סנקציות של מיליונים ופיצויים ללא הוכחת נזק: מה כולל התיקון לחוק הגנת הפרטיות שצפוי לעבור מחר בכנסת?

כאשר ברקע שורה של מתקפות סייבר על ישראל ולאחר כ-20 דיונים שנפרשו על פני למעלה משנתיים, מליאת הכנסת צפויה להצביע מחר בעד תיקון חוק שישנה באופן משמעותי את חוק הגנת הפרטיות, בפרט בכל הנוגע לסמכויות הרגולטור במקרים של הפרות.

● ניתוח | בשורה לעסקים קטנים או פגיעה בענף? השינויים בחוק תביעות ייצוגיות עולים שלב ומעוררים סערה בשוק
● שלושה פסקי דין בשבוע | המגרש שניתן לבת הפך לנחלה מרובת זכויות, וההורים יצאו למאבק משפטי

החוק, שנפרס על פני עשרות רבות של עמודים ועבר שינויים שונים במהלך הליך החקיקה, הוא התיקון הדרמטי ביותר שנעשה בתחום ב-40 השנים האחרונות, וזאת אף שמדובר בתחום טכנולוגי שהשינויים שחלו בו בשנים הללו מרחיקי לכת.

החוק כולל בעיקר שינוי של מינוחים והגדרות, הפחתת רגולציה על רישום של מאגרי מידע, בהתאם למגמה העולמית בעניין, והגברת כלים אכיפתיים כלפי גופים מפירים.

המוטיבציות המרכזיות לתיקון היו שתיים: האחת - ההכרה האירופית בישראל כאחת מ-15 המדינות שנהנות ממעמד של "תאימות", קרי נחשבת כזו שרמות הגנת הפרטיות שלה עומדות בתקינה האירופית, הכרה שאושררה בינואר האחרון. השנייה - העלייה בתקיפות הסייבר על ישראל. בישראל קיימות תקנות אבטחת מידע שהן למעשה רגולציה מודרנית ומפורטת משנת 2018, אך אין עליהן שום סנקציה. כלומר: ניתן לא לקיים את הוראות החוק ולעשות שימוש פסול במידע, ולא יקרה לך כלום.

החוק, הסבירו ברשות להגנת הפרטיות, לא סוגר את כל הפער החקיקתי הקיים, וגם לא מספיק כדי לעמוד ברגולציה האירופית במלואה, אך הוא כן מסמן אבן-דרך משמעותית. כדי שזה יקרה - תידרש חקיקה משלימה, שתכלול בין היתר הגנה על "הזכות להישכח". חקיקה כזו כבר נמצאת בקנה.

צווי סגירה וקנסות של מיליוני שקלים

מה כן ישנה החוק החדש? בראש ובראשונה בכל הנוגע ל"תמחור" של הפרטיות, או במילים אחרות - סנקציות. החוק כולל איסור גורף על כל מידע שנאסף באופן לא חוקי, וכן שורה של הוראות על שמירתו. במקרה של הפרת הדין, הרשות להגנת הפרטיות יכולה להטיל עיצומים כספיים בסכומים שעשויים להגיע גם למיליוני שקלים על הפרות של אבטחת מידע, עם החרגה מסוימת לעסקים קטנים.

בנוסף, ניתנת לרשות האפשרות להגיש לבית המשפט בקשה לצווים לסגירת מאגרי מידע במקרים של הפרות, בשים לב לכך שלרשות להגנת הפרטיות יש סמכות על כל הגופים במשק, ובהיבט הזה כולם חשופים להליכים. כן כולל החוק עבירות פליליות על שימוש לא חוקי במידע, גם לצרכים מסחריים.

במישור האזרחי נקבעו פיצויים ללא הוכחת נזק בגין פגיעה בפרטיות, וכן בוטלה תקופת ההתיישנות המקוצרת שחלה קודם לכן ועמדה על שנתיים בלבד. כעת תביעות מכוח החוק יוכרו גם בתוך 7 שנים, בדומה לנוהג במרבית ענפי המשפט האזרחי.

דבר נוסף שהחוק כולל הוא חובה למנות ממונה בכל ארגון שיהיה אחראי על פרטיות ואבטחת מידע. ברשות להגנת הפרטיות הסבירו כי זה הסטנדרט המקובל בעולם, והוא יחול על כל מי שמחזיקים במידע בהיקפים נרחבים, כמו בנקים, חברות ביטוח ובתי חולים.

הממונה יידרש להבין בפרטיות, טכנולוגיה ואבטחת מידע, והתקווה היא שהדבר יקדם את ההגנות במקומות העבודה. הנטל הזה מוטל על החברות והגופים עצמם, בהתאם לגדלם. בגופים הביטחוניים יחול הסדר אחר שכולל מפקח שממונה בתיאום עם הרשות להגנת הפרטיות.