חברות הטכנולוגיה הישראליות נדרשות בישראל להסתגל לדרישות הנרחבות, לסמכויות האכיפה ולקנסות הכבדים של תיקון 13 לחוק הגנת הפרטיות. אלא שהזירה הבינלאומית מציבה אתגרים מורכבים לא פחות.
האכיפה באיחוד האירופי של חובות הדיווח הנרחבות הן לפי חוק חוסן הסייבר (Cyber Resilience Act). על פי החוק, כל יצרן של מוצרים בעלי רכיבים דיגיטליים המשווקים באיחוד חייב לדווח לרשויות הסייבר על אירועי אבטחה באופן ראשוני בתוך 24 שעות מרגע שנודע להם על חולשת אבטחה, ללא קשר למקום מושבה של החברה.
● החברה הישראלית שזינקה לשיא של עשור וזו שאיבדה גובה
● התכתבויות של יועצו של רה"מ דלפו לרשת: איך אפשר היה להימנע מכך?
● "אולי הגניבה הגדולה בהיסטוריה": אתרי החדשות מאבדים גולשים ל-AI, וענקיות הפרסום הדיגיטלי בלחץ
המשמעות היא שגם חברות ישראליות שנופלות לקטגוריה הזו יהיו חייבות בכך. תוך 72 שעות על החברה לשלוח הודעה מפורטת יותר לרשויות והדוח הסופי נדרש בתוך שבועיים מרגע שחרור התיקון עבור חולשות מנוצלות או חודש במקרה של תקרית חמורה. החובות חלות על יצרנים של מוצרים עם רכיבים דיגיטליים המשווקים בשוק האיחוד האירופי. מוצרים אלה כוללים, בין היתר, אפליקציות מובייל, אינטרנט, רכיבי חומרה ומוצרים המשלבים חומרה ותוכנה. לדוגמה, החוק נועד לחול על האפליקציה הזמינה להורדה בשוק האירופי ומשמשת צרכנים מהאיחוד האירופי.
החברות חייבות לדווח על האירועים האלו דרך פלטפורמה מרכזית של הרגולטור ובמידת הצורך, מחויבים לעדכן גם את המשתמשים ללא דיחוי. אי עמידה בכללים אלה נחשבת להפרה חמורה של החוק ועלולה לגרור קנסות כבדים של עד 15 מיליון אירו או 2.5% מהמחזור השנתי העולמי של החברה, לפי הגבוה מבין השניים. זה השלב הראשון לקראת כניסתם לתוקף של יתר סעיפי החוק בדצמבר 2027, שיחייבו מיפוי מתמיד של שרשרת האסף בתוכנה ועוד.
"נדבך נוסף בגל החקיקה"
עו"ד דותן המר, שותף וראש תחום הפרטיות הבינלאומי בקבוצת הסייבר, הפרטיות וזכויות היוצרים במשרד פרל כהן מסביר לגלובס כי המטרה היא "לחזק את הגנת הסייבר של מוצרים דיגיטליים המשווקים באיחוד האירופי, לאפשר לרשויות ולמשתמשים לקבל התרעה מהירה על סיכונים ממשיים ולסייע בצמצום הנזק הנגרם מחולשות ותקריות אבטחה".
"בעוד שחובות הדיווח המוכרות ברבים עוסקות בתקריות אבטחה של מידע אישי, כדוגמת דלף מידע אישי כתוצאה מפריצה, החובות לפי חוק חוסן הסייבר לא נסובות על קיומו של מידע אישי. הן חלות מעצם קיומה של חולשה מנוצלת או תקרית אבטחה חמורה במוצר - ללא תלות במידע שמעובד מאחורי הקלעים", מסביר עו"ד המר.
הוא מוסיף גם כי "כדי להיערך מראש, מומלץ למפות את המוצרים הרלוונטיים לשוק האירופי, לעדכן נהלים של ניהול חולשות ותגובה לתקריות, לקבוע מנגנון מהיר להערכת דיווחים המתקבלים מלקוחות, מחוקרי אבטחה ומצדדים שלישיים ולהגדיר צוות תגובה רב־תחומי הכולל אבטחת מידע, מוצר, ייעוץ משפטי ותקשורת".
עו"ד עידן צור, ראש מחלקת AI ודאטה בינלאומית במשרד דן חי ושות', מסביר כי מדובר בחלק ממגמה רחבה בהרבה של בריסל: "זהו נדבך נוסף בגל החקיקה האירופי של השנים האחרונות, מה־GDPR ועד ה־DSA וה־DMA, כשהמאפיין המרכזי כאן הוא תחולה אקס-טריטוריאלית מובהקת ורחבה במיוחד, אם חברה ישראלית יצרה מוצר תוכנה או חומרה והוא משווק באיחוד. אפילו אם מדובר בחיבור עקיף לרשת או אפליקציה שמשרתת משתמשים מקומיים, היא כפופה לכללים".
הוא מוסיף כי חובות הדיווח שנכנסו כעת לתוקף הן רק יריית הפתיחה לקראת סוף 2027. "החוק מטיל חובות משמעותיות לאורך כל מחזור החיים של המוצר - החל מהערכת סיכוני סייבר והטמעת עקרונות של Security by Design כבר בשלבי התכנון והפיתוח ועד לניהול חולשות מתמשך", מסביר עו"ד צור. "עבור תעשיית התוכנה, הסייבר, ה־IoT והחומרה הישראלית, זו רגולציה שצריך להתחיל להיערך אליה כבר היום".
אנחת רווחה בקליפורניה
בצד השני של האוקיינוס, קליפורניה נחשבת לאחד היעדים המרכזיים של ההייטק הישראלי ומאות חברות שהוקמו על ידי יזמים כחול לבן פועלות בה כיום. לפי נתוני Crunchbase, רשומות בארה"ב כ־2,200 חברות בעלות מייסדים ישראליים - ובחודשים האחרונים רבות מהן מצאו את עצמן תחת מתקפה משפטית.
במוקד הסערה עמד חוק ה־CIPA, חוק הפגיעה בפרטיות של קליפורניה. זו חקיקה ותיקה שנועדה במקור למנוע האזנות סתר ויירוט תקשורת, אך הפכה בשנים האחרונות לכלי תקיפה סדרתי בידי תובעים פרטיים. אלו ניצלו פרצות בחוק כדי להגיש תביעות המוניות נגד אתרי אינטרנט על עצם השימוש בטכנולוגיות שגרתיות לחלוטין: פיקסלים למעקב, כלי אנליטיקה, מערכות שיווק ואוטומציה.
בסוכנות הידיעות רויטרס דווח כי לפי ההערכות, יותר מ־4,700 תביעות הוגשו מאז שנת 2022, שני שליש מתוכן כללו את העילה שאפשרה עד כה את זכות התביעה של אזרחים ועורכי דין פרטיים. ההערכה הזו לא כוללת את אלפי מכתבי ההתראה שנשלחו לחברות בשנים האחרונות, שלפי מומחים שעוסקים בדבר, איימו להסב נזק כלכלי כבד - גם לחברות שהקפידו על ליווי משפטי צמוד.
אלעד לוי, מנכ"ל ובעלים של Creative Geek, משרד ייעוץ בתחום המרקטינג דאטה המעניק שירותים לחברות וסטארט־אפים בישראל ובארה"ב, תיאר לגלובס את המלכוד: "בחודשים האחרונים מגיעות אלינו יותר ויותר חברות ישראליות שפועלות בארה"ב בבקשת עזרה לאחר שקיבלו את אותם מכתבי התראה. חשוב לומר שרובן, ככולן, הן חברות מסודרות שביצעו את תהליך הקמת אתר החברה ומדיניות הפרטיות בצורה יסודית ומקצועית ובליווי אנשי מקצוע".
לדבריו: "דרך הפעולה המרכזית שבה נקטו חברות שקיבלו מכתב התראה הייתה להשבית את כלי המעקב ומערכות השיווק באופן גורף. מצד אחד, זה אמנם יכול לצמצם את החשיפה המשפטית, אבל מבחינה עסקית, החברה מתחילה לפעול 'על עיוור' בלי המידע שעל בסיסו היא יודעת למי לפרסם, מה עובד, איזה קהל מגיב ואיך לייעל את תקציב השיווק. עבור חברות שמשקיעות מאות אלפי ואף מיליוני דולרים בחודש בשיווק דיגיטלי, זו פגיעה משמעותית ביותר".
אלא שלאחרונה נשמעה אנחת רווחה משמעותית כשבקליפורניה קידמו מהלך לבלימת התופעה. שני בתי הנבחרים במדינה אישרו תיקון חקיקה שמבטל את זכות התביעה של אזרחים ועורכי דין פרטיים ומותיר את סמכות האכיפה בידי התובע הכללי בלבד - צעד שצפוי לחול רטרואקטיבית שנתיים אחורה. מושל קליפורניה גאווין ניוסום חתם על החקיקה והיא תיכנס לתוקף ב־1 בינואר 2027.
למרות הבשורה סביב חוק ה־CIPA, מומחים מבהירים כי לא מדובר בסוף פסוק בכל הנוגע לרגולציית הפרטיות. חוק ה־CCPA (חוק הגנת הפרטיות של צרכני קליפורניה) נותר בתוקף מלא וממשיך להוות בסיס להליכים משפטיים ומחייב את החברות להמשיך להקפיד על ניהול דאטה שקוף ותקין.
