בעמוד הזה
מה זה GDPR?
GDPR (General Data Protection Regulation) היא תקנה של האיחוד האירופי שנכנסה לתוקף במאי 2018 והחליפה את דירקטיבת הגנת המידע הקודמת. היא חלה ישירות בכל מדינות האיחוד, ומגדירה זכויות לאנשים שהמידע שלהם נאסף, וחובות לארגונים שאוספים ומעבדים אותו.
התקנה חלה גם מחוץ לאירופה: חברה ישראלית שמציעה מוצרים או שירותים לאנשים באיחוד, או מנטרת את התנהגותם, למשל באתר או באפליקציה, צריכה לעמוד בה.
דוגמה מהשטח
חנות אונליין מתל אביב שמוכרת לגרמניה. החנות אוספת שמות, כתובות ונתוני גלישה של לקוחות בגרמניה. לפי GDPR היא צריכה בסיס חוקי לכל שימוש במידע, מדיניות פרטיות ברורה, הסכמה מפורשת לעוגיות שיווקיות ודרך לטפל בבקשות מחיקה. אם יש פריצה למאגר, היא צריכה לדווח לרשות הפיקוח תוך 72 שעות.
GDPR ותיקון 13: מה ההבדל?
| GDPR | תיקון 13 לחוק הגנת הפרטיות | |
|---|---|---|
| על מי חל | מי שמעבד מידע של אנשים באיחוד האירופי | מאגרי מידע בישראל |
| קנסות | עד 20 מיליון אירו או 4% מהמחזור העולמי | עיצומים כספיים לפי סוג ההפרה וגודל המאגר |
| דיווח על אירוע | לרשות הפיקוח תוך 72 שעות | לרשות להגנת הפרטיות, באירוע אבטחה חמור |
רכיבים מרכזיים
איך זה עובד
- מיפוי מידע
אילו נתונים אישיים נאספים, מאיפה, למה ולאן הם זורמים.
- בסיס חוקי ושקיפות
קביעת בסיס חוקי לכל שימוש ועדכון מדיניות הפרטיות.
- בקרות ואבטחה
הרשאות, הצפנה, הסכמי עיבוד עם ספקים וניהול עוגיות.
- זכויות ודיווח
מענה לבקשות של נושאי מידע ונוהל דיווח על אירועים.
- ביקורת שוטפת
בדיקה תקופתית שהתהליכים עדיין עובדים.
שאלות נפוצות
האם GDPR חל על חברה ישראלית?
כן, אם היא מציעה מוצרים או שירותים לאנשים באיחוד האירופי או מנטרת את התנהגותם, גם בלי סניף באירופה.
מה הקנס על הפרת GDPR?
בהפרות החמורות, עד 20 מיליון אירו או 4% מהמחזור השנתי העולמי, הגבוה מביניהם.
האם עמידה בתיקון 13 מספיקה ל-GDPR?
לא. יש חפיפה גדולה, אבל ל-GDPR דרישות משלו, כמו בסיס חוקי לכל עיבוד, זכות מחיקה ודיווח תוך 72 שעות.