לאחרונה פרסמה הרשות מסמך שאומר כי גם מאגר ששומר כתובות דוא"ל לצד שם בעליהן בלבד חייב לדווח על כך. האם מדובר בהרחבה קיצונית של לשון החוק או שמא בדרישה הגיונית בשל החשש לפגיעה בפרטיות? בין כך ובין כך צריך להיערך.
כמעט כל עסק אוסף היום נתונים רבים על לקוחותיו, ספקיו ועובדיו, ומאחסן אותם באופן דיגיטלי. אוסף של נתונים אלה מכונה "מאגר מידע", והמחוקק קבע תנאים לשמירה על פרטיות המידע השמור בו.
בעל עסק שמקיים את התנאים המנויים בחוק הגנת הפרטיות חייב לרשום אותו אצל הרשות להגנת הפרטיות ולמלא אחר חובות מסוימות, כגון מילוי אחר כללי אבטחת מידע, מינוי ממונה על אבטחת המידע ועוד.
ב-28.11.2018 פורסם גילוי דעת מטעם הרשות להגנת הפרטיות, שלפיו גם מאגר דיגיטלי המכיל בסך הכל כתובות דואר אלקטרוני לצד שמות בעליהן מהווה מאגר מידע הטעון רישום.
מדובר בהצהרה דרמטית מטעם הרשות האמונה על האכיפה בתחום זה, המשנה את המצב הקיים, כיוון שעד היום עד היום מאגרי מידע החייבים ברישום היו רק אלה המכילים מידע נוסף מלבד מען ודרכי התקשרות (מספר טלפון, פקס, כתובת דוא"ל וכדומה), למשל מספר תעודת זהות, היסטוריית רכישות, היסטוריה רפואית, נטייה מינית ועוד.
על פניו, מדובר בהטלת חובה משמעותית על עסקים רבים, שאם לא יעמדו בה יהיו חשופים לקנסות ועיצומים.
כתובת דוא"ל היא מידע אישי?
הסיבה לפרסום חוות הדעת היא ההנחה של הרשות כי הנתונים המופיעים במאגר מסוג זה יכולים לגרום לפגיעה בפרטיותם של האנשים הכלולים בו. למשל, אם שם המתחם של כתובת הדוא"ל מצביע על מקום העבודה של אותו אדם, על השתייכותו לארגון פוליטי מסוים או במקרים חריגים אף על נטייתו המינית, יש בכך כדי לספק נתונים אישיים מאוד, ולכן קם חשש לפגיעה בפרטיות.
יש כאלו שדווקא תומכים בעמדת הרשות, בין היתר מאחר שלשיטתם היא תואמת את תקנות ההגנה על הפרטיות שנכנסו לתוקף לאחרונה באיחוד האירופי (GDPR), לפיהן גם כתובת דוא"ל מהווה מידע אישי.
לעומתם, רבים דווקא מביעים התנגדות. יש הסבורים כי הרשות חרגה מסמכותה, שכן עמדתה מהווה פרשנות מרחיבה של חוק הגנת הפרטיות ואין זה תפקידה לפרשו אלא לקיימו כלשונו.
לטענת המתנגדים, עמדת הרשות כי כתובות דוא"ל אינן דרכי התקשרות בלבד כלשון החוק, שגויה. ככל שהמחוקק סבור שיש להרחיב את תחולת החוק גם למאגרים מסוג זה, עליו לקבוע זאת באופן מפורש, ואין זה תפקידה של הרשות לעשות זאת.
לדעתם, בתור הגורם האחראי על אכיפת החוק להגנת הפרטיות הרשות חייבת לפרשו באופן זהיר ובהתאם לעמדת המחוקק, וגילויי דעת מסוג זה מרחיבים את החובות המוטלות על בעלי עסקים בניגוד לדין.
לאכוף, לא לחוקק
לטעמי, אף שיש היגיון מסוים בטענות הרשות היה עליה להימנע מפרסום גילוי הדעת בנוסחו הקיים ותחת זאת להביע את עמדתה במסגרת הליכי חקיקה מסודרים. אם נקבל את התנהלותה היא עשויה להוביל למדרון חלקלק, בו הרשות להגנת הפרטיות נוטלת לעצמה את תפקידיה של הרשות המחוקקת, בניגוד לשיטת הממשל הנוהגת במדינת ישראל.
כבודם של פקידי הרשות במקומו מונח, אך עליהם להתגבר על הפיתוי להשתמש בכוח ובסמכות שניתנה להם, ולהימנע מלבצע מהלכים העולים כדי חריגה מסמכות או חקיקה הלכה למעשה.
למרות האמור, מאחר שהרשות היא הגורם האחראי על האכיפה בתחום מאגרי המידע, אין אנו יכולים להתעלם מגילוי דעת זה. אף שנראה כי אין בהכרח עיגון חוקי לתפיסה המוצגת על ידה, בעלי עסקים ואלו המייעצים להם נאלצים להתאים את עצמם למצב הקיים, בלית ברירה.
לרשות נתונה הסמכות לקיים ביקורות ולהטיל קנסות ועיצומים ככל שנמצא כי עסק או ארגון מסוים לא עומד בדרישות החוק. לכן, גילוי הדעת האחרון בכל זאת מחייב כל אחד מאיתנו לבחון את פעילותו, את המידע אותו הוא אוגר, האופן בו הוא נאסף וכיו"ב, לכלכל את צעדיו ולקבל החלטה מושכלת כיצד לפעול.
לחצו כאן לגילוי הדעת המלא של הרשות להגנת הפרטיות
* עו"ד עופר רוזנבלום עוסק בדיני אינטרנט ומדיה, יזמות וליווי סטארטאפים
המידע המוצג במאמר זה הוא מידע כללי בלבד, ואין בו כדי להוות ייעוץ ו/ או חוות דעת משפטית. המחבר/ת ו/או המערכת אינם נושאים באחריות כלשהי כלפי הקוראים, ואלה נדרשים לקבל עצה מקצועית לפני כל פעולה המסתמכת על הדברים האמורים.
בהכנת הכתבה לקחו חלק צוות העורכים של אתר פסקדין