אחד מעקרונות היסוד של ה־GDPR הוא עקרון החוקיות של עיבוד מידע אישי.
עקרון זה מחייב שכל עיבוד של מידע אישי יהיה מבוסס על עילה משפטית ברורה.
חוקיות העיבוד אינה רק דרישה טכנית אלא היא מהותית ליחסי האמון בין ארגון לבין נושאי המידע (Data Subjects),
והיא תנאי הכרחי לעמידה בתקנות ההגנה על פרטיות המידע באירופה ובמדינות רבות נוספות.
מהי חוקיות העיבוד?
במסגרת סעיף 6 לתקנות ה־GDPR, עיבוד מידע אישי נחשב לחוקי רק אם מתקיימת אחת מתוך
שש עילות משפטיות (Legal Bases).
ארגון שאינו יכול להצביע על אחת מהן מפר את התקנות, גם אם שאר פעולותיו נעשות בזהירות ותום לב.
העילות המשפטיות המרכזיות לעיבוד מידע אישי
הסכמה (Consent) – סעיף 6(1)(a)
העיבוד מותר אם נושא המידע נתן הסכמה חופשית, מדעת, ספציפית וניתנת לביטול.
דוגמאות: הרשמה לניוזלטר, קבלת הצעות שיווק בדוא”ל, הצטרפות לתכנית נאמנות.
קיום חוזה (Contract) – סעיף 6(1)(b)
העיבוד נדרש לצורך קיום חוזה מול נושא המידע, או כדי לנקוט צעדים טרום-חוזיים לפי בקשתו.
דוגמאות: עיבוד נתונים לצורך משלוח מוצר שנרכש, פתיחת חשבון משתמש.
חובה משפטית (Legal Obligation) – סעיף 6(1)(c)
העיבוד דרוש על פי דין, ללא תלות בהסכמה.
דוגמאות: שמירת נתונים לצורכי דיווח לרשויות מס, קיום חוקי עבודה.
שמירה על אינטרסים חיוניים (Vital Interests) – סעיף 6(1)(d)
העיבוד נדרש כדי להגן על חיים או שלמות גופנית של אדם.
דוגמה: מסירת מידע רפואי במצב חירום.
ביצוע משימה בעלת עניין ציבורי או סמכות שלטונית (Public Task) – סעיף 6(1)(e)
עיבוד שנעשה על ידי רשות ציבורית או גוף ממלכתי.
דוגמה: ניהול מרשם תושבים, פעולות של משטרה או מערכת המשפט.
אינטרס לגיטימי של הארגון (Legitimate Interests) – סעיף 6(1)(f)
העיבוד נדרש למימוש אינטרס לגיטימי של הארגון או צד שלישי, ואינו פוגע בזכויות הפרט.
דוגמאות: מניעת הונאות, אבטחת סייבר, פרסום ממוקד (בכפוף לאיזון אינטרסים).
מה נדרש מהארגון כדי להבטיח חוקיות עיבוד?
בחירת עילה משפטית מתאימה – לא ניתן “לבחור” עילה בדיעבד או “להחליף” עילה כשנוח.
העילה חייבת להיות ברורה ומוגדרת מראש.
תיעוד וביסוס ההצדקה – הארגון נדרש לתעד את הבסיס המשפטי לעיבוד, כחלק מחובת האחריותיות.
שקיפות כלפי נושאי המידע – יש ליידע את המשתמשים מהי עילת העיבוד וכיצד נעשה שימוש בנתוניהם
(לרוב, במדיניות הפרטיות).
בדיקות איזון במקרה של Legitimate Interest – נדרשת הערכת אינטרס לגיטימי (LIA) המאזנת
בין צורכי הארגון לזכויות הפרט.
טעויות נפוצות בנושא חוקיות העיבוד
שימוש בהסכמה כאשר קיימת עילה טובה יותר (למשל חוזה).
אי-תיעוד של עילת העיבוד.
חוסר הבחנה בין Legitimate Interest לבין הסכמה.
בקשת הסכמה בצורה לא חוקית (למשל ללא אפשרות סירוב אמיתית).
דגשים מיוחדים של חוקיות העיבוד
עיבוד של קטינים: מצריך הסכמה הורית במדינות רבות, ויש לו רף חוקיות גבוה יותר.
מידע רגיש (Sensitive Data): נדרש גם בסיס חוקי (סעיף 6) וגם תנאים נוספים לפי סעיף 9 ל־GDPR.
הסכמה ניתנת לביטול בכל עת, ולכן אין להסתמך עליה בעיבודים קריטיים אם ניתן לבחור עילה יציבה יותר.
שאלות ותשובות בנושא חוקיות העיבוד
האם ניתן להחליף עילת עיבוד לאחר שהתחיל העיבוד?
לא. על העילה להיקבע מראש ולשקף את מטרת העיבוד המקורית. שינוי עילה עלול להיחשב כהפרה.
מה ההבדל בין Legitimate Interest לבין הסכמה?
הסכמה דורשת אישור אקטיבי של נושא המידע; Legitimate Interest מבוססת על הערכת סיכון
ואיזון אינטרסים ללא צורך בהסכמה.
האם Always-on cookies נחשבים חוקיים על בסיס Legitimate Interest?
לא. עיבוד מידע לצורך פרסומות מותאמות אישית דורש בדרך כלל הסכמה אקטיבית.
האם ניתן להשתמש ביותר מעילה אחת?
כן, אך יש להבהיר לכל עיבוד מהי העילה המרכזית, במיוחד לצרכי שקיפות.
