לא כל חברה ישראלית צריכה פרויקט GDPR. לפני ששואלים "האם אנחנו עומדים ב־GDPR", צריך לענות על שתי שאלות קודמות: האם הרגולציה האירופית בכלל חלה עליכם, ואם כן, באיזה מסלול. התשובה קובעת מה נדרש מכם בפועל, ולא פחות חשוב, מה לא נדרש.
מתי ה־GDPR מגיע לחברה ישראלית
ה־GDPR, הרגולציה האירופית להגנת מידע, חל גם על חברה שאין לה מוסד (establishment) באיחוד האירופי, וזה קורה בשני המסלולים שקובע סעיף 3(2) שלו. הראשון הוא כשהחברה מציעה מוצרים או שירותים לאנשים שנמצאים באיחוד. השני הוא כשהיא עוקבת אחרי ההתנהגות שלהם בתוך האיחוד.
בפועל, חברות ישראליות נמצאות באחד משלושה מצבים, והם שונים מאוד זה מזה. חברה שכל הקשר שלה לאירופה הוא כמה נרשמים בודדים שהגיעו מעצמם לאתר באנגלית נמצאת במצב אחד. חברה שמריצה קמפיינים שמכוונים לקהל באיחוד, עם מחירון אירופי, נמצאת במצב אחר. וספק B2B שמעבד מידע אישי מהאיחוד עבור לקוח אירופי נמצא במצב שלישי. החובות של הלקוח מגיעות אליו דרך החוזה, בין שה־GDPR חל עליו ישירות ובין שלא.
ההמלצה המעשית: החליטו איזה מהמצבים האלה מתאר אתכם, כתבו את ההנמקה, והפסיקו לענות על שאלונים כאילו אתם שלושתם.
העברת מידע מאירופה לישראל: הנאותות בתוקף
החלטת הנאותות (Adequacy) של הנציבות האירופית לגבי ישראל, החלטה 2011/61/EU מ־31 בינואר 2011, בתוקף. ב־15 בינואר 2024 פרסמה הנציבות האירופית את דוח הבחינה הראשון שלה, וקבעה בו שישראל ממשיכה להעניק רמת הגנה נאותה למידע אישי שמועבר אליה מהאיחוד. ישראל מופיעה גם ברשימת הנאותות המעודכנת של הנציבות האירופית.
המשמעות היא שכדי להעביר מידע אישי מהאיחוד לישראל לא צריך תניות חוזיות תקניות (SCCs) או מנגנון העברה אחר. מבחינה מסחרית זו נקודת פתיחה טובה מול לקוח אירופי, כי היא חוסכת בעסקה משא ומתן על התניות האלה ובדיקת השפעת העברה לגבי החלק הישראלי. לכן כדאי לומר את זה במפורש בתהליך המכירה, בתנאי שמה שאומרים מדויק.
שתי הסתייגויות שצריך לומר יחד עם זה
- החלטת הנאותות לא חלה על העברות בתחום אכיפת החוק. ההחלטה ניתנה לפי ההנחיה האירופית שקדמה ל־GDPR, והיא עוסקת בעיבוד אוטומטי. לגבי ישראל אין החלטת נאותות נפרדת לפי הנחיה (EU) 2016/680, שעוסקת בתחום אכיפת החוק.
- החלטת נאותות כפופה לבחינה תקופתית של הנציבות האירופית, אחת לארבע שנים (סעיף 97 ל־GDPR), והבחינה הבאה צפויה בסביבות ינואר 2028. לכן, בהתקשרות עם לקוח אירופי, נכון להחזיק גם תניות חוזיות תקניות כגיבוי, ולא להסתמך רק על הנאותות.
מה הנאותות לא פותרת
הנאותות סוגרת את שאלת ההעברה, אבל רק אותה. חובות המעבד לפי סעיף 28 ל־GDPR עדיין חלות, ולכן עדיין צריך נספח עיבוד מידע (DPA) שעומד בהן. עדיין צריך גם רישום של פעולות העיבוד.
גם השאלה אם צריך למנות ממונה הגנת מידע (DPO) לפי סעיף 37 ל־GDPR נשארת פתוחה. היא נבחנת בנפרד מהשאלה אם סעיף 17ב1 לחוק הגנת הפרטיות הישראלי מחייב אתכם למנות ממונה על הגנת הפרטיות, והתשובות יכולות להיות שונות. מינוי לפי אחד מהם לא מקיים אוטומטית את השני. ואם ה־GDPR חל עליכם באחד משני המסלולים, צריך לבדוק גם את החובה למנות נציג באיחוד.
נציג באיחוד האירופי: מה זה, ומה זה לא
סעיף 27 ל־GDPR מחייב בעל שליטה או מעבד שאין להם מוסד באיחוד, וה־GDPR חל עליהם באחד משני המסלולים, למנות נציג בתוך האיחוד, אלא אם הם נכנסים לאחד החריגים שבסעיף. הנציג הזה אינו DPO, והוא גם לא בא במקומו.
מתי נדרשת עבודת GDPR
עבודה נדרשת כשה־GDPR חל עליכם באחד משני המסלולים, או כשלקוח אירופי מעביר אליכם בחוזה את החובות שלו. גם אז היא ממוקדת. היא מתחילה בחוות דעת מנומקת על התחולה, שאומרת איזה מסלול חל, אם בכלל, ולמה. אחר כך מיפוי עיבוד אחד, שמשמש גם למסמכים לפי הדין הישראלי וגם לרישום פעולות העיבוד לפי ה־GDPR. ולבסוף נספח עיבוד מידע דו־לשוני, עם חלק לדין הישראלי וחלק ל־GDPR, ומדיניות פרטיות שעומדת בשני המשטרים בלי לסתור את עצמה.
וחשוב לא פחות: כשאף מסלול לא חל, ואין לקוח אירופי שמעביר אליכם חובות, גם זו תשובה, והיא נמסרת בכתב באותה רמת פירוט. את הדין הישראלי ואת ה־GDPR צריך לבדוק יחד, בתיק אחד. אחרת נוצרות שתי מפות מידע שלא תואמות זו את זו, וזה בדיוק מה שלקוח או משקיע מוצאים כשהם בודקים אתכם לפני עסקה.
לעמוד השירות: GDPR לחברות ישראליות
מקורות רשמיים
- הנציבות האירופית — החלטות נאותות (באנגלית)
- הנציבות האירופית — דוח הבחינה הראשון של החלטות הנאותות, COM(2024) 7 final (15 בינואר 2024), EUR-Lex (באנגלית)
אין באמור ייעוץ משפטי
המאמר הזה, כמו שאר התוכן באתר, הוא מידע כללי בלבד. הוא לא ייעוץ משפטי ולא חוות דעת משפטית, והוא לא מתייחס לנסיבות של ארגון מסוים. התשובה לשאלה שלכם תלויה בעובדות של המקרה, ולכן אל תסתמכו על המאמר בלי ייעוץ שמתייחס אליהן. קריאת המאמר לא יוצרת יחסי עורך דין ולקוח.
המאמר עוסק בדין הישראלי ובמבנה הכללי של הרגולציה האירופית. הוא לא עוסק בדין הפנימי של אף מדינה באיחוד האירופי. הדין משתנה, ומה שהיה נכון ביום הפרסום עשוי שלא להיות נכון היום. המידע נכון ליום 27 בספטמבר 2026.