קיבלתם פנייה מטעם הרשות להגנת הפרטיות? כך תגיבו

מאת: עורכי הדין משה כאהן ושמואל חדאד

פנייה ראשונית מטעם הרשות להגנת הפרטיות בדרך כלל מגיעה בדוא"ל מהרשות להגנת הפרטיות עצמה או ממשרד רואי חשבון[1],וכוללת דרישה לענות על שאלון.

חשוב לזכור כי קבלת פניה שכזו אינה אומרת בהכרח כי הרשות להגנת הפרטיות חושדת כי עברתם על חוק הגנת הפרטיות[2]או כי התרחש אירוע של אבטחת מידע בארגון שלכם.

ישנן שלוש סיבות מרכזיות שבגללן הרשות עלולה לפנות אליכם:

1. במסגרת ביקורת יזומה של מערך אכיפה-פיקוח רוחב של הרשות[3].
2. בעקבות אירוע של אבטחת מידע בארגון, שבו נעשה שימוש לא מורשה במידע, כגון מתקפת סייבר עוינת.
3. בעקבות תלונות אודות שימוש לא חוקי במידע על ידי הארגון.

אם הארגון שלכם נערך מראש לתרחיש שכזה[4], קרוב לוודאי שתכירו את המונחים שבהם נעשה שימוש בשאלוןוככל הנראהשתצליחו לענות על השאלון בנקל,לאחר השקעה של כמה שעות.

מאמר זה פונה בעיקר לאותם עסקים או חברות, אשר לא הכירו את כל החובות שלהם מכוח חוק הגנת הפרטיות,עד לקבלת אותה הפניה.

ובכן, אם בבעלותכם[5] מאגר ממוחשב המכיל מידע אישי אודות אנשים פרטיים, כגון: פרטי קשר, מידע דמוגרפי, מידע כלכלי, ניסיון מקצועי וכד', הרי שחלות עליכם מספר חובות מתוקף החוק.

לאחר קבלת הפניה הראשונית, מומלץ לפנות בהקדם האפשרי למשרד עורכי דין העוסק בתחום הגנת הפרטיות.עורכי הדיןיוכלו לברר יחד אתכם מה היקף החובות שלכם בהתאם לחוק, מה הפערים בין דרישות החוק לבין איך שהארגון שלכם מתנהל בפועל, ולסייע לכם לענות על השאלון.

דוגמאות לפערים בין דרישות החוק לבין האופן שבו מתנהל הארגון:

1. הארגון לא רשם את מאגרי המידע שבבעלותו אצל רשם מאגרי המידע, בניגודלחובתו של בעל מאגר מידע לרשום את המאגר אצל הרשות להגנת הפרטיות.
2. הארגון לא קיבל את הסכמת האנשים שהמידע שלהם נאגר במאגרי המידע שלו, "נושאי המידע" לגבי האופנים בהם הארגון משתמש במידע זה. זאת בניגודלחובתו של בעל מאגר מידע לקבל את הסכמתם של נושאי המידע אודות השימושים שהארגון עושה במידע שלהם, כדוגמת מחקר, מיון והשמת עובדים, ניהול מועדון לקוחות, דיוור של ניוזלטר וכו'.
3. הארגון לא דאג לאבטחת המידע[6]שלנושאי המידע, מפני שימוש בלתי מורשה במידע זה, או מזליגה בלתי רצונית של המידע לאנשים מחוץ לארגון.

בד בבד עם התהליך של מענה לשאלון, עורכי הדין יסייעו לכם בביצוע פעולות מתקנות בכדי לגשר על הפערים שהוצפו.ייתכן שעורכי הדין שלכם ימליצו לכם לשכור את שירותיו של מומחה אבטחת מידע חיצוני, אשר יוכל לסייע לארגון שלכם לעמוד בסטנדרט הנדרש לאבטחת מידע בהתאם לתקנות.

שיתוף פעולה עם הרשות להגנת הפרטיות היא הדרך הטובה ביותר לטיפול בפניה

חשוב ביותר לשתף פעולה עם הרשות להגנת הפרטיות, שכן בסמכותה לדרוש ידיעות ומסמכים בקשר לאופן שבו ארגונים מנהלים ומחזיקים במאגרי מידע. הרשות יכולה, למעשה, לאסור על הארגון להשתמש במאגרי המידע שלה, למשך תקופה או לצמיתות, או לתפוס חפצים שבאמצעותם מתבצע השימוש במאגרי המידע (מחשבים, מסמכים וכד') – פעולות עם השלכות קשות במיוחד לרוב הארגונים במשק, אשר תלויים במאגרי המידע שלהם לניהול עסקים.

כמו כן, בסמכותה של הרשות להגנת הפרטיות להטיל קנסות מנהליים[7], על גופים אשר אינם עומדים בדרישות החוק, ואף לנקוט נגדם בהליכים פליליים[8].

הניסיון שלנו מלמד, כי כאשר הגוף הנחקר משתף פעולה עם הרשות ואף מוכיח לרשות שהוא מבצע פעולות מתקנות על מנת לעמוד בדרישות החוק, הרשות נמנעת מנקיטה בסמכויות אכיפה קשות.

בהרבה מקרים, פעולה הביקורת של מערך אכיפה-פיקוח רוחב, תסתייםבדרישה מצד הרשות לארגון לביצוע פעולות מתקנות.

ראו בפניה של הרשות להגנת הפרטיות כהזדמנות לשיפור

עמידה בהוראות החוק לא רק שתסייע לכם להגן על הפרטיות של האנשים שהמידע שלהם מצוי במאגרים שלכם, אלא גם בהגנה על הנכסים האסטרטגיים שלכם בפני התקפות סייבר עוינות.

על אף שאין ערובה כי עמידה בהוראות החוק תוכל למנוע לחלוטין את התרחשותם של אירועי אבטחת מידע, ארגון אשר מקפיד על דרישות החוק להגנת הפרטיות ואבטחת מידע, בדרך כלליוכל להתמודד טוב יותר עם אירועי אבטחת מידע, ולמנוע התרחשות נזקים גדולים יותר לארגון ולציבור[9].

כמו כן, במקרה של אירוע  אבטחת מידע הרשות להגנת הפרטיות תתייחס יותר בחומרה כלפי ארגון אשר לא קיים את חובותיו, והסנקציות שהוא מוסמך להשית על אותו הארגון עלולות להיות חמורות יותר[10].

מומלץ לבצע בדיקה עצמית פעם בשנה[11], על מנת לוודא שהארגון שלכם עומד בדרישות החוק והתקנות, וכדי להתכונן לביקורת של הרשות להגנת הפרטיות.

משרדנו עוסק במתן ייעוץ משפטי בתחום הגנת הפרטיות. נשמח לעמוד לרשותכם על מנת לסייע לכם בהתמודדות עם פניה מטעם הרשות להגנת הפרטיות, או בשיפור הציות של הארגון שלכם לדרישות החוק.