הטור החודשי בנושא הגנת הפרטיות בארץ ובעולם 09-2025

הגנת הפרטיות בישראל 

טיוטת תקנות הגנת הפרטיות (התראה מינהלית), התשפ"ה-2025 -  להערות הציבור

משרד המשפטים הוציא טיוטת תקנות שנועדו לצורך קביעת נסיבות בהן תורשה הרשות להגנת הפרטיות לנקוט הליך אכיפה מנהלי, חלופי ומקל במקום הטלת עיצום כספי ורק במקרים בהם ניתן היה להטיל את העיצום הכספי.

להלן 4 נסיבות מקלות עיקריות:

1.  הפרת הוראה חדשה שניתן להטיל בגינה עיצום כספי.

2.  הפרה ראשונה של הוראות מסוימות בתקנות הגנת הפרטיות (אבטחת מידע),  התשע"ז-2017.3. 

3. הפרת הוראה לאחר שינוי מדיניות אכיפה לחומרה – במשך 3 החודשים הראשון ממועד פרסום ההודעה לציבור.

4.  הפרת הוראה שיש לגביה חוסר בהירות – במהלך 3 החודשים הראשונים ממועד פרסום ההודעה לציבור.

במידה ובתום הליך האכיפה יימצא כי לא הופרו הוראות החוק או התקנות, לא תימסר התראה מינהלית.עיון בטיוטה והגשת הערות באתר החקיקה הממשלתי - עד ליום 23.9.2025.

הרשות להגנת הפרטיות הטילה קנס בסך 70,000 ש"ח על מנהלי  הוט מובייל

בעקבות פניות שיווקיות חוזרות ונשנות במשך 3 שנים ללקוח עבר שלה, אשר ביקש להסיר את פרטיו, הוחלט ב- 8/2025 לקנוס את הוט מובייל ב- 70,000  ₪ מאחר ופעלה בניגוד לחוק הגנת הפרטיות ולכללי דיוור ישיר.

הפניות ללקוח העבר שפסק מלהיות לקוח פעיל של החברה ב- 2018 נמשכו גם לאחר שזה דרש מהם כעשרים פעמים להפסיק וזאת במהלך השנים 2022-2025.

ההפרות שמצאה הרשות להגנת הפרטיות:

• שימוש לא חוקי במידע.
• בעיות בדיוור ישיר.
• התעלמות מבקשותיו להסרתו מרשימת הדיוור.

סכסוך בין הנהלת חברת הביטוח הפניקס לעובדיה בשל דרישת ההנהלה להתקנת אפליקציית נוכחות בטלפונים של העובדים

בימים אלה נמצאת חברת הביטוח הפניקס בתהליך של מעבר למתחם האלף בראשון לציון; מקור הסכסוך נובע מכך שהנהלת החברה החליטה על ביטול תגי העובדים והחלפתם באפליקציית נוכחות שתותקן על הטלפונים האישיים של העובדים.

ועד העובדים דרש מההנהלה לספק טלפונים לעובדים בשל דרישה זאת, וזאת מחשש לפגיעה בפרטיותם אך זו סירבה. מאחר וכך, ועד החברה פנה לרשות להגנת הפרטיות בדרישה לבחינת חוקיות הדרישה. 

המעבר למשרד החדש, מתקדם, חכם ונטול תגי עובדים, עשוי להציג עצמו כמהלך ארגוני אך כמו כן עשוי להציג מאחוריו שאלה עקרונית הרבה יותר והיא עד כמה מותר למעסיק 'להיכנס' לחייו הדיגיטליים של עובד בשל ההתייעלות?

מעקב דיגיטלי בעידן העבודה ההיברידית הינו  גבול דק בין ניהול לגיטימי של עובדים לבין חדירה מוגזמת לחייהם האישיים.  כשמעסיק דורש התקנת אפליקציה על טלפון פרטי – הוא למעשה גם דורש גישה לסביבה האישית של העובד.דרישה כזו להפוך את הטלפון לכלי ניטור, אפילו אם בשם 'נוכחות', עלולה להיתפס כפלישה טכנולוגית בתחפושת לוגיסטית.

 הגנת הפרטיות - בעולם

דיסני תיקנס ב-10 מיליון דולר על הפרת פרטיות ילדים

הרשות הסחר הפדרלית בארה"ב קנסה את דיסני ב־10 מיליון דולר לאחר שנמצא כי החברה אפשרה איסוף לא חוקי של מידע אישי מילדים שצפו בסרטונים בערוצי היוטיוב שלה.

לפי התביעה, דיסני סיווגה חלק מהתכנים שלה כ"לא לילדים", למרות שמדובר בסרטונים ברורים לילדים, כתוצאה מכך נחפשו ילדים לפרסומות מותאמות אישית ולפיצ'רים לא מתאימים לגילם, מבלי שהוריהם נתנו לכך הסכמה, דבר הנוגד לחוק הגנת פרטיות ילדים ברשת בארה"ב.

ההסדר עם ה־FTC לא רק מחייב את דיסני לשלם את הקנס, אלא גם להקים מנגנון בקרה פנימי שיבטיח שכל סרטון יוגדר נכון כמיועד או לא מיועד לילדים. בכך, הרגולטור מאותת לחברות ענק שהפרות פרטיות של ילדים אינן "טעות טכנית", אלא הפרה מהותית של אמון הציבור.

בית המשפט הכללי אישר את המסגרת החדשה בין האיחוד האירופי לארה"ב

בית המשפט הכללי של האיחוד האירופי דחה עתירה שביקשה לבטל את החלטת הנציבות האירופית להכיר בארה"ב כמדינה שמבטיחה רמת הגנה נאותה למידע אישי המועבר מהאיחוד האירופי. העתירה טענה כי מנגנון ה־Data Protection Review Court בארה"ב אינו עצמאי, וכי סוכנויות המודיעין האמריקאיות ממשיכות לבצע איסוף גורף של מידע אישי מאזרחי האיחוד באופן לא חוקי.

בית המשפט קבע כי מנגנון ה־DPRC כולל אמצעי הגנה שמבטיחים עצמאות והגינות מספקת; שאיסוף גורף של מידע בארה"ב כפוף לפיקוח שיפוטי בדיעבד, ועומד ברף שנקבע בפסיקה הקודמת (Schrems II) ושהנציבות האירופית מחויבת לפקח באופן שוטף על המסגרת, ויכולה להשהות או לבטל אותה אם יחול שינוי מהותי בחוק האמריקאי.
בניגוד לפסיקות Schrems I ו־Schrems II שביטלו הסדרים דומים בעבר, הפעם האיחוד נותן תוקף למסגרת החדשה להעברת מידע בין אירופה לארה"ב. הדבר מספק יציבות משפטית לחברות שמעבירות נתונים לארה"ב, אך משאיר את הדלת פתוחה לערעור נוסף בבית הדין האירופי לצדק.

גרסה חדשה ל־ISO/IEC 27018

פורסמה המהדורה השלישית של ISO/IEC 27018:2025, התקן שמגדיר את עקרונות ההגנה על מידע אישי מזהה (PII) בעננים ציבוריים המשמשים כמעבדי מידע. המהדורה החדשה מותאמת לגרסה המעודכנת של ISO/IEC 27002:2022, ונשענת על מסגרת ISO/IEC 27001:2022. בנספח A נכללות הבקרות הייחודיות ל־27018, אך הפעם מדובר בעדכונים נקודתיים בלבד ביחס למהדורה הקודמת. למרות שהשינויים אינם מהותיים, התקן מחדד את הציפייה מארגוני ענן ציבורי לתת עדיפות גבוהה לנושאי פרטיות, ולשמור על הלימה עם שאר התקנים במשפחת ה־27000. מדובר בתזכורת חשובה עבור חברות המשתמשות בשירותי ענן לבדוק שוב את בקרות האבטחה והפרטיות שלהן כדי לוודא עמידה בדרישות המתעדכנות.

בתי המשפט באירופה משרטטים גבולות חדשים

בתי המשפט של האיחוד האירופי פרסמו השבוע שלוש פסיקות מרכזיות שמעצבות מחדש את הדרך שבה נאכף ה־GDPR ומפורש המונח "מידע אישי", שזה כולל:

1. הטענה שהחוק האמריקאי לא מספק הגנה מספקת נדחתה. המשמעות היא שחברות יכולות להמשיך להעביר מידע לארה"ב תחת המסגרת הקיימת לעת עתה אבל כללי המשחק עוד עשויים להשתנות בהמשך.
   
   
2. מידע "מזוהה חלקית" לא תמיד מידע אישי. בית הדין קבע שלא כל מידע פסאודונימי (טשוש זהות) נחשב אוטומטית כמידע אישי. זה תלוי בהקשר וביכולת של מקבל המידע לזהות את האדם. בשורה תחתונה טשטוש זהות יכולה להיות כלי אפקטיבי להפחתת חובות פרטיות אם היא נעשית נכון.
   
   
3. גם תחושות כמו דאגה או כעס עקב שימוש לא מורשה במידע אישי עשויות להיחשב כנזק לא־ממוני המזכה בפיצוי. המשמעות היא שחברות יכולות להתכונן לתביעות גם על פגיעה "רכה" יותר, לא רק על נזקים כספיים.

טור זה מהווה תקציר אירועים וחדשות שפורסמו ברשת, ואין לראות בו תחליף לייעוץ משפטי, רגולטורי או טכני. פריימסק אינה אחראית למהימנות המידע ושמורה לה הזכות לעדכן ולתקן את המידע בכל עת.