הצעה לחייב מוסדות ציבוריים בביטוח סייבר ולהבהיר אחריות לפיצויים על דליפות מידע

החבר הדגיש כי יש להבחין בין קנס מנהלי, המהווה עונש על הפרת חוק, לבין פיצויים המשמשים להשבת נזק שנגרם לנפגעים. ועדת הגנת המידע האישי אישרה כי שני המנגנונים שונים במטרותיהם ובאופיים. על פי חוק הגנת המידע האישי הקיים, מוסדות ציבוריים נכללים בהגדרת גוף המעבד מידע, וחוק זה מאפשר לנפגעים לתבוע פיצויים אם הוכח כי הנזק נגרם עקב הפרת החוק על ידי הגוף המעבד.

עם זאת, אין מנגנון אוטומטי המעניק פיצוי קבוע לכל נפגע מעצם העובת הדליפה. קביעת האחריות והיקף הפיצוי תלויה בהוכחת קיום עוולה, התרחשות נזק וקשר סיבתי בין השניים. בית המשפט העליון הבהיר כי גם כאשר חוק הגנת המידע מטיל את נטל ההוכחה על היעדר כוונה או רשלנות על הגוף המעבד, אין הדבר אומר כי עצם הפרת החוק מוכחת מאליה.

ראש משרד תיאום המדיניות הממלכתית, לים קי-גון, הסכים כי יש צורך להגביר את המודעות להגנת מידע במוסדות ציבוריים. הוא אישר כי עקרון האחריות לפיצויים במקרה של רשלנות בניהול המידע תקף גם למוסדות אלו, אך ציין כי כל מקרה דורש בחינה נפרדת ומדוקדקת.

כפתרון מעשי לתמיכה בפיצוי הנפגעים, הציע החבר ג'ו לחייב מוסדות ציבוריים וכן חברות פרטיות לרכוש ביטוח סייבר. מטרת ההצעה היא לאפשר חלוקת סיכונים בין המגזרים ולהבטיח מקור מימון זמין במקרה של אירוע אבטחה. יישום מנגנון ביטוחי כזה יחייב תכנון מפורט שיגדיר את היקף הכיסוי, גבולות האחריות והשתתפות עצמית, ויבחין בין פיצוי לנפגעים לבין כיסוי עלויות תגובה לאירוע ושחזור מערכות.