"ישראל נמצאת על קו פרשת המים בהגנת הפרטיות"

"מחר (ג') נכנסות לתוקפן תקנות הגנת הפרטיות (אבטחת מידע) בישראל. בעוד כשבועיים נכנסת לתוקף ה-GDPR, רגולציית הפרטיות האירופית, שמשפיעה על כל העולם. אנחנו נמצאים על קו פרשת המים, בתום שנה של הכנות קדחתניות, דיונים רבים על פרטיות, וכעת – מתחילה השנה הראשונה של ההטמעה בשטח", כך אמרה עו"ד לימור שמרלינג-מגזניק, מנהלת מחלקת קשרי ציבור וממשל, הרשות להגנת הפרטיות, משרד המשפטים.

עו"ד שמרלינג-מגזניק דיברה בפתח כנס InfoSec18. הכנס, בהפקת אנשים ומחשבים, מתקיים זו הפעם ה-19. כנס אבטחת המידע והגנת הסייבר נערך באולם אירועים LAGO בראשון לציון בהשתתפות מאות מקצועני אבטחת מידע, והשנה דן בנושא הגנת הפרטיות. את InfoSec18 הנחו יהודה קונפורטס, עורך ראשי אנשים ומחשבים ואופיר זילביגר, שותף, מנהל מרכז הגנת הסייבר, BDO ישראל.

צילום ועריכת וידיאו: ליטל רובינשטיין

תשתית הגנת הפרטיות בישראל, אמרה עו"ד שמרלינג-מגזניק, "כוללת, ראשית, את זכות יסוד בחוק יסוד כבוד האדם וחירותו, מהחוקים המובילים בחקיקת היסוד שלנו. שנית, חוק הגנת הפרטיות, הקובע שהשימוש במידע אישי של אנשים יהיה  פגיעה בפרטיותם. יש למנוע פגיעה זו ולהשתמש במידע אישי אודות אדם רק בהסכמתו, לאחר שקיבל פירוט על השימושים המבוקשים. זכותנו לעיין במידע על עצמנו וחובה לעשות אבטחת מידע, כדי להגן על מידע אישי של אנשים שארגון מנהל".

"כדי להבהיר מה נדרש בתחום זה ממי שמנהל מידע", אמרה עו"ד שמרלינג-מגזניק, "איילת שקד, שרת המשפטים, התקינה את תקנות אבטחת המידע. אלה מפרטות הוראה כללית שקבועה בחוק, למשל החובה לעשות אבטחת מידע. עוד ישנן הנחיות שוק של הרשות להגנת הפרטיות. למשל, כיצד יש להגן על הפרטיות בעת שימוש במצלמות מעקב במרחב הציבורי ובעבודה. עוד התייחסות לתחום באה מפסיקה תקדימית של בתי המשפט בישראל. הרשות להגנת הפרטיות, היא משטרת הפרטיות של ישראל, ומהווה חלק ממערך הרגולציה והאכיפה".

לצמצם את הסיכונים הגוברים לפגיעה בפרטיות

כבר היום, ציינה עו"ד שמרלינג-מגזניק, "יש בישראל מערכת נרחבת של הגנה על הפרטיות, שהוכרה על ידי האיחוד האירופי ב-2011, כתואמת לרמת הגנת הפרטיות באיחוד. חלקים ניכרים מה-GDPR, שאינם חדשים – קיימים בישראל, וחלק מחידושי ה-GDPR נכנסים בתקנות אבטחת המידע ובהנחיות הרשות. בנוסף, נעשית עבודת בחינה במשרד המשפטים של תיקוני חקיקה נוספים שיקדמו את ישראל לתאימות ל-GDPR".

הרשות להגנת הפרטיות, ציינה, "היא הרגולטור של זכות היסוד לפרטיות ולהגנת מידע אישי בישראל. הרשות מופקדת על הגנת המידע האישי במאגרי מידע דיגיטליים מכוח חוק הגנת הפרטיות. אנו מוסמכים לבצע אכיפה מנהלית, פלילית ואסדרה רוחבית – על כלל הגופים בישראל – פרטיים, עסקיים וציבוריים, המחזיקים או מעבדים מידע אישי דיגיטלי. אנחנו מתווים את מדיניות ההגנה על המידע האישי בישראל, ומפרסמים הנחיות שוק לתחום, לצד הדרכות. הרשות נועדה לקדם את שליטת הפרט במידע אישי על אודותיו, ולצמצם את הסיכונים הגוברים לפגיעה בפרטיות בעת שמירת מידע דיגיטלי".

לרשות, הסבירה, "יש סמכות לדרוש מידע דיגיטלי, מסמכים, לשאול שאלות בנוגע לפעילות העסקית – מכל גורם שיש לו קשר לניהול מידע אישי של אנשים. יש סמכות להיכנס למשרדים, או לבית פרטי עם צו שופט ולבדוק את השימוש במידע. לאחר שגיבשנו עמדה האם דרישות הגנת הפרטיות התקיימו, או הופרו – אנחנו מוסמכים להטיל סנקציות, מקנסות ועד סגירה של הפעילות".

מהן תקנות אבטחת המידע?

"תקנות הגנת הפרטיות (אבטחת מידע) של שרת המשפטים, וביוזמת הרשות שהיא גם הגוף המפקח על יישומן", הסבירה עו"ד שמרלינג-מגזניק, "קובעות מנגנונים ארגוניים ודרישות מהותיות, שמטרתם הפיכת אבטחת המידע לחלק משגרת ניהול הארגון. התקנות גמישות – וגם קונקרטיות וספציפיות. הן אינן המלצות שניתן לבחור אם לאמץ או לא – הן חלק מהחקיקה המחייבת בישראל. התקנות אושרו במאי 2017, וייכנסו לתוקף מחייב מחר. בין היתר, הן דורשות חובת דיווח על אירועי אבטחה חמורים לרשות להגנת הפרטיות וגם למי שזכותו לפרטיות נפגעה מהאירוע".

התקנות, הסבירה, "מבחינות בין ארבעה סוגים של מאגרי מידע: מאגר מידע המנוהל על ידי יחיד, מאגרים שחלה עליהם רמת האבטחה הבסיסית, הבינונית והגבוהה. רמת האבטחה נקבעת בהתאם לסקירת איומים שעל הארגון לבצע, בהתבסס על ארבעה מדדים: זהות הארגון, גודל המאגר, רגישות המידע ומספר מורשי הגישה. בשנה הראשונה לתקנות, נפעל לקידום ההטמעה – ולא נתחיל מיד באכיפה נוקשה".

"בישראל יש חוקי הגנת פרטיות קרובים מאד לחוקים האירופים", סיכמה עו"ד שמרלינג-מגזניק. "ישראל שואפת להמשיך להיות בסטנדרט הגבוה של הגנת הפרטיות בעולם. יש בישראל רשות הגנת פרטיות פעילה, בעלת סמכויות נרחבות לאכוף את החוק. הגנת הפרטיות היא לא רק אבטחת מידע – היא שילוב של אבטחת מידע וכללי אסור ומותר בשימוש במידע של אנשים. תקנות אבטחת המידע, שהן חידוש ברמה עולמית, יהיו בתוקף החל ממחר".