מאחורי הקמפיין הדיגיטלי – מי שומר על המידע האישי של הבוחרים?

ההנחיות למפלגות לקראת הבחירות לכנסת ה־26 מציבות במרכז את האחריות למידע שמאחורי הקמפיין: מאיפה הגיע, מי רשאי לגשת אליו, כיצד מפקחים על ספקים ומה נשאר במערכות כשהעבודה מסתיימת.

הרשות להגנת הפרטיות מדגישה בהנחיותיה למפלגות לקראת הבחירות לכנסת ה־26 כי האחריות למידע האישי של הבוחרים נמשכת גם כשהטיפול בו מועבר לאפליקציות ולספקים חיצוניים. ההנחיות עוסקות הן במידע שמקורו בפנקס הבוחרים והן במידע נוסף שנאסף בקמפיין, ומרכזות חובות מכוח הדין לצד הבהרות והמלצות מעשיות.

מסרונים ושיחות טלפון הם השלב שבו הציבור פוגש את השימוש במידע. האחריות מתחילה כבר בקבלת הפרטים ובקביעת השימושים בהם: מהיכן הגיע כל נתון, לשם מה מותר להחזיק בו, מי מורשה לגשת אליו ואיך מוודאים שספק פועל במסגרת שנקבעה לו. תשובות לשאלות האלה מאפשרות לבחון את ניהול המידע גם לפני שנשלחת הפנייה הראשונה לבוחר.

המידע שמגיע לקמפיין אינו מקשה אחת

מידע מפנקס הבוחרים נמסר למפלגות ולסיעות הזכאיות לקבלו לפי חוק הבחירות, והשימוש בו מוגבל לצורכי ההתמודדות בבחירות ולקשר עם ציבור הבוחרים. מסירתו אינה היתר להפוך אותו למאגר לשימושים אחרים או להעבירו לגורם נוסף למטרותיו העצמאיות.

לצדו עשויים להימצא פרטים שנאספו בנפרד, למשל כשאדם נרשם לפעילות או מבקש לשמור על קשר. לכל מקור נדרשת בחינה משלו: כיצד התקבל המידע, מה הוסבר לאדם ומהו הבסיס לשימוש המתוכנן. גם מידע על תמיכה פוליטית מחייב תשומת לב מיוחדת; החוק מונה מידע על דעות פוליטיות בין סוגי המידע בעלי הרגישות המיוחדת.

העובדה ששני סוגי המידע מוצגים באותה מערכת אינה מבטלת את ההבדלים ביניהם. מבחינה מעשית, התשובה ״הפרטים נמצאים במערכת״ משאירה פתוחות את השאלות החשובות: מי הכניס אותם, מאיזה מקור ומה מאפשר לעשות בהם שימוש מסוים. איחוד טכני של נתונים אינו יוצר כשלעצמו הרשאה משפטית חדשה.

כשהעבודה עוברת לספקים, האחריות נשארת

מערכת דיוור, יישומון בחירות או שירות מחשוב חיצוני עשויים לסייע בניהול הקשר עם הבוחרים. כאשר נעזרים בהם, צריך להגדיר את גבולות הגישה למידע ואת הפעולות המותרות בו. הרשות מבהירה כי מפלגות נושאות באחריות גם להפרות שמבצעים ספקים הפועלים עבורן או מטעמן.

תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע) מסדירה התקשרות עם גורם חיצוני שאינו אדם יחיד, לצורך שירות הכרוך בגישה למאגר. בהתקשרויות אלה נדרשים בחינת סיכוני אבטחת המידע לפני ההתקשרות, הסכם כתוב ומחייב, ופיקוח ובקרה בהיקף המתאים לסיכון. מדריך הרשות להתקשרות עם ספקים מפרט כיצד יש להסדיר את העבודה הזאת.

ההסכם צריך להתייחס למידע שהספק רשאי לעבד, למטרות השימוש, למערכות שאליהן יוכל לגשת ולפעולות שיבצע. יש להסדיר גם את משך ההתקשרות, דרישות האבטחה, סודיות בעלי ההרשאות והטיפול במידע בסיום. אם הותרה הסתייעות בספק משנה, נדרש להסדיר גם את אותה התקשרות. המשמעות היא שהבקרה צריכה להתאים למסלול שבו המידע עובר בפועל.

ניהול ההרשאות דורש טיפול גם בתוך הגוף המנהל את המאגר. התקנות קובעות שהרשאות יותאמו להגדרות התפקיד ובהיקף הנדרש לביצועו, לצד רישום מעודכן של בעלי ההרשאות. כשבעל הרשאה מסיים את תפקידו, יש לבטל את הרשאותיו מיד. הגדרת תפקיד אינה מחליפה את יתר התנאים למתן גישה למידע.

הפער בין מסמכי פרטיות לבין העבודה בפועל עומד גם במרכז תכנים הסברתיים של הפורטל המשפטי תקדינט, העוסקים בהרשאות, בעבודה עם ספקים ובשמירת מידע. בקמפיין, שאלות אלה מקבלות ביטוי בהחלטה מי יכול לצפות בנתונים, לשנותם או להעבירם הלאה.

תיקון 13 לחוק הגנת הפרטיות הרחיב את סמכויות הפיקוח והאכיפה של הרשות, לרבות האפשרות להטיל עיצומים כספיים בגין הפרות שנקבעו בדין. חובות האבטחה, הגבלת ההרשאות והסדרת העבודה עם ספקים נשענות גם על הוראות שקדמו לתיקון.

מה קורה למידע כשהצורך בו מסתיים?

סיום העבודה עם ספק וסיום מערכת הבחירות הם שני אירועים שיכולים לחייב פעולות שונות. ספק שסיים את תפקידו אינו אמור להמשיך להחזיק בגישה למערכות מכוח הרשאה שנותרה פתוחה. במקביל נדרש לטפל במידע שנמסר לו ובעותקים שנוצרו במהלך השירות, בהתאם לדין ולהסדר שנקבע בהתקשרות.

ביחס למידע מפנקס הבוחרים קיימת התחייבות ייעודית להשמדת המידע והעיבודים שנעשו ממנו ולהחזרת הקבצים, במועדים הקבועים בהתחייבות הנלווית לקבלתו. אלה מועדים הקשורים להליך הבחירות ולהליכי הערעור על התוצאות; אין מדובר בכלל המחייב למחוק את כל המידע שמפלגה מחזיקה בשעת סגירת הקלפיות.

מידע שנאסף בנפרד ועל בסיס כדין נבחן לפי מקורו, מטרותיו והדין החל עליו. מאגר המשלב מידע כזה עם נתוני הפנקס מחייב להבחין בין המקורות גם בשלב הסיום. עצם השילוב אינו מכשיר את המשך שמירתם של נתונים ועיבודים הכפופים לחובת הביעור.

גם היקף המחיקה משמעותי. מדריך הרשות לתקנה 15 מתייחס לטיפול בקבצים בכל המערכות שבהן עובדו, לרבות תיבות דוא״ל, תיקיות וגיבויים, ולדיווח הכולל אישור סופי ומחייב על ההשבה או ההשמדה. מבחינה מעשית, מחיקת הרשימה ממסך העבודה המרכזי עשויה להשאיר עותקים נוספים הדורשים טיפול.

שקיפות כלפי הבוחר היא חלק מהאחריות

כללי הדיוור הישיר מחברים בין ניהול המאגר לבין האדם שאליו פונים. פנייה אישית המבוססת על השתייכות לקבוצת אוכלוסייה שנקבעה לפי אפיון אחד או יותר עשויה להיחשב דיוור ישיר. לכן יש לבחון כיצד נבחרו הנמענים ומה היה הבסיס לפנייה; עצם היותה הודעה פוליטית אינו מכריע לבדו את הסיווג.

כאשר חלים כללי הדיוור הישיר, נדרשים פרטים המאפשרים לנמען לזהות את הגורם הפונה, להבין את מקור המידע ולהכיר את זכותו לבקש מחיקה בהתאם לדין. גם הנחיות הרשות לפניות ממפלגות עוסקות בהבחנה בין פניות כלליות לבין פניות המבוססות על מאפיינים אישיים.

לצד האחריות המוטלת על הגופים המנהלים את המידע, כדאי להכיר גם את הזכויות של מי שמקבל מסרוני בחירות, ובהן בירור מקור הפרטים ובקשת מחיקה במסגרת דיני הדיוור הישיר. מבחינת הגוף הפונה, טיפול ענייני בבקשה דורש לדעת היכן המידע נמצא ומי אחראי לפעול בעניינו.

האחריות למידע של הבוחרים נבחנת ביכולת להסביר את השימוש בו ולפקח עליו לאורך הדרך: ממקור הנתונים, דרך הרשאות העובדים והספקים ועד הטיפול בעותקים בסיום. אותה יכולת קובעת גם אם בוחר שפונה בשאלה יקבל תשובה הנוגעת לפרטים שלו ולשימוש שנעשה בהם.