בשנים האחרונות אנו עדים להחמרה משמעותית בדרישות להגנת פרטיות ברחבי העולם. תקנות כמו GDPR באירופה, CCPA בקליפורניה, PIPEDA בקנדה וחקיקות נוספות במדינות רבות, יצרו סטנדרט חדש לניהול מידע אישי. בישראל, תיקון 13 לחוק הגנת הפרטיות מהווה צעד משמעותי נוסף בכיוון זה.
עבור ארגונים המבצעים בדיקות רקע מבוססות מודיעין ממקורות מידע גלויים (OSINT), עולה לעיתים השאלה האם רגולציות אלו יהפכו את הבדיקות לבלתי אפשריות או יפגעו באפקטיביות שלהן.
התשובה המקצועית היא לא.
הרגולציה משנה את הדרך שבה מבצעים את הבדיקה, אך אינה מבטלת את הצורך בה ואינה מונעת ביצוע בדיקות איכותיות כאשר הן נעשות בצורה מקצועית, חוקית ומידתית.
מהו תיקון 13 לחוק הגנת הפרטיות? תיקון 13 נועד לחזק את יכולות האכיפה של רשות הגנת הפרטיות ולהתאים את החוק הישראלי לסטנדרטים בינלאומיים מודרניים. בין היתר, התיקון מעניק לרשות הגנת הפרטיות סמכויות אכיפה רחבות יותר, מגדיל באופן משמעותי את גובה העיצומים הכספיים, מחייב ארגונים לנהל מידע אישי בצורה אחראית יותר, מגביר את האחריות של בעלי מאגרי מידע ומעבדי מידע, ומחזק את זכויותיהם של נושאי המידע. בפועל, המשמעות עבור ארגונים היא שהפרת הוראות פרטיות עלולה להפוך לסיכון עסקי, משפטי ותדמיתי משמעותי.
כיצד משפיעות רגולציות פרטיות על בדיקות רקע? הטעות הנפוצה ביותר היא לחשוב שחקיקת פרטיות אוסרת על איסוף מידע. למעשה, רוב הרגולציות בעולם אינן אוסרות איסוף מידע אישי באופן גורף. הן מחייבות שהאיסוף יבוצע על בסיס עקרונות ברורים: מטרה לגיטימית, מידתיות, שקיפות, צמצום מידע, אבטחת מידע ושמירה מוגבלת בזמן. כלומר, השאלה אינה "האם מותר לאסוף מידע?", אלא "איזה מידע נאסף, מדוע הוא נאסף, וכיצד משתמשים בו?".
השימוש בOSINT אינו פטור מחוקי פרטיות. קיימת תפיסה שגויה נוספת שלפיה מידע שפורסם באינטרנט הוא "חופשי לשימוש". העובדה שמידע נמצא ברשת אינה מבטלת את היותו מידע אישי. לדוגמה: פרופיל לינקדאין, פרסומים ברשתות חברתיות, כתבות חדשותיות, רישומים עסקיים ותכנים בפורומים. כל אלה עשויים להיחשב מידע אישי ולחול עליהם דיני פרטיות. לכן, ארגון המבצע בדיקות רקע אינו יכול להסתמך על הטענה שהמידע היה "פומבי" בלבד.
כיצד ניתן לבצע בדיקות רקע איכותיות בהתאם לרגולציה?
הגדרת מטרה ברורה: בדיקת רקע צריכה להיות קשורה ישירות לסיכון שהארגון מבקש לצמצם. למשל: איתור ניגודי עניינים, זיהוי הונאות עבר, איתור התנהגויות העלולות לפגוע בארגון, בחינת סיכוני מוניטין וזיהוי קשרים עסקיים בעייתיים. איסוף מידע שאינו קשור למטרה זו עלול להיחשב חריגה מעקרון המידתיות.
איסוף מידע רלוונטי בלבד: בדיקה מקצועית אינה נמדדת בכמות המידע שנאסף אלא באיכות המידע. במקרים רבים, עודף מידע דווקא מקשה על קבלת החלטות. הגישה הנכונה היא להתמקד במידע בעל ערך עסקי אמיתי ולקשר אותו להערכת הסיכון הנדרשת.
שימוש באנליסטים אנושיים: אחת הבעיות המרכזיות בבדיקות אוטומטיות היא איסוף מאסיבי של מידע ללא הקשר. אנליסט מקצועי יודע להבחין בין עובדה לדעה, להצליב מקורות, לזהות טעויות בזיהוי, להבין הקשרים תרבותיים ושפתיים ולהפעיל שיקול דעת. דווקא בעולם של רגולציה מחמירה, הערך של הגורם האנושי גדל.
שקיפות והסכמה כאשר נדרש: בהליכי גיוס עובדים או התקשרויות מסוימות, מומלץ לקבל הסכמה מפורשת לביצוע בדיקת רקע. גם כאשר החוק אינו מחייב זאת באופן מלא, הסכמה ברורה מחזקת את הלגיטימיות של התהליך ומקטינה סיכונים משפטיים.
מחיקת מידע ושמירה מוגבלת: אחד מעקרונות היסוד ברוב רגולציות הפרטיות הוא הגבלת משך השמירה. לאחר השלמת הבדיקה וקבלת ההחלטה העסקית, יש לבחון האם קיימת הצדקה להמשך שמירת המידע, האם ניתן למחוק את הדוחות, והאם יש צורך בשמירת נתונים חלקית בלבד. גישה זו מפחיתה סיכוני אבטחת מידע ומקטינה חשיפה רגולטורית.
היתרון של OSINT דווקא בעידן הפרטיות: באופן פרדוקסלי, רגולציות פרטיות מחזקות דווקא את מעמדן של בדיקות OSINT איכותיות. בעבר, ארגונים רבים הסתמכו על איסוף מידע ממאגרים רבים, חלקם בעייתיים מבחינה משפטית. היום, הדגש עובר למידע שנאסף ממקורות גלויים, חוקיים, מתועדים וניתנים לאימות. כאשר הבדיקה מבוצעת באופן מקצועי, ניתן להגיע לתובנות משמעותיות גם ללא גישה למידע פרטי או חסוי. במקרים רבים, דווקא המידע הגלוי מספק את האינדיקציות החשובות ביותר לגבי התנהגות, קשרים עסקיים, סיכוני מוניטין או ניגודי עניינים.
המפתח הוא Governance ולא איסור: המסר המרכזי של תיקון 13 ושל רגולציות הפרטיות בעולם אינו "אל תבצעו בדיקות רקע". המסר הוא: בצעו אותן בצורה אחראית. ארגונים שיבנו תהליכי עבודה מסודרים, יקפידו על מידתיות, יפעילו מנגנוני בקרה וישתמשו באנליסטים מקצועיים, יוכלו להמשיך לבצע בדיקות רקע אפקטיביות ביותר גם תחת רגולציה מחמירה.
למעשה, בעולם שבו איומים פנימיים, הונאות, התחזויות מבוססות AI וניגודי עניינים הופכים מורכבים יותר, הצורך בבדיקות רקע מקצועיות רק הולך וגדל.
האתגר החדש אינו למצוא מידע. האתגר הוא לדעת לאסוף את המידע הנכון, להשתמש בו בצורה חוקית ולהפיק ממנו תובנות בעלות ערך אמיתי לקבלת החלטות.