שלושים יום. לא "בקרוב", לא "ניצור איתכם קשר".
ארגון שקיבל בקשת עיון מנושא מידע מחויב להשיב בתוך 30 ימים. המועד הזה אינו חידוש של תיקון 13: הוא קבוע בתקנות הגנת הפרטיות (תנאים לעיון במידע), התשמ"א-1981, ומלווה את החוק מראשיתו. מה שתיקון 13 שינה הוא המחיר של הפרתו: פגיעה בזכות העיון או התיקון חשופה כיום לעיצום כספי.
הטעות הנפוצה ביותר: לייבא את מנגנון ההארכות הנדיב של ה-GDPR (חודש, ועוד חודשיים במקרים מורכבים) לדין הישראלי. בישראל המסגרת קשיחה בהרבה: 30 ימים, והארכה רק באישור הרשם, ב-15 ימים נוספים בלבד. ואם מסרבים לבקשה? הודעת סירוב מנומקת נמסרת בתוך 21 ימים, ולנושא המידע זכות ערעור לבית משפט השלום.
שלוש זכויות, שלושה מסלולים
הדין הישראלי מכיר בשלוש זכויות עיקריות של נושא המידע:
- זכות עיון (סעיף 13): נושא מידע רשאי לעיין במידע המוחזק עליו במאגר.
- זכות תיקון ומחיקה של מידע שגוי (סעיף 14): מידע שאינו נכון, שלם, ברור או מעודכן, ניתן לדרוש שיתוקן או יימחק.
- זכות הסרה מדיוור ישיר (סעיף 17ו): כל אדם רשאי לדרוש שמידע עליו יימחק ממאגר המשמש לדיוור ישיר.
חשוב לדעת גם מה לא ברשימה: זכות מחיקה כללית ("תמחקו את כל מה שיש עליי"), זכות ניידות וזכות התנגדות גורפת לעיבוד הן זכויות מה-GDPR האירופי, ואינן קבועות בחוק הישראלי. ארגון רשאי להציע יותר מהדין כמדיניות שירות, אבל חשוב להבחין בין חובה משפטית לבין מחווה.
ולכל זכות תנאים ספציפיים: גם בקשת תיקון או הסרה נבחנת לגופה, ומידע עשוי להישמר כשקיימת עילה לכך, כמו חובה חוקית או הליך משפטי.
ארבעה שלבים לניהול נכון
ניהול DSR אינו משימה טכנית. הוא מחייב תהליך מובנה.
קבלה ואימות. לוודא שהבקשה מגיעה מנושא המידע עצמו, או מנציג מוסמך, באימות מידתי לסוג הבקשה. לתעד: תאריך קבלה, ערוץ קבלה, פרטי מגיש הבקשה.
זיהוי וריכוז. למפות את כל המיקומים בארגון שבהם מוחזק מידע על הפונה. זה האתגר הגדול ביותר. ארגון בלי מיפוי מידע מסודר לא יודע אפילו איפה לחפש.
הכנת תגובה. בהתאם לסוג הבקשה ולזכות המדוברת. להכיל פירוט של המידע, הבסיס לעיבודו, ותגובה מנומקת לבקשה.
דיווח ותיעוד. שמירת כל ההתכתבות, תיעוד ההחלטות, ותזכורת לעדכוני מעקב.
אגב, תשובה לא מנומקת אינה עומדת בדרישות: סירוב מחייב הודעה מנומקת לפי התקנות. "אין לנו את המידע" ללא הסבר כיצד נבדק, אינה תשובה כשירה.
שלוש תשתיות שחייבים לבנות
ניהול DSR יעיל בלתי אפשרי בלי שלוש תשתיות:
מיפוי מידע. מסמך הגדרות המאגר (תקנה 2 לתקנות אבטחת מידע) הוא הבסיס; רשומת פעילויות עיבוד (RoPA) היא כלי עזר מועיל מעבר לדרישת הדין. אם לא יודעים היכן המידע, אי אפשר לענות על הבקשה בזמן.
ערוץ קבלה מוגדר. אחד, ברור, שמוביל לאדם אחד שאחראי. לא כתובת אימייל כללית ש"כולם" בודקים.
תבניות תגובה. לכל אחת מהזכויות, בשתיים עד שלוש גרסאות: היענות, סירוב מנומק (ולמה), ובמקרים מסוימים, עיכוב מוצדק.
שלושים יום. לא מספיק זמן לבנות תשתית. צריך לבנות אותה לפני שמגיעה הבקשה הראשונה.