2019 – שנת החמרת הרגולציה על עולם ה-IT

שנת 2019 התאפיינה בהמשך המגמה של החמרת הרגולציה החלה על תחום טכנולוגיות מידע, בין היתר בהקשרים של אבטחת מידע, הגנת פרטיות ודיני הגבלים עסקיים. נושאים "חמים" במהלך השנה האחרונה, שעמדו בראש סדר העדיפויות של מחוקקים ורשויות אכיפה, כוללים טכנולוגיות IOT ("האינטרנט של הדברים"), ערים חכמות ואיסוף ושימוש במידע במרחב הציבורי, רכבים אוטונומיים, שימוש ברחפנים והשלכות אתיות של טכנולוגיות אינטליגנציה מלאכותית.

בתחום הגנת הפרטיות והשימוש במידע אישי בכלל, ובמרחב המקוון בפרט, 2019 סימנה את השנה הראשונה לאחר כניסתה לתוקף של הרגולציה האירופית המהפכנית, ה-GDPR, ובמהלכה הושתו על חברות שונות קנסות משמעותיים ראשונים מכוח תקנות ה-GDPR.

בארה"ב, רשות הסחר הפדראלית הטילה קנס חסר תקדים על פייסבוק בסך חמישה מיליארד דולר בגין הפרות פרטיות בעקבות פרשת קיימברידג' אנליטיקה, שזעזעה חלקים גדולים מהציבור האמריקני, ואף הובילה לחקיקתו של חוק הגנת פרטיות הצרכן בקליפורניה (ה-CCPA) – סנונית ראשונה לחקיקה אמריקנית משמעותית בתחום דיני הגנת הפרטיות.

חברת בריטיש אירווייז נקנסה בסך 230 מיליון דולר בגין הפרות פרטיות, ואילו חברת המלונות מאריוט נקנסה בסך 124 מיליון דולר עקב פרצת אבטחה שאירעה בחברה שנרכשה על ידה. כמו כן, רשויות האכיפה באירופה פרסמו כמה ניירות עמדה בנוגע לאכיפת דיני הפרטיות, בין היתר בתחום השימוש ב"עוגיות" וטכנולוגיות מעקב דומות ברשת, ובתחום הפרסום ברשת (אד-טק).

יפן ואירופה הגיעו להסדר "נאותות" הדדי, שמאפשר לחברות להעביר מידע בין שתי הטריטוריות.

במהלך השנה נחקקו ונכנסו לתוקף תקנות וחוקים רבים בתחום טכנולוגיות מידע ברחבי העולם, במטרה להסדיר נושאים מגוונים לרבות מסחר אלקטרוני (סין), זכויות יוצרים (אירופה), הפצת תכנים כוזבים ו"פייק ניוז" בפלטפורמות מקוונות (ארה"ב, אוסטרליה), דיווח בגין אירועי אבטחת מידע (ארה"ב), אבטחת סייבר (אפריקה), הגנת פרטיות (איי קיימן) ועוד.

ישראל – יש עדיין כברת דרך

חברות ישראליות רבות כבר ביצעו את השינויים הנדרשים והטמיעו מנגנונים ארגוניים, טכנולוגיים ומשפטיים כדי לעמוד בדרישות הרגולציה ה(כבר לא כל כך)-חדשה. עם זאת, למרבית השוק עדיין יש כברת דרך משמעותית לעשות. חברות ישראליות נדרשות למפות את המידע שנאסף, מוחזק ומעובד על ידן, לספק שקיפות מלאה לנושאי המידע (האנשים שעל אודותיהם נאסף המידע), לוודא כי המידע שמור בצורה מאובטחת ואינו מועבר לצדדים שלישיים באופן לא חוקי, לחייב שותפים עסקיים וספקים לעבד מידע לפי דרישות הדין ולהטמיע מדיניות, שמקדמת הגנת פרטיות ברמה פנים ארגונית וחוץ ארגונית.

חברות שלא ישכילו לאמץ את כללי המשחק שמתווה הרגולציה המקומית והבינלאומית חושפות את עצמן לפעולות אכיפה מינהליות, קנסות ואף חקירות פליליות במקרי קיצון, וכן לתביעות אזרחיות וייצוגיות. כמו כן, חברות אלו יגלו שהולך ונהיה בלתי אפשרי לעשות עסקים באיחוד האירופי ובארצות הברית בתחומים מסוימים ללא "תו התקן" של עמידה ברגולציה.

מה צפוי ב-2020

במהלך 2020 צפויה להתקבל החלטת הנציבות האירופית באשר למעמד ה"תאימות" שקיבלה מדינת ישראל בשנת 2011. מעמד זה, שהוענק עד כה למספר מצומצם ביותר של מדינות בעולם, מאשר העברה פחות או יותר חופשית של מידע על אודות אירופים לחברות ישראליות. בעקבות חקיקת ה-GDPR, נבחן מעמדה של ישראל בשנית, ועלול להישלל. במידה שההסמכה לא תחודש, תהיה לכך השפעה דרמטית על חברות ישראליות שמוכרות שירותים ומוצרים לצרכנים באיחוד (B2C), או כאלה שמספקות שירותים לעסקים אירופיים (B2B2C), אשר ייאלצו לאמץ מנגנוני העברת מידע מכבידים תחת ה-GDPR על מנת להמשיך את פעילותן באירופה.

אם היה ספק באשר למחויבותם של מחוקקים ורגולטורים לחקיקתה ולאכיפתה של רגולציית IT בשוק, ככל הנראה הוא התפוגג במהלך 2019. תחום זה ממשיך לתפוס תשומת לב רבה הן בזירה הציבורית והתקשורתית והן בזירה המשפטית, ומחייב חברות להיערכות מתאימה. מי שלא ילמד לשחק לפי הכללים, כנראה יצטרך להתרגל להפסיד.

הכותבת הינה שותפה במחלקת קניין רוחני ופרטיות בפירמת עמית, פולק, מטלון ושות'.