היום, 15.1.2024, פרסמה נציבות האיחוד האירופי דו"ח בדיקה לגבי מעמד התאימות (Adequacy) של שורת מדינות, ובהן ישראל. בדו"ח מוצאת הנציבות כי ישראל והמדינות האחרות שנבדקו עומדות בדרישות. התוצאה היא שהנציבות לא מוצאת לנכון לשנות את החלטות התאימות הקיימות שניתנו בעניינן של המדינות שנבדקו. הדו"ח יועבר לפרלמנט ולמועצה, גופים שיכולים לבקש מהנציבות להסיר את התאימות – אך ההחלטה היא של הנציבות.

חוקי הגנת הפרטיות האירופאים ידועים ברגישותם לייצוא מידע מתחומי האיחוד האירופי למדינות אחרות, משום החשש שמא המידע שמועבר למדינה מחוץ לאיחוד לא יזכה לרמת הגנה הולמת במדינת היעד, והדבר מתבטא כמובן גם בהוראות ה-GDPR.

ה-GDPR, כמו הדירקטיבה שקדמה לו, כולל הוראות ספציפיות לגבי ייצוא מידע מהאיחוד וקובע מספר מנגנוני ייצוא אפשריים. מנגנון הייצוא הנוח ביותר הוא כזה שבמסגרתו מועבר מידע מהאיחוד אל מדינה שלישית שנחשבת “adequate”. משמעות החלטת adequacy כזו היא שדיני הגנת הפרטיות באותה מדינה מספקים רמת הגנה הולמת מבחינת הגורמים המוסמכים באירופה.

בשנת 2011, לאחר בדיקה ארוכה שערכו הגופים המוסמכים האירופאים, אלה הגיעו לכלל מסקנה לפיה דיני הפרטיות של מדינת ישראל נותנים הגנה הולמת למידע אישי ולכן ניתנה למדינת ישראל החלטת adequacy. החלטה זו אפשרה זרימה חופשית של מידע אישי מאירופה לישראל, באותה קלות בה מידע אישי יכול לעבור ממדינה אחת חברה באיחוד למדינה חברה אחרת. הדבר הקל על חברות ישראליות להציע שירותים לחברות אירופיות, ואפשר לגופים ישראלים עסקיים ואקדמיים השתלבות קלה בפעילות באירופה ועם גופים אירופאיים – השתלבות שניתן לכמת גם בכסף.

כך למשל, בדיון שנערך ביום 23.4.2023 בוועדת חוקה, חוק ומשפט בעניין אישור תקנות שעוסקות במידע שמגיע לישראל מתחומי האזור הכלכלי האירופי (EEA), ציין ד"ר שמואל אברמזון, סגן בכיר לכלכלנית הראשית במשרד האוצר, כי עלות אובדן אפשרי של הadequacy היא כ-40 אלף דולר לארגון, בממוצע.

על המשמעות הכלכלית של מצב שבו מועבר מידע מתחומי EEA למדינה שאיננה adequate ניתן ללמוד מהמאמץ הרב שהשקיעה ארה"ב במציאת פתרון להעברת מידע לאחר שהסדרי adequacy שאפשרו העברת מידע מתחומי האיחוד לגופים אמריקאים שהצטרפו להסדר מיוחד בוטלו, בעקבות הליכים משפטיים שמכונים "שרמס 1" ו"שרמס 2", על שם מי שיזם את ההליכים, לאור התנגדותו להעברת מידע אישי מאירופה לארה"ב. ביטול ההסדרים שיבש את פעילותן של חברות אמריקאית רבות, כולל ענקיות כמו פייסבוק וגוגל.

משמעות ביטול הסדרי ה-adequacy לארה"ב הייתה כה גבוהה עד שנשיא ארה"ב, ג'ו ביידן, נדרש לנושא בעצמו בעיצומו של ביקור באירופה שערך בסמוך לתחילת מלחמת רוסיה – אוקראינה, והוא פינה מזמנו כדי להיפגש באותו ביקור עם נשיאת האיחוד האירופי. בהמשך לאותו ביקור, גובש אחרי עבודה מאומצת של כל הצדדים הסדר adequacy חדש להעברת מידע מאירופה לארה"ב – EU- US Data Privacy Framework.

בדו"ח שפורסם היום סוקרת הנציבות את הליך הבדיקה באופן כללי, ואז מספקת פירוט קצר בקשר לכל מדינה. לגבי ישראל, מציינת הנציבות לטובה את החלטת הממשלה שהעניקה עצמאות לרשות הגנת הפרטיות, ואת התקנת התקנות שעוסקות בעיבוד מידע שהגיע לישראל מתחומי ה-EEA (להרחבה ניתן לראות את עדכוני הלקוחות שפרסמנו לגבי עצמאות הרשות ולגבי התקנות), וגם את תקנות אבטחת מידע מ – 2017.

עוד מציינת הנציבות לטובה מסגרת משפטית נרחבת, כולל חוק יסוד, החלה של כללים ברורים, מדויקים ונגישים לגבי גישת גופי שלטון למידע אישי, כולל לצורך אכיפה פלילית ובטחון לאומי. בהקשר זה מציינת הנציבות את הפיקוח ההדוק ואת זכות העמידה (redress).

החלטות תאימות נשארות בתוקף עד שהן מבוטלות, כך שעמדת הנציבות היא שההחלטה מ – 2011 תישאר על כנה (למרות שהפרלמנט והמועצה יכולים לבקש מהנציבות להסיר את מעמד התאימות). מכל מקום, כל עוד מעמד התאימות של מדינה שלישית (היינו, לא חברה באיחוד) כלשהי בתוקף, רשויות הגנת הפרטיות של המדינות החברות לא יכולות לחסום על דעתן העברות מידע לאותה מדינה שלישית.

נראה שהנציבות עוקבת מקרוב אחר ההתפתחויות בישראל, שכן היא מזכירה את תיקון 14 לחוק הגנת הפרטיות, שנמצא בדיונים קדחתניים בוועדת חוקה, חוק ומשפט בהכנה לקריאה שניה ושלישית. הנציבות מציינת כי היא תעקוב אחר ההתפתחויות בישראל מקרוב. כדאי לקחת אמירה זו ברצינות, משום שה – GDPR כולל גם מנגנון להסרת התאימות במקרה של התפתחויות שליליות – שאינן מוגבלות רק לחוקי ההגנה על המידע, אלא גם על זכויות יסוד באופן כללי. לקבל תאימות (או לחדש אותה) לוקח שנים ארוכות. לאבד אותה אפשר בזמן קצר.

אנו עומדים לרשותכם לכל שאלה,

אייל שגיא, שיר שושני כץ וצוות מחלקת משפט וטכנולוגיה

מובהר כי אין באמור בכדי להוות התייחסות לנסיבות ועובדות ספציפיות ואין לראות בכך משום חוות דעת ו/או ייעוץ משפטי לעניין קונקרטי.