מהי דליפת מידע אישי ומה עושים כשהמידע דלף?

בעידן הדיגיטלי, מידע אישי הוא אחד הנכסים היקרים ביותר. שמנו, תעודת הזהות שלנו, כתובתנו, מספר הטלפון, מצבנו הבריאותי, הרגלי הצריכה שלנו — כל אלה נאספים, מאוחסנים ומועברים על ידי גורמים רבים. כאשר מידע זה דולף — נחשף לגורמים בלתי מורשים — הנזקים יכולים להיות חמורים: ספאם, הונאות, גניבת זהות, פגיעה בפרטיות, סחיטה, ואף נזק פיזי. המחוקק הישראלי הכיר בחומרה זו והעמיד הגנות משפטיות מפני דליפת מידע.

מהי דליפת מידע אישי?

דליפת מידע אישי היא חשיפה, מסירה, העברה או גישה למידע אישי ללא הסכמת האדם או שלא בהתאם לחוק. דליפה יכולה לקרות בדרכים רבות: פריצה למאגר מידע; שליחת מידע לנמען שלא פנה אליו; אבטחה לקויה המאפשרת גישה למידע; העברת מידע לצד שלישי ללא הסכמה; עובד שמעביר מידע מהמאגר; או אירוע סייבר. לא כל חשיפת מידע היא דליפה — יש מצבים שבהם החוק מתיר חשיפה (למשל, לרשויות אכיפה).

הבסיס המשפטי

חוק הגנת הפרטיות, התשמ״א-1981, מגדיר פגיעה בפרטיות כאשר מידע אישי נחשף, מועבר או משמש שלא כדין. החוק אוסר על שימוש במידע אישי שלא למטרה שלשמה נמסר. חוק הגנת הפרטיות (מאגרי מידע), התשמ״א-1981, מחמיר עם מחזיקי מאגרי מידע: סעיף 17 קובע חובת אבטחה, וסעיף 17א קובע חובת יידוע הרשות ובעל המידע על דליפה חמורה. הרשות להגנת הפרטיות ובית המשפט מפרשים את החובות באופן מחמיר. למידע על הגדרת דליפת מידע, ראו השירות שלנו בנושא דליפת מידע אישי.

חובות מחזיק המאגר

מחזיק מאגר מידע חב חובות משפטיות חמורות: (1) חובת אבטחה — לנקוט אמצעי אבטחה סבירים למניעת דליפה; (2) חובת יידוע — ליידע את הרשות ואת בעל המידע על דליפה חמורה; (3) חובת סודיות — לא לחשוף מידע ללא הסכמה; (4) חובת מטרה — להשתמש במידע רק למטרה שלשמה נמסר; (5) חובת רישום — לרשום מאגרי מידע ברשות. הפרת חובות אלה מקימה עילת תביעה. למידע על תביעת חברה על דליפת מידע, ראו השירות שלנו בנושא תביעה נגד חברה על דליפת מידע.

מתי יש עילת תביעה?

עילת תביעה קמה כאשר: מידע אישי שלכם נחשף ללא הסכמה; מאגר מידע שמכיל מידע אישי עליכם נפרץ או לא אובטח כראוי; מידע שנמסר למטרה אחת שימש למטרה אחרת; מידע הועבר לצד שלישי ללא הסכמה; או שלא קיבלתם יידוע על דליפה. בכל אלה — ניתן לתבוע פיצויים. גם כאשר אינכם יודעים בוודאות מי הדליף, ניתן לתבוע את מחזיק המאגר אם המידע הגיע ממנו. למידע על פיצוי ללא הוכחת נזק, ראו השירות שלנו בנושא פיצוי ללא הוכחת נזק בפרטיות.

מה צריך להוכיח?

יש להוכיח: (1) שמידע אישי שלכם נחשף; (2) שהחשיפה נעשתה ללא הסכמה או שלא כדין; (3) את זהות מחזיק המאגר (הגורם שאצלו היה המידע). נטל ההוכחה מוקל כאשר מדובר במאגר מידע — אם המידע הגיע ממאגר מסוים, ניתן להפנות למחזיק המאגר. ראיות: הודעות על הדליפה (מהחברה או מהרשות), תיעוד המידע שנחשף, ראיות לנזקים (הונאות, ספאם, פגיעה בפרטיות). למידע על מאגרי מידע, ראו השירות שלנו בנושא מאגר מידע ופרטיות.

איזה פיצוי אפשר לקבל?

פיצוי ללא הוכחת נזק עד כ-75,000 ש"ח (50,000 ש"ח בחוק + הצמדה מ-2007) (סעיף 29א לחוק הגנת הפרטיות). במקרים של דליפת מידע רגיש (מידע רפואי, מידע פיננסי) — הפיצוי עשוי להיות גבוה יותר. בנוסף, ניתן לתבוע פיצויים בגין נזקים מוכחים: הוצאות, אובדן הכנסה, עגמת נפש, וכן נזקים שנגרמו כתוצאה מהדליפה (הונאה, גניבת זהות). במקרים חמורים — ניתן לתבוע פיצויים עונשיים. למידע על מידע רגיש, ראו השירות שלנו בנושא מידע רגיש בפרטיות.

מה עושים כשהמידע דלף?

הדבר הראשון — לתעד את הדליפה: מה נחשף, מתי, ולמי. אם קיבלתם הודעה על דליפה מחברה — שמרו אותה. אם גיליתם את הדליפה בעצמכם — תעדו (צילומי מסך, הודעות). לאחר מכן — לפנות לעורך דין. במקרים חמורים (מידע רפואי, סחיטה) — יש לפנות גם למשטרה. ניתן גם להגיש תלונה לרשות להגנת הפרטיות. למידע על חברות שהפרו פרטיות, ראו השירות שלנו בנושא פגיעה בפרטיות על ידי חברה.

דוגמאות מעשיות

חברה מסחרית שלחה רשימת לקוחות (כולל מספרי טלפון וכתובות) לחברה אחרת ללא הסכמה — דליפה. מאגר מידע של קופת חולים נפרץ ומידע רפואי נחשף — דליפה חמורה. עובד העביר מידע לקוחות למעסיקו החדש — דליפה והפרת פרטיות. חברה לא אבטחה את מאגר המידע שלה והוא נפרץ — הפרת חובת אבטחה. למידע על פרסום פרטים אישיים, ראו השירות שלנו בנושא פרסום פרטים אישיים ללא הרשאה.