עם כניסתו המאסיבית של האינטרנט לחיינו ההגנה על פרטינו האישיים, על ליבת הזכות לפרטיות שלנו, אינה פשוטה עוד כבעבר. גם כשאנו מנסים להשיג שליטה בכך, למשל על ידי מחיקה ממאגרי מידע שונים של חברות עסקיות, אנו עלולים לגלות שהדרך אינה פשוטה כלל וכלל.
חוק מאגרי מידע
בישראל החוק העיקרי המסדיר את אופן אגירת המידע ודרכי הבטחתו הוא חוק הגנת הפרטיות, תשמ"א-1981 (להלן: חוק הגנת הפרטיות), הנקרא גם חוק מאגרי מידע.
בחוק זה פרק שלם העוסק בהגנה על פרטיות במאגרי מידע, ובחובות שעל המחזיקים במאגרים כאלו לעמוד על מנת למנוע פגיעה בפרטיותם של המשתמשים.
סעיף 7 לחוק הגנת הפרטיות מגדיר מהו מאגר מידע:
"אוסף נתוני מידע, המוחזק באמצעי מגנטי או אופטי והמיועד לעיבוד ממוחשב."
מהגדרה זו מוחרגים שני סוגים של מאגרים, כך שעל מאגרים כאלה לא חלות הוראות החוק, ואלו הם:
- מאגר לשימוש אישי ולא למטרות עסק.
- אוסף הכולל רק שם, דרכי התקשרות ומען.
חובת רישום מאגר מידע
אחד מההסדרים המרכזיים בנוגע למאגרי מידע בחוק הגנת הפרטיות נוגע לחובת רישומם של מאגרי מידע. חובת הרישום של מאגר חלה כאשר המאגר עונה על אחד מן התנאים הבאים:
- המאגר מכיל מידע על 10,000 איש או יותר.
- המאגר מכיל מידע רגיש.
- המידע על האנשים שבמאגר לא נמסר למחזיק המאגר על ידי אותם אנשים, מטעמם או בהסכמתם.
- מדובר במאגר של גוף ציבורי.
- מדובר במאגר שמשמש לצורך דיוור ישיר, כלומר לצורך פנייה אישית לאדם על בסיס אחד ממאפייניו.
על כל מאגר שעונה על אחד מחמשת התנאים הללו חלה חובת הרישום, ואסור להחזיק בו או להשתמש בו לולא רישום שכזה, או לפחות התחלתו של הליך רישום שכזה. העובר על כך עשוי למצוא את עצמו אשם בעבירה פלילית מכוח חוק הגנת הפרטיות.
עדכון מאגר מידע
עדכון מאגר מידע הוא הליך בו יכולים בעליו של מאגר המידע לעדכן את פרטי הרישום של המאגר. ניתן לשנות אך ורק את הפרטים הבאים:
- שם בעל המאגר.
- פרטי מנהל המאגר.
- מטרת המאגר.
- סוג המידע שבמאגר.
- הוספת מחזיק במאגר.
תקנות מאגרי מידע
כפי שכבר צוין לעיל חוק הגנת הפרטיות, שהוא החוק העיקרי המטפל במאגרי מידע בישראל, הוא חוק שנחקק כבר ב-1981, כלומר מדובר בחוק מיושן, בייחוד כשמדובר על תחום שעבר התפתחות טכנולוגית אדירה במהלך השנים. בניסיון לגשר על הפער הזה תוקנו ב2017 תקנות הגנת הפרטיות (אבטחת מידע).
מטרתם העיקרית של תקנות אלו היא מניעתו של שימוש לרעה במידע המוחזק במאגרים, בין אם על ידי גורמים ציבוריים ובין אם על ידי גורמים פרטיים, על ידי גורמים חיצונים או גורמים פנים אירגונים שונים.
את זאת התקנות עושות במספר דרכים, בין היתר באמצעות קביעת הכללים הבאים: חובת מינוי ממונה על אבטחת מידע, קביעת נוהל אבטחת מידע למקרה של דליפת פרטים אישיים מהמאגר, חובת דיווח ורישום שונות, והכל בהתאם לרמת האבטחה שנקבעה למאגר: נמוכה, בינונית או גבוהה.
אחריות נזיקית ופלילית בעקבות אי עמידה בתקנות
אי עמידה בתקנות אבטחת המידע, כמו אי עמידה בתנאי חוק הגנת הפרטיות, עשויה להיחשב לעבירה פלילית. עבירות כאלה, בתחום של אבטחת מידע, הן עבירות שבתי המשפט בישראל לוקח ברצינות רבה, בין השאר בשל העובדה שדליפת פרטים ממאגרי מידע הפכו להיות מכת מדינה.
חשוב להדגיש שעבירות כאלו הן פעמים רבות עבירות של אחריות קפידה, כלומר הם אינן דורשות שום סוג של כוונה ממבצע המעשה על מנת שהמעשה ייחשב לעבירה פלילית. כל שיש להוכיח על מנת להרשיע בעבירות כאלה הוא את היסוד העובדתי, כלומר את עצם הפעולה שמנוגדת לתקנות.
בנוסף לעניין שאי עמידה בתקנות אבטחת המידע עשויה להיות עבירה פלילית, העובר עליהם עשוי להיות גם בעל אחריות נזיקית לכל נזק שייגרם לאנשים שהמידע שלהם יודלף מהמאגר בשל פעולותיו הרשלניות.
מחיקת רישום מאגר מידע
כאמור לעיל, רוב רובם של מאגרי המידע חייבים ברישום אצל הרשם ברשות להגנת הפרטיות שבמשרד המשפטים. רישומו של מאגר איננו צעד סופי, ובהחלט אפשר במקרים מסוימים להביא למחיקתו של הרישום, ואלו הם המקרים:
- מאגר המידע לא הוקם כלל.
- מאגר המידע אינו קיים עוד. יש לבצע בדיקה מעמיקה שזהו אכן המצב, ושהמאגר אינו קיים אצל צד ג' כלשהו.
- המאגר רשום ברישום כפול בעקבות טעות.
- מאגר המידע אינו חייב ברישום על פי החוק.
- הועברה הבעלות על מאגר המידע או שנערך איחוד או מיזוג של מאגרי מידע.
- מכל סיבה אחרת המצדיקה את המחיקה, בליווי הסבר משפטי.
מכירת מאגר מידע לגוף שלישי
חוק הגנת הפרטיות תדגיש שפרטיו של אדם הם שלו, ולא ניתן לעשות בהם שימוש ללא הסכמתו. על כן, כאשר נמכר מאגר לצד ג' עליו לוודא שמדובר במאגר חוקי, שכן מרגע שרישום הבעלות המאגר עובר אליו, כך גם עוברת האחריות הפלילית והנזיקית עליו.
הוספת פרטים למאגר מידע ללא אישור
כאמור, חוק הגנת הפרטיות יוצא מנקודת הנחה שפרטיו האישיים של האדם הם אך ורק שלו, ועל כן אין יכול מאגר פרטי להוסיף את פרטיו של אדם למאגר ללא אישורו. כאשר הדבר קורה ניתן להגיש בקשה למחיקת הפרטים ממאגר המידע, כפי שנראה בסעיף הבא.
מחיקת פרטים ממאגר מידע
עד עתה עסקנו בעיקר בצד המשפטי המחייב את בעלי מאגרי המידע, אך בכל מאגר ישנו גם הצד השני – האנשים שפרטיהם הם אלו שממלאים את מאגר המידע.
ניתן להניח שכל אחד שקורא את המאמר הזה רשום בעשרות, אם לא מאות, מאגרי מידע שונים, חלקם ממשלתיים וחלקם נתונים בידיים פרטיות.
על אף העובדה הזאת אין חוק בישראל המחייב את בעלי מאגר המידע למחוק ממנו פרטים של המבקשים זאת, זאת בניגוד לחיוב למחוק אדם מרשימת הדיוור הישיר של מאגר, חובה הקיימת בחוק הישראלי.
התנגדות למחיקת פרטים ממאגר מידע
כאמור לעיל, לבעליו של מאגר מידע ישנה הזכות החוקית לסרב למחיקת פרטיו של המבקש מהמאגר, אך החוק מעמיד בכל זאת אמצעים אחרים לטובתו של המבקש.
כאשר בעליו של מאגר מידע מסרב לאפשר עיון במאגר או מחיקת פרטים ממנו ניתן לפנות בבקשה מיוחדת לבית המשפט על מנת שיחייב אותו לעשות את זה. הדבר נכון בין אם מדובר במאגר רשום ובין אם מדובר במאגר שאינו רשום.
עורך דין מאגרי מידע
כפי שראינו לאורכו של כל מאמר זה, החזקה במאגר מידע מחייבת ידע משפטי רב והתמצאות מעמיקה בכל החוקים והתקנות המסדירים החזקה כזאת. את כל זאת קשה מאוד לעשות ללא ליווי משפטי צמוד, על ידי עורך דין מאגרי מידע שיש לו את המומחיות והניסיון לכך.
היעזרות בסיוע משפטי לצורך כך היא חשובה במיוחד כאשר זוכרים את תוצאותיה של אי עמידה בכללים המשפטיים החלים על בעליו של מאגר מידע, כפי שכבר פירטנו לעיל.
עם זאת, שירותיו של עורך דין מאגרי מידע אינם משמשים רק את בעלי המאגר, אלא גם את אלו הנמצאים בצד השני – האנשים שפרטיהם הם אלו שממלאים את מאגר המידע. אותם אנשים יזדקקו לשירותיו כאשר ירצו לבצע מחיקה של פרטיהם מהמאגר, דבר שסיכויי ההצלחה שלו ללא סיוע משפטי הם קטנים.
לפרטים נוספים פנו לעו"ד יוני לוי, עו"ד מאגרי מידע.
