בית המשפט האירופאי שמט את הקרקע תחת ההסדר להעברת מידע אישי מאירופה לארה"ב

בית המשפט האירופאי פסק השבוע כי הסדר ה-Privacy Shield המאפשר העברת מידע אישי שמקורו באירופה לחברות אמריקאיות אינו חוקי ודינו להיפסל. החלטה זו הינה בעלת השלכות מרחיקות-לכת עבור חברות רבות שהסתמכו על הסדר ה-Privacy Shield לצורך קבלת מידע אישי מאירופה.

הסדר ה-Privacy Shield שנכנס לתוקף ב-2016 (לאחר פסילת ההסדר שקדם לו, Safe Harbour) מאפשר לחברות אמריקאיות להחיל על עצמן את הסדרי הפרטיות המחמירים בהתאם לרגולציית ה-GDPR האירופאית.

בית המשפט האירופי קבע כי ה-Privacy Shield לא מעניק הגנה נאותה למידע אישי אירופאי מפני שאינו מגביל את השימוש הגורף של סוכנויות המודיעין ורשויות האכיפה בארה"ב במידע אישי שמקורו באירופה.

הרשויות האירופאיות דוחקות בממשל האמריקאי ליישם הסדר חקיקתי מקיף להגנת זכויות הפרטיות התואם את הגישה האירופאית (הצהרת הרשות האירופאית המפקחת בתחום הגנת המידע, ה-EDPS)

בית המשפט הותיר פתח למנגנון נוסף המשמש להעברת מידע אישי מאירופה למדינות מחוץ לאירופה המקיימות רמת הגנה פחותה על פרטיות המידע - מנגנון חוזה אחיד של נציבות האיחוד האירופי: SCC - Standard Contractual Clauses. ׁ

עם זאת, חברות שיבקשו להסתמך על מנגנון ה-SCC יידרשו לבצע בדיקה קפדנית של הסיכונים הכרוכים בהעברת מידע לארה"ב, לרבות הסיכונים הנובעים מחדירת רשויות הביטחון האמריקאיות למידע אישי.

גם חברות ישראליות רבות שהסתמכו על ההסדר האירופאי יידרשו לבצע "חישוב מסלול מחדש".

פסק הדין עלול להשליך בהמשך גם על חוקיות העברת מידע אישי מאירופה לישראל, וזאת לנוכח השימושים הנעשים ביכולות המעקב של גופי הביטחון הישראליים; אלה מתגלים בימים אלה במלוא עוצמתם בעקבות רתימת יכולות המעקב של השב"כ למטרה האזרחית של הדיפת מגיפת הקורונה.