האיחוד האירופי: GDPR
מתי חל על חברה ישראלית. סעיף 3(2) ל-GDPR מחיל את הרגולציה גם על גוף שאינו ממוקם באיחוד, כשהוא מציע סחורות או שירותים לאנשים באיחוד, או מנטר את התנהגותם שם.
מה נדרש בדרך כלל. בסיס חוקי לכל עיבוד, יידוע שקוף, מענה לזכויות נושאי מידע, הסכמי עיבוד עם ספקים, ובמקרים מסוימים מינוי נציג באיחוד (סעיף 27) וממונה על הגנת המידע (סעיף 37).
העברות מידע. לישראל מעמד של מדינה בעלת רמת הגנה נאותה בעיני האיחוד האירופי, מה שמקל על העברת מידע מהאיחוד לישראל. המעמד אינו פוטר מהחובות האחרות של ה-GDPR, ואינו חל על העברה הלאה ממדינה שלישית.
בריטניה: UK GDPR
מאז היציאה מהאיחוד פועלת בבריטניה מסגרת נפרדת, דומה במהותה ל-GDPR. חברה שפועלת בשני השווקים צריכה לבחון את שתי המסגרות.
ארצות הברית: CCPA ודיני המדינות
אין בארה"ב חוק פרטיות פדרלי כללי. חוק הפרטיות של קליפורניה (CCPA, כפי שתוקן ב-CPRA) ושורה של חוקי מדינה נוספים חלים על עסקים שעוברים ספי תחולה של מחזור הכנסות, היקף מידע או מכירת מידע. הדרישות כוללות גילוי, זכויות צרכנים, הגבלות על מכירה ושיתוף של מידע, והסכמים עם ספקים.
ה-CCPA אינו מחייב מינוי ממונה על הגנת הפרטיות.
איך נראית העבודה
מיפוי תחולה. אילו משטרים חלים, על אילו פעילויות ועל אילו נושאי מידע.
מסגרת משותפת. נהלים ומסמכים שעונים על הדרישות המשותפות, עם התאמות לכל משטר.
חוזים. הסכמי עיבוד מידע, תנאים חוזיים להעברות, והתאמה לדרישות לקוחות זרים.
מענה לשאלוני לקוחות. ליווי במענה לשאלוני אבטחה ופרטיות של לקוחות אנטרפרייז.
תוכנית ציות
מרשם סיכונים. זיהוי הסיכונים המשפטיים והתפעוליים, הערכת חומרה וסבירות, ובעלות על כל סיכון.
מיפוי דרישות. ריכוז הדרישות מהחוק, מהתקנות, מהחוזים ומהתקנים שהארגון בחר לעמוד בהם, במקום אחד.
בקרות. קביעת בקרות, בעלי אחריות ותדירות בדיקה.
ראיות. תיעוד שמאפשר להראות עמידה בפני רגולטור, לקוח או מבקר.
הנהלה ודירקטוריון
דירקטוריון והנהלה נדרשים יותר ויותר להפעיל פיקוח על סיכוני מידע, סייבר ו-AI, ולתעד את הפיקוח. המשרד מסייע בבניית מנגנון דיווח תקופתי, בהגדרת תחומי האחריות, ובהדרכת חברי הדירקטוריון.
תקנים בינלאומיים
תקנים אינם חובה חוקית, אבל הם שפה משותפת עם לקוחות, מבקרים ומשקיעים, ולעיתים גם כלי לעמידה בחובה. כך למשל, לפי גילוי הדעת של הרשות להגנת הפרטיות מאפריל 2026 בעניין העברת מידע לחו"ל, מקבל המידע רשאי, כחלופה, להצהיר ולהתחייב שארגונו מוסמך לתקן ISO/IEC 27001 ומקיים את הוראותיו, בצירוף התחייבות לקיים הוראות מסוימות מתקנות אבטחת המידע.
העבודה מותאמת למסגרות, לדרישות ולתקנים הרלוונטיים לארגון ולתהליך הנבדק, בהתאם לצורך ולהיקף הליווי.
היקף הליווי
התחום מוגבל לסיכוני מידע, פרטיות, סייבר ובינה מלאכותית. המשרד אינו עוסק בדיני חברות כלליים, במיזוגים וברכישות או בממשל תאגידי במובנו הרחב.
הליווי ניתן מנקודת המבט של עורך דין ישראלי העוסק בדיני פרטיות. כשנדרשת חוות דעת לפי דין זר או ייצוג מול רשות זרה, העבודה נעשית בשיתוף עורכי דין מקומיים באותה מדינה.