תשע שנים לאחר שהוגשה תביעה ייצוגית נגד חברת גוגל בטענה שאספה והעבירה פרטים של משתמשים ללא הסכמתם, בחודש שעבר הגיעו הצדדים לפשרה שבית המשפט עוד צריך לאשר, שכללה פיצוי של מיליונים בודדים.
תביעה זו מצטרפת לתביעה נגד פייסבוק שהוגשה לפני 10 שנים על כך ששיתפה קישורים מהודעות פרטיות עם גורמים שלישיים, כשרק בשנה שעברה הושגה פשרה בה נקבע כי החברה תשלם פיצוי של 4 מיליון שקלים.
תביעות ייצוגיות היוו כלי ניגוח אזרחי משמעותי עד היום והן כוונו בעיקר כנגד "כיסים עמוקים" של חברות גדולות בעלות איתנות פיננסית, אבל כל זאת הולך להשתנות עם חקיקתו של תיקון 13 לחוק הגנת הפרטיות, אשר אושר לפני כחודשיים וייכנס לתוקף במהלך 2025.
אם עד לחקיקת התיקון לחוק, בעיקר עסקים גדולים השקיעו משאבים על מנת להתאים את פעילותם לדרישות החוק, עתה יגיע תורם של העסקים הקטנים, שרבים מהם התעלמו עד עכשיו בצורה בוטה מדרישות החוק, משום שהעדיפו להשקיע את המשאבים המוגבלים גם ככה באפיקים אחרים.
בין החידושים המרכזיים המצויים בתיקון ושישפיעו במישרין על עסקים קטנים - הרחבת סמכויות החקירה והאכיפה של הרשות להגנת הפרטיות, הטלת קנסות מנהליים כבדים על הפרות ובמקביל, קביעת דרישות מוגברות לשקיפות ולקבלת הסכמה מדעת של נושאי המידע. דרישות אלו מצטרפות לדרישות אבטחת המידע, שהותקנו ונכנסו לתוקף כבר בשנת 2018, וזכו להתעלמות ממרבית בעלי העסקים הקטנים.
בשל העובדה כי הרגולטור קיבל לראשונה סמכויות אכיפה משמעותיות, נראה כי עידן "טמינת הראש בחול" של עסקים קטנים - שבחרו להתעלם עד היום מדרישות החוק, מסתיים ונראה כי החל עידן חדש שבו גם בעלי עסקים קטנים ידרשו להקצאת משאבים לנושאי פרטיות ואבטחת מידע.
כך לדוגמא, עסק של ייעוץ משכנתאות, הפונה ללקוחות ומקבל לידיו מידע בעל רגישות מיוחדת של לקוחותיו, מחויב ליידע ולהסביר ללקוח מה מטרת איסוף המידע ושמירתו, מה השימושים שיעשו עם המידע. יתרה מכך, בעולם בו הבינה המלאכותית הופכת לחלק בלתי נפרד מחיי עסק, אם המשרד לייעוץ משכנתאות נעזר בבינה מלאכותית במסגרת הטיפול בלקוחות, הוא מחויב ליידע את הלקוח לשימוש זה מראש ולקבל את הסכמתו מראש לאחר שווידא כי הסוגיה הובנה על ידי הלקוח.
הפרת חובה זו, טומנת בחובה סנקציה כספית "מזערית" של 100 שקל לכל אדם, אך הכפלת הסכום האמור במספר לקוחות העסק עשויה להגיע לעשרות אלפי שקלים, כשלרגולטור סמכות רשות עבור כל הפרה, לחייב בסכום שלא יפחת מ-30,000 שקל.
בהמשך לתקנות לחוק הפרטיות שהוכנסו בשנת 2018, בעקבות התיקון האחרון בחוק, כמעט כל הפרת הוראה בתקנות - למי ששולט במאגר מידע המסווג לרמת אבטחה בינונית, קיבלה עתה "תג מחיר" של 40,000 שקל.
כך לדוגמה, משרד רואה חשבון או משרד עורכי דין המקבלים לידיהם מידע בעל רגישות מיוחדת של לקוחותיהם, אשר לא טרחו להתאים את עסקם לדרישות התקנות, ימצאו עצמם בתוך פחות משנה חשופים לקנסות של הרגולטור בגובה מאות אלפי שקלים, בשל הפרת מספר תקנות.
בשולי התיקון, נולדו תביעות ה"ספאם" החדשות, בכך שניתנה גם ל"אזרח הפשוט" אפשרות להגיש תביעות לקבלת פיצויים לדוגמה בסך של עד 10,000 שקל לעילות שונות. כמו למשל ככל ובוצע עיבוד מידע במאגר החייב רישום שלא נרשם, אי מתן מענה לדרישת נשוא המידע המידע לעיין במידע ו/או לתקנו, או גם פניה לקבלת מידע ללא מתן הסכמה כדין.
המסקנה היא כי בקרוב מאוד גם עסקים קטנים יהיו מחויבים למצוא את הזמן והמשאבים לבחינת החובות החלות עליהם ולהטמעתן. הם יצטרכו לפעול לשדרוג תשתיות העסק, לבחון מחדש את תהליכי איסוף ועיבוד המידע, לדאוג להכשרת עובדים לדרישות החוק ובמיקרים מסויימים אף למנות "ממונה על הגנת הפרטיות".
למרות האמור, בעוד שהאתגרים ברורים, טמונה כאן גם הזדמנות עסקית: עסקים שישכילו להטמיע נהלי פרטיות קפדניים ויעמדו בדרישות החוק לא רק שימנעו מפוטנציאל קנסות ותביעות, שעשויים להביא לסגירת עסקיהם, עשויים לזכות באמון מוגבר מצד הצרכנים ולחזק את מעמדם בשוק תחרותי.
הכותבת עו"ד גלית דורון יעקב היא יועצת פרטיות, אבטחת מידע ורגולציה לעסקים