GDPR

האסדרה הכללית להגנה על מידע (GDPR - General Data Protection Regulation) (להלן: "הרגולציה") היא אוסף של הוראות מחייבות שהוסדרו על ידי הפרלמנט האירופי, מועצת האיחוד האירופי והנציבות האירופית על מנת להגן על נושאי המידע בטריטוריית האיחוד האירופי בכל הנוגע לעיבוד נתונים אישיים שלהם. הרגולציה מתייחסת לאיסוף, שמירה והעברה של נתונים אישיים של אנשים פרטיים וקובעת כללים אחידים לשמירה על הפרטיות.
הרגולציה נועדה בעיקר לאפשר לכל תושב באיחוד האירופי שליטה מרבית על הפרטים שנשמרו אודותיו בחברות פרטיות, ציבוריות וגופים עסקיים וממשלתיים, וזאת באמצעות החלת כללים משפטיים בני אכיפה על אותם גופים.
הרגולציה התקבלה ב-27 באפריל 2016, פורסמה בעיתון הרשמי של האיחוד האירופי, והפכה לבת אכיפה בתאריך 25 במאי 2018. הרגולציה אינה דורשת ממדינות האיחוד לחוקק חקיקה ספציפית נוספת, שכן היא חלה באופן ישיר ומחייב על המדינות החברות.
הרגולציה מחליפה את הדירקטיבה האירופאית בנוגע להגנה על נתונים (הנחיה 95/46/EC) שנחקקה לפני מעל ל-20 שנה, בשנת 1995, והייתה מיושנת ולא מותאמת לעידן הנוכחי.
הרגולציה חלה על כל ארגון וכל אדם גם אם אינם פועלים בטריטוריה של האיחוד האירופי, ובלבד שהם מעבדים נתונים של נושאי מידע בטריטוריה של האיחוד האירופי. חלים איסורים ומגבלות על העברת מידע אל מחוץ לטריטוריית האיחוד, בשל החשש להפרות שעלולות להתרחש באזורים בעולם בהם הפרטיות אינה מוגנת כראוי.
אי ציות להוראות עלול לגרור אזהרות, ביקורות תקופתיות וקנסות חמורים המגיעים לכדי 4% מהמחזור השנתי העולמי של הגוף המפר או קנס בשיעור של 20 מיליון יורו.
יישום הרגולציה, אשר החל כבר בשנת 2017, גרר ביקורת רבה מצד גורמים פרטיים ומסחריים. נטען כי יישום הכללים מחייב משאבים נרחבים, הוצאות כספיות משמעותיות, מינוי בעלי תפקידים כגון מומחים וקציני אבטחת מידע, פיקוח משפטי ועסקי רחב הקף וכדומה. בנוסף, נטען כי הניסוח של כללים מסוימים מעורפל, אינו אחיד ואינו מתואם תמיד עם החקיקה המקומית במדינות האיחוד, וכי הכללים לא לקחו בחשבון באופן מלא ומקיף שיקולים כגון אחסון בענן, ביג דאטה וכדומה. 
לצורך נגישות ונוחות, מתפרסמת הרגולציה בכל 24 השפות המדוברות באיחוד האירופי, ובפורמט של HTML, PDF וכן כפי שפורסמה בעיתון הרשמי של האיחוד האירופי.
הרגולציה בנויה משני חלקים עיקריים:
החלק הראשון שנקרא פתיח (Recital) כולל 173 סעיפי הסבר אודות הרגולציה, כולל דוגמאות והמחשה של הסעיפים השונים.
החלק השני כולל את הוראות הרגולציה עצמה: 99 פרקים (Articles).

היקף התחולה

הרגולציה חלה על כל הגורם השולט בנתונים (Controller) וקובע את מטרות איסוף המידע וכן חלה על כל גורם המעבד את הנתונים (Processor). הרגולציה חלה, כאמור, גם אם מקום מושבם מחוץ לאיחוד האירופי, אולם הם עוסקים באיסוף מידע אישי אודות נושאי מידע באיחוד האירופי ומעבדים אותו. על בקר הנתונים קיימות חובות מוגברות.
"מידע אישי" מוגדר בפרק 1 ככל מידע אשר על פיו מזוהה או ניתן לזיהוי אדם מסוים. המידע עשוי לכלול כמעט כל פרט, החל משם האדם, כתובתו, כתובת הדואר האלקטרוני, פרטי חשבון הבנק שלו, פוסטים ברשתות חברתיות, מידע רפואי, או כתובת IP של מחשבו.
"נשוא המידע" (Data Subject) הוא האדם שעל אודותיו נאסף המידע.
הרגולציה אינה חלה על עיבוד של נתונים בנוגע לתאגידים וכן אינה חלה על נתונים אישיים במקרים של הגנה על הביטחון הלאומי או פעילות של אכיפת חוק פליליות במסגרת האיחוד האירופי.
כמו כן, אינה חלה במקרה של עיבוד נתונים על ידי אנשים פרטיים לצרכים ביתיים ושימושים אישיים וכן אינה חלה על מידע בנוגע לאנשים שנפטרו.

רשויות מפקחות

הרגולציה מהווה סט אחד ובלעדי החל על כל המדינות החברות באיחוד האירופי. בהתאם להוראות פרק 51, חייבת כל מדינה חברה להקים רשות מפקחת עצמאית (Supervising Authority =SA) שתפקידה לפקח ולחקור תלונות וכן להטיל עיצומים מנהליים בגין הפרות. רשויות הפיקוח במדינות השונות חייבות לשתף פעולה עם רשויות במדינות אחרות, להעניק סיוע הדדי, ולארגן פעולות משותפות כלפי גורמים מסחריים הפועלים במסגרתן. במקרה של חברה מסחרית הפועלת במספר מדינות, הרשות המפקחת לגביה תהיה במדינה בה מצוי מרכז פעילותה של החברה המסחרית, כגון במקום בו נערך עיבוד הנתונים. הרשות המפקחת באותה מדינה לגבי אותה חברה תשמש כ-"one stop shop" ותפקח על כל פעילות עיבוד הנתונים אשר מתבצעת בכל רחבי האיחוד האירופי.
הלשכה האירופאית המרכזית להגנה על הפרטיות (EDPB) תתאם בין הרשויות השונות. 

הזכות לשקיפות

כאשר בקר נתונים או גורם מעבד אוספים מידע אישי אודות נושאי מידע, חלות עליהם חובות מכוח הרגולציה. כך למשל, חלה חובה לדווח לנושא המידע בכל פעם שנאסף מידע אישי אודותיו, שהמידע אודותיו נשמר, מה מטרות שמירת המידע ומהו הבסיס החוקי לכך. כמו כן, יש למסור לנושא המידע פרטים ליצירת קשר, וכן לעדכן אותו בדבר פרטי קצין אבטחת המידע (DPO), אם מונה, ולידע אותו במקרה שהמידע האישי מועבר לגורם שלישי. והוא נדרש להיות הבקר הראשי אשר מחויב לשמור בצורה המתאימה ולעבד את הנתונים הפנימיים של הארגון כדי לוודא מעקב ואכיפה פנימית שהארגון מחויב לבצע בעצמו כדי לעמוד בתקנות. 

הזכות להישכח

"הזכות להישכח" מעוגנת בפרק 17 לרגולציה, וקובעת כי לנושא המידע יש את הזכות לבקש מחיקה של הנתונים האישיים הקשורים אליו ללא דיחוי. עם זאת, הזכות תהיה מוגבלת במקרים שהמידע הוא חלק מחופש הביטוי, או כשיש לציית להוראת דין המחייבת שמירת המידע, או כשמדובר באינטרס ציבורי בתחומי הבריאות הציבורית, המדע או חקר היסטורי, או על מנת לשמר מידע לצורך תביעה משפטית עתידית. 

הזכות לניידות

אחת הזכויות המוקנות לנושא המידע היא הזכות לניידות, כלומר, נושא המידע רשאי בכל עת לבקש להעביר את הנתונים האישיים שלו מגורם מעבד אחד לגורם מעבד אחר אלא אם המידע אנונימי במידה מספקת ואם הדבר אפשרי מבחינה טכנית.

הזכות להתנגד לעיבוד

מצדו של נושא המידע, במקרים בהם קיים מנגנון עיבוד מידע אוטומטי היוצר פרופיל, הרי שמוקנית לו הזכות לסרב לקבלת החלטות לגביו כתוצאה מניתוח אוטומטי זה. לנושא המידע הוקנתה גם "הזכות להסבר" אודות איסוף נתונים אודותיו, זכות אשר היקפה עדיין מעורפל ומחייב קביעת קריטריונים על ידי בתי המשפט.

הגנת המידע כברירת מחדל

הגנת המידע על ידי עיצוב והגנה כברירת מחדל מחייבים כי הגנה על מידע תופנם לתוך הפיתוח של תהליכים עסקיים של מוצרים ושירותים. כלומר, שמירה על הפרטיות תוגדר כברירת מחדל.
דוח של ENISA שהוא הסוכנות האירופית לאבטחת מידע, מציין מהם הצעדים שיש לנקוט על מנת לעמוד בדרישה זו, וקובע כי הצפנה ופיענוח, חייבים להתבצע באופן מקומי ולא על ידי שירות מרחוק, על מנת שישארו בפיקוח ושליטת הבעלים. כמו כן קובעת הסוכנות כי במקרים של מיקור חוץ ניתן לעשות שימוש בשירותי ענן שהם בטוחים כל עוד הבעלים ולא שירותי הענן, מחזיקים במפתח הפענוח.

פסיאודונימיזציה (Pseudonymization)

פסיאודונימיזציה היא כל טכנולוגיה המאפשרת שמירת מידע באופן מוצפן, כך שנתונים שנשמרו יהיו חסרי ערך אלא אם יתווך להם מידע נוסף. הרגולציה מחייבת לשמור את אותו מידע נוסף בנפרד מהנתונים העיקריים, וזאת, מבלי לגרוע מאמצעי ההגנה האחרים הננקטים לצורך שמירת המידע. 

הסכמה

במקרים בהם הסכמה היא הבסיס לעיבוד הנתונים, היא חייבת להיות מפורשת לגבי הנתונים שנאספים, וכן למטרה מסוימת שצוינה. במקרה של ילדים - ההסכמה חייבת להינתן על ידי האפוטרופוס וניתנת לאימות. גורם מעבד חייב לאפשר הסכמה במבנה של opt-in וההסכמה יכולה להיות מוסרת על ידי נושא המידע בכל שלב.

מנגנוני ביקורת: נציג אירופאי וקצין הגנת מידע

קצין הגנת מידע: בהתאם לפרקים 37–39, כאשר העיבוד מבוצע על ידי רשות ציבורית, או כאשר עיבוד המידע מבוצע על ידי חברה במגזר הפרטי המבצעת עיבוד וניטור של מידע נרחב או בקטגוריות מיוחדות, יש למנות קצין הגנת מידע (DPO) - אדם עם ידע ומומחיות לגבי הגנה על הפרטיות על פי דין, והוא יסייע לבקר הנתונים ולגורם המעבד לוודא ציות לרגולציה. על אף שקצין הגנת המידע יכול להיות בעל תפקידים נוספים, הרי שאסור לו להיות במצב של ניגוד עניינים עם תפקידיו האחרים. כמו כן, חל איסור להורות לו כיצד לפעול והוא מחויב בחובת הסודיות.
קצין הגנת המידע אינו זהה לקצין הציות בארגונים, שכן קצין הגנת המידע צריך להיות מיומן בניהול תהליכי IT, לרבות התמודדות עם מתקפות סייבר, ומיומנות בסוגיות נוספות של הגנה על מידע רגיש. ההבנה הנדרשת מקצין הגנת המידע היא מעבר לידע משפטי וכוללת גם הבנה של תהליכי מיחשוב ואוטומציה, של סטנדרטים מקובלים וגם של חוקים ותקנות. 
נציג אירופאי:
בנוסף, בהתאם לפרק 27 חלה חובה למנות נציג אירופי (EU Representative) על כל הגורמים הפועלים מחוץ לאיחוד ומעבדים מידע אישי משמעותי או קטגוריות מיוחדת של מידע אישי. החובה אינה חלה על גופים ורשויות ציבוריות.

הפרות

בהתאם לרגולציה, קיימת חובה להודיע לרשות המפקחת ללא דיחוי אודות הפרה של הפרטיות, כגון פריצה, גניבה, השתלטות וכדומה. הדיווח לרשות המפקחת יעשה בהקדם, ועד כמה שניתן, תוך 72 שעות מהמועד בו נודע לבקר הנתונים אודות ההפרה.
בנוסף, יש לשקול הודעה גם לנושאי המידע. עם זאת, ההודעה לבעל המידע אינו נדרש אם ננקטו האמצעים הטכניים והארגוניים להפוך את המידע לבלתי ניתן לזיהוי. 

הרשות להגנת הפרטיות בישראל

פרק זה דורש עריכה. אתם מוזמנים לתרום לוויקיפדיה ולערוך אותו. הסיבה לכך: לא מובהר כיצד הרשות קשורה ל-GDPR, אם בכלל.
הרשות להגנת הפרטיות בישראל היא הגוף המסדיר, מפקח ואוכף את ההוראות והתקנות על פי חוק הגנת הפרטיות.
הרשות מופקדת על הגנת המידע האישי במאגרי מידע דיגיטליים ועל ביצורה של הזכות לפרטיות. ייעודה של הרשות הוא להתוות את מדיניות ההגנה על המידע האישי בישראל.
משימותיה המרכזיות הן קידום שליטת הפרט במידע אישי אודותיו, השפעה על תהליכי עיצוב לפרטיות בארגונים ובמערכות מידע בכל מגזרי המשק וחיזוק תחושת המוגנות של הציבור.
הרשות להגנת הפרטיות מקיימת פעילות בין לאומית ומפרסמת הנחיות בעניין, כגון התקנות להעברת מידע מחוץ לגבולות המדינה, הגנה על הפרטיות בזירה הבינלאומית ומשתתפת בפורומים בינלאומיים.
מדינת ישראל מוכרת על ידי האיחוד האירופי החל משנת 2011 כאזור העומד בסטנדרט האירופי לשמירה על הפרטיות בהתאם לרגולציית הGDPR.