בנקאות ופיננסים | טיוטת גילוי דעת הרשות להגנת הפרטיות בנושא העברת מידע לחו"ל

ביום 3 בינואר 2022 פרסמה הרשות להגנת הפרטיות להערות הציבור טיוטת גילוי דעת בנושא פרשנות תקנה 3 לתקנות העברת מידע לחו"ל.[1]

תקנות העברת מידע לחו"ל, אשר הותקנו בשנת 2001, קובעות מגבלות על העברת מידע ממאגר מידע בישראל אל מחוץ לגבולותיה ותנאים להעברת מידע כאמור.

התקנות קובעות איסור על העברת מידע לחו"ל, אלא אם הדין החל במדינה שאליה מועבר המידע מבטיח כי המידע המועבר יוגן ברמה שאינה פחותה מרמת ההגנה על מידע הקבועה בדין הישראלי, ובכלל זה קובע עקרונות כגון חובת איסוף מידע ועיבודו באופן חוקי והוגן; חובת החזקה, שימוש ומסירה של מידע רק למטרה שלשמה הוא נתקבל; ומתן זכות עיון ותיקון למי שהמידע עליו.[2] לפי התקנות ניתן להעביר מידע לחו"ל גם אם מי שהמידע עליו הסכים להעברה; אם המידע מועבר לתאגיד שנתון לשליטתו של בעל מאגר המידע שממנו מועבר המידע; אם המידע כבר פורסם לרבים לפי דין; ואם העברת המידע הכרחית לשם הגנה על שלום הציבור או ביטחונו, או מחויבת לפי הדין בישראל.[3]

התקנות קובעות שבהעברת מידע מכוחן, על בעל מאגר המידע להבטיח, בהתחייבות בכתב של מקבל המידע, כי מקבל המידע נוקט אמצעים מספיקים להבטחת פרטיותם של מי שהמידע עליהם, וכי הוא מבטיח שהמידע לא יועבר לכל אדם זולתו, בין באותה מדינה ובין במדינה אחרת.[4] טיוטת גילוי הדעת עוסקת בפרשנות רשות הגנת הפרטיות להוראה זו.

לעמדת רשות הגנת הפרטיות, האיסור הגורף שמטילות התקנות על גורם במדינה זרה שקיבל מידע מישראל, להעביר מידע זה לבעל מאגר אחר, או לגלות אותו במסגרת הסתייעות במיקור חוץ, הפך זה מכבר להוראה בלתי ישימה שאינה תואמת את ההתפתחויות הטכנולוגיות שחלו מאז הותקנו התקנות, שגם אין לה מקבילה ברגולציית הגנת המידע של האיחוד האירופי (ה-GDPR).

לפיכך מבהירה הרשות במסגרת טיוטת גילוי הדעת, שלשיטתה האיסור על הגורם במדינה הזרה להעביר את המידע לצד שלישי לא חל אם ניתנה לכך הסכמה בכתב של בעל המאגר שממנו הועבר המידע בישראל, ובלבד שעצם העברת המידע לצד שלישי נעשתה כדין (קרי – על בסיס הסכמה של מי שהמידע עליו או הסמכה מכוח חוק, כך שאילו היה המידע מועבר ישירות מישראל לאותו צד שלישי, היו מתקיימים בהעברת מידע זו, בפני עצמה, הוראות התקנות). עמדת הרשות נמסכת על פרשנות לפיה ניתן לראות בהעברת מידע לצד שלישי במדינה זרה, כהעברה חדשה של מידע מישראל (להבדיל מהעברה נוספת במדינה הזרה).

הרשות מבהירה גם שהיקף ותוכן ההתחייבות שיש לקבל לפי תקנה 3 יכולים להיות מצומצמים יחסית, כתלות בהיקף המידע, רגישותו והנסיבות הצריכות לעניין, גם אם ההתחייבות אינה זהה במדויק לדיני הגנת הפרטיות בישראל.

ניתן להעביר לרשות הגנת הפרטיות התייחסויות לטיוטת גילוי הדעת עד ליום שני, 24 בינואר 2022.

לפרטים נוספים ולייעוץ בנושא, ניתן לפנות לעו"ד אביעד לחמנוביץ' או עו"ד גיא פוקס ממחלקת הבנקאות במשרדנו.

[1] תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001; וראו קישור לפרסום רשות הגנת הפרטיות.

[2] תקנה 1 לתקנות העברת מידע לחו"ל.

[3] תקנה 2 לתקנות העברת מידע לחו"ל.

[4] תקנה 3 לתקנות העברת מידע לחו"ל.