עדכון שבועי 05.01.2023

כלליה החדשים של הוועדה האמריקאית לניירות ערך ובורסות, הצפויים בשנה הקרובה: הגברת חובות הניהול של סיכוני סייבר בחברות לאור המשך מגמת העלייה העולמית במתקפות הסייבר, בין היתר על רקע המלחמה ההיברידית המתמשכת בין רוסיה לאוקראינה, נרשמת עלייה גם במעורבותם של רגולטורים במדינות שונות בנושא ניהול סיכוני הסייבר של חברות פרטיות. אי לכך, צפויה מגמה של העמקת עיסוקם של דירקטוריונים והנהלות בכירות בניהול סיכוני סייבר ובשיתוף הפעולה של אלה עם רגולטורים מדינתיים. דוגמה בולטת לחובה מוגברת בנושא זה שתוטל על חברות היא הנחיית הוועדה האמריקאית לניירות ערך ובורסות (SEC) שנשלחה להערות הציבור במרץ 2022 (המועד האחרון לקבלת ההערות נדחה באוקטובר 2022), אשר מחדדת את חובת הדיווח תוך 4 ימים על אירוע סייבר המשפיע באופן משמעותי על הארגון, דורשת דיווח תקופתי אודות מדיניות ונהלי הארגון בהקשר של הגנת סייבר ומחייבת ניהול מוקפד יותר של סיכוני סייבר על ידי הנהלת החברה. בשעה זו טרם נקבע מועד כניסתם לתוקף של כללי ה-SEC. על פי סקר שערך בארצות הברית האיגוד הלאומי של דירקטורים תאגידיים (NACD), כ-34% מהדירקטורים ב-312 החברות שנסקרו אינם סומכים על רמת מומחיות הסייבר של הדירקטוריונים בהם הם משתתפים. 

דוח הצוות המייעץ לשר התקשורת: פלטפורמות דיגיטליות מחייבות רגולציה בדחיפות
בחודש דצמבר פורסם דוח הצוות המייעץ לשר התקשורת לבחינת האסדרה של פלטפורמות תוכן דיגיטליות, לאחר שעמל משך יותר משנה על בחינת הצורך בקידום רגולציה שתסדיר את הפעילות בפלטפורמות דיגיטליות בישראל. הצוות קבע כי בהקשר זה יש שתי סוגיות דחופות ומטרידות במיוחד, "ההתפשטות וההדהוד של תכנים בלתי חוקיים ופוגעניים" בפלטפורמות מסוימות, וכן "חוסר האיזון ביחסי הכוחות בין מפעילי הפלטפורמות החברתיות לציבור המשתמשים", דבר המוביל לפגיעה בזכויות המשתמשים. הוועדה ממליצה להחיל את חבילת הרגולציה החדשה על מי שמפעיל פלטפורמה חברתית מקוונת שבה משתמשים באופן פעיל יותר מ-5% מהציבור הישראלי (500,000 משתמשים פעילים ומעלה).

​

קנס בגובה 400 מיליון דולר ל-Meta: הרשות האירית להגנת הפרטיות שוב מזהה שימוש לא חוקי במידע אישי של משתמשי פייסבוק ואינסטגרם

הרשות האירית המיישמת את דיני הגנת המידע האישי תחת הרגולציה האירופית הכללית להגנה על מידע (GDPR) ואת דיני הגנת הפרטיות של אירלנד, הטילה את הקנס על חברת Meta בגין חיוב משתמשים שהם אנשים פרטיים לקבל פרסומות המותאמות להתנהלותם הצרכנית ולנתונים אישיים נוספים שלהם. החלטה רגולטורית עשוה לחייב שינויים משמעותיים במודל העסקי הקיים של Meta, שהינו מבוסס-פרסום, לפחות בנוגע לשוק של האיחוד האירופי - מהשווקים הגדולים של החברה, הכולל כמעט 450 מיליון תושבים. מקס שרמס, שתבע בעבר את פייסבוק על הפרות דומות של דיני הגנת הפרטיות של האיחוד האירופי (ראו ״הסייבר״, 20.5.21), אמר על החלטתו של הרגולטור האירי כי "במקום בו יש אפשרות של 'כן/לא' למודעות מותאמות אישית [למשתמשים בשירותי Meta], הם פשוט העבירו את סעיף ההסכמה [לשימוש במידע אישי של נושא המידע] למסמך התנאים וההגבלות [Terms and Conditions]. לא רק שזה לא הוגן, אלא שזה בלתי חוקי בעליל. איננו מודעים לאף חברה אחרת שניסתה להתעלם מה-GDPR בצורה כה יהירה". Meta מתכוונת לערער על ההחלטה.

בית משפט בקנדה: פריצת סייבר אינה בהכרח בסיס לתביעה בגין היעדר הגנה על מידע אישי מצד הארגון המותקף 

פסק דין של בית המשפט לערעורים באונטריו מחודש נובמבר קובע באופן תקדימי כי חברה שאינה מצליחה למנוע פריצת סייבר למערכותיה אינה בהכרח אחראית להפרת דיני הגנת הפרטיות של מידע אישי. פסק דין זה מנתק את הקשר שהיה קיים - ועודנו מתקיים באזורי שיפוט אחרים - בין הצלחתה של חברה להתגונן מפני מתקפות סייבר לבין הגנתה על מידע אישי. במקום זאת, בית המשפט באונטריו נתן משקל למניע הפעולה הבלתי-חוקית, בקובעו כי פעולה שמפרה את דיני הפרטיות חייבת לענות על שלוש דרישות נפרדות: (1) דרישה התנהגותית, לפיה פעולת החדירה לפרטיות הינה חסרת הצדקה חוקית; (2) דרישה בתחום המצב הנפשי, לפיה ההתנהגות הפלילית נעשתה במתכוון או בפזיזות; (3) דרישת תוצאתית, לפיה אדם סביר יחשיב את הפגיעה בפרטיות לפוגענית ביותר ולכזו "הגורמת למצוקה, להשפלה או לייסורים". פסק דין זה, ושניים נוספים שנקבעו בנושאים דומים, מהווים התפתחות משמעותית בדיני הגנת הפרטיות הקנדיים, ובעיני מומחים "יהיו להם השלכות מיידיות על תביעות ייצוגיות בנושאי פרטיות ברחבי קנדה״.