ת"צ 40923-03-20 ת"צ 40923-03-20 פרנג'י נ' מייהריטאג' בע"מ

בקשה לאישור הסדר פשרה בתובענה ייצוגית בסוגייה רגישה ואקטואלית שעניינה הגנה על הפרטיות והשימוש במידע האישי הנרחב המצוי במאגר מידע ,היא הבקשה שהוגשה בהתאם לסעיפים 18ו 19-לחוק תובענות ייצוגיות ,התשס"ו( 2006-להלן" :חוק תובענות ייצוגיות").

1 2 3

הרקע לבקשת האישור המשיבה לבקשת האישור ,חברת מייהריטאג' בע"מ ,היא חברה המספקת שירותי גנאלוגיה .1 דיגיטליים ללקוחות בישראל ובעולם .במסגרת פעולתה זו משווקת המשיבה פלטפורמות דיגיטליות המאפשרות ללקוחותיה המשתמשים ,לחולל מסמכים ולחלץ נתונים הקשורים לאילן היוחסין הפרטי שלהם ולשימור המורשת וההיסטוריה המשפחתית .בין היתר ,מציעה המשיבה שירותים של בניית אילנות יוחסין על בסיס הצלבת נתונים ממאגרי מידע שונים וכן מספקת במדינות מסוימות ,אך לא בישראל ,שירותי בדיקת דנ"א והעברת ממצאי הבדיקה הגנטית למשיבה לצורך הצלבתם עם מאגרי הנתונים שלה באופן שמאפשר ללקוחות המשיבה להתחקות אחר מוצאם האתני בהתבסס על עיבוד מטענם הגנטי.

4 5 6 7 8 9 10 11 12

.2

ביום 7.9.2012הצטרף המבקש ,מר סנדי אלכסנדר פרנג'י ,כלקוח לשירות "עץ משפחתי" של המשיבה (סעיף 10לתצהיר המבקש) .במעמד הצטרפותו כמשתמש-לקוח ,נדרש המבקש ,כמו יתר לקוחות המשיבה ,להסכים לתנאי השימוש ולמדיניות הפרטיות של המשיבה (נספח ד' לבקשת האישור ונספח 2לתגובת המשיבה לבקשת האישור בהתאמה).

13 14 15 16

.3

לציין כי כדי להנות משירותי המשיבה מסכימים הלקוחות להעביר למשיבה נתונים ומידע אישי .מדיניות הפרטיות של המשיבה מפרטת את סוגי המידע שנאסף על המשתמשים :שם פרטי; פרטי קשר; פרטי תשלום; שמות בני משפחה; מגדר ומין; קשרים משפחתיים; תאריכים ומקומות של התרחשויות אירועים משפחתיים כמו לידה ,נישואין ,גירושין ,הגירה

17 18 19 20

1מתוך 25

בית המשפט המחוזי בתל אביב -יפו ת"צ 40923-03-20פרנג'י נ' מייהריטאג' בע"מ

ומוות; תצלומים ,מסמכים ,הקלטות שמע וסרטוני וידאו אישיים; קבצי דנ"א; כתובות דואר אלקטרוני; כתובות מגורים; ועוד (נספח ד' לבקשת האישור) .בנוסף למידע שמעבירים הלקוחות למשיבה בהסכמתם ,נותנים הלקוחות את הסכמתם למשיבה לאיסוף נתונים ומידע לגביהם ממקורות היסטוריים חיצוניים דוגמת עיתונים ,תעודות נישואין ,פטירה והגירה ,נתונים ממשלתיים של לשכות אוכלוסין מסביב לעולם ועוד (שם).

1 2 3 4 5

.4

המידע הרב שאוספת המשיבה לגבי לקוחותיה ,שכזכור נתנו הסכמתם בעת ההרשמה לצורך קבלת השירות ,נשמר על גבי שרתי המשיבה .כך מובהר במדיניות הפרטיות של המשיבה: "כאשר הנך מספק/ת לנו מידע אישי כלשהו ,מידע אישי זה יכול להיות מועבר ולהישמר על ידנו במרכזי המידע המאובטחים שלנו בארה"ב העשויים לספק רמה אחרת של הגנה על נתונים אישיים ממה שנהוג במדינה בה אתה מתגורר .בהעברת מידע אישי לידנו הנך מסכים/ה באופן ספציפי להעברה ולעיבוד של מידע אישי ואחסונו במרכזי המידע שלנו בארה"ב .אנו נוקטים בכל אמצעי האבטחה הנאותים על מנת להבטיח את הגנת הפרטיות לנתונים האישיים שסיפקת .אנו מייחסים חשיבות רבה לאבטחת כל מידע המאפשר זיהוי אישי של החברים באתר .אנו נוקטים באמצעי אבטחה על מנת להגן מפני אבדן ,שימוש לרעה או שינוי בנתוני החב ר שנמצאים בפיקוחנו .למשל ,נהלי האבטחה והפרטיות שלנו נבחנים מחדש מעת לעת ומתוגברים במידת הצורך ורק לצוות עובדים מורשה יש גישה לנתונים האישיים .אנו משתמשים בתוכנות שרת מאובטח על מנת להצפין מידע פיננסי לפני שהוא נשלח אלינו .בעוד שאיננו יכולים להבטיח שאובדן ,שימוש לרעה או שינוי נתונים לא יתרחשו, אנו עושים מאמצים סבירים מבחינה מסחרית על מנת למנוע זאת" (שם).

6 7 8 9 10 11 12 13 14 15 16 17 18 19

.5

בסוף חודש אוקטובר ( 2017ליתר דיוק ,ביום 27.10.2017לפי זמן ישראל) אירעה "תקרית אבטחה" בשרתי המשיבה ,במסגרתה הועבר מידע של לקוחות שנשמר בשרתי המשיבה לשרת חיצוני .תקרית האבטחה כאמור ארעה בעקבות התקפת פצחנים (האקרים) על שרתי המשיבה .מתצהיר מר גלעד יפת ,מייסד ומנכ"ל המשיבה ,עולה כי ביום ,4.6.2018כשנה וחצי לאחר שאירעה הפריצה נודע לקצין אבטחת המידע של החברה "על כך שאותר בשרת פרטי

20 21 22 23 24

חיצוני קובץ בשם " ,"MyHeritageהכולל כתובות דוא"ל וסיסמאות מוצפנות של

25

משתמשים ,שהיו רשומים לשירות החברה נכון ליום ( "26.10.2017סעיף 28לתצהיר מר יפת; ראו גם :סעיף 56לתגובת המשיבה לבקשת האישור) .בסמוך לאחר שנודע למשיבה על אירוע האבטחה היא פרסמה הודעה לציבור בעניין אירוע הפריצה שאירע בבלוג שהיא מפעילה (סעיף 32לבקשת האישור) .כפי שעולה מנוסח הודעה זו ,המשיבה בדקה מהו המידע שדלף במסגרת הפריצה והסיקה כי "המידע שנחשף מוגבל רק לכתובות דוא"ל ,לסיסמאות מוצפנות ב Hash-ולמועד רישום המשתמש לפלטפורמה" (סעיף 29לתצהיר מר יפת).

26 27 28 29 30 31

2מתוך 25

בית המשפט המחוזי בתל אביב -יפו ת"צ 40923-03-20פרנג'י נ' מייהריטאג' בע"מ

.6

לאחר שאירעה הפריצה ,נקטה המשיבה במספר צעדים מתקנים וכן יידעה את המשתמשים אשר לפריצה שאירעה .המשיבה דרשה מכל לקוחותיה לאפס סיסמה ותוך "ימים ספורים ממועד גילוי אירוע האבטחה" אופסו כל סיסמאות המשתמשים (סעיף 30.3לתצהיר מר יפת) .המשיבה החליטה לשנות את מנגנון האימות הנדרש לצורך התחברות משתמשים לפלטפורמה להליך אימות דו-שלבי במקום הליך אימות חד-שלבי (שם ,סעיף .)30.4נוסף על האמור ,נעזרה המשיבה בחברה חיצונית לתחקור האירוע ועדכנה את הרשויות הרגולטוריות בבריטניה ,פינלנד ,הונגריה ,ארצות הברית ,קנדה ,ברזיל וישראל (שם ,סעיפים 30.5ו.)30.6-

1 2 3 4 5 6 7

.7

בהמשך ,בשנת 2019פרסם ההאקר ב"רשת האפלה" ( )Darknetנתונים ומידע לגבי לקוחות

8

המשיבה ,שהגיעו לידיו במסגרת אירוע הפריצה בחודש אוקטובר .2017

9

בקשת האישור והתגובה לה ביום 20.3.2020הגיש המבקש את בקשת האישור .הגדרת הקבוצה בבקשת האישור כללה .8 את "כלל המשתמשים הישראלים (לרבות משתמשי עבר) ,בפלטפורמת ,Myheritageאשר פרטיהם האישיים דלפו" (סעיף ב לבקשת האישור).

10 11 12 13

.9

במרכז בקשת האישור עומדת הטענה כי המשיבה ,בכובעה כעוסק" ,התנהלה בצורה לא פחות משערורייתית עם המשתמשים ,כאשר היא הפרה באופן בוטה את הוראות הדין לעניין פרטיות ואבטחת מידע ,וכן הטעה [כך במקור] את הצרכנים הן עובר לפריצה כאשר הן מסרה [הטעות במקור] להם כי המידע שלהם מאובטח כראוי והן לאחר הפריצה כאשר מסרה להם כי לא נגרם כל נזק כתוצאה מהפריצה" (שם ,סעיף .)51

14 15 16 17 18

.10

במסגרת הטיעון העובדתי נטען כי במסגרת דליפת המידע פורסמו ברשת הפרטים האישיים "של למעלה ממיליון ישראלים" (שם ,סעיף )45וביניהם "עובדים במשרדי הממשלה השונים ואפילו ברשות השופטת" (שם ,סעיף .)46נטען כי המידע האישי של חברי הקבוצה נסחר ברשת האפלה ובפלטפורמות אחרות תקופה ממושכת וכי מידע זה "שווה הון רב" למי שעשוי לעשות שימוש לרעה במידע שדלף (שם ,סעיף .)49

19 20 21 22 23

.11

במישור המשפטי טען המבקש כי המשיבה הפרה את הוראות חוק הגנת הפרטיות ,התשמ"א- ( 1981להלן" :חוק הגנת הפרטיות") וכן את הוראות תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז( 2017-להלן" :תקנות מאגרי מידע") בכך שמאגר המידע שהחזיקה המשיבה לא נרשם כדין (סעיף 62לבקשת האישור); כי המשיבה לא ביצעה פעולות שונות מכוח תקנות מאגרי מידע שתכליתן להבטיח רמת אבטחה נאותה של מאגרי המידע (שם ,סעיף ;)76כי המשיבה עוולה בהטעיה צרכנית נגד לקוחותיה כאמור בסעיף (2א) לחוק הגנת הצרכן, התשמ"א( 1981-להלן" :חוק הגנת הצרכן"); כי המשיבה "לא גילתה למשתמשים כי פרטיהם לא מאובטחים באופן ראוי כנדרש" (סעיף 90לבקשת האישור) .עוד טען המבקש כי

24 25 26 27 28 29 30 31

3מתוך 25

בית המשפט המחוזי בתל אביב -יפו ת"צ 40923-03-20פרנג'י נ' מייהריטאג' בע"מ

המשיבה הפרה את חובת הגילוי הקבועה בסעיף (4א) לחוק הגנת הצרכן בכך שנמנעה מלגלות למשתמשים מידע מהותי בעניין מערך אבטחת המידע שלה; הפרה את החובות החקוקות בהוראות חוק הגנת הצרכן וחוק הגנת הפרטיות; עשיית עושר ולא במשפט; הפרת חוזה והפרת חובת תום הלב במשא ומתן לקראת כריתת חוזה ובקיום חוזה; פגיעה באוטונומיה, וכטענה חלופית נטען כי המשיבה התרשלה ,ולא רק זאת אלא שנאמר כי "נראה כי המשיבה הפרה את חובותיה במודעות מלאה" (שם ,סעיף .)116

1 2 3 4 5 6

.12

על בסיס הנטען העריך המבקש את הנזק שנגרם לחברי הקבוצה ב 100-מיליון ( ₪שם ,סעיף .)170נגד המשיבה נתבקשו מספר סעדים :מתן סעד הצהרתי "לפיו המשיבה הפרה את הוראות הדין" (שם ,סעיף ;)174מתן צו נגד המשיבה שיורה לה "לתקן את התנהלותה מכאן ואילך בעניין אבטח מידע הצרכנים" (שם ,סעיף ;)175לפצות את חברי הקבוצה בסכום של 100מיליון ;₪להטיל על המשיבה "קנס הרתעתי"; למנות "בודק נייטרלי אשר יבחן את היקף תקלת אבטחת המידע שאירעה" (שם ,סעיף .)178

7 8 9 10 11 12

.13

ב 20.10.2020-הגישה המשיבה את תגובתה לבקשת האישור .אף שהמשיבה לא הכחישה את התקיימותו של אירוע האבטחה משנת ,2017ראתה לדחות את טענות המבקש כי לא עמדה בסטנדרט בטיחות המידע הנדרש ממנה על פי דין .נטען כי "אירוע האבטחה שארע בשלהי שנת ,2017היה מתקפה חסרת תקדים של אחד מההאקרים ....החזקים בהיסטוריה המודרנית ,על עשרות חברות מובילות בעולם" ובכלל זה על המשיבה (סעיף 5לתגובת המשיבה לבקשת האישור) .טוענת המשיבה כי לא ניתן להבטיח את המידע ולתת הגנה מוחלטת למידע אך ניתן לעמוד בסטנדרט הגנה סביר על מידע בהתאם להוראות המחוקק והמאסדרים הרלוונטיים ,ובענייננו טוענת המשיבה שנקטה באמצעי הגנה מחמירים מאלה שקבע המחוקק.

13 14 15 16 17 18 19 20 21

.14

המשיבה טענה כי דין בקשת האישור להידחות על הסף מחמת היות המבקש תובע ייצוגי סדרתי שכלל אינו מחזיק בעילת תביעה אישית או יריבות עם המשיבה .נטען כי לבקשת האישור לא צרף המבקש תשתית עובדתית מינימאלית התומכת בטענותיו לגבי עילת התביעה האישית ולמיטב ידיעת המשיבה "המבקש לא נרשם לשירותי החברה מיוזמתו, אלא הוזמן לפלטפורמה על ידי משתמש אחר ...עובר לאירוע האבטחה ,המבקש ביקר בפלטפורמה של החברה רק פעם אחת למשך מספר דקות ...ולא העלה אז לפלטפורמה של החברה מידע" (שם ,סעיף .)22.1עוד נטען כי לא נגרם כל נזק למבקש מכיוון שאירוע אבטחת המידע לא הוביל לחשיפת מידע אישי שלו.

22 23 24 25 26 27 28 29

.15

לגופו של עניין טוענת המשיבה כי עמדה בהוראות חוק הגנת הפרטיות ובתקנות מאגרי מידע. נטען כי החברה מינתה ממונה על אבטחת מידע ופעלה בהתאם לנוהל פנימי ההולם את הסיכונים הטכנולוגיים אליהם היתה חשופה .עוד נטען כי המשיבה ביצעה באופן עִ ִתי מיפוי

30 31 32

4מתוך 25

בית המשפט המחוזי בתל אביב -יפו ת"צ 40923-03-20פרנג'י נ' מייהריטאג' בע"מ

מערכות המידע ,סקרי סיכונים ומבדקי חדירות ופעלה לתקן את ליקויים ככל שעלו מהם. החברה נוקטת אמצעי אבטחת מידע פיסיים דוגמת הגבלת גישה פיסית למערכות החברה ומעבירה לעובדיה הדרכה לגבי בטיחות מידע כל חצי שנה .נטען כי סיסמאות המשתמשים נשמרות אצל המשיבה בקובץ שאינו גלוי ומוצפן בהצפנת Hashחד-כיוונית .לצורך שמירת מידע גנטי או רפואי של משתמים נעזרת המשיבה בהצפנה חזקה יותר .מלבד אמצעים אלו רוכשת החברה מספקים חיצוניים שירותי אבטחת שרתים ,תוכנות הגנה מפני פריצה זדונית דוגמת 'חומת אש' ,מערכות הגנה מפני מתקפות DDoSוכן התקינה מערכות ניטור שונות במערכותיה (שם ,סעיף .)51

1 2 3 4 5 6 7 8

.16

במישור המשפטי טענה המשיבה כי המבקש לא הוכיח שנגרם לו נזק כלשהו כתוצאה מאירוע הפריצה וממילא לא הראה קשר סיבתי בין הנזק הנטען לבין אירוע הפריצה .כן נטען כי המידע שנחשף באירוע זה אינו עולה כדי "מידע" או "מידע רגיש" כאמור בסעיף 7לחוק הגנת הפרטיות ,כך שלא עומדת לחברי הקבוצה הנטענת עילה בהתאם לחוק זה או בהתאם לתקנות מאגרי מידע .בנוסף ,נטען כי ממילא עמדה החברה בסטנדרט שנקבע לעניין הגנות מאגרי מידע בחוק הגנת הפרטיות ובתקנות מאגרי מידע .המשיבה דחתה גם את הטענה בעניין ההטעיה הצרכנית או הפרת חובת הגילוי מכוח חוק הגנת הצרכן וזאת בהתאם לאור האמור במדיניות הפרטיות של המשיבה.

9 10 11 12 13 14 15 16

.17

המשיבה טענה גם כי בקשת האישור לא עומדת בתנאים לאישור תובענה ייצוגית כפי שהותוו בסעיף ( 8א) לחוק תובענות ייצוגיות ,ובפרט כי המבקש לא הוכיח קיומה של קבוצה בשמה ניתן לאשר את התובענה כייצוגית ,כי תובענה ייצוגית אינה הדרך ההולמת לבירור טענות המבקש וכי המבקש וב"כ אינם מקיימים את דרישות הייצוג ההולם ובתום לב.

17 18 19 20

בקשת אישור הסדר הפשרה המקורית .18ביום 10.3.2021התקיים בפני דיון קד"מ בנוכחות הצדדים .כבר בפתח דבריו הודיע ב"כ המשיבה כי "אנו לא חלוקים על כך שהיה אירוע אבטחה" (עמוד 2לפרוטוקול) .לאחר ששמעתי זמן ארוך את טיעוני הצדדים בעל פה ,אשר חזרו בעיקרם על טיעוניהם שהובאו עוד קודם לדיון בכתב ,ראיתי להמליץ "לצדדים להידבר ביניהם בשל הסוגיות הנכבדות העומדות לפתחם" (שם ,בעמוד .)4

21 22 23 24 25 26

לאחר פרק זמן שהקדישו הצדדים להידברות הוגשה ביום 23.5.2021בקשה לאישור הסדר פשרה .אלה בתמצית עיקרי הסכם הפשרה אליו הגיעו הצדדים:

27 28

הגדרת הקבוצה :אדם שפרטים כלשהם לגביו נחשפו כתוצאה מחדירה למערכות המידע של המשיבה במהלך חודש אוקטובר ,2017או בעקבותיו.

29 30

.19

א.

5מתוך 25

בית המשפט המחוזי בתל אביב -יפו ת"צ 40923-03-20פרנג'י נ' מייהריטאג' בע"מ

ב.

ההטבה לקבוצה :המשיבה תעניק חודש שימוש חינמי במשך חודש קלנדרי מלא לכל אזרח או תושב ישראל שיש לו חשבון בפלטפורמה של החברה ,לשימוש בתוכנה Deep " Nostalgisהמאפשרת להנפיש תמונות ולייצר סרטונים מציאותיים באיכות גבוהה" (סעיף 4.1.1להסכם הפשרה המקורי) .הצדדים מעריכים את שווי ההטבה בכ- ( ₪ 1,080,915שם ,סעיף .)4.3

1 2 3 4 5

ג.

המלצה לגבי גמול ושכ"ט :הצדדים הסכימו על תשלום ₪ 220,000כשכ"ט לב"כ המבקש ועל תשלום ₪ 55,000כגמול למבקש.

6 7

ד.

אי-מינוי בודק :הצדדים סבורים שאין צורך במינוי בודק עובר לאישור ההסדר.

8

עמדת הגורמים המקצועיים ביחס להסדר הפשרה שהוצע .20ביום 30.1.2022הגיש היועץ המשפטי לממשלה "הודעה לפי סעיף (18ד) לחוק תובענות ייצוגיות" .מהרישא של ההודעה עולה כי נוסחה לאחר התייעצות עם רשות הגנת הפרטיות ומערך הסייבר הלאומי .מהודעת היועץ עולה כי ביום 10.6.2018פתחה הרשות להגנת הפרטיות בהליך פיקוח מנהלי בעקבות אירוע האבטחה נושא בקשת האישור .במסגרת הליך הבדיקה קיבלה הרשות ידיעות שונות ומסמכים מהמשיבה ועל בסיסם החליטה הרשות להגנת הפרטיות ביום 5.8.2018לסגור את התיק בלי לקבוע הפרה ,ובמקביל הורתה להנחות את המשיבה לתקן ליקויים שהתגלו .נאמר כי אחת מהסיבות שהובילו להחלטה לסגור את התיק בלי לקבוע 'הפרה' היא מדיניות הרשות "ליישם את סמכות האכיפה הנתונה לה בצורה הדרגתית ,כך שעד סוף ,2018אכיפה בעקבות דיווח על אירוע אבטחה חמור תגרור רק הנחייה לתיקון ליקויים" (סעיף 14לעמדת היועץ המשפטי) .עוד לציין כי הודעת היועץ לא כללה את ההנחיות שניתנו לתיקון הליקויים.

9 10 11 12 13 14 15 16 17 18 19 20

.21

לצורך הכנת עמדת היועץ המשפטי לגבי בקשה אישור הסדר הפשרה בענייננו העבירה המשיבה לעיון הרשות להגנת הפרטיות סקרי סיכונים ומבדקי חדירות שערכה המשיבה בשנים 2020ו .2021-כפי שעולה מהודעת היועץ "מן החומרים הנ"ל עולה חשש לקיום ליקוי אבטחת מידע במערכות המשיבה ,אשר עלול לעלות כדי הפרה של הוראות החוק והתקנות ע"י המשיבה" (שם ,סעיף .)17על כן ,החליטה הרשות לפתוח בהליך פיקוח מנהלי נגד המשיבה ושלחה לצורך כך מכתב דרישת ידיעות ומסמכים מהמשיבה.

21 22 23 24 25 26

.22

לאור האמור העיר היועץ המשפטי כי על אף שאינו מתנגד במפורש לאישור ההסדר המוצע, הרי שבחינת הסכמות הצדדים צריכה להיעשות תוך הסתכלות על מצב אבטחת המידע העדכני בחברה וזאת כדי לוודא שאישור ההסדר "אינו חושף את הנהנים מן הפיצוי לפגיעה נוספת בשל אי נקיטת צעדים כאמור ע"י הארגון" (שם ,סעיף .)21

27 28 29 30

6מתוך 25

בית המשפט המחוזי בתל אביב -יפו ת"צ 40923-03-20פרנג'י נ' מייהריטאג' בע"מ

.23

לגבי ההטבה המוצעת בהסכם הפשרה סבור היועץ המשפטי כי החשש לליקוי אבטחת מידע במערכות המשיבה יוצר קושי בבחינת התועלת שבהטבה ,שכן ההטבה היא שימוש במערכות המשיבה באופן שעלול ליצור סיכון אבטחת מידע נוסף למי שנטען כי כבר נפגע .לדעת היועץ המשפטי ,העברת סכום פיצוי כספי לקרן תממש בצורה טובה יותר את תכלית ההרתעה מפני הפרת הוראות הדין ,מפני שההטבה המוצעת "רלבנטית רק למי שאינו משתמש בשירותי המשיבה בתשלום ,מכיוון שמשתמשים שיש להם מנוי במסלול completeיכולים ממילא להנפיש מספר בלתי מוגבל של תמונות" (שם ,סעיף .)23עוד נטען כי ספק אם יש תועלת למקבלי ההטבה המוצעת שכן לא ברור אם הם בכלל מעוניינים בה .עוד נאמר כי המידע שידרשו נהני ההטבה המוצעת להעביר למשיבה לצורך קבלת השירות עלולות לעלות לכדי "מידע ביומטרי" כאמור בתקנה 1לתקנות מאגרי מידע ,וכי חלה חובה על המשיבה לנקוט בהגנה מוגברת על מידע זה.

1 2 3 4 5 6 7 8 9 10 11

.24

עוד טוען היועץ המשפטי כי הגדרת הקבוצה במסגרת הסכם הפשרה רחבה יותר מזו שהוגדרה בבקשת האישור ,שכן בבקשת האישור הוגדרה הקבוצה ככוללת את המשתמשים הישראלים של המשיבה ,ואלו הגדרת הקבוצה בהסכם הפשרה כוללת את כל משתמשי המשיבה באשר הם .עוד התייחס היועץ המשפטי להמלצת הצדדים לעניין שכ"ט וגמול וציין כי ההמלצה "אינה קושרת בין סכום ההטבה שימומש בפועל לבין שיעור שכר הטרחה... מעוררת קושי ולכאורה אינה עולה בקנה אחד עם ההלכה הפסוקה ועם האינטרסים של הקבוצה המיוצגת" (סעיף .)34

12 13 14 15 16 17 18

ההתנגדות לאישור הסדר הפשרה .25ביום 28.10.2021הגישה עמותת פרטיות ישראל (ע"ר) התנגדות לאישור הסדר הפשרה .כפי שעולה מכתב ההתנגדות ,מדובר בעמותה שהוקמה בשנת 2020על ידי קבוצת אנשי ונשות אקדמיה ,מהמגזר הפרטי ובכירים לשעבר במגזר הציבורי המוטרדים מ"הפגיעה הגוברת בזכות לפרטיות" (סעיף 3להתנגדות).

19 20 21 22 23

טענתם המרכזית של המתנגדים היא שהסכם הפשרה אליו הגיעו הצדדים אינו ראוי ,הוגן או סביר כנדרש לפי סעיף (19א) לחוק תובענות ייצוגיות .נטען כי ההסדר המוצע אינו הולם את סיכויי התביעה ובפרט ,בשונה מטענת המשיבה כי לא הפרה את הוראות חוק הגנת הפרטיות או תקנות מאגרי מידע ,צורמת העובדה שהחברה לא התקינה הליך אימות דו-שלבי כתנאי להתחברות בפלטפורמה עובר לאירוע הפריצה .טוענים המתנגדים כי הליך אימות דו- שלבי הוא בבחינת חובה סטטוטורית המעוגנת בתקנות מאגרי מידע .עוד נטען כי ההסדר המוצע לא מעניק פיצוי הולם לחברי הקבוצה ,כי ההסדר מחטיא את תכליות ההליך הייצוגי ואינו מהווה הרתעה אופטימלית מפני הפרות דין .בפרט נטען כי ההסדר המוצע מחייב את אזרחי ישראל המעוניינים לממש את ההטבה למסור לחברה מידע פרטי נוסף לגביהם.

24 25 26 27 28 29 30 31 32

.26

7מתוך 25

בית המשפט המחוזי בתל אביב -יפו ת"צ 40923-03-20פרנג'י נ' מייהריטאג' בע"מ

התניית מימוש ההטבה בהסכמת המוטבים למסור מידע פרטי נוסף למשיבה היא בבחינת תנאי מקפח "שמגביל את חברי הקבוצה לממש את זכותם" (שם ,סעיף .)20עוד מעירים המתנגדים כי "אין בהסדר הפשרה ו/או במדיניות הפרטיות שאותה נדרשים לאשר במסגרת הרישום לשירות – כל ערובה כי מידע שיימסר במסגרת ההטבה ,ישמש אך ורק לצורך מתן ההטבה ויימחק לצמיתות מיד לאחר מכן .יתרה מכך ,אין הצדקה למסירת מידע אישי (למעט תמונות) ,לצורך מימוש ההטבה כשלעצמה ,כאשר ההטבה זמינה לכלל התושבים במדינת ישראל" (שם).

1 2 3 4 5 6 7

.27

המתנגדים טוענים כי ההסדר המוצע אינו ראוי מפני שאינו כולל את התחייבות המשיבה לתקן את ליקויי האבטחה שהתגלו וממילא אין בחומר שהוגש לבית המשפט ערובה לכך שככל שהליקויים קיימים ,אכן תוקנו .לטענתם יש למנות בודק לבחינת הסדר הפשרה כדי שיתן דעתו לסוגיות טכניות מעולם אבטחת המידע.

8 9 10 11

.28

לסיכום עמדתם טוענים המתנגדים כי הסדר הפשרה שהוצע מיטיב יותר עם המשיבה מאשר חברי הקבוצה" :בחסות הסדר הפשרה ,המשיבה מבקשת לקדם ולשפר שירות חדש שהשיקה מוקדם יותר השנה באמצעות הרחבת בסיס הנתונים שברשותה ,ואימון האלגוריתם בצורה רחבה ועמוקה יותר" (שם ,סעיף .)23

12 13 14 15

תגובת הצדדים לעמדת היועץ המשפטי ולהתנגדות העמותה .29תגובות הצדדים לעמדת היועץ המשפטי ולהתנגדות הוגשו בנפרד .לצורך נוחות הדיון אביא בתמצית את טענות הצדדים. בתגובתה הראשונה להתנגדות העמותה לפרטיות ,דחתה המשיבה את טענות המתנגדים כי הסדר הפשרה המוצע מיטיב עמה ולטענתה אינו מעשיר את בסיס הנתונים שלה .כן נטען כי כתובת הדוא"ל של המשתמשים אינה מידע המוגן בחוק הגנת הפרטיות אלא "אמצעי ליצירת קשר ,והיא מפורסמת פעמים רבות באופן גלוי" (סעיף 16לתגובת המשיבה להתנגדות) .לגבי תוכן הסדר הפשרה טוענת המשיבה כי ההסדר המוצע משקף את מאזן הסיכויים והסיכונים הנשקפים לחברי הקבוצה מהמשך ניהול ההליך וזאת מפני שהמשיבה עמדה בסטנדרט אבטחת המידע הנדרש ממנה בחוק ובתקנות .המשיבה גם הבהירה כי "החברה תמחק את כל התמונות ,שיועלו לפלטפורמה שלה ,ואשר יונפשו בחינם תוך שימוש בהטבה ,מיד בתום חודש ההטבה החינמי" (שם ,סעיף .).27.7.5

16 17 18 19 20 21 22 23 24 25 26 27

ביום 15.4.2022הגישה המשיבה תגובה נוספת "להודעת הגורמים המקצועיים וכן לעמדת עמותת פרטיות ישראל (ע"ר) בקשר להסכם הפשרה" ובה הכחישה את טענת היועץ המשפטי כי יש קשר בין חששות לגבי רמת אבטחת המידע של המשיבה ובין אישור הסדר הפשרה וחזרה והדגישה כי "החברה מבהירה ומתחייבת ,כי תמונות חדשות שיועלו לשרתיה לצורך הנפשתן במסגרת השימוש בתוכנה במהלך תקופת הטבת הפשרה ,יימחקו ממערכותיה ולא

28 29 30 31 32

.30

8מתוך 25

בית המשפט המחוזי בתל אביב -יפו ת"צ 40923-03-20פרנג'י נ' מייהריטאג' בע"מ

יישמרו בידיה .כך ,כל חשש (מוכחש) בעניין הוא תיאורטי ,ומתייתרות הערות הגורמים המקצועיים לגבי נושא זה" (סעיף 10להודעה) .בנוסף ,המשיבה הסכימה לתקן את הסדר הפשרה המוצע כך ש"הטבת הפשרה תוצע ,אך ורק למשתמשים קיימים של החברה שכבר רשומים לשירותיה (ולא לכל אזרח או תושב המדינה)" (שם ,סעיף .)12המשיבה התנגדה לעמדת היועץ המשפטי לפיה יש לשקול להעביר פיצוי כספי לקרן שהוקמה מכוח סעיף 27א חלף הטבת הפשרה המוצעת .לצד זאת הבהירה החברה "כי ככל שלא ייעשה שימוש בהטבת הפשרה המוצעת ,הכוללת הן את השימוש בתוכנה ללא תשלום כאמור והן את ההטבה למינויים במסלול " ..."Completeבהיקף מינימום של ₪ 900,000על-ידי חברי הקבוצה, תוארך תקופת ההטבה בפרק זמן נוסף ...ככל שבמהלך תקופת ההטבה ,על הארכתה ,לא יגיע היקף השימוש בהטבה כמפורט לעיל לסך מינימום של ,₪ 900,000תעביר החברה לקרן לתובענות ייצוגיות סכום המשקף את ההפרש בין היקף השימוש בפועל בהטבה ובין סכום של ( "₪ 900,000שם ,סעיפים .)25-24

1 2 3 4 5 6 7 8 9 10 11 12

ביום 15.4.2022הגיש המבקש את תגובתו להודעת היועץ המשפטי ולהתנגדות העמותה. בתגובתו הקצרה הבהיר המבקש כי הוא "מסכים לכל ההבהרות שהציעה החברה לנוסח הסכם הפשרה" (סעיף 3להודעה) .לצד זה ,דחה המבקש את טענות היועץ המשפטי לגבי גובה שכ"ט והגמול שהוסכמו בין הצדדים וטען כי סכומים אלה משקפים את ההשקעה שהשקיע בתיק" :כתבי טענות ארוכים ומרובים ,כתבי בי-דין שונים ,דיון מעמיק ומקיף בפני בית המשפט הנכבד ...ניהול מגעי פשרה" אשר כללו שלוש פגישות משא ומתן (שם ,סעיף .)6

13 14 15 16 17 18

המשך השתלשלות ההליך .32לאחר שהונחו בפני בית המשפט מספר גדול יחסית של עמדות בעלות משקל ביחס להסדר המוצע ראיתי לשמוע את טיעוני הצדדים בעל-פה .לדיון זה לא התייצבו ב"כ המתנגדים הגם שזומנו ,וכבר בפתח הדיון קיבל ב"כ היועץ המשפטי לממשלה את הסכמת הצדדים לתיקון הסדר הפשרה המוצע בהתאם להערות שעלו בעמדת היועץ המשפטי ובעמדת המתנגדים (ראו עמוד 6לפרוטוקול) .בהמשך הדיון עלו סוגיות שונות וביניהן גודל הקבוצה ,שאלת ההטבה המוצעת לחברי הקבוצה ועמדת הרשות להגנת הפרטיות לגבי ליקויי אבטחה לכאורה אצל המשיבה .לאחר זמן ארוך שבו שמעתי את הצדדים" ,המלצתי לצדדים לנסות ולהגיע להסכמות נוספות שעל בסיסן יוכל בית המשפט לאשר את הסדר הפשרה המתוקן ,בין השאר ייענה ההסדר על שתי סוגיות שהטרידו את בית המשפט :פיצוי הולם והרתעה שהם בבסיס התכלית של חוק התובענות ייצוגיות וכן יכללו את ההתייחסות של היועמ"ש" (שם ,עמ' .)10

19 20 21 22 23 24 25 26 27 28 29

ביני לביני הגישה המשיבה ביום 9.11.2022הודעה אליה צורפה החלטת רשות הגנת הפרטיות מיום 19.10.2022לפיה הוחלט לסגור את תיק הפיקוח שנפתח בעניינה של המשיבה בהנתן

30 31

.31

.33

9מתוך 25

בית המשפט המחוזי בתל אביב -יפו ת"צ 40923-03-20פרנג'י נ' מייהריטאג' בע"מ

עמידתה בדרישות הדין בתחום אבטחת המידע .הרשות לא מצאה לנקוט נגד המשיבה בצעד כלשהו והודתה למשיבה על שיתוף הפעולה בבדיקה.

1 2

הבקשה המתוקנת לאישור הסדר פשרה .34לאחר הדיון הגישו הצדדים בקשה מתוקנת לאישור הסדר פשרה ,היא הבקשה המונחת לפני. אלה בתמצית עיקרי הסדר הפשרה המתוקן:

3 4 5

א.

הגדרת הקבוצה :כל אזרח או תושב מדינת ישראל אשר פרטים כלשהם לגביו נחשפו כתוצאה מאירוע החדירה למערכות המידע של המשיבה במהלך חודש אוקטובר .2017

6 7

ב.

העברת סכום פיצוי לקרן :המשיבה תעביר ₪ 400,000לקרן לתובענות ייצוגיות או לגופים הפועלים בתחום הגנאלוגיה או לגופים הפועלים בתחום הפרטיות ברשת האינטרנט.

8 9 10

ג.

הטבת השימוש בתוכנת התמונות :Deep Nostalgiaהמשיבה תעניק ל"כל אדם, שהוא אזרח ו/או תושב מדינת ישראל ,שיש לו חשבון קיים בפלטפורמה של החברה במועד תחילת תקופת הטבת הפשרה" (סעיף 4.1.2להסכם הפשרה המתוקן) חודש קלנדרי של שימוש חינם בתוכנה ,כאשר "לצורך שימוש בתוכנות התמונות במהלך תקופת הטבת הפשרה ,יימחקו ממערכות המשיבה בתום תקופת ההטבה ולא יישמרו בידיה" (סעיף .2.2ב לבקשת אישור הסדר הפשרה המתוקן) .מי מקרב נהני ההטבה שהוא בעל מנוי במסלול Completeאצל המשיבה והיה לו חשבון בפלטפורמת המשיבה במועד אירוע האבטחה יקבל ,באופן אוטומטי ,חודש חינם של מנוי זה ללא תמורה.

11 12 13 14 15 16 17 18 19

ד.

תקופת ההטבה :חברי הקבוצה שאינם בעלי מנוי Completeיוכלו להנות מן ההטבה בתחילת החודש הקלנדרי העוקב למועד אישור הסדר הפשרה .אם לאחר חודש לא תמומש ההטבה בהיקף המשתווה ל ,₪ 900,000-תוארך תקופת ההטבה בשלושה חודשים נוספים.

20 21 22 23

ה.

העברת יתרת שווי ההטבה לקרן :כאמור לעיל ,הצדדים מעריכים את שווי ההטבה המוסכמת ב( ₪ 1,085,915-סעיף 4.1.5להסכם הפשרה המתוקן) .עם זאת ,המשיבה מתחייבת להעביר סכום מינימום של ₪ 900,000לקרן אם אף חבר קבוצה כאמור לא יממש את ההטבה .אם יהיו חברי קבוצה שיממשו את ההטבה המשיבה תעביר את ההפרש בין שווי המימוש בפועל ובין הסכום המינימלי לקרן וזאת לאחר הארכת תקופת המימוש .סכום זה יבוא בנוסף ל ₪ 400,000-שיועברו בכל מקרה לקרן כאמור בפסקה .34ב לעיל.

24 25 26 27 28 29 30

10מתוך 25

בית המשפט המחוזי בתל אביב -יפו ת"צ 40923-03-20פרנג'י נ' מייהריטאג' בע"מ

ו.

המלצה מוסכמת לפסיקת גמול ושכ"ט :הצדדים ממליצים על תשלום שכ"ט לב"כ המבקש בסך ₪ 300,000בתוספת מע"מ; תשלום גמול למבקש בסך ₪ 75,000 בתוספת מע"מ כדין.

1 2 3

ז.

פרסום הסדר הפשרה :החברה תפרסם בעתונות הודעה על אישור הסדר הפשרה. בנוסף ,הודעה על אישור הסדר הפשרה תפורסם גם בבלוג העברי של החברה ובניוזלטר החודשי בעברית של החברה.

4 5 6

חוות דעת הבודק .35בטרם החלטה אם לאשר את הסכם הפשרה המתוקן שממנו התרשמתי כי הופנמו בו הערות של היועץ המשפטי ושל בית המשפט ,סברתי כי "ראוי למנות בודק שיסייע בידי בית משפט לברר את השאלה האם הסדר הפשרה "ראוי ,הוגן וסביר בהתחשב בעניינם של חברי הקבוצה" (החלטה מיום )17.7.2022ואכן ביום 11.11.2022ראיתי למנות בודק להסדר הפשרה -מר אורן אלימלך ,שזהותו נבחרה מבין 3שהומלצו על ידי הצדדים (להלן: "הבודק") .מחוות דעת הבודק עולה שהוא "מומחה ,חוקר סייבר ויועץ אבטחת מידע עם התמחויות בתחומי פורנזיקה ,ביקורת ,ממשל תאגידי ,רגולציה ,תקשורת ומחשוב ענן – עם וותק של למעלה מ 20-שנות ניסיון" (חוות דעת הבודק) .הבודק התבקש על ידי בית המשפט לבדוק את הסדר הפשרה ולענות על שלוש שאלות:

7 8 9 10 11 12 13 14 15 16

".1

הערכה של מספר חברי הקבוצה העונים להגדרת הקבוצה כפי שנוסחה בבקשת האישור ,ומה ההתפלגות בקרב הקבוצה מבחינת משך השימוש בשירותי המשיבה והאם שילמו עבור השירות.

17 18 19

.2

מה טיבו של המידע האישי שדלף ממאגרי המשיבה?

20

.3

תמצית הנסיבות בהן אירעה דליפת המידע" (החלטה מיום .)11.11.2022

21

.36

ביום 9.1.2023הגיש הבודק הנכבד את חוות דעתו אשר להסדר הפשרה המוצע .לציין כי בהתאם להחלטה מיום 22.2.2023אישרתי את בקשת המשיבה לחסות חלקים מחוות הדעת הנוגעים לשתי סוגיות נקודתיות בחוות הדעת שאינן מרכזיות לטעמי לצורך בחינת הסדר הפשרה בכללותו.

22 23 24 25

.37

ומכאן לחוות הדעת גופה .לצורך עריכת חוות הדעת אסף הבודק נתונים פומביים ונתונים שקבל לבקשתו מהמשיבה. אשר לשאלה הראשונה ,ביחס למספר חברי הקבוצה והתפלגות חברי הקבוצה לפי משך השימוש בשירותי המשיבה ותשלום בעד שירות זה מצא הבודק כי מספר חברי הקבוצה עומד על 747,594משתמשים ישראליים .זיהוי משתמש כ"ישראלי" התבססה על בחירת המשתמש בישראל כמדינת מגורים בפרופיל הרישום או בהתאם לזיהוי המיקום הגיאוגרפי

26 27 28 29 30 31

11מתוך 25

בית המשפט המחוזי בתל אביב -יפו ת"צ 40923-03-20פרנג'י נ' מייהריטאג' בע"מ

של המשתמש לפי כתובת ה IP-ממנה בוצע הרישום .לפי ממצאי הבודק מקרב כלל המשתמשים הישראלים רק 5,413החזיקו במנוי בתשלום .כ 55%-מקרב כלל המשתמשים החזיקו בחשבון בפלטפורמת המשיבה מעל 48חודשים; כ 15%-מהמשתמשים החזיקו בחשבון למשך תקופה של בין 24ל 48-חודשים; כ 30%-מחברי הקבוצה החזיקו בחשבון 24 חודשים או פחות.

1 2 3 4 5

.38

אשר לשאלה השנייה אליה התייחס הבודק ,לגבי טיב המידע שדלף באירוע האבטחה .לפני ממצאי הבודק ,מסתבר כי המידע שנגנב במסגרת אירוע האבטחה נגנב מאחד משרתי המשיבה ,שרת ה" :System Database-המאגר הכיל מידע כללי על משתמשי הפלטפורמה (לרבות :שם מלא ,תאריך הצטרפות של המשתמש לאתר ,מגדר ,תאריך לידה ,ארץ מגורים, כתובת האתר הדואר האלקטרוני ( ,)Emailהסיסמא הנוכחית והסיסמא הקודמת (מגובבת באלגוריתם ( "))SHA1חוות דעת הבודק) .עוד מצא הבודק כי רק נתונים חלקיים שהיו שמורים במאגר זה דלפו .הנתונים שדלפו היו "כתובת דואר אלקטרוני ,מועד ההצטרפות לאתר של המשתמשים שהיו רשומים לשירותי החברה ואת הסיסמאות בתצורה מגובבת" (שם) .כאן המקום להרחיב בקצרה ולהסביר מהי סיסמה מגובבת .כפי שמבהיר הבודק ,גיבוב היא שיטה קריפטוגרפית חד-כיוונית להמרת קלט של תווים לפלט תווים באורך קבוע מראש" :פונקציית גיבוב קריפטוגרפית מתוכננת כך שכל שינוי בקלט יגרום לשינוי משמעותי בפלט .בדרך זו ניתן להתמודד עם בעיית הבטחת שלמות מסרים גדולים ,על ידי השוואת הערך המגובב שלהם במקום להשוותם ישירות" (שם) .עוד מעיר הבודק כי מכיוון שכתובת הדואר האלקטרוני של החלק מן המשתמשים דלפה ,ניתן היה "לזהות את המשתמשים הרלוונטיים בהתאם לכתובת הדוא"ל ...והן את השם המלא במקרים מסוימים".

6 7 8 9 10 11 12 13 14 15 16 17 18 19 20

.39

הבודק בחן את נסיבות דליפת המידע וכפי שגם טענה המשיבה ,דליפת הנתונים אירעה במסגרת התקפה שהתקיפה קבוצת האקרים את מאגרי המידע של המשיבה .עוד מסתבר כי קבוצת האקרים זו נחשבה לאחת "מקבוצות התקיפה החזקות ביותר בעולם ,אשר שמה לה למטרה לפרוץ לעשרות אתרים מובילים בעולם" (שם) .לאחר שנודע למשיבה דבר הפריצה למאגריה בשנת 2018ננקטו מספר צעדים :משלוח מיילים למשתמשים ופרסום הודעות באתר באשר לפריצה; מהלך לאיפוס סיסמאות המשתמשים; "העלאת רמת ההצפנה של הסיסמאות לשימוש באלגוריתם BCRYPTאשר מספק רמת גיבוב גבוהה יותר לסיסמאות המחוללות בו מאשר האלגוריתם הקודם – מה שאומר רמת הגנה גבוהה יותר מפני תוקפים מאחר ויידרש מהם זמן רב יותר ואמצעי מחשוב חזקים יותר" (שם); הוספה "הזדהות חזקה (... )2FAבתאריך 48( 6.6.2018שעות לאחר התבררות האירוע( "...שם).

21 22 23 24 25 26 27 28 29 30

.40

הבודק נתן חוות דעתו לנסיבות הפריצה ולתגובת המשיבה לפריצה .הבודק הדגיש כי "אין אתר אינטרנט שאי אפשר לפרוץ אליו" וכי ההאקרים שתקפו את מאגרי המשיבה היו רבי

31 32

12מתוך 25

בית המשפט המחוזי בתל אביב -יפו ת"צ 40923-03-20פרנג'י נ' מייהריטאג' בע"מ

יכולות בתחום הפריצות הזדוניות למערכות מידע .לפי חוות דעת הבודק" ,חברת My Heritageנקטה בצעדי אבטחת מידע אשר הינם יותר ממקצועיים והגיוניים" (שם) .הבודק מדגיש כי הטמעת מערכת הזדהות דו-שלבית (דרישת 2FAכלשונו המקצועית של המומחה) הינה דרישה חדשה יחסית בנוף אבטחת המידע אשר הפך למחייב בארצות הברית רק ביוני 2017וכי ברירת המחדל של ההזדהות הדו-שלבית הפכה לסטנדרט בתעשייה הרלוונטית רק בשנת ( 2021שם).

1 2 3 4 5 6

עמדת היועץ המשפטי ביחס להסדר הפשרה המתוקן .41אפשרתי ליועץ המשפטי לממשלה ולעמותה לפרטיות ,המתנגדת ,להגיב להסדר הפשרה המתוקן .ביום 11.7.2022הגיש היועץ המשפטי לממשלה את הודעתו ביחס להסכם הפשרה המתוקן .כפי שעולה מן ההודעה ,היועץ המשפטי אינו מתנגד לאשר את הסדר הפשרה המתוקן ,ורק מצא להעיר כי לשיטתו יש להעביר את הכספים שישולמו על ידי המשיבה במסגרת ביצוע הסדר הפשרה לקרן שהוקמה מכוח סעיף 27א לחוק תובענות ייצוגיות; עמותת פרטיות לא הגיבה.

7 8 9 10 11 12 13

דיון והכרעה .42לפי סעיפים 18ו 19-לחוק תובענות ייצוגיות ,אישור הסדר פשרה בתובענה ייצוגית או בבקשה לאישור תובענה ייצוגית מותנה בכך שבית המשפט הדן בבקשה יתרשם כי ההסדר המונח בפניו הוא הסדר "ראוי ,הוגן וסביר בהתחשב בענינם של חברי הקבוצה ,ואם הבקשה לאישור הסדר פשרה הוגשה לפני שאושרה התובענה הייצוגית – גם כי התובענה שהוגשה עומדת לכאורה בתנאים לאישור תובענה ייצוגית" (סעיף (19א) לחוק תובענות ייצוגיות). הסטנדרט הנורמטיבי הקבוע בחוק תובענות ייצוגיות לצורך אישור הסדר פשרה בהליך ייצוגי נועד להבטיח כי הסדר הפשרה המובא לאישור בית המשפט הוא הסדר המיטיב עם חברי הקבוצה בשמה הוגש ההליך הייצוגי .החשש המרכזי בהקשר זה הוא בעיית הנציג שכן בניהול ההליך הייצוגי ,חברי הקבוצה המיוצגת הם בבחינת 'נוכחים-נפקדים' .מצד אחד, חברי הקבוצה לא משתתפים באופן פעיל בניהול ההליך ,משימה המופקדת בידי התובע המייצג וב"כ המייצג; מצד שני ,ההכרעה בהליך הייצוגי מחייבת את חברי הקבוצה מכוח מעשה בית דין כאמור בסעיף 24לחוק תובענות ייצוגיות.

14 15 16 17 18 19 20 21 22 23 24 25 26

כדי להצדיק את כבילת חברי הקבוצה אל תוצאות ההליך בלי שנטלו חלק פעיל בניהולו ,יש להבטיח כי ההליך ינוהל לכל אורכו על ידי המייצגים בהתאם לאינטרסים של חברי הקבוצה. תנאי זה הכרחי להבטיח את מימוש האוטונומיה של חברי הקבוצה ולהגשים את תכליות ההליך הייצוגי להבטיח לחברי הקבוצה פיצוי הולם וגישה לערכאות .לכן ,על התובענה הייצוגית להבטיח כי המייצג יפעל אך ורק בהתאם לטובת הקבוצה ולא בהתאם לאינטרס שלו עצמו בגמול ושכר טרחה ,או בהתאם לאינטרס של הנתבע 'לקנות בזול' את הסיכון

27 28 29 30 31 32

.43

13מתוך 25

בית המשפט המחוזי בתל אביב -יפו ת"צ 40923-03-20פרנג'י נ' מייהריטאג' בע"מ

שהתובענה הייצוגית תוכרע נגדו בסופו של יום" :אחד האתגרים שעימו יש צורך להתמודד בהקשר זה הוא החשש להיווצרות מצב של ניגוד עניינים בין התובע הייצוגי והנתבע ובין חברי הקבוצה המיוצגת ,בשל "בעיית הנציג" .חשש זה עיקרו בכך שהתובע המייצג והנתבע יגיעו להסדר פשרה – המכריע בזכויותיהם של כלל חברי הקבוצה מבלי שהם נטלו חלק בעיצובו – אשר ייטיב עם התובע המייצג והנתבע על חשבון חברי הקבוצה המיוצגת" (דנ"מ 5519/15יונס נ' מי הגליל תאגיד המים והביוב האזורי בע"מ ,פס' ;)17.12.2015( 45ע"א 7122/19היועץ המשפטי לממשלה נ' ממן ,פס' .))11.4.2022( 12

1 2 3 4 5 6 7

.44

לצורך התמודדות עם בעיית הנציג בהסדרי פשרה בהליכים ייצוגיים קבע המחוקק בסעיפים 18ו 19-לחוק תובענות ייצוגיות אפיק דיוני מיוחד המקנה לבית המשפט ארגז כלים משמעותי לבחינה מדוקדקת של הסדר הפשרה המונח בפניו .בין היתר ,לצורך בירור שאלת עמידת ההסדר המוצע בסטנדרט שקבע המחוקק בסעיף (19א) מוקנית לבית המשפט הסמכות למנות מטעמו בודק להסדר הפשרה שימסור חוות דעת אובייקטיבית הבוחנת את ההסדר המוצע; לשמוע התנגדויות להסדר הפשרה מטעם היועץ המשפטי לממשלה ומטעם מתנגדים ,חברי קבוצה או מתנגדים הפועלים לטובת הקבוצה; כן רשאי בית משפט לתת אפשרות לחברי קבוצה שאינם מעוניינים להיכלל בהסדר המוצע לאשר יציאתם מן ההסדר; ועוד.

8 9 10 11 12 13 14 15 16

.45

בענייננו ,הליך בחינת הסדר הפשרה נמשך זמן ארוך במסגרתו נשמעו התנגדות מטעם עמותה פרטית הפועלת לקידום ההגנה על הזכות לפרטיות וכן עמדת היועץ המשפטי והגורמים המקצועיים בממשלה האמונים על הגנת פרטיות המשתמשים במרשתת – הרשות להגנת הפרטיות ומערך הסייבר הלאומי .לאחר שנשמעו הערותיהם והסתייגויותיהם המנומקות ביחס להסכם אליו הגיעו הצדדים ,ההסדר המוצע תוקן ושופר בהתאם לדיון הענייני שהתנהל בבית המשפט .בהמשך ,אף מיניתי בודק בלתי תלוי לצורך בחינה אובייקטיבית של ההסדר המוצע על רקע נסיבות אירוע האבטחה שהוביל להגשת בקשת האישור .לאחר הליך ארוך זה בשלה השעה להכריע בבקשה לאישור הסדר הפשרה.

17 18 19 20 21 22 23 24

.46

לאחר ששבתי ועיינתי בבקשת האישור ,בתגובת המשיבה לבקשת האישור ובתשובת המבקש לתגובה; בבקשה המתוקנת לאישור הסדר פשרה; בעמדת המתנגדים ובעמדת היועץ המשפטי לממשלה והגורמים המקצועיים; ובחוות דעת הבודק ,נחה דעתי כי הסדר הפשרה "ראוי ,הוגן וסביר בהתחשב בענינם של חברי הקבוצה" וזאת באספקלריית מאזן הסיכויים והסיכונים הנשקפים לחברי הקבוצה מהמשך ניהול ההליך. אכן ,ההסדר המונח לפני אינו חף מקשיים או מבעיות .אך להתרשמותי אין בסך מגרעותיו של ההסדר המוצע כדי לעלות על סך התועלת שהוא צפוי להביא לחברי הקבוצה ולציבור הרחב .כדרכו של עולם ,הצדדים להסדר המוצע מנסים לתארו כמיטבי וכהסדר ההוגן

25 26 27 28 29 30 31 32

14מתוך 25

בית המשפט המחוזי בתל אביב -יפו ת"צ 40923-03-20פרנג'י נ' מייהריטאג' בע"מ

והראוי ביותר בנסיבות העניין .המתנגדים מנגד ,מדגישים את מגרעותיו של ההסדר .ואכן, כפי שציינתי -ההסדר אינו מושלם .אך כפי שפסק בית המשפט העליון לא אחת ,על מנת לעמוד בסטנדרט הנדרש לצורך אישור הסדר פשרה בהליך ייצוגי אין צורך לשכנע את בית המשפט כי ההסדר מציע לחברי הקבוצה את הפיצוי המקסימלי האפשרי אלא על מבקשי אישור ההסדר לשכנע כי הפיצוי המוצע הוא האופטימלי בנסיבות עניינם של חברי הקבוצה: "הסדר פשרה ראוי הוא כזה שמציע לקבוצה הטבה או פיצוי המשקפים נאמנה את הסיכויים והסיכונים הגלומים בהליך מבחינת כל אחד מהצדדים .הסדר פשרה מעצם טיבו וטבעו נועד ל'קניית סיכון' ,ועל כן גם כאשר מדובר בהליך ייצוגי – אין ככלל הצדקה לדחייתו של הסדר מוצע רק משום שאינו מבטיח לחברי הקבוצה פיצוי בשיעור המרבי שהיה נפסק לטובתם אם התובענה הייצוגית היתה מתקבלת במלואה .לשון אחר :בבואו לבחון בקשה לאישור הסדר פשרה בהליך ייצוגי ,שומה על בית משפט לתת דעתו לסיכויים ולסיכונים הגלומים בהמשך ניהול ההליך כפי שהוא מעריך אותם – ובאספקלריה זו לבחון אם ההסדר המוצע הוא 'ראוי, הוגן וסביר'" (בר"מ 2744/19עיריית עכו נ' בריל תעשיות נעליים בע"מ ,פס' ;)10.3.2021( 14 רע"א 2292/22ש .שסטוביץ בע"מ נ' רוה ,פס' .))12.2.2023( 21

1 2 3 4 5 6 7 8 9 10 11 12 13 14

בהתאם לאמור לעיל ,אבחן את ההסדר המונח לפני וכן את טענות הצדדים ביחס אליו.

15

בחינת הפיצוי המוצע בהסדר .48לפי הסכמת הצדדים ,במסגרת ההסדר המוצע נכללים הטבה בדמות שירות חינמי שווה-כסף בשירותים הדיגיטליים שמציעה המשיבה ,נוסף על פיצוי כספי של לפחות ₪ 400,000לקרן שהוקמה מכוח סעיף 27א לחוק תובענות ייצוגיות .גובה הפיצוי הכספי שיועבר לקרן תלוי בשיעור מימוש ההטבה מקרב חברי הקבוצה .אם איש מחברי הקבוצה לא יממש את ההטבה המוצעת ,תשלם המשיבה לקרן ,סכום כולל של .₪ 1,300,000 האם מתווה פיצוי זה הוא מתווה "ראוי ,הוגן וסביר בהתחשב בענינם של חברי הקבוצה" כאמור בסעיף (19ב) לחוק תובענות ייצוגיות?

16 17 18 19 20 21 22 23

.49

נקודת המוצא לבירור שאלה זו היא בחינת עילות התביעה שפורטו בבקשות האישור ,על בסיס התשתית העובדתית שנפרסה בפני בית המשפט במסגרת ניהול ההליך ובמסגרת הליך בחינת הסדר הפשרה .הטענה המרכזית שבפי המבקשים היתה כי המשיבה הפרה את הוראות חוק הגנת הפרטיות ותקנות מאגרי המידע באופן שהוביל לדליפת מידע של חברי הקבוצה שנשמר בשרתיה ,וכי דליפת המידע גרמה לחברי הקבוצה נזק ,בעיקר נזק לא-ממוני בגין "חוסר נוחות" (סעיף 158לבקשת האישור).

24 25 26 27 28 29

.50

זכותו של אדם לפרטיות ,או 'להיעזב במנוחה' ,הוכרה במשפט המקובל כבר בסוף המאה ה-

30

( 19ראוLouis D. Brandeis & Warren D. Samuel, The Right to Privacy, 4 Harv. :

31

.47

15מתוך 25

בית המשפט המחוזי בתל אביב -יפו ת"צ 40923-03-20פרנג'י נ' מייהריטאג' בע"מ

.51

) .)L. Rev. 193 (1890בישראל ,זכותו של אדם לפרטיות עוגנה בחוק הגנת הפרטיות שנחקק

1

בשנת .1981עם השנים התפתחה ההבנה המשפטית של הזכות לפרטיות ,במקביל לצמיחת הטכנולוגיה .כך למשל ,התפתחות הטכנולוגיה בתחום הצילום והתיעוד החזותי עוררה דיון משפטי בעקבות מספר מקרים שעסקו בטענות להפרת פרטיות כתוצאה מצילום או הדמיה חזותית. באחת הפרשות ,דן בית המשפט העליון בקבילות תצלומים שהגיש אדם לבית הדין הרבני כראיה במסגרת הליך גירושין נגד מי שהיתה אשתו .טענת האישה באותו עניין היתה לאי- קבילות התצלומים שהושגו תוך פגיעה חמורה בפרטיותה (בג"ץ 6650/04פלונית נ' בית הדין הרבני האיזורי בנתניה ,פ"ד סא("( )2006( 581 )1עניין פלונית")) .בית המשפט העליון קבע בעניין פלונית כי הזכות לפרטיות "היא מהחשובות שבזכויות האדם בישראל" (עניין פלונית, בעמוד )595ופורשה ,בהקשר החוקתי ,כזכות ש"נועדה לאפשר לפרט "תחום מחיה" שבו הוא הקובע את דרכי התנהלותו ,בלא מעורבותה של החברה" (שם ,בעמודים .)598-597 דוגמה אחרת ניתן למצוא בעניין ורדי שעסק בתביעת לקוח נגד אדריכל שפרסם באתר האינטרנט שלו הדמיות ממוחשבות של הבית שתכנן האדריכל ללקוח (ע"א 1697/11א. גוסטמן אדריכלות בע"מ נ' ורדי ( .))23.1.2013בית המשפט העליון פירש בעניין ורדי את זכותו של האדם לפרטיות ביחסים שבין אדם לחברו כ"מאפשרת לאדם לפתח את עצמיותו ולקבוע את מידת המעורבות של החברה בהתנהגותו ובמעשיו הפרטיים ...הזכות לפרטיות, אם כן ,מותחת את הקו בין הפרט לבין הכלל ,בין "האני" לבין החברה .היא משרטטת מתחם אשר בו מניחים את הפרט לנפשו לפיתוח "האני" שלו ,בלא מעורבות של הזולת" (עניין ורדי, פסקה .)12

2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20

בשנים האחרונות התפתחות טכנולוגיות המידע והאינטרנט מעצבות מחדש את גבולות הזכות לפרטיות כפי שהיא מוכרת במשפט הפרטי .הפיתוחים הטכנולוגים בתחום האינטרנט והמחשב הפכו את חיי היומיום לתלויים במידה רבה בטכנולוגיות מידע שונות .הטלפון הנייד וליתר דיוק הסמארטפון ,הפך לאביזר חובה לצורך קיום חיי שגרה במדינה מודרנית ומפותחת .המכשיר הנייד המחובר לרשת האינטרנט מייצר בכל רגע נתון כמות גדולה מאוד של נתונים דיגיטליים – מיקומו הגיאוגרפי של המכשיר ,היסטוריית הגלישה באינטרנט, אופי השימוש במכשיר ועוד .מידע רב זה המצטבר כשובל אחר חיינו בעידן המודרני-דיגיטלי הוא גם רב ערך :הצלבת הנתונים ופיענוחם מאפשר ללמוד כמעט הכול על האדם המחזיק במכשיר הנייד לצורך הדוגמה .עמד על כך בהרחבה פרופ' בירנהק" :המידע שנאסף מעובד בדרך של הצלבה עם מידע ממקורות אחרים ,ניתוח המידע במאגר מידע ,או פעולות עיבוד אחרות .מידע כזה נשמר בדרך כלל במאגרי מידע .תוכנו של המידע יכול להיות רגיש :למשל, מצב כלכלי של האדם ,מצב רפואי ,מצב משפחתי-אישי ,ציונים בבית הספר או באוניברסיטה ,וכדומה .המידע יכול להיראות סתמי למדי או שגרתי ...אבל ,מידע שנראה

21 22 23 24 25 26 27 28 29 30 31 32 33

16מתוך 25

בית המשפט המחוזי בתל אביב -יפו ת"צ 40923-03-20פרנג'י נ' מייהריטאג' בע"מ

.52

תמים יכול להצטרף במאגר המידע למידע תמים אחר ,וביחד ,הם חושפים מידע אחר :השלם המידעי גדול מסך חלקיו .רכישות תמימות בסופרמרקט לאורך זמן יכולות להעיד על שינויים במצב הכלכלי ,בהרגלי תזונה ובריאות ,על מידת דתיות ,על שינויים במצב משפחתי ועוד" (מיכאל בירנהק פרטיות חוקתית "( )2023( 124-123בירנהק")).

1 2 3 4

הצמיחה במספרם של מאגרי המידע המשמשים לאיסוף מידע רב ביחס לקהל גדול של בני אדם ,חייב את המחוקק ומחוקק המשנה להסדיר את היחסים בין הפרט ובין אוסף המידע (לפי פרופ' בירנהק מדובר על מישור היחסים "בין נושא מידע ובין מעבד המידע" ,ראו: בירנהק ,בעמוד .)123בשנת 1996תוקן חוק הגנת הפרטיות בעניין מאגרי מידע לאחר שהמחוקק סבר כי ההגנה "על הפרטיות במאגרי מידע ...אינה מספקת ,כי קיימת דליפה של מידע ממאגרים וכי מידע פרטי נמצא פרוץ במאגרים וחשוף לנגישותם של רבים" (דברי ההסבר לה"ח הגנת הפרטיות (תיקון מס' ( )2מאגרי מידע) ,התשנ"ד .)1993-עם העלייה במספר מאגרי המידע ,ביכולת עיבוד המידע ובכמות המידע הרגיש הנשמר במאגרים ,הותקנו בשנת 2017תקנות מאגרי מידע (ראו להרחבה :אסף אבידן "אסדרה של אבטחת סייבר בציוד קצה" דין ודברים י .))2019( 58 ,15 לפי המבנה החקיקתי בישראל ,חובותיו של בעל מאגר המידע נגזרות מאופי המידע שנאגר בו (ראו :בירנהק ,בעמוד .)135סעיף 7לחוק הגנת הפרטיות מגדיר "מאגר מידע" כ"אוסף נתוני מידע ,המוחזק באמצעי מגנטי או אופטי והמיועד לעיבוד ממוחשב ,למעט – ( )1אוסף לשימוש אישי שאינו למטרות עסק; או ( )2אוסף הכולל רק שם ,מען ודרכי התקשרות שכלעצמו אינו יוצר איפיון שיש בו פגיעה בפרטיות לגבי בני האדם ששמותיהם כלולים בו, ובלבד שלבעל האוסף או לתאגיד בשליטתו אין אוסף נוסף" .עוד מגדיר סעיף 7לחוק הגנת הפרטיות את המונח "מידע" כ"-נתונים על אישיותו של אדם ,מעמדו האישי ,צנעת אישיותו, מצב בריאותו ,מצבו הכלכלי ,הכשרתו המקצועית ,דעותיו ואמונתו"; "מידע רגיש" מוגדר כ"נתונים על אישיותו של אדם ,צנעת אישיותו ,מצב בריאותו ,מצבו הכלכלי ,דעותיו ואמונתו" או כ"מידע ששר המשפטים קבע בצו ,באישור ועדת החוקה ,חוק ומשפט של הכנסת ,שהוא מידע רגיש". בהתאם לאבחנה בין מאגרי המידע השונים על בסיס אופי המידע השמור בהם ,מבחינה תקנה 1לתקנות מאגרי מידע בין רמות האבטחה השונות החלות על מאגרים שונים בהתאם לאמות המידה שקבע מחוקק המשנה בתוספת הראשונה והשנייה לתקנות מאגרי המידע :מטרת איסוף המידע במאגר המידע; זהות הגורם המחזיק במאגר המידע; סוג המידע השמור במאגר המידע; מספר בעלי ההרשאה למאגר; מספר האנשים אודותיהם שמור במאגר מידע. תקנות מאגרי מידע מגדירות את אמצעי הזהירות הבסיסיים בהם על בעל מאגר לנקוט על מנת למזער את הסיכון לדליפה של מידע מן המאגר .בין היתר ,בעל המאגר נדרש למנות ממונה על אבטחת מידע (תקנה ;)3לקבוע נוהל אבטחת מידע (תקנה ;)4קיום סקרים עתיים

5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33

17מתוך 25

בית המשפט המחוזי בתל אביב -יפו ת"צ 40923-03-20פרנג'י נ' מייהריטאג' בע"מ

לבחינת החשיפה שחשוף המאגר לסיכונים שונים ,לרבות מבדקי חדירות אם מדובר במאגר ברמות אבטחה מסוימות כמפורט בתקנות (ראו תקנה ;)5נקיטה באמצעי הגנה פיזיים להרחקת גורמים עוינים מגישה פיזית למאגר (תקנות 9 8 ,7ו ;)10-ועוד.

1 2 3

.53

בהקשר של חובותיה לעמוד בהוראות חוק הגנת הפרטיות חוק מאגרי מידע טענה המשיבה שתי טענות הגנה עיקריות .האחת ,כי עמדה בכל הוראות הדין שפורטו ונדרשו; השנייה, המידע שנחשף במסגרת דליפת המידע ,קרי כתובות דוא"ל ,סיסמאות מוצפנות ומועד הצטרפות לפלטפורמה" ,אינו בגדר המידע המוגן בחוק הגנת הפרטיות" (סעיף 9.5לתגובת המשיבה לבקשת האישור) .אשר לטענה הראשונה של המשיבה ,לא ניתן לקבוע בשלב הדיוני הנוכחי האם עמדה בהוראות חוק הגנת הפרטיות ותקנות מאגרי מידע .אמנם ,היעדר הליך מנהלי לאכיפת הוראות דיני הגנת הפרטיות עשוי ,בנסיבות מתאימות ,להוות אינדיקציה לאמיתות תוכן הצהרת מר יפת לפיה" :החברה עמדה ועומדת בסטנדרט חוק הגנת הפרטיות והתקנות ,להגנה על מידע ,לפני אירוע האבטחה ולאחריו" (סעיף 22לתצהיר מר יפת) .עם זאת ,בשלב זה לא נחקר המצהיר ,לא התקיים הליך גילוי מסמכים ולא הוגשה חוות דעת מומחה להגנת מאגרי מידע מטעם מי מהצדדים ,ומשכך לא ניתן לקבוע מסמרות בעניין זה.

4 5 6 7 8 9 10 11 12 13 14

.54

בשונה מהטענה הראשונה הרי שלטענה השנייה היבט משפטי שמאפשר להתייחס אליו כבר עתה .כאמור ,טוענת המשיבה כי סוג המידע שדלף אינו חוסה תחת הגדרת "מידע" בסעיף 7 לחוק הגנת הפרטיות ,ולהתרשמותי אין זה המצב. עיון בהוראות חוק הגנת הפרטיות ובתקנות מאגרי מידע העוסקות בחובות בעל המאגר לשמור על רמת אבטחת מידע נאותה מחייבות פרשנות מחמירה כאמור בסעיף 17לחוק שכותרתו "האחריות לאבטחת מידע" " -בעל מאגר מידע ,מחזיק במאגר מידע או מנהל מאגר מידע ,כל אחד מהם אחראי לאבטחת המידע שבמאגר המידע" ,ומהי "אבטחת מידע" -סעיף 7לחוק הגנת הפרטיות מבהיר כי מדובר ב"הגנה על שלמות המידע ,או הגנה על המידע מפני חשיפה ,שימוש או העתקה ,והכל ללא רשות כדין" .נראה כי הגדרה רחבה זו מצביעה על האחריות הכללית של בעל מאגר המידע לשמור על אבטחת המידע במאגר בכללותו.

15 16 17 18 19 20 21 22 23 24

.55

כפי שעולה מדו"ח הבודק ,מאגר המידע ממנו דלף המידע בענייננו "הכיל מידע כללי על משתמשי הפלטפורמה (לרבות :שם מלא ,תאריך ההצטרפות של המשתמש לאתר ,מגדר, תאריך לידה ,ארץ מגורים ,כתובת הדואר האלקטרוני ( ,)Emailהסיסמא הנוכחית והסיסמא הקודמת (מגובבות באלגוריתם ( "))SHA1תשובה 2לדו"ח הבודק) .ברור כי נתונים אודות מגדר ,שם מלא ,ארץ מגורים ותאריך מידע הם נתונים העונים להגדרה "מידע" ואף "מידע רגיש" כ"נתונים על אישיותו של אדם" .מכאן ,שחובת המשיבה היא לאבטחת המידע במאגר המידע בכללות ,ולכן קשה לקבל טענה לפיה המשיבה אינה אחראית לדליפת המידע במסגרת אירוע אבטחת מידע אלא אם יתברר כי המידע שדלף בפועל אינו עונה להגדרת "מידע".

25 26 27 28 29 30 31 32

18מתוך 25

בית המשפט המחוזי בתל אביב -יפו ת"צ 40923-03-20פרנג'י נ' מייהריטאג' בע"מ

.56

הוראות סעיף 17לחוק הגנת הפרטיות תוקנו במסגרת תיקון 4בשנת 1996וכפי שעולה מהפרוטוקולים של ישיבות ועדת חוק ,חוקה ומשפט של הכנסת שדנה בתיקון 4כאמור, הדיונים היו בראשית ימי המחשב עת החל לעלות השימוש רחב ההיקף במידע .כבר אז צפו את הפוטנציאל השלילי הגלום בקיומם של מאגרי מידע בלתי רשומים ובלתי מפוקחים וכי יש צורך להסדיר את התחום באמצעות רגולציה אפקטיבית בתחום ובהבהרת הסטנדרט המשפטי אשר להתנהלות המצופה מבעל מאגר מידע .וכך נאמר לגבי גבולות האחריות המוטלת על מנהל מאגר מידע" :עליו מוטלת החובה לנקוט בכל האמצעים הדרושים להבטחת מידע .ההגנה על מידע היא יקרה מאד ,היא כרוכה בתקציבים ובכוח אדם .לכן מי שצריך להיות אחראי לנושא זה צריך להיות אחראי למשאבים לצורך הבטחת מידע .הוא לא צריך לקבוע את סיסמאות הגישה ...אבל הוא צריך לקבל החלטות רציניות בקשר לניהול המאגר" (פרוטוקול ישיבה 199של ועדת החוקה ,החוק ומשפט ,הכנסת ה ,13-עמ' 19 ( .))13.6.1994לטעמי דברים אלה מבהירים כי יש לפרש את הוראות סעיף 17כמטילות חובה רחבה יחסית על בעל המאגר ,מנהל המאגר והמחזיק במאגר לעמוד בסטנדרט הנדרש לאבטחת המידע ביחס לכל הנתונים השומרים במאגר העונה להגדרה "מאגר מידע" בסעיף 7לחוק הגנת הפרטיות.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15

.57

את דעתי מבססת גם על הגדרת המונח "מאגר מידע" בסעיף 7לחוק הגנת הפרטיות .כאמור, המחוקק החריג מהגדרת "מאגר מידע" אוסף נתונים "הכולל רק שם ,מען ודרכי התקשרות" (ראו :רע"א 3351/16וסרמן נ' קליין ,פס' .))21.7.2016( 7מכאן שכאשר מאגר מידע כולל נתונים שהם בגדר "מידע" ונתונים שאינם בכלל "מידע" כאמור בסעיף 7לחוק הגנת הפרטיות ,הרי שבמאגר מידע מדובר ומשכך בעל המאגר ומנהל המאגר המחזיקים במאגר, אחראים לאבטחת המידע כולו כאמור בסעיף 17לחוק הגנת הפרטיות.

16 17 18 19 20 21

.58

עוד ראיתי להתייחס לטענת המשיבה כי כתובת מייל אינה בגדר "מידע" או "מידע רגיש" כאמור בסעיף 7לחוק הגנת הפרטיות ולציין כי איני מקבלת טענה זו ,בוודאי שלא באופן גורף .נקודת המוצא היא הפסיקה העקבית של בית המשפט העליון אשר לפרשנות המרחיבה של המונח "מידע" בסעיף 7לחוק הגנת הפרטיות .כך למשל בעניין בנק הפועלים התייחס בית המשפט לשאלה האם רישומי רכב הנשמרים אצל משרד הרישוי הם "מידע"? (ע"א 86/89מדינת ישראל נ' בנק הפועלים ,פ"ד מד( ))1990( 731 ,726 )2ותשובתו היתה חיובית: "יש לפרש את המונח "מידע" על-פי מטרתו החקיקתית של החוק הנ"ל :המונח מתייחס לפי מלותיה של הגדרה גם לנתונים היכולים להיות מופקים ממאגר שאינו בנוי על רישומים הממוינים על בסיס פרסונאלי .במילים אחרות ,הרישום של כלי רכב הוא בגדר הנתונים שהמונח "מידע" מתייחס אליהם ,כי ניתן ללמוד מן ההגדרה של המונח "מידע" ,שהחוק ביקש להגן על מידע לגבי מצבו הכלכלי של אדם" (שם) .מהאמירות בפסק הדין בעניין בנק הפועלים ניתן ללמוד כי גם גילוי מידע 'ניטרלי' כשלעצמו עלול לפגוע בפרטיות אם יוצלב עם

22 23 24 25 26 27 28 29 30 31 32 33

19מתוך 25

בית המשפט המחוזי בתל אביב -יפו ת"צ 40923-03-20פרנג'י נ' מייהריטאג' בע"מ

נתונים אחרים .באותו עניין ,ברור היה שצירוף שם בעל הרכב עם סוג הרכב שבבעלותו מאפשרים להסיק לא מעט מידע אשר למצבו הכלכלי של בעל הרכב וכך גילוי פרט מידע נטרלי לכאורה עלול להוביל לפגיעה בפרטיות אדם כשהמידע משתלב עם נתונים אחרים, ממקור חיצוני. עקבי בפסיקותיו קבע בית המשפט בעניין עע"ם 1386/07עיריית חדרה נ' שנרום בע"מ (פס' ))16.7.2012( 11כי יש בגילוי המידע שהתבקש כדי לפגוע בפרטיות המחזיקים בנכסים: "אותו המידע ה"תמים" לכאורה בדבר גודל וסיווג הנכסים ,כשמצטרפים אליו נתונים בדבר שמותיהם וכתובתם של האנשים המחזיקים בו – מאפשר גם הסקת מסקנות בנוגע לטבע השימוש בנכס וקבלת מידע על המשתמש בו ,כגון :יכולתו הכלכלית של המחזיק ,עיסוקו וכיוצא בזאת .האפשרות להסקת נתונים אלה חודרת שלא כדין את מעטה הפרטיות של המחזיק ,ויש למנוע אותה" (שם).

1 2 3 4 5 6 7 8 9 10 11

.59

בכל הקשור לפרשנות המונח "מידע" בסעיף 7לחוק הגנת הפרטיות ,אימצה הפסיקה את מבחן הזיהוי כמוסבר בעניין ורדי" :מתי תמצי לומר כי מידע שפורסם אכן מאפשר לזהות אדם ,כך שאמנם קמה פגיעה בפרטיותו? בתמצית ,נראה כי התשובה היא כי לא תקום פגיעה בפרטיות מקום שבו דרישת ה"זיהוי" אינה מתקיימת ,היינו :ככל שאדם סביר לא יכול לקשור בין המידע שפורסם לבין אדם ספציפי" (עניין ורדי ,פס' .)18 ראיתי להוסיף ,מעבר לצורך ,כי בתקופה האחרונה עיגן המחוקק את מבחן הזיהוי בחקיקה העוסקת במידע פיננסי ובפרטיות פיננסית .בסעיף 2לחוק נתוני אשראי ,התשע"ו2016- מוגדר "מידע מזוהה" כ"מידע הכולל פרט מזהה של לקוח ,או מידע שפרטים מזהים של לקוח הופרדו ממנו אך ניתן במאמץ סביר לזהות את הלקוח שאליו מתייחס המידע" .בדומה ,סעיף 1לחוק שירותי מידע פיננסי ,התשפ"ב 2021-מגדיר גם הוא "מידע מזוהה" כ"מידע הכולל פרט מזהה של לקוח ,או מידע שפרט מזהה של לקוח הופרד ממנו אך ניתן לזהות את הלקוח שאליו מתייחס המידע במאמץ סביר ,לרבות בדרך של הצלבת המידע מול מידע אחר הזמין לגוף המחזיק במידע כאמור או מול מידע הזמין לציבור הרחב".

12 13 14 15 16 17 18 19 20 21 22 23 24

.60

מכל האמור עולה כי פרשנות סעיף 7לחוק הגנת הפרטיות מכירה באפשרות לכלול בגדר "מידע" גם את פרטי כתובת הדואר האלקטרוני של הפרט ,כתובת שעשויה לאפשר הסקת פרטי מידע רבים ומגוונים על בעל התיבה האלקטרונית ובכלל זה פרטים על שיוכו המוסדי או הארגוני של בעל התיבה ,באופן שמאפשר ללמוד פרטים על אישיותו ,משלח ידו ועיסוקו, השתייכותו הארגונית ,המוסדית או הפוליטית ,השתייכותו הדתית ועוד (ראו להרחבה :גילוי דעת של הרשות להגנת הפרטיות "האם אוסף של שמות וכתובות דוא"ל מהווה "מאגר מידע"?" ( .))28.11.2018ואכן בענייננו הבודק הסיק במפורש כי באמצעות כתובות הדואר האלקטרוני שדלפו ממאגרי המשיבה ,התאפשר למעיין ברשימת הכתובות שדלפה "לזהות

25 26 27 28 29 30 31 32

20מתוך 25

בית המשפט המחוזי בתל אביב -יפו ת"צ 40923-03-20פרנג'י נ' מייהריטאג' בע"מ

את המשתמשים הרלוונטיים בהתאם לכתובת הדוא"ל ...והן את השם המלא במקרים מסוימים" (חוות דעת הבודק).

1 2

.61

בחינת טענות הצדדים הביאה אותי למסקנה כי בשלב הדיוני הנוכחי ,עצם סיום ההליך בפשרה הוא בעל יתרונות בלתי מבוטלים מבחינת חברי הקבוצה .אמנם במישור המשפטי יש ליתן משקל משמעותי לטענות שהועלו על ידי המתנגדים והרשות להגנת הפרטיות ,אך סיומה המוצלח של התובענה הייצוגית מבחינת חברי הקבוצה מותנה בהצלחה להוכיח את הטענות העובדתיות של חברי הקבוצה ,שבשלב זה לא ממש התרשמתי מהתשתית הדלה שהונחה לפני ,אבל כאמור טרם התקיימו הליכי גילוי מסמכים גם לא חקירות .בנסיבות אלה אני סבורה כי סיום ההליך בפשרה מיטיב עם חברי הקבוצה בעצם קניית הסיכון שמא תונח בבית המשפט תשתית ראייתית שתתמוך בטענות העובדתיות שהעלתה המשיבה בתגובה לבקשת האישור.

3 4 5 6 7 8 9 10 11

.62

ועתה לשאלה האם גובה וסוג הפיצוי המוצע בהסדר הוא ראוי והוגן בנסיבות העניין? התשובה אינה כה פשוטה .כפי שעולה מבקשת האישור עצמה ,עיקר הנזק הנטען בעניינם של חברי הקבוצה הוא נזק בלתי-ממוני שנגרם לכאורה כתוצאה מאי-הנוחות שבפגיעה בפרטיות חברי הקבוצה (סעיף 158לבקשת האישור). הערכה וכימות נזק לא-ממוני היא מלאכה המצריכה מטבעה עריכת אומדן והפעלת שיקול דעת ,בהיעדר אמת מידה אובייקטיבית לתרגום של תחושות שליליות סובייקטיביות לערכים כספיים .ואכן ,סעיף 20לחוק תובענות ייצוגיות מקנה לבית המשפט סמכויות נרחבות לאמוד את גובה הנזק שנגרם לחברי הקבוצה ולקבוע את שיעור הפיצוי לחיוב הנתבע באופן שיגשים את תכליות ההליך הייצוגי למתן פיצוי הולם לחברי הקבוצה ולהרתעה מפני הפרת הוראות הדין (ראו האמור בע"א 10085/08תנובה – מרכז שיתופי נ' עזבון המנוח ראבי ז"ל ,פס' 49 ( ;)4.12.2011ע"א 6930/19הר פז נ' נגב קרמיקה שיווק ( )1982ב"מ ,פס' .))6.2.2023( 67

12 13 14 15 16 17 18 19 20 21 22

.63

בבואי לבחון את הנזק הלא-ממוני שנגרם לכאורה כתוצאה מפגיעה בפרטיות חברי הקבוצה וכן לקבוע את שיעור הפיצוי הראוי יש לתת את הדעת לשלושה עניינים עיקריים אלה :אופי המידע שדלף ,כך שככל שמדובר במידע רגיש יותר גובה הפיצוי יהיה גבוה יותר; נסיבות הדליפה ובפרט מידת האשם של הנתבע בנסיבות שגרמו לדליפת המידע; מספר חברי הקבוצה שמידע אישי שלהם דלף .בחינת נתונים אלו בנסיבות העניין מסייעת לקבוע את הוגנות הפיצוי המוצע בנסיבות העניין:

23 24 25 26 27 28

טיב המידע שדלף :כפי שתיאר הבודק בחוות דעתו ,המידע שדלף בענייננו לא כולל פרטי מידע רגישים במיוחד על חברי הקבוצה דוגמת מידע רפואי או נתונים גנטיים. המידע שדלף מורכב בעיקר מסיסמאות מוצפנות ומכתובות דואר אלקטרוני .אמנם אני סבורה כי כתובת דואר אלקטרוני היא בגדר נתון העונה להגדרה "מידע" כאמור

29 30 31 32

א.

21מתוך 25

בית המשפט המחוזי בתל אביב -יפו ת"צ 40923-03-20פרנג'י נ' מייהריטאג' בע"מ

.64

בסעיף 7לחוק הגנת הפרטיות ,כפי שהתייחסתי לעיל ,אך אין לכחד כי הפגיעה בפרטיות אדם כתוצאה מדליפת כתובת הדואר האלקטרוני היא ברוב המקרים על הצד הנמוך .גם יתר הנתונים שדלפו במסגרת אירוע האבטחה נושא בקשת האישור אינם פרטי מידע שדליפתם גורמת לפגיעה חמורה או קשה בפרטיות רוב חברי הקבוצה.

1 2 3 4 5

ב.

אירוע האבטחה :הנסיבות שהובילו לדליפת המידע בענייננו עמדו במרכז חוות דעת הבודק .בהתאם לבדיקתו נפלה המשיבה קורבן למתקפת סייבר מצד קבוצת האקרים שכונו על ידי הבודק "אחת מקבוצות התקיפה החזקות בעולם" (שם ,תשובה .)3 הבודק הדגיש כי חברות נוספות נפלו קורבן לאותה קבוצת האקרים וכי המתקפות שבוצעו על ידי אותה קבוצה נחשבו בזמן אמת כחדשניות מבחינה טכנולוגית והגם שכך היה בכל זאת ציין הבודק כי המשיבה לא יישמה את כל הבקרות הנדרשות עובר למתקפת הסייבר" :מצר אני שהיה לקרות אירוע סייבר בכדי ליישם בקרות אלו" (שם) .נסיבות אלה שתוארו בחוות דעת הבודק משליכות על בחינת סבירות הפיצוי המוסכם בענייננו .מצד אחד ,המשיבה נפלה קורבן למתקפת האקרים מתוחכמים; מצד שני ,המשיבה יישמה חלק מבקרות האבטחה הנדרשות בהתאם לנהוג בשוק רק לאחר האירוע.

6 7 8 9 10 11 12 13 14 15 16

ג.

מספר חברי הקבוצה :לפי ממצאי הבודק מספר חברי הקבוצה עומד על 754,594 כאשר מתוכם רק 5,413שילמו בעד שירותי המשיבה.

17 18

בהינתן הנתונים שפרטתי לעיל באשר לנסיבות אירוע האבטחה שבמוקד בקשת האישור, נראה כי שווי הפיצוי הכולל שהוסכם בין הצדדים הוא ראוי והוגן ביחס לגובה הפיצוי שניתן לחברי הקבוצה או לציבור במסגרת הסדרי פשרה אחרים בהליכים ייצוגיים עסקו בסוגיות של אבטחת מידע ופגיעות בפרטיות חברי הקבוצה כתוצאה מדליפת מידע ממאגרי מידע.

19 20 21 22

בעניין ת"צ (ת"א) 1634-05-11פינצ'בסקי נ' )16.11.2015( Sony Corporation אושר הסדר פשרה בבקשה לאישור תובענה כייצוגית אשר הוגשה בעקבות אירוע אבטחת מידע ודליפת מידע אישי של כ 120,000-משתמשים ישראלים .באותו עניין דובר על דליפת מידע אישי אשר כלל נתונים ביחס לשמות ,מספרי זהות ,תאריכי לידה, כתובת מגורים ,מספר כרטיסי אשראי ועוד .כלומר ,אף שמספר חברי הקבוצה המשוער בעניין פינצ'בסקי היה נמוך מזה שבענייננו הרי שטיב המידע האישי שדלף עלול היה לגרום לפגיעה חמורה יותר בפרטיות חברי הקבוצה שם .על בסיס נתונים אלה אושר הסדר פשרה הכללי פיצוי בדמות הטבות לחברי הקבוצה בשווי מוערך של עד .₪ 752,500

23 24 25 26 27 28 29 30 31

א.

22מתוך 25

בית המשפט המחוזי בתל אביב -יפו ת"צ 40923-03-20פרנג'י נ' מייהריטאג' בע"מ

ב.

בעניין ת"צ (מרכז) 16319-09-15אלמוני נ' )25.2.2020( Avid Life Media Incאושר הסדר פשרה בבקשה לאישור תובענה ייצוגית .כפי שעולה מפסק הדין ,המשיבה לבקשת האישור בעניין אלמוני הפעילה אתר היכרויות שיועד למציאת בן זוג או בת זוג מחוץ לקשר הזוגי של המשתמשים באתר .בקשת האישור הוגשה נגד המשיבה בעקבות פריצה למאגרי המידע של המשיבה שהובילה לדליפת מידע אישי של משתמשי האתר ,באופן שאפשר את זיהויים .באותו עניין ,אישר בית המשפט המחוזי מרכז את ההסדר אליו הגיעו הצדדים בדבר העברת פיצוי כספי בסך ₪ 574,640לקרן שהוקמה לפי סעיף 27א לחוק תובענות ייצוגיות.

1 2 3 4 5 6 7 8

ג.

בעניין ת"צ (ת"א) 39644-04-20זיגון נ' חברת החשמל לישראל בע"מ ()19.5.2022 אושר הסדר פשרה בבקשה לאישור תובענה ייצוגית שעסקה במחדלי אבטחת מידע נטענים .כפי שעולה מפסק הדין המאשר את הסדר הפשרה בעניין זיגון ,פרצת האבטחה הנטענת אפשרה דליפה של מידע אישי רגיש ממאגר המידע של המשיבה שם. בית משפט אישר הסדר פשרה לפיו חברת החשמל תעביר סכום של ₪ 180,000לקרן שהוקמה מכוח סעיף 27א לחוק תובענות ייצוגיות ,וכן תבצע פרויקט טיוב נתונים שישפר את אבטחת המידע על מאגריה.

9 10 11 12 13 14 15

בהתאם לפסיקת בתי המשפט המחוזיים ,נראה כי הפיצוי המוסכם במסגרת הסדר הפשרה דנא הוא על הצד הגבוה ביחס להסדרים שאושרו בסוגיות דומות.

16 17

בנוסף ,נתתי דעתי לעובדה כי חרף פרסומו של הסדר הפשרה וחרף משך הזמן הארוך יחסית בו היה ההסדר תלוי ועומד בבית משפט זה ,אף לא אחד מחברי הקבוצה הרבים ביקש שלא להיכלל בהסדר המוצע .בנוסף ,נתתי דעתי לעובדה כי ביחס להסדר הפשרה המתוקן לא הוגשה התנגדות מצד היועץ המשפטי לממשלה או מצד עמותת פרטיות לישראל ,שהתנגדה להסדר הפשרה המקורי.

18 19 20 21 22

גמול ושכר טרחה .66המלצת הצדדים באשר לגמול ולשכר הטרחה היתה ₪ 300,000בתוספת מע"מ כשכר טרחה ו ₪ 75,000-בתוספת מע"מ כגמול .המסגרת הנורמטיבית לבחינת גובה שכר הטרחה והגמול למי שנשאו בעול ניהול ההליך הייצוגי קבועה בהוראות סעיפים 22ו 23-לחוק תובענות ייצוגיות ,וכן בפסיקת בית המשפט העליון כפי שבאה לידי ביטוי בהלכה הנוהגת שנקבעה בעניין רייכרט (ע"א 2046/10עזבון המנוח שמש ז"ל נ' רייכרט ( .))23.5.2012בהתאם לך ,על בית המשפט לגזור את סכומי שכר הטרחה והגמול כשיעור מתוך סכום הפיצוי לחברי הקבוצה ובהתאם לשיקולים המנחים בחוק תובענות ייצוגיות :התועלת שהביאה בקשת האישור לחברי הקבוצה; מידת טרחת התובע המייצגים; מידת הסיכון שנטלו על עצמם המייצגים בעצם ניהול ההליך; החשיבות הציבורית של התובענה הייצוגית; הפער בין הסעד

23 24 25 26 27 28 29 30 31 32

.65

23מתוך 25

בית המשפט המחוזי בתל אביב -יפו ת"צ 40923-03-20פרנג'י נ' מייהריטאג' בע"מ

שהתבקש בבקשת האישור ובין הסעד שנפסק לחברי הקבוצה בסופו של יום; האופן שבו ניהל ב"כ המבקש את ההליך הייצוגי.

1 2

.67

לאחר שנתתי דעתי לשיקולים כאמור לא ראיתי לקבל את המלצת הצדדים .תחילה לציין כי לא יכולתי להתעלם מהפער העצום בין הסכום הנתבע בבקשת האישור (כמאה מיליון ))!( ₪ ובין סכום הפיצוי שהוסכם בין הצדדים במסגרת הסדר הפשרה (כמיליון וחצי .)₪כלומר, הפיצוי שיינתן לחברי הקבוצה במסגרת ההסדר הוא כ 1%-מהסעד שהתבקש בבקשת האישור. עוד לציין כי לאחר עיון בבקשת האישור לא ניתן שלא לתהות על דלות הבקשה אליה לא צורפה חוות דעת רלוונטית; נתתי דעתי לעריכתה של בקשת האישור ,כמו גם לניסוחה רצוף השיבושים; ולכך שבקשת האישור מפרטת שורה ארוכה של עילות תביעה נגד המשיבה בלי לבסס תשתית משפטית העשויה לתמוך בשפע העילות והטענות. ולכל אלה אוסיף כי הגם שהליך בחינת הסדר הפשרה נמשך זמן ארוך ,בין השאר מאחר שאני סברתי כי יש למנות בודק ,לא התקיים בענייננו הליך הוכחות וגם ההליכים המקדמיים לא היו ארוכים ומסורבלים ,כך שהסיכון שנטלו על עצמם המייצגים לא היה גבוה ולא נדרשה מהם השקעה מהותית בניהול ההליך. מצד שני ,אומר כי לזכות המבקשים עומדת העובדה כי המבקשים הם הראשונים ש'איתרו' את עילת התביעה נגד המשיבה וכי מדובר בבקשה לאישור העוסקת בסוגיה חשובה שיש עניין ציבורי רב בבירורה.

3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18

.68

לאור האמור ראיתי להפחית מגובה המלצת הצדדים ולהורות על תשלום שכר טרחה לב"כ המבקש בסך ₪ 75,000ופסיקת גמול למבקש בסך ( ₪ 25,000הסכומים בתוספת מע"מ). הפער בין הסכום שהומלץ על ידי הצדדים כגמול ושכר טרחה ובין הסכום שאושר בפועל ,קרי ₪ 275,000יועבר גם הוא על ידי המשיבה לקרן שהוקמה מכוח סעיף 27א לחוק תובענות ייצוגיות (ע"א 7615/11גלבוע נ' החברה המרכזית לייצור משקאות קלים בע"מ ( ;)16.12.2012ע"א 6121/21כרמי נ' שלמה תחבורה ( )2007בע"מ ,פס' .))27.12.2021( 8

19 20 21 22 23 24

.69

בהתאם לאמור תעביר המשיבה בחלוף 10ימים מהמועד בו פסק דין זה יהפוך לחלוט ,סכום כולל של ₪ 400,000ועוד ,275,000לקרן שהוקמה מכוח סעיף 27א לחוק תובענות ייצוגיות (בהתאם לאמור בסעיף 4להסכם הפשרה המתוקן). עוד אני מורה כי הקרן תקצה את הכספים שיתקבלו אליה כחלק מביצוע הסדר פשרה זה לגופים העוסקים בקידום השמירה על פרטיות בכלל ופרטיות במידע בפרט. הקרן תעדכן בעניין ההקצאה.

25 26 27 28 29 30 31

24מתוך 25

בית המשפט המחוזי בתל אביב -יפו ת"צ 40923-03-20פרנג'י נ' מייהריטאג' בע"מ

סוף דבר .70מאחר שמצאתי כי הסדר הפשרה הוא "ראוי ,הוגן וסביר בהתחשב בענינים של חברי הקבוצה" (סעיף (19א) לחוק תובענות ייצוגיות) ,אני מאשרת את הסדר הפשרה המתוקן על כל תנאיו ונותנת לו תוקף של פסק דין .אני קובעת כי מתן תוקף של פסק דין להסדר הפשרה מהווה גם סילוק וויתור של המבקש ושל חברי הקבוצה כהגדרתם בהסדר הפשרה המתוקן כלפי המשיבה .פסק דין זה מהווה מעשה בית דין כלפי המבקש וכלפי חברי הקבוצה כהגדרה בהסדר הפשרה המתוקן.

1 2 3 4 5 6 7

.71

בהתאם להוראות סעיף )4(25יפרסמו הצדדים על חשבון המשיבה ,הודעה לחברי הקבוצה בדבר אישור התובענה כייצוגית בשני עיתונים יומיים נפוצים .הודעות כאמור יובאו לאישור בית המשפט תוך 14ימים ממועד פרסום פסק הדין המאשר את התובענה כייצוגית.

8 9 10

.72

הצדדים ידווחו לבית המשפט על ביצוע ההסדר ובפרט על שיעור מימוש ההטבה מצד המוטבים בהסדר הפשרה .דיווח בעניין זה יוגש לבית המשפט תוך 15ימים מחלוף המועד למימוש ההטבה בין המקורי ובין שהוארך.

11 12 13

ת"פ למעקב – .6.9.2023

14