האם ישראל באמת בדרך להתקרב למדיניות הפרטיות של אירופה

תזכיר הצעת חוק ממשלתית לתיקון חוק הגנת הפרטיות שפורסם בשבוע שעבר, מרמז על הצהרת כוונות ממשלתית לבצע רפורמה בתחום הגנת הפרטיות בישראל - לאחר שניים וחצי עשורים בלי שינויים מהותיים בחוק הקיים. בתזכיר נכתב כי הממשלה מתכוונת לקדם לצידו שני תיקונים נוספים במטרה להתאים את החוק הישראלי לסטנדרט הבינלאומי של חוקי הגנת הפרטיות האירופיים (ה-GDPR) ולהתפתחותיות הטכנולוגיות האחרונות. התהליך טרם הושלם, אך כבר מהתזכיר הראשון עולים סימנים שמדובר במקרה קלאסי של מעט מדי ומאוחר מדי.

התזכיר מציע לצמצם את חובת רישום מאגרי המידע ולהכילה רק על מאגרים הכוללים מידע רגיש על יותר מ-100 אלף אנשים. כיום, רישום מאגרים הוא הדרך המרכזית לפקח על פרטיות מידע בישראל והרשם הוא הגוף היחיד בעל סמכויות פיקוח ואכיפה בהקשר זה. לצד צמצום חובת הרישום, בכוונת הממשלה להשלים את התמונה עם שתי הצעות שיעסקו בפרטיות מידע גם מחוץ למסגרת של מאגרים: תיקון המקנה לרשות הגנת הפרטיות סמכויות פיקוח ואכיפה; ותיקון שיגדיר וירחיב את זכויות פרטיות המידע של אזרחים, ואת האחריות של בעל המידע ושל מי שיעשה בו שימוש.

התזכיר מבוסס על תזכיר מ-2012

תהליך התיקון מגיע לאחר פסק דין שנתן בית הדין הגבוה של האיחוד האירופי החודש וביטל את הסכם העברת המידע של אירופה עם ארה"ב. לסוכנויות הביון יש גישה לכל מידע שנשמר בשרתים בארה"ב, והדבר נוגד את תקנות הפרטיות של האיחוד. ישראל מוכרת על ידי האיחוד האירופי כמדינה בעלת הגנה מספקת על מידע אישי מאז 2011, אך בימים אלה נבחן מעמדה מחדש, ומכאן הגיע הצורך בעריכת התיקונים. עם זאת, נראה שהתהליך לא נוגע בנקודה של החרגת כלל שירותי הביטחון והשיטור מחוקי הפרטיות כיום, שהיא משמעותית עבור האיחוד ותשפיע על הבדיקה.

בנוסף, למרות שהוא כולל חידושים, בפועל התיקון המוצע מתבסס על תהליכים ישנים. ראשית, ההצעות באות לתקן את חוק הגנת הפרטיות הקיים, ואין כוונה לחוקק חוק חדש. שנית, התזכיר הנוכחי מבוסס כמעט במלואו על תזכיר דומה שהוגש כבר ב-2012, אך לא התגבש לכדי תיקון החוק עד היום. כך גם ההצעה להרחיב את סמכויות הרשות להגנת הפרטיות: היא מתבססת על תיקון לחוק הגנת הפרטיות שהוגש לשולחן הכנסת ועבר בקריאה ראשונה ב-2018, וזאת על בסיס תזכיר הצעה שנוסח ב-2010 - לפני עשור. בניגוד לתהליכים האיטיים הללו, הפעם נכתב כי הממשלה שמה לעצמה את משימת קידום התיקונים בעדיפות גבוהה. כנראה שהפעם הצורך במהירות בא על חשבון החידוש.

מבחינת החידושים שהוא מציג, תזכיר התיקון מציג הגדרות חדשות תוך השוואה מתמדת ללשון ה-GDPR. הוא כולל הבחנה חשובה בין "בעל מאגר המידע" ו"המחזיק" במידע בפועל, מתוך הכרה בכך שבעידן הדיגיטלי מי שאוסף את המידע ומי שמעבד אותו יכולים להיות שתי ישויות שונות. על אותו המשקל, התיקון גם מפריד בין איסוף מידע, עיבודו ושימוש בו, כאשר כיום יש התייחסות רק לאיסוף מידע ולפרסומו. החוק גם מאמץ הגדרה המבחינה בין "מידע אישי" לבין "מידע בעל רגישות מיוחדת" - זאת בהתאם להצעה של המכון הישראלי לדמוקרטיה, שמטרתה למנוע עיבוד מידע רגיש במיוחד, גם אם ניתן לאוספו.

לפי ד"ר תהילה אלטשולר שוורץ, חוקרת בכירה במכון הישראלי לדמוקרטיה, "זוהי הבחנה חשובה שתאפשר למנוע עיבודי מידע חודרניים מדי, למשל שימוש במידע כלכלי שנוגע להגדרת הרגלי צריכה בדרך פוגענית". לדבריה, שינוי משמעותי אחר הוא איסור חדש על ניהול והחזקת מאגר מידע אם המידע שבו "נתקבל נאסף או נוצר בניגוד לחוק הגנת הפרטיות או לכל דין אחר המסדיר עיבוד מידע". כך, היא אומרת, "אפשר יהיה למנוע מצב שבו מפלגה, למשל, קונה מידע רגיש מברוקר של מידע, שאין לדעת מהיכן השיג אותו".

הנושא המרכזי שנידון בתזכיר שהוגש הוא צמצום חובת רישום מאגרי מידע, אך נראה שדווקא כאן לא בטוח שיש שינוי מהותי. התזכיר אמנם מבקש לצמצם את חובת הרישום למאגרים על יותר מ-100 אלף אנשים, אך מרחיב אותה מבחינות אחרות. בעבר, מאגרים הכוללים שמות ופרטי קשר בלבד, לא נחשבו למאגר החייב ברישום. כעת, מאגר לא יחוייב ברישום רק אם אי אפשר ללמוד ממנו פרטים אישיים נוספים. עם זאת, כפי שכתב עוה"ד חיים רביה ממשרד פרל כהן באתר Law.co.il, "מידע נוסף אפשר ללמוד מכל נתון, כמובן. חיים רבינוביץ' הוא יהודי אשכנזי; אחמד סלימן הוא ערבי מוסלמי; מי שגר ברחוב הנוף 10 בסביון הוא, אעפס, אמיד". 

מעמותת "פרטיות ישראל" נמסר כי היא סבורה שזהו צעד בכיוון הנכון, המאזן בצורה טובה יותר בין זכות היסוד לפרטיות לבין חופש העיסוק והאינטרס הלאומי בעידוד החדשנות.

פרופ' מיכאל בירנהק, יו"ר הוועד המנהל שלה, אמר כי "תיקון החקיקה נדרש כבר שנים רבות. מוטב מאוחר מאשר בכלל לא. עם זאת, התיקון המוצע חלקי בלבד וחסרים עוד חלקים רבים כדי להביא את החוק לסטנדרט הראוי".

*** גילוי מלא: ד"ר תהילה שוורץ-אלטשולר השתתפה בחיבור הקוד האתי של "גלובס"