בטלות הסדר העברת מידע מוגן מאירופה לארה"ב והשפעתה על ישראל

בגיליון האחרון דיווחנו על עמדת הנציבות האירופאית, כי הסדר משנת 2000 בין הנציבות לבין שלטונות ארה"ב לפיו תאגידים שיעמדו בקריטריונים מסוימים יוכלו להעביר מידע מאירופה לארה"ב – אינו תקף, שכן הוא אינו עונה על דרישות הדירקטיבות האירופאיות (הסדר Safe Harbour).

עמדת הנציבות באה על רקע הליך משפטי שיזם סטודנט אוסטרי באירלנד כנגד רשות הגנת המידע האירית על כך שאינה מונעת מפייסבוק אירלנד לשמור בארה"ב את המידע המוגן אודותיו.

כעת בית הדין של האיחוד האירופאי פסק, כי ההסדר הנ"ל אכן אינו תקף, משום שהוא אינו נותן ביטוי לאפשרות שהרשויות הממשלתיות האמריקאיות לא יכבדו את העקרונות המפורטים בדירקטיבות האירופאיות הרלוונטיות ביחס להגנת המידע הפרטי, ויקיימו בין היתר גישה בלתי מידתית אל מידע זה. ההסדר כאמור מתמקד בהתנהלות של התאגידים האמריקאים אך מתעלם מהפעילות של הרשויות הממשלתיות האמריקאיות.

בית הדין לא בחן מה מבצעות הרשויות האמריקאיות בפועל, אלא נסמך בעניין זה על עמדות של הנציבות, וקבע, כי לאור עמדות אלו, לכאורה, ממשלת ארה"ב אינה עומדת בסטנדרטים המאפשרים העברת מידע לאירופה. יצוין, כי גם עמדות הנציבות בעניין אינן בגדר חקירה מקיפה של המצב השורר בארה"ב, אלא נסמכות במידה רבה על החשיפה שנעשתה על ידי אדוארד סנודן, עובד לשעבר של NSA, שגילה לעיתונות את שיטותיה של הסוכנות הנ"ל.

משכך, קבע בית הדין שעל רשות המידע האירית לבדוק מהו המצב בפועל בארה"ב ביחס לשמירה על המידע, והאם הוא תואם הלכה למעשה את דרישות הדירקטיבות, ולא להסתמך על קיומו של הסדר Safe Harbour.

להחלטת בית הדין יש השפעה גם בישראל  – הסדרי ניהול מאגרי המידע בישראל באופן מכוון הולכים בעקבות הדירקטיבות האירופאיות. כך בין היתר תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה) אוסרות על העברה של מידע ממאגר מידע בישראל אל מחוץ לגבולותיה אלא אם הדין הפנימי של המדינה הנעברת מבטיח רמת הגנה על המידע שאינה פחותה מהדין הישראלי, או אם מתקיים אחד מהחריגים המנויים בתקנות.

אחד החריגים הוא שמאגר המידע במדינה הזרה מקבל מידע ממדינה אירופאית על סמך תנאי הקבלה האירופאים.

לנוכח פסק הדין הודיעה הרשות למשפט, טכנולוגיה ומידע במשרד המשפטים בישראל, (רמו"ט),  שלא ניתן להעביר מידע ממאגר מידע ישראלי לארה"ב בהסתמך על החריג הנדון. על כן, לצורך העברת מידע כזה יש לאתר חריג אחר. הרשות נמנעה לציין, האם לדעתה רמת ההגנה בארה"ב עומדת בסטנדרט הישראלי.

על החריגים המאפשרים העברה נמנים בין היתר: הסכמת האדם נשוא המידע להעברה, שליטת בעל המאגר הישראלי בבעל המאגר הזר, הסכמה של בעל המאגר הזר לעמוד בכללי שמירת המידע הישראליים.

אין ספק, כי אם מוסדות האיחוד יקבעו בצורה נחרצת יותר שאין להעביר מידע לארה"ב, יהא לדבר השפעה משמעותית ביותר על תאגידים הפועלים בישראל, בוודאי ככל שמידע של אירופאים מועבר לישראל ומשם לארה"ב.