מבוא לאזהרות פרטיות
האזהרה בפרטיות היא כלי מרכזי בחוקי הפרטיות לאכיפת תקנות הגנת המידע הכלליות (GDPR). מאז שנכנסו ה-GDPR לתוקפן בשנת 2018, חברות וארגונים מחויבים לנהוג בזהירות מרבית בעיבוד נתונים אישיים. במקרה של הפרה של הוראות אלה – כגון באמצעות מידע לא מספק עבור המשתמשים או עיבוד נתונים לא חוקי – יכולה להינתן אזהרה. זו יכולה להתבצע לא רק על ידי רשויות הפרטיות, אלא גם על ידי מתחרים, ארגוני צרכנים ואפילו על ידי הנפגעים עצמם. המטרה של אזהרה בפרטיות היא להניע את החברה לחדול מהפרת הזכויות ולשמור על זכויות הפרטיות. עבור חברות זה אומר שהן צריכות לבדוק ולהתאים את תהליכי הטיפול בנתונים האישיים באופן קבוע כדי להימנע מאזהרות ומהליכים משפטיים נוספים.
בסיסים משפטיים
הבסיסים המשפטיים לאזהרה בתחום הפרטיות נמצאים בעיקר ב-GDPR ובחוק נגד תחרות בלתי הוגנת (UWG). ה-GDPR מסדיר בפירוט כיצד ניתן לאסוף, לשמור ולעבד נתונים אישיים. הפרות של תקנות אלה – כמו עיבוד בלתי חוקי או חוסר שקיפות – יכולות לרדך לא רק על ידי הרשויות לפרטיות אלא גם במסגרת החוק לתחרות. ה-UWG מגן על התחרות מפני נוהגים עסקיים בלתי הוגנים וקובע כי הפרת פרטיות יכולה להיחשב כהפרה של ה-UWG אם זו נותנת יתרון בלתי הוגן לחברה. כך ניתן להוציא אזהרות על הפרות בפרטיות בהתבסס על ה-GDPR וה-UWG. חברות צריכות להבטיח שהן עומדות בהוראות החוקיות לעיבוד נתונים אישיים כדי להימנע מאזהרות ומהשלכות משפטיות נוספות.
מתחרים יכולים להוציא אזהרה – פסיקות BGH I ZR 186/17 / I ZR 222/19 / I ZR 223/19
מתחרים וארגוני צרכנים יכולים להוציא אזהרה לחברות על הפרות בפרטיות; בכך יש לבית המשפט תפקיד מרכזי בהחלטה על אזהרות עקב הפרות בפרטיות. כך קבע בית המשפט הפדרלי בגרמניה בכמה פסיקות מה-27 במרץ 2025 (תיקים I ZR 186/17, I ZR 222/19, I ZR 223/19). בתי משפט שונים קבעו בעבר פסיקות שונות לגבי סמכות ההזהרה על ההפרות בפרטיות. ריבוי המקרים של הפרות בפרטיות מצביע על הרלוונטיות המעשית של נושא זה. פסיקת ה-BGH המדויקת מציינת שגם מתחרים וארגוני צרכנים יכולים להיות פעילים. פסיקות ה-BGH ממארס 2025 היו משמעותיות לאופן הוצאת אזהרות, בכך שהן מאפשרות לארגוני צרכנים ולמתחרים לרדך אחרי הפרות פרטיות בבתי משפט אזרחיים. אזהרה לפי ה-GDPR היא סוג ספציפי של אזהרה שמקשרת להפרות תקנות הגנת המידע הכלליות ונבדלת מאזהרות אחרות ברקע הפרטיות שלה. מרכז הצרכנים משחק תפקיד חשוב באכיפת הזכויות בפרטיות. ארגוני צרכנים מעורבים באופן משמעותי באזהרה על הפרות פרטיות. גם המתחרים יכולים לרדך אחרי הפרות פרטיות ולשמור על התחרות. פסיקת ה-BGH משפיעה באופן משמעותי על הפרקטיקה ועל הערכה משפטית של הפרות פרטיות.
הפרות פרטיות לא יכולות להיענש רק על ידי רשויות פיקוח. החשיבות של סמכות ההחלטה של בתי המשפט בהפרות פרטיות היא מרכזית. כפי שמראים ההחלטות של ה-BGH, גם מתחרים וארגוני צרכנים יכולים לפעול נגד ההפרות. במסגרת של הליכים כאלה גם לתובע המרכזי יש תפקיד חשוב. לחברות זה יכול להיות משמעותי בעיקר במסחר מקוון ובעיבוד נתונים רגישים, כך משרד עורכי הדין MTR Legal Rechtsanwälte, המתמחה בין היתר במשפט IT ומשפט פרטיות. ישנן סנקציות מחמירות יותר באמצעים נוספים במקרה של הפרות חוזרות ונשנות של ה-GDPR. המעקב אחרי הפרות בפרטיות מתבצע הן על ידי בתי משפט והן על ידי ארגונים. המשמעות של סעיף 1 והמספר הראשון בפסקאות הרלוונטיות היא חיונית להערכה המשפטית. הנושא חשוב במיוחד לפיתוח חוקים לפרטיות ולאכיפת זכויות הצרכנים.
אפליקציית משחק מפרסמת נתונים
במקרה עם התיק I ZR 186/17 מדובר היה במרכז אפליקציות ברשת חברתית, שבה ספקים חיצוניים הציעו משחקים. המרכז משמש כפלטפורמה מרכזית עבור אפליקציות ספקים חיצוניים שונות. במשחקי האונליין במרכז יש תפקיד משמעותי, שכן הם מהווים חלק גדול מההיצע. בשימוש באפליקציה ניתן היה לעבד גם נתונים אישיים כגון כתובת הדואר האלקטרוני שלך. לפני שמשתמש יכול היה להתחיל במשחק, הוצג לו שהאפליקציה תיתן הרשאות מסוימות, כגון לפרסם סטאטוסים. ההנחיות היו גם כן מעורפלות ולא העבירו מידע על אילו נתונים ספציפיים עובדו, מיהם המקבלים ומה מטרת העיבוד. נגד זה תבע ארגון הצרכנים של כל המדינות הפדרליות בהצלחה.
ה-BGH הבהיר שמידע כזה לא ברור ולא כולל לא עומד בדרישות תקנות הגנת המידע הכלליות (GDPR). כבר בעת איסוף הנתונים על ידי האפליקציה, יש ליידע את המשתמשים בצורה כוללת. גם ההיקף של הנתונים שנאספו ועובדו חייב להיות ברור. ניסוח חוקי של מטרת השימוש בהצהרת פרטיות הוא חשוב במיוחד. החובות למידע לפי סעיף 12 ו-13 ב-GDPR דורשות הודעה ברורה, מדויקת ומובנת לאנשים הנפגעים. מאחר שהדרישות האלה ב-GDPR גם מארגנות את ההתנהגות בשוק בהתאם לחוקי התחרות (§ 3a UWG), אי עמידה בהן מהווה הפרה של חוקי התחרות. מתחרים או ארגוני צרכנים מוסמכים יכולים לכן לפעול באופן משפטי אזרחי נגד אותן הפרות פרטיות, כך ה-BGH. זה נכון גם אם משתמש לא התלונן.
רוקחים מוכרים תרופות באינטרנט
שאלות דומות נידונו בתיקים עם מספרי התיקים I ZR 222/19 ו-I ZR 223/19. כאן מכרו שני רוקחים תרופות דרך פלטפורמת אמזון. בכך עובדו נתונים אישיים של הלקוחות, כולל נתוני בריאות, כגון שם, כתובת או תרופות שהוזמנו עם מידע על התאמה אישית שלהם. איסוף נתוני הבריאות האלה על ידי הרוקחים היה נושא מרכזי בתיקים. היו מקרים רבים של הפרות פרטיות בתחום הרוקחות, שהיו רלוונטיים בהקשר זה. נגד זה תבעו רוקחים אחרים. גם תביעות אלה הצליחו: ה-BGH הבהיר שנתוני הזמנה מהווים נתוני בריאות לפי סעיף 9 פסקה 1 ב-GDPR. זה נכון אפילו כשמדובר בתרופות שאינן מחייבות מרשם. ניתן לעבד את הנתונים רק עם הסכמה מפורשת של הלקוחות, אותה הרוקחים לא הצליחו להשיג.
ה-BGH אישר את ההערכה של בית הדין האירופי שהנתונים בריאותיים כבר קיימים כאשר ניתן להסיק מההזמנה על מצב בריאותי או תרופה. בתיקים, הנתבעת מילאה תפקיד מרכזי שכן היא הייתה אחראית על עיבוד הנתונים. יש דגש מיוחד על החשיבות של הגנת הפרט המעורב בעיבוד נתוני הבריאות. ה-BGH גם כאן ראה בכך הפרת חוקי התחרות. סעיף 9 פסקה 1 ב-GDPR הוא תקנה לשמירה על התנהגות השוק כפי שמוגדר בסעיף 3a בחוק התחרות הבלתי הוגנת, ובכך הפרה שלו יכולה להיחשב להפרה משפטית אזרחית מצד מתחרה, כך פוסקים השופטים בקרלסרוהה. הייתה חשיבות מיוחדת לסעיף 1 והמספר הראשון בפסקאות הרלוונטיות.
ה-GDPR רלוונטי גם לתחום התחרות
הפסיקות מראות שהתקנות ב-GDPR – ובמיוחד החובות למידע והתקנות להסכמה – הן רלוונטיות גם בתחום התחרות. בנסיבות מסוימות רווחים שהושגו בשל הפרות פרטיות יכול להיות מוחזרות; זה מתקשר לעונשים נוספים שיכולים להיות מופעלים לפי הוראות ה-GDPR והחוק. חברות שמעבדות נתונים אישיים או רגישים ללא מידע מספיק או ללא הסכמה יעילה פועלות בניגוד לתחרות. לא רק רשויות הפרטיות אלא גם מתחרים או ארגונים לפעולה יכולים לפעול נגד הפרות כאלה. בכך ה-BGH הגדיל משמעותית את השטח שבו חוקי התחרות חלים. חברות המפרות את התקנות לפרטיות עשויות להתעמת עם אזהרות בתשלום ותביעות על ידי מתחרים וארגוני הצרכנים.
חברות עושות טוב אם הן נבדקות
חברות עושות טוב אם הן בודקות את חובות המידע שלהם וממלאות אותן. זה כולל את המידע למשתמשים בצורה שקופה, מובנת ומלאה על אילו נתונים מעובדים ובאיזו מטרה, על איזה בסיס חוקי זה קורה, מיהם המקבלים ואילו זכויות יש לנפגעים. כמו כן, לפני עיבוד נתונים רגישים – כגון נתוני בריאות – יש לקבל הסכמה מפורשת ולתעד אותה. סעיפים כלליים או מוסווים אינם מספיקים.
שוקי אונליין ופרטיות
שוקי אונליין, כמו שוק אמזון, הם חלק בלתי נפרד מהמסחר האלקטרוני המודרני. אך דווקא כאן יש להקפיד על שמירה על פרטיות. ספקים שמפעילים את הפעילות שלהם בפלטפורמות כאלו חייבים להקפיד על כללי הפרטיות הנוקשים של ה-GDPR בעיבוד נתוני לקוחות – כמו שמות, כתובות או נתוני הזמנות. פסיקות ה-BGH בתיקים I ZR 186/17, I ZR 222/19 ו-I ZR 223/19 הדגישו שהפרת ה-GDPR – כמו עיבוד נתוני בריאות ללא הסכמה מפורשת – יכולה להיות לא רק בלתי חוקית לפרטיות, אלא גם בלתי חוקית לתחרות. מתחרים או ארגוני צרכנים יכולים להוציא אזהרות במקרים כאלה וזה יכול להוביל להשלכות חמורות עבור החברות. הפסיקות של בית המשפט הפדרלי בגרמניה מבהירות שהקפדה על הפרטיות בשוקי אונליין אינה רק שאלה של שמירת תנאי הדין, אלא גם של תחרות.
השלכות אזהרה
אזהרה על הפרת פרטיות יכולה להיות לחברה השלכות רחבות. מעבר להתחייבות להפסיק את עיבוד הנתונים האישי המופר בהתראת אזהרה, קיימת סכנה של קנסות או עונשים כספיים גבוהים אם היא אינה מפסיקה את ההפרה. ה-GDPR קובע לכך סכומים עד 20 מיליון אירו או 4% מההכנסות השנתיות העולמיות – תלוי איזה סכום גבוה יותר. יתר על כן, אזהרה יכולה גם לפגוע במוניטין של החברה בצורה מוחלטת, שכן הפרה של תקנות הפרטיות נתפסת על ידי הלקוחות והציבור כעבירה חמורה של אמון. לכן על חברות להקדיש תשומת לב כמוסרת בפרטיות לא רק מסיבות משפטיות, אלא גם מסיבות של מוניטין.
הגנה על אזהרות
כדי להתגונן ביעילות מפני אזהרות בתחום הפרטיות, חברות צריכות לבדוק את נוהלי הפרטיות שלהן באופן קבוע ולהתאים אותם לדרישות הנוכחיות של GDPR. זה כולל במיוחד ניסוח של הצהרת פרטיות שקופה ומלאה, קבלת הסכמות מפורשות לעיבוד נתונים רגישים ויישום אמצעים טכניים וארגוניים להגנה על הנתונים. במקרה של אזהרה, מומלץ להגיב מהר ולקבל ייעוץ משפטי על מנת לשמור על האינטרסים שלהם בצורה הטובה ביותר. על ידי יצירת פעולה פרואקטיבית ועמידה קפדנית בדרישות הפרטיות, חברות יכולות להפחית את הסיכון לאזהרות ולצעדים משפטיים נוספים באופן משמעותי.
MTR Legal Rechtsanwälte מייעצים על פרטיות, על ה-GDPR ונושאים נוספים במשפט IT.
נשמח שתיצרו קשר איתנו!
