שירותים
GDPR לחברות ישראליות
ה‑GDPR יכול לחול על חברה ישראלית גם בלי משרד באירופה. אנו בודקים אם הוא חל עליכם, ומטפלים בדין הישראלי ובדין האירופי באותו תיק: מיפוי אחד, נספח עיבוד אחד ומדיניות פרטיות אחת, שעומדים בשניהם.
ארבע שאלות שקובעות אם הדין האירופי נוגע לכם
הדין האירופי נכנס לעסק ישראלי דרך אחד מהמצבים האלה.
| # | השאלה | למה היא מכריעה |
|---|---|---|
| 1 | מציעים מוצרים או שירותים לאנשים באיחוד האירופי? | אם כן, ה‑GDPR עשוי לחול עליכם, גם בלי משרד באירופה. |
| 2 | מנטרים את התנהגותם שם — אנליטיקה, פיקסלים של פרסום, פרסום חוזר? | גם ניטור התנהגות של אנשים באיחוד עשוי להחיל עליכם את ה‑GDPR. |
| 3 | מעבדים מידע עבור לקוח אירופי? | הלקוח ידרוש נספח עיבוד מידע, מיפוי ותשובות לשאלון, ותעלה השאלה אם נדרש לכם נציג באיחוד. |
| 4 | הגיע אליכם מידע אישי מאירופה? | תקנות ישראליות מוסיפות עליו חובות של מחיקה, דיוק והודעה, והן חלות על כל מאגר שהמידע מעורבב בו. |
תוצרים
כל תוצר נכתב כך שיעמוד בשני הדינים בבת אחת.
| תוצר | מה זה כולל |
|---|---|
| מפת עיבוד | מפה אחת, שמזינה גם את מסמך הגדרות המאגר וגם את רישום פעולות העיבוד לפי ה‑GDPR. |
| נספח עיבוד מידע | נספח עיבוד מידע דו‑לשוני, עם מודול ישראלי ומודול GDPR. |
| מדיניות פרטיות | מדיניות פרטיות חיצונית שעומדת בשני המשטרים בלי לסתור את עצמה. |
| חוות דעת תחולה | האם ה‑GDPR חל עליכם, והאם נדרש לכם נציג באיחוד. |
| תשובות לשאלונים | תשובות סטנדרטיות לשאלות החוזרות בשאלוני האבטחה והרכש של לקוחות. |
| מידע מאירופה | בדיקת המידע שהגיע אליכם מאירופה: החובות הנוספות שהדין הישראלי מטיל עליו, וההחלטה אם להחזיק אותו בנפרד. |
| תהליכים משותפים | דיווח על אירוע, זכויות נושאי מידע והשאלה אם למנות ממונה — לכל אחד מהם תהליך אחד שעונה על הדרישות השונות של שני הדינים. |
איך זה מתנהל
העבודה מתנהלת בחמישה שלבים, וההיקף נקבע בכתב לפני שמתחילים.
- שיחת התאמה
- בירור ראשוני של הצורך, היקף העבודה וסדר העדיפויות.
- מכתב היקף
- תוצרים, לוח זמנים ותנאי ההתקשרות, בכתב, לפני תחילת העבודה.
- איסוף
- שאלון ומסמכים, ולאחריהם שתיים עד שלוש שיחות עם הגורמים הרלוונטיים אצלכם.
- מסירה
- התוצרים, ולאחריהם ישיבת מסירה על הפערים ועל סדר הטיפול בהם.
- המשך, אם תרצו
- ליווי שוטף או מילוי תפקיד הממונה.
- 1. שיחת התאמה
- 2. מכתב היקף
- 3. איסוף
- 4. מסירה
- 5. המשך
שאלות שנשאלות
האם ה־GDPR חל על חברה ישראלית בלי משרד באיחוד?
הוא יכול לחול: כשהחברה מציעה מוצרים או שירותים לאנשים באיחוד, או מנטרת את התנהגותם שם. מכירה לאירופה, או עיבוד מידע של תושבי האיחוד עבור לקוח אירופי, הם בדרך כלל מה שמכניס — לא מיקום השרתים.
איך מתאימים את הדרישות בישראל ובאירופה?
בתיק אחד. אנחנו ממפים את פעולות העיבוד שלכם פעם אחת, מול חוק הגנת הפרטיות ומול ה־GDPR, וכותבים מדיניות פרטיות אחת ונספח עיבוד מידע דו־לשוני אחד שעומדים בשניהם. נוהל האירוע נבנה לשני השעונים: באירוע אבטחה חמור, דיווח מיידי לרשות להגנת הפרטיות בישראל, ודיווח לרשות הפיקוח באיחוד בתוך 72 שעות ככל האפשר. במקום שבו שני המשטרים דורשים דברים שונים, המסמכים קובעים איזה כלל חל על כל פעילות, כך שהצוות שלכם עובד לפי סט נהלים אחד.
האם אנחנו צריכים נציג באיחוד?
בעל שליטה או מעבד שאינו באיחוד, שה־GDPR חל עליו משום שהוא מציע מוצרים או שירותים לאנשים באיחוד או מנטר את התנהגותם שם, חייב למנות נציג באיחוד — אלא אם העיבוד מזדמן, בסיכון נמוך ואינו כולל מידע מקטגוריות מיוחדות בהיקף גדול. השאלה אם החריג חל היא פרטנית.
האם החלטת הנאותות של ישראל אומרת שאנחנו מכוסים?
היא מאפשרת להעביר מידע אישי מהאיחוד לחברה שלכם בישראל בלי מנגנון העברה נפרד, כשהמידע מעובד באופן ממוחשב. היא אינה מחילה את ה־GDPR ואינה מסירה חובה שחלה.
האם מידע שהגיע מאירופה משנה את החובות שלנו בישראל?
כן. תקנות ישראליות משנת 2023 מוסיפות חובות על מידע אישי שהועבר מהאזור הכלכלי האירופי: מחיקה לבקשת האדם במקרים שנקבעו, מנגנון שמבטיח שלא נשמר מידע שאינו נחוץ עוד, דיוק המידע, והודעה לאדם בתוך חודש מקבלת המידע. אם המידע הזה נמצא באותו מאגר עם שאר המידע, החובות חלות על המאגר כולו — ולכן החזקתו בנפרד היא לעיתים הדרך הפשוטה.