שינוי דרמטי בגישת הרגולטור בישראל : מה שעד
היום נחשב להסכמה – עלול מחר להיחשב להפרה
הרשות להגנת הפרטיות פרסמה לאחרונה
טיוטת גילוי דעת חדשה שמציגה תפיסה מחמירה
ומהותית בכל הנוגע למונח "הסכמה" בעיבוד מידע
אישי. בשונה מהמצב הקיים שבו ניתן היה להסתמך
על הסכמה מכללא או הסכמה משתמעת –
הרשות מסמנת מגמה ברורה : רק הסכמה מודעת,
מפורשת וחופשית תיחשב תקפה.
מה השתנה ?
1. הגבלת ההסתמכות על הסכמה מכללא
היעדר התנגדות מצד הלקוח כבר לא יספיק.
גם לחיצה סתמית על כפתור או שימוש שגרתי
במוצר – לא ייחשבו להסכמה.
הרשות דורשת מנגנוני Opt-In ברורים ואקטיביים,
בפרט כאשר מדובר במידע רגיש, או במצבים
בהם יש פער כוחות מובנה – למשל
בין מעסיק לעובד, או גוף ציבורי לאזרח.
2. שקיפות וחובת יידוע ברורה
יש להציג למשתמשים מידע ברור, פשוט ונגיש על
מטרות השימוש במידע, הסיכונים, זכויותיהם,
ויכולת הסירוב. ניסוחים כלליים, טקסטים מעורפלים
או "תיבות סימון מסומנות מראש" – עלולים להיחשב
להסכמה לא תקפה.
3. התמודדות עם פערי כוחות ודפוסים אפלים
הרשות שמה דגש על מקרים שבהם ההסכמה ניתנה
כתוצאה מלחץ, היעדר חלופה אמיתית
או "Dark Patterns" , כלומר טכניקות עיצוב מטעות
שמובילות להסכמה לא רצונית.
הסכמות כאלה לא יוכרו.
4. הזכות לחזור מהסכמה
על כל עסק לאפשר חזרה מהסכמה – בכל עת
ובאופן פשוט ונגיש. החובה אינה טכנית בלבד –
אלא מהותית, ובעלת השלכות רגולטוריות
במקרה של הפרה.
איך זה משפיע על חברות וארגונים ?
השינויים הללו מחייבים ארגונים לבחון מחדש את
כל מנגנוני איסוף ההסכמה, במיוחד בעולמות
ה- B2C בהם יש מגע ישיר עם משתמשים או
לקוחות. מי שלא ייערך בהתאם – עלול להיחשף
לחשיפה משפטית ורגולטורית :
• חקירות ואכיפה מצד הרשות להגנת הפרטיות.
• סנקציות כולל ביטול רישום מאגרי מידע.
• קנסות מנהליים ועיצומים כספיים.
• תביעות פרטיות מצד נושאי מידע.
מה כדאי לעשות כבר עכשיו ?
למפות את נקודות איסוף ההסכמה בארגון –
איפה נאסף מידע אישי ?
איך ניתנת ההסכמה בפועל ?
לבחון האם ההסכמות עומדות בסטנדרט
החדש – במיוחד כאשר מדובר במידע רגיש או
בקהלים מוחלשים.
לעדכן מסמכים משפטיים – תקנון, מדיניות
פרטיות, טפסים והסכמים מול לקוחות.
לאפשר מנגנון פשוט לחזרה מהסכמה
להכשיר את הצוותים בארגון – מנהלים,
אנשי שיווק, מכירות, שירות לקוחות ו- HR.
לסיכום
טיוטת גילוי הדעת משקפת מגמה ברורה של החמרת
הסטנדרטים בישראל להגדרת הסכמה תקפה בעיבוד
מידע אישי, ברוח רגולציית ה- GDPR האירופאית.
מדובר בהתפתחות רגולטורית קריטית שכל עסק,
סטארטאפ או ארגון העוסק באיסוף, עיבוד או שימוש
במידע אישי – חייב להכיר ולהיערך לקראתה.
זהו הזמן לבדוק את המדיניות הארגונית, לעדכן טפסים,
לחדד נהלים ולהתאים את תהליכי ההסכמה לסטנדרטים
החדשים – לפני שהרגולציה והסנקציות יפתיעו אתכם.
אהבתם ? שתפו את הדיוור עם הקהילה שלכם.
מנהלים חברה או סטארטאפ ומבקשים לוודא
שהשימוש שלכם במידע אישי עומד בדרישות החוק ?
מתלבטים איך לנסח הסכמות תקפות באתר, באפליקציה
או במסמכים משפטיים ?
זקוקים לעדכון מדיניות פרטיות, תקנון, או
נהלי שימוש במידע רגיש ?
רוצים לחדד את ההפרדה בין שימוש לגיטימי במידע לבין
כזה שחשוף לסנקציות ?
יש לכם שאלות, הערות, הארות, תובנות ותגובות ?
נשמח מאד לקרוא ולשמוע.
פנו אלינו עכשיו
אפשר בתגובה לדיוור זה
אפשר בוואצאפ ואפשר גם להתקשר – 0528328676
נשמח מאד לייעץ ולעמוד לרשותכם.
אנחנו מבטיחים לענות ולחזור לכולם.
בתקווה ותפילה לימים טובים ושקטים יותר
ולבשורות טובות.
שלכם,
שרית ואילן צדק
