רשות להגנת מידע אישי – למה ואיך?

רשות להגנת מידע אישי היא הגורם המרכזי המאסדר את תחום הגנת הפרטיות. על מנת למלא את תפקידה באופן אפקטיבי נדרשים: עצמאות תפקודית, הבנה טכנולוגית וכלכלית עמוקה ומשאבים הולמים.

shutterstock

במדינת ישראל הזכות לפרטיות היא זכות חוקתית. היא מעוגנת בסעיף 7 לחוק יסוד: כבוד האדם וחירותו, והיא באה לידי ביטוי בחוקים רבים, בפרט בחוק הגנת הפרטיות, התשמ"א-1981 (להלן: חוק הגנת הפרטיות). בעולם המודרני חלק מהותי מהזכות לפרטיות הוא הזכות לפרטיות במידע אישי, או כמו שהיא מוכרת ברחבי העולם – הגנה על מידע אישי (data protection).

מומחי פרטיות נוהגים לחלק את הזכות לפרטיות לזכות ה"קלסית" – זו שמגנה על גופו ועל מרחבו הפרטי של אדם;כגון זו הנדונה בבג"ץ 249/82‏ ‎ ‎משה ועקנין‎ ‎נ' בית הדין הצבאי לערעורים, פ''ד לז(2) 393. ולזכות לפרטיות המידע– זו שמגנה עליו מפני שימוש במידע אישי עליו. ככלל הפרטיות הקלסית תדון בפרטיותו של אדם יחיד במקרה מסוים ובהיבטים פיזיים, ואילו פרטיות המידע תידון בהקשרים של מידע רחב בנוגע לאנשים רבים ובעניינים וירטואליים. העלייה בחשיבותה של פרטיות המידע מקורה בהתפתחותן של טכנולוגיות המידע. באמצעות מגוון של אמצעים טכנולוגיים אפשר לאסוף מידע רב על אדם, ומכיוון שאמצעים אלה נפוצים מאוד, נדירים האנשים שאין עליהם מידע במערכת ממוחשבת כלשהי.

בעקבות הטכנולוגיות החדשות והעלייה בהיקף השימוש בהן, בארבעים השנים האחרונות הקימו כל המדינות הדמוקרטיות רשויות להגנה על מידע אישי. רשויות אלה אמורות להגן, באמצעי אסדרה (רגולציה), על הזכות לפרטיות במידע אישי. במאמר זה אבהיר מדוע רשות עצמאית להגנת מידע אישי אכן נחוצה במדינה דמוקרטית, אתאר את אופן פעולתה ואפרט את התנאים הנדרשים להקמתה ולתפקודה המוצלח.

מדוע במדינה דמוקרטית דרושה רשות להגנת מידע אישי?

כיום יותר ממחצית אוכלוסיית העולם מחוברת בקביעות לשירותים מקוונים.ראו Measuring the Information Society Report –Executive Summary 2 (ITU, 2018) כמות היישומונים (אפליקציות) המוצעים היום במערכות ההפעלה לטלפונים חכמים היא יותר משני מיליון. כל יישומון כזה אוסף מטבעו מידע אישי. אנשים משתמשים במחשבים, לרבות טלפונים חכמים, ברוב שעות היממה. שירותי הממשלה והמגזר העסקי מבוססים היום כמעט לחלוטין על שימוש אינטנסיבי ביישומי מידע ממוחשבים; רובם אוספים ומעבדים מידע אישי.

רוב האנשים אינם מבינים לעומק את אופן פעולתן של מערכות המידע, ואינם מודעים להיקף העצום של המידע שנאגר עליהם בשלל המערכות הטכנולוגיות שבהן הם משתמשים מדי יום ביומו. בניגוד לימים עברו, אז דובר על "מאגרי מידע",למרבה הצער זה עדיין המינוח בחוק הגנת הפרטיות (ראו ההגדרה של "מאגר מידע" בסעיף 3 לחוק). היום אגירת המידע היא השלב הראשון בתהליכי מורכבים של עיבוד מידע שבסופו של דבר עשויים לגזור את גורלו של אדם – בנוגע להחלטה מינהלית לקבל רישיון פעולה, בשיקול דעת רפואי בנוגע לטיפול שיקבל, בניתוח כלכלי במסגרת תהליך בקשת הלוואה או בהמלצה על נתיב הנסיעה שיקבל מיישום הניווט שהתקין בטלפון החכם שלו. כל ההחלטות הללו מתקבלות היום על בסיס ניתוח אוטומטי של מידע, שברובו הוא מידע אישי.

המידע האישי הנאסף במערכות המידע הוא מידע מגוון, שקשור למכלול חייו של אדם: מידע רפואי וכלכלי נאגר היום לא רק במערכות ייעודיות של בנקים ושירותי בריאות, אלא גם ביישומונים של כושר וקניות; מידע על אורחות חייו של אדם כגון היכן הוא נמצא, מיהם חבריו, מהן דעותיו הפוליטיות נמצאים ברשתות חברתיות, אבל גם ביישומונים אחרים. על מאווייו ועל מחשבותיו של אדם אפשר להסיק מהרגלי השימוש שלו ביישום מסוים, וכן מבקשות מידע שהוא מגיש למנוע איתור מידע דוגמת google.

מכלול מידע זה על אדם הוא בראש ובראשונה מידע פרטי, שעליו מגינה הזכות החוקתית לפרטיות. מטרתה היסודית של זכות זו להגן על האוטונומיה של האדם לקבל החלטות באופן עצמאי, בלי עיניה החודרות של החברה ולטובתו האישית בלבד. אבל בעולם שמבוסס על כלכלת המידע, למידע האישי יש גם ערך כלכלי עצום, בייחוד כשהוא נוגע לאנשים רבים. גוף שאוגר אותו ורשאי להשתמש בו יכול להשפיע על תהליכי קבלת החלטות של אדם יחיד או של קבוצה. לכאורה מדובר בעיקר בשיווק של מוצרים ושירותים, אבל כפי שראינו לאחרונה בפרשת ההשפעה הרוסית על הבחירות בארצות הברית – וככל הנראה גם במקומות אחרים – באמצעות שימוש מושכל במידע אישי אפשר להשפיע גם על דעותיו הפוליטיות של אדם. התוצאה היא הנעת היחיד לבצע מעשים שמשרתים את מטרתו של בעל זכות השימוש במידע, ולא בהכרח את טובתו שלו.

המידע האישי מעניין מאוד גורמי ממשלה – החל בשימושים לעיצוב מדיניות ציבורית כללית ויישומה, וכלה במשימות של אכיפת חוק התרות אחר אדם ספציפי. המידע מעניין כמובן גם גורמים פרטיים, בעיקר למטרות שיווק ופיתוח שירותים חדשניים, אך הוא חשוב גם לגופי מחקר רפואי לצורך פיתוח תרופות או למחקרים אקדמיים. מידע אישי מעניין גם אנשים פרטיים לפעילות שאינה מסחרית בהכרח, אלא לצורך קבלת החלטות אישיות בנושאים רבים.

באיסוף של מידע אישי ושימוש בו יש תועלות מרחיקות לכת. קשה לדמיין את חיינו ללא מגוון יישומי המידע החדשניים – שרובם מבוססים על עיבוד מידע אישי – שהתפתחו מאז הותר השימוש באינטרנט לכלל הציבור. אך בצד תועלות אלו, קיימות סכנות במגוון של ממדים, ולאדם הפשוט קשה להבין אותן ולהתמודד עם רובן. האדם המשתמש בשירות רואה בדרך כלל רק את התועלת, שהיא מיידית ונראית לעין, אבל עיקר הסכנה נובע מאיסוף מידע אישי רב על בני אדם רבים, ולא בהכרח על אדם יחיד כזה או אחר. על כן התחום של הגנת המידע האישי מחייב אסדרה, שתוודא כי התועלת החברתית מהשימוש בו תצמח יחד עם נטרול והפחתה של הנזקים האפשריים מאיסופו ומהשימוש בו בידי גורמי מדינה ותאגידים.

במדינות אירופה, ובמידה רבה גם בישראל, פתרון האסדרה הוא בדמות רשות להגנת מידע אישי (DPA – Data Protection Authority), שאחראית על מכלול היבטי האסדרה בנושא, ואילו ארצות הברית בחרה לבזר את הטיפול בסוגיות של פרטיות במידע בין הרשויות העוסקות בנושא (הגנת צרכן, רפואה, ממשל וכדומה). בפועל גם בישראל וגם באירופה גופי ממשל אחדים עוסקים בהגנה על הפרטיות, אבל רשות מרכזית אחת אחראית על הנושא.

מאמר זה מבקש לשרטט את מיתאר הפעולה הנכון לפעולתה של רשות כזאת.

מה נדרש לרשות להגנת מידע אישי?

שלושה יסודות עומדים בבסיסה של רשות יעילה להגנת מידע אישי: עצמאות תפקודית; הבנה טכנולוגית וכלכלית עמוקה; ומשאבים הולמים. בלעדי אחד מאלה תתקשה רשות להגנת מידע למלא את תפקידה כראוי.

עצמאות תפקודית

הרשות חייבת להיות מוגנת מהשפעה לא הוגנת של גופי מדינה וגופים מהמגזר הפרטי – שכולם אוספים מידע לצורך פעילותם – על שיקול הדעת האסדרתי שהיא מפעילה. עניין זה מחייב הרחבה.

מקרב כלל רשויות האסדרה המדינתיות לרשות להגנת מידע אישי יש את מרחב האסדרה הרחב ביותר. בשל תפוצתו הרחבה של השימוש במידע אישי, הרשות להגנת המידע האישי מאסדרת את כלל משרדי הממשלה ויחידות הסמך שלהם (לרבות שירותי הביטחון), את הרוב המוחלט של המגזר העסקי והמגזר השלישי, את כלל המגזר האקדמי ולעיתים אף אנשים פרטיים שאוספים מידע אישי למטרות אישיות ופעילותם עלולה לסכן את פרטיותם של אחרים (למשל פרסומים ברשתות חברתיות של אדם על אדם, שעשויים לעלות עד כדי פגיעה בפרטיות). אחדים ממושאי האסדרה הללו הם גופים רבי עוצמה מבחינה פוליטית, כלכלית וציבורית, ופעילותה של רשות להגנת מידע אישי עלולה לפגוע באינטרסים שלהם, שכן היא מגבילה את יכולות השימוש שלהם במידע אישי. רשות להגנת מידע אישי – שמגינה על כלל הציבור – צריכה להיות מסוגלת לבצע את פעולתה בלי שאינטרס כזה או אחר של גוף בעל עוצמה יאיים עליה. מובן שאין הכוונה להתעלמות מאינטרסים לגיטימיים של אותם גופים, ואלה רבים, אבל עליה להיות מסוגלת לבצע את תפקידיה ללא מורא.

הדרך המקובלת לשמירה על עצמאות תפקודית עוברת דרך כמה רכיבים מהותיים:

• עצמאות תקציבית. הרשות צריכה להיות עצמאית מבחינה תקציבית, רצוי כסעיף נפרד בתקציב המדינה או לפי מודל שקושר בין היקף פעילותה לתקציב. שיעורו של תקציב הרשות צריך להתאים להיקף המשימות העומדות לפניה באופן שיעקוב אחר השינויים והאתגרים הטכנולוגיים המתפתחים.בתיקון מספר 4 לחוק הגנת הפרטיות (1996) התעקשה ועדת חוקה, חוק ומשפט לקבוע שהסכומים הנגבים עבור האגרות לרישום מאגרי מידע החייבים ברישום לפי החוק, יופנו ישירות ליחידת רשם מאגרי מידע, שהיא הרשות המאסדרת על פי חוק הגנת הפרטיות. סעיף זה הביא לידי כך שעד הקמתה של רמו"ט התעסקה היחידה של רשם מאגרי המידע בעיקר בסוגיות הבירוקרטיות של רישום מאגרי מידע ופחות באכיפה מהותית של החוק. זו דוגמה לכוונה טובה לשמירה על עצמאות שהביאה לידי מצב לא רצוי.
• עיגון בחקיקה של עצמאות הרשות. חשוב לעגן בחקיקה את עצמאות הרשות בכלל, ואת עצמאותו של העומד בראשה בפרט. עצמאות זו יכולה להתקבל על דרך הקביעה כי "אין מרות על אותו נושא משרה זולת מרותו של הדין", והסדרה של תהליכי המינוי וסיום התפקיד כך שתתאפשר פעולה עצמאית.כיום עניין זה לכאורה מוסדר בהחלטת הממשלה על קציבת כהונתם של בכירים בשירות המדינה, אך אירועי השנים האחרונות – כגון הדחת ראש רשות החשמל והממונה על ההגבלים העסקיים וניסיונה של שרת המשפטים לנטרל את פעילותה של המשנה ליועץ המשפטי לממשלה (ציבורי-מנהלי) מדגישה את הצורך בעיגון הנושא בחקיקה ראשית.
• אישור להבעת דעה עצמאית. לראש הרשות צריכה להיות היכולת להביע דעה עצמאית בתהליכי חקיקה ובתקשורת, ולא להיות כפוף לעמדותיהם של היועץ המשפטי לממשלה ולמנגנון הדוברות של הממשלה.מודל זה קיים למשל בפעילותה של הסנגוריה הציבורית הפועלת במשרד המשפטים.

הדרך המקובלת בישראל לתת עצמאות תפקודית כזאת – והמתאימה ביותר במקרה זה – היא להקים את הרשות כגוף סטטוטורי דוגמת הרשות לניירות ערך, או לאחרונה רשות החדשנות.

הבנה טכנולוגית וכלכלית עמוקה

את התפקידים ברשויות להגנת מידע אישי, בעיקר באירופה, ממלאים בדרך כלל משפטנים. פרטיות הוא ענף של משפט חוקתי, ולצורך פעולתה של רשות להגנת מידע אישי לכאורה נדרשת הבנה במשפט מינהלי וחוקתי. אלא שאת האתגר העיקרי לפרטיות במידע מעמידות טכנולוגיות חדשניות משבשות ומודלים מסחריים-כלכליים שפותחו בעשרים השנים האחרונות על רקע היעדר כללים משפטיים רלוונטיים, או מתוך התעלמות מהם או עקיפה שלהם.

ואולם בזירות אלה בדיוק - הטכנולוגיה והכלכלה - טמונים גם הפתרונות וכלי האסדרה ההולמים. במירוץ המתקיים בין הארנב הטכנולוגי לצב המשפטי, מנצח הארנב; וכדי להתמודד עימו צריך ידע ויכולות של ארנב. התפיסות החדשות בפרטיות מדברות על חובה ל"הנדסת פרטיות" (privacy by design) ולשימוש ב"טכנולוגיות משפרות פרטיות" (PET – Privacy Enhancing Technologies). כלומר, אם נשלב בתהליכי התכנון של מערכות המידע פרטיות כברירת מחדל (Privacy by Default) ונשתמש בטכנולוגיות שממוקדות בפרטיות, נצליח להגן על פרטיות היחיד במידה רבה יותר משנצליח לעשות זאת בעזרת קביעת חוקים שקשה לאוכפם ובעיקר להתאימם למציאות הטכנולוגית המשתנה תדיר.

לצורך יישום עקרונות אלה על רשות האסדרה להיות בעלת יכולת להבין טכנולוגיה לעומקהּ. כל מערכת מידע משתמשת בטכנולוגיות חדשניות, שמטמיעות פיתוחים מדעיים במגוון של תחומים. כדי להבין את אופן הפעולה ולהמליץ על יישומן של טכנולוגיות למזעור הפגיעה בפרטיות – או כדי לאכוף יישום כזה – רשות האסדרה חייבת לכלול כוח אדם שמסוגל להיות בר פלוגתא למפתח הטכנולוגיה. עניין זה, עם כל הכבוד, אינו עניין למשפטנים גרידא.

על רשות האסדרה גם להבין לעומק את ההיבט הכלכלי של עולם המידע, שהוא הכוח הדוחף והמממן את פעילותם של המיזמים הטכנולוגיים. בשל כך מתחייב כי ברשות להגנת הפרטיות ישבו אנשי מקצוע עם רקע רב-תחומי שהכלכלה, הטכנולוגיה וההיבטים המשפטיים שלה הם לחם חוקם.

משאבים הולמים

לסוגיית המשאבים הכספיים התייחסתי בהקשר של העצמאות התפקודית. אין ספק שהאמצעים שיש להעמיד לרשות להגנת מידע אישי חייבים להתאים להיקף האתגר שלה.לעניין זה מעניין לראות את ההבדל בתקצוב שהעמידה מדינת ישראל לפעילותה של הרשות להגנת הפרטיות (כ-16 מיליון שקלים לשנה), אל מול תקצובה של הרשות החדשה להגנת הסייבר, העוסקת בתחום דומה ומשיק ומתוקצבת במאות מיליוני שקלים לשנה. אבל בכסף אין די. הרשות להגנת מידע אישי נדרשת למסגרת פעולה משפטית שתקנה לה את הסמכויות הנדרשות לפעולתה; ומכיוון שמושא האסדרה שלה הם מחשבים והשימוש שבני אדם עושים בהם, יש לתת בידיה את מכלול הסמכויות לחקור מחשבים ואת הפעולות בהם.עניין זה היה אמור להיות מוסדר בתיקון מספר 12 לחוק הגנת הפרטיות, שהחל להידון בכנסת בשנת 2012. לאחרונה הוא חזר בדמות תיקון מספר 13 לחוק הגנת הפרטיות, המחכה ליומו בוועדת החוקה, חוק ומשפט.

בידיה של רשות להגנת רשות להגנת מידע אישי צריכים להיות מגוון של כלים שיאפשרו לה להתמודד עם המורכבות הטכנולוגית והעסקית של מערכות מידע מודרניות. לשם כך יש להפקיד בידיה סמכויות חקירה פליליות, סמכויות פיקוח מינהלי, יכולת לקבוע הנחיות שוק בנות אכיפה ואפשרות לקדם אכיפה פרטית (למשל להגיש תובענות ייצוגיות בנושא פרטיות במידע, והסמכתה לתמרץ תביעות כאלה במקרים הראויים). במקרה הייחודי של אכיפה מול גופי מדינה, חשוב שלרשות יהיו כלים אפקטיביים שיאפשרו לה להורות לגופים אלה כיצד לפעול בנושא של הגנת פרטיות במידע אישי, ובמקרה הצורך לאפשר לה לכפות על פקידי המדינה את קיום הוראותיה. מאחר שהמידע האישי קשור קשר הדוק לכלכלת המידע, יש לתת בידי הרשות את היכולת להטיל עיצומים כספיים בשיעור הולם,כך למשל באירופה הסנקציה שהוכנסה לאחרונה לתקנות הכלליות בדבר הגנת מידע (GDPR – General Data Protection Regulation) – המאפשרת לרשות להגנת מידע לקנוס גוף מפר בסכום שעשוי להגיע לכדי 4% ממחזור הפעילות שלו – היא הסיבה העיקרית לציות המתרקם להוראות התקנות ברחבי העולם. ולא להסתפק בהליכים פליליים, שהם ארוכים, סבוכים ומוגבלים למקרי קיצון.

זאת ועוד, מאחר שהטכנולוגיה חוצת גבולות, יש לאפשר לרשות לנקוט פעולות אסדרה גלובליות, אם במודל של שיתוף פעולה אסדרתי עם רשויות מקבילות בחו"ל – שאז יש לתת לה את הסמכות לקיים הליכי שיתוף במידע; ואם במודל שנקבע בתקנות הכלליות בדבר הגנת מידע (GDPR), ולפיו מדובר באכיפה עצמאית של הרשות מול גופים בחוץ לארץ. ואולם בישראל הקטנה והרחוקה מסגרת זו אפקטיבית פחות ועלולה להיות בעייתית מבחינה משפטית.

מהם תפקידיה היומיומיים של רשות להגנת מידע אישי?

רשות להגנת מידע אישי צריכה לעסוק בכל ההיבטים של שימוש במידע אישי, וכרשות אסדרה תפקידיה הם אלה:

• קבלת תלונות ובדיקה שלהן. על הרשות לקיים מסגרת סדורה של קבלת תלונות מהציבור על הפרת פרטיותו, וכן הליכי פיקוח או חקירה פלילית לבירור התלונה. בסוף התהליך, אם נמצאה הפרה של הוראות החוק או עבירה פלילית על פיו, תטיל הרשות על המפר קנס כספי, סנקציה אחרת או תנהל הליך פלילי (בעצמה או באמצעות הפרקליטות) נגד המפר.
• מתן הנחיות לשוק. חקיקה היא מטבעה כללית. הרשות צריכה לפרסם הנחיות, בעיקר למי שאוסף ומעבד מידע אישי, כיצד לבצע פעולות אלה בהתאם לחוק.
• ייזום תהליכי חקיקה והשתתפות בהם. על הרשות ליזום חקיקה שמקדמת הגנה על הפרטיות במידע,כיום הרשות להגנת הפרטיות היא אגף במשרד המשפטים. מכיוון שבענייני חקיקה היא כפופה למחלקת ייעוץ וחקיקה (חקיקה) בלשכת היועץ המשפטי לממשלה, היא מנועה מלקדם יוזמות חקיקה באופן עצמאי, להבדיל מרשויות אסדרה אחרות במשק הישראלי. ולהשתתף בכל דיון שהכנסת מקיימת בנושא מתוך הצגת עמדתה המקצועית. על הרשות להשתתף גם בהליכי חקיקה מקדמיים, שכן רצוי שתשפיע בשלב זה, ולא לאחר מעשה.
• העלאת מודעות. על הרשות להביא לידיעת הציבור את זכויותיו על פי החוק, את הסכנות האפשריות לפרטיותו ואת הכלים העומדים לרשותו כדי להתמודד עם אתגרי הפרטיות. מכאן שיכולת פרסום באמצעי התקשורת ודברור פעולותיה בעצמה הם כלי עבודה קריטי בעבודתה.
• איתור טכנולוגיות ומודלים עסקיים שמשפיעים על הפרטיות. בשל התמקצעותה של הרשות בנושאים טכנולוגיים, היא אמורה להיות "עם היד על הדופק" ולעקוב אחר טכנולוגיות חדשניות ואחר השפעתן האפשרית על פרטיות. הרשות אמורה להיות הראשונה לזהות סיכונים אפשריים בטכנולוגיות חדשניות, ולגבש את המענה הנכון להן.

לנוכח המהפכה הדיגיטלית שהפכה את המידע האישי של כולנו למשאב – ובעיקר בעקבות שערוריות הפרטיות שעלו לשיח הציבורי בעת האחרונה – כיום ברור מעל לכל ספק שרשות להגנת מידע אישי שתהיה עצמאית, בעלת יכולות טכנולוגיות ומשאבים הולמים חיונית לשמירה על זכותנו החוקתית לפרטיות במידע האישי עלינו.

---

הכותב הוא מנכ"ל איגוד האינטרנט הישראלי (ע"ר) (www.isoc.org.il) ומומחה במשפט וטכנולוגיה. בשנת 2006 מונה להקים את הרשות למשפט, טכנולוגיה ומידע (רמו"ט) במשרד המשפטים (היום "הרשות להגנת הפרטיות"), ועמד בראשה עד שנת 2013.