החובות שנקבעו במסגרת ה – GDPR

מה קורה למי שלא מקיים את הרגולציה?

רגולציית GDPR קובעת שורה של סנקציות משמעותיות וחמורות, הכוללת הטלת קנסות GDPR שיכולים להגיע ל-20 מיליון יורו או 4% מהמחזור העסקי של הגורם המפר, לפי הגבוה מבניהם.

בנוסף, מי שלא עומד בהוראות ה-GDPR יתקשה לעבוד מול גופים אירופאים שונים, כיוון שאלה מחויבים לוודא כי הספקים עימם הם עובדים אכן עומדים בתקנות הרגולציה.

מטרת הרגולציה

הרגולציה נועדה בעיקרון לאפשר לתושבי האיחוד האירופי לשלוט במידע שלהם בצורה טובה יותר, להיות מודעים יותר לפעולות המבוצעות במידע ואופן השמירה שלו ולקבל את הכוח להחליט בעצמם, האם המידע שלהם ייאסף ויישמר ואילו פעולות בדיוק יבוצעו בו.

ה-GDPR מתייחס למעשה לשני היבטים שונים ומקבילים הקשורים במידע האישי :

• אבטחת מידע (Information Security) – ההגנה על המידע מפני חדירה, גניבה, פריצה ושימוש לא מורשה;
• פרטיות (Privacy) – אופן השימוש במידע, הפעולות המבוצעות באמצעות המידע ומה בעצם "מותר ואסור" לעשות עם המידע.

אז מהן החובות שנקבעו במסגרת ה-GDPR?

על בעל השליטה במידע ומעבד המידע חלה אחריות מוגברת לקיים את תקנות GDPR.

בעל השליטה במידע (Data Controller) – אדם, תאגיד, רשות ממשלתית, סוכנות וכו', אשר שולט בתהליך איסוף ועיבוד המידע. בתהליך נקבע איזה מידע ייאסף, באילו אמצעים ומהי מטרתו הסופית.

מעבד המידע (Data Processor) – גורם משני המספק שירותים לבעל השליטה במידע – אוסף עבורו מידע, מעבד אותו ואף מאחסן את המידע עבורו.

למאמר המפרט על ההבדלים בין Data Controller ו- Data Processor

להלן החובות החלות על בעל השליטה במידע ומעבד המידע לקיום תקנות GDPR:

קביעת החובה לעבד מידע רק תחת "בסיס חוקי" מוגדר (Lawful Basis)

אם עד היום, ככלל, היה ניתן לשמור מידע לאסוף אותו בצורה חופשית וכמעט ללא מגבלה, ה-GDPR קובע כי עיבוד של מידע חייב להיות תמיד תחת "בסיס חוקי" מתוך הרשימה הקבועה ברגולציה. בסיס שכזה יכול להיות למשל:

• "חוזה" – המידע נדרש לצורך קיום חוזה עם אותו אדם.
• "חובה חוקית" – חקיקה המחייבת איסוף של המידע.
• "הסכמה" – האדם נתן את הסכמתו לאיסוף וכו'.

גילוי ושקיפות בכל הקשור לאיסוף המידע

ישנה חובה לגלות לאדם שהמידע שלו נאסף כיצד המידע נאסף, לאיזה צורך, לכמה זמן, ופרטים נוספים המאפשרים לתושבי האיחוד לדעת טוב יותר מה נעשה במידע שלהם.

קבלת הסכמה (Consent) טרם איסוף המידע במקרים מסוימים

הרגולציה קובעת לא רק את החובה לקבל הסכמה של האדם טרם עיבוד המידע במקרים מסוימים, אלא אף מגדיר מהי הדרך הנכונה לקבל הסכמה שכזו, כך שההסכמה תהיה מודעת, מפורשת וחופשית.

עריכת סקר סיכונים

במקרים מסוימים, נקבעת חובתו של בקר המידע לבצע סקר סיכונים – הליך פנימי במסגרתו נבחן כלל המידע המעובד על ידי הארגון ונבחנות שאלות של אבטחת מידע ופרטיות לצורך ביצוע התאמות והטמעת תהליכים ובקרות שנועדו להבטיח שמירה ושימוש נאותים במידע האישי.