השלכות ביטול הסדר Safe Harbor על משטר הגנת הפרטיות בישראל

 ית בימים האחרונים פרסם משרד המשפטים כי להחלטת בית הדין לצדק של האיחוד האירופי על ביטול הסדר ה-‘Safe Harbor’ בנוגע להעברת מידע אישי מאירופה לארה"ב, השפעה על חברות ישראליות. לפי משרד המשפטים, לא ניתן בשלב זה להעביר מידע אישי מישראל לארגונים בארה"ב על בסיס אותו הסדר.

הסעיפים המרכזיים: 

העברת מידע אישי מחוץ למדינות האיחוד האירופי

על-פי העקרונות המפורטים בהוראות הדירקטיבה האירופאית להגנה על מידע אישי  – העברת מידע אישי אל מחוץ לגבולות מדינות האיחוד האירופי אסורה, אלא בהתקיים חריגים ספציפיים. בין התנאים העברת מידע לטריטוריה שהוכרזה על-ידי האיחוד האירופי כמספקת רמה הולמת (Adequate Level) של הגנה למידע אישי.

הסדר ה-Safe Harbor

בהחלטת נציבות האיחוד האירופי משנת 2000 נקבע, כי תאגידים הכלולים בהסדר ‘Safe Harbor’ מבטיחים רמה נאותה של הגנה על מידע אישי. לפי ההסדר אשר הושג בין משרד המסחר האמריקאי לבין הנציב האירופי –  ארגון אמריקאי המעוניין להיכלל בהסדר, מתחייב לקבל על עצמו עקרונות הגנת מידע אישי מחמירים הדומים לדרישות הדין האירופי ובכפוף להוראות הדירקטיבה האירופאית.

ההסדר איפשר לאלפי חברות אמריקאיות, החוסות תחתיו (ובכלל זה, חברות כגון גוגל, פייסבוק, אמזון ומייקרוסופט), להעביר מידע אישי אודות אזרחי האיחוד האירופי, מאירופה לארה"ב, לצורכי עיבוד, שמירה ואחסון.

החלטת בית הדין לצדק של האיחוד האירופי

בעקבות הגילויים שהופצו על-ידי אדוארד סנודן, באשר לשימוש שעושים שירותי המודיעין האמריקאים במידע, הגיש משתמש פייסבוק בעל אזרחות אוסטרית תלונה לנציבות הגנת המידע באירלנד. התלונה עסקה בכך שהחוק והפרקטיקה האמריקאים לא נותנים הגנה מספקת מפני מעקב של הרשויות האמריקאיות אחרי מידע המועבר לארה"ב, ובתוך כך, שרתים של פייסבוק הממוקמים בארה"ב מעבדים את המידע של משתמשים אירופאיים.

הנציבות דחתה את התלונה בהתבסס בעיקר על החלטת הנציבות האירופית הנ"ל, המאשרת את הסדר ה-Safe Harbor. לאור זאת, התלונה הגיעה לפתחו של בית הדין לצדק של האיחוד האירופי.

בתחילת החודש, פסק בית הדין האירופי, כי לפי הדין האמריקאי, התחייבות חברות אמריקאיות לעקרונות השימוש במידע לא חלה על הרשויות הציבוריות ורשויות המדינה בארה"ב. לפיכך – דרישות של רשויות אמריקאיות לחשיפת מידע לשם שמירה על ביטחון לאומי או אינטרס ציבורי המגיעות מטעם הרשויות, מחייבות את החברות האמריקאיות. זאת אפילו כשהן נוגדות את האמור בהסדר ה-Safe Harbor.

בית הדין קבע כי על אף הוראות הדירקטיבה האירופית, החוק האמריקאי מאפשר לרשויות שם לגשת לנתונים אישיים ולעבד אותם באופן שאינו תואם את המטרות שלשמן נאסף, ואינו מידתי. על-פי בית הדין, לא ניתן להגדיר את החוק בארה"ב כמידתי, שכן הוא מעניק סמכויות נרחבות מדי לרשויות, כגון הסמכות לאחסן ולשמור את כל המידע האישי של כל נושאי המידע שהמידע אודותם מועבר ממדינות האיחוד האירופי. כל זאת ללא הבחנה, מגבלה או חריג שנובעים ממטרת עיבוד המידע. כמו כן זה נעשה מבלי להעמיד קריטריונים לקביעת מגבלות שיחולו על גישת רשויות המדינה למידע ועל יכולתה לעשות בו שימושים נוספים. לגישת בית הדין, החקיקה המעניקה לרשויות המדינה הרשאה גורפת לגשת לתוכנים של מסרי תקשורת פוגעת באופן מהותי בזכות היסוד לפרטיות. עוד ציין בית הדין, כי החוק האמריקאי אינו מעמיד אמצעים למימוש זכות העיון במידע המוחזק עליו בארה"ב. כך פוגע הדין האמריקאי בזכות היסוד להגנה משפטית אפקטיבית על זכויותיו של הפרט.

לאור כל זאת, נקבע שהחלטת הנציבות האירופית, המאשרת את הסדר ה-Safe Harbor – בטלה. לפיכך, בית הדין הורה גם לנציבות הגנת המידע האירית לבחון את התלונה שהוגשה לה. בית הדין גם הורה לבדוק האם יש מקום להשעות את העברת המידע של משתמשי פייסבוק האירופאיים לארה"ב. זאת בעילה של חוסר אפשרות לערוב להגנה נאותה על מידע זה.

השלכות פסק הדין האירופי על משטר הגנת המידע בישראל

תקנות הגנת הפרטיות אוסרות על העברה של מידע ממאגר מידע בישראל אל מחוץ לגבולותיה. זאת אלא אם הדין הפנימי של המדינה הנעברת מבטיח רמת הגנה על המידע שאינה פחותה מהדין הישראלי, או מתקיים אחד החריגים המנויים בסעיפי המשנה של סעיף 2 לתקנות.

אחד מן החריגים קובע כי ניתן להעביר מידי אישי מישראל גם למדינה זרה אליה מתיר האיחוד האירופי להעביר מידע.

לאור החלטת הנציבות האירופית, הקובעת כי ארגונים המחוייבים לעקרונות הסדר ה-Safe Harbor מספקים הגנה ברמה הולמת למידע אישי – הייתה עמדת משרד המשפטים עד כה, כי חברות אלה נכנסות לחריג המאפשר העברת מידע אישי מישראל.

כעת לאור פסק הדין, העמדה היא שלא ניתן עוד להסתמך על חריג זה. בהינתן שכעת הסדר ה-Safe Harbor אינו בתוקף לפי הדין האירופי, וכל עוד לא נקבע הסדר תקף אחר או התקבלה החלטה רשמית אחרת, נדרשים  בעלי המאגרים המעוניינים להעביר מידע אישי מישראל לארגונים בארה"ב, לבחון האם הם יכולים לבסס את העברת המידע על אחד מן החריגים האחרים הקבועים בתקנות.

חזרה לכל העדכונים

משרדנו וצוות הפרטיות של המשרד עומד לרשותכם בנושא זה. לפרטים ויצירת קשר הקליקו כאן.