עמידה ב-GDPR
תקנת הגנת המידע הכללית (GDPR) היא תקנת הגנת המידע המקיפה של האיחוד האירופי, שנכנסה לתוקף במאי 2018, וקובעת כללים מחמירים לגבי האופן שבו ארגונים נדרשים לאסוף, לעבד, לאחסן ולהגן על מידע אישי של יחידים המתגוררים באיחוד האירופי - היא חלה לא רק על חברות שבסיסן באירופה אלא על כל ארגון בעולם המציע מוצרים או שירותים לתושבי האיחוד האירופי או מנטר את התנהגותם של יחידים באיחוד, ובכך הופך את העמידה בדרישות למחייבת עבור כמעט כל החברות הרב-לאומיות וסטארטאפים רבים הפועלים בזירה הבינלאומית. אי-עמידה גוררת עונשים כספיים חמורים (עד 4 אחוזים מהמחזור העולמי השנתי או 20 מיליון אירו, הגבוה מביניהם - קנסות בסכומי מיליארדים כבר הוטלו על Facebook, Google ו-Amazon), בנוסף לנזק תדמיתי משמעותי ולאיסור אפשרי על עיבוד מידע אירופי העלול להפוך את הפעילות בשוק האירופי לבלתי ישימה. ה-GDPR מושתת על עקרונות ליבה של הגנת מידע: חוקיות, הוגנות ושקיפות (לעיבוד חייב להיות בסיס חוקי ועל היחידים לקבל מידע ברור על השימוש בנתוניהם), הגבלת מטרה (מידע שנאסף למטרות מסוימות אינו ניתן לשימוש חוזר למטרות שאינן עולות בקנה אחד עמן ללא הסכמה חדשה), צמצום מידע (לאסוף רק מידע מתאים, רלוונטי ומוגבל לנדרש למטרה המוצהרת), דיוק (לשמור על מידע נכון ומעודכן), הגבלת אחסון (לשמור מידע רק למשך הזמן הדרוש למטרה, ולאחר מכן למחוק או להפוך לאנונימי), שלמות וסודיות (ליישם אבטחה הולמת באמצעות הצפנה, בקרות גישה, פסאודונימיזציה), ואחריותיות (accountability) (להוכיח עמידה בדרישות באמצעות תיעוד, מדיניות, ביקורות והערכות השפעה על הגנת המידע). התקנה מעניקה זכויות נרחבות לנושאי המידע, ובהן הזכות לעיון (לקבל עותק של המידע האישי המעובד), הזכות לתיקון (לתקן מידע לא מדויק), הזכות למחיקה / "הזכות להישכח" (למחוק מידע בנסיבות מסוימות), הזכות להגבלת העיבוד, הזכות לניידות מידע (לקבל את המידע בפורמט מובנה, נפוץ וקריא במכונה לצורך העברה לבקר אחר), והזכות להתנגד לעיבוד המבוסס על אינטרסים לגיטימיים או על שיווק ישיר.
בסיסים חוקיים לעיבוד ולהסכמה
ה-GDPR מחייב בסיס חוקי תקף לכל עיבוד של מידע אישי - על ארגונים לזהות ולתעד איזה בסיס חוקי חל על כל פעילות עיבוד, כאשר ששת הבסיסים המותרים הם: הסכמה - הבעת רצון חופשית, ספציפית, מיודעת וחד-משמעית של נושא המידע (באמצעות הצהרה או פעולה אקטיבית ברורה כגון סימון תיבת opt-in), שניתן לבטלה בקלות בכל עת, אינה ניתנת לאיגוד (הסכמה למטרות שונות חייבת להיות מפורטת ולאפשר קבלת חלקן וסירוב לאחרות), ונטל ההוכחה להסכמה תקפה מוטל על הארגון - מתאים ל-opt-in שיווקי, לקובצי cookie שאינם חיוניים ולשיתוף מידע אופציונלי. חוזה - עיבוד הדרוש לביצוע חוזה עם נושא המידע או לנקיטת צעדים טרם כריתת חוזה - חל על מידע שנאסף בעת הרשמה לשירות, אספקת מוצרים שנרכשו ומילוי התחייבויות חוזיות. חובה חוקית - עמידה בדרישות חוקיות (דיווח מס, דיני עבודה, תקנות למניעת הלבנת הון) - על הארגון לזהות את ההוראה החוקית הספציפית המחייבת את העיבוד. אינטרסים חיוניים - הגנה על חייו של נושא המידע או של אדם אחר (טיפול רפואי דחוף) - היקף מוגבל, נעשה בו שימוש רק כאשר הדבר הכרחי לחלוטין. משימה ציבורית - ביצוע משימה לטובת הציבור או הפעלת סמכות רשמית - רלוונטי לגופים ממשלתיים ולגופים ציבוריים. אינטרסים לגיטימיים - הנמשכים על ידי בקר המידע או צד שלישי, למעט כאשר גוברים עליהם האינטרסים או הזכויות היסודיות של נושא המידע המחייבים הגנה (בייחוד אם מדובר בקטין) - מחייב מבחן איזון והערכת אינטרסים לגיטימיים (LIA) המתעדת: מהו האינטרס הלגיטימי, ההכרחיות של העיבוד להשגת האינטרס, והאיזון מול זכויותיהם ואינטרסיהם של היחידים - דוגמאות כוללות מניעת הונאה, אבטחת רשת וניהול פנימי. בחירת הבסיס החוקי היא החלטה אסטרטגית בעלת השלכות: הסכמה מחייבת ניהול שוטף של opt-in/opt-out והוכחתם, בסיס החוזה יציב יותר אך מוגבל להכרחיות החוזית, ואינטרסים לגיטימיים מציעים גמישות אך מחייבים הערכת איזון מדוקדקת, ולנושאי המידע עומדת הזכות להתנגד.
ממונה על הגנת המידע (DPO) ואחריותיות
ה-GDPR מחייב מינוי ממונה על הגנת המידע בשלושה תרחישים: עיבוד המתבצע על ידי רשות ציבורית, פעילויות ליבה הכוללות ניטור סדיר ושיטתי של נושאי מידע בקנה מידה גדול, או פעילויות ליבה הכוללות עיבוד בקנה מידה גדול של קטגוריות מיוחדות של מידע (בריאותי, ביומטרי, גנטי) או של הרשעות פליליות. על ה-DPO להחזיק בידע מומחה בדיני הגנת המידע ובפרקטיקות שלה, להיות עצמאי (לדווח ישירות לדרג הניהולי הבכיר ביותר ולא לקבל הנחיות לגבי ביצוע תפקידיו) ולקבל משאבים הולמים. תחומי האחריות של ה-DPO כוללים: ליידע ולייעץ לארגון בנוגע לחובותיו על פי ה-GDPR, לנטר את העמידה ב-GDPR ובמדיניות הפנימית, לספק ייעוץ בנוגע ל-DPIA, לשתף פעולה עם רשות הפיקוח ולשמש כנקודת מגע עבור רשות הפיקוח ונושאי המידע. ה-DPO יכול להיות עובד או ספק שירות חיצוני, אך עליו להימנע מניגוד עניינים (אינו יכול להיות גם CEO, CFO או CTO, שכן יפקח על העמידה שלו עצמו). ארגונים שאינם נדרשים ל-DPO חובה עדיין נהנים ממינוי גורם בעל אחריות בתחום הפרטיות. עיקרון האחריותיות מחייב ארגונים להוכיח עמידה באמצעות תיעוד: לנהל רשומות של פעילויות עיבוד (ROPA) המפרטות את כל פעולות העיבוד (מטרות, קטגוריות של מידע, נמענים, תקופות שמירה, אמצעי אבטחה), ליישם הגנת מידע מתוך תכנון וכברירת מחדל (Privacy by Design and by Default) (לשלב הגנת מידע בתכן המערכת מראשיתה ולהגדיר את המערכות לעבד כברירת מחדל רק מידע הכרחי), לבצע הערכות השפעה על הגנת המידע (DPIA) לעיבוד בסיכון גבוה, ליישם אמצעים טכניים וארגוניים הולמים (הצפנה, בקרות גישה, פסאודונימיזציה, גיבוי), ולשמור תיעוד המוכיח החלטות עמידה והערכות סיכון. רשויות הפיקוח רשאיות לבקש תיעוד במהלך ביקורות, וארגונים שאינם מסוגלים להוכיח עמידה צפויים לעונשים גם אם לא אירעה דליפה בפועל.
הערכת השפעה על הגנת המידע (DPIA)
DPIA היא תהליך שיטתי להערכת סיכוני הפרטיות של פעילויות עיבוד והפחתתם, כאשר אלו עלולות לגרום לסיכון גבוה לזכויותיהם ולחירויותיהם של היחידים - מחייבת כאשר העיבוד כולל: פרופיילינג שיטתי ונרחב בעל השפעות משמעותיות, עיבוד בקנה מידה גדול של מידע מקטגוריה מיוחדת, או ניטור שיטתי בקנה מידה גדול של אזור נגיש לציבור (זיהוי פנים במרחבים ציבוריים). יש לבצע DPIA לפני תחילת העיבוד, באופן המאפשר לזהות ולטפל בסיכונים בשלב מוקדם של מחזור חיי הפרויקט. תהליך DPIA מובנה: תיאור העיבוד - לתעד את אופי העיבוד, היקפו, ההקשר והמטרות שלו, זרימות המידע, תקופות השמירה ובעלי העניין המעורבים. הערכת הכרחיות ומידתיות - להוכיח שהעיבוד הכרחי למטרה המוגדרת ומידתי (אינו עודף), לשקול חלופות המשיגות את המטרה בהשפעה פחותה על הפרטיות, ולתעד את הערכת האינטרסים הלגיטימיים אם רלוונטי. זיהוי סיכונים ליחידים - לשקול מה עלול להשתבש (גישה לא מורשית, אירועי דליפת מידע, זחילת מטרה (function creep) שבה מידע שנאסף למטרה א' משמש למטרה ב', תוצאות מפלות של החלטות אוטומטיות, אפקטים של מעקב) ולדרג את ההסתברות ואת החומרה של כל סיכון. זיהוי אמצעי הפחתה - בקרות טכניות (הצפנה, אנונימיזציה, בקרות גישה, ניטור אבטחה) ואמצעים ארגוניים (מדיניות, הדרכה, חוזים עם ספקים, הודעות שקיפות) להפחתת הסיכונים לרמה מקובלת. תיעוד התוצאות - ליצור דוח DPIA המפרט את ההערכה, הסיכונים שזוהו, אמצעי ההפחתה שיושמו וקבלת הסיכון השיורי, המאושר על ידי ההנהלה הבכירה וה-DPO. היוועצות ברשות הפיקוח אם הסיכון השיורי נותר גבוה חרף אמצעי ההפחתה - הרשות מספקת הנחיות לגבי האם ניתן להמשיך בעיבוד ואילו אמצעי הגנה נוספים נדרשים. DPIA היא מסמך חי המחייב סקירה כאשר העיבוד משתנה באופן מהותי, באופן סדיר (כל 2-3 שנים), או כאשר עולים סיכונים חדשים. DPIA שבוצעה היטב מוכיחה אחריותיות, מפחיתה את הסיכון הרגולטורי, ולעיתים קרובות מזהה שיפורים תפעוליים מעבר לעמידה בדרישות.
הודעה על אירוע דליפת מידע ותגובה
ה-GDPR קובע דרישות מחמירות להודעה על אירועי דליפה, מתוך הכרה בכך שהודעה מהירה מאפשרת ליחידים לנקוט פעולות הגנה (להחליף סיסמאות, לנטר את דירוג האשראי, להפעיל התראות הונאה) ולרשויות הפיקוח לתאם תגובה. אירוע דליפת מידע אישי מוגדר באופן רחב כ"פגיעה באבטחה המובילה להשמדה, אובדן, שינוי, חשיפה בלתי מורשית של מידע אישי או גישה אליו, בין אם בשוגג ובין אם שלא כדין" - הוא כולל הצפנת כופרה, דלי S3 שהוגדר בצורה שגויה וחושף מידע, מחשב נייד אבוד עם מידע לא מוצפן, גישה לא מורשית של עובד ואירועי פריצה. עם היוודע אירוע דליפה, על הארגון: להכיל את האירוע מיד (לבודד מערכות מושפעות, לבטל פרטי גישה שנפגעו, לסגור וקטורי חשיפה), להעריך את ההשפעה (כמה יחידים מושפעים, אילו סוגי מידע מעורבים, רגישות המידע, ההסתברות והחומרה של הנזק), להודיע לרשות הפיקוח בתוך 72 שעות מרגע ההיוודעות (עיכובים מחייבים הצדקה), תוך מתן תיאור של אופי האירוע, הקטגוריות והמספר המשוער של נושאי המידע המושפעים, ההשלכות הצפויות, והאמצעים שננקטו או המוצעים לטיפול באירוע ולהפחתת השפעותיו - ההודעה הראשונית עשויה להיות חלקית אם לא ניתן לבצע הערכה מלאה בתוך 72 שעות, כאשר עדכונים נוספים יסופקו ככל שיתקבל מידע. להודיע ליחידים המושפעים ללא דיחוי בלתי סביר אם האירוע עלול לגרום לסיכון גבוה לזכויותיהם ולחירויותיהם - ההודעה חייבת לתאר את האירוע בשפה ברורה ופשוטה, לספק נקודת מגע למידע נוסף, ולתאר את ההשלכות הצפויות ואת האמצעים שהארגון נקט להפחתתן - ניתן להימנע מההודעה אם הארגון יישם הגנות טכניות ההופכות את המידע לבלתי קריא (הצפנה שמפתחותיה לא נפגעו), נקט אמצעים מאוחרים המבטיחים כי אין זה סביר שהסיכון הגבוה יתממש, או אם ההודעה תחייב מאמץ בלתי מידתי (ובמקרה כזה תקשורת פומבית מקובלת). לתעד את האירוע במרשם פנימי של אירועי דליפה גם אם לא נדרשה הודעה - רשות הפיקוח רשאית לבקש תיעוד המוכיח עמידה בחובות ההערכה וההודעה. אי-מתן הודעה בתוך 72 שעות, עיכוב בלתי סביר בהודעה ליחידים, או תיעוד לקוי עלולים לגרור עונשים נפרדים מהאירוע הבסיסי.