגר מידע, פיצויים שאינם תלויים בנזק, בסך של עד 10,000 שקל, בשל הפרה של הוראות החוק, ביחס להפרת זכויות כלפי אדם שמידע אישי על אודותיו נמצא במאגר מידע.

חלק עיקרי של הוראות החוק הוא ביטול המודל של קנס מינהלי הקבוע כיום בחוק והחלפתו לראשונה בעיצומים כספיים על הפרות לפי החוק. הוועדה קבעה עיצומים כספיים על הפרות תקנות אבטחת המידע והפרות תקנות הגנת הפרטיות ביחס למידע אישי שמקורו באיחוד האירופי (המכונות "תקנות הגישור"). סכומי העיצומים הותאמו לנסיבות ההפרה והמפר ונעים בין מספר של אלפי שקל בודדים ועד מאות אלפי שקל.

צילום: [צילום: דני שם-טוב/דוברות הכנסת]

הוועדה הקפידה להוסיף הוראות ובהן שיקולים שיאפשרו את הפחתת הסכומים על-פי נסיבות המפר ובפרט על-פי מחזור העסקות של המפרים, זאת מתוך שאיפה כי העיצום הכספי לא יביא למיטוט העסק של המפר אלא יוביל לכך שהמפר ישוב לציית להוראות לפי החוק והתקנות.

לצד העיצומים הכספיים נקבעו גם הוראות האכיפה הפלילית, המסמיכות את חוקרי הרשות לאכוף את סמכויות החקירה הפלילית בעצמם. בין הסמכויות שהוענקו לחוקרי הרשות גם סמכות חקירה, סמכות לתפוס כל חפץ שיש לו יסוד סביר להניח כי קשור לעבירה וסמכות לבקש מבית המשפט צו חיפוש ותפיסה או צו חדירה לחומר מחשב, ויהיו לו לשם כך הסמכויות הנתונות לשוטר.

בין העבירות שנקבעו בהצעת החוק:
* הפרעה לראש הרשות, חוקר או מפקח במילוי התפקיד - 6 חודשי מאסר;
* הטעיית ראש הרשות, מפקח או מומחה חיצוני - שנתיים מאסר;
* עיבוד מידע ממאגר מידע בלא הרשאה, מסירת פרטים לא נכונים בכוונה להטעות בפנייה לקבלת מידע, ומסירת מידע מגוף ציבורי שאסור להעבירו - שלוש שנות מאסר.

עוד נקבעה חובה חדשה של מינוי ממונה על הגנת הפרטיות. החובה הייתה עתידה להתווסף לחוק במסגרת התיקון הבא שמתכננת הממשלה בחוק, אך הוועדה מצאה לנכון להקדים את חקיקת ההוראה על-מנת לאזן את צמצום חובת הרישום של המאגרים, הקיימת כיום, עליה עמדה הוועדה.

בפרק העוסק בהוראות מיוחדות ביחס לגופים ביטחוניים, מוצע מודל חלופי וייחודי לפיקוח ובירור מינהלי פנימי בגופים הביטחוניים - כאשר פעולות הפיקוח יבוצעו על-ידי מפקח פרטיות שהוא עובד הגוף הביטחוני, בהתאם להנחיות ראש הרשות.

רשימת הגופים הביטחוניים בהצעת החוק כוללת בין היתר את המשטרה, צה"ל, השב"כ, המוסד, מערך הסייבר הלאומי, הרשות להגנת עדים, שב"ס, משרד הביטחון ויחידות הסמך שלו וכן המלמ"ב, יחידות הסמך של משרד רה"מ שעיקר פעילותן ביטחוני.

לדרישת היו"ר ח"כ שמחה רוטמן, למשטרה נקבע מודל שונה של פיקוח משולב-פיקוח פנימי עם אפשרות פיקוח של הרשות להגנת הפרטיות, שיחול בהתאם לסוג המידע, למעט מאגרים בדרגת סיווג "סודי" ומעלה לגביהם יחול רק הפיקוח הפנימי. עם זאת, החליטה הוועדה כי הוראה זו לגבי המשטרה תמשיך ותידחה בכניסתה לתוקף, בצו באישור ועדת החוקה, כל עוד המשטרה תוכיח כי פעולת המפקח הפנימי מספקת.

העיצומים הכספיים שנקבעו בחוק נועדו למנוע "הפרה יעילה" ולהעצים את ההגנה על הפרטיות בדומה לנהוג במדינות העולם, במיוחד באירופה על-פי כללי ה-GDPR. כשמדובר ב"מגה מאגרים" המכילים מידע רגיש במיוחד, על יותר ממיליון בני אדם, יכולים העיצומים להגיע גם עד 640,000 שקל אם יופרו הוראות מהותיות בתחום אבטחת המידע.

כדי שלא לייצר הרתעת יתר לעסקים קטנים וזעירים נקבעו מדרגות נמוכות יותר לעיצומים, וכן נקבע כי בכל מקרה סך העיצומים הכספיים המוטלים על עסק לא יעלה על אחוז מסוים ממחזור העסקים שלו בשנה. היו"ר רוטמן הוסיף להצעת החוק כלים משמעותיים לערעור על עיצומים כספיים לבית המשפט, וכן הוראות שיאפשרו לרשות להגנת הפרטיות להפחית את סכומי העיצומים בהתאם לנסיבות ולמחזור העסקים.

"היקף הנפגעים הפוטנציאלי, היקף מורשי הגישה, העובדה שלא כל המידע הוא ברמת סיווג 'סודי ביותר' וכי סוגי המידעים מעורבבים, מחייבת החרגה. פרטיות האדם לא יכולה להיחשף בצורה כה דרסטית. אנחנו עדיין מחכים לוועדת החקירה בעניין הרוגלות כשעד שהפרשה נחשפה בעיתונות אפילו המשטרה לא ידעה שהיא עושה משהו לא חוקי", אמר רוטמן.

בהצעת החוק נקבעו מגבלות על הפעלת סמכויות על-ידי מפקחים וחוקרים של הרשות להגנת הפרטיות ביחס למאגרי מידע שמפלגות הן בעלות השליטה בהם, בתקופת בחירות. הן בבחירות כלליות והן בבחירות ברשויות המקומיות. לפי ההסדר שנקבע, במקרים אלו תהיה הפעלת הסמכות כפופה לאישור יו"ר ועדת הבחירות המרכזית או יו"ר ועדת הבחירות האזורית לפי הוראות החוק.

בדיון הבא יתקיימו ההצבעות.