הפרטיות היא אחד הדברים שמרגישים מובנים מאליהם, עד שהיא נסדקת. לרוב, היא נמסרת בשקט: שם, מספר זהות, כתובת, מידע רפואי, פרטי ילד במערכת חינוכית. הכול נעשה מתוך שגרה ואמון, כמעט בלי מחשבה. רק לעיתים רחוקות עולה השאלה מה באמת קורה למידע הזה, מי רואה אותו, ואילו החלטות מתקבלות על בסיסו. ברגעים הללו מתברר שפרטיות אינה מושג מופשט או משפטי בלבד, אלא מרחב אישי עדין, כזה שמתקיים בין האדם לבין המערכות שמקיפות אותו.

דווקא במרחב הזה, שבין האמון השקט של האדם לבין המערכות הגדולות שפועלות מאחורי הקלעים, נולדה שפת הפרטיות המודרנית. לא במקרה היא נתפסת לעיתים כזרה או מורכבת. החקיקה, הן האירופית והן הישראלית, ביקשה להתמודד עם הפער ההולך וגדל בין חוויית המשתמש הפשוטה לבין המנגנונים הרגולטוריים שנדרשו כדי להגן עליה. תיקון 13 לחוק הגנת הפרטיות וה-GDPR הם ביטוי לניסיון הזה: לתרגם חוויה אנושית יומיומית למערכת של אחריות, תפקידים ומסמכים. מכאן מתחיל הדיון על שפת הפרטיות – ועל האדם שנמצא בקצה שלה.

כל אחד מאיתנו הוא “האדם הסביר” של עולם הפרטיות. לא רגולטור, לא עורך דין, לא מנהל מערכות מידע, אלא משתמש סביר בכלים דיגילטלים. יש מי שמוריד אפליקציה, ממלא טופס דיגיטלי, שולח ילד למערכת חינוך מקוונת או מקבל שירות רפואי דרך מערכת ממוחשבת. ברוב המקרים, אין מחשבה יומיומית על מה קורה למידע האישי שנמסר, מי מחזיק בו ולאן הוא ממשיך מכאן. דווקא מהמקום הזה, שבו הכול מרגיש שגרתי וטבעי, מתחילה החשיבות של השיח על פרטיות, לא כשיח סגור למומחים, אלא כשיח שנוגע לכל אחד, הרבה לפני שהוא הופך לדיון רגולטורי.

תיקון 13 לחוק הגנת הפרטיות סימן נקודת מפנה בדין הישראלי. לא רק חיזוק של סמכויות אכיפה או עדכון חובות קיימות, אלא שינוי תפיסתי עמוק: מעבר מחשיבה טכנית על מאגרי מידע לחשיבה ניהולית על אחריות. בתוך המהלך הזה נולד תפקיד חדש בזירה הארגונית, ממונה הגנת הפרטיות, או בשמו המדופלם והבינלאומי DPO (Data Protection Officer). תפקיד שמצופה ממנו לא רק להכיר את החוק, אלא להבין כיצד הוא מתורגם למציאות ארגונית חיה, מורכבת ורבת שחקנים.

בשלב הזה, רבים מגלים שהתפקיד החדש מגיע עם שפה חדשה. שפה של ראשי תיבות, שלעיתים נשמעת כמו סינית לא מדוברת: DPA, ROPA, DPIA, SCCs. אלא שכאשר מפרקים כל מונח לגודלו הטבעי, וממקמים אותו בהקשר המשפטי והארגוני הנכון, מתברר שלא מדובר בשפה זרה כלל, אלא במערכת מושגים סדורה, שרובה יונקת ישירות מה-GDPR האירופי.

השפה שמלווה את תפקיד ממונה הגנת הפרטיות, כמו גם אוסף המונחים שנלמד במסגרת קורסי DPO, יונקים במובהק מה-GDPR.

לא מדובר רק בהשפעה טרמינולוגית, אלא באימוץ של תפיסה רגולטורית שלמה, שתיקון 13 הטמיע אל תוך הדין הישראלי. תפיסה זו מתורגמת לשורה של מסמכים מחייבים, שכל אחד מהם מבקש להתמודד עם צורך מחייב אחר בניהול מידע אישי:

הסכם עיבוד מידע – DPA (Data Processing Agreement), המעוגן בסעיף 28 ל-GDPR, מסדיר את היחסים בין מי שקובע את מטרות ואמצעי העיבוד (Controller) לבין מי שמעבד את המידע בפועל עבורו (Processor);

רישום פעילויות העיבוד – ROPA (Record of Processing Activities), לפי סעיף 30, מחייב מיפוי פנימי של המציאות הארגונית;

הערכת השפעה על פרטיות – DPIA (Data Protection Impact Assessment), לפי סעיף 35, נדרשת כאשר העיבוד טומן בחובו סיכון מוגבר לזכויות נושאי המידע;

מסמכי השקיפות, ובראשם מדיניות הפרטיות (Privacy Notice) מכוח סעיפים 13–14, מגדירים את מערכת היחסים עם נושאי המידע;

ובמקרים של שליטה משותפת או העברות בינלאומיות, מצטרפים גם הסדרי אחריות משותפת לפי סעיף 26 וסעיפי התקשרות סטנדרטיים – SCCs (Standard Contractual Clauses) מכוח סעיף 46.

יחד, המסמכים הללו יוצרים שפה רגולטורית אחת, שנראית בתחילה מורכבת, אך למעשה מבקשת דבר פשוט: לשרטט גבולות ברורים של אחריות.

ה-GDPR, כמו תיקון 13, אינו רגולציה שמבקשת להרשים במורכבותה.

הוא נולד מתוך הכרה בקושי אנושי מוכר והוא הקושי להחזיק אחריות לאורך שרשרת ארוכה של גורמים, ספקים ומערכות. ככל שהעיבוד מתרחק מנקודת המוצא, כך מתגבר הפיתוי לטשטש את השאלה מי אחראי ומול מי. המסמכים שהרגולציה דורשת אינם בירוקרטיה לשמה, אלא ניסיון שיטתי להחזיר את האחריות למרכז.

הסכם עיבוד המידע, ה-DPA, ממחיש זאת היטב. זהו מסמך שמגדיר במדויק מערכת יחסים, ולא מאפשר להניח שהעברת המידע החוצה משמעה גם העברת האחריות. רישום פעילויות העיבוד, ה-ROPA, חושף לא פעם שהקושי האמיתי אינו בעמידה בדרישות החוק, אלא בהיעדר סדר והיכרות פנימית עם תהליכים קיימים. הערכת ההשפעה על הפרטיות, ה-DPIA, מבקשת לעצור רגע לפני – לפני שמערכת מופעלת, לפני שניתוח נתונים מעמיק מדי הופך לפגיעה ממשית. גם מסמכי השקיפות מבקשים לצמצם פער ישן: הפער בין מה שנוח להצהיר עליו לבין מה שקורה בפועל.

וגם אם אינכם עורכי דין, מנהלי חברות או בעלי מפעלים חובקי עולם

האמור כאן נוגע אליכם לא כרגולציה מופשטת, אלא כחיי יומיום. כל שירות דיגיטלי, כל מערכת ציבורית, כל אפליקציה “חינמית” עושה שימוש במידע אישי. השאלה האם המידע הזה מנוהל באחריות, בשקיפות ובגבולות ברורים, היא שאלה שנוגעת לארגונים – אך גם לאנשים שבקצה. במובן הזה, תפקיד ממונה הגנת הפרטיות אינו תפקיד פנימי בלבד, אלא חוליה שמחברת בין מערכות גדולות לבין האדם הפרטי שעומד מולה.

בסופו של דבר, לא ה-GDPR ולא תיקון 13 מדברים בשפה זרה. הם מדברים על קושי אנושי מוכר: לנהל כוח בלי לאבד שליטה. כאשר מבינים מאיזה סעיף נולד כל מסמך, בין מי למי הוא פועל ואיזו אחריות הוא מבקש לייצר, ה“סינית” מתפוגגת. נשארת שפה אחת, ברורה וביקורתית, שמזכירה שהאחריות למידע האישי אינה נעלמת רק משום שהוא עבר ידיים.

———————–

*הכותבת היא עורכת דין, העוסקת גם בתחום הגנת הפרטיות (DPO).

טור זה מבטא דעה אישית כללית ואינו מהווה ייעוץ משפטי, חוות דעת מקצועית או תחליף לייעוץ פרטני. האמור בו נועד לשקף מגמות, תובנות ושיח ציבורי–משפטי בלבד, וכל מקרה יש לבחון לפי נסיבותיו ובהתייעצות עם גורם מקצועי מוסמך.

ט.ל.ח