רצינו להביא לתשומת ליבכם את הנחיית הרשות להגנת הפרטיות (מס' 2/2024) שפורסמה לאחרונה, בנוגע להעברת בעלות במאגרי מידע לפי חוק הגנת הפרטיות. בעבר הייתה זו טיוטת הנחייה ואילו עתה הפכה להנחייה מחייבת.
ההנחייה מבהירה את פרשנות החוק בנוגע להעברת בעלות במאגרי מידע, בעיקר במסגרת עסקאות מיזוגים ורכישות למכירת החברה או נכסיה, אך גם בקשר להעברת מאגר מידע, כולו או חלק ניכר ממנו לבעלים חדש גם במסגרת כינוס נכסים.
להלן סקירת עיקרי ההנחייה:
הנחת המוצא העומדת בבסיס ההנחייה היא כי בעל השליטה במאגר הוא האחראי על כל ההחלטות בנוגע לאיסוף, עיבוד ושימוש במידע, ועליו להגן על פרטיות נושאי המידע.
שינוי בזהות בעל מאגר המידע – למשל כתוצאה מעסקת מיזוג, מכירה החברה, מכירת הפעילות או כינוס נכסים – עשוי להשפיע משמעותית על זכויות נושאי המידע, במיוחד אם זהותו של בעל המאגר היוותה שיקול מרכזי בהסכמתם למסירת המידע.
בנוסף, יש להניח כי מטרת השימוש במידע אינה יכולה להשתנות כתוצאה מהעברת הבעלות ללא הסכמה מפורשת של נושאי המידע.
בעל המאגר המקבל – הקונה – רשאי להשתמש במידע אך ורק למטרה המקורית לשמה נמסר בכפוף לכל ההתחייבויות שנתן המוכר – בעל המאגר המעביר.
לפיכך, נקבעו ההוראות הבאות:
- יידוע. בכל העברת בעלות במאגר יש ליידע על-כך את נושאי המידע בהתאם להוראות סעיף 11 לחוק הגנת הפרטיות. יש לעשות זאת בדרך המקובלת בה מתקשר בעל המאגר עם נושאי המידע, למשל באמצעות דוא"ל.
האחריות ליידוע מוטלת על שני הצדדים במשותף (המוכר או הקונה) ודי בכך שאחד מהם יעניק את היידוע כדי למלא את החובה של שניהם.
- הסכמה. במקרים הבאים תידרש הסכמה של נושאי המידע במתכונת opt in כתנאי להעברת המידע:
- במקרים בהם בעקבות העברת הבעלות צפויים שינויים במטרות המאגר, בשימושים או באמצעי האיסוף; או
- כאשר מאפייני הקונה (בעל המאגר המקבל) שונים מאלה של המוכר (בעל המאגר המקורי) באופן העלול להשפיע במידה ניכרת על זכויות נושאי המידע או בחריגה משמעותית מהציפיות שלהם (גם אם אין שינוי במטרות המאגר). למשל במקרה של יחסים מיוחדים כמו עו"ד-לקוח או רופא-מטופל. במקרה כאמור על המוכר חלה חובה לשקול מחיקת המידע של אלה שלא נתנו את הסכמתם להעברתו.
קבלת הסכמה, ככל שכזו נדרשת, תהיה מבוססת על קיום חובת היידוע באופן שיתאים לנסיבות העסקה.
- תזמון. ככל שנדרשת קבלת הסכמה, הרי שעל המוכר (מעביר המאגר) מוטלת האחריות לוודא כי הסכמה שכזו תינתן מבעוד מועד, למשל אם הוא יודע או היה עליו לדעת כי העברת המאגר תגרום לשינוי בשימושים במידע.
- במאגרי החייבים ברישום. יש לעדכן את רשם מאגרי המידע בנוגע לשינויים בזהות בעל המאגר, מטרות המאגר ומאפייניו, ככל שהמאגר כפוף לחובת רישום.
חשוב להכיר כי בנוגע לנסיבות המתוארות בסעיף 2(ב) בדבר זהות בעל המאגר – עמדת רשות הגנת הפרטיות אותגרה בהחלטת בית המשפט בפרשת פסגות (ת"א 53776-02-23 פסגות ניירות ערך בע"מ נ' רשות ניירות ערך), וזאת בנוגע לאופן שבו יש לפרש את אותם "יחסים מיוחדים" וכן בנוגע לאופן שבו יש לקבל את הסכמת נושא המידע – ולפיכך יש להכיר כי מדובר בנושא שייבחן על בסיס נסיבותיו הספציפיות – כל מקרה לגופו.
לסיכום:
- בעסקאות הכוללות העברת מאגרי מידע, מומלץ לזהות מראש את המאפיינים של מאגרי המידע וסוגי נושאי המידע ולנתח את ההשלכות הצפויות עליהם כתוצאה מהשלמת המיזוג. בהתאם, יש לקבוע מראש מתווה מוסכם בין הצדדים בנוגע לקיום חובת היידוע ואופן קבלת ההסכמה מנושאי המידע.
- יש להבחין בין מצבים בהם מוסרים מידע מתוך המאגר כחלק ממימוש מטרותיו לעומת מקרים של העברת המאגר כולו או חלק ניכר ממנו לארגון אחר או לבעלים חדש הנפרד מהבעלים המקורי.
- כאשר מדובר בעסקה הטעונה אישור בימ"ש יש לקבוע הסדר שכזה ביתר שאת ובנקיטת אמצעים מחמירים יותר, ולקחת בחשבון את התקדימים שנידונו בבתי המשפט בנסיבות דומות.
- מומלץ לכלול את האפשרות של העברת בעלות במאגר בלא שינוי מטרותיו כבר במעמד קבלת ההסכמה, או למשל במדיניות הפרטיות.