פרטיות ומאגרי מידע- אתגרים ביישום במסגרת קבוצת חברות.ppt

‫פרטיות ומאגרי מידע ‪ -‬אתגרים ביישום במסגרת‬
‫קבוצת חברות‬
‫‪Dan Or-Hof, Partner, LLM, CIPP‬‬
‫‪[email protected]‬‬
‫‪972-9-9728000‬‬
‫כנס שנתי בנושא ‪ IT_GRC‬של האיגוד הישראלי לביקורת‬
‫ואבטחת מערכות מידע ‪20/10/2010‬‬
‫‪1‬‬
‫על מה נדבר?‬
‫ניהול מאגרי מידע בקבוצת חברות –‬
‫‪q‬מיהו בעל מאגר?‬
‫‪q‬מדוע זה חשוב?‬
‫‪q‬אתגרים ואפשרויות‪.‬‬
‫עו"ד דן אור‪-‬חוף‬
‫§‬
‫‪2‬‬
‫בעל המאגר – חובות ואחריות‬
‫בעל מאגר מידע – הפונקציה החשובה ביותר‬
‫)‪ 21‬מופעים בחוק(‬
‫‪ q‬חייב לרשום את המאגר‬
‫‪ q‬יודיע על שינויים בפרטי המאגר‬
‫‪ q‬יאפשר עיון במידע יתקן מידע לפי בקשה‬
‫‪ q‬אחראי לאבטחת המידע‬
‫‪ q‬אחראי לטפל בענייני דיוור‬
‫עו"ד דן אור‪-‬חוף‬
‫§‬
‫‪3‬‬
‫מה המשמעות של "בעל מאגר מידע"?‬
‫מה זה מאגר מידע?‬
‫"אוסף נתוני מידע )אישי(‪ ,‬המוחזק באמצעי‬
‫מגנטי או אופטי והמיועד לעיבוד ממוחשב‪".‬‬
‫עו"ד דן אור‪-‬חוף‬
‫§‬
‫‪4‬‬
‫מה זה "בעלות" במאגר מידע?‬
‫‪ q‬בעלות קניינית ברשומות?‬
‫‪ q‬זכויות יוצרים ברשומות? לא רלבנטי‪ .‬מדובר‬
‫ברשומות עובדתיות‪ .‬בנוסף‪ ,‬אולי גם נשוא הרשומה‬
‫הוא הבעלים בה?‬
‫‪ q‬זכויות יוצרים במאגר )'יצירת לקט'( – לא רלבנטי –‬
‫מגן על הסידור והארגון של המאגר ולא על התוכן שלו‪.‬‬
‫בנוסף‪ ,‬גם מאגר מידע מוגן‪ ,‬ללא קשר אם‬
‫הסידור‪/‬ארגון שלו מקוריים‪.‬‬
‫‪ q‬זכויות כסוד מסחרי? אולי‪ ,‬אבל חלקי‪ .‬לא כל‬
‫המאגרים סודיים‪ .‬חלקם נגיש לציבור והוא עדיין נחשב‬
‫מאגר מידע )מאגר לשכת עורכי הדין(‪ .‬הסודיות איננה‬
‫תנאי לקיומו של מאגר מידע‪.‬‬
‫עו"ד דן אור‪-‬חוף‬
‫§‬
‫‪5‬‬
‫האם המידע האישי הוא כלל קניין?‬
‫זכות )מעין( קניינית;‬
‫" בעוטפו בעוטפו אותה בחומות אלו‬
‫שבנה לה סביב סביב‪ ,‬הפך המחוקק את‬
‫זכות הפרטיות לזכות מעין קניינית‪ ,‬ואף‬
‫לערך לעצמו‪– ".‬‬
‫כלומר זו איננה באמת זכות קניינית‬
‫עו"ד דן אור‪-‬חוף‬
‫§‬
‫‪6‬‬
‫אז מה בכל זאת משמעות הבעלות במאגר?‬
‫‪ q‬בעלות במובן של שליטה – ההחזקה בכלים‬
‫המאפשרים לקבוע את דפוס הפעילות‪ ,‬לקבל‬
‫החלטות‪ ,‬להכריע‪ ,‬להפעיל השפעה דומיננטית‬
‫)בדומה ל'שליטה' לפי חוק ניירות ערך(‪.‬‬
‫‪ q‬השליטה הזו מנביעה אחריות – לרשום את‬
‫המאגר‪ ,‬לאבטח את המאגר‪ ,‬לאפשר עיון‪ ,‬למנות‬
‫מנהל‪/‬ממונה אבטחה וכו'‪.‬‬
‫עו"ד דן אור‪-‬חוף‬
‫§‬
‫‪7‬‬
‫מיהו הבעלים?‬
‫בעלות = שליטה =< אחריות‪.‬‬
‫מיהו הבעלים? יכול להיות –‬
‫‪ q‬אדם;‬
‫‪ q‬חבר בני אדם )תאגיד‪ ,‬שותפות‪ ,‬עמותה‪ ,‬גוף‬
‫ציבורי(;‬
‫‪ q‬חבר תאגידים)?(‬
‫עו"ד דן אור‪-‬חוף‬
‫§‬
‫‪8‬‬
‫מה החוק אומר?‬
‫‪ q‬אין הגדרה לבעל מאגר מידע‪.‬‬
‫‪ q‬החוק לא דורש שבעל מאגר מידע יהיה אישיות‬
‫משפטית אחת‪.‬‬
‫‪ q‬החוק איננו מונע שלמאגר אחד יהיו שני בעלים‪.‬‬
‫‪ q‬החוק איננו מסדיר העברת בעלות במאגר‪.‬‬
‫‪ q‬החוק איננו מסדיר פעילות של מאגר במסגרת‬
‫קבוצת תאגידים‪.‬‬
‫עו"ד דן אור‪-‬חוף‬
‫§‬
‫‪9‬‬
‫מדוע זה חשוב?‬
‫שני טעמים עיקריים‪:‬‬
‫‪ q‬זרימת מידע פנים ארגונית ‪ -‬ניהול משותף של‬
‫המידע‪ ,‬מינוף הערך הכלכלי של המידע;‬
‫‪ q‬הימנעות מהעברת מידע לצד שלישי‪.‬‬
‫עו"ד דן אור‪-‬חוף‬
‫§‬
‫‪10‬‬
‫ומה במציאות?‬
‫‪ q‬השווקים עתירי הלקוחות ובעיקר השוק הפיננסי‬
‫ושוק התקשורת‪ ,‬עוברים תהליך קונגלומרציה‪.‬‬
‫‪ q‬גוף אחד שמוכר שירותי טלפוניה קווית‪ ,‬טלפוניה‬
‫בינלאומית‪ ,‬גישה לאינטרנט וכו'‬
‫‪ q‬גוף אחד שמציע שירותי ביטוח‪ ,‬השקעות‪ ,‬גמל‬
‫וכו'‪.‬‬
‫‪ q‬מבנה קבוצתי הנובע משיקולים מבניים‪ ,‬עסקיים‪,‬‬
‫או מדרישות רגולטורים )שיקולים האדישים‬
‫לשאלת ההגנה על המידע האישי(‪.‬‬
‫עו"ד דן אור‪-‬חוף‬
‫§‬
‫‪11‬‬
‫ומה במציאות? )המשך(‬
‫‪ q‬מאות אלפי ‪ /‬מיליוני לקוחות‪ .‬חלקם נרכשו‬
‫כלקוחות )קרנות פנסיה ותיקות( לפני שנים רבות‬
‫– הרבה לפני חקיקת החוק‪ .‬רובם המכריע נרכש‬
‫לפני שהחוק תוקן לדרוש "הסכמה מדעת" )ב –‬
‫‪ .(2007‬כלומר – אין הסכמות ברורות להיקף‬
‫השימוש במידע‪.‬‬
‫‪ q‬מערכות מידע המשרתות את כלל הקבוצה‬
‫)מערכות שירות‪ ,‬תמיכה‪ ,‬בילינג‪.(...‬‬
‫‪ q‬מינוף הידע הקבוצתי‪.‬‬
‫עו"ד דן אור‪-‬חוף‬
‫§‬
‫‪12‬‬
‫מי בעל המאגר במבנה כזה?‬
‫חברת שירותים‬
‫חברה בת‬
‫חברת אם‬
‫חברה בת‬
‫חברה 'נכדה'‬
‫עו"ד דן אור‪-‬חוף‬
‫§‬
‫‪13‬‬
‫הסכמה לא ישימה‬
‫‪ q‬כמות גדולה מאד של לקוחות‪ .‬קבלת הסכמות‬
‫גובל בבלתי אפשרי‪.‬‬
‫‪ q‬לעתים ללקוח אין כלל קשר לבעל המאגר )קרנות‬
‫פנסיה שמעבידים פתחו לעובדיהם(‪.‬‬
‫‪ q‬מנגנונים עוקפי הסכמה בחוק )לדוגמה‪ ,‬זכויות‬
‫וחובות בין קופת גמל לעמיתים נקבעת בתקנון‪.‬‬
‫העמיתים הם צד לתקנון‪ ,‬אך רק לקופה הזכות‬
‫לשנות את התקנון(‪.‬‬
‫עו"ד דן אור‪-‬חוף‬
‫§‬
‫‪14‬‬
‫אפשרויות – הדרך הדווקנית‬
‫‪ q‬דווקנית ‪ -‬בעל מאגר צריך להיות אישיות‬
‫משפטית אחת‪ .‬התוצאה –‬
‫‪q‬כל שיתוף מידע בין חברות בקבוצה מהווה‬
‫העברת מידע לצד שלישי‪ .‬מחייב הסכמה‬
‫)מדעת(‪.‬‬
‫‪q‬בהעדר יכולת מעשית להשיג הסכמה ‪-‬‬
‫מגבלה חמורה על העברת מידע בין מאגרים‬
‫בקבוצה;‬
‫‪q‬יצירת מערך מידור הנובע ממבנה הקבוצה –‬
‫איננו רלבנטי להגנה המהותית על המידע‬
‫האישי‪.‬‬
‫עו"ד דן אור‪-‬חוף‬
‫§‬
‫‪15‬‬
‫אפשרויות – דרכים נוספות‬
‫‪ q‬מהותית – מיהו השולט האפקטיבי במידע ‪ +‬מתן‬
‫שיקול דעת לשוק – החלט אתה מיהו השולט‪ ,‬אך‬
‫דע לך שלשליטה צמודה גם אחריות‪.‬‬
‫‪ q‬דרך ביניים – 'הרמת מסך' )כאשר א' 'שולט' ב –‬
‫ב'(‪.‬‬
‫עו"ד דן אור‪-‬חוף‬
‫§‬
‫‪16‬‬
‫הגנה על מידע אישי כנכס ארגוני‬
‫‪q‬מידע אישי כנכס בעל ערך‪.‬‬
‫‪q‬בסיס למערכת אמון ונאמנות‪.‬‬
‫‪“Your privacy‬‬
‫‪is important‬‬
‫”‪to us‬‬
‫‪25,000,000‬‬
‫ככל שרשומת מידע תהיה בעלת ערך רב יותר‪ ,‬כך‬
‫יגדל האינטרס להגן עליה מפני שימוש לא מורשה‪,‬‬
‫לאבטח אותה ולשמור עליה בסוד‪.‬‬
‫עו"ד דן אור‪-‬חוף‬
‫§‬
‫‪17‬‬
‫תודה רבה!‬
‫עו"ד דן אור‪-‬חוף‪ ,‬שותף ‪LLM, CIPP‬‬
‫‪[email protected]‬‬
‫‪09-9728000‬‬
‫עו"ד דן אור‪-‬חוף‬
‫§‬
‫‪18‬‬