מידע, לרבות זהות המשתמשים, אופן צריכת השירות, העדפות, תחומי עניין וכדומה ובפשטות – דאטה - היא הסחורה החמה והנצרכת ביותר כיום בעולם הטכנולוגיה. כל פעילותנו הטכנולוגית, כל המידע המופיע אודותינו (בין אם נוצר על-ידינו או על-ידי אחרים), כל מה שחיפשנו, כתבנו, צילמנו אחסנו ו/או שמרנו בענן - הכל חשוף, בסופו של יום, לחברה בה אנו משתמשים, מחפשים או שומרים בה את המידע. היא עושה בו שימוש לצרכיה, לרבות על-ידי עיבודו, הנפקת נתוני ודפוסי צריכה ואף מכירתו לצדדים שלישיים, זאת כחלק מתנאי השימוש והמודל העסקי (בתמורה לשירותי האיחסון והשימוש שהם "חינמיים" למשתמש הקצה).
הוראות וכללי ה-GDPR
ICQ, אשר משרדנו עוד זכה לתת לאחד ממייסדיה ייעוץ כבר בסוף שנות ה-90' של המאה הקודמת, ולאחריה כמובן גם גוגל, היו בין הראשונות לזהות זאת. בזכות עיבוד מתקדם ואלגוריתמים מתוחכמים, גוגל מצליחה בכל פעם מחדש להתאים לנו את התוצאות שחיפשנו, עוד לפני שידענו שזה מה שאנו רוצים. האיחוד האירופי, שהבין את רגישות המידע - שנובעת לא רק מהמידע הגולמי, אלא בעיקר מהתובנות והמידע הרגיש שניתן להפיק ממנו - קבע את כללי ה-GDPR. כללים אלה חלים על כל גוף הפועל או מספק שירות או מוצר במדינה אירופאית החברה באיחוד (אף אם רק כנקודת מעבר של מידע), או לתושב / אזרח אירופאי, וחל על כל יישות ו/או אדם המעבד/ת מידע של תושב או אזרח האיחוד האירופאי. כלומר, בפועל היא חלה על מרבית העולם (אשר חייב את המדינות השונות להתאים את חוקיהם לכלליו, באופן כזה או אחר, אם ברצונם לפעול במרחב הקיברנטי האירופאי.
הוראות וכללי ה-GDPR מתייחסים לכלל הפעילות במידע הפרטי שאנו יוצרים ונשמר בענן, וכוללות, בין היתר, את הזכות להישכח (The right to be forgotten), היינו האפשרות לא להיות מאונדקסים בשרתי מנועי החיפוש השונים ולחייבם למחוק את כלל המידע אודותיכם בהתאם לדרישת המשתמש (במגבלות מסוימות).
ה-GDPR הוא בעצם מטריית חוקים וכללים החלים בין החברה האוספת את המידע, החברה המעבדת אותה, חברת אחסון המידע והמשתמש עצמו, אשר סיפק את המידע או שהמידע נאסף אודותיו. ישראל, כשותפת סחר משמעותית של האיחוד האירופאי וכחלק מאזור ה-EMEA התאימה והכפיפה עצמה דה-פאקטו לקווים המנחים בפרוטוקול ה-GDPR, באמצעות התקנת והתאמת חוקי המדינה ויצירת רשת הסכמי גישור והתאמה. ההסכמים התייחסו לשלל נושאי פרטיות, תוך התאמה לשוק הישראלי ולדרישות הייחודיות לו. אספקט מעניין שעלה בהקשר זה הוא מעקבי השב"כ אחר אזרחים, כדי לאתר נדבקים בקורונה.
זעזוע למודלים העסקיים
אך אנחנו רק טיפה בים. ההסכמים בין ארה"ב לאירופה, המסדירים את התנהלות, שמירת וניהול המידע אותו אוספות חברות הטכנולוגיה, ובאמצעותו מעבירות את המידע בין אירופה לארה"ב, נקראים בשם הכולל "מגן פרטיות".
בהחלטתו האחרונה מחודש יולי 2020 של בית הדין האירופאי לצדק, נקבע שבעקבות אי-הלימתם של חוקי ארה"ב והמדינות השונות לכללי ה-GDPR, לרבות בעקבות יכולת הממשל לדרוש ולקבל מידע פרטי ואישי על משתמשים שונים, אזי הסדרי "מגן פרטיות" שעד כה איפשרו (בין היתר) העברת מידע שנאסף באירופה ו/או על אזרחים אירופאים לצורך עיבודו בפועל על אדמת ארה"ב - אינו תקף. היינו, ההחלטה בעצם אסרה על חברות אמריקאיות לשמור על שרתים מחוץ לאירופה, מידע הנאסף בתחומי היבשת או הנוגע לתושביה ואזרחיה. בכך, הרעיד בית הדין את הקרקע וזעזע את המודלים העסקיים של חברות גלובליות (כגון גוגל ופייסבוק) באשר לכל העברת המידע בין אירופה לארה"ב, ולא יהיה מוגזם לומר שבעקיפין - את העברת המידע בעולם כולו.
על פניו, נראה כאילו מדובר בעוד סכסוך משפטי שייפתר באמצעות יועצים משפטיים, אך לא כך הדבר. עולם הטכנולוגיה מבוסס על ביזור ושיתוף פעולה בין-לאומי. תחשבו על WAZE, גאווה ישראלית עולמית, העלולה למצוא עצמה מוגבלת ביכולת אספקת שירותיה למשתמשיה באירופה, מכיוון שהמידע שלה נאגר ומעובד (בין השאר) בשרתים בישראל, גם אם הוא "מיוצר" על-ידי נהגים אירופים.
המחוקק הישראלי חייב להתעשת
בעצם הפסיקה קבע בית הדין שארה"ב לא עושה מספיק כדי לשמור על פרטיות אזרחיה, ולכן, אין לסמוך עליה שתעשה זאת עבור המידע הקשור לתושבי אירופה. ואם ארה"ב אינה מתקדמת מספיק, היכן נמצאת ישראל? נכון להיום, ישראל עדיין נחשבת למדינה "בטוחה", אך לא בטוח שלעוד הרבה זמן. המחשה עדכנית לכמה ישראל דורכת במקום ביחס לעולם בחוקי הפרטיות, ניתן לראות במקרה של "זליגת מידע" בפרשיית "אלקטור", במסגרתה דלף לפני הבחירות מאגר המידע הרגיש על כלל הבוחרים. אם נזכור שאיש לא הועמד לדין והפרשיה נסגרה באיום בקנס בלבד - נבין עד כמה ישראל נמצאת מאחור ביחס לעולם ולחוקי הפרטיות האירופים, ובעיקר - ביכולת ההרתעה של מפירי הכללים וההנחיות. ואכן, בית הדין האירופי צפוי עד סוף 2020 להתייחס גם למצב חוקי הפרטיות בישראל. אז יקבע אם הם עומדים בסטנדרט האירופי הנדרש.
אך הדוגמאות שנתנו עוסקות בעיקר בחברות ענק. מה יעשו סטארט-אפים בתחילת דרכם? היכן ישמרו את המידע אותו הם כורים מהמשתמשים? המחוקק בישראל חייב להבין שמדובר באיום ממשי על הסטארט-אפ ניישן. ללא שיתוף מידע שנוצר באירופה או עיבוד מידע, אין תקומה להיי-טק הישראלי. אף חברה בעולם לא תעבוד עם סטארט-אפ במדינה שלא חתומה על הסכמי פרטיות המקובלים על אירופה ושמגבילה את יכולת עיבוד המידע, שהינו היום המשאב היקר ביותר של כל חברה. המחוקק הישראלי חייב להתעשת, ולמצוא את הקשב והיכולת הפרלמנטרית לעדכן את חוקי הפרטיות הישראליים, כדי שיעמדו בקו אחד עם המדינות המתקדמות בנושא בשאר העולם.
מבחינת הצרכן, המידע שקוף לו. הוא נגיש לו בכל מקום המחובר לרשת, והוא כלל אינו מודע היכן נשמר המידע, או תחת אילו הגנות הוא נמצא. תפקיד המחוקק הוא לוודא עמידת ישראל בשורה הראשונה של שמירה על פרטיות המשתמשים והמידע. כי עבור ההיי-טק בישראל, ניתוק מהענן האירופי משמעו איום על הסטארט-אפ ניישן.
הכותב, ממשרד עוה"ד בן-יעקב, הוא מומחה במשפט מסחרי על כל גווניו, בדגש על תחומי ההיי-טק - גיוסי הון מקרנות הון סיכון ואנג'לים, הקמת חברות, ליווי חברות סטארט-אפ בשלבים שונים, השקעות, הסכמי מייסדים, הגנה על קניין רוחני, ייצוג יזמים, בדיקות נאותות ועריכת הסכמים שונים
