אירופה מהדקת את אבטחת הפרטיות, וחברות ישראליות חשופות לקנסות ענק

חברות טכנולוגיה ישראליות, גם אלו הפועלות באיחוד האירופי, נדרשות להתמודד עם רגולציות פרטיות ואבטחת מידע מחמירות. באיחוד האירופי, חוק חוסן הסייבר (Cyber Resilience Act) מחייב יצרנים של מוצרים דיגיטליים המשווקים באיחוד לדווח לרשויות הסייבר על אירועי אבטחה תוך 24 שעות מרגע היוודע על חולשה. לאחר מכן נדרש דיווח מפורט יותר תוך 72 שעות ודוח סופי תוך שבועיים או חודש, תלוי בחומרת התקרית. החוק חל על מגוון מוצרים, כולל אפליקציות מובייל ואינטרנט, ואי-עמידה בו עלולה לגרור קנסות של עד 15 מיליון אירו או 2.5% מהמחזור השנתי העולמי. חוק זה מהווה שלב מקדים לחקיקה נוספת שתכנס לתוקף בדצמבר 2027.

עו"ד דותן המר מסביר כי מטרת החוק היא לחזק את הגנת הסייבר של מוצרים דיגיטליים ולהבטיח התרעה מהירה על סיכונים. הוא מדגיש שהחובות אינן תלויות בקיום מידע אישי, אלא בחומרת החולשה או התקרית עצמה. כדי להיערך, מומלץ למפות מוצרים רלוונטיים, לעדכן נהלים ולקבוע צוות תגובה רב-תחומי.

במקביל, בארה"ב, חברות ישראליות בקליפורניה התמודדו עם גל תביעות המוניות במסגרת חוק ה-CIPA, שנועד במקור למנוע האזנות סתר אך הפך לכלי תביעה בידי אזרחים פרטיים. אלפי תביעות הוגשו בגין שימוש בטכנולוגיות מעקב ואנליטיקה סטנדרטיות. אלעד לוי מציין כי חברות רבות, גם כאלו שפעלו בליווי משפטי, נאלצו להשבית כלי מעקב, מה שפגע בפעילותן השיווקית. עם זאת, לאחרונה אושר תיקון חקיקה בקליפורניה, שיכנס לתוקף בינואר 2027, המבטל את זכות התביעה הפרטית ומעביר את סמכות האכיפה לידי התובע הכללי. למרות זאת, חוק ה-CCPA עדיין בתוקף ומחייב הקפדה על ניהול דאטה שקוף.