עו״ד שחר שוורץ ניתוח סיכונים קר, ליווי אנושי חם.

ההגדרה של „מידע אישי” הורחבה: כל נתון על אדם מזוהה, או על אדם שאפשר לזהות במאמץ סביר. זה כולל גם מזהים מקוונים כמו כתובת IP, מזהה מכשיר ועוגיות.

הצעד הראשון הוא מיפוי: אילו מאגרים יש בעסק (לקוחות, עובדים, ספקים, מצלמות, גיבויים, ענן), מה יש בהם ומי ניגש אליהם. על הבסיס הזה בונים את כל השאר.

החובה חלה בין היתר על גופים ציבוריים, על סוחרי מידע מסוימים, על גופים שעוקבים באופן שיטתי אחרי אנשים בהיקף ניכר, ועל גופים שמעבדים מידע בעל רגישות מיוחדת בהיקף ניכר.

גם עסק שלא חייב יכול למנות ממונה מרצון. אפשר למנות ממונה חיצוני, והוא צריך להיות עצמאי ובלי ניגוד עניינים.

מי שאוסף מידע מאדם צריך לומר לו בשפה פשוטה: למה המידע נאסף, האם הוא חייב למסור אותו, למי המידע יועבר, ומהן הזכויות שלו לעיין בו ולבקש לתקן אותו.

תיבה שמסומנת מראש, או הסכמה לדיוור שמחוברת בכוח לשליחת הטופס, הן בעיה. דוגמה להודעה כזו תמצאו ליד טופס יצירת הקשר באתר הזה.

פיקסל של פייסבוק, Google Analytics וכלי רימרקטינג אוספים מזהים של הגולשים. כשמשתמשים בהם, צריך לתת לגולש בחירה אמיתית ולפרט אותם במדיניות.

„בחירה אמיתית” פירושה שהכלים לא פועלים לפני שהגולש בחר. באנר שמוצג בזמן שהכלים כבר רצים ברקע לא נותן את הבחירה הזו.

ספקי ענן, מערכות CRM, חברות שכר ונותני שירותי מחשוב הם „מחזיקים” במאגר שלכם. ההתקשרות איתם צריכה להסדיר הרשאות, אבטחה, סודיות ומחיקת המידע בסוף הדרך, בדרך כלל בהסכם עיבוד מידע.

אירוע אבטחה חמור מחייב דיווח לרשות להגנת הפרטיות, ולפעמים גם הודעה לאנשים שהמידע שלהם נחשף. הזמן חשוב: העיצום הכספי הראשון מכוח התיקון הוטל על דיווח מאוחר על אירוע.

נוהל שמוכן מראש, עם אחראים ופרטי קשר, חוסך החלטות בלחץ.