הרשות להגנת הפרטיות הוציאה לאחרונה (ב-25.3.21) טיוטת מסמך מדיניות הקורא לארגונים במשק ולגופים ציבוריים לצמצם אגירת מידע אישי עודף.
הרשות להגנת הפרטיות הוציאה לאחרונה (ב-25.3.21) טיוטת מסמך מדיניות הקורא לארגונים במשק ולגופים ציבוריים לצמצם אגירת מידע אישי עודף.
לפי הרשות, ניתן לראות עליה בהתרחשות אירועי אבטחת מידע חמורים, לכן פורסם המסמך אשר מדגיש את הסיכונים לפרטיות העלולים להיגרם כתוצאה מאיסוף, שמירה ושימוש במידע עודף, ואת החשיבות והתועלת בצמצום שמירת מידע עודף זה.
העידן הדיגיטלי מאופיין באיסוף ושמירה של מידע רב במאגרי מידע ולשם מטרות שונות ומגוונות. בבסיס מדובר לרוב בהליכים הכרחיים, אך עם זאת, פעמים רבות נשמר מידע עודף שאינו רלוונטי למטרה המקורית לשמה הוא נאסף. מידע עודף יכול להיווצר כבר בשלב איסוף המידע הראשוני, וכן להפוך לכזה עקב שמירת מידע לאורך זמן ארוך מהנדרש ולאחר השלמת המטרה המקורית.
שני עקרונות מרכזיים בחוק הגנת הפרטיות הם עקרון ההסכמה ועקרון צמידות המטרה. על פי עקרון ההסכמה ניתן לאסוף מידע על אודות אדם רק בהינתן הסכמה חוקית או על בסיס הסכמה של נושא המידע (Data subject), על פי עקרון צמידות המטרה שימוש במידע יכול להיעשות אך ורק בהתאם למטרה לשמה הוא נאסף או הועבר מלכתחילה, או לשם מטרות נלוות חיוניות באם קיימות (כגון לצורך התדיינות משפטית). בהתאם לשני עקרונות אלה, איסוף ושמירה של מידע עודף מהווים פגיעה בפרטיות בפני עצמם, ובנוסף מגדילים את הסיכון לפגיעות פרטיות נוספות מכיוון שמידע זה עשוי לדלוף ולהיחשף לגורמים לא מורשים.
מידע עשוי להיחשב עודף, בין היתר, בשל היקפו, סוגו, זמן שמירתו וכדומה. כך, גם מידע שבתחילה היה רלוונטי יכול להפוך לעודף במורד הדרך. לדוגמא, איסוף מידע על לקוחות על ידי חברת תקשורת לצורך שיווק מוצרים ללקוחותיה ושיפור תנאי השירות, עשוי להפוך למידע עודף עם התנתקות הלקוחות מהחברה. דוגמא נוספת עשויה להיות חברת השכרת אופנועי שטח אשר מצלמת את רישיונות הנהיגה של לקוחותיה בטרם יציאה לנסיעה, בנוסף לחתימתם על מסמך המצהיר כי הם בעלי רישיון מתאים. לאחר סיום הנסיעה, וכאשר זו עברה ללא כל תקלות, נראה שאין כבר צורך בשמירת צילומי רישיונות הנהיגה ומידע זה הופך לעודף, במיוחד לאור העובדה כי הרישיונות כוללים מידע רגיש אודות הלקוחות. כלומר, שאלת הגדרתו של מידע כרלוונטי או עודף אינה עוסקת אך ורק בהיקף המידע, אלא כוללת בתוכה את מכלול ההיבטים של רלוונטיות פרטי המידע למטרת האיסוף ולמאגר בכל רגע נתון.
נכון להיום ולפי דברי הרשות, איסוף ושמירת מידע עודף מהווים פרקטיקה מקובלת בקרב חברות ותאגידים רבים. מצב זה עלול להוות פגיעה וסיכון לפרטיות בשלושה מישורים: פגיעה בפרטיות עקב איסוף ושימוש במידע עודף לגביו לא התקבלה הסכמה; פגיעה בפרטיות תוך שימוש במידע עודף למטרות ושימושים נוספים (פגיעה בעקרון צמידות המטרה); פגיעה בפרטיות כתוצאה מדליפת וחשיפת מידע עודף לגורמים לא מורשים, עקב כשל מצד בעל המאגר או פריצה מכוונת. על פי רוב, הנזק שנגרם כתוצאה מהמישור השלישי הוא בלתי הפיך.
דוגמא המדגישה את הסיכון לפרטיות כתוצאה מדליפת מידע עודף היא תופעת מתקפות הכופרה (Ransomware) במסגרתה עבריינים חודרים למאגרי מידע, גונבים את הפרטים השמורים בהם ומאיימים שיפרסמו את המידע באם לא יקבלו תשלום. פרסום המידע במקרה זה פוגע הן בפרטיות האנשים והן במוניטין החברה ממנה נגנב המידע. צמצום המידע העודף – הן בשלב האיסוף הראשוני והן לאורך תקופת שמירתו של המידע במאגר – עשוי לצמצם ולמזער את הסיכונים לפגיעה בפרטיות.
הרשות להגנת הפרטיות סקרה במסמכה את הוראות הדין הרלוונטיות ומצאה כי חוק הגנת הפרטיות והתקנות המצורפות לחוק דנים בנושא איסוף מידע בהתאם להסכמה ושימוש בו בהתאם למטרה מוגדרת. החוקים מבטאים בצורה ברורה את חובת צמצום המידע העודף בהקשר לאיסופו ולשימוש בו, אך אין התייחסות ישירה לנושא שמירת המידע מעבר לשימוש המיידי. גורמים מהרשות טוענים כי ניתן להתייחס ל'שמירת מידע' כצורת שימוש, ולכן ניתן להחיל את חובת הצמצום גם על שלב שמירת המידע. בהתאם, יש לאסוף ולשמור אך ורק את המידע המינימאלי הנדרש וההכרחי למטרות המאגר.
בנוסף לכך, בהתאם לחוק, בעל מאגר מידע מחויב לבצע בדיקות מקיפות לזיהוי מידע עודף אחת לשנה. על מנת להימנע ממצב בו קיים מידע עודף, הרשות ממליצה לבצע בדיקה זו מספר פעמים לאורך השנה וכתלות בסוג המידע השמור ומטרת איסופו. חשוב לדעת כי אי נקיטת אמצעים לצמצום מידע עודף, באם קיים, עשויה להוות הפרה של הוראות תקנות הגנת הפרטיות.
בניסיון לעודד צמצום מידע, הרשות התייחסה במסמך גם לתועלת עבור ארגונים שונים. לדוגמא, הם כתבו, צמצום מידע עודף במאגרי מידע עשוי להביא גם להפחתת העלויות וההשקעה הנדרשים לשם הגנה על מידע זה. ככל שהיקף המידע השמור הוא נרחב יותר או רגיש יותר כך רמת אבטחת המידע הנדרשת גבוהה יותר. בנוסף, במקרה של הדלפת מידע כפי המתואר לעיל, החברה עשויה להיות חשופה לתביעות משפטיות שיביאו לפגיעה כלכלית וכן לפגיעה במוניטין החברה. יתרון נוסף נמצא בחיזוק אמון הציבור אשר נמנע משימוש באמצעים מקוונים מסוימים עקב הצורך בסיפוק מידע אישי, יתכן כי התחייבות לצמצום המידע תסייע לחיזוק אמון המשתמשים.
בהקשר של צמצום מידע, הרשות מבקשת להדגיש את התועלת במינוי ממונה הגנת הפרטיות (DPO), שבין יתר תפקידיו, הינו הגורם המתאים והיעיל לבחינת הצעדים הננקטים בארגון למזעור הסיכון לפגיעה בפרטיות. חברתנו הינה חברת עורכי דין טכנולוגיים העוסקת מזה שנים במתן שירותי ממונה הגנת הפרטיות (DPO) בדגש על רגולציית GDPR, רגולציית CCPA ודיני הגנת הפרטיות הישראלית. בהתאם לכלל ההנחיות המצויות במסמך הרשות אנו עושים הכל כדי שתהיו מוגנים משפטית וטכנולוגית.