מדריך מלא לתאימות לתקנות ה-GDPR עבור שיחות וידאו
תקנת הגנת המידע הכללית (GDPR) חלה על שיחות וידאו בכל פעם שאתם מעבדים מידע אישי של אנשים הנמצאים באזור הכלכלי האירופי. מדריך מקיף זה מכסה את המסגרת המשפטית, הסכמי עיבוד נתונים, בסיסים חוקיים לעיבוד, זכויות נושאי מידע, מנגנוני העברה חוצת גבולות ורשימת תיוג מעשית לתאימות עבור ארגונים המשתמשים בפלטפורמות וידאו כמו DigitalMeet.
מתי GDPR חל על שיחות וידאו
היקף טריטוריאלי
תקנת ה-GDPR (תקנה (EU) 2016/679) חלה כאשר אתם מעבדים מידע אישי של אנשים באזור הכלכלי האירופי, ללא קשר למיקום הארגון שלכם (סעיף 3). בהקשר של שיחות וידאו, מידע אישי כולל:
- שמות המשתתפים, כתובות הדוא"ל וכתובות ה-IP
- הקלטות אודיו ווידאו המכילות אנשים ניתנים לזיהוי
- הודעות צ'אט וקבצים משותפים
- מטא-נתונים של פגישות (זמני הצטרפות/עזיבה, משך, פרטי מכשיר)
- תמלילים וסיכומים שנוצרו על ידי בינה מלאכותית המכילים דיבור שניתן לזהותו
סעיף 4(1) לתקנת ה-GDPR: "'נתונים אישיים' פירושם כל מידע הקשור לאדם טבעי מזוהה או ניתן לזיהוי." הקלטות וידאו, הקלטות קול ומטא-דאטה התנהגותיים כולם עומדים בקריטריונים כאשר הם קשורים לאדם שניתן לזהותו.
מאמרים מרכזיים ב-GDPR לשיחות ועידה בווידאו
| סָעִיף | נוֹשֵׂא | רלוונטיות לשיחות ועידה בווידאו |
|---|---|---|
| סעיף 5 | עקרונות העיבוד | חוקיות, הוגנות, שקיפות, הגבלת מטרה, מזעור נתונים, דיוק, הגבלת אחסון, שלמות וסודיות, אחריות |
| סעיף 6 | בסיס חוקי לעיבוד | עליך לזהות בסיס חוקי (הסכמה, חוזה, עניין לגיטימי וכו') לכל פעילות עיבוד. |
| סעיף 9 | קטגוריות מיוחדות של נתונים | נתוני בריאות בסרטוני טלה-רפואה דורשים הסכמה מפורשת או חריג אחר לפי סעיף 9 |
| סעיף 13/14 | מידע לנושאי נתונים | לספק הודעות פרטיות ברורות לפני או בזמן איסוף הנתונים (הצטרפות לפגישה) |
| סעיף 15–22 | זכויות נושא הנתונים | גישה, תיקון, מחיקה, הגבלה, ניידות, התנגדות, קבלת החלטות אוטומטית |
| סעיף 25 | הגנה על נתונים מעוצבת וברירת מחדל | על הפלטפורמה ליישם ברירות מחדל להגנה על הפרטיות (למשל, הקלטה מושבתת כברירת מחדל, איסוף נתונים מינימלי) |
| סעיף 28 | התחייבויות המעבד | לספק הווידאו שלך (מעבד) חייב להיות הסכם עיבוד נתונים המפרט הוראות עיבוד, אמצעי אבטחה, מעבדי משנה וזכויות ביקורת. |
| סעיף 32 | אבטחת העיבוד | הצפנה, בקרות גישה, חוסן ובדיקות שוטפות המתאימות לסיכון |
| סעיף 33/34 | הודעת הפרה | הודעה לרשות המפקחת תוך 72 שעות; הודעה לנושאי הנתונים אם מדובר בסיכון גבוה |
| סעיפים 44–49 | העברות בינלאומיות | העברות מחוץ לאזור הכלכלי האירופי דורשות אמצעי הגנה נאותים (תקנות שוויון גבולות, החלטות נאותות, תקנות חברות ציבוריות) |
הסכמי עיבוד נתונים
סעיף 28 דרישות
כאשר אתם משתמשים בפלטפורמת שיחות וידאו, הספק פועל כמעבד נתונים במסגרת GDPR. סעיף 28 דורש חוזה בכתב (DPA) המפרט:
- נושא ומשך העיבוד
- אופי ומטרת העיבוד
- סוג הנתונים האישיים וקטגוריות של נושאי הנתונים
- חובות וזכויות של הבקר
- אמצעי אבטחה שעל המעבד ליישם (סעיף 32)
- תנאי התקשרות עם מעבד משנה והודעה
- סיוע בנוגע לזכויות נושאי מידע ודיווח על הפרות מידע
- זכויות ביקורת עבור הבקר
- החזרת נתונים או מחיקתם לאחר סיום חוזה
DigitalMeet מציעה הסכמי הגנה על מידע (DPA) התואמים ל-GDPR, המכסים וידאו, הקלטה, תמלול, עיבוד ואחסון של בינה מלאכותית. הסכמי ההגנה על מידע שלנו כוללים רשימות של מעבדי משנה, התחייבויות אבטחה והוראות ביקורת.
בסיס חוקי והסכמה
כל פעילות עיבוד הכוללת נתונים אישיים דורשת בסיס חוקי לפי סעיף 6. עבור שיחות וידאו, הבסיסים הנפוצים כוללים:
- חוזה (סעיף 6(1)(ב)) - עיבוד נחוץ לביצוע חוזה (למשל, מתן פגישת וידאו כחלק מהסכם שירות)
- אינטרס לגיטימי (סעיף 6(1)(ו)) - עיבוד הנדרש למען אינטרס לגיטימי שאינו גובר על זכויותיו של נושא המידע (למשל, פגישות עסקיות פנימיות)
- הסכמה (סעיף 6(1)(א)) - הסכמה הניתנת מחופש, ספציפית, מדעת וחד משמעית (נדרשת לעתים קרובות לצורך הקלטה ועיבוד באמצעות בינה מלאכותית)
עבור הקלטה ותמלול, הסכמה היא הבסיס הנפוץ ביותר מכיוון שפעילויות אלה חורגות מעבר למה שנדרש אך ורק לפגישה עצמה. יש לקבל את ההסכמה לפני תחילת ההקלטה, והמשתתפים חייבים להיות מסוגלים לבטל את הסכמתם מבלי לפגוע.
זכויות נושא הנתונים
GDPR מעניק לאנשים זכויות מקיפות על המידע האישי שלהם. הארגון שלך ופלטפורמת הווידאו שלך חייבים לתמוך בזכויות אלה:
| יָמִינָה | סעיף GDPR | אפליקציית שיחות וידאו | מועד אחרון לתגובה |
|---|---|---|---|
| זכות הגישה | סעיף 15 | לספק עותקים של הקלטות, תמלולים ומטא-דאטה הקשורים לנושא המידע | חודש אחד (ניתן להארכה ב-2 חודשים) |
| הזכות לתיקון | סעיף 16 | תיקון נתונים אישיים לא מדויקים ברישומי פגישות או בפרופילי משתתפים | חודש אחד |
| הזכות למחיקה ("הזכות להישכח") | סעיף 17 | מחיקת הקלטות, תמלולים ומטא-דאטה לפי בקשה תקפה | חודש אחד |
| הזכות להגבלה | סעיף 18 | הגבלת העיבוד כאשר הדיוק או החוקיות שנויים במחלוקת | חודש אחד |
| הזכות לניידות נתונים | סעיף 20 | ייצוא נתוני פגישה בפורמט מובנה וקריא על ידי מכונה | חודש אחד |
| הזכות להתנגד | סעיף 21 | התנגדות לעיבוד המבוסס על אינטרס לגיטימי; יש להפסיק זאת אלא אם כן קיימים עילות משכנעות | ללא עיכוב בלתי סביר |
| זכויות הקשורות לקבלת החלטות אוטומטיות | סעיף 22 | אם תכונות בינה מלאכותית מקבלות החלטות אוטומטיות בעלות השלכות משפטיות או משמעותיות, יש לספק אפשרות לבדיקה אנושית | חודש אחד |
DigitalMeet תומך בייצוא נתונים, מחיקה (כולל זרימות עבודה של הזכות להישכח) ומעקבי ביקורת המתעדים עמידה בבקשות נושא הנתונים.
העברות נתונים חוצות גבולות
מנגנוני העברה לפי סעיפים 44-49
העברת מידע אישי מחוץ לאזור הכלכלי האירופי מוגבלת על פי סעיפים 44-49 של GDPR. מנגנוני העברה תקפים כוללים:
| מנגנון העברה | סעיף GDPR | תֵאוּר | שיקולים |
|---|---|---|---|
| החלטת התאמה | סעיף 45 | הנציבות האירופית קובעת כי המדינה המקבלת מבטיחה הגנה נאותה | כולל נכון לעכשיו את בריטניה, יפן, דרום קוריאה ואחרות; מסגרת פרטיות הנתונים של האיחוד האירופי-ארה"ב חלה על ארגונים אמריקאים מוסמכים |
| סעיפים חוזיים סטנדרטיים (SCCs) | סעיף 46(2)(ג) | תנאי חוזה שאושרו מראש בין יצואן נתונים ליבואן | יש לבצע הערכת השפעות העברה (TIA); להשלים עם אמצעים טכניים במידת הצורך |
| תקנון תאגידי מחייב (BCRs) | סעיף 47 | מדיניות העברת נתונים תוך-קבוצתית שאושרה על ידי רשויות הפיקוח | מורכב וגוזל זמן להקמה; מתאים לחברות רב-לאומיות גדולות |
| חריגות (הסכמה, הכרח בחוזה) | סעיף 49 | חריגים מוגבלים למצבים ספציפיים | לא מתאים להעברות שיטתיות בקנה מידה גדול |
אחסון הנתונים הניתן להגדרה של DigitalMeet מאפשר לך לשמור את נתוני ה-EEA לחלוטין בתוך ה-EEA, ובכך מבטל את הצורך במנגנוני העברה חוצי גבולות. במקומות בהם העברות נחוצות, DigitalMeet תומך ב-SCCs ומשתתף במסגרות רלוונטיות. לארכיטקטורת אחסון נתונים, ראה אחסון נתונים ותאימות .
רשימת בדיקה לקציני ציות
- ☐ הסכם עיבוד נתונים שנחתם עם ספק וידאו (סעיף 28)
- ☐ זוהה ותועד בסיס חוקי לכל פעילות עיבוד (סעיף 6)
- ☐ הודעת הפרטיות עודכנה כך שתכלול גם עיבוד נתונים של שיחות וידאו (סעיפים 13/14)
- ☐ מנגנון הסכמה מיושם להקלטה ותמלול (סעיף 6(1)(א))
- ☐ הליכי זכויות נושא המידע מוגדרים ונבדקים (סעיפים 15-22)
- ☐ הגדרת אחסון נתונים לשמירת נתוני EEA בתוך ה-EEA (סעיפים 44–49)
- ☐ הערכת השפעה על העברה הושלמה עבור כל העברה שאינה מאזור ה-EEA
- ☐ אמצעי אבטחה מאומתים: הצפנה, בקרות גישה, רישום ביקורת (סעיף 32)
- ☐ נהלי הודעה על הפרות בהתאם לדרישת 72 השעות (סעיפים 33/34)
- ☐ הערכת השפעה על הגנת מידע נערכת במקרה של עיבוד בסיכון גבוה (סעיף 35)
- ☐ רשימת מעבדי המשנה נבדקה ונקבע תהליך ניטור
- ☐ מדיניות שמירה מוגדרת ונבדקה מחיקה אוטומטית
שאלות נפוצות
האם DigitalMeet עומד בתקנות ה-GDPR?
כן. DigitalMeet מציעה הסכמי עיבוד נתונים התואמים ל-GDPR, תומכת בכל זכויות נושא הנתונים, מספקת אחסון נתונים הניתן להגדרה ומיישמת את אמצעי האבטחה הנדרשים על פי סעיף 32.
האם נוכל לאחסן נתוני האיחוד האירופי אך ורק בתוך האיחוד האירופי?
כן. בקרות שמירת הנתונים לפי דייר של DigitalMeet מאפשרות לך להגביל את כל נתוני הפגישות - הקלטות, מטא-דאטה, תמלולים - למרכזי נתונים באיחוד האירופי.
כיצד אנו מטפלים בבקשות מחיקה לפי סעיף 17?
DigitalMeet תומך בתהליכי עבודה למחיקה של הקלטות, תמלולים ונתוני משתתפים. מעקבי ביקורת מתעדים את המחיקה לצורך אימות תאימות.
איזה בסיס חוקי עלינו להשתמש בו להקלטת פגישות?
הסכמה (סעיף 6(1)(א)) היא הבסיס הנפוץ ביותר להקלטה. יש לוודא שמתקבלת הסכמה לפני תחילת ההקלטה ושהמשתתפים יכולים לבטל את הסכמתם.
האם DigitalMeet משתמשת במעבדי משנה?
כן. הסכם עיבוד המידע שלנו כולל רשימה עדכנית של מעבדי משנה עם הוראות הודעה על שינויים, כנדרש בסעיף 28(2).
האם אנו זקוקים להערכת השפעה על הגנת מידע (DPIA)?
אם שיחת הווידאו שלכם כרוכה בעיבוד בסיכון גבוה - כגון הקלטה בקנה מידה גדול, ניתוח בינה מלאכותית של תקשורת או עיבוד נתונים מקטגוריות מיוחדות - סביר להניח שיידרש DPIA לפי סעיף 35.
כיצד DigitalMeet מטפלת בהודעות על הפרות?
משרד עורכי הדין שלנו מתחייב להודיע לך ללא דיחוי בלתי סביר עם גילוי הפרת מידע אישי, מה שיאפשר לך לעמוד בדרישת ההודעה לרשות המפקחת תוך 72 שעות לפי סעיף 33.
מה לגבי הנחיית הפרטיות האלקטרונית?
הנחיית הפרטיות האלקטרונית (2002/58/EC) חלה על סודיות התקשורת האלקטרונית. הקלטת שיחות עשויה להפעיל חובות פרטיות אלקטרונית בנוסף ל-GDPR. בדקו את יישום הדרישות הספציפיות של המדינה החברה שלכם. ראו עמידה בחוקי הקלטה לפי מדינה לקבלת כללים ספציפיים לתחום שיפוט.