בחודש יולי 2020 ביטל בית המשפט האירופי לצדק את ההסדר המיוחד שהיה קיים בין האיחוד האירופי, שוויץ וארה"ב הידוע במונח Privacy Shield ('מגן פרטיות'), שלפיו חברות שנרשמו למנגנון זה נחשבו כמי שמקיימות את ההוראות להגנת פרטיות החלות באיחוד.
לפי הרגולציה החלה באיחוד האירופי (GDPR), נאסר על העברת מידע אישי של אזרחי האיחוד האירופי מחוץ לגבולות האיחוד, אלא אם המידע מועבר למדינה שהוכרה ככזאת המעניקה רמה נאותה של הגנה על מידע אישי, או שהעברת המידע הוסדרה בהסכם שאין לסטות ממנו.
אחד הזרזים להתפתחות ההגנות האירופאיות הנוקשות להגנת פרטיות היו הגילויים של חושף הסודות אדוארד סנודן, שלפיהם לסוכנות לבטחון לאומי (NSA) האמריקאית יש יכולות מעקב כמעט בלתי מוגבלות וענקיות האינטרנט (פייסבוק, גוגל ודומיהן) חייבות להיענות לדרישות שלה לגילוי מידע. זו, אגב, פעם שנייה שבית המשפט האירופי נדרש לדון בסוגייה, כאשר לפני מספר שנים ביטל הסדר אחר אשר היה בתוקף.
למרות פסק הדין, הממשל האמריקאי מצידו הודיע שכל חברה שנרשמה למגן הפרטיות (הרישום וולונטרי) חייבת עדיין להמשיך לנהוג לפיו, וכן שהממשל ימשיך את הדיונים עם הרשויות באירופה על מנת להגיע להסדר מוסכם.
בארץ, הכללים אשר חלו עד לפסק הדין האמור אפשרו לחברות לייצא מידע אישי מחוץ לישראל לכל מדינה שהאיחוד התיר לייצא. בספטמבר 2020, חודשיים לאחר פסק הדין האמור, הרשות להגנת הפרטיות בארץ יצאה עם גילוי דעת בנוגע לפסק הדין האירופי האמור, וקבעה שחברות ישראליות לא יוכלו להסתמך עוד על ההסדר האירופי כדי להעביר מידע אישי של ישראלים למאגרי מידע בארה"ב. יחד עם זאת קבעה הרשות, שאין מניעה להמשיך ולהעביר מידע מישראל לארה"ב בהסתמך על שאר החריגים המנויים בתקנות.
החריגים האחרים בתקנות המאפשרים העברת מידע פרטי לארה"ב מבוססים על "הסכמה מראש" - או "הבטחה" מצד התאגיד שאליו יועבר המידע לדאוג להגנה על הפרטיות לאחר ההעברה, או שהמידע מועבר למי שהתחייב בהסכם, לקיים את התנאים לאחזקת מידע ולשימוש בו החלים על מאגר מידע בישראל.
לדעתי, לא ניתן לסמוך על אף אחד מן החריגים הללו כדי להגן על תושבי ישראל. "הסכמה מראש", כפי שקובע החריג הראשון, יכולה רק לעורר גיחוך קל אצל כל אדם אשר נרשם אי פעם לרשת חברתית או לאפליקציה כלשהי, כאשר מיד עם ההרשמה הוא עושה קליק מהיר על ההסכמה לתנאי השימוש מבלי לקרוא אותם ולו לשנייה מיותרת.
לגבי ה"הבטחה" של התאגיד שאליו יועבר המידע, כעת אנו יודעים שהבטחה זו שווה כקליפת השום, לאור חוסר היכולת של אוגרי המידע בארה"ב לשמור על פרטיות המשתמשים. ואילו החריג השלישי - התחייבות לקיים את התנאים החלים בישראל על אחזקת מאגר מידע - לא יהיה תקף ליותר זמן מאשר קבלת המייל הראשון על ידי ענק הטכנולוגיה מן ה-NSA שידרוש לקבל לידיו את המידע הפרטי של המשתמש.
ובכן, איזה תושב ישראלי מעוניין שפרטיו האישיים, היסטוריית הגלישה שלו, הפייסבוק או הציוצים שלו בטוויטר יהיו תחת עינה הבוחנת של הסוכנות לביטחון לאומי? לדעתי, הרשות בארץ איננה יכולה להסתפק בגילוי הדעת ה'פרווה' אשר יצאה תחת ידה, אלא היא חייבת להיות הרבה יותר אקטיבית בהבטחת המידע של ישראליים המועבר לחו"ל, ולבחון ליישם מנגנונים אפקטיביים כגון אלה הנידונים באירופה: אימוץ הסכם סטנדרטי עם תוספות מתאימות אשר יחול על חברות ישראליות; הצפנה של המידע באופן שיאפשר שימוש בו רק לצרכים שאליהם הוא נועד ונמסר, או במצב קיצון - התחייבות להשאיר את המידע בחוות שרתים ובענן, שהמיקום שלהם יהיה בישראל על אף שדבר זה צפוי להכביד במיוחד על חברות קטנות, למרות שאלו יוכלו אולי לחלוק בעליות עם ענקיות מידע כגון אמדוקס, צ'קפוינט ואחרות.
עו"ד מאיר פוקס הוא שותף במשרד גדעון קורן ושות', והינו בעל רשיון לעריכת דין בישראל ובמדינת ניו יורק.