ארגונים שחושבים שהמידע נשאר בישראל
ישנם ארגונים שמנהלים רשימת לקוחות ב-Salesforce, מריצים קמפיינים ב-HubSpot, מאחסנים נתונים ב-AWS, ועדיין, כשמישהו שואל ”האם אתם מעבירים מידע לחו"ל?”, התשובה שמקבלים היא ”לא, הכול אצלנו”.
הכול לא אצלם. הכול בשרתים בארה"ב, אירלנד, גרמניה ועוד כמה מדינות שנציגי המכירות של Salesforce ו-AWS בוודאי יודעים לפרט.
זה לא ביקורת. זה עיוורון תמים שתיקון 13 לחוק הגנת הפרטיות הפך לבעיה חוקית.
הרקע: הסדר ותיק, לא חידוש של תיקון 13
ההסדר להעברת מידע לחו"ל מעוגן בתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001, שקדמו לתיקון 13 בעשרות שנים. התקנות מסדירות מה מותר, מה מותנה, ומה דורש מנגנון הגנה.
הרעיון המרכזי שעומד מאחורי ההסדרה פשוט: כשמידע עובר גבול, הגנת הפרטיות של הנושא לא אמורה להיעלם בדרך. הארגון הישראלי שמעביר את המידע אחראי לוודא שההגנה נשמרת גם בצד השני.
המפה: מי מורשה ומי מחייב הגנה נוספת
העברת מידע למדינות האזור הכלכלי האירופי (EEA), הכוללת את כל מדינות האיחוד האירופי, איסלנד, נורווגיה וליכטנשטיין, נהנית מחריג בתקנה 2, אבל גם העברה למדינות EEA טעונה התחייבות בכתב מהנמען לפי תקנה 3. אף העברה אל מחוץ לישראל אינה פטורה ממנגנון.
ומה עם מדינות שה-GDPR הכיר בהן כבעלות החלטת נאותות, כמו קנדה, יפן ודרום קוריאה? עצם הכללת מדינה ברשימת ה-Adequacy האירופית אינה פותרת את השאלה הישראלית: ההעברה צריכה לעמוד באחד מחריגי תקנה 2 ובדרישת תקנה 3. וגילוי הדעת הסופי של הרשות (אפריל 2026) מבהיר נקודה חשובה נוספת: לצורך חריג ההתחייבות החוזית שבתקנה 2(4), לא די ב-DPA סטנדרטי; נדרשות התאמות ספציפיות. יש לבחון את תנאי ההעברה הקונקרטית.
המורכבות מתחילה עם שאר העולם. לארצות הברית, לדוגמה, אין החלטת נאותות כוללת, אם כי לאחר ביטול Privacy Shield נכנס לתוקף EU-US Data Privacy Framework (2023), המקנה נאותות חלקית לגופים אמריקאים מוסמכים. ועדיין, AWS, Google Cloud ו-Microsoft Azure מרכזות חלק ניכר מהשרתים שלהן שם.
המנגנון הישראלי: תקנה 1 אוסרת, תקנה 2 מתירה, תקנה 3 מחייבת
המבנה של תקנות 2001: הכלל קבוע בתקנה 1, איסור העברת מידע ממאגר בישראל אל מחוץ לגבולות המדינה, אלא אם דין המדינה הקולטת מבטיח רמת הגנה שאינה פחותה מזו שבדין הישראלי. החריגים המתירים קבועים בתקנה 2, ובהם הסכמת נושא המידע, העברה למדינות EEA, וחריג ההתחייבות החוזית שבתקנה 2(4). ובכל מקרה, תקנה 3 דורשת התחייבות בכתב מהנמען להבטחת הפרטיות ולאי-העברת המידע הלאה. זהו המנגנון הישראלי, לא ה-SCC או ה-BCR של ה-GDPR.
ומה עם ה-SCC שהספקים מציגים? בישראל הדרישה החוזית היא התחייבות בכתב העונה על תקנה 3; SCC הוא מנגנון GDPR. העובדה שספק חתם על SCC אינה פוטרת מבדיקת העמידה בדרישות התקנות הישראליות.
ותקנות 2023? הכיוון ההפוך
לצד משטר ההעברות החוצה קיימות תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי), התשפ"ג-2023, בתוקף מאוגוסט 2023. הן עוסקות בכיוון ההפוך: מידע שמגיע לישראל מה-EEA. ארגון ישראלי שמקבל מידע כזה חייב כלפיו הגנות ברמה אירופית: יידוע מוגבר, מגבלות שמירה ומחיקה, זכויות עיון ותיקון מורחבות, מגבלות על העברה הלאה, וסימון והפרדה של המידע האירופי במאגרים. התקנות האלה הן חלק ממה שמחזיק את מעמד ה-Adequacy של ישראל מול האיחוד האירופי (שאושרר מחדש בינואר 2024), והפרתן חשופה לעיצומים לפי תיקון 13. אם אתם נותני שירות לחברות אירופיות, זה חלק מהחבילה.
הבדיקה שחייבים לעשות: ספקים ותנאי שירות
עסק ישראלי שמשתמש ב-AWS, Google Cloud, Azure, Salesforce, HubSpot, Mailchimp ועוד עשרות שירותי ענן נפוצים מעביר מידע לחו"ל. לא כן? כן.
שלוש שאלות שכל ארגון צריך לענות עליהן: ראשית, לאן ספציפית מועבר המידע שלנו (אילו מדינות, אילו מרכזי נתונים)? שנית, האם קיימת התחייבות בכתב מן הנמען כנדרש בתקנה 3? שלישית, האם ההתחייבות חלה על כל סוגי המידע שאנחנו מעבירים, כולל מידע בעל רגישות מיוחדת?
רוב הספקים הגדולים כבר מציגים SCC בתנאי השירות שלהם, אבל SCC הוא מנגנון GDPR; יש לוודא התחייבות בכתב העונה על דרישות תקנה 3. ויש הבדל בין ”קיים בתנאים” לבין ”חתום וחל על הפעילות שלנו”.
אגב, הרשות להגנת הפרטיות צפויה להגביר פיקוח על העברות מידע לחו"ל ככל שתיקון 13 יתייצב. ארגונים שייתפסו ללא תיעוד נאות לא יוכלו לומר ”לא ידענו”. הם יוכלו רק לשאול כמה עולה הסדר.
המסקנה שצריכה לצאת מכאן
כשהגנת הפרטיות הגרמנית נכנסה לאכיפה רצינית בתחילת שנות ה-2010, עסקים אירופיים עברו בדיוק את אותו תהליך: גילו פתאום שהספקים שלהם יושבים בארצות הברית, שהחוזים שלהם לא מסודרים, ושהם לא יודעים לאן בדיוק מועבר המידע.
ישראל, 2026. אותה נקודה בזמן. שאלות אחרות, אותו חוסר מוכנות.
הפעם לפחות יש מי שמראש שואל את השאלות הנכונות.