פרטיות נתפסת לעיתים כעניין משפטי, טכני או רחוק מחיי היומיום.
בפועל, היא מלווה כמעט כל פעולה שאנו מבצעים: רכישה באתר אינטרנט, הזמנת משלוח, שימוש באפליקציית ניווט, הצטרפות למועדון לקוחות, תשלום באמצעי דיגיטלי או פתיחת חשבון לשירות מקוון.
השאלה אינה רק אם יש לנו ״מה להסתיר״, אלא מי אוסף עלינו מידע, לאיזו מטרה, כמה זמן הוא נשמר, עם מי הוא משותף וכיצד נעשה בו שימוש.
לא מה נאסף, אלא לשם מה
מידע אישי אינו מתקיים בחלל ריק. כתובת, מספר טלפון, נתוני מיקום או פרטי רכישה יכולים להיות לגיטימיים לחלוטין כאשר הם נחוצים למתן שירות, אך לעורר קושי כאשר הם נשמרים מעבר לנדרש, מועברים לגורמים נוספים או משמשים למטרה שונה מזו שלשמה נאספו.
לקוח המצטרף למועדון לקוחות מצפה שהמידע שמסר ישמש לניהול חברותו ולהענקת ההטבות שהובטחו לו.
מי שמזמין מוצר באינטרנט מבין כי כתובת המשלוח ואמצעי התשלום נחוצים להשלמת העסקה.
משתמש באפליקציית ניווט יודע שנתוני המיקום דרושים להצגת מסלול בזמן אמת.
הקושי מתחיל כאשר אותו מידע נאסף בהיקף העולה על הנדרש, נשמר ללא הצדקה או מועבר לגורמים שהאדם לא צפה אותם. במקרים אלה, הפגיעה בפרטיות אינה נובעת מסוג המידע, אלא מן הפער בין השימוש בפועל לבין המטרה שלשמה נאסף.
חוק הגנת הפרטיות מחייב את מי שפונה לאדם לקבלת מידע אישי לשם החזקתו או שימוש בו במאגר מידע ליידע אותו אם חלה עליו חובה חוקית למסור את המידע או שמסירתו תלויה ברצונו, מהי המטרה שלשמה מבוקש המידע, למי יימסר המידע ומהן מטרות המסירה. חובת היידוע נועדה לאפשר לאדם להבין כיצד ייעשה שימוש במידע הנוגע אליו ולקבל החלטה מושכלת אם למסור אותו. ארגונים מקיימים אותה, בין היתר, באמצעות מדיניות פרטיות והודעות ייעודיות בעת האיסוף.
המידע נאסף למטרה אחת. מה קורה לו אחר כך
איסוף המידע הוא רק תחילתו של מחזור החיים שלו. מידע אישי שנאסף למטרה אחת עשוי להשתלב עם מקורות נוספים, להישמר לאורך זמן ולעמוד בבסיס החלטות המשפיעות על האדם, ובכלל זה התאמת שירותים או הצעות מסחריות, בניית פרופיל משתמש, ניהול סיכונים ותהליכי קבלת החלטות.
תקנות הגנת הפרטיות (אבטחת מידע) קובעות מסגרת לניהול המידע לאחר שנאסף. הן מטילות, בהתאם לרמת האבטחה החלה על המאגר, חובות הנוגעות לניהול הרשאות גישה, קביעת נהלים, ניהול סיכוני אבטחת מידע ובקרות, תיעוד פעולות, הכשרת עובדים והיערכות לאירועי אבטחת מידע. במילים אחרות, קבלת המידע כדין אינה סוף הדרך; נדרש גם ניהול אחראי שלו לאורך זמן.
מדוע זה עניין ניהולי ולא רק משפטי
עבור ארגונים, לשאלות אלה יש גם משמעות עסקית. מידע אישי שאינו ממופה, נשמר ללא מדיניות ברורה או מעובד למטרות שלא הוגדרו מראש עלול להוביל לא רק לפגיעה באמון הלקוחות, אלא גם לחשיפה רגולטורית, לאירועי אבטחת מידע ולעלויות תיקון גבוהות. בפועל, ארגונים רבים מגלים את הפערים במערך הפרטיות שלהם רק בעקבות ביקורת פנימית, אירוע אבטחת מידע או היערכות לרגולציה חדשה. לכן ניהול נכון של מידע אישי אינו רק סוגיה משפטית, אלא גם רכיב בממשל תאגידי, בניהול סיכונים ובהמשכיות עסקית.
תיקון 13: מרישום לאחריות
תיקון 13 מרחיב באופן ניכר את סמכויות הפיקוח והאכיפה של הרשות, ובכלל זה הטלת עיצומים כספיים, וקובע לראשונה חובה למנות ממונה על הגנת הפרטיות בגופים ובנסיבות שנקבעו בחוק.
המשמעות המעשית היא מעבר למודל המבוסס על אחריותיות. הדגש עובר לשאלה האם הארגון מכיר את המידע שברשותו, הגדיר מטרות ברורות לעיבודו, צמצם את היקפו לנדרש, מנהל את הסיכונים הכרוכים בו ומסוגל להוכיח את עמידתו בדרישות הדין הלכה למעשה.
פרטיות היא תנאי לאמון
הטענה ״אין לי מה להסתיר״ מחמיצה את מהות הזכות. היא אינה מגנה רק על מידע סודי או על מי שמבקש להסתיר דבר מה, אלא נועדה להבטיח שמידע אישי ייאסף, יוחזק וישמש באופן הוגן, מידתי ושקוף, למטרות מוגדרות ובהתאם להוראות הדין.
בעידן שבו מידע אישי הפך למשאב מרכזי בפיתוח שירותים ובניהול פעילות עסקית וציבורית, הגנה על פרטיות אינה מכשול לחדשנות אלא תנאי לאמון. היא מאפשרת לאדם לדעת מי מחזיק במידע עליו, מדוע נאסף, כיצד נעשה בו שימוש ומהם הגבולות החלים על מי שמעבד אותו, ובכך תורמת לחיזוק אמון הציבור בארגונים, בשירותים ציבוריים ובכלכלה הדיגיטלית.
DPO Team
הגנה על פרטיות אינה מסתכמת בעמידה בדרישות החוק. היא מחייבת ניהול מסודר של המידע האישי בארגון, הגדרה ברורה של תפקידים, סמכויות ואחריות, ותיעוד המאפשר להוכיח עמידה בדרישות. גישה זו מבוססת על עקרון האחריותיות, המהווה עיקרון מרכזי בדיני הגנת הפרטיות המודרניים ומקבל ביטוי משמעותי גם במסגרת תיקון 13 לחוק הגנת הפרטיות.
ארגונים רבים נמצאים כיום בתהליך היערכות לתיקון 13 ובבחינה מחודשת של מערך הפרטיות שלהם. DPO Team מלווה ארגונים במיפוי מידע אישי, ביצוע סקרי פערים, בניית תוכניות ציות, הכנת מדיניות ונהלים, מינוי וליווי ממונה על הגנת הפרטיות והטמעת דרישות הדין בפעילות השוטפת.