פרוטוקול של ישיבת ועדה

הכנסת העשרים-וארבע

הכנסת



63
ועדת החוקה, חוק ומשפט
12/06/2022


מושב שני



פרוטוקול מס' 298
מישיבת ועדת החוקה, חוק ומשפט
יום ראשון, י"ג בסיון התשפ"ב (12 ביוני 2022), שעה 11:00

הצעת חוק הגנת הפרטיות (תיקון מס' 14), התשפ"ב-2022

חברי הוועדה: גבי לסקי – מ"מ היו"ר
אורי מקלב

יואב בן צור

שירה קפלן - מלווה עסקים, משרד הכלכלה והתעשייה

ליאת בן מאיר שלום - ייעוץ משפטי לממשלה, משרד המשפטים

מיכל אברהם - מחלקת יעוץ וחקיקה, משרד המשפטים

איל זנדברג - ראש תחום משפט ציבורי, משרד המשפטים

טליה אגמון - משרד הבריאות

גלעד סממה - ראש הרשות, הרשות להגנת הפרטיות

לירון הופפלד - המחלקה המשפטית, הרשות להגנת הפרטיות

ניר גרסון - ס. ראש מחלקת יעוץ משפטי ואסדרה, הרשות להגנת הפרטיות

ראובן אידלמן - היועץ המשפטי, הרשות להגנת הפרטיות

דן חי - לשכת עורכי הדין

ליאור סגל - מזכיר וגזבר, לשכת המבקרים הפנימיים

לירון בנדק - עו"ד, נשיאות המגזר העסקי

יעקב עוז - עו"ד, נשיאות המגזר העסקי

צחי שלום - מנמ"ר, מרכז השלטון המקומי

רחל ארידור הרשקוביץ - חוקרת, המכון הישראלי לדמוקרטיה

עמרי רחום טוויג - שותף, מחלקת סייבר וטכנולוגיות

ליאור אתגר - שותף וראש תחום הגנת הפרטיות והמידע

איה מרקביץ' - יועצת פרטיות בכירה, חברת צוות פרטיות בע"מ

עמית דת - שותף, מח' סייבר וטכנולוגיות מידע

שיר שושני כץ - עורכת דין

אייל שגיא - עו"ד, מייקרוסופט

אסף גלעד - יועמ"ש, חברת לושה

ענר רבינוביץ' - מנכ"ל חברת צוות פרטיות בע"מ

נעמה בן צבי - ראש תחום בכיר פרויקטים ביומטריים, מערך הסייבר הלאומי

חיים רביה - עורך דין-פרל כהן צדק לצר ברץ עו"ד

נעמה מנחמי

איל קופמן

שלומית יוסף



הצעת חוק הגנת הפרטיות (תיקון מס' 14), התשפ"ב-2022, מ/1496

בוקר טוב. אני פותחת את הישיבה על דיון נוסף בהצעת חוק הגנת הפרטיות (תיקון מס' 14). לצערנו יו"ר הוועדה עדיין בבידוד, אז אנחנו שולחים לו מפה החלמה מהירה ושאנחנו רוצים אותו פה מהר.

הוועדה כבר קיימה דיונים בהצעת החוק ואנחנו עדיין בסעיפי ההגדרות. הייתה פה הסכמה לשנות מ"מידע רגיש" ל"מידע בעל רגישות מיוחדת" והוועדה כבר התחילה לדון בחלק מההגדרות. בעצם נשארנו בדיונים לגבי הגדרה של קווי אישיות.

התחלנו את ההגדרה "מידע בעל רגישות מיוחדת" שכוללת 12 פריטים. אני חושבת שאף אחד מהפריטים עדיין לא סגור והם כולם בעבודה, אבל הדיונים בוועדה מאפשרים לנו גם להמשיך ולדייק אותם. אחד הנושאים שדיברנו עליהם בפעם הקודמת היה הנושא של קווי אישיות, והממשלה חזרה אלינו בהמשך להצעה של הוועדה עם הצעה להוסיף הערכת אישיות שנערכה על ידי גורם מקצועי.

מישהו ממשרד המשפטים רוצה להסביר לנו את ההצעה החדשה שלכם?

צהריים טובים. בהמשך להערות בדיון הקודם של הוועדה לגבי ההגדרה הזאת, ההצעה עכשיו מתייחסת להערכת אישיות שנערכה על ידי גורם מקצוע. ניסינו לא להרחיב יתר על המידה, לא כל הערכת אישיות שנאמרת על ידי גורם שהוא לא גורם מקצועי, ולכן זאת ההגדרה שחשבנו לנכון לכלול.

מה זה מבחינתכם גורם מקצוע?

הכוונה היא כאן למשל לפסיכולוג שכותב חוות דעת לגבי אופיו של אדם, זה יכול להיות מורה.

אבחון לקויות למידה למשל. דברים כאלה.

ההגדרה הזאת לא מספיק ברורה, כי אנחנו צריכים גם לזכור שיש גם הנושאים הבריאותיים. אז אני לא מבינה את ההבחנה הזאת.

האם ההערה שלך היא שיש חפיפה מסוימת?

כן.

ככל שזה נכנס למידע רפואי זה בעצם יחול. מאחר שמדובר לא בחיתוך אלא באיחוד, אז אין בעיה שקבוצה מסוימת לשתי ההגדרות.

לא מדובר במצב רפואי, מדובר בסעיף המשנה החדש על מאפיין של אישיות.

אני רוצה לשמוע בעניין הזה את רחל מהמכון הישראלי לדמוקרטיה.

תודה. מבחינת נתונים אישיים אנחנו במאה ה-21, ורשתות חברתיות עושות איסוף ועיבוד ומחפשות את נתוני האישיות שלנו. האם אני חרדתית, האם אני אוהבת דברים מסוימים, האם אני בלחץ. נתוני האישיות האלה משמשים אותם בהמשך כדי לפענח איך לתת לי פרסומות, איך להשפיע על התודעה. ראינו את זה בסיפור של קיימברידג' אנליטיקה, שאלה הנתונים שלהם. ההגדרה שמוצעת על ידי משרד המשפטים לא כוללת את הנתונים האלה כמידע רגיש. איך אתם מתמודדים עם זה?

אני חושב שיש פה איזשהו בלבול. הרעיון של מהי אישיותו של אדם, אם אני הולך ברחוב ואומר: הוא נראה לי מוחצן, כי אני רוצה לומר דברים לא מעליבים, זאת דעה שלי כאיל. אני לא איש מקצוע, לצורך העניין, בשום צורה רלוונטית לקבוע אם הוא מוחצן או לא מוחצן. האם זה מידע? מה הופך את זה למידע? זה כמו שאני אגיד שעכשיו לילה.

מהנתונים של פייסבוק זה פסיכולוגים.

ברגע שגורם מקצועי קובע את זה, למרות שאנחנו בעולם שגורם מקצועי יכול לקבוע משהו על אישיותו של אדם, זה הופך להיות מידע שאנחנו רוצים להגן עליו, כי זה באמת אומר משהו על אותו אדם וזאת לא סתם איזו אמירה שמישהו זרק ברחוב. מי הוא אותו גורם מקצועי? גורם מקצועי יכול להיות מועסק על ידי פייסבוק ויכול להיות מועסק על ידי חברת השמה או על ידי הצבא לצורך העניין. השאלה אם גורם מקצועי עושה את זה או לא גורם מקצועי, שהופך את זה למידע אישי ולא לסתם הערכה בעלמא שאין לה שום משמעות.

אני רק מחדדת את השאלה הזאת. אם פייסבוק לוקחת פסיכולוג אז זה מידע, ואם בחדר ליד יושב מישהו שהוא לא פסיכולוג אז זה לא מידע בעל רגישות מיוחדת?

זה כמובן יהיה מידע בכל מקרה.

מה שהופך מידע לבעל רגישות מיוחדת זה אם יש לאדם הזה הסמכה כתובה או אין לו הסמכה כתובה?

שוב, אנחנו הצענו כאן את ההגדרה בעקבות ההערות שנשמעו כאן. זה כמובן לא נוסח שנכלל בהצעה הממשלתית ובאמת ניסינו לחשוב מצד אחד על כן ללכת בעקבות ההערות של הוועדה, ומצד שני לצמצם את זה למצבים שבהם הגורם המקצועי שמבצע הערכה אישית לתכלית עבודתו, תנאים מצטברים, במצב כזה חשבנו שנכון שתהיה ההגנה היתרה.

ההגדרה של מידע בעל רגישות מיוחדת כבר כוללת אי אילו נושאים, והבנו את ההערות בוועדה כהתייחסות לרגישות מיוחדת כשנאמר משהו בעל משמעות. זאת אומרת שאם אני אומר על אדם מסוים שאופיו הוא כזה או כזה, זה לא דבר שהוא בעל משקל. לעומת זאת אם גורם מקצועי אומר כזה דבר על אדם, זה נתפס בתור משהו בעל משמעות, בעל משקל. לכן התייחסנו לכך. אחרת כל אמירה שלי, שאני סתם ליאת אומר על אדם כזה או אחר שאני חושבת שהוא נחמד, לא נחמד, קמצן וכו', כל רכילות תיכנס. וגם מה המשמעות של זה? זה מה שליאת אמרה עליו, מעבר לזה אין לכך שום משמעות.

זה נכון. אבל מצד שני יש גורם מקצוע שעושה את זה ללא ידיעת האדם, לא כי הלכתי לחברת השמה וכו' אלא שהוא יושב לדוגמה בפייסבוק ועושה את ההערכה, בלי שאני יודעת על זה. האם מבחינתכם זה כולל גם מצב כזה? אמרתם פה שזה תוך כדי העבודה שלו, ואם הוא גם גורם מקצוע אבל לא עשה את זה במסגרת העבודה הרגילה שלו, יש מצבים שמישהו נתקל במסמכים של מישהו אחר ואז נותן חוות דעת, אבל היא לא חלק מהעבודה הרגילה שלו.

למה הכוונה, הוא נתן חוות דעת או שהפסיכולוג דיבר עם חבר ואמר על חבר שלישי כך? הכוונה היא שזה בתכלית של העבודה שלו. לא שהוא בכשירות הפרטית שלו כאדם אמר משהו לחברו על החבר השלישי. הרעיון היה שזה באמת בתוך העבודה המקצועית שלו.

לעניין הידיעה של האדם שעל אודותיו המידע, היא לא רלוונטית כאן. אנחנו פה בשלב המושגי של האם זה מידע בעל רגישות מיוחדת. ההסכמה או הידיעה אינם רלוונטיים. אני מסתכל על מידע והמחוקק צריך להחליט איפה הוא שם את המידע הזה, האם הוא מידע אישי רגיל או שהוא מידע אישי בעל רגישות, כלומר שאנחנו רוצים להקפיד איתו יותר. הרעיון המסדר הוא בלי קשר אם אדם יודע או לא יודע, האם למידע הזה יש איזשהו תוקף, איזושהי משמעות רגישה יותר והיא כזאת רק כאשר אמירה על האישיות בגלל שאישיות היא לא רכיב אובייקטיבי וצריך לפענח אותו, אז מישהו שאומר משהו משמעותי, אנחנו רוצים להגן עליו.

אני רוצה לתת לך דוגמה. למשל, כיתת לימוד של ילדים, נכנס לשם אנתרופולוג חברתי כדי לבדוק עניינים של התנהגות של ילדים מול מורים וכדומה. הוא עושה את זה בשביל מחקר, זה לא קשור לתפקיד של מערכת החינוך, זה לא חלק מהעבודה הרגילה. האדם הזה שעושה מחקרים, שאחר כך לא מפרסם שמות של הילדים אלא רק עושה משהו השוואתי בין אוכלוסיות, או בפריפריה מול מרכז, הוא צריך לרשום עכשיו מאגר מיוחד? הוא צריך לעמוד בכל התנאים האלה?

את צודקת שההגדרה "מידע בעל רגישות מיוחדת" היא רלוונטית לגבי סוגיית הרישום. אנחנו נדבר על זה בהמשך. למרות שאני פותחת כאן סוגריים ואומרת שגם לגבי הרישום ההצעה הממשלתית קובעת שגם כאשר מדובר במידע בעל רגישות מיוחדת, הרישום יחול כאשר רק מדובר במספר נושאי מידע של החל מ-500,000. אבל אני שמה את זה רגע בצד, ואנחנו מדברים עכשיו מושגית לגבי ההגדרה של מידע בעל רגישות מיוחדת. כי שוב, הנוסח הממשלתי באמת לא כלל את ההגדרה הזאת. בעקבות ההערות שלכם חשבנו שזה נוסח שמצד אחד הולך לכיוון שהוועדה דיברה עליו ומצד שני לא מרחיב יתר על המידה.

אני רוצה קצת להקשות, כי אני חושבת שאתם קצת מפשטים את זה. כשמעביד נותן חוות דעת כל חצי שנה על העובד שלו וקובע שהעובד לא מתמודד טוב בתנאי לחץ, למשל, זה נתון על אישיות שלו וזה נתון שלא מתייחסים אליו כאל רכילות. זה נתון שכאשר אני רוצה לקבל קידום בעבודה, מתייחסים לנתונים האלה.

עוד דבר. פייסבוק בעתיד הלא רחוק, או כל רשת חברתית אחרת, תעשה את האבחון של נתוני האישיות באמצעות בינה מלאכותית. יושבים פסיכולוגים, מאמנים בינה מלאכותית והיא זו שתעשה את זה. השאלה היא, ברגע שהנתונים האלה מוגדרים או לא מוגדרים כמידע בעל רגישות מיוחדת, מה הנפקות שלכם של ההגדרה הזאת. וכאן כן צריך להיכנס לזה. אם הנפקות היא של מה מותר ומה אסור לצד חובת הרישום, אז צריך לחשוב שוב האם כשמעביד קובע את הנתונים האלה הוא צריך להתייחס לזה אחרת; האם כשפייסבוק עושה בינה מלאכותית וקובעת את זה צריך להתייחס לזה אחרת. ההגדרה כרגע היא מאוד פשטנית ומתמקדת אך ורק בעולם הישן שאנחנו מכירים.

למיטב הבנתי הדוגמה שנתת ביחס למעסיק לא מתייחסת לאישיותו של אדם.

זו התקטננות. אז תמצאי נתון אישיות אחר שמעסיק כותב על מעביד. לא עולה לי עכשיו.

אני מהרשות להגנת הפרטיות. המעביד נותן הערכות אישיות, אבל הוא לא איש מקצוע. לעומת זאת, במבחן המיון לעבודה אנשי מקצוע עושים את ההערכה. ההערכה הזאת היא חד משמעית.

כל חצי שנה במקומות עבודה גדולים עושים הערכת אישיות של מעביד על עובד, וזה מה שקובע את הקידום שלו.

זאת הערכת תפקוד.

ולמה את חושבת שזה צריך לחסות תחת מידע בעל רגישות מיוחדת?

כי אלה נתונים על אישיות של אדם. בדיוק כמו שהבינה המלאכותית של פייסבוק קובעת איך להשפיע לי על התודעה.

זאת הערכה מקצועית, דרך אגב. אם אלגוריתם שאנשי מקצוע הרכיבו אותו בעבר מבחנים מדעיים של תיקוף, אז על זה אפשר להגיד שזו הערכת מקצועית.

אז זה אומר שההגדרה שלכם של גורם מקצוע כוללת גם בינה מלאכותית שאומנה על ידי גורמי מקצוע.

זה לא משנה. בעל מקצוע יכול לעשות את זה באמצעות עיפרון, הוא יכול לעשות את זה באמצעות תוכנה, הוא יכול לעשות את זה בכל מיני דרכים. כנגד האמירה הזאת אני רוצה להבהיר, החוק אמור עכשיו לתפוס לא עוד שנה קדימה, אלא שנים רבות קדימה, ודווקא בגלל שאנחנו מסתכלים קדימה אנחנו לא רוצים להתייחס להיתכנות כזאת או אחרת. אז אם בעל מקצוע קובע משהו, גם אם הוא עושה את זה באמצעות מחשב, הוא יכול להריץ תוכנה פשוטה והוא יכול לעשות בתוכנה מתקדמת יותר. זה לא משנה, השאלה אם זו קביעה מקצועית או דברים בעלמא, והאם זו אמירה על האישיות או על היבטים אחרים תפקודיים של האדם.

אולי המילה "נערכה" היא מצומצמת מדי ואפשר אולי טיפה להרחיב אותה כדי שייכנסו גם אותן הערכות שמיוצרות באמצעות אלגוריתמים ובינה מלאכותית. אולי נחשוב יותר לכיוון הזה.

נשמע הצעות. זה נשמע כמו מילה בעברית שכוללת את הדברים, אבל אם יש הצעה אחרת לפועל הרלוונטי.

אולי במקום "שנערכה על ידי גורם מקצועי" – "שנערכה על ידי" או "מטעם".

אפשר אולי לפי סטנדרטים מקצועיים. כי זו המהות. כיוון שמדובר באישיות, זה דבר שהוא קצת פלואידי, כולנו מבינים את זה. לכל אחד מאתנו כאדם יש מה להגיד על אישיותו של חברו שהולך ברחוב. אבל זו לא קביעה שצריך להגן עליה. כשזה נעשה לפי אמת מידה שהופכת את זה למשהו קצת יותר אובייקטיבי, קצת יותר סדור, אז יש לזה יותר ערך בחברה, ולכן אנחנו רוצים להגן על זה יותר. לא כל אמירה בעלמא. אז אם זה לפי איזושהי אמת מידה מקצועית, אנחנו רוצים להגן על זה. זאת לפחות ההצעה שלנו. אם לא, אז לא. זה לא משנה איך ההערכה הזאת נעשית, באילו אמצעים. הוא שוכב על הספה ומספר על אימא שלו או בדרך אחרת.

אני שדלן מטעם התאחדות התעשיינים. עמדת ההתאחדות היא שכל הפרק של מידע בעל רגישות מיוחדת לא צריך לחול ביחסים שבין עובד למעסיק. יש פה עוד קטגוריות של נתונים שכל מעסיק מחזיק, למשל נתונים כלכליים, מידע כלכלי מסוגים שונים. התוצאה של ההגדרות האלה תהיה שכל מעסיק במדינת ישראל מחזיק במידע בעל רגישות מיוחדת.

עוד לא הגענו לפרק הזה. יש לנו באמת הרבה מה להגיד.

אני מקבל לגמרי. אני רק אומר, בקונטקסט של הדיון של יחסי עובד-מעביד זה בוודאי נכון גם לשאלה שעלתה פה עכשיו. יש ארגונים עסקיים שמנהל משאבי האנוש הוא בעל פרופסיה מקצועית, עובדת סוציאלית או פסיכולוג או בעל התמחות כזאת או אחרת. האם ההערכות האישיות השגרתיות שהוא עושה לעובדים, כמו שנאמר כן, הופכות את זה למידע אישי? "מידע בעל רגישות מיוחדת" נראית לנו אמירה מאוד מרחיבה שתכניס לתוך הקטגוריה הזאת שורה ארוכה מאוד מאוד של ארגונים. אני מתקשה לראות ארגונים עסקיים שלא ייכנסו לתוך הקטגוריה הזאת. נדמה לי שזאת לא כוונת הרשות ולא כוונת המחוקק. זה מתקשר פה גם לסעיפים נוספים בהמשך ההגדרה הזאת.

משרד המשפטים, יש לכם משהו להגיד בעניין הזה של כל המידע שיש בתעשייה בנוגע לעובדים?

אני רק מבקש להשלים שגם בתקנות אבטחת מידע שמתייחסות לקטגוריות כאלה של נתונים, מידע על עובדים מוחרג מהתקנות. ולכן אם רוצים להישאר קונסיסטנטיים עם הגדרות קיימות כדאי גם פה להחריג את מישור היחסים הזה.

רק נגיד שהתוספת כאן, הפרט שאנחנו עכשיו דנים בו, לא נמצא בהצעה הממשלתית. זה הנוסח שהצענו בעקבות ההערות שהועלו כאן.

אני חושבת שזה באמת מעניין לעניין. כלומר, אם אנחנו מדברים לדוגמה על מידע ביומטרי של עובדים, זה בהחלט משהו שנכון להכניס אותו לתוך הקטגוריה. אם אנחנו מדברים על מידע כלכלי, יכול להיות שבאמת לא. המשכורות, התחייבויות של ספקים, אני עצמי רואה את זה במדרג יותר נמוך. הוועדה תחליט איפה היא שמה את נקודת האיזון שלה. באותה מידה נכון שהוועדה תסתכל גם על זה, אבל לא הייתי לוקחת את זה כמכלול. אני כן חושבת שנכון להסתכל על זה פר קטגוריה, פר פרט.

אז לגבי הפרט הספציפי הזה, לגבי יחסי עובד-מעביד? זה נכון שמשרד המשפטים עשו תיקונים בעקבות הערות הוועדה, אבל הצעתם משהו אז אנחנו דנים כרגע בהצעה הזאת שלכם. אז אי אפשר כל הזמן לענות לנו: אתם רציתם אז זה מה שיש. בואו ננסה להבין מה ההצעה אומרת. עם ההצעה הזאת, מה אתם אומרים לגבי הנושא של יחסי עובד-מעביד לגבי קווי אישיות, על כל הערכות העבודה החצי-שנתיות, על קידום וכו' מבחינה זאת? האם יש מקום להחרגה? מה אתם חושבים?

אני מהרשות להגנת הפרטיות. אני חושב שדווקא הבהרנו שבמתח הזה שבין לא לכלול כל הערכת אישיות, כל דבר שמעסיק כותב על עובדיו, אלא להתמקד רק בהערכות של עובדים מקצועיים, דווקא אני חשוב שאנחנו מצמצמים יותר בראי ההערה שנשמעה כאן קודם מטעם התאחדות התעשיינים. כדי שלא כל הערכת תיכלל, ואנחנו גם לא חושבים שכל הערכת אישיות צריכה להיכלל. בעניין הזה אולי באמת אנחנו במחלוקת מהותית מול המכון הישראלי לדמוקרטיה. אנחנו נוקטים בגישה מצמצמת יותר לעניין רגישות המידע, ואני חושב שהגישה המצמצמת שלנו נותנת מענה למה שהועלה מטעם התאחדות התעשיינים. כל הזמן במתח שבין להרחיב ולצמצם.

בנוסף, אחר כך בסעיפים הפרטניים שעושים שימוש בהגדרה, אם הבנתי נכון את ההערה, צריך יהיה להסתכל אם יש מקום להחרגות במקרים מסוימים, שזאת הדוגמה שניתנה בהקשר של תקנות אבטחת מידע. אבל זה בהקשר היישומי של השימוש בהגדרה ולא במה נכנס לעצם ההגדרה.

יש פה טענות סותרות, ואני חושב שבעקבות הערות הוועדה הנוסח שגובש פה דווקא נוקט באיזושהי עמדת ביניים שלדעתנו היא נכונה. היא לא הולכת רחוק מדי לצד אחד, ומצד שני גם לא מטילה נטל גדול מדי, כי היא לא תופסת כל איזשהו מידע שנוגע באיזשהו אופן למשהו שמישהו חושב שהוא אישיות.

אני מטעם "גוגל" ישראל. רק נקודה אחת. אנחנו קשובים לשיח הזה ואנחנו חושבים שעמדת משרד המשפטים היא סבירה במובן של התכלית של הוספת סעיף כזה. אני חושב שהוספת תיבה שמתייחסת לגורם מקצועי ללא הגדרה למהו אותו גורם מקצועי תכניס לתוך הקטגוריה כל מצב שבו מתבצעת הערכת אישיות על ידי מי שעושה את זה בקפסיטי העסקי המקצועי שלו. כלומר, אנחנו מבינים מהשיח שהיה פה עכשיו שהכוונה היא לגורמי מקצוע ייעודיים בתחום – פסיכולוגים, רופאים תעסוקתיים וכן הלאה.

גם בינה מלאכותית.

אני לא מתייחס כרגע לטכנולוגיה או לטכניקה, אני מתייחס ליכולת הפרופסיונלית, לפרופסיה שבעקבותיה מתבצעת ההערכה, והתיבה "גורם מקצועי" לא תופסת את הניואנס הזה. היא מכניסה פנימה כל גורם, כל אדם, איש או אישה, שעושים את ההערכה הזאת בזמן עבודתם המקצועית, וזאת לדעתי בעיה, וזאת כנראה גם לא הכוונה. אני חושב שיהיה מקום או להגדיר מהו גורם מקצועי או להגדיר תיבה אחרת שמסבירה את הכשירות המקצועית הרלוונטית לביצוע ההערכה.

אני מסכימה. אני חושבת שבאמת צריך לחשוב איך אפשר להגדיר יותר גורם מקצועי, האם זה בקפסיטי שלו או לצורך משהו מיוחד.

נחשוב על הנושא הזה, וככל שתהיה הצעה קונקרטית אז בהחלט נביא אותה בפני הוועדה.

יש עוד מישהו שרוצה להתייחס לנושא של קווי אישיות? אז אנחנו עוברים לתיבה הנוספת של מידע רפואי כהגדרתו בחוק זכויות החולה.

נכון. אולי נסכם מה שקרה בדיון הקודם. בדיון הקודם העלינו קושי שנובע מההגדרה, והוא שההגדרה באמת מפנה למערכת היחסים של מטפל ומטופל, ואני חושבת שלא הייתה כוונה כזאת. כלומר, לצמצם את ההגנה על הפרטיות רק לאותם מידעים רפואיים שנמצאים באותו מתחם של טיפול. לכן ההצעה החלופית, אם מידע מתייחס באופן ישיר למצב בריאותו של אדם. אגב, זה דומה מאוד להגדרה של חוק זכויות החולה, מינוס ההתייחסות למטפל-מטופל. אבל ההגדרה הזאת וההתייחסות למידע מתייחס באופן ישיר מעלה שאלה שאני חושבת שהיא שאלה רוחבית לגבי כל הפרטים פה, והם האם אנחנו באמת מתייחסים לפרטים רק כשהם נובעים באופן ישיר או כשהם עולים גם באופן עקיף ממידע אחר שיש לנו במסגרת הנתונים. האם העובדה ששילמתי בכרטיס אשראי במקום מסוים כשקניתי משהו הופכת את הדבר הזה גם לנתוני מיקום פתאום. אני דווקא מתרחקת מהנושא של תרופה, כי אני לא רוצה לגעת בנושא הרפואי. בואו נדבר שנייה על הנושא הרפואי ואז אבקש לפתוח את זה לנושא של האם אנחנו רואים את הפרטים האלה כפרטים שנמצאים באופן ישיר או באופן עקיף ומה המשמעות של זה שאנחנו כותבים באופן ישיר כאן בהגדרה הזאת ביחס להגדרות האחרות. האם אנחנו יוצרים הסדר שלילי, האם זאת הכוונה. אלה השאלות שאני מבקשת שנלבן כאן.

באמת ההגדרה שהייתה בהצעת החוק הממשלתית הייתה הפניה לחוק זכויות החולה, ועל מנת לנתק את הקשר לטיפול הרפואי הצענו את הנוסח המעודכן שמובא בפניכם שהוא באמת דומה במידה רבה להגדרה של חוק זכויות החולה, למעט הקישור לטיפול הרפואי, ועל מנת לא לייחד ולהתייחס באופן מפורש למידע נפשי על מנת לא לייצר סטיגמציה. זה לגבי מידע רפואי. יש פה גם נציגה של משרד הבריאות, אבל אם יש שאלות בהקשר הזה, זאת ההגדרה שאנחנו מציעים. לדעתי היא נותנת מענה למה שהועלה כאן.

למה כאן מצאתם לנכון להציע לנו לכתוב את הביטוי "באופן ישיר"? מה מאפיין את המידע הרפואי ביחס למידעים האחרים שאותו אנחנו רוצים לייחד רק למידע שהוא נלמד באופן ישיר או מופיע במאגר באופן ישיר?

זה הנוסח שנמצא בחוק זכויות החולה.

אבל התנתקנו מחוק זכויות החולה, אנחנו לא בחוק זכויות החולה ואנחנו חושבים עכשיו על ההגדרה כשלעצמה. אנחנו מעלים את השאלה למה פה באופן ישיר, ולגבי כל יתר הפריטים בלי באופן ישיר.

אני משנה ליועצת המשפטית של משרד הבריאות. יש כאן רשימה ארוכה של פריטים בתוך הסעיף של מידע בעל רגישות מיוחדת, והאמת היא שמידע רפואי כהגדרתו בחוק זכויות החולה נכנס גם לאחרים, כמו למשל מידע שחלה עליו חובת סודיות שנקבעה בדין. אבל אם אנחנו כן רוצים לייחד שורה למידע רפואי, אני חושבת שחל אותו מתח שדובר עליו קודם בין להפריז, העובדה שיש פה לאחוז ניכר מהאנשים משקפיים היא מידע שמעיד באופן עקיף על מצבם הרפואי, על איכות הראייה שלהם. השאלה אם זה נכנס אוטומטית למידע בעל רגישות מיוחדת. לדעתי התשובה היא לא, אבל התוצאות של בדיקת האופטומטריסט, של בדיקת רופא העיניים כן. ולכן אני חושבת שאנחנו כן צריכים להבדיל בין מידע שמעיד בעקיפין על איזשהו מצב בריאותי לבין מידע שמעיד באופן ישיר, מתוך בדיקות שנערכו, מתוך מסמכים שנערכו על ידי בעלי מקצוע, משהו שהוא באמת באופן ישיר קשור לתיאור המצב הרפואי.

כמערכת הבריאות, אני חייבת לומר, אנחנו מתייחסים לכל המידע שברשותנו כמידע שהוא בעל רגישות מיוחדת. כך שכמערכת בריאות זה לא מעלה ולא מוריד. אבל אני חושבת שבהרמה הכללית זה בלתי סביר להכניס לתוך הקערה הזאת של מידע בעל רגישות מיוחדת הרבה מאוד פריטי מידע שמעידים בעקיפין על מצבו הבריאותי של אדם. הגובה שלו, המשקל שלו, איך שהוא נראה בתמונות, אם יש לו גבס על היד, אם הוא מחזיק מקל הליכה. כל הדברים האלה הם מידע שבסוף אם יש לי מאגר תמונות שמכיל אנשים מכל מיני סוגים, עם משקפיים או בלי, עם צלקת על הלחי וכדומה, אני נכנסת אוטומטית לתוך הקטגוריה של מידע בעל רגישות מיוחדת. לדעתי זאת טעות בהתייחס למידע בריאותי. בסוף כמעט הכול בריאותי, וכשכן מדברים על הבריאות אני חושבת שכן צריך להיצמד לנושאים הרפואיים המובהקים. יש מספיק דברים אחרים ברשימה שאפשר להתווכח עליהם – הם לא בתחום המומחיות שלי אז לא אומר – אבל שיכולים לחול על הדברים מהסוג הזה. אז תחליטו אם רוצים להכניס אותם או לא.

בעקבות ההבהרה יש לי שאלה. היום יש הרבה אפליקציות בריאותיות – וזה לא שאני רוצה שאחר כך ראובן יאשים אותי בזה שהמכון רוצה להרחיב, אני דווקא לא במתח – יש הרבה אפליקציות בריאותיות היום, שעונים שבוחנים מדדים רפואיים שלי. כשאני עושה חיפוש בגוגל, הרבה פעמים גוגל יכולה להסיק הרבה פרטים על המידע הרפואי שלי. לפני כמה שנים יצא מחקר שלפי שאילתות של גוגל, גוגל יכולה לחזות האם יש לי סרטן הלבלב. האם זה נכנס להגדרה שלך של אופן ישיר של מידע רפואי, או שזה לא נכנס?

לשורה שאומרת מידע המעיד באופן ישיר על מצבו הבריאותי, לדעתי לא. אני חושבת שיכול שיש דברים אחרים פה ברשימה שאולי זה נכנס שם, ואת זה יגידו אנשי משרד המשפטים והרשות להגנת הפרטיות. אבל לדעתי לא. בעניין שעון שמודד את המדדים יכול להיות שכן. אני צריכה לראות מה הוא מודד. אנחנו לא עושים עדיין הסדרה של מכשירים מהסוג הזה אם הם לא משמשים לטיפול רפואי. אבל אם זה ממש מודד נתונים אז יכול להיות שכן.

בסוף דברייך אמרת "אתם לא עושים לזה הסדרה", ואני חושב שכל הדוגמאות שאת נתת, רחל, מנקודת המבט שלנו, הן בפירוש נכנסות להגדרה הזאת.

תחליטו, כן או לא. כי אנשי המקצוע אחד אומר כן ואחד אומר לא.

גברתי היושבת-ראש, זאת בדיוק הנקודה. להגדרה של מידע רפואי בחוק זכויות החולה יש תכליות אחרות, לא רק פרטיות. אלא מה צריך להיכלל ברשומה הרפואית, מה תוכן ההסכמה, זכות העיון לחולה. המטרות שלנו קצת שונות. לכן אני לא אתווכח עם טליה, כי היא הגורם המוסמך לגבי התכליות של חוק זכויות החולה. מבחינת חוק הגנת הפרטיות, עם ההגדרה החדשה שהוצעה פה עכשיו, כל הדוגמאות שאת נתת נכנסות. פשוט התכליות של שני דברי החקיקה קצת שונות.

יש לי שאלה לגוגל. מאחר שחלק מהשעונים האלה הם גם שלכם, יש לכם בעצם מאגר מידע של מצב בריאות של אנשים, נכון?

אני חושב שהשאלה הזאת היא שאלה מורכבת, כמו שאלות קודמות שעלו אגב מה קורה במאגרי מידע גדולים שיש בהם הרבה מידע. המכשירים שגברתי אומרת שהם של גוגל – זה שהם פועלים על פלטפורמות של גוגל זה לא אומר שהם מכשירים של גוגל.

בסדר, המידע מגיע אליכם.

בואו נדבר בצורה יותר גנרית, כי גוגל היא פלטפורמה אחת ויש גם פלטפורמות אחרות.

אתה פשוט פה.

בסדר גמור, על כתפיי. אני חושב שיש הבחנה בשאלה האם אנחנו נכנסים לקטגוריה של מידע אישי בכלל, והגדרה של מידע שדנו בה בדיון הקודם של הוועדה היא רחבה מאוד. אני לא חושב שמישהו מנסה לטעון שפריטי המידע האלה לא נכנסים לקטגוריה, בטח לקטגוריה החדשה שהחוק מנסה לייצר שהיא בסטנדרט עם דינים אחרים מסביב לעולם. לגבי סוגי מידע ייחודיים, כמו סוגי המידע שהוא מידע בעל רגישות מיוחדת, אנחנו כרגע בקטגוריה של מידע רפואי אבל יש גם קטגוריות אחרות. אני מתכתב עם הדברים של משרד המשפטים לאורך הדיונים. השאלה היא מה הנפקות ומה אנחנו רוצים לייצר כאן. יש נפקות מסוימת בהצעה כפי שהיא היום, ואולי יהיו נפקויות חדשות בעתיד כשנגיע להצעות נוספות, של מה המשמעות להיכנס לקטגוריה של מידע בעל רגישות מיוחדת. גם עו"ד גרסון, שאמר שהתכליות של חוק הגנת הפרטיות נכון שהן שונות מהתכליות של חוק זכויות החולה, אבל השאלה מה התכלית של ההגדרה הספציפית בתוך הקטגוריה של מידע בעל רגישות מיוחדת. אם הנפקות היא כמו שדנו בדיונים הקודמים, להגדיל את היקף הקנסות בגין הפרות שנוגעות לסוג מידע כזה, זה דבר אחד. אם נפקות אחרת תהיה בעתיד סטנדרטים שונים של הסכמה או בסיסים חוקיים לעיבוד מידע, שזו קטגוריה שיהיה צריך לדבר עליה עוד בהמשך הדיון היום, אז זאת נפקות אחרת. לדבר על כל ההגדרות האלה במנותק מהנפקויות הקונקרטיות שלהן בתוך המארג החוקי זה קצת דיבורים בעלמא במובן הזה שיכול להיות שמנקודת מבט מסוימת אפשר להתייחס לשברי מידע שאפשר להצליב מהם מארג רפואי כזה או אחר היא נכונה, ובתכליות ובנפקויות אחרות היא לא נכונה, כי היא מייצרת סטנדרט מחמיר מדי של התייחסות לשברי מידע. אז אני חושב שכאשר אנחנו כל הזמן דנים כרגע בסעיפי ההגדרות ואומרים שנדון בנפקויות שלהן אחר כך, זה קצת ביצה ותרנגולת.

כן ולא, מאחר שלחוק הזה יש כמה נפקויות. אחת, שדווקא לא הזכרת, הגנת הפרטיות. את זה דווקא לא הזכרת. אמרת קנסות, אמרת רישום, אבל גם הגנת הפרטיות. לכן שאלתי שאלה מאוד קונקרטית וישירה, האם בפלטפורמה שלכם, של אחרים, יש אפשרות לאסוף מידע רפואי על ידי אנשים שנכנסים להגדרה הזאת. מה הנפקות שלה? לכל סעיף יש נפקויות אחרות, אבל קודם כל מבחינה טכנית כדי שאנחנו נבין מה אנחנו צריכים לחוקק פה.

אז אני אסביר שוב. באמירה קטגורית לגבי פלטפורמות, וגוגל היא גם חברה שיש לה שירותים מסוגים שונים שהם לא כולם פלטפורמות. אבל בגדול פלטפורמות יכולות להכיל מידע בהתאם למה שהמשתמש או המשתמשת מבקשים להזין בתרחישים שונים. בהחלט יכול להיות שבמצבים מסוימים משתמשים יזינו מידע שהוא קונקרטי.

זו שאלה עובדתית. זה קורה היום.

יש אפליקציות שאוספות נניח את הדופק וכו'.

אפליקציות של מי? יש אפליקציות שאוספות דופק. האם דופק נכנס לקטגוריה של מצבו הבריאותי של אדם באופן ישיר? אני לא יודע. שמענו גם ממשרד הבריאות, זאת באמת שאלה.

זאת שאלה אליהם. לך השאלה הייתה האם יש מידע.

אני שוב מסביר. יש מידע על משתמשים שיכול להיות לו קשר למדד בריאותי כזה או אחר של אדם. האם זה מידע רפואי? אני באמת לא יודע.

זו שאלה אחרת.

אני ממשרד ארדנסט. אני מייצג כל מיני חברות שמתעסקות באפליקציות שגם נוגעות במידע רפואי. יש שעונים חכמים, כל מיני דברים מהסוג הזה, וזה נראה שמבחינה עובדתית יש הרבה מאוד חברות שנוגעות במידע שהוא לא רפואי באופן ישיר, אם זה מדדים כמו שפה הגברת ממשרד הבריאות ציינה. דווקא אני רוצה להסכים איתה, ההגדרה היא מצוינת. במקרה שמדובר בשעון חכם ואוספים הרבה מדדים ולא מעט מדדים, אלא גם לחץ דם אבל גם עוד הרבה מאוד דברים אחרים, אז יכול להיות שזה מידע שמתייחס באופן ישיר לבריאותו של אדם. אבל במקרים אחרים, יש הרבה מאוד מקרים שעושים ניתוחים של מידע, סטטיסטיקות ואנליזות שאולי המקור שלהם היה מידע שהיה בעברו איזשהו סוג של מידע רפואי כזה או אחר, אפילו אנונימי, אבל יש הרבה מאוד נגזרים של הדבר הזה, ושם זה לא נכון להחיל הגדרה של מידע רפואי. לכן יכול להיות שההגדרה הזאת שמשרד המשפטים מציע היא דווקא נכונה. כי אם אנחנו מתייחסים לפרשנות כמו שניתנה פה בחדר, שמדובר באוסף שהוא איכותי מספיק שניתן לייחס את זה באופן ישיר למצב בריאותו של אדם, אזי ההגדרה היא נכונה. אבל יש הרבה מאוד מקרים אחרים שמידע עקיף הוא לא רלוונטי, ואני מפנה למשל לתכליות אחרות שדיברנו כמו בכל הנושא של שימוש משני במידע בריאות ותקנות זכויות החולה, שימוש במידע מחקרי, ששם כן מתייחסים למידע עקיף כי באמת התכליות הן שונות. אני מסכים פה עם מה שהרשות מציעה לגבי מידע ישיר, זה לדעתי פוגע בדרישה.

אני מייצג את מייקרוסופט. אני רק רוצה להזכיר, בתקופת הקורונה עובדים היו צריכים להצהיר שאין להם חום והם לא משתעלים, ואז הם באו לעבודה. זאת אומרת שאם עובד בא לעבודה, היה מידע ישיר על מצבו הבריאותי, גם כשמצבו הבריאותי הוא בריא. גם זה מצב בריאות. ולכן הצמצום שמוצע פה הוא הגיוני. אחרת באמת סוגי מידע שאנחנו לא באופן אינטואיטיבי מסווגים כמידע רפואי הופכים להיות מידע רפואי, ומאגר נוכחות של עובדים שמשמש ביום-יום לחישובי שכר ונוכחות פתאום הם הוכחה שאדם בריא או חולה או בבידוד, ואז הוא באופן עקיף מידע רפואי והוא נהיה פתאום. אנחנו רואים את זה, מאגרי מידע שבוקר אחד אתה מגלה שהוא פתאום ביומטרי, כי יש בו הקלטה של קול ומנתחים. בהינתן גם מה שאמר חברי, שאנחנו עוד לא יודעים מה המשמעויות, ההרחבה הזאת תהפוך למעשה כל מידע למידע רגיש, ואז לא נישאר עם מידע רגיל. זה קצת מוריד מהחשיבות של השמירה על מידע רגיש באמת.

יצאתי קצת מבולבלת, כי שמענו פה שתי הגדרות של מידע רגיש, והתעשייה בחרה להתמקד, לפי מה שהבנתי, בהגדרה של עו"ד טליה אגמון. ולהבנתי ההגדרה שלה הייתה יותר מצומצמת מההגדרה שמתייחסים אליה ברשות להגנת הפרטיות כפי שהסביר אותה עו"ד גרסון. אני חושבת שצריך לפרוטוקול להבין שההגדרה של מידע רפואי כמו שהיא מוצעת כאן היא ההגדרה שנתן עו"ד גרסון.

הפרשנות. ההגדרה היא אותה הגדרה. אני חושב שזה לא סותר. בהקשר של רגולציות של משרד הבריאות, כפי שעו"ד אגמון אמרה. אני חושב שהפרשנות היא הממוצע של כל העמדות שהובעו פה.

ניר, אנחנו לא נמצאים כרגע ברגולציה של משרד הבריאות. הדיון שלנו הוא לא על הרגולציה של משרד הבריאות. הדיון שלנו הוא על חוק הגנת הפרטיות, ואני חושבת שההערה של רחל היא בהחלט נכונה. אנחנו כן היינו רוצים, לפחות לפרוטוקול, שייאמר משהו ברור שאיתו אפשר יהיה להתקדם הלאה. אני גם חושבת שעצם העובדה שיש כאן מחלוקת ושיש כאן כל כך הרבה אי בהירות צריכה להחזיר אותנו ולשאול האם הביטוי הזה, "באופן ישיר", הוא לא בעייתי מדי.

הביטוי הזה קיים היום גם בחוק זכויות החולה.

אני חושבת שהאמירות שנאמרו כאן לגבי השאלה מה זה אומר שמידע הוא מידע רגיש באופן מיוחד, הן אמירות חשובות שצריך להתחיל אולי באמת מהן. הניסיון שלי בחקיקה אומר שלהתחיל בהגדרות זה לפעמים יוצר בדיוק את הבעיות האלה שאנחנו מדברים על הגדרות ואנחנו לא מבינים מה זה אומר. זה אומר אולי באמת הגנה יותר טובה לפרטיות. היא משתקפת בחובת רישום, אם יש לך מספיק מידע במאגר, היא משתקפת ברמת אבטחת מידע יותר גבוהה, היא משתקפת אולי ביכולת כן או לא להעביר את המידע לגורמים אחרים. מה זה אומר ששמים מידע בתוך הסל של מידע בעל רגישות מיוחדת. ואז השאלה באמת האם ההגדרות שפה לא מכניסות, כפי שנאמר כאן, את כל המידע לתוך הסל של מידע בעל רגישות מיוחדת, ואז אין לנו מידע אישי שהוא לא בעל רגישות מיוחדת, מה זה אומר. אנחנו לא מצליחים להבין.

לגבי הנפקויות יש סדר לדיון. היועצת המשפטית לוועדה שאלה שאלה טובה, ואני חוזר על האמירה. מבחינתנו, משרד המשפטים והרשות להגנת הפרטיות, המשמעות, הפרשנות של ההגדרה הזאת מבחינת הפרשנות שאנחנו ניתן היא לדוגמאות שנתתי תכלול גם מדדים של אפליקציות בריאות וגם חיפושים בגוגל שמובילים למסקנה שהמשתמש יש לו שפעת או במצב רפואי מסוים. מצד שני דברים עקיפים שעלו פה לא. אבל הפרשנות יותר רחבה ממה שנתנה פה חברתי, וזה בסדר גמור. כי ההקשר הוא באמת חוק הגנת הפרטיות והרגולציה שלנו ולא רגולציית הבריאות.

אני רוצה להסכים וגם להוסיף משהו. דובר פה על התחושה שיוצרים אי בהירות והדברים לא ברורים. הנפקויות ידועות, כי הן כתובות עלי ספר בהצעת החוק הממשלתית. יכול להיות שבסוף הוועדה תחליט על משהו אחר, אבל זה לא שהנפקויות אינן ידועות והן תתגלינה במהלך הדיונים של הוועדה. הן כתובות, מנוסחות מילה במילה. אלה הנפקויות שעומדות בהצעת החוק. יכול להיות שהן ישתנו טיפה ימינה או טיפה שמאלה, אבל יש נפקויות ברורות. זה לא משהו בעלמא. זה לא שפתאום עכשיו הכניסו נפקויות שלא נמצאות כרגע בהצעה. אז דברים ידועים. בעניין המינוחים, צריך להבין שלכל מינוח יש איזשהו גבול של עמימות. זה לא הופך את המושג ללא ברור או לא ידוע, וההסברים שניתנו כאן עונים לזה. כשמדברים על קשר ישיר זה בוודאי מצמצם יותר, מדייק יותר. בנסיבות מסוימות, מהו קשר ישיר או לא ישיר? אין גבול לדבר ואי אפשר לתאר אותו. יש שכל ישר. זה דווקא ממקד את זה, אנחנו בתוך הגדרה של מידע בעל רגישות מיוחדת וזה תוחם את זה בצורה יותר מוגדרת בהקשר של מידע בריאותי לאור ההסבר שנתנה נציגת משרד הבריאות.

אולי אסיט את השאלה מעט מהדיון של הפרט הרפואי, אבל אני כן חושבת שזה נכון אולי כדי להבין גם את הפרט הזה. ציינה טליה קודם שאנחנו יכולים ללמוד על מצבו של אדם גם ממצלמות האבטחה או מצילומים כלשהם שבהם הוא נראה עם מקל או עם גבס או עם משקפיים. ואני שואלת, הרי את אותו דבר אני יכולה ללמוד אולי באופן עקיף מהצילומים גם על מוצאו של אדם, אני יכולה לדעת איפה הוא היה, אני יכולה לדעת אולי חלק מהמצב האמוני שלו לפי הבגדים שהוא לובש או הכיפה שהוא חובש לראשו. למה דווקא המידע הרפואי נבחר כמידע שאותו אנחנו רוצים לצמצם בצורה כל כך מדויקת ומתוחמת, בעוד שהמידעים האחרים דווקא בגלל ההגדרה הזאת קיבלו או אולי עלולים לקבל איזושהי הגדרה הרבה יותר עקיפה שכוללת דברים שאנחנו לא צופים אותם כרגע?

אני רוצה להוסיף לשאלה של היועצת המשפטית בעניין של אחידות החקיקה. ברגע שלוקחים דבר חקיקה ורק לגבי פריט אחד אני כותבת את המילה "באופן ישיר", כלומר אני מחריגה את כל השאר. יש חוסר תאימות בין הדברים האלה, כי אני יכולה לקבל מידע עקיף לגבי דברים אחרים ולא רק בנושאים הרפואיים. אז אני מחדדת: למה הצמצום דווקא פה ולמה רק פה?

אני חושב כתשובה חלקית, אולי ירצו להשלים אותי. אנחנו עכשיו גולשים מהמידע הרפואי לפריטים האחרים ואני מבין את הקשר. להבנתי לגבי חלק מההקשרים, לפחות בשיחות הרקע הגענו לאיזושהי הבנה עם הייעוץ המשפטי בנושא של איכון או רכיבים שבהם יש תחושה שיש הרחבה ויכול להיות שכאשר זה יוצע כאן זה טיפה יצמצם את הספק. וגם הדוגמה שניתנה של מצלמות, אני לא יודע אם זו דוגמה יחידה, אולי דוגמה בולטת, בהחלט יכול להיות כשחושבים על זה, וחשבנו גם על זה בשיחות ההכנה, שכיוון שמצלמה תופסת את כל מה שהעין רואה, ומתוך זה כן או לא ניתן להסיק על כל מיני דברים – אני חושב שיש הבדל בין דופק של אדם או שזה שהוא נעזר במקל למידע הרפואי על אודותיו לבין מה אפשר לדעת על האישיות שלו, על המצב הכלכלי, מהתמונה. אבל ככל שהנושא של מצלמות כסוג של איסוף מידע שהוא יוצר את החשש של קישור למידע בעל רגישות, כי כל דבר שהמוח האנושי מתוך המבט יכול לפענח ייחשב כמידע בעל רגישות, אולי אפשר לבנות לזה איזשהו חריג נפרד, אם זה מה שמטריד את הוועדה. אבל אני לא חושב שזה מוביל לכך שצריך בכל אחד מהנושאים האחרים להוסיף את המילה "ישיר", כי זה יהיה צמצום יתר, ואז תתעורר השאלה, ובצדק: מה, אתם לא רוצים להגן כמידע בעל רגישות מיוחדת על מידע כלכלי, רק כשהוא ישיר? זאת אומרת, החשש הוא שהוספת המילה "ישיר" תתפרש כאומרת שרק כאשר – תתארו לכם מידע שמוחזק לצורך הדוגמה כטבלה – רק כשכתוב כמה כסף יש לי בבנק זה מידע ישיר, וכל דבר שהוא קצת בשוליים ייחשב כלא ישיר. זה צמצום יתר.

אבל זה מה שאתם עושים לגבי מידע רפואי שזה יותר חשוב ממידע כלכלי.

אני חושב שזה תלוי בהקשרים.

בכל הקשר מידע רפואי יותר רגיש ממידע כלכלי.

השאלה היא איזה מידע מוביל אל אותה מעטפת. יש ליבה שאתה רוצה להגן עליה כמידע בעל רגישות. גם שאר המידע, גם אם אינו בעל רגישות מיוחדת, הוא ראוי להגנה. אנחנו מדברים פה רק על מדרגה נוספת. אם ההצעה היא להוסיף את המילה "ישיר" בכל ההקשרים, אנחנו חושבים שזה מוביל לצמצום יתר ולכן לא מספק מספיק את ההגנה. אם בדוגמה של המצלמות אפשר לטפל כהחרגה, יש גם החרגות כמו האיכון שאולי אפשר לתת לו מענה. מעבר לזה אני חושב שזה שומר את המבנה הנכון.

אולי הקושי שלנו נובע מהעובדה שלכל אחד מהפרטים יש איזשהו מנעד. ברור שהרגישות של השאלה האם יש לי משקפיים או אין לי משקפיים היא לא אותה רגישות למחלות גנטיות או מחלות נפשיות. אבל המנעד הזה קיים בהרבה מהפרטים, אני לא בטוחה שזה רק במידע רפואי.

אבל זה לא הנושא שאנחנו מדברים עליו. אנחנו לא מדברים על המדרג בתוך כל שדה, אנחנו מדברים אם זה מתייחס באופן ישיר או לא.

נכון, אבל חלק מהדבר הזה נובע מהמנעד.

בעקבות השיח שהתקיים כאן בדיון, ההערות של היועצת המשפטית לוועדה ועבודת ההכנה שנעשתה לפני ושבאה לידי ביטוי גם במסמך ההכנה המקיף שהכין הייעוץ המשפטי לוועדה, אני מציעה שנעבור על כל הסעיפים כפי שהם ואז נראה אחר כך אם יש מקום לכלול איזושהי החרגה כללית אחרי הצמצומים בשינויים שנעשו. מה שאיל חידד זה שההבנה שלנו מההערות שנשמעו זה שככל שיש צורך לכלול איזושהי הסתייגות, היא נוגעת לדברים שאפשר לראות אותם בעין ושהם יכולים להיקלט נניח גם במצלמות, אבל כמובן בהנחה שאחר כך לא נעשה עיבוד על ידי המצלמות לשדות האלה.

יש מצלמות שעושות ניתוח וידיאו מתוחכם ואז הן אוטומטית מזהות.

לא צריך פיתוח וידיאו מתוחכם. אם מהצילומים האלה שואבים את המידע, אז כמובן שאנחנו לא מתייחסים לזה.

אבל אנחנו גם הולכים על לואו-טק. במקום עבודה, אדם לא מגיע לעבודה בגלל חופשת מחלה. זה אומר שחצי מהזמן שהוא עובד הוא דווקא חולה.

הוא מגיש אישור מרופא על כך שהוא חולה.

העובדה שחצי מזמן העבודה שלו הוא נמצא בבדיקות רפואיות או דברים כאלה זה גם חלק מהמידע הרפואי שלו. אומנם לא יודעים למה, אבל אנחנו יודעים שמשהו בריאותי לא תקין אצל האדם הזה. אז אני הולכת הכי לואו-טק בעניין הזה, ואנחנו צריכים לתת את ההגדרה.

חברת הכנסת לסקי, מה שאת מציעה, אם אני מבין את הלוגיקה שאת הולכת אליה, מכוונת לכך שצריך להשמיט את המילה "הישיר" בפריט של הבריאות, והשאלה היא למה לא להוסיף את "הישיר" בכיוון האחר. אז אולי צריך לראות לאילו כיוונים ומה התיחום שרוצים, ואנחנו מציעים לוועדה לדון בשינויים שדיברנו עליהם, ופה ושם יש כמה הצעות שעבדנו עליהם. אולי זה נותן מענה. אחרת אנחנו נשארים ב-40,000 רגל.

אני חושבת שכל ההערות מכוונות לזה שמשהו בשילוב של שני הדברים הוא לא מסתדר, וזה גם הגיוני, כי הדברים הרי משליכים זה על זה. עצם העובדה שאתה כותב במקום אחד "מידע ישיר", אתה בעקיפין משליך על הפרשנות של הסעיפים האחרים. אז המסקנה לא מופרכת. האם אנחנו יכולים לחשוב על דרך אחרת, טובה יותר, במקום "מידע המתייחס באופן ישיר" להגיד "מידע המתייחס למצב בריאותו של אדם, למעט מידע העולה באופן ישיר או באופן עקיף מצילומו". אני סתם זורקת רעיון.

אם מדברים על הצילום, אפשר לנסות להגדיר לזה, אבל צריך בשביל זה החלטה שאומרת: אם נתחום את נושא הצילום בגלל צורת איסוף המידע, כשמדובר על הצילום כשלעצמו, לא על העיבודים שנובעים לאחר מכן, כפי שציינה מיכל, אם זה הכיוון אז אפשר לדבר על זה. אבל אז בואו נניח שזה כך ונמשיך וננסה להתמודד עם ההגדרות לא על בסיס עוד פעם דוגמת הצילום, כי אנחנו חוזרים על עצמנו. אלא בהנחה שעצם הצילום כשלעצמו שהוא אקראי והוא לא עוקב אחרי אדם וממוקד באדם מסוים, וכן הלאה סייגים כאלה, הוא כשלעצמו לא ייחשב כאיסוף של מידע רגיש, אלא אם כן עושים משהו עם המידע לאחר מכן. אם נשים את זה בצד, בואו נראה אם אפשר לרוץ על הרכיבים האחרים בהגדרה ולראות אם זה מסתדר. השאלה אם אפשר להמשיך עם רכיבי ההגדרה ולפחות לסיים את הדיון בהם.

ננסה. אנחנו עוברים להגדרה הנוספת של מידע גנטי כהגדרתו בחוק מידע גנטי כהגדרתו בחוק מידע גנטי. היועצת המשפטית, בבקשה.

המידע הגנטי מפנה להגדרתו בחוק מידע גנטי, וגם כאן יש משהו שהוא דומה למה שעברנו במידע הרפואי. גם כאן ההגדרה של מידע גנטי, כפי שאנחנו מובלים אליה באמצעות ההפניה לחוק, זה מידע הנובע מבדיקה גנטית. ההגדרה שמופיעה ב-GDPR היא הגדרה רחבה יותר, שמתייחסת לנושא של תכונות גנטיות, לרבות תכונות גנטיות שאפשר ללמוד ממידע שמופק גם מבדיקה ביולוגית ולא בהכרח בדיקה גנטית. אנחנו מעלים את אותה שאלה גם כאן. יש לנו צמצום של מידע ישיר דווקא בנושא שהוא מידע מאוד מאוד רגיש. אז יכול להיות שלפחות בחלקו הוא ייכנס מאליו למידע רפואי. יש לנו כאן שתי הגדרות שאולי דווקא הן בעיני הרגישות ביותר. אולי נשמע התייחסות של משרד המשפטים.

זה נכון שההגדרה ב- GDPR שמתייחסת למידע גנטי היא יותר רחבה במובן מסוים. אני רק מזכירה בהקשר הזה שגם הקונטקסט הוא שונה. זאת אומרת, כמובן אם ה- GDPR מדבר על איסור עיבוד, פה הנפקויות כמו שאמרנו הן שונות.

אבל אדרבא, שם זה ממש איסור, כאן את רק מסווגת את המידע כמידע בעל רגישות מיוחדת, ועדיין עם פחות הגנה.

ההתייחסות למידע גנטי באמת לוקחת אותנו לחוק מידע גנטי, ושם בכוונת מכוון בחוק מידע גנטי ההתייחסות היא באופן יותר מצומצם למידע שנובע מ-DNA ולא למשל לבדיקות סוכרת שיש לה גם היבטים תורשתיים.

אני יכול רק להוסיף שגם בהגדרה ב- GDPR מדובר על מאפיינים – which is not in particular - לא רק אבל במיוחד, גם שם – analysis of a biological sampleזאת אומרת גם שם לב ההגדרה לא סגורה באופן סופי אבל זה מכוון לתוצאה של בדיקת מעבדה. אז ההבדל לא כזה גדול, הוא אפילו בשוליים.

אז אולי תוכלו להציע נוסח שיצמצם לנו את הפער בין השניים.

בינתיים אני רוצה שנעלה בזום את עו"ד נעמה בן צבי, ראש תחום בכיר, הממונה על היישומים הביומטריים במערך הסייבר. אנחנו קצת קופצים קדימה כי היא צריכה לרדת מהזום וחשוב שנשמע אותה.

תודה, היושבת-ראש. ביקשתי לציין שלא אוכל להספיק להתייחס לנושא המזהה הביומטרי. חשבתי שבזה תפתחו את הדיון היום. אני מתחילה עוד שתיים-שלוש דקות דיון חדש. השאלה האם יהיה אפשר לבקש לדון בנושא הזה בדיון הבא שלכם, או שזאת ההזדמנות היחידה שלי שאוכל להתייחס?

אני חושבת ששום דבר לא ממש ייסגר היום.

גם אם נגיע לשם היום, אנחנו נדון בנושא הזה גם בדיון הבא.

אם כך אני מעדיפה לדון בזה בנחת. אז ניפגש בדיון הבא. תודה.

היינו במידע גנטי ושאלנו האם אפשר באמת לא להגיד מידע הנובע מבדיקה גנטית, אלא איזושהי הגדרה אחרת. משרד הבריאות, אולי אתם תוכלו להציע לנו איזשהו נוסח שכן מתחבר לזה שזה לא בהכרח בדיקת DNA.

אני אומר עוד פעם משהו שנאמר בחצי מילה על ידי משרד המשפטים. כשנחקק חוק מידע גנטי, אחת התכליות המרכזיות שלו הייתה הנושא של הפרטיות בגנטיקה והסודיות הגנטית ואי שימוש לרעה במידע גנטי. נתפרה הגדרה מאוד זהירה כדי לא להפוך כל בדיקה רפואית לבדיקה גנטית. כיוון שאנחנו מטילים חובות סודיות יותר גדולות ואיסורים של הפליה בביטוח ובעבודה על מידע שמוגדר כמידע גנטי. לכן ההגדרה נכתבה כפי שהיא נכתבה, וברוב הגדול של המקרים היא עדיין נכונה. אבל אני כן אזכיר שנעשה ניסיון לתקן את ההגדרה של בדיקה גנטית לפני מספר שנים, אפילו הגיע לאישור בוועדה לקריאה שנייה ושלישית תיקון ואחר כך לא עלה למליאה מאיזושהי סיבה ולא קודם מאז, ושם יכול להיות שזה טיפה יותר מדויק. אבל עדיין בדיקה גנטית מוגדרת שם בנוסח שאושר בזמנו כבדיקה של DNA, RNA, כרומוזומים, חלבונים ומטבוליטים שהופקו מדגימה ביולוגית שמגלה גן, מבנה גנטי, מוטציה או שינויים כרומוזומליים ויש סמכות לשר הבריאות להחריג מתוך זה בדיקות מסוימות. כדי שכאשר אני בודקת סוכר בבית, העובדה שהסוכרת שלי היא על רקע גנטי לא הופכת את המידע הזה למידע גנטי, כי אין הצדקה לזה. זה לא מידע שהוא באמת מגלה בדיוק מה יש לי, איזו מוטציה בגן. לעומת זאת צבע השיער שלך מגלה על הגנטיקה שלך, צבע העיניים שלי מגלה על הגנטיקה שלי. הרבה מאוד דברים אומרים דברים גנטיים שהם לא בעלי רגישות מיוחדת. שוב, אותו העניין כמו מידע רפואי, גם בגנטיקה, במיוחד ככל שהמדע מתפתח, יותר ויותר דברים הם גנטיים. ואם אנחנו רוצים באמת לייצר סל של מידע רגיש באופן מיוחד, אנחנו צריכים להגיד מה בתוך סל הדברים האלה באמת רגיש באופן מיוחד. אני מניחה שלרוב האנשים צבע השיער, אפילו צבע העור – זה מתקשר לסעיפים אחרים שיש פה שהם מאוד רחבים – לא נחשב כמידע רגיש באופן מיוחד, ולכן צריך להיזהר לא לשים את כל הביצים בסל אחד בהיעדר דימוי יותר מוצלח.

יש לי הצעה לאיזושהי הגדרה יותר מדויקת של בדיקה גנטית, אבל בסוף אם אנחנו רוצים להתייחס למידע גנטי באופן מיוחד ספציפי בהגדרה הזאת, בשונה מכלל המידע הרפואי, אז הבסיס של הדברים הוא דגימה ביולוגית שנועדה לגלות משהו גנטי. אחרת אנחנו פשוט שמים שם את הכול ואז זה מיותר.

רק להוסיף על דבריה של טליה. בעיני זו לא שאלה של נוסח, אנחנו בשאלה של הרחבה מהותית או לא הרחבה מהותית. אנחנו חשבנו שאפשר להסתפק במידע הזה כפי שהוא מוגדר בחוק מידע גנטי. לשאלה אם להציע נוסח או לא, אם הוועדה סבורה שיש מקום להרחיב מהותית את סוגי המידע שחלים כאן, אז אנחנו נחשוב אם להציע נוסח. אבל רק לוודא איפה אנחנו נמצאים, כי זו לא שאלה של ניסוח. בחרנו בכוונה לא לכתוב כמו ב- GDPR אלא כמו בחוק מידע גנטי.

יש לי שאלה שמטרידה אותי במיוחד בנושא של מידע גנטי, ואני חוזרת לתכליות. איך באמצעות החוק אני באמת מגנה על עיבוד של מידע גנטי? כל עיבוד של מידע גנטי. בעניין הזה זה לא מספיק רק רישום, זה לא מספיק לי קנס. איך אני באמצעות החוק הזה מגנה על האזרחים והאזרחיות, תושבים או על מי שעבר בדיקה, לא רק על זה שהמידע לא יופץ אלא על זה שאי אפשר יהיה לעבד את זה. זה ה"אני" שלי. הדבר הזה כל כך רגיש, ואנחנו מעבירים את זה כאילו זה לא רק צבע עור, זה הכבשה דולי. אני הולכת באמת למקום הרבה יותר חזק, זה צריך הגנה של איסור מוחלט. אני לא מבינה את ההתלבטויות קצת לפתוח, קצת לסגור. ופה ב- GDPRבאמת יש איסור של עיבוד, ופה אין לנו את זה.

לא איסור מוחלט, גברתי, אלא שם זה איסור שיש לו חריגים. אז זה לא איסור מוחלט, אם כי איסור.

אבל יש קודם כל איסור ואז החריגים. פה אין לנו.

וההגנה, כמו שעו"ד בן מאיר אמרה, יש חוק שלם נפרד ספציפי שעוסק במידע גנטי.

ההגדרה של מידע גנטי מוגדרת בחוק מידע גנטי.

אם הוזכרה הכבשה דולי, שלא ברור לי לגמרי מדוע, אז יש גם חוק מיוחד שעוסק בנושא של שינויים גנטיים בבעלי חיים וכו'.

לא ברור לך מדוע אני מזכירה את זה? אם יש הנתונים האלה ומישהו לוקח אותם, לא על פי חוק, אז זה לא ברור למה אני מזכירה את זה?

בהקשר של הפרטיות המידע הגנטי הוא מידע גנטי. אנחנו מדברים על בני אדם בכל מקרה. פה אם הרצון להתייחס הוא למה אפשר לעשות בתחום הגנטיקה, יש לזה באמת חקיקה נפרדת.

אבל הם לא יוכלו לעשות את זה ללא רצוני אם המידע שלי מוגן יותר. זה העניין.

אין ויכוח על זה שהמידע הגנטי הוא עדיין נחשב מידע רגיש באופן מיוחד. חוק מידע גנטי עצמו משתמש בשלושה מנגנונים שונים של הגבלת המידע הגנטי. המנגנון הראשון, שהוא נדיר מאוד בחקיקה, זה ממש איסור ליצור מידע מסוים. יש בדיקות שאסור לעשות. המנגנון השני הוא הגנה על הפרטיות של המידע, אמירה שהמידע הזה יותר רגיש, הגבלות על העברתו ממקום למקום. זה קיים בחוק מידע גנטי. והדבר השלישי הוא איסור לעשות שימוש במידע למטרות שהמחוקק עד עכשיו ראה לנכון לאסור אותן, כמו לעשות לזה שימוש בשביל להפלות בין אנשים בביטוח או בעבודה. אלה שלושה מנגנונים שקיימים כולם בחוק מידע גנטי ברמות שונות של התייחסות לסוגים שונים של מידע. עכשיו אנחנו באים לחוק הגנת הפרטיות, והשאלה מה מוסיפה שכבה של חוק הגנת הפרטיות על מה שיש בחוק מידע גנטי, וזו נקודה שחשוב לחדד אותה, מה נוסף בחוק הגנת הפרטיות.

הסעיף הזה מחליש את חוק הגנה גנטית, אם אני מבינה.

מחליש הוא לא, הוא תמיד מוסיף.

אבל הוא לא נוגע באותה שכבה שאני חושב שאליה כיוונת, גברתי היושבת-ראש, מה בכלל מותר לעשות עם מידע גנטי מלכתחילה. זאת שאלה שמוזכרת בחקיקה האחרת. כאן אנחנו אומרים, משיש מידע גנטי במעטפת של הפרטיות אנחנו רוצים לתת לו את ההגנה הגבוהה יותר במסגרת החוק שלנו. ההגנה הגבוהה יותר זו ההגדרה כמידע בעל רגישות, על הנפקויות שלו. ולכן אנחנו רוצים בשרשור אותו להוביל אותו לתוך ההגדרה של מידע בעל רגישות מיוחדת. מה מותר ואסור לעשות ואילו מניפולציות אפשר לעשות בגנטיקה עצמה ובמידע הגנטי, יש בסיס חוקי שתואר כאן.

אבל המסלול מתחיל בהגנת המידע. קודם כל אני מחזיק מאגר. אתם השתמשתם בחוק אחר. יש לי בניין, אבל כדי שאני אכנס לבניין אני צריכה את המפתח. אז קודם כל המפתח זה במאגרים, ואם המפתח הוא כזה שאפשר לפתוח עם סיכה אז אין לי מפתח. אז טוב שיש לי החוק שאומר לי מה מותר לי לעשות עם זה, מה אסור לי לעשות עם זה. אבל אני גם צריכה מנעול כבד כדי שאנשים לא יוכלו להיכנס לתוך המאגר הזה.

אציג מילה על הנפקויות. העובדה שזה מוגדר כאן כמידע בעל רגישות מיוחדת, המשמעות היא שלצורך העניין הסנקציות על הפרות של אבטחת מידע על המידע הזה הן גבוהות יותר, של הסנקציות על שימוש במידע הזה בניגוד למטרה או ללא הסכמת האדם.

הסנקציה היא כמו לפרסם אם למישהו יש חובות בבנק. זה לא אותו דבר.

צריך לזכור שזאת שכבה נוספת על ההגנות שיש בחוק מידע גנטי.

יש סוגי מידע שהמחוקק ראה בהם רגישות מיוחדת ובעניינם הוא חוקק הסדר ספציפי. הדוגמה של חוק מידע גנטי זו דוגמה אחת. יש עוד סוגי מידע שהמחוקק ראה בהם רגישות ולכן יש חקיקה מיוחדת שמגדירה מה ניתן לעשות ומה לא ניתן לעשות, למי ניתן להעביר ולמי לא. חוק הגנת הפרטיות לא קובע הסדרים פרטניים לגבי סוגי מידע למי ניתן להעביר אותם. חוק הגנת הפרטיות הוא חוק כללי. המשמעות של ההכללה של סוג מידע כזה או אחר תחת מידע בעל רגישות מיוחדת היא לנפקויות מסוימות, כמו למשל גובה העיצום, כמו למשל אמצעים שצריך לנקוט בדרכי אבטחת מידע.

השאלה אם ההגדרה לא צריכה הרבה להיות יותר נוקשה.

אבל חוק הגנת הפרטיות לא כולל הסדרים פרטניים בהתייחסות למידע.

הבנתי. אבל יש פה הגדרה ספציפית על מידע גנטי. אז יכול להיות שאפשר לחשוב על הגדרה שהיא יותר נוקשה.

אני מחברת פרייבסיטינג. נאמר כאן קודם שה- GDPR אוסרת על עיבוד המידע הזה. זה נאמר כמה פעמים בהקשרים שונים, אני רק רוצה לחדד. ה- GDPR לא אוסרת על עיבוד מידע, להפך. זו רגולציה שמכירה בכך שמידע צריך לזרום, מידע משמש ככלל והרגולציה מגדירה כיצד ניתן או כיצד נכון להשתמש במידע הזה. בחוק שלנו כרגע זה לא קיים, אין לנו עקרונות העיבוד כמו שיש שם. ברגע שיהיו עקרונות העיבוד האלה, ברגע שיש לנו בסיסים חוקיים שונים, לא רק הסכמה, אז את מתווה את הדרך. את בעצם רוצה, גברתי, להכווין את ההתנהגות, להגיד מה בסדר ומה לא בסדר. לא אומרים את זה דרך מה לא בסדר, אלא כיצד כן. אני חושב שאם יהיו לנו העקרונות האחרים, הבסיסים החוקיים האחרים, הדיון הזה גם יהיה הרבה יותר פשוט. כי הם גם ידברו טוב יותר עם החוק הספציפי לעניין מידע גנטי עם חוק זכויות החולה ועם כל החוקים האחרים – אני מבין את ההרגשה, זה מרגיש כאילו קצת מנסים לעקוף את החוקים האחרים האלה דרך ההגדרות כאן.

באיזה אופן מנסים לעקוף אותם?

למשל מצב בריאותו לעומת מה שמוסדר בחוק הגנת החולה, כדוגמה.

זו אותה הגדרה בעצם, פשוט בלי ההפניה המפורשת. רציתי רק להגיד לגבי בסיסי העיבוד - - -

יש פערים בין הטקסט לפרשנות שעלתה פה. לזה התכוונתי.

רציתי לחזק. אתם אומרים פה משהו וסותרים את עצמכם, כי הטקסט הוא אותו טקסט מבחינה מילולית אבל ניתנה לו פרשנות אחרת. זה קצת לא נעים גם לקבל את ההערה הזאת.

דבר נוסף, אני חושבת שזה מה שחסר. כלומר, אתם אומרים במידע גנטי יש לנו חוק מידע גנטי. אבל חוק הגנת הפרטיות, צריך להגיד מה אפשר לעשות במידע, וזה מה שחסר. וזה נכון שאין אותו, ועלי ספר הנפקויות לא נכללות בתיקון. וזו הבעיה הגדולה של התיקון, הוא לא שווה כלום בלי זה.

אם יורשה לי, עו"ד ארידור, דווקא בסוגיה הזאת כשיש חוק ספציפי שמסדיר מא' ועד ר' – לא יודע אם עד ת' – את השימוש במידע גנטי, אז בחוק שלנו יש בסיסים. זאת אומרת, מותר לך לעבד מידע כיום לפי החוק הקיים או מכוח הסכמה או מכוח הסמכה בחוק, וגם הוספנו והצענו את סעיף 8א, שבעצם אוסר על ניהול מידע אם המידע לתוכו נאסף או נצבר בניגוד להוראות דין אחר המסדיר עיבוד מידע. זה בדיוק זה. עיבוד מידע שמפר את הוראות חוק מידע גנטי יהיה הפרה גם לפי חוק הגנת הפרטיות.

אני אבהיר שוב. מה שענר אמר, מה שד"ר רחום אמר ומה שאני מנסה להגיד זה לאו דווקא בהקשר של מידע גנטי.

את פשוט מתייחסת לדיון אחר לגבי הבסיסים. אנחנו כרגע מדברים על ההגדרות, על מה שיש בהצעת החוק ועל הנושאים שהם על סדר היום.

זה נכון שזה מה שיש כרגע, אבל זה לא אומר שלא חסר הצד של איך כן.

אני רק רוצה להוסיף לדיון הזה, ואני כמובן מסכים גם עם עו"ד ארידור וגם עם ענר רבינוביץ'. הדיון בבסיסים חוקיים בהקשר הזה של מידע בעל רגישות מיוחדת לא אומר רק מה הבסיס החוקי המאתגר יותר ביחס לסוגי מידע רגישים, שכמובן שיש היגיון להחיל עליהם סטנדרט מחמיר יותר של מתי מותר להשתמש. הוא גם אומר את הצד השני, אילו סוגי מידע הם פחות רגישים ובהם היכולת להשתמש היא קלה יותר או פשוטה יותר לתפעול. ה- GDPR עושה את זה, כולנו יודעים שה- GDPRיוצר מדרג שונה של דרכים שונות להשתמש במידע בשים לב בין היתר לרגישות המידע, כמו spousal categories of personal data שזאת ההגדרה שרגישות מיוחדת נועדה לשקף. לכן הנפקויות של קנסות מוגברים, נפקות ברורה, היא אכן קיימת בהצעה כמו שהיא היום וכולנו מבינים אותה. אבל לכולנו גם ברור שברגע שיתייחסו לבסיסים החוקיים לעיבוד מידע, ואני חושב שעמדה של הרבה מהנוכחים כאן בחדר היא שעכשיו זה הזמן להתייחס לבסיסים חוקיים של עיבוד מידע אגב ההגדרות הנוספות שנוצרות, בוודאי שזאת גם תהיה נפקות לשאלה מה מוגדר כבעל רגישות מיוחדת ומה לא. הרי בוודאי שיהיה איזשהו מדרג של יכולות שימוש במידע בשים לב לרגישות המידע, ולכן זה הפיל שבחדר שאין מנוס מלדבר עליו.

אני חושבת שזה פיל שראוי לדבר עליו, אבל בואו בכל זאת ננסה לסגור את ההגדרות האלה של מידע בעל רגישות מיוחדת. אנחנו כבר בישיבה השלישית. אנחנו כמובן זוכרים שתהיינה עוד נפקויות גם להגדרה של מידע בעל רגישות מיוחדת. אתם רוצים אולי לחשוב על זה קצת לקראת הישיבה הבאה?

השאלה מה נקודת המוצא. אם הוועדה סבורה שיש מקום להרחיב, אנחנו נחשוב על זה. אבל זאת הכרעה ערכית מהותית של הוועדה. זו לא שאלת טקסט.

אני חושבת שיש מקום לחשוב על הרחבה של איך אנחנו שומרים על מידע גנטי.

אבל ההרחבה היא בהגדרה. ההצעה שזה יחול על מה שזה לא חל עכשיו?

לדוגמה ההצעה של טליה שדיברה על מעטפת של בדיקות נוספות, לא אותה בדיקת סוכרת אבל כן בדיקה – אני לא זוכרת את כל פרטי ההגדרה, אבל אני חושבת שיש בה.

בדיקה אחרת תהיה תחת הבדיקה הרפואית, לא? לא הבנתי, יהיה משהו שהוא לא בדיקה גנטית וגם לא בדיקה רפואית, גם לא מידע רפואי? לא הבנתי באיזה אופן אתם רוצים להרחיב.

האם יכול להיות מצב שתהיה בדיקה גנטית שאינה בדיקה רפואית. זו שאלה מצוינת.

ברור שיש. יש בדיקות גנטיות שאינן רפואיות, זה ברור. אנשים עושים בדיקות לקשרי משפחה, אנשים עושים בדיקות גניאולוגיה. הן נעשות במעבדות רפואיות והן נכנסות לתחולה של חוק מידע גנטי.

נושא של קשרי משפחה הוא תחת מידע גנטי ויש לו פרק שם, יש תקנות ייעודיות. דרך אגב, גם לנושא של אבטחת מידע. לכן אם הוועדה תרצה להציע איזו מהות צריך להרחיב, אז אנחנו נוכל להציע הצעה.

אבל גם ב- GDPR יש מידע רפואי ובכל זאת הם בחרו לכתוב את המידע הגנטי באופן רחב יותר שהוא לא נכנס רק לאותה בדיקה גנטית.

אבל לנו יש חוק ספציפי שמסדיר שימושים במידע גנטי, ולכן חשבנו שנכון להישען עליו.

זה האיזון שהמחוקק הישראלי מצא. זו לא הרגולציה הכללית האירופית, זה האיזון שהמחוקק הישראלי מצא. אם יש דברים שלדעתכם נשמטים אחרי עיון בחוק המידע הגנטי, דברים שנשמטים ושצריך להוסיף אותם, אז תאמרו לנו מה הם ואנחנו נעשה את זה לקראת הדיון הבא.

אכן השאלה בעצם אם יש דלתא כלשהי בין ההגדרות שלנו של מידע גנטי ומידע רפואי, ויש פער קטנצ'יק שכך אני מבין אותו שאולי שווה להשקיע בו ולהרחיב את ההגדרה של מידע גנטי. אני בינתיים לא מוצא אותו, אני חייב להגיד. אני חושב שמידע רפואי ומידע גנטי מכסה את כל האירוע. אבל אם יש משהו נוסף, אז נשמח לדעת אותו.

אולי נשאל את טליה כאשת המקצוע, האם יש מידע שהוא יכול להיכנס להגדרה יותר רחבה שהצגת קודם, של מידע גנטי, שאינו נכנס לא לחוק מידע גנטי ולא מובא כמידע רפואי ישיר.

גם ההגדרות שיש היום בחוק מידע גנטי וגם ההגדרות שרצינו לתקן וגם ההגדרה שהוצעה פה קודם למידע רפואי, יש ביניהן חפיפות גדולות ולדעתי הן מכסות כמעט כל מה שאני רואה אותו כמידע שראוי להגן עליו ברמה היותר גבוהה, יותר מאשר מידע אישי אחר. בבדיקות הגנטיות זה כן תמיד מתחיל בביצוע בדיקה כלשהי, של RNA, של DNA, של כרומוזומים, דברים שבודקים במטרה לגלות גנים ולא תמונה של מישהו עם צבע עור מסוים או אפילו בדיקה שנועדה לגלות רמת סוכר בדם שיכולה להיות או גנטית או לא גנטית, והיא רפואית. אין לי שום ספק, היא מידע רפואי, אבל היא לא מידע גנטי. זאת אומרת, יש פה שאלה טובה מה הפער. אני מודה שאני צריכה לחשוב על זה עוד, אבל אני לא רואה אותו.

נסתכל על חוק מידע גנטי.

אנחנו גם נבדוק אם קיים פער כזה.

4. פרט המידע הבא, מידע על אודות דעותיו הפוליטיות או אמונותיו של אדם. בדיון הקודם עלתה השאלה מה הכוונה באמונותיו של אדם. אני חושבת שהבנו שהכוונה של הממשלה בביטוי הזה היא כוונה רחבה של אמונות דתיות, אבל גם דברים שאפשר להגדיר אותם כהשקפת עולם, טבעונות או אמונה באנתרופוסופיה, כל מיני השקפות עולם למיניהן. כמובן, אני מחזירה את זה לוועדה להחלטתה אם נכון להוסיף גם השקפות עולם לתוך המידע בעל הרגישות המיוחדת שראויה לו הגנה נוספת. בכל מקרה אני חושבת שגם אם אנחנו משאירים את ההגדרה הזאת, נכון לחדד ולכתוב אמונות דתיות והשקפת עולם, ולא רק אמונות. כי אני חושבת שזו הגדרה שאולי לא מספיק ברורה, ובשים לב לאכיפה שצפויה בשים לב להגדרה הזאת, אני חושבת שנכון לכתוב אותה בצורה יותר ברורה. מאחר שההגדרה הזאת היא גם הגדרה שנכללת באופן עקיף, אז אם סל הצריכה שלי מלמד רק על מוצרים טבעוניים, האם גם זה ייחשב מידע רגיש? כי אין לנו כאן צמצום למידע ישיר, אז אשמח שתתייחסו גם לזה. אם אני שולחת את הילד שלי גם לגן אנתרופוסופי או שאני שולחת אותו לבית ספר דמוקרטי.

כל מי שהולך ללמוד באוניברסיטה מורמונית, אז כל רשימת התלמידים של האוניברסיטה זה מאגר רגיש? אשמח שתבהירו לי קצת יותר מה הגבולות של הדבר הזה.

במיוחד בשים לב לנושא של מידע עקיף.

אם נתחיל דווקא, גברתי, בדוגמת הרכישה, לזה יש התייחסות מפורשת. אם זה מאוד עקיף, רק אם זה ייחשב להרגלי צריכה. התייחסנו לזה במפורש בהמשך.

נגיע לנושא של צריכה. אבל לא צריכה.

אפשר להגיד באופן כללי שהכוונה שלנו כאן הייתה לתפוס מידע שהוא חלק מזהותו של האדם, מתפיסת העולם שלו. ואעיר בהקשר הזה שאחת מהעילות בנושא שוויון זו אפליה מחמת השקפה. בשים לב לרצון להגן על מידע שהוא חלק מתפיסת העולם שלך, חלק מהזהות שלך, זה באמת הנוסח שראינו לנכון להציע. אני רק אזכיר שבחוק הקיים שמתייחס היום גם למידע ומידע רגיש יש התייחסות לדעותיו ואמונותיו. זאת אומרת, לקחנו את האמונה שהיא מונח שכבר קיים היום בסעיף 7 לחוק ואנחנו בעצם מציעים להמשיך ולהתייחס אליו. בהמשך להערות של הוועדה בדיון הקודם ניסינו להבהיר, וזה הנוסח שמובא בפניכם, שהכוונה היא כאן גם לתפיסות עולם.

זה בעצם מה שמקובל ב-GDPR, כתוב אמונות דתיות, אמונות פילוסופיות. אנחנו חשבנו ש"אמונותיו" כולל את הכול, גם אמונות דתיות וגם אמונות אחרות, אבל אם הוועדה מעוניינת לחדד את זה אז אפשר להתייחס לאמונותיו הדתיות או השקפת עולמו.

אני רוצה לנסות להבין. למשל, פרופסור גולדרייך, יש לו השקפת עולם מסוימת והוא חתם על כל מיני מסמכים או על עצומות או כל מיני דברים כאלה, או שהוא חבר ב"שלום עכשיו". מי שהפר את החוק בעניין האפליה זה מי שלקח בחשבון את האמונות שלו כדי כן או לא לקבל את פרס ישראל. אבל השאלה האם "שלום עכשיו", לצורך העניין, זה שומר מידע רגיש וצריך לרשום מאגר ולא יכול להפיץ את זה לחברים אחרים כדי שיעבירו להם ניוזלטר.

אני מוסיפה על זה, העובדה שאני קוראת עיתון זה או אחר גם יש בה כדי ללמד על דעותיי ועל השקפת העולם שלי. האם גם רשימת מנויים לעיתון או רשימת העיתונים שאדם קורא? ברגע שאנחנו מגדירים את זה כמידע עקיף, המון דברים מלמדים על השקפת העולם שלי. הלבוש שאני לובשת, החינוך של הילדים שלי, המקום שבו אני גרה מלמד גם כן רבות על השקפת העולם שלי.

זו שאלה של פרשנות, כי ניקח לדוגמה את העיתון שאתה קורא. פעם היו הרבה עיתונים מפלגתיים. אני חושב שכאשר היה עיתון "דבר" או "על המשמר" ועיתונים מפלגתיים, אז כן, זה היה מעיד באופן ישיר גם אם לא הייתה כתובה ברשימת הלקוחות הכותרת הישירה: אלה אנשים שתומכים במפלגה איקס. מצד שני, בצד היותר אמורפי מנותק כעניין של פרשנות זה לא ייחשב. ואם נחזור לדוגמת המצלמה קודם, עצם העובדה שאדם נקלט במצלמה כשהוא הולך וחובש כיפה לראשו, אם לא נעשה שום עיבוד, לא ייחשב כמידע רגיש.

רשימות של "שלום עכשיו".

רשימת חברים בארגון זה מידע פוליטי מובהק.

מידע פוליטי, זה דעות פוליטיות, בוודאי.

זה לא דעה פוליטית, זו השקפת עולם, וזה לא אותו דבר.

בנוגע להערה של היושבת-ראש בנוגע הניוזלטר, אין קשר.

למה זו לא דעה פוליטית? זה בהכרח דעה פוליטית. זה לא אומר בדיוק לאיזו מפלגה האדם מצביע, אבל ניתן להניח.

אבל אין קשר לניוזלטר. הניוזלטר לא קשור להגדרת מידע בעל רגישות מיוחדת. ההגדרה הזאת לא מטילה מגבלות על היכולת לעשות שיפוט.

אבל הם צריכים לרשום עכשיו מאגר?

זו כבר שאלה אחרת. זה תלוי בהיקף נושאי המידע. אני לא יודעת אם ל"שלום עכשיו" יש 500,000 נושאי מידע.

אני מקווה שכן. יש מפלגות פרופר שיש מפקד של מפלגות. אבל אני אומרת על ארגונים מסוימים, "קהלת", הם צריכים עכשיו לרשום מאגר מידע?

הרישום נדון בהמשך. הרישום במידע רגיש זה מעל גודל מסוים. אבל גברתי חייבת להבין שהחומרות האלה אמורות להגן דווקא על ארגונים כאלה כדי שהמידע על החברים שלהם, בין אם זה מצביע על אמונה דתית, בין אם על דעה פוליטית ובין אם על השקפת עולם, ההגדרה הזאת מבקשת להתייחס בזהירות יותר. בדרך כלל זה צדדים שלישיים, כי אותה מפלגה או עמותה שמכוונת להשקפת עולם מאוד ברורה, החברים מסכימים שהיא תאסוף שימושים. החומרות האלה נועדו לתת דווקא את החבילה שתגן על המידע הזה ותאפשר לאנשים ביותר קלות להסכים להיות חברים וליצור קשר עם העמותה. זה כל העניין.

זה הקישור בין העולם פה של הגנת מידע לעולם של הגנה מפני אפליה.

אפליה זה אפליה. גם אם אני צועקת בכל מקום שאני שמאלנית, זו אפליה אם לא לוקחים לעבודה בגלל שאני שמאלנית. זה ממש לא התכלית של זה. האפליה זו לא התכלית.

הקישור שאני עושה כאן בין זה שאנחנו מבינים שזה מידע רגיש, כי יש אפשרות לעשות בו שימוש לרעה. למשל על מנת להפלות, על מנת לסמן, לתייג. אבל דעה פוליטית זה לא הנושא של "אמונותיו". דעה פוליטית, כפי שציינת, היא בהכרח מידע רגיש, גם מידע רגיש היום, וגם אמונות הן מידע רגיש היום. אם הוועדה סבורה שהביטוי "אמונותיו" שקיים כבר היום לא מספיק חד כדי להיות ברור שהוא כולל גם אמונות דתיות וגם אמונות אחרות, מה שנקרא ב- GDPR - philosophical belief אז אפשר לציין, כפי שהוועדה הציעה, אמונותיו או השקפת עולמו.

אולי נחדד. נכון שההגדרה היום כוללת דעותיו ואמונותיו, אבל דווקא ההגדרה היותר חדשה בתקנות הבטחת המידע כן מתייחסת לדעותיו הפוליטיות או אמונותיו הדתיות של אדם. אז ההגדרה החדשה כן מחדדת.

נכון. בהצעת החוק כללנו אמונותיו, לא רק הדתיות. אנחנו הבנו שצמצמנו מדי ואמונותיו של אדם יכולות להיות לא רק אמונות דתיות. באמת גם ברפרנס ל- GDPR.

אבל בהחלט הכוונה היא להשקפת עולם ולא לאיזושהי אמונה נקודתית. אלא למשהו שהוא ממש חלק מהזהות של האדם גם אם זו לא אמונה דתית. לכן לא התנגדנו לתוספת "השקפת עולמו".

צריך לומר, סליחה שאני מדייק את זה, אבל כמו שחברת הכנסת אמרה קודם, החוק הזה גם בא בסופו של דבר להגן על הערך המוגן שנקרא פרטיות. בסוף כשאנחנו מגדירים הגדרה שהמידע רגיש, אנחנו במידה מסוימת קובעים מה הקביעה הערכית שאנחנו מחליטים שיותר חשוב להגן עליו. כשאנחנו אומרים אמונות פוליטיות או דעות או אמונות של אדם, אנחנו יוצרים איזושהי בעיה מסוימת. כי בסופו של דבר כשאני כותב פוסט בפייסבוק זו גם דעתי הפוליטית וזה צריך להיות ברור, ואני אומר את זה לפרוטוקול. צריך להיות ברור שאין הכוונה שפוסט בפייסבוק שמביע את דעתי הפוליטית ייחשב למידע ברגישות גבוהה שצריך להגן עליו ושיהיו עליו סנקציות יותר גבוהות. אלא הכוונה היא אולי לאותם סוגים מסוימים של עיבודים של המידע או שימושים שלו. לכן אני רוצה להחזיר אותנו דווקא ל- GDPRשהוזכר פה כמה פעמים. בהגדרת special categories – processing of personal data revealing ואין את זה פה. וזה הבדל גדול מאוד.

revealing זה מרחיב יותר מאשר ההגדרה שכתובה היום. זאת אומרת, זה לא רק המידע עצמו, זה מידע שהוא יגלה דברים.

אבל זו בדיוק הנקודה. הנקודה היא שאם גיליתי את דעתי בפוסט בפייסבוק, זה לא הערך המוגן. אבל לעומת זאת אם אתה הפעלת עלי מניפולציה ואתה מנהל עלי מאגר מידע שסוכם את כלל הפוסטים שלי ועל בסיס זה אתה משייך אותי פוליטית, זה הסיפור של הערך המוגן לדעתי.

גם וגם.

זאת הבעיה, שזה מרחיב מדי.

להבנתי המילה revealing, ובסעיף אחר כך יש ב- GDPRשמתייחס למידע על הרשעות פליליות שאומר בכלל concerning אלה שני מונחים שמרחיבים בכמה דרגות מאשר ההצעה שלנו.

זה processing שעושה revealing לא כל מידע, וזה ההבדל.

אדוני, אני חושבת שאתה משלב בין שני דברים, בין ההגדרה לבין שאתם שוב חוזרים לנושא של בסיסי העיבוד.

אבל מה לעשות שזה מה שיש לנו. יש לנו הגדרה מרחיבה מאוד של מידע רגיש.

אבל processing שקול למילה שימוש אצלנו. זאת אומרת, כל שימוש, לרבות אחסון. לפי ה- GDPR בסעיף 9, כשאתה מאחסן מידע שהוא לא עצמו על דעה פוליטית, אלא רק מגלה, הוא מקבל הגנה יותר חמורה. אנחנו לא הלכנו כזאת כברת דרך.

זה נכון מבחינה מילולית אבל זו לא הכוונה. עובדה שהרשויות באירופה מפרסמות ומדייקות את הדברים האלה בצורה אולי קצת יותר פרטית. ואני מסכים איתך שאחסון זה גם processing, אבל אני חושב שאנחנו קצת חוטאים. אם אנחנו מחליטים שהערך המוגן זה דעות פוליטיות, זה בסדר. אבל אסור שאחר כך אנחנו נצא מנקודת הנחה שפוסט בפייסבוק יהיה מידע רגיש. זה לא הגיוני שאחר כך מישהו יקבל סנקציה מאוד גבוהה בגלל שהיה שם פוסט עם אמירה פוליטית.

זה פשוט קפיצות בין הצד המושגי הערכי לבין דוגמאות קיצון שלוקחים ביישום. הוועדה הזאת צריכה להחליט, עם כל הכבוד, אבל אם מידע על אודות אמונה פוליטית, השתייכות פוליטית של אדם, היא מידע רגיש, אז כן. אז האם פוסט אחד שהוא כתב משהו מחייב רגולציה מורכבת? כנראה שלא. אבל מושגית כן. תמיכתו הפוליטית של אדם זה מידע רגיש, זה מסוג המידע שכולנו מבינים לאן הוא יכול להוביל בהרבה מאוד הקשרים, ולכן מושגית הוא כלול פה. יש לנו הגדרה שגם עובדה יחד עם הלשכה המשפטית לפני הדיון, שמקדמת אותנו, תוחמת את זה למקום נכון שהולם גם את הרמה הבין-לאומית, גם לא מטילה נטל כבד מדי, ואחר כך כשנגיע אז האם צריך 100,000 כאלה או אחד כזה זו שאלה אחרת. בואו לא נפחיד את זה עם הדוגמה של הפוסט היחיד שייתפס בו. מושגית כן, גם פוסט יחד.

אבל זה עולם התוכן של רוב השחקנים בשוק בסוף. זה רוב המידע.

אני בשם התאחדות התעשיינים. התבקשתי קודם להעלות את נושא יחסי עוסק-מעסיק בהקשרים שבהם זה רלוונטי. זה נושא מאוד רלוונטי. לכל מעסיק בהגדרה יש מידע על העובדים שלו, על יום המנוחה השבועי, על חגים. הוא מחויב לפי דין לקבוע את הדברים האלה ולכתוב אותם בהסכמי העבודה. אם התוצאה של הדבר הזה תהיה שכל מעסיק מחזיק במידע בעל רגישות מיוחדת על עובדיו, התוצאה אבסורדית. אני אומר את זה בהגדרה, נגיד את זה גם אחר כך בנפקויות. אבל צריך כל הזמן לזכור את ההקשרים האלה שבהם גופים עסקיים שומרים מידע על פי דין. זה יכול להיות מידע כלכלי, זה יכול להיות מידע רפואי, זה יכול להיות מידע על אמונה דתית או השתייכות דתית. חייבים להחריג את מערכת היחסים הזאת.

לא הבנתי לאיזו אמונה או דעה אתה מתכוון בהקשר הזה.

למשל אם אדם לוקח חופשה בחודש הרמדאן, או אם יום המנוחה השבועי שלו הוא יום ראשון, זה בהכרח משפיע על השתייכותו הדתית, על אמונתו הדתית, בהגדרה.

לא צריך ללכת כל כך רחוק. הרבה פעמים הוא יודע את דתו של העובד.

נכון. ולכן התוצאה של זה לא יכולה להיות שכל מעסיק במדינת ישראל מחזיק בהגדרה במידע בעל רגישות מיוחדת.

אתה שוב חוזר לנפקויות של ההגדרה. זה לא שאתה מצפה שיהיה שינוי בהגדרה, נכון? אתה מציע שינוי בהגדרה?

אני מציע להחריג את כל ההגדרה הזאת מיחסי עוסק-מעסיק, כן.

למה? אנחנו ברמה המושגית, אנחנו לא ברמה של יישום.

שלמעסיק בכלל לא יהיה מידע רגיש קונספטואלי?

שמידע שמעסיק נדרש על פי דין לאסוף על עובדיו לא ייחשב למידע רגיש.

זה מידע שלא צריך להגן עליו יותר? אני לא מבין מה העניין. אתה יכול לבקש פטורים אחר כך, כשנגיע ליישום. אבל רעיונית, אם יש מידע שהוא רגיש, מידע גנטי הוא רגיש לדעת כולם, גם אם הוא מוחזק על ידי מעסיק הוא מידע שאנחנו לא רוצים שיתגלגל החוצה, כי אנחנו שומרים על האדם ולא על מי ששומר על המידע.

אנחנו כרגע עם ההגדרה. לא בהגדרה צריך לשים את הפטור, אלא ביישום, אז לשם אנחנו צריכים להגיע. אבל יש לי שאלה בהמשך לדברים שאמרת לגבי מערכת יחסי עבודה והשקפת עולם. למשל חברות בהסתדרות או בהסתדרות הלאומית. מה אנחנו עושים עם זה? זו השקפת עולם.

הסתדרות זו השקפת עולם?

זו השקפת עולם אם אני חושבת שהעובדים צריכים להתאגד או שאני בעד הסכמים אישיים, או שהם צריכים להתאגד במסגרת איגוד עובדים איקס או אחר. זאת אומרת, לפתחכם אני שמה עוד שאלות שאנחנו צריכים לתת עליהן את הדעת.

אני חושבת שקצת מבלבלת אותנו ההגדרה של השקפת עולם, של המהות שאנחנו רוצים להכניס לתוך אותו מונח, יהיה אשר יהיה. נדרשות לוועדה גבולות גזרה של מה הן אותן ההשקפות שאתם רואים לא כדוגמה, אלא באמת גבולות הגזרה של ההגדרה הזאת.

גבולות הגזרה זה עניין של תפיסת עולם. מעבר לזה מדובר במלאכת חקיקה. כמו שחקיקה של אפליה אוסרת אפליה מחמת השקפה ואין הגדרה של השקפה, כך בנויה חקיקה. מטבע הדברים יש פה הרבה מלאכת פרשנות. כך זה תמיד בכל חקיקה. גם ב- GDPR שכתוב philosophical belief יש שאלה מה נכלל בזה. אבל במהות יש לי כן אמירה. במהות זו לא עמדה שלי או דעה שלי נקודתית בעניין כזה או אחר, זה משהו שהוא יותר הוליסטי כתפיסת עולם של אדם. זאת המהות.

יש הבדל מאוד גדול. בחוק איסור אפליה זה נורא קל דווקא, כי אם אדם הופלה מחמת אותה השקפת עולם, אז חזקה שמדובר בהשקפת עולם רלוונטית.

למה? אני אטען שלא הפליתי מחמת עילה שבחוק, כי זה לא נכנס להשקפה.

או שלא ידעתי כיצד אני צריך לנהוג, כי החוק לא היה ברור. רמת הרזולוציה שהם מבקשים לא תואמת את הרמה המקובלת בחקיקה הישראלית. זה לא מושג כל כך לא ברור מהי השקפת עולם או מהי דעה פוליטית.

מה גם שהחוק הקיים מתייחס לאמונותיו. הפירוט הוצע לאור בקשת הוועדה לא לכלול את אמונותיו הדתיות.

כי לא רצינו שתחת הביטוי אמונותיו יסתתר משהו שאף אחד לא צופה שהוא בכלל נמצא שם.

אבל כבר טרם הדיון הסכמנו לנוסח שהוצע על ידי הוועדה בעניין הזה.

הגענו להבנה.

אולי הייתה כאן אי הבנה. אני אמרתי שאני קודם כל רוצה לפרש, לבאר את מה שאתם הצעתם, ואתם הצעתם "אמונותיו" גם במובן של השקפת עולם, ולכן הנוסח שאני הצעתי כולל השקפת עולם כדי לבטא נכון יותר את מה שאתם הצעתם כ"אמונותיו". זה לא אומר שאני חושבת שזהו התוכן. אני חושבת שזה עניין לוועדה, לא לי, אבל אני כן חושבת שגם הביטוי השקפת עולם עדיין יותר טוב מאמונותיו, כי הוא לפחות מגלה שאנחנו רוצים לא רק אמונות דתיות. אבל אני לא בטוחה שאני מבינה כבר את גבולות הגזרה שלו, ובוודאי לא את גבולות הגזרה כאליהם מתחברת גם ההסקה העקיפה של המידע מדברים אחרים. וזה מה שאני מנסה להבין מכם.

אלה שתי שאלות נפרדות, כמובן. לגבי הסקה עקיפה, אמרנו מה עמדתנו שהיא לא מרחיבה עד כדי כך. עלה פה בצדק האזכור שבחקיקה מקבילה בעולם לא נהוג לכתוב באופן ישיר, אלא אפילו יש מונחים יותר מרחיבים. אנחנו מדברים על המידע עצמו. האם המידע עצמו שהכותרת כותבת אנשים שאמונתם היא יהודית? לא. מצד שני, גם רשימת שמות. אני אתן את הדוגמה לצד השני, הקיצוני. רשימת שמות משפחה, אנשים שאין עליהם שום מידע פרט לשמות המשפחה, אבל ניתן ללמוד משמות המשפחה על דתם בהערכה גסה, לא לזה הכוונה כשלעצמו. זה לחלק הראשון של השאלה.

לגבי השקפת עולם, להבדיל מאמונה – יכולה להיות אמונה במשהו ספציפי. אני מאמין שצבע סגול יפה יותר מירוק. השקפת עולם זה משהו יותר הוליסטי, יותר כולל, משהו שהוא יותר משקף את מי האדם, מה טעמו ומה אישיותו. בנוסף, היא יותר כוללת, לא מתמקדת במשהו ספציפי. פעמים רבות השקפת עולם זו תפיסה או עמדה שמשפיעה על האופן שבו אדם רואה את העולם בחלקים נרחבים ממהלך החיים, לא רק במגזר ספציפי. זה מונח שסתום, אבל לדעתי הוא די ברור, הגבולות שלו ברורים במידה סבירה. כך שלא ייצרו בעיה פרשנית יוצאת דופן בעתיד.

אני רוצה להגיד לפרוטוקול שחבר הכנסת בן צור נמצא פה וגם חבר הכנסת מקלב היה פה.

יש פסיקה שמתייחסת למונחים האלה? אנחנו יודעים איך הפסיקה מתייחסת למונחים כאלה?

לא כל כך.

יש מושגים שהם עמומים. אם נסתכל בחוק איסור לשון הרע, לא קשור לפרטיות, למשל לבזות אדם, האם ביזוי אדם זה מושג מוגדר, ברור, כתוב? כתוב: לבזות אדם בשל גזעו, מוצאו, דתו, מקום מגוריו. יש מושגים שיש בהם מידה מסוימת של עמימות. כך נעשית החקיקה. נדמה לי שבהקשר הזה זה לא מושג שהוא עמום יותר מהמקובל באיזשהו אופן.

אני חושבת שבכל זאת כאן אנחנו נמצאים כאן בעיצומים כספיים ובמודל שהוא לכאורה אמור להיות פשוט וטכני.

אנחנו בשלב ההגדרה.

אנחנו בשלב ההגדרה, אבל עדיין. לתוך ההגדרה הזאת נכנסים מאגרים שצריכים להירשם או לא צריכים להירשם. וכשאני שואלת את עצמי האם אני צריכה להירשם או לא, אז אני צריכה לשאול את עצמי קודם האם יש פה השקפת עולם או לא. האם העובדה שאחד השכנים ביקש מוועד הבית לא לשתול שתילים בשנת שמיטה הופך את זה למידע.

אותו דבר גם בחוק איסור הפליה במוצרים ושירותים. אני מנהל מועדון ואני צריך לדעת איזו הוראה לתת לדורמן שלי, למי שמכניס את האנשים. האם מי ששתל את הצמחים שלו בשנת שמיטה, בדוגמה שלך, שאני לא בטוח שהיא הכי שכיחה בעולם, לתת לו הנחיה אם מותר לו, האם הוא רשאי לאסור על הכניסה או לא, כי לפי זה אני, בעל המועדון, אהיה חייב בעבירה פלילית או בתביעה אזרחית. זה אותו דבר, גם כאן יש הכוונת התנהגות וגם כאן. אנחנו איכשהו צוללים פה לטעמי קצת במנותק מהמקובל בחקיקה ברצון לדקדק באופן שאי אפשר לתת את כל הנסיבות ואת כל המקרים.

אבל לא תמיד מה שנראה זה מה שקורה בפועל.

אני מסכים, אבל אני מראה שגם בחקיקה אחרת מדובר בהכוונת התנהגות מראש שאם אדם לא יפרש אותה נכון הוא עלול למצוא את עצמו נאשם בפלילים. נכון. זה דומה. מה ההבדל בין חוק איסור הפליה לבין החוק הזה?

לכן אנחנו רוצים לעזור לאדם להבין כמה שיותר, אנחנו מנסים להדק את ההגדרה.

לכן שינינו את הנוסח בהתאם להצעה.

המונח אמונה כבר נמצא בחקיקה וכבר היום כמובן יש חובת רישום על מידע שכולל מידע רגיש, בין היתר גם מידע שכולל אמונה.

אני רוצה להציע האם יעזור והאם אפשרי לכתוב פה שזה רק מה שמלמד באופן ישיר על דעותיו הפוליטיות או אמונותיו והשקפותיו הדתיות, ואז אולי נחסוך מאתנו את כל הדברים העקיפים.

אין לנו אפילו מלמד, יש לנו מידע על.

אני מבינה. השאלה היא אם לכך היועצת המשפטית של הוועדה מכוונת, האם זה מה שיצמצם.

רק לגבי מי שנראה חיצונית כזה?

לא, זה לא רק חיצונית. דעה פוליטית זה גם במקרה אחר.

אני מדבר בנושא של אמונה דתית.

השאלה שהועלתה פה, האם זה שמעסיק יודע מהו יום החופש של העובד מלמד על אמונה דתית. האם זה מידע שמלמד ישיר, עקיף?

אם הוא משגיח כשרות בשבת בבית מלון וזה נרשם לו יום עבודה, בגלל זה תגידי שהאמונה שלו היא לא דתית?

לא אומרים שזו לא דתית. כרגע אנחנו נמצאים פה בהגדרה של מידע רגיש.

שמקבל הגנת יתר בגלל היותו מידע רגיש.

השאלה היא איך אנחנו מגדירים את זה, בצורה הכי רחבה או בצורה יותר מצמצמת.

אשמח להתייחס להערה של רחל. יש מחיר בהכנסת מונח של מידע ישיר או עקיף לאורך כל ההגדרות, והמחיר הוא שזה מייצר אי ודאות גדולה יותר לגבי האופן שבו יש לפרש את ההגדרות האלה. היועצת המשפטית הזכירה קודם שאנחנו עוסקים בחקיקה שאחת הנפקויות שלה היא עיצומים. אם בכל מקום פה יופיע מידע ישיר או עקיף, זה משאיר הרבה מקום יחסית לפרשנות לגבי השאלה האם כן אפשר להסיק את זה באופן ישיר או לא. אז במתח שבין הגדרה שהיא אולי קצת יותר מרחיבה לבין הוודאות, אנחנו חושבים שצריך להיצמד להגדרה הוודאית יותר. לכן אנחנו לא סבורים שיש מקום להוסיף.

אני דווקא חושבת שככל שאתה משאיר את זה גם לדברים שאפשר להסיק מהם, אז להפך, אז דווקא אתה נכנס לקושי הזה.

אבל הכול נכלל מבחינתנו. באופן שכותבים "באופן ישיר" אז יש שאלה אם אפשר להסיק או לא. נכון, אני מסכים עם מה שאמרת, אבל אז הכול נכלל. אז אנחנו אומרים שההגדרה תהיה רחבה יותר, אבל תהיה ודאות והמשק ידע מה חל על כל מאגר.

אבל לא תמיד צריך שהכול ייכנס.

אבל אז זו שאלה של פרשנות כמה זה כבר מתרחק עד שיהפוך לבלתי סביר. כשכתוב באופן ישיר זה עלול להתפרש ממש רק אם כתוב בכותרת של השדה, וכולנו מסכימים פה שלא כדאי.

לדעתנו זה מצמצם מדי.

והרגולטור יפרש את זה אחרת.

אני כן רוצה להתייחס למה שאמרת, שזה מידע על דעותיו הפוליטיות. מה מטרתה של המילה " על אודות" בתוספת כאן?

זה עניין לשוני של נוסח החוק שקיים גם היום בחוק, וגם עכשיו השתמשו בו בנוסח החוק.

זה ברמה של העברית. להבנתי אין לזה שום משמעות משפטית או מהותית. כך אומרים, מידע על אודות אדם.

לא הבנתי כל כך את ההתנגדות ל"ישיר", כי אני חושב שזה כן מצמצם ולא מרחיב, וממילא יש השאלה הפרשנית. אמרתם בעצמכם בתחילת הדיון שזו שאלה פרשנית, שזה תמיד דבר מאוד מדאיג לשמוע מהרשות.

למה זה מדאיג?

כי זה אומר שהחוק לא מספיק ברור, הרשות יכולה לנקוט בעמדה אחת. יכול להיות שזה לא מה שצפינו אנחנו בתעשייה שניסינו לציית לחוק בכל יכולתנו, אבל דעותינו שונות.

אני חושב שכמעט כל חוק אתה יכול להגיד שיש בו שאלות של פרשנות.

צר עולמי כעולם חוק הגנת הפרטיות.

אז בוא רגע נפתח את העולם הזה קצת יותר רחב. כל חקיקה בכל רגולציה אפשר לפתוח לפרשנויות.

השאלה איזו פתיחה אנחנו רוצים.

דווקא להפך. העמדה שלנו, שנאמרה כאן לפני שנייה, היא שהמושג הזה מאפשר יותר ודאות ופחות אי הבנה של השוק.

אני מקבל שהוא נותן ודאות. השאלה אם זה הכלל שאנחנו רוצים לקבוע פה, ולכן אנחנו צריכים לעסוק דווקא בדוגמאות. עו"ד אתגר העלה קודם את הדוגמה של פייסבוק, אבל הדיון הזה מצולם, לחבר הכנסת הנכבד יש חזות שמעידה על אמונתו, למשל. האם המאגר שבו נשמרת ההקלדה זה מאגר שיש בו מידע רגיש? האם כל החובות חלות? אני מניח שגם מבחינתכם, אני מקווה שהתשובה היא לא, ואז השאלה שאנחנו צריכים לענות עליה היא איזו הגדרה תמנע את ההתעסקויות האלה. כי מה יקרה אם הנוסח הזה עובר כפי שהוא? זה אומר שעכשיו כל הארגונים במשק שיש להם המצלמות, שיש להם הרישום של איזה מזון להזמין לעובדים – נטול גלוטן, טבעוני כשר וסוגים אחרים – כל זה יוצר עכשיו שלל מאגרים רגישים, כולם ייקחו את זה הכי לחומרה מתוך הפחד הזה מהפרשנות המחמירה. אני לא חושב שזה כיוון שאנחנו רוצים ללכת אליו. אם אנחנו יכולים עכשיו לפשט את ההגדרה, להפוך אותה לברורה יותר, למשל שזה מידע על אמונה מהותית, על השקפת עולם מהותית, משהו שהוא משמש ככזה.

אבל הסכמנו לתיקון שאומר אמונותיו או השקפת עולמו.

כן, אבל זה מידע על.

אמונה מהותית, איזו ודאות זה נותן לך? כי בסוף יושב הרגולטור וצריך להכריע מהי אמונה מהותית, נכון? כשאני יושב ובוחן, איזו ודאות זה נותן לך?

אז יש לי הצעה אפילו יותר טובה. בעיני האתגר כאן הוא לא בהשקפת עולם או באמונה או בדעות, האתגר כאן הוא במידע על. האם כל מידע שהוא שנוגע לכל אמונה שהיא או השקפת עולם שהיא, האם כל אלה נחשבים מידע בעל רגישות מיוחדת, או שאפשר לדייק את "מידע על". אפשר להגדיר את זה טוב יותר כדי שזה לא יעסוק בכל הדברים האלה שאני חושב שאף אחד מאתנו לא רוצה להטיל עליהם את ההחמרה.

יש לך הצעה?

לך יש?

בוודאי, אנחנו הצענו. גברתי, אנחנו הצענו הצעות. ההצעות שלנו קיימות, הן רשומות, הן כתובות, הן מוסברות. יש דברי הסבר. הייתה גם הצעה נוספת של הוועדה, שקלנו אותה, הבאנו שיפור של ההצעה בהתאם להערות הוועדה. ברור שכל מושג כזה, אפשר בלי סוף לדון בו. אם נלך לכל מיני הצעות שלא מייצרות, בטח לא ודאות נוספת, אפשר לומר שאותה הצעה אולי מסדרת למישהו את ההגדרה בצורה אחת, לאחר היא לא מסדרת. בסופו של דבר לא שמעתי כרגע הצעה שמייצרת יותר ודאות ממה שאנחנו נתנו עד כה. אם הייתה כזאת הייתי מחבק אותה, אבל אני לא מוצא כזאת. וכמובן שהיא שומרת גם על ההגנה הראויה למידע הרגיש. זה צריך להיות הגנה ראויה על מידע רגיש וודאות. אני חושב שעד כה לא שמעתי הצעה יותר טובה ממה שאנחנו הנחנו, עם התיקונים שהוועדה הציעה והנוסח המשופר שהבאנו.

אני רוצה לעשות הפסקה של עשר דקות כדי שנוכל להמשיך. אבל אני חייבת לומר שאני עדיין לא הבנתי מדוע אתם לא הולכים על פי ההיגיון של ה-GDPR, שבעצם הם ביטלו את הרישום של המאגרים.

בשלב המתקדם יותר של הדיון היום נשמח להגיע לנושא הרישום ואז להתייחס לנושא של הרישום.

כי אנחנו כל הזמן מדברים על ההגדרות, וזה לא יכול להיות במנותק.

כשנגיע לרישום נחזור לזה.

אני לא התחלתי את הדיונים. אולי הראשונה הייתה צריכה להיות זאת, מדוע אנחנו בכל זאת חוזרים לעניין של הרישום. אבל כל עוד שיש רישום ההגדרות צריכות להיות יותר מדייקות. אני עושה הפסקה כרגע כדי שנחזור לפה ב-13:00. הדיון יסתיים בשעה 14:00. תהיה לנו עוד שעה נוספת. אני סוגרת כרגע את הדיון.

(הישיבה נפסקה בשעה 12:51 ונתחדשה בשעה 13:13.)

אנחנו מחדשים את הדיון. נסיים את הדיון ב-14:30. אם נצליח עוד קצת, נמשיך עוד.

אני חושבת שאנחנו ניתן ליועצים המשפטיים להגיע לדין ודברים בנוגע להגדרה הקודמת. נעבור להגדרה החדשה, מספר 5.

מידע על אודות עברו הפלילי של אדם. אני חושבת שאין הרבה מחלוקת לגביה. יש מישהו שיש לו משהו להגיד?

אני שמחה על הסכמות.

נתוני איכון ונתוני תעבורה. דיברנו בדיון הקודם וחשבנו שנכון יהיה לנתק את נתוני המיקום ונתוני התעבורה מחוק נתוני תקשורת. לכן אנחנו מציעים כאן נוסח חלופי. אקרא את הנוסח החלופי ואז נחשוב עליו יחד: נתוני מיקום, למעט נתון יחיד לעניין נושא מידע שאין בו כדי ללמד באופן ישיר על מידע לפי פרטים 1 עד 8 ונתוני תעבורה.

שוב, המטרה הראשונה הייתה לנתק את זה מחוק נתוני תקשורת. המטרה השנייה הייתה לחשוב על זה שלא כל נתון יחיד אגב משהו אחר אנחנו רוצים להעלות אותו לרף הגנה כזה. אם עשיתי משהו חד-פעמי, עצם העובדה שהייתי במקום מסוים – לא בטוח שאנחנו רוצים. מצד שני, לאור השאלה של מידע ישיר, יכול להיות שצריך לחשוב על ההגדרה הזאת ולהגיד לא רק לגבי נתון יחיד, אלא באופן כללי נתוני מיקום הנלמדים באופן ישיר ונתוני תעבורה. אני מעלה את זה רק כי הנושא עלה, אז אני מקשרת אותו לנושאים הקודמים.

משרד המשפטים.

חשבנו בעקבות ההערות של הוועדה שאכן נכון לנתק את ההתייחסות לחוק נתוני תקשורת. באמת הרציונל כאן הוא להגן על נתוני מיקום כשהם כשלעצמם, כפי שהפסיקה באמת מעידה, חושפים או עלולים לחשוף את תנועותיו של האדם והיותו מושא למעקב. זה מצד אחד. ומצד שני, באמת גם מצבים שבהם מידע על מיקומו של אדם עלול להעיד על פריטי מידע נוספים, אורחות חייו ומאפייניו, ובעצם במובן הזה עלולה להסב לו נזקים נוספים מעבר למעקב שנגרם.

יש פה בסוגריים באופן ישיר, אז אולי תתייחסי לשאלה אם זה נדרש או לא מבחינתכם. האם אתם חושבים שנכון להחריג איזשהו נתון יחיד?

באמת ההגדרה שמוצעת כאן היא לא כוללת נתוני מיקום שהם בודדים, בשביל לא להרחיב יתר על המידה את ההגדרה. אנחנו לא חשבנו שנדרש להוסיף כאן "באופן ישיר". זה חוזר למה שדיברנו קודם, ההערה הכללית שחשבנו שזה עלול דווקא לצמצם מדי. שזה לא רק מאגר מידע שכולל את השדה הספציפי שאפשר להסיק ממנו.

אגב, יש לכם העדפה ליחיד או בודד? אני מנסה לחשוב שיחיד אולי מרמז שזה אחד.

נראה לי מקובל.

אני קצת לא מבינה למה צריך את ההחרגה של הנתון יחיד. האם הכוונה היא שזה יחול על נתוני מיקום שמלמדים על 1 עד 8?

רצינו לא להרחיב יתר על המידה. אלה תנאים מצטברים, נתון יחיד שאין בו כדי ללמד על פרטים 1 עד 8.

בעצם הבנו שהדברים הרגישים, לאור ההערות שנשמעו בדיון הקודם על כך שיכול להיות שהייתי פיסית בחנות מסוימת כי שילמתי אז שזה ייחשב נתון מיקום. הבנו שהרגישות בנתוני מיקום היא או בהצטברות שלהם שמעידה על משהו קצת יותר משמעותי, ונתון יחיד אפשר להחריג אותו אבל רק בתנאי שהוא כשלעצמו לא מעיד על משהו מהפרטים הקודמים. זה קצת דומה להרגלי הצריכה שיש בהם כדי ללמד על משהו. זאת אומרת שאם נתון המיקום זה שהייתי בכניסה לאיזשהו מקום מאוד רגיש, בכניסה למרפאה מאוד רגישה וכדומה, אז זה לא תחת הסייג. רק נתון יחיד שאין בו כדי ללמד על משהו רגיש אחר.

אני רוצה להבין. אז יש לי פה גם אם זה נתון יחיד שמלמד על 1 עד 8, אבל זה לצד גם באופן כללי נתוני מיקום.

נכון. וזה באמת נוגע לרציונל האחר, למנוע את תחושת המעקב כמסלול שלך.

אני מבינה. אבל הנפקות היא שבגלל שכל הזמן יש מאגרים של נתוני מיקום, אז כל מי שאוסף נתוני מיקום ייחשב כמאגר עם רגישות מיוחדת.

נכון.

אלא אם כן יש לו רק נתון אחד שלא מלמד את הפרטים האחרים.

מתוך הנחה שההצטברות של נתוני מיקום אכן יכולה ללמד הרבה מאוד דברים על אנשים, שזה די ברור.

התכליות ברורות ואני חושב שהן מתכתבות עם פסיקות כאלה או אחרות. אבל אם אלה התכליות, ההגדרה הזאת היא על דרך השלילה ולא על דרך החיוב. כלומר, אם אלה התכליות, אחת מניעת מעקב או הגדרה של מעקב שיטתי והשנייה היא יכולת ללמד על נתונים אחרים, אז ההגדרה צריכה להיות נתון מיקום או שמלמד על אחד הפרטים 1 עד 8 או נתוני מיקום שנשמרים באופן ממושך על אדם, שיוצרים את אותה תחושת מעקב. לא החלטה גורפת שכל נתון מקום, שאגב לא מוגדר. אנחנו לא יודעים מה זה נתון המיקום. בהפניה לחוק סדר הפלילי, נתוני תקשורת, הייתה הגדרה של נתוני מיקום. נתוני איכון של ציוד קצה הנמצא ברשות מנוי. כאן אין לנו הגדרה מייחדת של מהו הפריט הטכני שעולה כדי נתון מיקום. שוב, התכלית מובנת, אבל אז ההגדרה לא מתכתבת בצורה מדויקת עם התכלית כפי שהוצגה.

אני מזהה פה דפוס של דברים שהם כביכול לא ברורים. גם כאן פעלנו לפי ההערה הנכונה של הייעוץ המשפטי של הוועדה וההפניה לחוק הייתה לא ממן העניין, הייתה צרה מדי.

מאה אחוז.

אבל נתוני מיקום, שואל אדם רגיל מה זה נתוני מיקום, ואומר נתוני מיקום על אודות איל זה איפה איל נמצא. פשוט. לא על כל דבר צריך להוסיף איזו תחושה של עננות, של אי בהירות. איפה איל נמצא, אלה נתוני מיקום על איל. זה לא משנה אם אתה יודע את זה כי אתה רואה אותי שם, חיברת לי שבב באוזן או חיברת לי איזו גדג'ט שמחקת. כמובן לא החברה המסוימת הזאת, הם לא עושים את זה, אבל תיאורטית זה יכול להיות. אלה נתוני המיקום, זו המהות שאנחנו רוצים להגן עליה. הטכנולוגיה איננה משנה. ואם אני יודע איפה אדם נמצא בהצטברות הרבה מאוד, עוד לפני שעשיתי עיבוד, זה נתון שמהותית הוא בעל רגישות מיוחדת וזו ההצעה לוועדה, ולא שמענו הערה או קושי עם זה ותיקנו בהתאם להערות הוועדה.

אני חושבת שההגדרה בהירה בעניין הזה. רק שאלה שאני חייבת לשאול לפני שנעבור לסעיף הבא. עין הנץ – מה אנחנו עושים עם דברים כאלה? המאגרים של הממשלה גם חלים בתוך הגנת הפרטיות מתחת לחוק הזה?

כמובן.

וגם העיצומים ילכו למשטרה?

אין שום החרגה.

יש סעיף מפורש בחוק הגנת הפרטיות שאומר שהוא חל על המדינה. כמובן שחקיקה ספציפית מאוחרת נפרדת יכולה לקבוע את היחסים אל מול חוק הגנת הפרטיות. אבל החוק כמכלול לא עושה הנחות בהקשר הזה.

אוקיי.

בחוק הגנת הפרטיות יש סעיף 19ב שמחריג גופי ביטחון, והוא בעצם ייתן את הפטור במקרים מסוימים למשטרה או לאיזשהו גוף ביטחון, אם הם עומדים בתנאי הפטור. זה לא שזה חל עליה באופן גורף ויהיו עיצומים כספיים, אלא יבחנו ראשית האם הפטור חל או לא.

זה לא הנושא ממש, אבל יש פטור בסעיף 19ב, פטור יחסי, חלקי, שרשות ביטחון, רשימה מצומצמת, לא תישא באחריות על פעולה שעשתה באופן סביר למינוי תפקידה. אבל אני אומר אמירה כללית פה, אם יהיה חוק ספציפי שיסדיר.

אבל נכון להיום, כשאין הסדרה?

אם זה כדין אז - - -

לא, זה לא כדין כרגע.

זה לא מקור סמכות. אנחנו מערבבים פה ברבדים שונים את הדיון שוב. אנחנו לא בהגדרה, אלא קפצנו לשאלה של התחולה של החוק. יש שאלה של סמכות לרשות ציבורית לפעול ולפגוע בפרטיות ויש שאלה של האכיפה על הרשות הציבורית. סעיף הפטור הוא אכן מופיע שם.

שאלתי כדי לדעת אם זה חל גם על המדינה.

יש פסיקה של בית המשפט העליון מ-2021 שמבהירה במפורש שאותו פטור בסעיף 10ב שרחל התייחסה אליו הוא לא מקור סמכות. אז הוא לא יכול להסמיך את המשטרה או כל גוף ביטחוני אחר להפעיל איזשהו אמצעי מעקב.

ולכן היא צריכה מקור סמכות אחר ספציפי, וההגדרות יחולו עליו.

בסדר. תודה רבה. נתקדם להגדרה הבאה, 7.

ההגדרה הבאה היא מזהה ביומטרי. כדי להבין מה זה מזהה ביומטרי יש לנו גם הגדרה של מזהה ביומטרי. כלומר, יש לנו פרט של מזהה ביומטרי ויש לנו הגדרה של מהו מזהה ביומטרי.

זה החלק שנעמה אמורה לבדוק.

נכון. אבל אני דווקא חושבת שאפשר אולי לחסוך את הביקור שלה ולחסוך את הדיון בשבוע הבא. בואו ננסה, ואם נראה שאנחנו זקוקים לה אז נמשיך. חבל שלא נמצה את זה אם אנחנו כבר שם. ההגדרה של מזהה ביומטרי היא הגדרה שנמצאת בחקיקות שונות. אני חושבת שאין כל כך מחלוקת לגבי ההגדרה עצמה, אלא אם כן מישהו רוצה לומר.

לי יש שאלה.

על עצם ההגדרה מזהה ביומטרי או קיומו של הפרט מזהה ביומטרי בסעיף 7?

מה שמטריד אותי זה שזה כולל אמצעי שניתן להפיק ממנו נתון ביומטרי. היום מהקלטת אודיו אפשר להפיק חתימת קול. דיברנו קודם על תמונות, על צילומי וידיאו. אפשר לבדוק את המרחק בין העיניים ולזהות אדם עם אמצעים ביומטריים. שוב יוצא מצב שכל דבר, כל צילום, כל הקלטה אפשר להפוך אותם לנתון ביומטרי. זה לא אומר שעושים, אבל מאחר שפה זה ניתן המשמעות היא שמאגרי הקלטה לשירות לקוחות, למשל, פתאום עולים לרמה של רגישות גבוהה, גם אם לא עושים בהם את הניתוח הזה של חתימת קול, ועושים היום דברים מאוד מעניינים, רגשות וכדומה, אם רוצים. אבל פה גם אם לא רוצים ולא עושים כלום, סתם הקלטה, פתאום זו רגישות גבוהה. אני חושב שזו הרחבה קצת בעייתית.

אני חושבת שהשאלה הייתה שאלה טובה כדי שאולי נתכונן לדיון הבא. אולי אם למישהו יש עוד שאלות דומות כדי שנאסוף אותן ונעביר אותן גם לנעמה.

אז מבחינת הגדרה, מאחר שאלה הגדרות בחיקוקים אחרים, אז מלבד השאלות האלה אנחנו נתקדם. פרט 8.

מידע על מוצאו של אדם. היו לנו כל מיני ניסיונות להגדיר את זה בצורה יותר ברורה. אני הצעתי מוצאו האתני או השתייכותו הלאומית, ואני חושבת שמשרד המשפטים לא כל כך אוהב את ההגדרה הזאת. חשבנו אולי על ארץ מוצא של אדם או של משפחתו. ארץ מוצא זה כן נמצא בהגדרות בחוקים אחרים, אבל בדרך כלל זה נמצא בסמוך גם לגזע, ומשרד המשפטים מבקש שלא לכתוב את המילה הזאת בחקיקה חדשה. במילים אחרות, החשש הוא שארץ מוצא יחד עם השתייכותו הלאומית של אדם לא מכסה את כל החששות ואת כל המאגרים שמשרד המשפטים מעוניין להגן עליהם באופן מיוחד במסגרת הרגישות המיוחדת.

נכון. וזה, כמו שאמרנו, כאשר אחת מעילות האפליה הידועות, יש דוגמאות בהרבה מאוד דברי חקיקה כמו חוק איסור אפליה, חוק זכויות התלמיד, חוק זכויות החולה, באמת ההתייחסות לארץ מוצא וגזע, כפי שציינת, שאנחנו באמת לא חושבים שזה נכון לכלול בחקיקה עדכנית. בשים לב לכך אנחנו חושבים שההגדרה הזאת של מוצא אתני או השתייכות לאומית של אדם היא מצמצמת מדי, והמונח מוצא הוא כן מונח שמקובל ואנחנו מציעים לדבוק בו. הוא כמובן כולל את ההשתייכות הלאומית. זה גם מובהר בדברי ההסבר, אבל זה כמובן כולל את ההשתייכות הלאומית של אדם.

יושבת-ראש הוועדה בוודאי זוכרת בדיון על הצעת חוק זכויות החולה, הביטוי "מוצא" הוא רחב מאוד. בוודאי שהוא לא כולל עיר מגורים, למעט בתוכנות ניווט, זה לא מוצא. אבל מוצא זה רחב מאוד. זו לא רק השתייכות לאומית, וחשוב לנו מאוד שזה יישאר כך רחב. לא שאנחנו צריכים לתרגם, אבל אין לנו דרך לתרגם את המונח ב- GDPRכי אנחנו ממש לא מעוניינים לציין את הביטוי גזע או גזעי בשנת 2022. לכן אנחנו חושבים שזה ביטוי שהוא ברור, הוא מקובל והוא מובן, וממש לא היינו רוצים לצמצם אותו כי אנחנו פשוט נצמצם בצורה לא טובה את ההגנה.

אני חושבת שהשתייכות לאומית זה כן חלק. אתם רואים את זה כנכלל בפנים?

זה כתוב בדברי ההסבר במפורש.

החשש שלי הוא שכאשר אדם קורא את הסעיף הזה, אני לא בטוחה שהוא יודע למה הכוונה, כלומר שהוא מבין את כל הניואנסים ואת כל המשמעויות שמשרד המשפטים משייך לביטוי הזה. ואני גם מזכירה שוב את השאלה של ישיר ועקיף, האם רשימת שמות שאפשר ללמוד ממנה לדוגמה על השתייכות לאומית, האם גם היא מהווה רשימה.

כשלעצמה לא. אם היא רשימה של חברי איגוד מרכז, כן. אבל כשלעצמה לא. שמות משפחה כשלעצמם, לא זו הכוונה.

אנשים הרי גם מחליפים שמות משפחה.

פרט 9, מידע על נכסיו של אדם, חובותיו והתחייבויותיו הכלכליות, מצבו הכלכלי או שינוי ביכולתו לעמוד בהתחייבויותיו הכלכליות ומידת עמידתו בהן.

אני חושבת שיש פה שתי שאלות. השאלה הראשונה היא האם אנחנו סבורים שמידע כלכלי, מידע על מצבו הכלכלי וכו' של אדם הוא נושא שצריך להגן עליו באופן מיוחד במסגרת הרגישות המיוחדת. ושאלה שנייה, איך אנחנו כותבים את זה. אבל אני חושבת שקודם כל הדיון הכללי צריך להתקיים, בפרט בשים לב שלדוגמה ב- GDPR אבל לא רק ב- GDPR, פירטתי עוד מקומות במסמך הקודם, זה לא טריוויאלי שנושא כלכלי הוא נושא בעל רגישות מיוחדת. זה משהו ערכי שהוועדה צריכה לבחון.

לפני שמשרד המשפטים עונה אני רוצה להזמין בזום את עו"ד חיים רבייה בשם איגוד הבנקים, כדי שתוכלו להתייחס גם לדברים שלו בנושא הזה.

תודה. שלום לכם. אני מתנצל שלא יכולתי להגיע פיסית. אני בחוץ לארץ ואני צופה בעניין רב בדיון שמתנהל.

הדיון עוסק בעקרונות יסוד שקרוב לוודאי היינו צריכים ללבן קודם לכן. הוא עוסק בהם בעקיפין ולכן זה אולי מטושטש. אבל מה המשמעות וההשלכות של סיווג מידע באופן כזה או אחר? האם זה נכון או לא להישאר עם התפיסה של מאגר מידע כיחידת הבסיס בחוק? מה מרחב שיקול הדעת בסנקציות של הרשות והעומד בראשה? אם הוא לא היה כה מוגבל, כפי שתיקון 14 מציע, אולי היינו נוקטים עמדה גמישה יותר בקשר למידע בעל רגישות מיוחדת וכיו"ב.

כלכלה וגם מה שבא אחריה זה רחב מני ים. לא סתם אנחנו חיים בתקופה שבה הכלכלה נקראת כלכלת מידע. היא מונעת ממידע, אין מה שלא ייכנס לגדר ההגדרה התחייבויות כלכליות של אדם. כל תוכנה לניהול חשבונות בעסק, המידע שבידי מעסיקים על עובדיהם, המידע שבידי בעל מכולת על מי שנשאר חייב לו כספים, המידע שבידי מערכות מסחר אלקטרוני, כמובן שגם מידע פיננסי. למעשה קשה להעלות על הדעת מידע שאיננו מידע בעל רגישות מיוחדת, עם היד על הלב. השופט המנוח חשין אמר פעם על כלל הראיה הטובה שביותר שהחריגים שלו הם כל כך רבים, עד שהכלל ניבט אלינו מבין החרכים של החריגים שלו. וזה נכון גם כאן, מפני שבכלל לא ברור מהו מידע שאיננו בעל רגישות מיוחדת בגלל ההרחבה הרבה בהצעת החוק. ההשלכות בעניין הזה – אני תומך במרץ בדברים שאמר עו"ד עומרי רחום טוויג ובעו"ד טליה אגמון ממשרד הבריאות – ההשלכות לחלוטין לא ברורות, הן לגמרי לא מסתכמות בתיקון 14, בניגוד לדברים של נציג משרד המשפטים עו"ד זנדברג. יש כמובן הצעת החוק הפרטית של יושב-ראש הוועדה, שהיא הצעה נכבדה ורצינית, שהכוונה היא לשלב את הדיון בה בדיון עם התיקון הזה. יש הכוונה לתקן את הזכויות המהותיות בחוק, שאנחנו איננו יודעים עדיין מה יהיה בה מפני שמשרד המשפטים לא הגיש לנו הצעת חוק כזאת. יש התיקונים שיחולו במהלך הדיונים פה. כך שההשלכות של כל הדיון שאנחנו מקיימים כעת, ובפרט ביחס לסיווג מידע כלכלי כמידע בעל רגישות מיוחדת, הן לא ברורות. ואני חייב לומר שיש גם זילות מסוימת של השפה. אם הרוב המכריע של מידע הוא בעל רגישות מיוחדת, איך ייקרא מידע אחר? אני מציע בהקשר הזה שנעבור פשוט לקרוא למידע כזה מידע רגיש. הערה כללית על ההגדרות בחוק, הן צריכות להדהד ככל הניתן את ההגדרות בחקיקה העולמית, ב- GDPRבפרט. כולנו עושים הרבה מאוד עבודה מול ארגונים בחוץ לארץ. אלה הטייטלים שהם רגילים להם וזה יועיל לנו. אין מידע שלגמרי אין בו רגישות. גם שמותיהם של כל משתתפי הדיון פה מעידים על לאומיות, על דת, כנראה גם על מוצא עדתי. מידע גם לא חי לבדו, הוא מתערבל ומועבר ומוצלב. מאגר שלא היה רגיש רגע אחד הופך רגיש במיוחד כעבור שבריר של רגע וחדל שוב להיות רגיש. ב- GDPRשמרבים מאוד לפנות אליו כאן, הרגישות היא של מידע, לא של מאגר מידע. יחידת הבסיס היא שונה לחלוטין, ולכן החזרה פעם אחר פעם ל- GDPR היא שגויה. כשחוות דעת מומחה על נתוני האופי הופכת למידע רגיש במיוחד, כי אז כל מאגר העובדים של המעסיק הופך להיות נגוע בזה. לכן התוצאות של סיווג יתר הן מרחיקות לכת. סיווג יתר הוא שגוי, יש לו בהכרח אפקט מצנן ובמדינה בעלת סטרטאפים וטכנולוגיה מפותחת כמו ישראל זו בוודאי טעות לצנן את תעשיית המידע. וכדי להימנע מאפקט יתר מצנן, התוצאה בהכרח תהיה שככל שהסיווג יהיה רחב יותר כך תהיה לו פחות משמעות. יושבת-ראש הוועדה, חברת הכנסת לסקי, אמרה בצדק בתחילה שהכוונה לקדם את ההגנה על הפרטיות, והתוצאה של כל אלה תהיה הפוכה לגמרי. התוצאה של סיווג יתר היא פגיעה בפרטיות ולא קידום שלה. אז לפחות בכל הנוגע למידע כלכלי ומידע צרכני המעיד על דברים אחרים, צריך להימנע מסיווגם כמידע בעל רגישות מיוחדת. תודה.

תודה רבה, עו"ד רביע. משרד המשפטים, התייחסות לדברים.

אני חושבת שאפשר להתחיל ולומר, ואמרנו את זה גם בדיון הקודם, שבסוף יש פה שאלה ערכית. אם תשאלי אנשים מה נחשב מבחינתם כמידע רגיש, אני מניחה שתקבלי כמה וכמה תוצאות שונות, וזה גם תלוי חברה כמובן. מה שיש ב- GDPRאנחנו לא עושים כמובן העתק-הדבק. המחוקק למעשה רק לאחרונה קבע מה הוא רואה לעיניו כמידע רגיש. אנחנו רואים את זה בתוספת של תקנות אבטחת מידע לעניין רמות האבטחה הנדרשות. מופיע שם גם מידע כלכלי. שמענו את ההערות האלה וניסינו לחשוב על נוסח שהוא קצת יותר מצמצם, וזה הנוסח שמובא בפניכם שהוא מדבר על מידע על מצבו הכלכלי של אדם וכן נכסים, חובות או התחייבויות שיש בהן כדי להעיד על מצבו הכלכלי, על יכולותיו לעמוד בהתחייבויותיו או מידת עמידתו בהן. לעומת הנוסח שנמצא בתקנות אבטחת מידע.

כמובן שההכללה של מידע כלכלי כזה או אחר בתוך הקטגוריה של מידע בעל רגישות מיוחדת אין משמעה שיש איסור לעבד את המידע, אלא כמו שאמרנו, הנפקות היא מאוד ברורה. היא לעניין חובת הרישום כאשר מדובר במספר נושאי מידע של מעל 500,000 אלף ולעניין גובה העיצומים הכספיים.

אני כן אשמח לשמוע למה זה מידע רגיש, איש שרשם במכולת ולא שילם בזמן. למה זה מידע בעל רגישות מיוחדת?

אם ניקח לא את הסיטואציה של פעם אחת רשם, אלא כמובן בהיקף יותר גדול, כי אי עמידה בהתחייבויות, מבחינת ההיגיון הכלכלי של השוק, מאוד מעניין את השוק לדעת את המידע הזה כדי לדעת אם לתת אשראי לאותו לקוח ואיך לתמחר אותו. לכן גם הצדדים השלישיים מתומרצים להשתמש לרעה. לכן גם המחוקק פעם אחר פעם מתייחס למידע כזה, על היכולת לאי עמידה באשראי, שנקרא מידע שלילי, כאל מידע מאוד רגיש. פעמיים המחוקק קבע חוק נתוני אשראי. וגם חוק שירותי מידע פיננסיים מ-2021. המחוקק באופן עקבי קובע הסדרים מאוד מחמירים לגבי שימוש במידע כזה, חוק נתוני אשראי החדש גם הוסיף התייחסות יותר מחמירה קצת למידע חיובי. זה מבחינת התייחסות המחוקק. יש אינטרס לנצל לרעה את המידע הזה, כי זה שווה כסף.

זה נניח לשלילה, לאלה שאין. אבל נכסים, למה אם למישהו יש כמה דירות באזורים יוקרתיים זה מידע רגיש?

אנחנו בעצם מיקדנו בנוסח המוצע נכסים שמעידים על מצבו הכלכלי.

אם יש לו שמונה דירות בתל אביב, מצבו הכלכלי טוב מאוד. השאלה למה זה מידע בעל מאפיינים רגישים מיוחדים.

אפשר לחשוב על הרבה סיבות, אבל אחת הסיבות הראשונות היא שיש פה תמריץ להשתמש בו לרעה, לסחור בו בלי הסכמה, לשמור אותו במאגרים. מידע כזה שווה כסף.

אבל זה אתה כבר מתחיל לדבר על תכליות, ואמרתם לי עד עכשיו לא לדבר על תכליות. ב- GDPR זה לא נחשב למידע רגיש. נניח שנושא השלילה, של הנושא של מסוגלות לשלם או דברים כאלה, עושים היום גם בדיקות על סוחרים האם הוא יכול לשלם את התחייבויותיו, זה משהו אחר. אבל הקטע החיובי, ברגע שכן יש לו, למה זה מידע רגיש? זה רק אם אדם רוצה הלבנת הון, רוצה להסתיר דברים. דווקא זה צריך להיות ממש פתוח ופומבי.

יש פה תשובה בשני מישורים. במישור הקונקרטי של הנוסח, הנוסח שהוצע בהצעת החוק הממשלתית היה רחב יותר והתייחס למשל לנכסים באשר הם, וכעת מוצע נוסח מצומצם יותר שרק ככל שיש בזה כדי להעיד על המצב הכלכלי של האדם. בשאלה הראשונית שלך למה, זאת הכרעה ערכית והיא יכולה להשתנות מחברה לחברה. החברה הישראלית בהקשרים מסוימים כן מגנה על פרטיות של מידע כלכלי של אדם מסוגים שונים.

אנחנו לא אומרים שאנחנו לא מגנים על הפרטיות של הדברים האלה. בואו נזכור, חוק הגנת הפרטיות מגן על זה. אבל למה לתת לזה הגנה מיוחדת?

מה שרציתי לומר הוא שאת יכולה לראות מהתייחסות פרטנית של המחוקק לנושאים מסוימים את מידת הרגישות שהוא מייחס להם. כמו שקודם נתנו את חוק מידע גנטי וחוק נתוני תקשורת וכו', יש כל מיני דברי חקיקה פרטניים שמעידים על היחס של המחוקק לאותם סוגי מידע. אבל את צודקת שזאת הכרעה ערכית.

לא קיבלתי תשובה לגבי החיובי.

בהמשך לדברי עו"ד בן מאיר, בחקיקת הרגולציה של בנקאות יש חובת סודיות בנקאית שהיא נחשבת קדושה. חקיקת המס מטילה על רשויות המס ועל עובדיהן חובת סודיות כמעט מוחלטת. זה על הנכסים של אנשים, לא רק על החובות. אכן זו הכרעה ערכית. עד עכשיו במדינת ישראל המחוקק ייחס רגישות יתרה, יותר מתחומים אחרים, גם לנכסים חיוביים.

כולל בדברי חקיקה ממש עדכניים, אגב.

ברור שיש פה הכרעה ערכית וגם ברור שיש כאן קושי. מצד אחד יש כאן איזשהו רצון להגן על כמה שיותר מידע, והרצון הזה הוא כמובן מבורך. מצד שני צריך תמיד לזכור שיש לזה גם מחירים, במיוחד בנושאים הכלכליים יש בזה איזשהו קושי או אולי יצירת חסמים של העברת מידעים שהם חשובים לתעשייה. מידע כלכלי הוא דווקא מידע שאנחנו משתמשים בו כמעט ביום-יום, אני חושבת.

אני חושב שאם עסקינן במערכות פיננסיות, אז בהחלט יש חקיקה נרחבת מאוד שמגנה עליהן ועל גופים שמנהלים מידע פיננסי ועל מערכות מידע שעוסקות בזה. ואם אנחנו מדברים דווקא על חוק הגנת הפרטיות במובן הערכי שלו, במובן של הגנה על הערך המוגן שנמצא בחוק היסוד כבוד האדם וחירותו, אני דווקא חושב שאין טעם שגם החוק הזה ייתן רגישות מיוחדת למצבו הכלכלי של אדם. אם כבר, אז לחלש, לזה שאין לו יכולת לעמוד בהחזרים או לזה שיש לו למשל הוצאה לפועל שהוא קיבל. אלה המקרים שלדעתי החוק צריך לטפל בהם כדי להגן על החלשים. זה ברמה הערכית. ולפיכך צריך למחוק את התיבה שנמצאת ברישא של הגנה על מצבו הכלכלי של אדם ולהשאיר רק את הסיפא שמדבר על אי יכולתו של אדם לעמוד בזה או בזה.

אני חוזר גם על מה שאמרת, היועצת המשפטית. מבחינתנו המצב הכלכלי של אדם זו תיבה מאוד מאוד רחבה ויש המון המון סוגים של מידע שבוודאי לא מצדיקים הגנת יתר כמו שמידע רגיש אמור לשקף, מבחינה ערכית לפחות.

תודה.

אני מנשיאות המגזר העסקי. מה עם מידע שהוא פומבי שאני יכולה להגיע אליו? אני יכולה להגיע לרשם המשכונות, אני יכולה דרך נסח טאבו, אני יכולה להגיע להמון מידע כלכלי שהוא פומבי.

מידע פומבי ממילא לא יהיה חייב ברישום. את מדברת על הנפקויות?

כן.

מאגר שלא כולל אלא מה שפורסם לפי דין, אז ממילא לא חייב ברישום גם היום. אם הוא פומבי הוא פומבי.

אבל עשיתי פעולות בשביל להגיע לזה.

יש סוגי מידע כאלה כלכליים שמפורסמים לתכלית מסוימת. נגיד צ'קים ללא כיסוי, זה מפורסם כדי שתוכל לבדוק אם אתה מקבל צ'ק רע או צ'ק טוב. אבל אם אתה רוצה להסיק מזה פרופיל על אדם או לשימושים אחרים, אם זה מנוגד למטרת הפרסום אז ראוי להגן על זה. זאת אומרת, יש הצדקה להגן על זה. ושוב, בהמשך לשאלה של היושבת-ראש, הרציונל מאחורי המידע החיובי על נכסים של אדם להגן עליו יותר הוא מפני שאפשר לעשות ממנו הרבה כסף. אם לצורך פרסומת, אם לצורך מכירת מוצרים מסוימים.

אבל זה לכל אדם. זה גם המצב הרפואי, גם הצרכני, זה כל דבר. הצרכני עוד יותר.

זה נכון, אבל כשמדובר בנכסים כלכליים מדברים הרבה פעמים על הפורץ המתומרץ. זה מבחן שמשתמשים בו למטרת הערכת סיכונים. כשמידע כלכלי חשוב ממש, הפורץ מאוד מתומרץ. לכן יש הצדקה להגן עליו יותר.

צריך להגיד שהמחוקק עד היום בחקיקה שעוסקת במידע פיננסי, למיטב ידיעתנו בכל החוקים שהזכרנו כאן, לא עשה את ההבחנה בין מי שמצבו הפיננסי הוא טוב למי שמצבו הוא לא טוב, וזאת שאלה במידה רבה סובייקטיבית, מה הוא מצב כלכלי טוב. אני לא בטוח שזאת שאלה כל כך ברורה.

מישהו שהוא בחובות אל מול מישהו שיש לו נכסים, זה לא סובייקטיבי.

אבל גם אם היינו מנסים להגדיר משהו כזה, אני חושב שזה היה נתון לקשת מאוד רחבה של פרשנויות. אבל באופן כללי עד עכשיו הבית הזה לא עשה את ההבחנות האלה, וגם בית המשפט העליון, בהקשרים של חופש מידע וכדומה, לא עושה את ההבחנות האלה. המידע על נכסים של אדם הוא מידע מוגן. גם אם זה מעט נכסים.

השאלה מהו הערך המוגן שהחוק בא להגן עליו.

יש לי שאלה נוספת שדנו בה בהקשר אחר, וזו גם השאלה של משכורות. יש בקשות חופש מידע, למשל, לפרסם את עשר המשכורות הגבוהות ביותר של עובדי המדינה. האם גם הפרסום הזה הוא מידע רגיש באופן מיוחד?

אני חושבת שהשאלה שלך נוגעת לנושא מעט אחר, כי מידע פרטי ללא קשר אם הוא בעל רגישות מיוחדת או לא, יש כללים לגבי מסירתו ואי מסירתו בראי חוק חופש המידע, והפעולה של המדינה. ספציפית למה שאת מתייחסת, יש הוראה ספציפית בחוק יסודות התקציב שאפילו מבהירה – אני חושבת שזה ממש כתוב ברחל בתך הקטנה – שאין מדובר בפגיעה בפרטיות בפרסום.

אם אני יכול להציע ברשותך דרך חשיבה. אני מבין את הטרדה, וזה מטריד גם אותנו, איפה שמים את הגבול וכמה רחב זה יכול להיות. אבל בואו נתחיל מנקודת מוצא – אני לא נוקט עמדה כי יש עמדה ממשלתית, אבל אני מציע כהליך חשיבה – כמה כסף לי יש היום בחשבון הבנק שלי. כולנו נחשוב שזה מידע רגיש, יש לו הרבה משמעויות. וכפי שנאמר כמה פעמים, גם המחוקק וגם הרגולטורים השונים מתייחסים למידע הזה כמידע רגיש לא במובן של הגנת הפרטיות, אלא במובן עמוק, במובן שזה מסוג המידע שמי שמחזיק אותו מקפיד שלא ידלוף החוצה. אם זה מוסכם, שסכום הכסף שיש עכשיו בבנק זה מידע שהמחוקק והחברה מתייחסים אליו כמוחזק במדף גבוה שקשה להגיע אליו, במילים שלנו, בהקשר שלנו, מידע רגיש, אז כשזה בבנק זה מאוד רגיש. אם זה מוחזק על ידי חברת אשראי או כל הגופים הפיננסיים שתחת רגולציה ספציפית, זה מאוד רגיש. אבל אם עכשיו חברה מסחרית שמה שהיא עושה זה מאפשרת לי להתבטא ולשוחח עם חברים שלי באמצעים קלים, ואגב כך אוספת עלי מידע ומגלה שיש לי אותו סכום בבנק, זה כבר מידע לא רגיש מבחינה ערכית ומבחינה חברתית, לא ברור למה. אם נתחיל את הדיון איפה שאנחנו מסכימים שהוא מידע רגיש ונראה איך המידע הזה בימינו מגיע למחוזות שהם לא מפוקחים, כי הם לא פיננסיים, אז צריך לשאול את עצמנו למה לעצור את ההגנה המיוחדת כשזה נעשה במקומות של גופים שאין עליהם רגולציה.

אני רוצה לחזור לאמירתו של עו"ד רבייה, מה לא מידע רגיש אם כבר.

אנחנו עוברים הגדרה אחרי הגדרה ומנסים לדייק אותה כמה שאפשר.

אני רצינית. אם זה שיש לי שמונה דירות בתל אביב זה רגיש, מה לא רגיש? הבריאות שלי כן, זה שאני שולחת את הילדים שלי לבית ספר אנתרופוסופי כן, זה שאני קונה דברים בלי גלוטן, שזה נכון לגביי. אני מנסה להבין. כשאנחנו מדברים על מדרגת הגנה מיוחדת, צריכים להבין מה החוט המקשר בין הדברים האלה. אני רוצה להבין, הרי חוק הגנת הפרטיות באמת בא להגן על פרטיותו של אדם. זה מוסכם וזה חוק חשוב מאוד, ואני מברכת על זה מאוד מאוד שאנחנו רוצים לקדם את היכולת של הרשות להגן על האזרח בפני פגיעות בהגנת הפרטיות. מאה אחוז, אני אתכם ואפשר ללכת יותר רחוק מבחינתי מסנקציות כלכליות. אני חושבת שצריך לתת את הדעת גם בעניינים פליליים. אני חושבת שבעידן המודרני זה מאוד מאוד חשוב. יחד עם זאת עדיין לא הבנתי מה החוט המקשר בין אלה שאתם רוצים לתת לזה הגנה מיוחדת לבין דברים נוספים. אני לא מבינה כל כך מה נשאר לי.

בהגדרה הזו, גברתי, המידע הכלכלי, דווקא מכלל ההגדרה החלופית המוצעת אפשר להבין. מדובר על מידע כלכלי שיש בו משהו ממש. לעומת זאת, נכסים, חובות והתחייבויות, כתוב בהגדרה שיש בהם להעיד, ומכאן שאם אין בהם להעיד כל נכס או חוב התחייבות שאין, שהוא או קטן או אקראי שאין בו להעיד על המצב הכלכלי הכללי או על יכולת עמידה בהתחייבויות, אז זה לא יהיה רגיש. פניות קטנות, נכסים קטנים.

אני אגיד לכם מה אתם אומרים לי כל הזמן. מיקום – אם זה חד-פעמי, זה לא רגיש. אם זה יותר משלוש פעמים, זה כבר רגיש. אם זה רק דירה אחת, לא רגיש. שלוש דירות, זה כבר רגיש. ההבחנה שאתם עושים זה מבחינה מספרית, כמה מידע יש לי.

זה לא מספרי, זה מבטא מהות. זה מעיד על המצב שלך, על המצב הכלכלי שלך, או שזה מייצר איזשהו מעקב עלייך, מראה מסלול בדוגמה הקודמת שלך. וכמובן שיש שדות של נושאים שלא נמצאים בכלל באף אחד מסעיפי המשנה האלה.

אני רוצה לתת דוגמה אישית. אני מקווה שאשתי תסלח לי. לקחנו הלוואה של כ-25,000 שקלים ואני חושב שאף אחד כאן לא יכול לדעת מה מצבי הכלכלי כרגע. כלומר, אתם לא יכולים להניח שמצבי הכלכלי רע בגלל שלקחתי את ההלוואה הזאת. כשאנחנו מדייקים את ההגדרה הזאת אנחנו מדברים על היכולת להבין את מצבו של אדם, את המצב הכלכלי שלו, את היכולת שלו לעמוד בהתחייבויות, אבל לאו דווקא מצבים כמו שעכשיו סיפרתי שלקחתי הלוואה ואת יודעת על ההלוואה הזאת אבל אין לך שום יכולת להבין מה מצבי הכלכלי. לכן מתוך ההגדרה הזאת, כפי שנאמר כאן, אפשר להבין גם את הדברים שלא נכללים פנימה. ברור שתמיד יהיו גם מקרים שאתה אומר שאולי זה כן, ומישהו אחר יגיד שזה לא נכנס. בסוף גם יש שכל ישר, יש גם פעולות בשטח שנעשות, יש רגולטור שיושב ובודק סיטואציות כאלה ואחרות, ותמיד יהיו המקומות האלה שאחד יגיד כך ואחד יגיד אחרת. אבל רציתי לתת את הדוגמה כדי להבהיר שמתוך ההגדרה הזאת אפשר להבין גם דברים שלא נכללים. תודה.

אנחנו רוצים להגן על הפרטיות, ומצד שני – נניח שמישהו רוצה להחליף 15,000 דולר, זה לא אומר על המצב הכלכלי שלו?

לא בהכרח.

החלפן צריך לרשום את המאגר או לא צריך? כי זה לא בהכרח, אבל אולי כן. מה אני עושה עם זה?

גם למה שזה יהיה רגיש? הרגע הפכנו את הסרטון הזה למידע רגיש, כי יושב-ראש הרשות ציין שהוא נטל הלוואה.

הוא נתן את זה כדוגמה שזה לא מלמד עליו כלום.

אבל אתה יכול להבין מהדוגמה הזאת מה מצבי הכלכלי?

בוודאי שלא. אבל לפי לשון החוק זה נותן אינדיקציה מסוימת לגבי התחייבות שיש לך.

לא, לא קוראים הגדרה ועוצרים באמצע. מצבו הכלכלי וכן נכסים, חובות או התחייבויות שיש בהם כדי להעיד על מצבו הכלכלי ועל יכולתו לעמוד בהתחייבויותיו או מידת עמידתו בהם.

אם אדוני היה נוטל מיליון שקל, אני חושב שזה היה מעיד משהו על מצבו הכלכלי, לעומת 20,000.

יש אנשים שגם 20,000 מעיד על מצבם הכלכלי.

בסוף בעולם החקיקה אנחנו לא יכולים לתת הגדרות של שחור-לבן. אי אפשר. לכן בסוף יש גוף שיושב ובוחן את האירוע ובוחן את הסוגיה ומגיע למסקנה. אני מניח שהבית הזה סומך על דעת הרשויות. שוב, אנחנו רוצים לייצר מקסימום ודאות, אבל כמה שננסה לא נוכל להגיע למקסימום ודאות. נוכל להגיע לרמה מסוימת של ודאות, והרמה הנוספת זו כבר הפעולה של אותו רגולטור שאני לפחות סומך על רשויות המדינה ומקווה שהדברים יימשכו כך.

אם המטרה שלנו היא ודאות, אז למה לא במקום "שיש בהם כדי להעיד", כלומר שיש בהם הפוטנציאל הפוטנציאלי שאולי זה ייחשב משהו שמעיד על מצב כלכלי, פשוט לומר "המעידים על מצב כלכלי". הנה השגת עוד קצת ודאות.

זאת הכוונה בעצם.

שיש בהם כדי ללמד זה המלמדים. זה פשוט עניין של עברית.

"שיש בהם כדי" אני קורא את זה אחרת לגמרי מאשר "מעיד".

אני חושב שזה היינו הך.

הכוונה היא עוד טרם שמישהו עשה את העיבוד וחילץ מזה.

אבל יש גם הרישא, עוד לפני שאתה מגיע לשם, המידע על מצבו הכלכלי. עצם נטילת ההלוואה היא פרט על המידע הכלכלי שלך. יש רישא להגדרה ויש סיפא.

אנחנו לא חושבים כך. דווקא בגלל הסיפא אפשר להבין שלא כל הלוואה היא מצב כלכלי.

אז לא צריך את הרישא.

לא, מצב כלכלי זאת הערכה הרבה יותר כוללת. מה שהסיפא מוכיחה, להבנתי, שלא כל הלוואה או לא כל התחייבות מלמדת על מצב כלכלי.

אני רק מעמידה את זה כך שמי שצריך לרשום את מאגר המידע לא רושם אותו על פי מצב ספציפי של אדם פרטי כזה או אחר. יש מצבים שהלוואה שלקחתי כן יכולה להעיד על מצבי הכלכלי, הטוב או הרע. אז מה אני עושה? אולי במקרה ספציפי זה לא מעיד, אולי במקרה של ראש הרשות זה לא מעיד. אבל לגבי אדם אחר זה כן מעיד.

דרך אגב, אפילו השאלה ממי לקחת את ההלוואה יכולה להיות אינדיקציה למצב הכלכלי.

אמרתם שזה נושא ערכי.

לעניין הרישום, כי אני רואה שזה מטריד את גברתי היושבת-ראש. לפי הצעת החוק הממשלתית רישום רק מעל חצי מיליון.

אבל יש גופים פיננסיים שיש להם חצי מיליון לקוחות.

אבל גופים פיננסיים שיש להם חצי מיליון לקוחות בהגדרה יש להם מידע כלכלי, משהו שלא צריך לפרש אותו בכלל.

מהמאגרים שלהם ניתן להבין על מצב כלכלי של כל אדם.

נכון. יש מיליוני דוגמאות. עכשיו יש מקומות שתורמים. יש כל מיני רשתות שאפשר לתרום למטרות מסוימות, שיש להם מאגרים במספרים מאוד גדולים. זה מידע פיננסי, ואני תורמת או לא תורמת, או כמה אני תורמת.

אבל זה לא מעיד על המצב הכלכלי שלך.

אם אני תורמת מעל 10,000 שקלים להציל עץ ברחוב שלי זה לא מעיד על המצב הכלכלי שלי?

אם את תורמת 10 מיליון שקלים אז יכול להיות.

גם 10,000 שקלים מעידים.

אני לא יודעת באיזה עולם אתם חיים שתרומה של 10,000 שקלים לא מעידה על מצב כלכלי של אדם. אני לא רוצה להגיד שאני הוועדה, כי כרגע אני פה לבד אז אני לא רוצה להגיד עמדת ועדה. לא נוח לי בפוזיציה של חברת כנסת יחידה כרגע. ובוודאי כשאני יושבת כממלאת מקום. אני כן חושבת שזה משהו שחייבים ללבן. גם ההגדרה וגם העיקרון. אם הוועדה חושבת, זה נושא שצריך להיות מוגדר באופן כזה. במיוחד בהתחשב בכך שיש כבר הגנות מיוחדות אחרות בכל מיני גופים.

בעקבות ההערה שלך נשקול אם יש איזשהו כיוון קצת יותר פרקטי.

אני אתייעץ עם יושב-ראש הוועדה, אפילו טלפונית, ואחזור אליכם היום עם כיוון. כי יכול להיות שהוא לא בכיוון שלי בכלל. אחזור אליכם היום עם זה כדי שנוכל להתקדם.

תודה.

פרט 10, הרגלי צריכה של אדם שיש בהם כדי ללמד על מידע לפי פרטים 1 עד 8, או אולי לפי פרטים 1 עד 4 כפי שחשבנו אולי לנסות לצמצם את זה.

באמת הכוונה בפרט הזה כאן היא לא להתייחס לפעולה הבודדת. בשביל זה יש לנו הפריטים הקודמים. אלא להתייחס לצירוף פעולות בשים לב ליכולות העיבוד והטכנולוגיה הקיימת שמלמדים על פרטים 1 עד 8. אנחנו גם דיברנו על אפשרות שמבחינתנו מקובל לצמצם את ההתייחסות להרגלי צריכה לפרטים 1 עד 4.

דיברת פה על פעולות עיבוד, אבל ההגדרה לא כוללת פעולות עיבוד.

הכוונה שלי הייתה שהפרט הזה לא נועד להתייחס לפריט מידע ספציפי אלא לצירוף של פעולות כמענה לטכנולוגיה. זאת אומרת, זה לא רק צריכה מסוימת, לא זה שרכשתי עכשיו בסופרמרקט פריט כזה או אחר, אלא צירוף של פעולות שבמצטבר יכולות להעיד על מצבי הרפואי למשל.

הרגלי צריכה יכולים להיות דברים שאפשר לראות מפירוט פעולות אשראי שלי, שאני מנויה לזה, תורמת לזה וכו'. הרגלי צריכה שיעידו למשל על אחד מהשדות של דעות פוליטיות או של אמונות דתיות וכו'. הרעיון היה שאנחנו לא הופכים את הרגלי הצריכה לרגישים כשלעצמם אלא רק ככאלה שמעידים.

אז בעצם מה שאתם עושים פה, בסעיף אמרתם ישיר, אתם הופכים את זה גם לעקיף.

הרגלי צריכה שמעידים על, ספציפית בהקשר של צריכה.

אבל דווקא לגבי מידע רפואי אתם מייצרים פה ממש את העקיף לישיר.

פה באמת חשבנו שנכון להתייחס, נכון.

אם אני קונה תרופות מסוימות למשל.

אז זה עקיף.

תרופות ספציפית זה ישיר.

לא תרופות. אני קונה מוצרים ללא גלוטן.

הוספת הרגלי הצריכה מלמדת שדווקא מונח הליבה הוא מצומצם יחסית. כי פה אנחנו חושבים שקטגוריות 1 עד 4 הן מספיק חשובות, למרות שבאיסוף עקיף לא נכלל בקטגוריה הרי שהרגלים קבועים אנחנו כן רוצים להגיד כי הניסיון שלנו מראה שבטכנולוגיה הקיימת היום זה מאפשר להגיע בקלות לקטגוריה עצמה. אז זה לא מרחיב, זה דווקא תוחם בדיוק.

אז אתם מציעים כרגע 1 עד 4. רק אדייק, לא דנו ב-1 היום אבל זה הנושא של צנעת חייו האישיים של אדם, לרבות התנהגותו ברשות היחיד. היום יש לנו קווי אישיות שלא נכלל, האם אתם חושבים שזה כן צריך לחול לגבי קווי אישיות או לא? זה לא ממוספר כי זה נוסף אחרי הפרטים.

אני חושב שכן.

נחזיר תשובה.

מידע רפואי, מידע גנטי ומידע על דעותיו הפוליטיות או אמונותיו של אדם. כלומר, אם אני צורכת באופן קבוע עיתון מסוים, אז אפשר ללמוד מזה על דעותיי הפוליטיות אולי. איפה גבולות הגזרה שלי?

אם יש מרכול שהוא בהכשר מהודר ויקר במיוחד במיוחד של חצר חסידות מאוד ספציפית, את קונה שם ורק שם באופן קבוע, אז אפשר יהיה ללמוד מזה על אמונתך הדתית.

יש גורמים שאני יכולה לתרום להם או להיות מנויה על דברים שלהם שיכולים להעיד למשל על הדעה הפוליטית שלי או על הנטייה המינית שלי או על האמונה הדתית שלי. יש דברים כאלה. דיברנו רק על הדברים האלה. במובן הזה זה כאילו מידע כלכלי, אבל הוא לא מעניין אותי ככלכלי. זה יכול להיות למשל עסקאות אשראי, אבל הוא לא מעניין אותי ככזה אלא הוא מעניין אותי רק כי הוא מעיד אחר כך על דברים אחרים.

כשאתם מדברים על הרגלי צריכה, איפה אני תוחמת, רק מה ששילמתי או עצם זה שהגעתי לחנות? כי זה גם מעיד על הרגל הצריכה.

הרכישה, לא עצם ההימצאות בחנות. רכישה כהרגל צריכה. זה כנראה לא יהיה חד פעמי, אלא דפוס של צריכה.

אבל בעניין מידע גנטי, אם הלכתי לקליניקה מאוד ספציפית שעושה בדיקות גנטיות, העובדה שיצאתי מהמקום הזה שוב ושוב זה לא ייחשב הרגלי צריכה.

זו בדיוק התיבה שדיברנו עליה קודם בקשר לנתוני מיקום שיכולים להעיד על משהו אחר.

איך הרגלי צריכה שלי יכולים להעיד על אותו מידע גנטי שאנחנו יודעים היום שזו רק בדיקה גנטית ספציפית? איך זה מתחבר בכלל? מידע רפואי, אמרנו רק מידע רפואי ישיר.

שאלה טובה. אנחנו נבדוק את זה וניתן תשובה.

כמובן שככל שזה לא מעיד אז מטבע הדברים זה לא ייכלל תחת הפרט הזה, אבל אנחנו נבדוק אם באמת נכון.

אני חושבת שכדאי לבדוק את הכול.

אנחנו נבדוק.

מידע שחלה עליו חובת סודיות שנקבעה בדין. האם יש למישהו משהו לומר על זה?

פרט 12, מידע נוסף שקבע שר המשפטים בצו באישור ועדת החוקה, חוק ומשפט של הכנסת.

רציתי לשאול בהקשר הזה יותר על המשמעות של הצו, מה הוא יכול לכלול. האם זה בעצם מתמקד אך ורק בזה שהשר יכול להוסיף בעתיד סוגי מידע בעלי רגישות מיוחדת, או שהוא יכול גם לקבוע באותו צו שלגבי המידע הזה תהיה אולי מדיניות אחרת. אולי לגבי המידע הזה שם יהיו כן הבסיסים הלגיטימיים לגבי הדברים הספציפיים. כלומר, מה הצו הזה יכלול?

את החלופה הראשונה שלך. אגב, זו הסמכה שלמעשה קיימת כבר היום בחוק. אנחנו בעצם לא משנים לשנות בהקשר הזה, אבל מטבע הדברים זה יתייחס להוספה של פריטי מידע מסוימים אולי בעתיד כמידע רגיש.

למה לא בחוק, אם ממילא צריך אישור של הוועדה? אפילו בתקנות, אבל למה בצו?

זו טכניקת חקיקה מקובלת. יש את זה היום גם בחוק, יש את זה בעוד הקשרים, למשל בקביעה של גופים ציבוריים. זה דבר מקובל מאוד.

גם אם זה מקובל מאוד, אני מנסה להבין את ההיגיון. כי אם אנחנו עושים חקיקה חדשה, חושבים על כל פרט, על כל הגדרה, וכבר קיימנו המון דיונים, אם פתאום פספסתם משהו, משרד המשפטים, המציאות הטכנולוגית משתנה, אז למה שדרך הפעולה תהיה אחרת מאשר החקיקה? למה לא להביא את זה כתיקון לחוק או במינימום תקנות?

גם תקנות הן חקיקת משנה. מדובר על חקיקת משנה באישור ועדה.

נכון. אבל צו ותקנות זה לא אותו דבר.

בואו נחשוב רגע על המשמעויות של כל הדבר הזה. זה נכון שהצעת חוק צריכה לעבור שלוש קריאות, ובדרך כלל גם הממשלה מפרסמת את הצעת החוק להערות הציבור למינימום של שבוע. ברור שיש פה טרחה גדולה יותר מאשר צו או תקנות.

יש הבדל גם בהליך הפנים-ממשלתי כמובן, בין צו ששר קובע לבין הצעת חוק שהממשלה מניחה. זה בוודאי תהליך ארוך יותר גם בכנסת וגם בממשלה.

בהחלט ברור שהצעת חוק משקפת גם הסכמה רחבה יותר, ואין ספק שיש כאן גם מחיר שצריך לשקול אותו שהרבה יותר קל להעביר ולקדם צו. אני חושבת שהשאלה היא נכונה. אנחנו יושבים פה כבר ישיבה שלישית על ההגדרה של מידע בעל רגישות מיוחדת. מדוע לא לתת לתיקון של זה ולתוספות של זה את אותו מעמד שניתן לחקיקה הראשונית, בפרט כשאנחנו מניחים שלפחות בשנים הקרובות אנחנו נראה עוד תיקונים של חוק הגנת הפרטיות? אני חושבת שממילא תגיעו לוועדה הזאת עוד פעמים רבות.

אני אסביר. אנחנו בעצם כרגע בחקיקה ראשית מעגנים את הבסיסים, העוגנים הגדולים שאנחנו מזהים כבר עכשיו, ואת זה אנחנו מעבירים בהצעת חוק ממשלתית, מסודרת, עוברת את כל המנגנונים בתוך הממשלה, אחר כך ועדת שרים לחקיקה, אחרי זה באים לפה, מסבירים הכול. אבל בסופו של דבר אנחנו בעולם משתנה, ולפעמים כולנו מבינים שאנחנו יכולים גם לטעות ואנחנו יכולים להבין שפספסנו חלק שהוא לא המהותי והוא לא העוגן הגדול, ואנחנו צריכים גם לתקן את זה. אנחנו לא יכולים כציבור שכל תיקון שהוא לא העוגן הגדול יעבור את כל המהלך הרגיל. אני חושב שהדברים המרכזיים שצריך לשים לב אליהם ושצריך לעמוד עליהם זה קודם כל השיקוף שנמצא בכנסת, וזה נמצא בכך שזה חייב לעבור את האישור של ועדת חוקה. וכמובן שלא נשכח שגם צו של שר, בין אם צו או תקנות, משכללים בתוכם גם הליך פנימי בתוך הממשלה. זה לא נמצא רק בתוך משרד המשפטים באיזו מחלקה מסוימת, אלא הייעוץ המשפטי של הממשלה בוחן את ההשלכות. זה לא שרק הצעת חוק עושה את הפעולה הממשלתית הזאת, אלא גם צווים וגם תקנות. לכן אני חושב שבמבחן האיזונים, כשאנחנו מחוקקים בחקיקה ראשית את העוגנים הגדולים, אבל בסופו של דבר יכול להיות שיהיו דברים שנצטרך להוסיף ולתקן, אז השיקוף הציבורי פלוס המנגנון הממשלתי שקיים בתוך תקנות וצו זה הליך שהוא די מספיק.

בהנחה שזה הפרט האחרון שנדון אגב מידע בעל רגישות מיוחדת, ובזה אנחנו בעצם מסכמים את הדיון בהגדרות המידע, בין אם זה מידע ובין אם זה מידע בעל רגישות מיוחדת, אני מבקש כן להעלות סוגיה שגם אם הבחינה שלה צריכה להיות אולי בהקשר הנפקויות – אנחנו כל הזמן בדינמיקה הזאת שבין ההגדרה המלאה לבין הנפקויות שלה – הסוגיה של התממת מידע ופסאודונימיזמציה של מידע לא עלתה בדיונים עד כה. היא לא נכללת בחוק. יש אמירה מסוימת רזה בדברי ההסבר. אני רואה שבמסמך ההכנה של הייעוץ המשפטי לוועדה בהמשך לגבי סעיפים 10ב, 10ג, נגיע אליהם כנראה מתישהו, יש אפילו התייחסות מפורשת למונח התממה בסעיף המוצע. אני חושב שהסוגיות האלה בעידן שאנחנו נמצאים בו היום, של מידע שהוא ניתן לעיבוד דיגיטלי וזאת המהות של כל התיקון הזה, לא להתייחס לאפשרות שמידע יהיה מותמם, כלומר בלתי ניתן עוד לזיהוי או מידע פסאודונימי – אין עדיין מילה בעברית לפסאודונימי, אבל מידע שהוא לא ניתן לזיהוי ישיר אלא יש מחיקה של המזהה לאדם מסוים. תוכן המידע נמצא, אך המזהה לאדם אינדיבידואלי נמחק, הסוגיות האלה מוסדרות בגוף החקיקה ברוב החקיקות המודרניות שעוסקות בהגנת מידע, ה-GDPR, CCPA, CPRA וחקיקות נוספות, לא רק בדברי הסבר, ויש להן נפקויות משמעותיות גם בהקשר של סוגיה שימושים ומותרים, גם בהקשר של אבטחת מידע, גם בהקשר של סנקציות פוטנציאליות. אי אפשר להתעלם מהסוגיה הזאת. אם היא לא תהיה בתוך ההגדרות, כי עברנו את סעיפי ההגדרות וזה כנראה לא המקום לאור הדינמיקה.

אולי תמקד אותנו. מה חסר לך?

התייחסות להתממה.

אני חושב שכן התייחסנו לזה. אם אני מבין את כוונתך, התייחסנו לזה בהגדרה של מידע. כי בסופו של דבר בהגדרה של מידע התייחסנו לתיבה שנקראת אמצעים סבירים, ולכן אני כן חושב שזה נותן מענה, אולי לא מלא כמו שאתה רוצה.

כתוב בדברי ההסבר, אולי לזה התכוונת, שהגדרת מידע לא תחול על נתון שהיום הוא לא ניתן לזיהוי, גם אם בעבר הוא היה מידע.

זאת התייחסות מסוימת להתממה המלאה. היא לא מתייחסת לסוגיה של פסאודונימיזציה בכלל, כי היא לא מחיקה מוחלטת של יכולת זיהוי המידע. אבל גם ההתייחסות לדברי ההסבר זה טוב שהיא שם, אבל בסוף העדר התייחסות כוללת בליבה של ההגדרה – אני מסכים שמה שלא ניתן לזיהוי לא אמור להיכנס לקטגוריה, אבל השאלה הגדולה היא, ולכן היא גם נמצאת בדברי ההסבר, מה קורה למידע שהיה ניתן לזיהוי ובהמשך באמצעים שונים הפך לבלתי ניתן עוד לזיהוי.

זו קצת שאלה של טכניקת חקיקה, מה נכנס לטקסט ומה לדברי ההסבר.

אבל זאת הקטגוריה העיקרית של החוק, מהו מידע ומהו לא מידע. זו לא אמרת אגב שנוגעת לפרשנות עתידית.

ואת אותו מידע ניתן לזהות באמצעים סבירים?

היה ניתן בעבר.

יש מידע שיושב לנו מול העיניים. אנחנו לא מדברים על משהו ערטילאי, אנחנו מדברים על מצב שיש מידע, או אוסף של משהו, ואנחנו מנסים עכשיו להבין האם בפנינו מידע שחל עליו חוק או לא. בהגדרה הנוכחית העדכנית שהבאנו אני חושב שזה נותן מענה למה שאתה אומר.

אז אחדד את שתי הסוגיות שאני חושב שבהן זה לא נותן מענה. הסוגיה הראשונה היא סוגיה שבה המידע היה מזוהה או ניתן לזיהוי באמצעים סבירים מהיום הראשון, ובהמשך לצרכים שטובים לפרטיות. גופים שמשתמשים בו רוצים להפוך אותו לכזה שאינו מזהה עוד. לסוגיה הזאת טקסט החוק עצמו לא מתייחס, דברי ההסבר מתייחסים בצורה מסוימת מכיוון שזה נוגע בליבה של הגדרת שער הכניסה לחוק. דבר שני, כל הדיון הזה כולו לא מתייחס למידע פסאודונימי. מידע פסאודינימי הוא מידע שניתן לפעמים לזיהוי באמצעים כאלה ואחרים.

מה ההצעה שלך?

לכן אני אומר שאני לא בטוח שאפשר לתת ביטוי למידע פסאודינימי בסעיפי ההגדרות. אני רק אומר את זה עכשיו מכיוון שזה כרוך בסוגיית ההגדרה של מהו מידע שבנפקויות כשנדבר עליהן, סוגיית אבטחת המידע, סוגיית הקנסות לגבי מידע שדלף כשהוא פסאודונימי, וכמובן שימושים מותרים, כולל שינוי מטרות קרובות, אני חושב שחייבים להתייחס גם לסוגיה של מידע פסאודונימי. זה נמצא היום בליבת החקיקה במקומות שונים בעולם וזה בהחלט הולם את אופן ניגוד המידע בעידן שבו אנחנו נמצאים.

אני מצטרף לכל דבריו של עמרי. אני רוצה לחדד אולי לגבי הפסאודונימי. בחוק כרגע יש או מידע שהוא מידע או שהוא לא. צריך קטגוריה של באמצע וזה המידע הפסאודונימי. כשנקטנו את האמצעים המסוימים להגן עליו, הוא לא ניתן לזיהוי באופן ישיר וקל אבל הוא כן ניתן לזיהוי ויש לזה מטרות. למשל מחקר רפואי כן עלול להיות מצב שאני צריך לחזור אחורה, והיחס הזה של או שחור או לבן הוא מקשה מאוד דווקא על שימושים טובים כמו מחקר. עמרי הזכיר את צמידות המטרה. כרגע מדברים על מטרה דומה. אני מקווה שנדבר על זה. זה אחד המקומות שבהם למידע שהוא אפור צריך להתייחס אחרת. צריך עוד קטגוריה של מידע אפור. זה יכול להיות סעיף כללי שמדבר על רמת זהירות או רמת הגנה פחותה או מגבלות פחותות על מידע כזה. אבל זה חשוב מאוד, כי כרגע פשוט הכול שחור או לבן, וכמו שראינו כל הבוקר רוב המידע ילך לכיוון של מידע בעל רגישות מיוחדת, לא חשוב מה נעשה. אז יהיה לנו או לבן בוהק או שחור בוהק וזהו. תודה.

זה מעניין. חשבתם על משהו כזה?

רק להבהיר. הרי כולם מסכימים שמידע פסאודונימי הוא מידע, אליבא כל החוקים שהזכרת. הוא כן נחשב למידע לגמרי.

נכון, חד משמעית.

אלא מה, שבכל מיני מקומות כשמדברים על בסיסים, הרי אנחנו לא עושים תיקון גורף לחוק עכשיו, זה בגלל האילוצים. בכל מיני מקומות שוקלים, זה אחד השיקולים.

אבל השיקולים צריכים להיות מובנים בחקיקה. קודם כל צריך הגדרה למהו אותו מידע פסאודונימי כדי שנבין מתי נכנסנו לקטגוריית האפור, אחרת אנחנו פשוט לא יודעים. וגם להתוות את אותו שיקול דעת.

השאלה מה היקף החקיקה פה. האם אנחנו עושים תיקון מ-א עד ת.

ההערה השנייה שלך, אז אולי באמת כשנגיע לסוגיות שלדעתך הן רלוונטיות אז נראה אם יש צורך.

מאה אחוז. תרשום את ההערה הזאת.

חד משמעית. אני רק אומר שזה עדיין יצריך הגדרה של מהו מידע פסאודונימי.

ככל שיש שימוש בדבר הזה אז נידרש להגדרתו. לגבי ההערה השנייה, ההערה פה היא שצריך להעלות משהו מדברי ההסבר. אנחנו חושבים שזה ברור מתוך ההגדרה.

זה חשוב. היינו בנושא של החלטה בנוגע לצו כמידע נוסף שקבע שר המשפטים בצו. אני חייבת לומר, והוועדה תצטרך להחליט, עמדתי בכלל לא נוחה מזה. אני אומרת למשרד המשפטים. נכון, תמיד עדיף לעשות דברים במהירות ובאמצעות צווים ולא בהליכי חקיקה רגילים. במיוחד אחרי שהדבר הזה גם מטיל חובות על אנשים שהתארגנו על העסק שלהם, על העבודה שלהם, על כל מיני דברים כאלה, ועשו שיקולים ואז פתאום רוצים לשנות להם את זה, יכול להיות שזו הגדרה הכי צודקת בעולם שכרגע לא חשבתם עליה, או ההתפתחות הטכנולוגית באמת מחייבת אותנו להרחיב את הנושא הזה. אבל לי, בטח לא ככנסת, לא נוח בכלל שדברים מהסוג הזה יוסדרו בצו.

אני נציג לשכת עורכי הדין. אני חושב שזה נוהל מאוד מקובל לכלול בחוק אפשרות לשר בצו. יש משהו לחוץ, דחוף, שכחו. צריך לזכור שזה גם עובד תמיד בחינה של בג"ץ. זאת חקיקת משנה, לכן אני לא חושב שזה צריך להדאיג. זה שזה עובר אישור ועדה, זה עדיין עובר את אישורו של המחוקק. יהיה דיון בפורום הזה ולכן אני חושב שזה בסדר גמור.

אבל למשל אתה לא תוכל לתת את הערותיך לפני שזה בא לידי ביטוי.

למה? לפני הדיון בוועדה אני אוכל. אני גם אבוא לדיון. זה גם עומד למבחן בג"ץ אם זה משהו ממש קיצוני.

אבל אנחנו במטריה של משפט וטכנולוגיה, וכמובן ההתפתחויות הטכנולוגיות מכתיבות צורך בשינויים כאלה ואחרים. לדוגמה, הגדרת מזהה ביומטרי שנמצאת פה אולי כבר עשר שנים, לא היינו ערים לה, וכולנו יודעים שלקח הרבה זמן עד שהגענו לרגע הזה בתיקון חוק הגנת הפרטיות. כי הניסיונות לתקן את החוק הזה הם ניסיונות ארוכי שנים. לכן אולי כן צריך להשאיר גמישות מסוימת לשר, באישור הוועדה הזאת, בלי לעבור את כל ההליך המלא אבל כן עם שיתוף הציבור, כמו שקיים לגבי צווים. כי ייתכן שתהיה לנו מחר בבוקר טכנולוגיה חדשה שיהיה צורך לתת לה מענה כאן בחוק. אז הכנסת נדרשת והשר נדרש.

דעתי לא נוחה.

כבר החוק הקיים המיושן, שקיים כמעט לפני 40 שנה, מאפשר בסעיף 7 להוסיף קטגוריה.

אבל זה לא נעשה.

ועדיין הגענו לחקיקה ארוכת שנים.

גם כשהתחיל הנושא הביומטרי לא נעשה תיקון בצו.

אולי זה לא נעשה, אבל אם לפני 40 שנה חשבו שזה נדרש, קל וחומר בעידן הזה.

השינויים הטכנולוגיים שחלפו ב-40 השנים האלה, זו הקפיצה הטכנולוגית הגדולה בהיסטוריה. כל תקופת האנושות עד 40 השנים האחרונות זו בעצם הקפיצה הגדולה ביותר. וגם מאז לא חשבו שצריך לעשות שימוש בצו.

המחוקק חשב.

אבל לא עשה. הממשלה לא הביאה בצו תיקון.

אם לא תהיה הסמכה בחוק לשר באישור הוועדה, אז ברור שלא ייעשה שימוש. אם תהיה הסמכה ולא ייעשה בו שימוש, עדיין יש פוטנציאל שתהיה ביקורת פרלמנטרית על השר שיעשה שימוש בסמכותו.

אבל מה אכפת לך שזה יהיה בחקיקה?

ככל שהחשש הוא מפני ההליך הפרלמנטרי והפיקוח על הכנסת, צו ותקנות זה אותו דבר.

אתה יכול להגיד את זה על כל חוק.

לא.

בסעיף 23(2) יש גם אפשרות להוציא צו ונעשה בזה שימוש מספר רב מאוד של פעמים.

אנחנו מחפשים מנגנון שייתן מענה לעתיד. כל מה שאנחנו יודעים היום בהווה, אין לנו התנגדות לכתוב אותו כבר עכשיו בחוק. אבל מענה לעתיד יש שתי חלופות, או שזה יהיה צריך ללכת בדרך של חקיקה מלאה, שזו אופציה שתמיד קיימת, אנחנו לא מונעים אותה, או שזה יהיה במסלול של צו באישור ועדה, לכן הוא לא יכול לעבור בלי איזשהו ביטוי של הכנסת, והוא מקל עלינו. אם נוותר על המנגנון הזה נישאר רק עם חקיקה ראשית. היא איננה מקדמת את האינטרס שאת מצביעה עליו, כי את מצביעה על כך שלא עשו שימוש בסמכות שניתנה בעבר.

אם אפשר לדבר על נושא דחוף בהוראת שעה, או כל מיני דברים כאלה, עוד איכשהו אני יכולה לחשוב על זה.

גם קודם הסברתי שזה יכול להיות מקרה דחוף. אנחנו עכשיו מעגנים בעצם את העוגנים הראשיים, הגדולים, המשמעותיים. בסופו של דבר אנחנו מודעים לכך שטכנולוגיה משתנה, דברים משתנים, וגם לפעמים אתה מגלה תוך כדי פעולה שיש צורך בתיקון כזה או אחר, יכול להיות אפילו מינורי, ואנחנו צריכים לעשות את זה. אני לא חושב שצריך למנוע.

הסעיף קבע מידע נוסף שקבע השר ולא שהוא יכול לעשות תיקונים.

כן, מידע נוסף בעקבות סיטואציות שמתרחשות בעקבות טכנולוגיות כאלה ואחרות. זה יכול להיות ממש לא עוגן ראשי כמו שעכשיו אנחנו עושים בחקיקה ראשית ואנחנו צריכים לייצר את הגמישות הזאת, במיוחד בעולם טכנולוגי. אם היינו אומרים שאנחנו לא רוצים לעבור את הכנסת, אני מבין. אם היינו אומרים שלא מעבירים את זה להערות הציבור, אני מבין. אם לא היינו צריכים ממילא לעבור את כל המנגנון של הממשלה שנמצא בתוך העולמות של תקנות, אז אני מבין. אבל בסוף זה מייצר גמישות מסוימת, לא רבה, ואני חושב שבנסיבות העניין זה מוצדק.

לא הבנתי מה נסיבות העניין.

נסיבות העניין, שאנחנו עוסקים בעולמות של טכנולוגיה ואנחנו מבינים שיש סיטואציות שאנחנו לא יכולים לחכות לחקיקה ראשית.

שבהן הזמן הוא קובע. הרי מבחינת בקרה ציבורית אנחנו לא מוצאים הבדל גדול בין הדיון בוועדה לאישור. זה פשוט לוקח הרבה יותר זמן.

אי אפשר להגיד עלינו שאנחנו נמנעים משיתוף ציבור ומלבוא בפני הבית הזה.

מאה אחוז. אבל מאגרים ביומטריים קיימים כבר המון זמן ולא עשיתם את התיקון. לא קפצה לכם הדחיפות. אז עכשיו אתם אומרים, אולי יהיה משהו היפותטי בעתיד שבשלו אני רוצה למנוע מהכנסת לעשות חקיקה רגילה ואני נותנת הזדמנות לעשות. גם כשזה כתוב, גם כשזה מותר. אני לא הבנתי את הדחיפות. דרך אגב, את הטכנולוגיות אתם מכירים תוך כדי. אני מקווה מאוד שאתם מכירים את התפתחויות הטכנולוגיה עוד לפני שהיא יוצאת לשוק. זה חלק מהעבודה שלכם, כי אתם צריכים להיות מוכנים לפני זה. אז אם אתם כבר יודעים שזה עומד לקרות, אז תעשו את תיקוני החקיקה לפני שהטכנולוגיה היא טכנולוגיה בשימושים מרביים כדי שמלכתחילה אנשים יוכלו להתכונן. לא אחרי שזה כבר יצא החוצה. אני חושבת שזה תפקיד חשוב שלכם, להיות על כל הטכנולוגיה, לראות איך היא עלולה לפגוע בפרטיות ולהיות על זה לפני שהיא יוצאת החוצה.

לגמרי, גברתי. בדיוק מה שגברתי אומרת מחדד את הצורך שלנו לפעמים כשטכנולוגיה מתפרצת לעשות תיקון שהוא לפעמים גמיש ומהיר יותר. כל עוד הוא נעשה עם כל המנגנונים שהדגשתי קודם, הוא מקל ברמה מסוימת. אגב, זה לא המקרה היחיד. זה מקובל מאוד בחקיקות בבית הזה לייצר גמישות מסוימת שהיא לא פוסחת כמובן על שיקוף הציבור ועל מתן הערות לציבור ודיון בוועדה ואישור של ועדה כמובן.

אמרתי את דבריי. מזלכם שאני לא קובעת לבד. נעבור הלאה.

אנחנו מתחילים את הגדרות סעיף 7. יש לנו כאן שתי הגדרות שהן גם קשורות זו לזו, בעל שליטה במידע ומחזיק. אולי רק אקריא את ההגדרה: בעל שליטה במאגר מידע, מי שקובע לבדו או יחד עם אחר את מטרות עיבוד המידע שבמאגר המידע הוא גוף שהוסמך בחיקוק לנהל מאגר מידע, או שבעל תפקיד בו הוסמך לכך כאמור.

אני מזכירה גם בהקשר של שינוי מונחים שהיה לנו בדיון הראשון, שההגדרה "בעל שליטה במאגר מידע" גם יושבת על ההחלפה של מונח של בעל מאגר מידע שאינו מוגדר.

שנעשה בו שימוש בחוק הקיים אבל בלי הגדרה.

זה באמת הגורם המפוקח המרכזי שאין לו כיום הגדרה בחוק אבל מוטלות עליו החובות הרבות ביותר בחוק ובתקנות לפיו, הוא הגורם שנושא באחריות המרכזית לעיבוד המידע ומימוש זכויות נושא המידע. התיקון שמוצע לפניכם נועד להבהיר שאין כוונה כאן לבעלות קניינית דווקא, אלא שליטה במטרות עיבוד המידע ובהיבטים מרכזיים שנוגעים לעיבוד המידע. זה כמובן גם בהקבלה להגדרה שיש ב-GDPR, בעצם אפשר להתייחס לקונטרולר. בשינויים מסוימים, אבל באמת ההגדרה מבוססת בין היתר גם על ההגדרה הזאת.

יש לי שתי שאלות. האחת, איך ההגדרה הזאת עומדת מול ההגדרה של מנהל מאגר, שעדיין נשארה? מה הם יחסי הכוחות ולמה צריך להשאיר את ההגדרה של מנהל מאגר? שאלה שנייה, אנחנו יודעים שב- GDPRההגדרה של בעל שליטה במידע כוללת עם שליטה על מטרות וגם שליטה על אמצעים. דיברנו על זה גם בדיון הקודם, ואני עדיין לא הבנתי למה אצלנו מוותרים על השליטה על האמצעים. גם בכתיבה האירופית מדברים על זה שיש צורך לפחות בשליטה על אמצעים מהותיים. כלומר איזושהי קביעה. כי אחרת התיבה הזאת של בעל שליטה במאגר תכלול המון המון בעלי תפקידים שיכול להיות שיהיו תפקידים חופפים או יכול להיות שיהיו רק מטרות ומישהו אחר יעשה את האמצעים. אני בטוחה שמהתעשייה יוכלו לתת דוגמאות למצבים שהם יהיו קצת מוזרים. אשמח להתייחסות לזה. אם מהתעשייה ירצו לתת דוגמאות קודם.

אני בשם נשיאות המגזר העסקי. אני רוצה להוסיף שאלה על השאלה של רחל ולשאול האם יש כוונה של הרשות למשל לאכוף את תקנה 19 על מחזיק. כי יושבים פה חברינו שמייצגים את גוגל ואת מייקרוסופט. אני מתקשה לראות מערכת יחסים בין בעל שליטה במאגר לבין מחזיק כהגדרתו החדשה שמאכסן מידע. מכל ההגדרה של שימוש שעושה מחזיק כהגדרתו, הוא רק מאכסן מידע. אז האם יש כוונה לאכוף את תקנה 19 במסגרת התוספת לחוק? זאת שאלה ראשונה, כי אני לא מצליח לראות את ההקשר הזה.

תקנה 15 אולי?

לחגיגה הזאת בהחלט אפשר להוסיף גם את תקנת מיקור החוץ. ואנחנו מתקשים לראות מערכת יחסים לפחות תקינה לפי החוק והתקנות שמקיימים מחזיק ובעל שליטה במאגר, הגדרה חדשה שלא הייתה ומבורכת.

יש לי הערה לפרוטוקול, כדי שלא נגדיל את שובל החובות שלנו עוד מדיון קודם. אמרנו שנדבר על הישימות של מחזיק כשנגיע לסעיף 8 בחוק, בחובת הרישום. ואולי דבר לא פחות חשוב ויותר גדול מזה זו הגדרה של מידע כפי שהוא מוגדר מחדש. אותו נתון שהוא מזוהה או ניתן לזיהוי. הוא ישפיע בהכרח יחד עם ההשמטה של סעיף 7(2), שבעצם מייתר את הצורך לבחון האם יש מאגר נוסף שיש בו רק פרטים, קובץ ודרכי התקשרות. זה יגדיל בהכרח את חובת הרישום. זה לעניין הישימות. כי אם ניצמד עד הקצה ל- GDPR ובאמת נצמצם את חובת הרישום אז אין שום בעיה עם ההגדרה החדשה של מידע מזוהה או ניתן לזיהוי, כי אז זה לא יחייב, אפרופו ישימות, את רישום המאגרים.

אולי את השאלה הזאת נשאיר לשלב הרישום או הגדרת מאגר. אבל ננסה לענות לשאלות אחרות שהן ביחד. לשאלה הראשונה של היחסים, מיהו בעל שליטה במאגר, או המונח המשמש היום בעל מאגר, להבדיל ממנהל מאגר. המפוקח המרכזי הוא בעל מאגר, הוא האישיות המשפטית שלמטרתה נאסף המידע. זה מי שהמידע למטרותיו, זה מי שמחליט מה ייעשה במידע. מנהל המאגר זו הגדרה שקיימת בחוק הקיים, הוא לא בעל המאגר. אין לו זכויות מאגר. יש הגדרת ברירת מחדל, כך זה מוגדר בחוק הקיים. או שמדובר במנכ"ל הארגון או מישהו שהוא הסמיך, שהנפקות היחידה של ההגדרה הזאת היא רק כשיש לאותו עובד בכיר שיש לו אחריות אישית לעניין אבטחת מידע. אבל זהו. מנהל המאגר זו הגדרה צדדית פה שלא באמת משפיעה, לא קשורה. זה בעל תפקיד פונקציונר לגבי אבטחת המידע. נקודה מאוד ספציפית.

לשאלה היותר משמעותית שלך, רחל, לגבי ההגדרה שלנו שמדגישה יותר את בעל השליטה במאגר שקובע את המטרות. זה נובע מכך שלמיטב הכרתנו את השוק במקרים רבים קביעת המטרות או קביעה מה ייעשה במידע, למשל איזה מידע ייאסף או מתי יימחק, היכולת המשפטית לקבוע לעצמו אם הוא נעזר במחזיק או בקבלן, זה הדבר המרכזי. כי לפי היכרותנו את השוק יש מקרים רבים שבהם בעל השליטה במאגר, שהוא המזמין, מוסר את כל מחזור החיים של העיסוק במידע למיקור חוץ והקבלן, מי שנותן את מיקור החוץ, הוא קובע את האמצעים. זה הרבה מאוד פעמים כך. לכן אנחנו מהניסיון שלנו חושבים שהרכיב המרכזי זה מי קובע את המטרות, מי קובע מתי. מי שיש לו האפשרות לקבוע מתי מידע יימחק, מתי יפסיקו לאסוף, מתי יתחילו וכדומה. כי העניין של האמצעים הוא העניין המשני לגבי היכולת המשפטית לקבוע מה ייעשה, וגם מדובר פה במי שיש לו יכולת לבחור מי הקבלן. אבל מי שקובע פעמים רבות את האמצעים זה הקבלן, כי כך קבע לו בעל השליטה במאגר, ואם היינו מוסיפים גם את האמצעים כתנאי מצטבר היינו מצמצמים מאוד, כך חשבנו, את האחריות של בעל המאגר. הגדרת מישהו כבעל שליטה במאגר מטילה עליו קצת יותר אחריות. אנחנו לא רצינו לצמצם את האחריות שלו.

במובן הזה השליטה במטרות היא תנאי הכרחי, אבל היא גם תנאי מספיק. לאור ההסבר שעכשיו ניר נתן, אין צורך להתייחס לעניין של האמצעים, וזה גם לא נכון להתייחס. כי אם נכלול את זה באמת כשני תנאים מצטברים אנחנו נוציא מצבים שבוודאות מדובר בתמיכה מהותית בבעל השליטה. מה גם שגם לשיטתך השליטה באמצעים לפי ה-GDPR מפורשת. זה רק אמצעים מהותיים, ואז את צריכה להתחיל להיכנס לפרשנות של מה זה מהותי ומה לא. וזה גם לא נדרש.

אנסה לתת דוגמה ולהגיד מה מפריע לי, מה הסכנה שגם מדברים עליה בכתיבה באירופה. הסכנה שעליה מדברים היא מצב שבו יהיה בעל שליטה במידע, הוא יקבע את המטרות, ובעצם אין לו שום גישה למאגר המידע. הוא לא קובע איך הוא יעובד, הוא לא קובע את האמצעים, אין לו בכלל גישה. הוא רק קובע מטרות בגדול. אתן דוגמה, אם יש לי חברת הייטק שפונה לחברת גיוס כוח אדם ומבקשת לגייס כוח אדם. מאגרי המידע של העובדים הפוטנציאליים נמצאים בידי חברת כוח האדם, אבל חברת ההייטק קובעת את המטרות, היא קובעת תגייסו לי אנשים בעלי הכשרה מסוימת. האם זה ייחשב שהם בעל השליטה במאגר בחברת כוח האדם?

בדוגמה הזאת, אם חברת הגיוס מגייסת עובדים רק בעבור המזמינה, אז היא מחזיק. היא גם לצרכים שלה? אז חברת הגיוס תהיה בעל המאגר.

במצב היום יש חברות גיוס שנותנות שירותים להרבה מאוד חברות הייטק. אז חברת הגיוס היא המחזיק של כל אחת מחברות ההייטק?

זה שיעור למתקדמים. הרי פרסמנו לפני כמה שנים הנחיה בנושא, יש לנו תפיסה. אבל בקצרה, במצב הזה אם חברת הגיוס נותנת שירות להרבה מעבידים היא בעלת המאגר, חברת הגיוס. ובמקביל גם חברת ההייטק שהזכרת היא בעלת מאגר לגבי האנשים, וזה בהחלט אפשרי. שתיהן אחראיות באותה מידה. מה שרצינו לא לצמצם מעבר לזה שצריך את האחריות. אבל בסיטואציה שאת מציגה, וזה בהחלט אפשרי, זה קורה, יש שני גופים שנושאים באותה אחריות הקצת גבוהה יותר של בעל המאגר.

מה שאני לא מצליחה להבין, שאז יהיה מצב שבו חברת ההייטק, שאין לה בכלל גישה לאותו מאגר - - -

מה זה אין גישה? קודם כל, זה לא משנה.

היא תקבל רק את הנתונים של מי שיענה לה על הדרישות.

היא יכולה לבקש להפסיק את הפעילות הזאת, היא יכולה להגיד שהיא לא רוצה יותר. זה נקרא שאין לה שליטה? זה לב השליטה. היא בדיוק אומרת איך לשנות ומה לעשות ואילו פעולות.

אז אין לה בכלל המידע.

אפשר לסכם שהיא תהיה הבעלים במאגר שאצלה, לא שאצל חברת ההשמה.

היא בעלים באלה שקיבלו, אבל בדוגמה שלנו – וזה לא סותר את ההגדרה שאנחנו מציעים – חברת הגיוס היא עוד בעלת מאגר. אנחנו לא מצמצמים את מעגל האחריות, ההפך.

חברת ההייטק לא יכולה להיות בעל השליטה במאגר של חברת הגיוס. היא יכולה להיות אולי בנתונים שמעבירים לה.

בסדר גמור, אבל אין בזה שום פסול. זאת הכוונה.

להבנתי זה לא משתמע כך מההגדרה.

אז אולי זה באמת שיעור למתקדמים קצת, אפשר להמשיך לדון בהחלט. אבל המטרה שלנו לא להחריג, לא לצמצם את ההגדרה כך שיוחרגו ממנה גופים שאנחנו מאמינים שצריכים לשאת באחריות הקצת יותר גבוהה של בעל המאגר.

לשאלתך, עו"ד עוז, אנחנו משנים את נוסח ההגדרה, את הטקסט של הגדרת מחזיק, כדי להבהיר. אבל גם לפי ההגדרה הקיימת, הפרשנות הקבועה שלנו שגוף שרק מאכסן מידע עבור בעל המאגר הוא מחזיק, אז בזה אין שום שינוי בנוסח המוצע מבחינת הפרשנות שאנחנו נותנים לו.

ושאלת ההמשך, מה היכולת או מה הכוונה שלכם לאכוף על אותו מחזיק לפי תקנה 19, למשל את קיום כלל החובות שמוציאים כאן. כי זה צריך להטריד את הוועדה, גברתי היושבת-ראש. זה צריך להטריד מאוד.

אנחנו כמובן אוכפים גם על מחזיקים, והעובדה שמחזיק גוף בין-לאומי לא מונעת את זה. יש הסיבוכים או הקושי והמורכבות הפרקטית, היסודית, אבל זאת לא שאלה שקשורה לכאן. היא לא שאלה של פרשנות של משפט בין-לאומי. זאת לא שאלה של חקיקה, אלא שאלה של כללי משפט בין-לאומי פומבי וגם שאלה פרקטית של האופן שבו מיישמים את זה. זה לא קשור להצעת החוק. זאת שאלה טובה.

הפרשנות הקיימת של הרשות לגבי מחזיק באה לידי ביטוי בשורה של פרסומים של הרשות. זה לא משהו אצלנו בחדרי חדרים, זאת העמדה הפרשנית העקבית שלנו. לכן מהבחינה הזאת אין שינוי. אנחנו לא באמת משנים את המצב המשפטי, אנחנו כן כותבים מחדש את ההגדרה. אבל מבחינה משפטית לא חל שינוי.

לגבי הגדרה של בעל שליטה אני רוצה לחדד את עמדת הרשות. יש החלטה באיחוד האירופי לגבי כנסייה ששכרה כנסייה אחרת שתאסוף עבורה מידע. אין לה גישה למידע בכלל. והמסקנה הייתה שלא יכול להיות מצב שיש מישהו שמבקש שיאספו עבורו מידע על אמונות דתיות ואין לו שום אחריות כי המידע לא אצלו. שזה מנגנון להתחמק. מהבחינה הזאת אני חושב שעמדת הרשות פה היא בהחלט נכונה, מה גם שבסופו של דבר כשמתייחסים לאמצעים באירופה אז בסוף הפרשנות היא הזכות להגיד באילו אמצעים מישהו אחר ינקוט. אז אם הוא בחר קבלן, אז הוא הנחה את האמצעים העיקריים ובזה נגמר הסיפור. כן חשוב שכל גורם שמחליט על פעולות איסוף ושימוש במידע לא יוכל להתחמק בזה שהוא אומר: רק ביקשתי ממישהו אחר שהוא יהיה אחראי לבד, אני לא בעסק. האירופים לא נותנים לזה לקרות, וההגדרה פה לא תיתן לזה לקרות.

תודה.

אני מחברת לושה.

מה זו חברת לושה?

חברת לושה היא חברה שמספקת מודיעין עסקי, בייחוד לחברות גיוס וגם חברות שעושות עסקים B2B, שרוצות להגיע לעסקים אחרים. למעשה אני מבין את העמדה שעו"ד אייל שגיא מביע, כי זה משרת את עקרונות האינטרסים של מייקרוסופט וגוגל שהמחזיק יצטרך לעמוד ברף מאוד גבוה בשביל שייקחו אותו. הבעיה היא שהפרשנות של רשות הגנת הפרטיות כיום לשאלה ששאלה ד"ר רחל זה נטל שהציבור לא יכול לעמוד בו. זאת אומרת, אם אני חברה שצריכה להעסיק אדנטר ועכשיו הרשות לפרטיות אומרת לי שאני צריך להיות joint controller ואני אחראי לכל מה שהיא עושה, אז אני לא אוכל להעסיק אדנטרים או חברות קטנות. כל החברות האלו יצטרכו לשדרג פי עשרות מונים את כמויות האבטחה שלהם, את רישום המאגר שלהם, אלף ואחד דברים. זה נטל שהציבור לא יוכל לעמוד בו. גם היום סעיף 7(2) של החוק מחריג פעולות שמדברות על מידע כמו שדיברה ד"ר רחל, כמו גיוס והשמה. עצם העובדה שהיום בהצעת חוק אתם מנסים להוריד את זה ולכלול את זה תחת מידע ולא להחריג את זה, זה נטל שהציבור לא יכול לעמוד בו. אפילו רשימת תורמים למכון לדמוקרטיה שעמותות רוצות להשיג תורמים, אם הן לא קיבלו הסכמה הן לא יכולות לפנות אליהם. אדנטרים לא יכולים לפנות לאף אחד.

אנחנו לא מבינים.

הנטל שאתה אומר לחברה שאומרת: אתם תהיו אחראים ביחד עם שותף, כשאתה אומר למישהו אחר לאסוף מידע, זה לא אפשרי. מה שצריך להיות זה על בסיס איך נחתם ההסכם, ואם ההסכם קובע שכל אחד הוא אחראי והוא נותן לי מצגים ודברים, זה משהו אחד. אבל לא ייתכן שממי שאני מבקש לאסוף את המידע אני צריך שהוא יעמוד בדרג הכי גבוה. זה משהו שהציבור לא יכול לעמוד בו היום.

כנראה שאני לא מבין מה שאתה אומר, כי האמירות שאתה אומר זה לא משהו שאנחנו אומרים. אם יש חברה קטנה שמחפשת עובדים ופונה לאדנטר, היא תהיה אחראית לגבי רשימות העובדים שמגיעים אליה.

אבל האדנטר פונה לעשרות עובדים, החברה לא יודעת למי הוא פונה. יכול להיות שחלק מהעובדים האלה נתנו הסכמה לאדנטר, יכול להיות שלא. זה לא משהו שהחברה עושה. האדנטר, כמו שציינתם, פונה להרבה אנשים ומשרת הרבה חברות. זה לא שהחברה שלחה אותו לשמור רק את הפרטים המסוימים ולמחוק אחרי זה. זה לא המצב שקיים בשוק היום. אתם רוצים לתאר מצב שלא קיים בשוק.

אבל אתה מתאר משהו שהוא לא העמדה שלנו. במצב שאתה מתאר, שבו יש חברת אדנטר שעובדת עבור כולם, היא לא שואלת את החברה הקטנה שמחפשת עובדים את מי למחוק ואת מי להזמין, אז הוא לא מחזיק שלה. היא לא אחראית לעבודה שלו. חברת האדנטר פה היא בעלת מאגר משל עצמה וחברת הייטק שמחפשת עובדים היא הקליינטית שלה. והיא אחראית לשמות שהיא קיבלה. יש לה מאגר עובדים, מאגר מועמדים לעבודה, אבל זהו. בסיטואציה שאתה מתאר אין אחריות לחברת ההייטק המחפשת עובדים לפעולות של האדנטר במצב שבו היא לא עובדת רק עבורה אלא עבור כולם. שוב, אפשר להמשיך את ההסבר, אבל זו לא העמדה שלנו, אלא ההפך.

בסדר. אנחנו ממש לקראת סיום, אז אם יש עוד מישהו שרוצה לחדד בעניין של בעל שליטה ומאגר מידע. אם לא, אנחנו נסיים. ייתכן שיהיה דיון נוסף כבר בשבוע הבא. הוועדה תעדכן בנושא הזה ומקווים שהיו"ר כבר יהיה בריא ושהוא יוכל לנהל את הדיון.

סגרנו את הדיון. תודה רבה.


הישיבה ננעלה בשעה 14:52.