כשכלבי השמירה של הפרטיות חושפים שיניים
בחודש האחרון חלה עליית מדרגה באכיפה של הפרות פרטיות. המגמה החלה בידיעה עם פרסום קנס בגובה כ-183 מיליון ליש"ט, שה-ICO, רגולטור הגנת הפרטיות הבריטי, מתכנן להטיל על חברת התעופה הבריטית, בריטיש איירווייז. למחרת פורסם כי אותו רגולטור מתכנן להטיל קנס בגובה כ-99 מיליון ליש"ט על רשת המלונות הבינלאומית Marriot. שני ההליכים הללו החלו לאחר שהחברות דיווחו לרגולטור על תקיפות שבוצעו על המערכות שלהן כנדרש לפי תקנות הגנת המידע האירופאיות החדשות, ה-GDPR.
מן העבר השני של הים, ה-Federal Trade Commission האמריקני אישר הסדר פשרה עם פייסבוק לפיו פייסבוק תישא בקנס בסך כ-5 מיליארד דולר בגין הפרות פרטיות שהתגלו במסגרת חקירת פרשת קיימברידג' אנליטיקה.
אירועים אלו מחדדים את המגמה שהחלה עם כניסת ה-GDPR לתוקף. ההשלכות על גוף עסקי שבא במגע עם מידע אישי:
רגולטורים בתחום הפרטיות בעולם מאוד תקיפים באכיפת הפרות של פרטיות. הכלים שניתנו להם במסגרת ה-GDPR לא נועדו להישאר בארגז הכלים. באירופה, הקנסות שהוטלו על ידי ה-ICO הבריטי ישברו את השיא המרשים שקבעה ה-CNIL, רשות הגנת הפרטיות הצרפתית, בקנס שהיא הטילה בחודש ינואר 2019 על גוגל בגובה 50 מיליון אירו. בארה"ב, הקנס שצפוי להיות מוטל על פייסבוק יהיה הקנס הגבוה ביותר שהוטל על ידי ה-FTC בגין הפרות פרטיות אי פעם, כאשר השיא הנוכחי עומד על 22.5 מיליון דולר, הוא הקנס שהוטל על גוגל בשנת 2012.
חברות גלובליות אינן צריכות לחשוש רק מהחשיפה הרגולטורית שצפויה להם באירופה, שכן גם ארה"ב, שעד כה לא נתפסה כמעצמת הגנת פרטיות גדולה, לא מהססת להפעיל כוחה כנגד פורעי חוקי הפרטיות. בהקשר זה חשוב להזכיר את החוק הגנת הפרטיות הקליפורני – (California Consumer Privacy Act) CCPA, שעומד להיכנס לתוקף ב-1 בינואר 2020. מדינות נוספות בארה"ב פועלות להגברת חקיקת הגנת הפרטיות בהן.
היות ואירועי סייבר הינם מחוץ לשליטתן של החברות מותקפות, חשוב להיערך אליהם מראש. אירועים אלו גוררים חקירה של רשות הגנת פרטיות במהלכה נבדקת התנהלות החברה טרם האירוע. מכאן שבכל רגע נתון, חברות צריכות להיות מסוגלות להראות שהן נוקטות באמצעים ראויים לשמירה על הפרטיות של האנשים שהן שומרות מידע עליהם.
למרות שתקנות ה-GDPR נתפסות כמוכוונות לענקיות האינטרנט, הפרסום והביג דאטה הגדולות, גם החברות המסחריות נמצאות תחת הרדאר של רשויות הגנת הפרטיות בעולם. חברות שמדווחות על אירועי סייבר, אינן נתפסות עוד כ"קורבנות" של תקיפות הסייבר, כי אם כחשודות המיידיות ביצירת התנאים שאפשרו את התקיפה ואת הנזק שנגרם בעטיין.
חברות הפועלות בישראל
לחברות הפועלות בישראל נזכיר גם את תהליכי פיקוח הרוחב בהם נוקטת רשות הגנת הפרטיות. אלו נועדו לאתר חברות שאינן עומדות בתקנות אבטחת המידע שנכנסו לתוקף במאי 2018. תהליכי ביקורת יזומים אלה מכבידים על גופים עסקיים, ככל שאלה לא ערוכים להם מראש ועשויים גם להוביל לסנקציות בגין הפרות.
כל אלה מחייבים גופים עסקיים לשים דגש על נושא הפרטיות ואבטחת המידע בפעילותם העסקית.