תזכיר חוק

א. שם החוק המוצע

חוק הגנת הפרטיות (תיקון מס׳ ) (הגדרות וצמצום חובת הרישום), התש"ף -2020.

ב. מטרת החוק המוצע, הצורך בו, עיקרי הוראותיו והשפעתו על הדין הקיים

מטרת התיקון המוצע לחוק הגנת הפרטיות, התשמ"א - 1981 (להלן "החוק") כפולה. ראשית, הוא נועד לצמצם את היקף חובת הרישום על מאגרי המידע על מנת למקד את הפעילות הרגולטורית במאגרים המציבים איומים משמעותיים לפרטיות ובפעולות פיקוח ואכיפה.

שנית, התיקון יביא להתאמת ההגדרות הקבועות בחוק הנוגעות להגנה על מידע אישי ממוחשב להתפתחויות הטכנולוגיות, החברתיות והמשקיות המפליגות שהתרחשו מאז נחקק, ולהסדרים מודרניים של הגנת מידע אישי במדינות מובילות בעולם ובמישור הבינלאומי, ובראשם רגולציית הגנת המידע של האיחוד האירופי (להלן

.(GDPR -

הזכות לפרטיות היא זכות חוקתית מוגנת על פי סעיף 7 לחוק-יסוד: כבוד האדם וחירותו.

פרק ב׳ לחוק הגנת הפרטיות מסדיר את ההגנה על המידע במאגרי מידע. הפרק מגדיר מהו מאגר מידע ומבחין בין סוגים שונים של מידע, מקים מסגרת הסדרה של רישום ופיקוח על מאגרי מידע, וקובע הוראות לגבי איסוף המידע למאגרי המידע, אופן ניהול מאגרי מידע והשימוש במידע האגור בהם. תכלית ההסדר בפרק ב׳ היא למנוע פגיעה בפרטיות בהקשר של מאגרי מידע, לקבוע את חובותיהם של בעלי התפקידים ביחס למאגר המידע ולעגן את זכויות נושאי המידע.

במהלך השנים התגבשה פרשנות משפטית רחבה להגדרות היסוד הנוגעות למאגרי המידע, ובראשן הגדרת "מידע". התיקון המוצע מבקש להפנים להגדרות את הפרשנות שהתגבשה בדרך שאף תהלום את החקיקה הזרה המתקדמת בתחום, ובכלל זה ^GDPR. בנוסף, מוצע להוסיף הגדרות למונחים מרכזיים, כדוגמת "בעל מאגר מידע".

סעיף 8 לחוק מטיל על בעל מאגר לרשמו אם נתקיימו בו אחת מאלה (למעט אם יש בו רק מידע שפורסם לרבים על פי סמכות כדין או שהועמד לעיון הרבים על פי סמכות כדין):

1. מספר האנשים שמידע עליהם נמצא במאגר עולה על 10,000 ;

2. יש במאגר מידע רגיש;

3. המאגר כולל מידע על אנשים והמידע לא נמסר על ידיהם, מטעמם או בהסכמתם למאגר זה;

4.  המאגר הוא של גוף ציבורי כהגדרתו בסעיף 23 ;

5. המאגר משמש לשירותי דיוור ישיר כאמור בסעיף 17ג.

לצד זאת, הרשם רשאי להורות על קיום חובת רישום לגבי מאגר הפטור מחובת רישום, מטעמים מיוחדים שיירשמו.

בבסיסו של ההסדר הקיים, הקובע את חובת הרישום, מטרות שונות, שעיקרן שקיפות לציבור לעניין קיומם של מאגרי מידע, כלי אכיפה בידי הרשם (מיפוי המאגרים הקיימים וכלי להגברת הציות לחוק) וכלי לניהול מאגרי מידע בידי בעלי המאגרים (אמצעי להפנמת החובות הקבועות בפרק בי לחוק).

הניסיון מלמד, עם זאת, כי המרשם אינו ממלא את מלוא מטרות אלה ובהיקפו הנוכחי אינו בהכרח הדרך היעילה להגשמתן. התועלת הישירה לציבור ולרשם במרשם בהיקפו הנוכחי - מצומצמת, שכן המרשם כולל רק פרטים על המאגרים החייבים ברישום. נוסף לכך, חובת הרישום, ככלל, אף לא מהווה אמצעי פיקוח יעיל בידי הרשם, בשל היקפה הרחב.

במהלך השנים התעוררו ספקות לעניין האפקטיביות של הרישום ומידת הרלוונטיות של ההסדר למציאות הטכנולוגית הנוכחית ולהיקף הנרחב של מאגרי המידע הקיימים כיום. כך, חובת הרישום של מאגרי המידע נבחנה במסגרת דין וחשבון שהגיש בינואר 2007 הצוות לבחינת החקיקה בתחום מאגרי המידע בראשות מר יהושע שופמן (להלן - "דו"ח צוות שופמן" או "דו"ח הצוות"). דעת הרוב של הצוות תמכה בצמצום חובת הרישום, בשל עמימותה, היקפה הרחב המביא להקצאת משאבים מיותרת של יחידת הרשם, ובשל היעדר יכולת לאכיפתה.

גם הניסיון שהצטבר ברשות להגנת הפרטיות מלמד על היעדר אפקטיביות של המתכונת הנוכחית של חובת הרישום. היכולת המעשית של הרשם לברר בירור מוקדם, במסגרת פרק הזמן שנקבע בחוק, את מאפייני הפעילות הקונקרטית המתוארת באופן כללי בכל בקשת רישום מאגר, את הסיכונים שהפעילות מייצרת, ואת אופן ההתמודדות של הארגון עם סיכונים אלה היא נמוכה, ובמקרים רבים אינה האמצעי המאסדר היעיל להגברת הציות. בנוסף, טעות נפוצה היא כי רישום המאגר מהווה "תעודת כשרות" לפעילות העיבוד המבוצעת. ההבנה כי האפקטיביות של חובת הרישום מוגבלת, הובילה בין השאר לביטול אגרת רישום מאגרי מידע בשנת 2017.

לאור תובנות אלה הפיץ משרד המשפטים בשנת 2012 תזכיר חוק לצמצום חובת הרישום ולהמרתו בחובת החזקת מסמכים (תזכיר חוק הגנת הפרטיות (תיקון מסי...) (צמצום חובת הרישום וקביעת חובה לקיום סדרי ניהול וכללי עבודה ולתיעודם במסמכים), התשע"ב-2012) אשר לא הבשיל לכדי הצעת חוק.

יצוין כי גם במישור הבין לאומי התקבלה ההבנה כי מנגנון הרישום הגורף אינו יעיל. כך, חובת ^notification הדומה לדרישת הרישום בישראל, שנגזרה מהדירקטיבה האירופית להגנת מידע אישי משנת ^[1]1995, נתקלה שנים רבות בביקורת בטענות לחוסר יעילות והתמקדות בטפל. ביקורת זו התקבלה במסגרת חקיקת ^GDPR, במסגרתה הושמטה חובת היידוע הגורפת.

שילוב התובנות שלעיל מביא לכך שיש מקום לצמצם את חובת הרישום. לצד זאת, לגישת הגורמים המקצועיים ברשות להגנת הפרטיות, יש חשיבות בשימור מוגבל של החובה באופן שיאזן בין תועלות מסוימות הכרוכות בו לבין ההקלה שצמצומו יביא בנטל הרגולטורי. איזון זה מתבטא בהסדר המוצע, שלפיו החובה תחול רק על מאגרי המידע המהווים את הסיכון הגדול ביותר לפרטיות - מאגרי מידע בהם מעל 100,000 נושאי מידע, שיש בהם רגישות מיוחדת בשל סוג המידע הכלול בהם, בשל סוג בעל המאגר (גוף ציבורי), בשל מטרת עיבוד המידע, וכוי.

ההיקף המוצע של החובה גובש, בין היתר, תוך הערכה של מספר המאגרים הצפויים להיות כפופים לחובה, באופן שיאפשר לרשם לבדוק באופן מקיף וקפדני יותר את הבקשות לרישום, בהתחשב בין היתר באופי המאגרים.

בחודש מרץ 2018 אישרה הכנסת בקריאה ראשונה את הצעת חוק הגנת הפרטיות (תיקון מסי 13), התשע"ח- ²2018 (להלן - הצעת חוק לתיקון מסי 13 או תיקון מסי 13) שעיקרה שיפור ועדכון יכולות הפיקוח והאכיפה המוקנות כיום לרשם מאגרי המידע ולעובדי הרשות הגנת הפרטיות, לרבות סמכות להטלת עיצומים כספיים, וסמכויות בירור מינהלי ואכיפה. מכיוון שהליכי החקיקה של הצעת החוק לא הושלמו במהלך הכנסת ה-20, בכוונת הממשלה לשוב ולקדם את חקיקת תיקון מסי 13, וזאת במקביל לקידום חקיקת התיקון שבנדון.

התיקונים האמורים - תיקון מסי 13 והתיקון המוצע עתה - עומדים בפני עצמם אך כמובן שיש ביניהם זיקה משמעותית. עדכון ודיוק ההגדרות יסייעו בשיפור מידת הבהירות באשר להתנהגויות האסורות, וצמצום חובת הרישום יאפשר התמקדות באכיפה הפלילית והמינהלית.

להשלמת התמונה יצויין כי בחודשים הקרובים, בכוונת משרד המשפטים לפרסם תזכיר חוק נוסף שישלים את מהלך התיקון המהותי הנדרש לשם עדכון החוק הקיים והתאמתו למציאות בת זמננו. תיקון זה צפוי לכלול סוגיות מהותיות כגון הרחבה של הבסיסים המשפטיים המותרים לעיבוד מידע, מעבר להסכמה והסמכה בחיקוק, הרחבה ועדכון של רשימת הזכויות המוקנות לנושאי המידע והסדרים המשקפים אחריותיות של בעל מאגר ומחזיק. דחיית הסדרתן של סוגיות אלה לתזכיר נוסף ונפרד נובעת מן המורכבות הרבה שלהן, המחייבת איזון עדין בין אינטרסים וזכויות, ומחוסר הרצון לעכב את קידום שאר הצעות החוק הדחופות והבשלות שעל הפרק.

ג. השפעת החוק המוצע על קבוצות אוכלוסייה מסוימות

מוצע לקבוע בתזכיר החוק כי מידע אודות אמונותיו של אדם, וכן מידע אודות גזע או מוצא של אדם, ייחשב כמידע בעל רגישות מיוחדת. להגדרת "מידע בעל רגישות מיוחדת" נפקות לעניין תחולת חובת הרישום על מאגר מידע.

ד. השפעת תזכיר החוק המוצע על התקציב ועל התקן המנהלי של המשרד היוזם, משרדים אחרים ורשויות אחרות

צמצום החובה עשוי לחסוך במשאבי הטיפול בבקשות הרישום מן הסוגים שלא יהיו כלולים בהסדר החדש. משאבים אלה ניתן יהיה להפנות לאכיפה ופיקוח וכן לבדיקה מעמיקה ויעילה יותר של המאגרים שימשיכו להיות כפופים לחובת הרישום, בהלימה לסיכון הגדול יותר שהם משקפים לפרטיות.

ה. נוסח תזכיר החוק המוצע ודברי הסבר

תזכיר חוק מטעם משרד המשפטים:

תזכיר חוק הגנת הפרטיות (תיקון מס׳...((הגדרות וצמצום חובת הרישום(, התש"ף - 2020

תיקון סעיף 3                        בחוק הגנת הפרטיות, התשמ"א-1981^[2] (להלן - החוק העיקרי), בסעיף 3 -

(1)  במקום ההגדרה "מחזיק, לעניין מאגר מידע" יבוא:

""מחזיק" - מי שבמסגרת התקשרות עם בעל המאגר למתן שירות לבעל המאגר או בשמו, קיבל ממנו הרשאה לעשות שימוש במידע במאגר המידע לשם כך;"

(2)  בהגדרה "שימוש", אחרי "לרבות" יבוא "אחסון, עיון, ארגון, תיקון, השלמה, אחזור, מחיקה;"

תיקון סעיף 7 ₂. בסעיף 7 לחוק העיקרי -

(1)  אחרי ההגדרה "אבטחת מידע" יבוא:

""בעל מאגר מידע" - מי שקובע, לבדו או יחד עם אחר, את מטרות עיבוד המידע במאגר המידע, או גוף שהוסמך בחיקוק לנהל מאגר מידע;"

(2)  במקום ההגדרה "מאגר מידע" יבוא:

""מאגר מידע" - אוסף פרטי מידע המוחזק באמצעי דיגיטלי, למעט:

(1) אוסף לשימוש אישי שאינו למטרות עסק;

(2) אוסף הכולל רק שם, מען ודרכי התקשרות, ובלבד שאין בפרטים אלה כדי ללמד על מידע נוסף, ושלבעל האוסף או לתאגיד שבשליטתו אין אוסף נוסף;"

(3)  במקום ההגדרה "מידע" יבוא:

""מידע" - נתון הנוגע לאדם מזוהה או לאדם הניתן לזיהוי, במישרין או בעקיפין, באמצעים סבירים, לרבות מספר זהות, מידע ביומטרי, וכל נתון מזהה ייחודי אחר;"

(4)  אחרי ההגדרה "מידע" יבוא:

""מידע ביומטרי" - נתון המשמש לזיהוי אדם, שהוא מאפיין אנושי פיזיולוגי או התנהגותי ייחודי, הניתן למדידה ממוחשבת;"

""מידע בעל רגישות מיוחדת" -

(1)  מידע על צנעת חייו האישיים של אדם, לרבות התנהגותו ברשות היחיד;

(2)  מידע רפואי או מידע על מצבו הנפשי של אדם;

(3)  מידע גנטי כהגדרתו בחוק מידע גנטי, התשס"א-2000;

(4)  מידע אודות דעותיו הפוליטיות או אמונותיו של אדם;

(5)  מידע על אודות עברו הפלילי של אדם;

(6)  נתוני מיקום ונתוני תעבורה, כהגדרתם בחוק סדר הדין הפלילי (סמכויות אכיפה - נתוני תקשורת), התשס"ח- 2007;

(7)  מידע ביומטרי;

(8)  מידע על גזע או מוצא של אדם;

(9)  מידע על נכסיו של אדם, חובותיו והתחייבויותיו הכלכליות, מצבו הכלכלי או שינוי בו, יכולתו לעמוד בהתחייבויותיו הכלכליות ומידת עמידתו בהן;

(10) הרגלי צריכה של אדם, שיש בהם כדי ללמד על מידע לפי פרטים (1) עד (8) ;

(11) מידע נוסף שקבע שר המשפטים, בצו, באישור ועדת החוקה חוק ומשפט של הכנסת;"

(5)  ההגדרה "מידע רגיש" - תימחק.

(6)  אחרי ההגדרה "מנהל מאגר" יבוא:

""עיבוד" - איסוף או שימוש;" תיקון סעיף 8 ₃. בסעיף 8 לחוק העיקרי -

(1)  סעיף קטן (ב) - בטל;

(2)  בסעיף קטן (ג) -

(א)      ברישה, אחרי "בעל מאגר מידע" יבוא "שיש בו מידע על אודות 100,000 אנשים ומעלה";

(ב)      במקום פסקה (1) יבוא:

"(1) מאגר מידע שמטרתו העיקרית היא איסוף מידע לצורך מסירתו לאחר כדרך עיסוק, לרבות שירותי דיוור ישיר;"

(ג)      בפסקה (2), במקום "מידע רגיש" יבוא "מידע בעל רגישות מיוחדת";

(ד)      בפסקה (4), במקום "בסעיף 23" יבוא "בסעיף 23(1)";

(ה)      פסקה (5) - תימחק.

(3)  במקום סעיף קטן (ה) יבוא:

"(ה) הרשם רשאי, מטעמים מיוחדים שיירשמו, להורות על קיום חובת רישום לגבי מאגר שלא חלה עליו חובת רישום לפי סעיפים קטנים (ג) ו-(ד), אם השתכנע כי הדבר דרוש לשם הבטחת קיום הוראות חוק זה לגבי מאגר המידע, או להורות על פטור מחובת רישום לגבי מאגר מידע החייב ברישום לפי סעיפים קטנים (ג) ו- (ד), אם השתכנע כי הרישום אינו דרוש לשם הבטחת קיום הוראות חוק זה לגבי מאגר המידע; הוראה כאמור תומצא לבעל המאגר ותפורסם באתר האינטרנט של הרשם."

4. אחרי סעיף 8 לחוק העיקרי יבוא:

"ניהול חוקי 8א לא ינהל אדם ולא יחזיק מאגר מידע אם המידע

הכלול בו נתקבל, נצבר, נאסף או נוצר בניגוד לחוק זה או בניגוד להוראות כל דין המסדיר עיבוד מידע."

דברי הסבר

סעיף 1

תיקון הגדרת מחזיק - המונח מחזיק, לעניין מאגר מידע, מוגדר היום בסעיף 3 לחוק כך: "מי שמצוי ברשותו מאגר מידע דרך קבע והוא רשאי לעשות בו שימוש". מוצע לעדכן את הגדרת מחזיק כך שתחודד ההבחנה בינו לבין בעל מאגר מידע, מחד, ומורשה גישה, מאידך. ההגדרה המוצעת עומדת על המהות של מחזיק - מי שקיבל מבעל המאגר, במסגרת התקשרות עימו למתן שירות, הרשאה לעשות שימוש במידע במאגר המידע לשם כך. הגדרה זו אף מבהירה כי אין צורך בהכרח בהחזקה פיסית של עותק מן המאגר, על מנת להיחשב כמחזיק.

יצוין כי ביטוי לתפיסה זו של מהות המחזיק עוגן במסגרת תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017. (להלן - תקנות אבטחת מידע).

תיקון הגדרת שימוש והוספת הגדרת עיבוד - המונח שימוש מוגדר בסעיף 3 על דרך הריבוי: "שימוש - לרבות גילוי, העברה ומסירה". המכנה המשותף לפעולות אלה המנויות במפורש, הוא שהן פעולות המתייחסות להוצאת מידע או להפצת מידע מעבר למשתמשים "הרגילים" של המאגר אולם אין מדובר ברשימה ממצה של הפעולות הנכללות בדין הקיים במונח "שימוש".

במהלך השנים ועם התפתחות הטכנולוגיה התעורר הצורך להבהיר ולתת ביטוי במסגרת ההגדרה לסוגים נוספים של פעולות המבוצעות במידע שבמאגר, במסגרת הפעילות השוטפת של המאגר, ובכלל זה אחסון, עיון, ארגון, תיקון, השלמה, אחזור ומחיקה. אשר על כן מוצע להוסיף להגדרה גם פעולות אלה. יצוין לעניין זה כי עיון יכול להתבצע בדרכים שונות, בהתאם לאופן בו מוחזק המידע, ולכן כולל גם צפייה בסרטון, או האזנה לקובץ קול.

לצד תיקון הגדרת שימוש, מוצע להוסיף הגדרת "עיבוד" - "איסוף או שימוש". מכלול שלושת סוגי הפעולות הללו - איסוף, פעולות שוטפות במאגר, והפצת מידע מן המאגר - מבטא היבטים שונים של פעולות במידע אישי, המוסדרות בחוק. יצוין כי ההגדרות הולמות את ההגדרה בסעיף 4(2) ^gdp :

Processing' means any operation or set of operations which is performed on personal data or on' sets of personal data, whether or not by automated means, such as collection, recording, organisation, structuring, storage, adaptation or alteration, retrieval, consultation, use, disclosure

by transmission, dissemination or otherwise making available, alignment or combination, restriction, erasure or destruction;

סעיף 2

הוספת הגדרת בעל מאגר מידע - המונח בעל מאגר מידע הוא מונח מרכזי בחוק ובתקנות לפיו. בעל מאגר המידע נושא באחריות המרכזית לעיבוד המידע במאגר המידע ולמימוש זכויות נושא המידע, ומוטלות עליו חובות רבות בחוק ולפיו. הטעם להחלת החובה עליו הוא שבעל מאגר המידע הוא זה שקובע את מטרות עיבוד המידע. אין הכוונה לבעלות קניינית דווקא, אלא לשליטה במטרות העיבוד ובהיבטים המרכזיים הנוגעים לאופן העיבוד - סוגי המידע שיעובדו, למי יועברו וכוי. אף שפרשנות המונח התקבעה במהלך השנים, הוא לא הוגדר מפורשות בחוק. לכן מוצע להוסיף הגדרה כאמור למונח. ההגדרה המוצעת כוללת התייחסות למצב בו מאגר המידע הוקם בחיקוק. במקרה זה, בעל המאגר יהיה הגוף שהוסמך בחיקוק לנהל מאגר מידע.

יצוין כי ההגדרה המוצעת קרובה להגדרה הקבועה בסעיף 4(7) ^gdp :

controller' means the natural or legal person, public authority, agency or other body which, alone י or jointly with others, determines the purposes and means of the processing of personal data; where the purposes and means of such processing are determined by Union or Member State law, the controller or the specific criteria for its nomination may be provided for by Union or Member State

;law

תיקון הגדרת מאגר מידע - מוצע לעדכן את הגדרת מאגר מידע, כך שתהלום את התפתחויות הטכנולוגיות ותבהיר את גדרי המונח, לגביו חלות ההוראות המהותיות. בהקשר זה מוצעים שני תיקונים: האחד - תיקון הרישה, כך שמאגר מידע יוגדר כאוסף פרטי מידע המוחזק באמצעי דיגיטלי. השימוש במונח "דיגיטלי" נועד לכלול מגוון רחב של אמצעים שעליהם מוחזק מידע כיום, כדוגמת מדיה נתיקה. די בהחזקה כאמור כדי לחשוף את האוסף לאפשרויות שימוש מגוונות, ואין צורך בשילוב התיבה הקיימת כיום "והמיועד לעיבוד ממוחשב".

השני - הבהרת נוסח פסקת ההחרגה השנייה, לאור ההתפתחות הטכנולוגית והרחבת דרכי ההתקשרות, כך שתחול על אוסף הכולל רק שם, מען ודרכי התקשרות, ובלבד שאין בפרטים אלה כדי ללמד על מידע נוסף, ושלבעל האוסף או לתאגיד שבשליטתו אין אוסף נוסף.

תיקון הגדרת מידע - המונח "מידע" הוא מונח היסוד לעניין הגנת הפרטיות במאגרים ממוחשבים. הוא מוגדר היום בסעיף 7 : "נתונים על אישיותו של אדם, מעמדו האישי, צנעת אישותו, מצב בריאותו, מצבו הכלכלי, הכשרתו המקצועית, דעותיו ואמונתו". במהלך השנים בית המשפט פירש את המונח (כמו גם את המונח "ידיעה על ענייניו הפרטיים של אדם" בסעיף 2(9) פרשנות רחבה, הן לעניין סוגי הנתונים הנכללים במסגרתו, והן לעניין הקשר בין נתונים אלה לבין אדם מזוהה.

כך, נקבע בית המשפט בעת"מ (מינהליים ת"א) 24867-02-11 איי.די.איי חברה לביטוח בע"מ ני משרד המשפטים הרשות למשפט טכנולוגיה ומידע-רשם מאגרי המידע, כי: "לכאורה יש לבחון פריט מידע מסוים לאור הוראות החוק ולבחון האם מדובר במידע פרטי. אולם, העידן הדיגיטלי, והאפשרויות לחיפוש מידע, כריית מידע והצלבת מידע מחייבים התייחסות מרחיבה יותר למידע הכלול במאגרי מידע. ההגנה על הפרטיות נועדה, לאפשר לאדם לשלוט בחייו מפני התערבות. בעידן הדיגיטלי, כאמור, שובל המידע שמשאיר אדם אחריו הוא עצום. בעידן כזה כבוד האדם, האוטונומיה שלו ופרטיותו מחייבים שליטה במידע הנצבר אודותיו. בעידן דיגיטלי, ובריבוי מאגרי מידע, אין הפרדה בין פרטי המידע, קל להצליב בין נתונים, כך שלעיתים פרט מסוים שלא נראה בו כמידע פרטי, יהפוך לכזה אם יוצלב עם מידע אחר." (ההדגשה אינה במקור)

הפסיקה אף קבעה כי נתונים מזהים ייחודיים הם בגדר נתון אישי הראוי להגנה מפני פגיעה בפרטיות. ראו לעניין זה דברי השופט פוגלמן בפסקה 37 לפסק דינו בבג"צ 6824/07 ד"ר עאדל מנאע ני רשות המסים: "אכן, מספר הזהות אינו רצף ספרות בעלמא. המספר, אשר ניתן לתושב ישראל לראשונה עם לידתו, מלווה אותו בכל צעדיו. הוא מופיע בתעודת הזהות שלו, בדרכונו, ברישיון הנהיגה שלו, במסמכי הבנק, בתעודות הצבא, במסמכי המסים, במסמכים משפטיים שונים, בעסקאות שהוא צד להן וכן - לאחר מותו - בתעודת הפטירה ובצווי הירושה. מספר הזהות אינו ניתן לשינוי והוא אינו נמחק ממרשם האוכלוסין גם כשהנישום נפטר או עוזב את הארץ. משכך, ברי כי מן המספר ניתן ללמוד מידע ונתונים הנוגעים למעשיו, עיסוקיו, טעמו ומאפייניו של בעליו במגוון תחומים עד כי נוצרת זהות בין האדם לבין מספר הזהות שמאחוריו."

קביעה דומה לעניין היותה של טביעת אצבע מידע פרטי ניתן למצוא בפסקה 99 לפסק דינו של השופט איטח בעסק (ארצי) 7541-04-14 הסתדרות העובדים הכללית החדשה מרחב המשולש הדרומי - עיריית קלנסווה.

לעניין דרישת הזיהוי של האדם אודותיו המידע, ניתן להקיש מפסקה 18 לפסק דינו של השופט פוגלמן בע"א 1697/11 א.גוטסמן אדריכלות בע"מ ני אריה ורדי, שניתח את סעיף 2(11) לחוק: "נוסחו של סעיף 2(11) לחוק הגנת הפרטיות מלמדנו כי על-מנת שפרסום של עניין יהווה פגיעה בפרטיות, יש להוכיח כי המידע שפורסם מאפשר זיהויו של אדם. מתי תמצי לומר כי מידע שפורסם אכן מאפשר לזהות אדם, כך שאמנם קמה פגיעה בפרטיותו? בתמצית, נראה כי התשובה היא כי לא תקום פגיעה בפרטיות מקום שבו דרישת ה"זיהוי" אינה מתקיימת, היינו: ככל שאדם סביר לא יכול לקשור בין המידע שפורסם לבין אדם ספציפי." (ההדגשה אינה במקור)

מוצע לעגן פרשנות רחבה זו של מונח המידע בחוק, ולהגדיר מידע כ"נתון הנוגע לאדם מזוהה או לאדם הניתן לזיהוי, במישרין או בעקיפין, באמצעים סבירים, לרבות מספר זהות, מידע ביומטרי, וכל נתון מזהה ייחודי אחר." הגדרה זו הולמת גם את התפיסה המקובלת בחקיקה מתקדמת בעולם, ובכלל זה את הגדרת מידע אישי בסעיף 4(1) ^קם0 :

'personal data' means any information relating to an identified or identifiable natural person ('data subject'); an identifiable natural person is one who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, an identification number, location data, an online identifier or to one or more factors specific to the physical, physiological, genetic, mental, economic, cultural or social identity of that natural person;

הוספת הגדרת מידע ביומטרי - מוצע להוסיף הגדרה של מידע ביומטרי, ולקבוע כי מידע ביומטרי הוא מידע בעל רגישות מיוחדת. ההגדרה המוצעת - "נתון המשמש לזיהוי אדם, שהוא מאפיין אנושי פיזיולוגי או התנהגותי ייחודי, הניתן למדידה ממוחשבת" - דומה להגדרת נתוני זיהוי ביומטריים הקבועה בחוק הכללת אמצעי זיהוי ביומטריים ונתוני זיהוי ביומטריים במסמכי זיהוי ובמאגר מידע, התש"ע-2009, ומבוססת על ההגדרה שנכללה בהצעת חוק לתיקון מס׳ 13, תוך הוספה של התייחסות למאפיין התנהגותי לצד מאפיין פיזיולוגי. המוצע הולם את ההגדרה הקבועה בסעיף 4(14) ?GDPR : biometric data' means personal data resulting from specific technical processing relating to the' physical, physiological or behavioural characteristics of a natural person, which allow or confirm ;the unique identification of that natural person, such as facial images or dactyloscopic data

יובהר כי משמעות התיבה "נתון המשמש לזיהוי אדם" היא לנתון שיש יכולת טכנולוגית בעת הנתונה לעשות בו שימוש לזיהוי אדם, ולא נדרש שימוש בפועל כאמור על ידי המעבד הפרטני.

הוספת הגדרת מידע בעל רגישות מיוחדת והשמטת הגדרת מידע רגיש - בסעיף 7 מוגדר "מידע רגיש" כאחד מאלה:

(1) נתונים על אישיותו של אדם, צנעת אישותו, מצב בריאותו, מצבו הכלכלי, דעותיו ואמונתו;

(2) מידע ששר המשפטים קבע בצו, באישור ועדת החוקה, חוק ומשפט של הכנסת, שהוא מידע רגיש. עד כה לא נקבע צו כאמור.

הגדרת מידע רגיש כוללת כמעט את כל הפרטים הכלולים בהגדרת "מידע", למעט נתונים על מעמדו האישי של אדם והכשרתו המקצועית, ולמעשה ההבחנה בין המונחים שולית. להגדרת מידע כרגיש אין משמעות לעניין החובות המוטלות לפי החוק, למעט לעניין חובת הרישום של מאגר מידע. לפיכך מוצע למוחקה, ולכלול הגדרה של "מידע בעל רגישות מיוחדת", בדומה להגדרה שנכללה בסעיף 23יט בהצעת חוק לתיקון מס׳ 13. רשימה דומה נכללה גם בתוספת הראשונה לתקנות אבטחת מידע. הנוסח המוצע עתה מבוסס על רשימות אלה, אך כולל גם הוספה של "מידע על גזע או מוצא של אדם", לאור ההבנה שבעיבוד של מידע זה יש רגישות מיוחדת, וכן שינויים מעטים נוספים פרי ליבון נוסף של הדברים.

נוסח ההגדרה שואב השראה בין היתר מסעיף 9(1) ל gdpr, אך בשים לב לתכליות השונות של ההגדרות (המוצעת בתזכיר למול זו של האיסור הכלול בסעיף ב gdpr), וכן לכך שתפיסה של מידת רגישותו של מידע זה או אחר היא תלוית תרבות והקשר, היקפה של ההגדרה המוצעת בתזכיר רחב יותר מהרשימה

.GDPR המצוינת בסעיף האמור ב

להגדרת מידע בעל רגישות מיוחדת תהיה משמעות לעניין חובת הרישום, וכן לעניין גובה העיצום הכספי שיושת בגין הפרות הקבועות בתיקון מס׳ 13.

סעיף 3

מחיקת סעיף 8(ב) - סעיף 8(ב) קובע כי "לא ישתמש אדם במידע שבמאגר מידע החייב ברישום לפי סעיף זה, אלא למטרה שלשמה הוקם המאגר." המפר את הסעיף דינו מאסר שנה לפי סעיף 31א(א)(1) לחוק. הסעיף משקף עקרון יסודי בהגנה על פרטיות - עקרון צמידות המטרה, אשר בא לידי ביטוי גם בסעיף 2(9) לחוק. ואולם, עקרון זה אינו תלוי בהיותו של מאגר כפוף לחובת הרישום, אלא הוא חל על כלל מאגרי המידע. בתיקון מס׳ 13 מוצע לעגן במפורש את האיסור להשתמש במידע ממאגר מידע בניגוד למטרה שלשמה המידע נמסר, וכן את האיסור להשתמש במידע או להחזיקו ללא הרשאה של בעל המאגר או תוך חריגה מהרשאה כאמור. בנוסף, בהצעת החוק האמורה מוצע לקבוע כי הפרה של איסורים אלו תהא עבירה פלילית, שדינה, בהתאמה, 5 שנות מאסר ושלוש שנות מאסר (סעיפים 23מד 23מה להצעת החוק). אשר על כן מוצע למחוק את סעיף 8(ב) לחוק.

תיקון סעיף 8(ג) - צמצום חובת הרישום - כמפורט בהרחבה לעיל, במהלך השנים התעוררו ספקות לעניין האפקטיביות של הרישום ומידת הרלוונטיות של ההסדר למציאות הטכנולוגית הנוכחית ולהיקף הנרחב של מאגרי המידע הקיימים כיום. הנסיון המקצועי במהלך השנים מלמד כי חובת הרישום בהיקפה הנוכחי לא מהווה כלי משמעותי בידי הרשם. בנוסף, טעות נפוצה היא כי רישום המאגר מהווה "תעודת כשרות" לפעילות העיבוד המבוצעת. דעת הרוב בדו"ח צוות שופמן המליצה לצמצם את חובת הרישום, וכמפורט לעיל הופץ תזכיר חוק בנושא בשנת 2012. אגרת רישום מאגרי המידע בוטלה בשנת 2017.

התיקון המוצע מצמצם באופן משמעותי את חובת הרישום אך לא מבטלה, שכן לגישת הגורמים המקצועיים ברשות להגנת הפרטיות, יש חשיבות בשימור של החובה לגבי על מאגרי המידע המהווים את הסיכון הגדול ביותר לפרטיות. לכן מוצע כי חובת הרישום תחול לעניין מאגרי מידע גדולים, אשר יש בהם מעל 100,000 נושאי מידע, ובנוסף לכך יש בהם רגישות מיוחדת בשל סוג המידע הכלול בהם (מידע בעל רגישות מיוחדת), או בשל סוג בעל המאגר (גוף ציבורי), או בשל מטרת עיבוד המידע (איסוף מידע לצורך מסירתו לאחר כדרך עיסוק), או בשל אופן איסוף המידע למאגר (המידע לא נאסף מנושאי המידע או בהסכמתם).

ההיקף המוצע של החובה גובש תוך הערכה של מספר המאגרים הצפויים להיות כפופים לחובה, באופן שיאפשר לרשם לבדוק באופן מקיף וקפדני יותר את הבקשות לרישום, בהתחשב בין היתר באופי המאגרים.

תיקון סעיף 8(ה) - בדומה לקבוע כיום בסעיף 8(ה) לחוק, מוצע לאפשר גמישות וליתן סמכות לרשם להורות על החלת חובת הרישום על מאגר מסוים. אמת המידה להחלה כאמור היא כי הדבר דרוש לשם הבטחת קיום הוראות החוק לגבי מאגר המידע. לצידה, מוצע ליתן לרשם סמכות לפטור במקרים המתאימים מאגר מידע מסוים מתחולת החובה. בשני המקרים מדובר בהחלטה מנהלית שתחול על מאגר מידע מסוים בהתאם לנסיבות. מרבית חברי צוות שופמן המליצו לקבוע בחוק סמכות כאמור.

סעיף 4

מוצע לאסור על ניהול מאגר מידע או החזקתו, אם המידע הכלול בו נתקבל, נצבר, נאסף או נוצר בניגוד לחוק זה או בניגוד להוראות כל דין המסדיר עיבוד מידע.

סעיף 10(א)(1) לחוק קובע: "הוגשה בקשה לרישום מאגר מידע, ירשום אותה הרשם בפנקס, תוך 90 ימים מיום שהוגשה לו הבקשה, זולת אם היה לו יסוד סביר להניח כי המאגר משמש או עלול לשמש לפעולות בלתי חוקיות או כמסווה להן, או שהמידע הכלול בו נתקבל, נצבר או נאסף בניגוד לחוק זה או בניגוד להוראות כל דין."

האיסור המוצע משתלב עם הוראת סעיף 10(א)(1) לחוק ומשלים אותה. אי הרישום במקרה זה לפי סעיף 10(א)(1) משמעותו איסור לנהל את המאגר. האיסור המוצע מבטא ישירות את האיסור, ללא קשר לתחולה של חובת הרישום של המאגר ולהפעלת הסמכות על ידי הרשם. הוא נותן מענה לשלב האיסוף של המידע, עוד בטרם נעשה שימוש במידע, ובכך משלים את האיסור על עיבוד לא חוקי.

בכוונתנו להציע, בעקבות תיקון 13 לחוק, כי האיסור יהיה בסיס לאכיפה חלופית, במנגנון העיצומים הכספיים שנכלל בתיקון מס׳ 13. הוראה קונקרטית מתאימה תנוסח ותשתלב בהצעה.

² הצעות חוק הממשלה 1206, עמי 692.