תשובה מהירה: חוקי הפרטיות המחמירים ביותר בעולם, בהובלת ה-GDPR של האיחוד האירופי, ה-PIPL של סין וה-CCPA של קליפורניה, מטילים קנסות כספיים משמעותיים ומרחיבים את טווח השפעתם הרבה מעבר לגבולותיהם. כל ארגון שאוסף או מעבד נתונים אישיים של תושבים בתחומי שיפוט אלה חייב לציית, ללא קשר למיקומו הפיזי של הארגון. הבנת ההיקף הטריטוריאלי ומבני הסנקציות היא הצעד הראשון לקראת בניית עמדת ציות הניתנת להגנה.
נקודות מפתח
- למעלה מ-160 מדינות חוקקו חקיקת פרטיות נתונים מקיפה, מה שהופך את הציות הגלובלי לציפייה בסיסית, ולא לחריג [1].
- ה-GDPR נושא את הקנסות הכספיים הגבוהים ביותר מכל חוק פרטיות: עד 20 מיליון אירו או 4% מההכנסה השנתית הגלובלית, הגבוה מביניהם [1].
- קנסות אכיפת GDPR עלו על 7 מיליארד אירו מאז תחילת האכיפה, עם עונשים משמעותיים נגד Meta, Amazon ו-TikTok [7].
- ה-PIPL של סין וה-GDPR של האיחוד האירופי חלים שניהם באופן אקסטרה-טריטוריאלי, חברות זרות המשרתות תושבים בתחומי שיפוט אלה חייבות לציית [1].
- בארה"ב אין חוק פרטיות פדרלי מאוחד; הציות תלוי במגזר ובמדינה, כאשר ה-CCPA של קליפורניה הוא המסגרת המשפיעה ביותר ברמת המדינה [2].
- היקף טריטוריאלי קובע איזה חוק חל על העסק שלכם; מספר חוקים יכולים לחול בו-זמנית על ארגון יחיד.
- עסקים קטנים אינם פטורים אוטומטית, ספי ה-CCPA ומבחן "ההתבססות" של ה-GDPR יכולים לכלול חברות בגדלים רבים.
- כשלים נפוצים בציות כוללים מנגנוני הסכמה לא מספקים, מיפוי נתונים לקוי והתעלמות מכללי העברת נתונים חוצי גבולות.
- פלטפורמת ניהול הסכמות (CMP) כגון Biscotti CMP יכולה לעזור לארגונים להפעיל דרישות הסכמה תחת מסגרות מרובות.
מהם חוקי הפרטיות המחמירים ביותר בעולם לפי מדינה
חוקי הפרטיות המחמירים ביותר בעולם הם ה-GDPR של האיחוד האירופי, חוק הגנת המידע האישי (PIPL) של סין, Lei Geral de Proteção de Dados (LGPD) של ברזיל, וה-CCPA/CPRA של קליפורניה. כל אחד מהם משלב טווח טריטוריאלי רחב עם שיני אכיפה משמעותיות.
להלן השוואה תמציתית של המסגרות העיקריות:
| חוק | תחום שיפוט | קנס מקסימלי | אקסטרה-טריטוריאלי? | בתוקף מאז |
|---|---|---|---|---|
| GDPR | האיחוד האירופי | 20 מיליון אירו או 4% מההכנסה הגלובלית | כן | מאי 2018 |
| UK GDPR | הממלכה המאוחדת | 17.5 מיליון ליש"ט או 4% מההכנסה הגלובלית | כן | ינואר 2021 |
| PIPL | סין | עד 50 מיליון יואן או 5% מההכנסה השנתית | כן | נובמבר 2021 |
| CCPA/CPRA | קליפורניה, ארה"ב | עד 7,988 דולר להפרה מכוונת | מוגבל | ינואר 2020 |
| LGPD | ברזיל | עד 2% מההכנסה בברזיל, מוגבל ל-50 מיליון ריאל | כן | ספטמבר 2020 |
ה-GDPR נשאר אמת המידה הגלובלית. השילוב שלו של קנסות גבוהים, היקף רחב ואכיפה פעילה הופך אותו למסגרת שרוב הארגונים מתעדפים ראשונה בעת בניית תוכניות ציות בינלאומיות [1].
כיצד פועלות סנקציות GDPR ומהם העונשים
סנקציות GDPR פועלות במבנה ענישה דו-שכבתי. הפרות בדרג נמוך יותר, כגון אי שמירת רישומי פעילויות עיבוד, יכולות להוביל לקנסות של עד 10 מיליון אירו או 2% מהמחזור השנתי הגלובלי. הפרות בדרג גבוה יותר, כולל עיבוד בלתי חוקי של נתונים אישיים או התעלמות מזכויות נושאי נתונים, נושאות עונשים של עד 20 מיליון אירו או 4% מההכנסה השנתית הגלובלית, הגבוה מביניהם [1].
מעבר לקנסות, רשויות הפיקוח יכולות להוציא איסורים זמניים או קבועים על עיבוד נתונים, שבפועל יכולים להיות מזיקים יותר לעסק מהעונש הכספי עצמו. מאז תחילת האכיפה, קנסות ה-GDPR המצטברים עלו על 7 מיליארד אירו, עם מקרים בולטים נגד Meta Ireland, Amazon Luxembourg ו-TikTok [7].
גורמים מרכזיים שרשויות הרגולציה שוקלות בעת חישוב קנסות:
- אופי, חומרה ומשך ההפרה
- האם ההפרה הייתה מכוונת או רשלנית
- שיתוף פעולה עם רשות הפיקוח
- היסטוריית הפרות קודמות
- קטגוריות הנתונים האישיים שנפגעו (נתוני בריאות, פיננסיים או ביומטריים מושכים בדיקה קפדנית יותר)
ההבדל בין GDPR, CCPA ותקנות פרטיות אחרות
ה-GDPR וה-CCPA חולקים את אותה מטרה, הגנה על נתונים אישיים, אך נבדלים באופן משמעותי בהיקף, בזכויות המוענקות ובמנגנוני האכיפה [2].
GDPR חל על כל ארגון המעבד נתונים של תושבי האיחוד האירופי, ללא קשר לגודל החברה. הוא דורש בסיס חוקי לכל פעילות עיבוד, מחייב הערכות השפעה על הגנת נתונים עבור עיבוד בסיכון גבוה, ומעניק לאנשים זכויות הכוללות גישה, מחיקה, ניידות והתנגדות.
CCPA/CPRA חל רק על עסקים למטרות רווח העומדים לפחות באחד מהספים הבאים: הכנסה ברוטו שנתית העולה על 25 מיליון דולר, קנייה או מכירה של נתונים אישיים של 100,000 צרכנים קליפורניים או יותר מדי שנה, או הפקת 50% או יותר מההכנסה השנתית ממכירת נתונים אישיים [2]. הוא מתמקד יותר בשקיפות ובזכויות ביטול הסכמה מאשר בדרישה לבסיס חוקי לעיבוד.
PIPL (סין) משקף את ה-GDPR במבנה אך מוסיף דרישות מחמירות יותר ללוקליזציה של נתונים ומחייב הערכות אבטחה ממשלתיות לפני העברת נתונים "חשובים" לחו"ל [1].
ההבדל המעשי: GDPR הוא ברירת מחדל של הסכמה מפורשת (opt-in) עבור רוב העיבוד; CCPA הוא בעיקר ביטול הסכמה (opt-out). PIPL משלב את שתי הגישות תוך הוספת שכבות אבטחה לאומיות שחסרות ב-GDPR.
מהו היקף טריטוריאלי בחוקי פרטיות
היקף טריטוריאלי מגדיר את הגבולות הגיאוגרפיים שבתוכם חל חוק פרטיות, ובאופן קריטי, האם הוא מגיע לארגונים הפועלים מחוץ לגבולות אלה. רוב חוקי הפרטיות המודרניים אימצו מודל אקסטרה-טריטוריאלי, כלומר נוכחות פיזית במדינה אינה נדרשת עוד כדי שחובות ציות יחולו.
ההיקף הטריטוריאלי של ה-GDPR מוסדר על ידי סעיף 3, החל את התקנה על כל ארגון שהוקם באיחוד האירופי, ועל ארגונים מחוץ לאיחוד האירופי המציעים סחורות או שירותים לתושבי האיחוד האירופי או מנטרים את התנהגותם [1]. ה-UK GDPR עוקב אחר מודל זהה [9].
ה-PIPL של סין חל על ישויות זרות המציעות מוצרים או שירותים לאנשים בסין, מנתחות או מעריכות את התנהגותם של אנשים בסין, או נופלות תחת נסיבות המוגדרות בחוקים רלוונטיים אחרים [1].
ניווט בסנקציות ובהיקפים טריטוריאליים: מבט על חוקי הפרטיות המחמירים ביותר בעולם חושף דפוס עקבי: המגמה היא לכיוון טווח השפעה מרבי. רשויות הרגולציה רוצות למנוע מארגונים להתחמק מחובות פשוט על ידי התאגדות בחו"ל.
כיצד חוקי פרטיות חלים על חברות מחוץ למדינתן
חוקי פרטיות חלים על חברות זרות באמצעות מושג סמכות השיפוט האקסטרה-טריטוריאלית. חברה שבסיסה בסינגפור המפעילה אתר אינטרנט המכוון לצרכנים גרמנים ואוספת את כתובות הדוא"ל שלהם כפופה ל-GDPR, גם ללא עובד או משרד אחד באיחוד האירופי.
הגורמים המפעילים ליישום אקסטרה-טריטוריאלי כוללים בדרך כלל:
- שיווק פעיל לתושבי תחום השיפוט (שפה, מטבע, שיטות תשלום מקומיות)
- עיבוד נתונים אישיים של תושבים, אפילו באופן פסיבי באמצעות אנליטיקה או קובצי Cookie
- ניטור התנהגות (פרסום התנהגותי, פיקסלי מעקב)
- הפעלת מוסד מקומי, אפילו משרד ייצוגי קטן
תוכנית אבטחת הנתונים של משרד המשפטים האמריקאי (DOJ), שנכנסה לתוקף ב-8 באפריל 2025, מוסיפה שכבה נוספת: היא מטילה בקרות ייצוא כדי למנוע מיריבים זרים גישה לנתונים אישיים רגישים של ארה"ב, ואוסרת עסקאות נתונים מסוימות עם "מדינות מדאיגות" מוגדרות [5].
טעות נפוצה: ההנחה שמכיוון שלחברה אין נוכחות פיזית בתחום שיפוט, אין לה חובות ציות שם. זה שגוי עבור GDPR, PIPL, UK GDPR ו-LGPD.
איזה חוק פרטיות קשה ביותר לציות
ה-GDPR נחשב באופן נרחב לחוק הפרטיות התובעני ביותר לציות, משלוש סיבות: רוחב דרישותיו, קפדנות תקני ההסכמה שלו, והיקף פעולות האכיפה שננקטו על ידי רשויות הפיקוח של האיחוד האירופי.
ציות ל-GDPR דורש מארגונים לתעד כל פעילות עיבוד, למנות קצין הגנת נתונים במקרים מסוימים, לבצע הערכות השפעה על הגנת נתונים עבור עיבוד בסיכון גבוה, וליישם "פרטיות לפי תכנון ולפי ברירת מחדל" בכל המערכות. תקן ההסכמה תחת GDPR, שניתנה בחופשיות, ספציפית, מיודעת וחד משמעית, תובעני באופן ניכר יותר ממודל ביטול ההסכמה (opt-out) תחת CCPA [2].
ה-PIPL של סין הוא שני קרוב, במיוחד עבור חברות רב-לאומיות, מכיוון שהוא משלב דרישות הסכמה ברמת GDPR עם דרישות לוקליזציה של נתונים ותהליכי סקירת אבטחה ממשלתיים עבור העברות חוצות גבולות [1][4].
בחרו ב-GDPR כתקן הציות הבסיסי שלכם אם הארגון שלכם משרת תושבי האיחוד האירופי או הממלכה המאוחדת. עמידה בדרישות ה-GDPR תספק את רוב הדרישות המהותיות של ה-UK GDPR, ותמקם אתכם היטב לציות ל-LGPD ול-PIPL עם התאמות נוספות.
מה קורה אם מפרים את תקנות GDPR או CCPA
הפרות GDPR יכולות להוביל לקנסות של עד 20 מיליון אירו או 4% מההכנסה השנתית הגלובלית, צווי אכיפה, איסורי עיבוד, ונזק מוניטין מהודעות חובה על הפרות [1]. רשויות הפיקוח ברחבי המדינות החברות באיחוד האירופי הפגינו נכונות ברורה להטיל קנסות משמעותיים על חברות מכל הגדלים.
הפרות CCPA נאכפות על ידי הסוכנות להגנת הפרטיות של קליפורניה (CPPA). קנסות אזרחיים מגיעים עד 2,663 דולר להפרה לא מכוונת ו-7,988 דולר להפרה מכוונת, מותאמים מדי שנה לאינפלציה [3]. בניגוד ל-GDPR, ה-CCPA גם מספק זכות תביעה פרטית להפרות נתונים, המאפשרת לצרכנים לתבוע ישירות.
מעבר לקנסות כספיים, ההשלכות המשניות לעיתים קרובות מזיקות יותר:
- חשיפה ציבורית חובה של פעולות אכיפה
- אובדן אמון צרכנים ושווי מותג
- שיבוש תפעולי מאיסורי עיבוד
- הגברת הבדיקה הרגולטורית בתחומי שיפוט אחרים
האם חוקי פרטיות חלים על עסקים קטנים או רק על חברות גדולות
חוקי פרטיות יכולים לחול על עסקים קטנים, אם כי הספים משתנים לפי מסגרת. ל-GDPR אין סף הכנסה או גודל, אם עסק קטן מעבד נתונים אישיים של תושבי האיחוד האירופי, הוא כפוף ל-GDPR. ה-CCPA, לעומת זאת, חל רק על עסקים למטרות רווח העומדים בספי הכנסה או נפח נתונים ספציפיים, מה שאומר שעסקים קטנים רבים נופלים מחוץ להיקפו [2].
פטורי GDPR לארגונים קטנים צרים: עסקים עם פחות מ-250 עובדים פטורים חלקית משמירת רישומים מפורטים של פעילויות עיבוד, אך רק אם העיבוד שלהם אינו צפוי לגרום לסיכון לזכויות הפרטים, אינו מזדמן, או אינו כרוך בקטגוריות מיוחדות של נתונים.
מקרה קצה: סוחר יחיד המנהל חנות מסחר אלקטרוני נישתית המכוונת ללקוחות האיחוד האירופי ומשתמש בכלי פרסום התנהגותיים כפוף כמעט בוודאות ל-GDPR, ללא קשר להכנסה השנתית.
טעויות נפוצות שחברות עושות בציות לחוקי פרטיות
הכשלים התכופים ביותר בציות אינם טכניים, הם ארגוניים. חברות מעריכות באופן שגרתי את היקף איסוף הנתונים שלהן, אינן מעדכנות הודעות פרטיות כדי לשקף עיבוד בפועל, ומתייחסות להסכמה כאל תיבת סימון חד פעמית במקום כאל מערכת יחסים מתמשכת.
טעויות הציות המובילות, מדורגות לפי תדירות:
- מנגנוני הסכמה לא מספקים, שימוש בתיבות מסומנות מראש, הסכמה מקובצת, או הסכמה קבורה בתנאי השירות.
- אין בסיס חוקי מתועד, עיבוד נתונים ללא זיהוי ותיעוד בסיס חוקי תקף לפי סעיף 6 ל-GDPR.
- התעלמות מכללי העברת נתונים חוצי גבולות, העברת נתונים אישיים למדינות שלישיות ללא סעיפים חוזיים סטנדרטיים או אמצעי הגנה מקבילים.
- מיפוי נתונים לא שלם, אי ידיעה אילו נתונים אישיים נאספים, היכן הם מאוחסנים, ולמי יש גישה.
- אי כיבוד בקשות נושאי נתונים, החמצת חלון התגובה של 30 יום לבקשות גישה, מחיקה או ניידות.
- הודעות פרטיות מיושנות, פרסום הודעה שאינה מתארת במדויק פעילויות עיבוד נוכחיות.
CMP מוגדר כהלכה כמו Biscotti CMP מטפל ישירות בכמה מנקודות הכשל הללו על ידי ניהול איסוף, אחסון ומשיכת הסכמה על פני מסגרות רגולטוריות מרובות.
כיצד לקבוע אילו חוקי פרטיות חלים על העסק שלכם
קביעת חוקי הפרטיות הרלוונטיים דורשת מענה על ארבע שאלות: היכן הארגון שלכם מבוסס? היכן נמצאים המשתמשים או הלקוחות שלכם? אילו קטגוריות של נתונים אישיים אתם מעבדים? והאם אתם עומדים בספים ספציפיים לתחום שיפוט כלשהו?
מסגרת החלטה מעשית:
- אם יש לכם מוסד באיחוד האירופי או בממלכה המאוחדת, או שאתם מכוונים באופן פעיל לתושבי האיחוד האירופי/הממלכה המאוחדת: GDPR ו/או UK GDPR חלים [1][9].
- אם אתם מציעים סחורות או שירותים לצרכנים סינים או מנתחים את התנהגותם: PIPL חל [1].
- אם אתם חברה למטרות רווח העומדת בספי ההכנסה או נפח הנתונים של קליפורניה: CCPA/CPRA חל [2].
- אם אתם פועלים בברזיל ומעבדים נתונים אישיים של תושבים ברזילאים: LGPD חל.
- אם העסק שלכם כרוך בהעברת נתונים אישיים רגישים של ארה"ב בינלאומית: עיינו בדרישות תוכנית אבטחת הנתונים של משרד המשפטים [5].
מספר חוקים יכולים לחול בו-זמנית. חברת SaaS שבסיסה בארה"ב עם לקוחות באיחוד האירופי, עובדים בקליפורניה, ומאגר נתונים שיווקי הכולל לידים ברזילאים עשויה להידרש לציית ל-GDPR, CCPA ו-LGPD במקביל.
האם יש חוקי פרטיות שאין להם טווח טריטוריאלי
חלק ממסגרות הפרטיות מוגבלות בכוונה בהיקפן הטריטוריאלי. חוק הגנת הנתונים של DIFC בדובאי, למשל, חל על בקרים ומעבדים שהתאגדו ב-DIFC, או על אלה המעבדים נתונים בתוך ה-DIFC, אך אינו טוען לטווח אקסטרה-טריטוריאלי רחב הדומה ל-GDPR [8]. באופן דומה, חוקים פדרליים אמריקאים רבים ישנים יותר או ספציפיים למגזר (HIPAA לנתוני בריאות, FERPA לרישומי חינוך) חלים בהתבסס על אופי הנתונים וסוג הישות, לא על מיקום נושאי הנתונים.
עם זאת, המגמה הגלובלית היא בבירור לכיוון טווח טריטוריאלי רחב יותר. ניווט בסנקציות ובהיקפים טריטוריאליים: מבט על חוקי הפרטיות המחמירים ביותר בעולם מראה כי חקיקה חדשה יותר, PIPL, LGPD, וה-UK GDPR לאחר הברקזיט, אימצו כולן מודלים אקסטרה-טריטוריאליים, מה שמסמן שמסגרות בעלות היקף מוגבל הופכות לחריג ולא לכלל.
כיצד נבדלות הסנקציות בין GDPR למסגרות פרטיות אחרות
סנקציות GDPR הן החמורות ביותר והנאכפות ביותר מכל מסגרת פרטיות גלובלית, אך המנגנונים נבדלים באופן משמעותי בין המשטרים.
| מסגרת | גוף אכיפה | קנס כספי מקסימלי | זכות תביעה פרטית |
|---|---|---|---|
| GDPR | רשויות פיקוח לאומיות | 20 מיליון אירו או 4% מההכנסה הגלובלית | מוגבל (משתנה לפי מדינה חברה) |
| UK GDPR | ICO | 17.5 מיליון ליש"ט או 4% מההכנסה הגלובלית | מוגבל |
| PIPL | CAC / רגולטורים מגזריים | 50 מיליון יואן או 5% מההכנסה השנתית | כן (ליחידים) |
| CCPA/CPRA | CPPA | 7,988 דולר להפרה מכוונת | כן (להפרות נתונים) |
| LGPD | ANPD | 2% מההכנסה בברזיל, מקסימום 50 מיליון ריאל | כן |
מודל האכיפה של ה-GDPR ייחודי בכך שהוא פועל באמצעות רשת של 27 רשויות הגנת נתונים לאומיות, מה שיוצר חוסר עקביות באופן שבו מדינות חברות שונות רודפות אחר הפרות. ה-DPC של אירלנד, המפקח על חברות טכנולוגיה אמריקאיות גדולות רבות בשל מטה האיחוד האירופי שלהן שם, ספג ביקורת על אכיפה איטית, אם כי קנסות בולטים נגד Meta ו-TikTok מדגימים שהמערכת יכולה להניב תוצאות משמעותיות [7].
מסקנה: צעדים מעשיים לניווט בסנקציות ובהיקפים טריטוריאליים
ניווט בסנקציות ובהיקפים טריטוריאליים: מבט על חוקי הפרטיות המחמירים ביותר בעולם מבהיר דבר אחד, עידן הטיפול בציות לפרטיות כדאגה אזורית הסתיים. כל ארגון בעל נוכחות מקוונת ובסיס משתמשים בינלאומי כפוף, ככל הנראה, לפחות למסגרת פרטיות מרכזית אחת עם השלכות אכיפה אמיתיות.
פעולות מיידיות שיש לנקוט:
- בצעו תרגיל מיפוי נתונים כדי לזהות כל קטגוריה של נתונים אישיים שנאספו, את מקורם, מיקום האחסון ומטרת העיבוד.
- זהו חוקים רלוונטיים באמצעות קריטריוני ההיקף הטריטוריאלי המתוארים לעיל, אל תניחו שגיאוגרפיה בלבד קובעת את חובותיכם.
- בחנו את מנגנוני ההסכמה שלכם כדי לוודא שהם עומדים בתקן הגבוה ביותר הרלוונטי (הסכמת GDPR היא אמת המידה המחמירה ביותר).
- סקרו הסדרי העברת נתונים חוצי גבולות וודאו שסעיפים חוזיים סטנדרטיים או אמצעי הגנה מקבילים קיימים.
- יישמו CMP תואם, Biscotti CMP מספק את התשתית לניהול איסוף, אחסון ומשיכת הסכמה על פני מסגרות רגולטוריות מרובות.
- הקימו תהליך בקשת נושא נתונים עם זרימות עבודה מתועדות ולוחות זמנים לתגובה.
- סקרו מדי שנה, חוקי הפרטיות אינם סטטיים. תוכנית אבטחת הנתונים של משרד המשפטים (בתוקף מ-2025), תקנות יישום PIPL מתפתחות, וחקיקת פרטיות פדרלית פוטנציאלית בארה"ב מייצגות כולן יעדים נעים [5].
ארגונים המתייחסים לציות לפרטיות כדיסציפלינה תפעולית מתמשכת ולא כפרויקט חד פעמי יהיו ממוקמים טוב יותר כדי למנוע את העונשים שאפיינו את נוף האכיפה של השנים האחרונות.
שאלות נפוצות
ש: האם GDPR חל על חברה אמריקאית ללא משרד באיחוד האירופי? כן. אם חברה אמריקאית מכוונת באופן פעיל לתושבי האיחוד האירופי, למשל, על ידי הצעת שירותים בשפות או במטבעות אירופאיים, ה-GDPR חל ללא קשר למקום התאגדות החברה [1].
ש: מה ההבדל בין בקר נתונים למעבד נתונים תחת GDPR? בקר נתונים קובע את מטרות ואמצעי עיבוד הנתונים האישיים. מעבד נתונים מעבד נתונים מטעם בקר. לשניהם יש חובות נפרדות תחת GDPR, ומעבדים יכולים להיחשב אחראים ישירות להפרות מסוימות.
ש: האם חברה יכולה לעמוד בפני קנסות GDPR ועונשי CCPA בו-זמנית? כן. חברה המשרתת הן תושבי האיחוד האירופי והן תושבי קליפורניה יכולה לעמוד בפני פעולות אכיפה תחת שתי המסגרות עבור אותן פרקטיקות נתונים בסיסיות, מכיוון שהחוקים בלתי תלויים זה בזה.
ש: מהו בסיס חוקי לעיבוד תחת GDPR? סעיף 6 ל-GDPR דורש שכל פעילות עיבוד תתבסס על אחד מששת הבסיסים החוקיים: הסכמה, ביצוע חוזה, חובה חוקית, אינטרסים חיוניים, משימה ציבורית, או אינטרסים לגיטימיים. עיבוד ללא בסיס חוקי מתועד הוא הפרה בדרג גבוה.
ש: כיצד נבדל ה-PIPL של סין מה-GDPR בנוגע להעברות נתונים חוצות גבולות? ה-PIPL דורש הערכת אבטחה ממשלתית לפני העברת נתונים "חשובים" לחו"ל, בנוסף לדרישות מבוססות הסכמה. ה-GDPR מסתמך על החלטות התאמה, סעיפים חוזיים סטנדרטיים, או כללים תאגידיים מחייבים, הוא אינו דורש אישור ממשלתי מראש עבור רוב ההעברות [1][4].
ש: האם יש עונשים על אי מינוי קצין הגנת נתונים תחת GDPR? כן. אי מינוי DPO כאשר הוא נדרש (לרשויות ציבוריות, ניטור שיטתי בקנה מידה גדול, או עיבוד בקנה מידה גדול של קטגוריות מיוחדות של נתונים) הוא הפרת GDPR בדרג נמוך, הכפופה לקנסות של עד 10 מיליון אירו או 2% מההכנסה הגלובלית.
ש: האם ה-CCPA חל על עמותות? לא. ה-CCPA חל רק על עסקים למטרות רווח העומדים בספיו. עמותות פטורות בדרך כלל, אם כי הן עשויות להיות כפופות לחוקי פרטיות אחרים של קליפורניה.
ש: מהי תוכנית אבטחת הנתונים של משרד המשפטים? בתוקף מ-8 באפריל 2025, תוכנית אבטחת הנתונים של משרד המשפטים האמריקאי מטילה בקרות ייצוא כדי למנוע מיריבים זרים גישה לנתונים אישיים רגישים של ארה"ב. היא אוסרת עסקאות נתונים מסוימות עם "מדינות מדאיגות" מוגדרות [5].
ש: כמה מהר יש לדווח על הפרת נתונים ב-GDPR? בקרים חייבים להודיע לרשות הפיקוח שלהם תוך 72 שעות מרגע שנודע להם על הפרת נתונים אישיים, במידת האפשר. אם ההפרה צפויה לגרום לסיכון גבוה לאנשים, יש להודיע גם לאותם אנשים ללא דיחוי בלתי סביר.
ש: האם פלטפורמת ניהול הסכמות יכולה לעזור בציות רב-תחומי? כן. CMP כמו Biscotti CMP יכול לנהל איסוף, אחסון ומשיכת הסכמה על פני מסגרות רגולטוריות שונות, ולעזור לארגונים לשמור על הוכחה מתועדת של הסכמה, דרישה מרכזית הן תחת GDPR והן תחת PIPL.
הפניות
[1] International Data Privacy Law Global Frameworks And Rules - https://legalclarity.org/international-data-privacy-law-global-frameworks-and-rules/?utm_source=openai
[2] GDPR vs CCPA - https://www.recordinglaw.com/world-laws/world-data-privacy-laws/gdpr-vs-ccpa/?utm_source=openai
[3] Data Protection Regulations GDPR U.S. Laws Your Rights - https://legalclarity.org/data-protection-regulations-gdpr-u-s-laws-your-rights/?utm_source=openai
[4] Data Sovereignty Meaning Laws Frameworks And Rules - https://legalclarity.org/data-sovereignty-meaning-laws-frameworks-and-rules/?utm_source=openai
[5] DOJ Final Rule Imposes Additional - https://www.dentons.com/en/insights/articles/2025/may/21/doj-final-rule-imposes-additional?utm_source=openai
[6] Geoblocking Legal Issues Compliance And Risks - https://legalclarity.org/geoblocking-legal-issues-compliance-and-risks/?utm_source=openai
[7] World Data Privacy Laws - https://www.recordinglaw.com/world-laws/world-data-privacy-laws/?utm_source=openai
[8] Data Protected DIFC - https://www.linklaters.com/en/insights/data-protected/data-protected---difc?utm_source=openai
[9] DLA Piper Data Protection Index - https://www.dlapiperdataprotection.com/index.html?t=about&utm_source=openai