7 סיכוני GDPR בעת שיתוף מידע אישי עם צדדים שלישיים

שיתוף מידע אישי במסגרת ה-GDPR הוא חוקי רק כאשר הארגון שחושף את המידע יכול להצביע על בסיס משפטי לפי סעיף 6, קבע בכתב האם הנמען הוא מעבד או בקר, והודיע ​​לאנשים הנוגעים בדבר כי השיתוף מתבצע. שלושת התנאים הללו מכסים את רוב מה שמשתבש. רשות הפיקוח ההולנדית, Autoriteit Persoonsgegevens (AP), אוכפת את ה-GDPR לצד חוק היישום ההולנדי, Uitvoeringswet AVG (UAVG), וסעיף 83 ב-GDPR קובע את הקנסות המקסימליים כגבוה מבין תקרה קבועה או אחוז מהמחזור השנתי העולמי.

מידע אישי חוצה גבולות ארגוניים ללא הרף: לספק ענן, לשכת שכר, סוכנות שיווק, גובה חובות, חברה קבוצתית בחו"ל. כל אחד מהזרימות הללו הוא פעולת עיבוד נפרדת שיש להצדיק אותה בתנאיה. מאמר זה מציג שבעה סיכונים החוזרים על עצמם בפועל, את ההוראות שהם מפעילים, ומה עסק בהולנד יכול לעשות בנוגע לכל אחד מהם לפני שה-AP או תובע יעלו את השאלה.

שיתוף ללא בסיס חוקי תקף

כל גילוי של מידע אישי דורש בסיס משפטי לפי סעיף 6(1) לתקנת ה-GDPR, וסיבה מסחרית אינה אחת מהן. ששת הבסיסים הם ממצים: הסכמה, ביצוע חוזה, חובה חוקית, אינטרסים חיוניים, משימה ציבורית ואינטרסים לגיטימיים. סעיף 5(1)(א) מוסיף כי עיבוד המידע חייב להיות בכל מקרה חוקי, הוגן ושקוף, כך שבסיס שקיים על הנייר אך מעולם לא הוסבר לאף אחד עדיין משאיר פער.

אינטרסים לגיטימיים הם הבסיס המופעל בתדירות הגבוהה ביותר לשיתוף עם שותפים וספקים, והוא זה המופעל בתדירות הגבוהה ביותר באופן שגוי. זה דורש הערכה בת שלושה שלבים: האינטרס חייב להיות לגיטימי, העיבוד חייב להיות הכרחי לשרתו, והאינטרס לא חייב להתגבר על זכויותיהם וחירויותיהם של האנשים הנוגעים בדבר. תרגיל איזון זה צריך להתבצע לפני תחילת השיתוף ולתעד אותו, מכיוון שסעיף 5(2) מטיל את נטל הוכחת הציות על הבקר. הערכת אינטרסים לגיטימיים שנכתבת לאחר הגעת תלונה שווה מעט מאוד.

שתי מלכודות נוספות ראויות לציון. הסכמה המתקבלת במסגרת יחסי עבודה היא לעיתים רחוקות תקפה, משום שחוסר האיזון בכוחות פירושו שהיא אינה ניתנת מרצונה החופשי, ומעסיק המסתמך עליה לשיתוף נתונים בדרך כלל אינו מסתמך על דבר. והגבלת המטרה לפי סעיף 5(1)(ב) חלה על השיתוף באותה מידה כמו על האיסוף המקורי: נתונים שנאספו לצורך מתן שירות אינם ניתנים פשוט להעברה לשותף לשיווק משום שההיגיון המסחרי מושך. כאשר המטרה החדשה אינה תואמת את המטרה המקורית, נדרש בסיס חדש.

לפני שכל מידע אישי עוזב את הארגון, יש לזהות את הבסיס, לרשום אותו ולבדוק שהודעת הפרטיות כבר מתארת ​​את השיתוף. אם הבסיס הוא אינטרסים לגיטימיים, ההערכה שייכת לקובץ. אם מדובר בהסכמה, ההסכמה חייבת להינתן באופן חופשי, ספציפית, מושכלת וחד משמעית, וחייבת להיות קלה למשוך אותה כמו שניתן בקלות.

טעות בביצוע תפקידי הבקר והמעבד

בקר קובע את מטרות ואמצעי העיבוד; מעבד פועל רק על פי הוראות מתועדות של הבקר (סעיפים 4(7) ו-(8) לתקנת ה-GDPR). התפקידים אינם עניין של איך החוזה מכנה את הצדדים אלא של מי מחליט בפועל, וסיווג שגוי מייצר התחייבויות שאף אחד לא מקיים.

הטעות הנפוצה היא לתייג כל ספק כמעבד. ספק SaaS המשתמש בנתוני לקוחות כדי לשפר את המוצר שלו, רואה חשבון המחויב לכללים מקצועיים, בנק המבצע תשלום, פלטפורמת פרסום שבונה פרופילי קהל משלו: אף אחד מאלה אינו פועל אך ורק על פי הוראות, וכל אחד מהם הוא בקר בפני עצמו לפחות בחלק מהעיבוד. כאשר שני ארגונים קובעים במשותף את המטרות והאמצעים, הם בקרים משותפים לפי סעיף 26 ב-GDPR ועליהם לקבוע את אחריותם בהתאמה בהסכם שמהותו זמינה לנושאי הנתונים.

בית המשפט לצדק קבע גבולות באופן גורף. בפסק הדין Fashion ID (C-40/17) נקבע כי מפעיל אתר אינטרנט המטמיע תוסף חברתי של צד שלישי היה בקר משותף לאיסוף והעברת נתוני המבקרים, למרות שלא הייתה לו גישה לנתונים לאחר מכן והוא לא החליט מה יקרה בהמשך. השפעה חלקית על המטרות מספיקה. התוצאה המעשית היא אחריות משותפת: ארגון יכול להיות אחראי על הפרה שלא גרם לה ולא יכול היה לראות.

תחילה, יש למפות את זרימות הנתונים ולשאול, עבור כל אחת מהן, מי מחליט מדוע הנתונים מעובדים וכיצד. יש לרשום את המסקנה, ולאחר מכן לנסח אותה כראוי: הסכם עיבוד נתונים לפי סעיף 28 עבור מעבדים, הסדר משותף של בקר נתונים לפי סעיף 26 שבו שני הצדדים מחליטים, ולא יותר מתנאי חוזה רגילים בתוספת עמידה של כל צד בתנאי ציות משלו, כאשר שני בקרים עצמאיים מחליפים נתונים.

הסכם עיבוד נתונים חסר או פגום

כאשר מעבד מידע מטפל במידע אישי מטעמך, סעיף 28(3) לתקנת ה-GDPR דורש חוזה בכתב, וההפרה מושלמת מרגע תחילת העיבוד בלעדיו. לא צריך להיגרם נזק ולא צריך שדלפו נתונים; היעדר הסכם מהווה כשלעצמו את ההפרה, וזו אחת ההפרות הקלות ביותר עבור רשות פיקוח לקבוע.

התוכן נקבע מראש ולא מושאר לצדדים. הסכם עיבוד נתונים תואם חייב לציין את נושא העיבוד ומשכו, את אופיו ומטרתו, את סוגי הנתונים האישיים ואת קטגוריות נושאי הנתונים, ואת החובות והזכויות של הבקר. הוא חייב לחייב את המעבד לעבד רק על פי הוראות מתועדות, להטיל סודיות על עובדיו, לנקוט באמצעי האבטחה הנדרשים בסעיף 32, לסייע בזכויות נושא הנתונים ובדיווח על הפרות, ולמחוק או להחזיר את הנתונים בסוף ההתקשרות. עליו גם לספק לבקר את המידע הדרוש כדי להדגים עמידה בדרישות ולאפשר ביקורות.

עיבוד משנה הוא המקום בו תבניות סטנדרטיות נכשלות לרוב. סעיפים 28(2) ו-(4) דורשים אישור מראש ובכתב, ספציפי או כללי, של המעבד עבור כל מעבד משנה, וכאשר ניתן אישור כללי, על המעבד להודיע ​​​​לאחראי על השינויים הצפויים ולתת לו את ההזדמנות להתנגד. סעיף שמאפשר למעבד פשוט להעסיק את כל מי שהוא רוצה אינו עומד בתקן זה, ודווקא הסעיף הזה הוא שחשוב כאשר שרשרת ספקים מגיעה למדינה שאף אחד לא העריך.

עבדו מתבנית שעוקבת אחר סעיף אחר סעיף בסעיף 28(3), ובדקו את ההסכמים שכבר קיימים במקום להניח שתנאיו של הספק עצמו יספיקו. קשרים ארוכי שנים נוטים יותר להיות בלתי מתועדים, מכיוון שהניירת מעולם לא הייתה בראש סדר העדיפויות כשהקשר היה צעיר.

העברת נתונים מחוץ לאזור הכלכלי האירופי ללא אמצעי הגנה

פרק ה' בתקנת ה-GDPR מגביל העברות של נתונים אישיים למדינות מחוץ לאזור הכלכלי האירופי. העברה מותרת כאשר הנציבות האירופית אימצה החלטת נאותות ליעד (סעיף 45), או כאשר קיימים אמצעי הגנה מתאימים (סעיף 46), בדרך כלל סעיפי חוזים סטנדרטיים של הנציבות או כללים תאגידיים מחייבים. הגירעונות בסעיף 49, כגון הסכמה מפורשת או צורך בחוזה, מיועדים למצבים מזדמנים ואינם יכולים לשאת זרימת נתונים מבנית.

עסקים נוטים להתעלם מכך שהעברה מתרחשת בכל פעם שנתונים הופכים לנגישים מחוץ לאזור הכלכלי האירופי, לא רק כאשר הם מועתקים לשם. חוזה עם גוף באיחוד האירופי אינו מועיל אם צוות תמיכה ביבשת אחרת יכול לפתוח את מסד הנתונים, וניהול מרחוק על ידי חברת אם בחו"ל מהווה העברה גם כאשר השרתים נשארים בפרנקפורט.

פסק הדין Schrems II (C-311/18) ביטל את מגן הפרטיות בין האיחוד האירופי לארה"ב וקבע כי סעיפים חוזיים סטנדרטיים אינם מספיקים בפני עצמם: על היצואן להעריך האם חוק מדינת היעד פוגע בהגנה שהסעיפים מבטיחים, ועליו להוסיף אמצעים משלימים במקרים בהם הדבר אכן מתבצע. הערכת השפעת ההעברה נותרה דרישה לכל העברה המבוססת על סעיף 46. עבור ארצות הברית, המצב השתנה מאז בהיבט אחד: הנציבות אימצה החלטת הולם עבור מסגרת פרטיות הנתונים בין האיחוד האירופי לארה"ב ביולי 2023, ובית המשפט הכללי דחה תביעה לביטולה בספטמבר 2025. העברות לארגון אמריקאי המאושר בפועל במסגרת, עבור קטגוריות הנתונים המכוסות על ידי ההסמכה שלו, יכולות אפוא להסתמך על הולם. העברות לכל נמען אמריקאי אחר אינן יכולות, ויש לבדוק את ההסמכה ולא להניח אותה.

ערכו מלאי של העברות למדינות שלישיות המוסתרות בשרשרת האספקה, כולל מעבדי משנה והסדרי תמיכה. עבור כל אחת מהן, קבעו האם חלה הלימות; אם לא, הטמיעו את הגרסה הנוכחית של סעיפי החוזה הסטנדרטיים, בצעו ותעדו הערכת השפעה על העברה, ותעדו את האמצעים הנוספים עליהם הסתמכו, כגון הצפנה חזקה עם מפתחות המוחזקים באזור הכלכלי האירופי. רשות ההגבלות יכולה להורות על השעיית העברה, וזו תוצאה משבשת יותר מקנס.

דילוג על הערכת השפעה על הגנת מידע

סעיף 35 בתקנת ה-GDPR מחייב ביצוע הערכת השפעה על הגנת מידע (DPIA) כאשר פעולת עיבוד עלולה לגרום לסיכון גבוה לזכויותיהם וחירויותיהם של אנשים. סעיף 35(3) מציין במפורש שלושה מקרים: הערכה אוטומטית שיטתית ונרחבת של היבטים אישיים שעליהם מבוססות החלטות בעלות השלכות משפטיות או השלכות משמעותיות דומות, עיבוד בקנה מידה גדול של קטגוריות מיוחדות של נתונים או של נתוני הרשעות פליליות, וניטור שיטתי של אזור נגיש לציבור בקנה מידה גדול. ה-AP מפרסמת רשימה של פעולות עיבוד שעבורן היא רואה DPIA כחובה, ורשימה זו היא המקום הראשון לחפש לפני שמתחיל פרויקט שיתוף נתונים חדש.

הדרישה הזו מוערכת בחסר באופן שגרתי משום שארגונים מקשרים DPIA עם פרויקטים גדולים. בפועל, שילוב מערכי נתונים ממקורות שונים, שיתוף נתונים בריאותיים או ביומטריים עם ספק ניתוח נתונים, פריסת פרופילציה או קבלת החלטות אוטומטית, או הטמעת כלי שעוקב אחר עובדים לעיתים קרובות יחצו את הסף בעצמם.

בדיקת DPIA היא בדיקה מובנית, לא טופס. עליה לתאר את העיבוד ואת מטרותיו, להעריך את הנחיצות והמידתיות, לזהות את הסיכונים לנושאי המידע ולקבוע את האמצעים המטפלים בהם, כולל אמצעי הגנה ואמצעי אבטחה. כאשר ההערכה מראה על סיכון שיורי גבוה שהבקר אינו יכול לצמצם, סעיף 36 דורש התייעצות מוקדמת עם ה-AP לפני תחילת העיבוד. אי ביצוע בדיקת DPIA נדרשת מהווה הפרה בפני עצמה, תהיה אשר תהיה תוצאת העיבוד.

יש לסנן כל הסדר שיתוף נתונים חדש מול הקריטריונים של סעיף 35(3) ורשימת קציני הגנת המידע (AP), לערב את קצין הגנת המידע, אם מונה כזה, ולשמור את ההערכה כמסמך חי שנבחן מחדש כאשר העיבוד משתנה. במקרים בהם התשובה אינה ברורה באמת, ביצוע בדיקת DPIA זול יותר מהגנה על ההחלטה שלא לעשות זאת.

לספר מעט מדי לנושאי המידע על השיתוף

שקיפות היא חובה עצמאית, והפרה שלה תקפה גם כאשר השיתוף עצמו היה חוקי לחלוטין. סעיף 13 בתקנת ה-GDPR מסדיר נתונים שנאספו מהפרט ונתונים שנאספו ממקור אחר, ושניהם דורשים מהבקר לציין את המטרות והבסיס המשפטי של העיבוד ואת הנמענים או הקטגוריות של הנמענים של הנתונים האישיים.

הודעות פרטיות נכשלות בנקודה זו באופן צפוי. משפט הקובע כי ניתן לשתף נתונים עם שותפים מהימנים אינו מזהה דבר; ההודעה צריכה לציין את קטגוריות הנמענים באופן קונקרטי, כגון ספקי אירוח, מנהלי שכר או סוכנויות אשראי, וכאשר השיתוף הוא עם ארגון ספציפי, בדרך כלל ברור יותר לנקוב בשמו. כאשר נתונים מועברים מחוץ לאזור הכלכלי האירופי, סעיפים 13(1)(f) ו-14(1)(f) דורשים שההודעה תציין זאת ותזהה את אמצעי ההגנה עליו מסתמכים וכיצד ניתן להשיג עותק שלו.

סעיף 14 הולך רחוק יותר במקרים בהם הנתונים לא הושגו מהפרט: ההודעה חייבת לציין גם את קטגוריות הנתונים האישיים הרלוונטיים ואת מקורם, והיא חייבת להינתן תוך פרק זמן סביר ובכל מקרה תוך חודש, או לכל המאוחר בתקשורת הראשונה עם האדם אם זו מתרחשת מוקדם יותר. קניית רשימת שיווק ושימוש בה מבלי ליידע את האנשים המופיעים בה היא אחת ההפרות הברורות ביותר שקיימות. ההנחיות שלנו לניסוח מדיניות פרטיות בהולנד קובעות מה ההודעה צריכה לכלול במלואו.

יש לבדוק את ההודעה בכל פעם שמתווסף נמען חדש, ולעדכן אותה לפני תחילת השיתוף ולא בבדיקה השנתית הבאה. הודעות חייבות להיות גם תמציתיות, מובנות ובשפה ברורה ופשוטה לפי סעיף 12(1), אשר שולל פתרון הבעיה על ידי רישום כל נמען אפשרי במסמך שאף אחד לא יכול לקרוא.

התייחסות לנתונים פסאודוניים כאנונימיים

נתונים שעברו פסאודונימיזציה הם נתונים אישיים. סעיף 4(5) לתקנת ה-GDPR מגדיר פסאודונימיזציה כעיבוד נתונים אישיים כך שלא ניתן עוד לייחסם לאדם ספציפי ללא מידע נוסף, אשר נשמר בנפרד וכפוף לאמצעי הגנה. ההגדרה מניחה שהייחוס נותר אפשרי; זה מה שמבדיל אותו מאנונימיזציה, ורסיטל 26 מאשר שנתונים שעדיין ניתן לייחסם לאדם באמצעות שימוש במידע נוסף נותרים במסגרת התקנה.

הסיכון מתעורר כאשר פסאודונימיזציה מטופלת כרישיון לשיתוף חופשי. החלפת שמות במספרי לקוחות אינה מבטלת את הצורך בבסיס משפטי, הסכם עיבוד, אמצעי הגנה על העברה או הודעת פרטיות. יש חשיבות רבה למי מחזיק במפתח ואילו מערכי נתונים אחרים יש לנמען: קבוצה של רשומות פסאודוניות בשילוב עם מיקוד, תאריך לידה והיסטוריית עסקאות ניתנת לעתים קרובות לזיהוי מחדש, וההערכה חייבת לקחת בחשבון את האמצעים שסביר להניח שישמשו את הנמען, לא רק על ידך.

אנונימיזציה אמיתית, שבה זיהוי מחדש אינו אפשרי עוד בשום אמצעי שסביר שישמש, אכן מוציאה נתונים מחוץ לתקנות ה-GDPR. קשה מאוד להשיג זאת וקל לטעון לקיומו. צבירה של קבוצות קטנות, שילובים ייחודיים של מאפיינים ונתונים התנהגותיים עשירים - כל אלה מבטלים זאת. יש להתייחס לנתונים כבעלי פסאודומיננטיים, ולכן כנתונים אישיים, אלא אם כן תהליך אנונימיזציה מתועד ותקין מבחינה טכנית קובע אחרת, ולתעד את האמצעים הטכניים והארגוניים ששומרים על המפתח נפרד.

היתרון הוא אמיתי: סעיף 32 מפרט פסאודונימיזציה כאמצעי אבטחה הולם, והוא נחשב לטובת הארגון בעת ​​הערכת פרצה. הוא מפחית את ההשלכות של דליפה. הוא אינו מפחית את חובות הציות החלות לפני הדליפה.

כך נראית אכיפה בהולנד

רשות המידע המנהלית (AP) מפקחת על ציות לתקנות ה-GDPR ולתקנות ה-UAVG ויכולה לחקור ביוזמתה או לאחר הגשת תלונה. סמכויותיה לפי סעיף 58 לתקנות ה-GDPR נעות מאזהרה ונזיפה, דרך צו להתאים את העיבוד לדרישות, ועד לאיסור זמני או סופי על עיבוד וצו להשהיית זרימת נתונים לנמען במדינה שלישית. קנס מנהלי הוא רק אחד מהכלים, ועבור עסק התלוי בזרימת נתונים מסוימת הוא לעיתים רחוקות המזיק ביותר.

סעיף 83 קובע שתי דרגות של קנסות מקסימליים: הדרגה התחתונה חלה על הפרות של התחייבויות כגון אלו שבסעיפים 25 עד 39, לרבות היעדר הסכם עיבוד או DPIA, והדרגה הגבוהה יותר חלה על הפרות של עקרונות בסיסיים, הבסיסים המשפטיים, זכויות נושא המידע והכללים בנוגע להעברות בינלאומיות. כל דרגה מתבטאת כתקרת קבע או כאחוז מסך המחזור השנתי העולמי בשנה הכספית הקודמת, הגבוה מביניהם, כך שעבור קבוצת חברות, האחוז ולא התקרה הם בדרך כלל הנתון האופרטיבי. סעיף 83(2) מפרט את הגורמים הקובעים את הסכום, לרבות אופי ההפרה ומשכה, האם היא הייתה מכוונת או רשלנית, האמצעים שננקטו כדי להפחית את הנזק ומידת שיתוף הפעולה עם הרשות.

פעולה רגולטורית אינה החשיפה היחידה. סעיף 82 בתקנות ה-GDPR מעניק לכל אדם שסבל נזק חומרי או לא חומרי זכות לפיצוי מהבקר או מהמעבד, ובהולנד תביעות כאלה מוגשות יותר ויותר באופן קולקטיבי במסגרת ה-Wet afwikkeling massaschade in collectieve actie (WAMCA) על ידי קרנות הפועלות עבור קבוצות גדולות. החלטה של ​​AP, לאחר פרסומה, היא נקודת התחלה נוחה לתביעה כזו.

פרצת מידע אישי הנגרמת עקב שיתוף בלתי חוקי כרוך בלוח זמנים משלה. סעיף 33 דורש הודעה ל-AP ללא דיחוי בלתי סביר, ובמידת האפשר, תוך 72 שעות מרגע היותה מודעת להפרה, אלא אם כן היא אינה צפויה לגרום לסיכון לאנשים פרטיים. סעיף 34 דורש ליידע את האנשים שנפגעו ללא דיחוי בלתי סביר כאשר ההפרה צפויה לגרום לסיכון גבוה עבורם. יש לתעד את כל ההפרות באופן פנימי, כולל אלו שלא דווחו עליהן, והנימוק לאי-ההודעה הוא חלק מרישום זה.

הסדרת הסדר שיתוף נתונים

לשבעת הסיכונים הנ"ל יש סיבה אחת משותפת: השיתוף מאורגן באופן תפעולי, על ידי הצוות שזקוק להעברת הנתונים, ומתועד לאחר מכן, או שאינו מתועד כלל. הפתרון הוא פרקטי באותה מידה. התחילו מרישום עדכני של פעילויות עיבוד תחת סעיף 30, שכבר חייב להתקיים ואשר כופה על כל נמען להיקרא בשמו. עבור כל נמען, קבעו את התפקיד, הבסיס המשפטי, המסמך החוזי, מיקום ההעברה ומה כתוב בהודעת הפרטיות. רוב הארגונים מוצאים שניים או שלושה זרימות שאף אחד לא יכול להסביר.

שלבו את ההערכה בתהליך הרכש כך שלא ניתן יהיה לצרף ספק ללא הסכם עיבוד מידע, ניתוח העברה ובדיקת DPIA, ולתת למישהו את הסמכות לעצור קליטה שנכשלת. בחנו את המצב כאשר ההסדר משתנה: מעבד משנה חדש, מטרה חדשה, מדינה חדשה או רכישה שמכניסה זרימת נתונים של מישהו אחר לקבוצה. החובה לפי סעיף 5(2) היא להיות מסוגל להוכיח עמידה בדרישות, וזו חובה בנוגע לרישומים באותה מידה כמו בנוגע להתנהגות. עבור חוזים עם ספקי IT באופן ספציפי, הפרקטיקה שלנו בתחום דיני IT קובעת כיצד תנאי הגנת המידע מתקשרים עם תנאי הגנת המידע המסחריים.

שאלות נפוצות

ייעוץ משפטי בנושא שיתוף נתונים ותקנת ה-GDPR

Law & More מייעץ לעסקים בהולנד בנוגע להיבט המשפטי של שיתוף נתונים: קביעת תפקידי בקר ומעבד נתונים, ניסוח וניהול משא ומתן על הסכמי עיבוד והסדרי בקר משותפים, הערכת העברות מחוץ לאזור הכלכלי האירופי, ביצוע הערכות השפעה על הגנת נתונים ועדכון הודעות פרטיות. אנו מסייעים גם לארגונים הנמצאים תחת חקירת AP או שצריכים להודיע ​​על הפרת נתונים אישיים במסגרת מועד אחרון.

אם אינך בטוח אם ניתן להצדיק זרימת נתונים מסוימת, או שאתה נכנס להסדר שבו נתונים אישיים יועברו בין ארגונים, הנך מוזמן ליצור עמנו קשר כדי לדון במצב לפני תחילת השיתוף.