בעידן של זרימה ושיתוף של מידע, מידע הופך להיות פעמים רבות הנכס המרכזי של הארגון. שוויו של המידע ופרטי נשואי המידע (אנשים שמידע עליהם נמצא במאגר המידע) הולך וגדל בשנים האחרונות. כך, לדוגמא, כאשר פייסבוק רכשה זכויות באפליקציית המסרים וואטסאפ, תמורת לא פחות מ- 16 מיליארד דולר, היא לא רכשה פטנטים, עובדים או ידע ייחודי. היא רכשה מידע לגבי 450 מיליון המשתמשים שעשו באותה העת שימוש באפליקציית וואטסאפ ואת המידע העתידי שצפוי להתקבל ממשתמשים חדשים בעתיד. המידע על המשתמשים באפליקציה, הדאטה, היה הנכס המרכזי שנמכר באותה עסקה. מידע, כך מסתבר, שווה היום הרבה מאוד כסף.
כמעט כל מיזם עסקי אוסף מידע ונתונים על לקוחות ומשתמשים. איזה מידע מותר לאסוף? האם נדרשת הסכמת נשואי המידע? מה מותר לעשות עם המידע? מתי קיימת חובה לרשום את מאגר המידע במשרד המשפטים? ומה הם נהלי אבטחת המידע שצריך לבצע כדי להחזיק ולנהל מאגר מידע באופן חוקי? אנחנו כאן כדי לעשות לכם סדר.
נראה שפרטיות היום היא מצרך נדיר. היכן שנלך, נידרש לחשוף פרטים אישיים כדי לקבל שירות כזה או אחר. לכן חשוב שגם אלו אשר אוספים את המידע על אחרים, יעשו זאת בזהירות הנדרשת. כבר עתה אציין שמותר על פי חוק לאסוף, להחזיק ולנהל מאגרי מידע. עם זאת, חשוב לעשות זאת בצורה חוקית ולעמוד בדרישות הוראות החוק. חוק הגנת הפרטיות מגדיר את מונח "מאגר מידע" כ"אוסף של נתוני ידע, המוחזק באמצעי מגנטי או אופטי והמיועד לעיבוד ממוחשב". החוק מחריג ולכן לא חל, על מידע שנאסף לשימוש אישי וכן על מידע שכולל רק שם, מען ודרך התקשרות (כגון מספר טלפון אבל לא דוא"ל). הרעיון הוא פשוט - אם אוספים מידע שמאפשר זיהוי של אדם, בין אם המידע שנאסף לבדו ובין אם בשילוב עם מידע שקיים ברבים או מאגרים אחרים, חייבים לעמוד בדרישות החוק ותקנות הגנת הפרטיות (אבטחת מידע) ולשמור על הפרטיות של נשואי המידע.
במרבית המקרים, קיימת חובה חוקית או רגולטורית לקבלת הסכמה של מוסר המידע לאיסוף המידע אודותיו. צריך להסביר למוסר המידע אם חלה עליו חובה חוקית למסור את המידע או האם הוא נמסר מרצונו החופשי, מהי המטרה של איסוף המידע, למי יימסר המידע ולאיזו מטרה. חובה לאסוף, להחזיק ולנהל אך ורק את המידע הנדרש ורק לשם מטרה ראויה. בנוסף, חובה לאפשר למוסר המידע לעיין במידע, לתקן אותו או למחוק אותו מהמאגר והכל באופן פשוט ונוח.
במקרים הבאים אף חובה לרשום את המאגר במשרד המשפטים: מספר נשואי המידע במאגר הינו יותר מ- 10,000 אנשים; המאגר כולל מידע רגיש (כגון נתונים על מצב כלכלי, בריאותי, מס' ת.ז. וכד'); המידע לא נמסר על ידי נשואי המידע, מטעמם או בהסכמתם; המאגר שייך לגוף ציבורי; או, המאגר משמש לשירותי דיוור ישיר. כמו כן, מי שמחזיק ביותר מחמישה מאגרי מידע החייבים ברישום, יצטרך גם להגיש מדי שנה לרשם להגנת הפרטיות, דו"ח מפורט עם פרטי המאגרים וממונה אבטחת המידע שאמון עליהם בארגון.
בנוסף, תקנות הגנת הפרטיות (אבטחת מידע) קובעות ארבע דרגות אבטחת מידע של ארגונים, החל מרמת אבטחה בסיסית הנדרשת עבור מאגר יחיד או מאגרים קטנים ועד רמת אבטחה גבוהה המחייבת פעולות ומוצרי אבטחה מתקדמים, הגשת דו"חות תקופתיים, מינוי ממונה פרטיות ומינוי אחראי אבטחת מידע בארגון.
כדאי לדעת כי לא רק בעל המאגר מחוייב לעמוד בדרישות החוק להגנת הפרטיות ובתקנות הגנת הפרטיות (אבטחת המידע). למעשה, כל מי שיש לו נגישות כלשהי למידע במאגר, מחוייב לעמוד בדרישות החוק, לרבות נותני שירותים חיצוניים לארגון, עורכי דין, רואה חשבון וכד'. מי שלא יפעל בהתאם לדרישות החוק יסתכן בתביעת פיצויים ללא הוכחת נזק של עד 50,000 שקל ואף מאסר לשנה. לכל אחד מאיתנו קיימת הזכות לפרטיות, בואו נשמור על הפרטיות לטובת כולנו.
עו"ד ונוטריון ליאת גלילי-פרל היא שותפה במשרד פרל עורכי דין, מרצה במכללה האקדמית ברמת גן בתוכנית מערכות מידע וחברה בלשכה לטכנולוגיות המידע בישראל. אין באמור משום ייעוץ משפטי.