ה תקנת האיחוד האירופי בנושא ראיות אלקטרוניות (EU) 2023/1543 יכנס לתוקף באופן ישיר בכל מדינות האיחוד החל מ- 18 באוגוסט 2026. עבור ספקי שירותים מקוונים, זהו אחד השינויים המשמעותיים ביותר בתחום הציות לחוקים חוצי גבולות מאז כניסתו לתוקף של ה-GDPR. ממועד זה, רשויות שיפוטיות בכל מדינה חברה באיחוד האירופי יוכלו להוציא צווי גילוי אירופיים (EPO) וצווי שימור אירופיים (EPOC-PR) ישירות לספקי שירותים, עם מועדים מחייבים הנמדדים בשעות ולא בשבועות.
אם הארגון שלכם מציע שירותי תקשורת אלקטרונית, אחסון, ענן, רשתות חברתיות, זירות מסחר, דומיינים או הקצאת כתובות IP למשתמשים באיחוד האירופי, סביר להניח שאתם נכללים בתחום תחולת התקנות — גם אם המטה שלכם ממוקם מחוץ לאיחוד. אי-עמידה בדרישות עלולה לגרור קנסות בסך של עד 2% מהמחזור השנתי העולמי, אכיפה רגולטורית מצד הגוף המוסמך, ופגיעה חמורה במוניטין.
המדריך המקיף הזה רשימת בדיקה לעמידה בדרישות בנושא ראיות אלקטרוניות מלווה אתכם בתהליך הבחינה של הדרישות המשפטיות, הארגוניות, הטכניות והתפעוליות שעליכם לבחון כעת, כדי שתוכלו לזהות פערים, לקבוע סדר עדיפויות לתיקון הבעיות ולהיות מוכנים באופן מובהק לפני מועד היעד.
מהי תקנת האיחוד האירופי בנושא ראיות דיגיטליות?
תקנה (האיחוד האירופי) 2023/1543 — יחד עם הדירקטיבה הנלווית לה (האיחוד האירופי) 2023/1544 — קובעת מסגרת משפטית אחידה המאפשרת לרשויות שיפוט מוסמכות במדינה חברה אחת להשיג ראיות אלקטרוניות ישירות מספקי שירותים הממוקמים או מיוצגים במדינה חברה אחרת. התקנה מחליפה מערך של הליכי סיוע משפטי הדדי (MLA) איטיים במנגנון מהיר וסטנדרטי, שתוכנן בהתאם למציאות של חקירות בעידן הענן.
התקנה מציגה שני כלים מרכזיים. ה- צו הפקה אירופי (EPO) מחייב ספק להציג נתונים אלקטרוניים ספציפיים, בעוד שה- צו שימור אירופי (EPOC-PR) מחייב את הספק לשמור את הנתונים עד להגשת בקשת גילוי נוספת או עד להשלמת הליך MLA. שניהם מועברים באמצעות מערכת ה-IT המבוזרת והמאובטחת e-CODEX, תוך שימוש בתעודות סטנדרטיות (טפסי EPOC ו-EPOC-PR).
מי נכלל בתחום תחולתו של תקן הראיות האלקטרוניות?
התקנה מכוונת בכוונה תחילה לקהל רחב. סביר להניח שאתה נחשב לספק שירותים מוגדר אם אתה מציע למשתמשים הממוקמים באיחוד האירופי את אחד מהשירותים הבאים:
- שירותי תקשורת אלקטרונית — טלפוניה, העברת הודעות, דואר אלקטרוני, VoIP ותקשורת בין-אישית שאינה תלויה במספר טלפון.
- שירותי שמות מתחם באינטרנט ומספור כתובות IP — מאגרי שמות, רשמים, RIR, שירותי פרטיות/פרוקסי וספקי DNS.
- שירותי חברת המידע שבהן אחסון הנתונים הוא מרכיב מרכזי — רשתות חברתיות, אתרי מסחר מקוונים, כלי שיתוף פעולה ופלטפורמות תוכן.
- ספקי מחשוב ענן ואירוח — IaaS, PaaS, SaaS, אחסון מנוהל ורשתות להפצת תוכן.
חשוב לציין שהיקף המחקר עוקב אחר “מבחן ”הקשר המהותי": אם משתמשים מהאיחוד האירופי יכולים להשתמש בשירות שלכם ואתם פונים לשוק האיחוד האירופי (למשל באמצעות תמחור, שפה או שיווק המותאמים לשוק המקומי), אתם נכללים בהיקף החוק ללא תלות במקום רישום הישות העסקית שלכם. ספקים שאינם מהאיחוד האירופי חייבים למנות נציג משפטי באיחוד האירופי בהתאם להוראות הדירקטיבה (EU) 2023/1544.
ארבע הקטגוריות של ראיות אלקטרוניות
התקנה מבחינה בין ארבע קטגוריות של נתונים, שלכל אחת מהן ספים ואמצעי הגנה שונים. על מאגר הנתונים שלכם ועל תהליכי הגילוי שלכם להיות מסוגלים להבחין ביניהן באופן מדויק:
- נתוני מנויים — זהות, פרטי יצירת קשר, פרטי חיוב וסוג השירות שבו נעשה שימוש.
- נתונים המבוקשים אך ורק לצורך זיהוי המשתמש — כתובות IP ויומני גישה המשמשים אך ורק לזיהוי אדם.
- נתוני תנועה (מלבד קטגוריה 2) — יומני חיבור, חותמות זמן, מקור/יעד, מזהי מכשירים.
- נתוני תוכן — תוכן התקשורת, הקבצים השמורים, ההודעות, התמונות והמסמכים.
ניתן לבקש נתוני מנויים ונתוני זיהוי בכל מקרה של עבירה פלילית. נתוני תעבורה ותוכן שמורים לעבירות שדינן עונש מאסר מרבי של שלוש שנים לפחות, או לרשימה מוגדרת של עבירות חמורות בתחום הפשיעה המקוונת, הטרור והתעללות מינית בילדים. מיפוי אילו מהמערכות שלכם מכילות איזו קטגוריה הוא אחד משלבי ההכנה החשובים ביותר — ולעתים קרובות גם המוזנחים ביותר.
מוכנות משפטית וארגונית
המשימה הראשונה שלך היא משימה פורמלית הערכת היקף. יש לתעד, תוך נימוק, אילו משירותיכם נכללים בתחום תחולת התקנה, אילו ישויות בקבוצתכם יקבלו הזמנות, ואילו מדינות חברות ישמשו כ“מדינות האכיפה” שלכם. הערכה זו צריכה להיות מאושרת על ידי היועץ המשפטי הראשי או ממונה הגנת המידע שלכם, ולהיבחן מחדש מדי שנה.
לאחר מכן, יש לקבוע גוף רשמי או נציג משפטי באיחוד האירופי ולרשום אותם אצל הרשות הלאומית המוסמכת. בגרמניה, מדובר ב- המשרד הפדרלי לצדק (BfJ); במדינות חברות אחרות קיימות רשויות מקבילות. הרישום אינו עניין פורמלי בלבד — זהו הכתובת המשפטית שאליה יועברו כל ה-EPO וה-EPOC-PR, ופרטים שגויים או מיושנים עלולים לשלול את זכותכם להגיש התנגדויות.
- למנות אדם מסוים מנהל תחום תאימות ראיות דיגיטליות בעל סמכויות חוצות-תחומים על מחלקות המשפט, האבטחה, ההנדסה והתפעול.
- לבנות או לשמר מומחיות משפטית מסוגל לבחון כל בקשה הנכנסת מבחינת תוקפה, מידתיותה, סמכות השיפוט בעניינה והנימוקים לדחייתה (למשל, הפרות בוטות של אמנת זכויות היסוד או של חסינויות ופריבילגיות).
- הגדר את תהליך הטיפול בהודעות עבור בקשות המחייבות הודעה למדינה המבצעת, ולשלב זאת בכלי ניהול התיקים שלכם.
- תעדו את מדיניות בנוגע להודעות למשתמשים, תוך התחשבות בהתחייבויות הסודיות שהוטלו על ידי הרשות המנפיקה.
- עדכון תנאי שימוש, הודעות פרטיות והנחיות לאכיפת החוק כדי לשקף את המסגרת החדשה.
דרישות תשתית טכנית
אי-עמידה בדרישות אינה אפשרית ללא התשתית הטכנית הנכונה. מספקי השירותים יידרשו לקבל, לאמת ולהגיב להזמנות באמצעות מערכת האיחוד האירופי e-CODEX מערכת IT מבוזרת — בדיוק זרימת העבודה של כלי עבודה ייעודיים כגון ה- פלטפורמת ICS לציות בתחום הראיות האלקטרוניות ממכן את התהליך מקצה לקצה, תוך שימוש בתעודות EPOC ו-EPOC-PR הסטנדרטיות. תהליכי עבודה ידניים המבוססים על דואר אלקטרוני או פקס לא יעמדו בלוחות הזמנים הרגולטוריים.
- ממשק קבלה מאובטח — נקודת קצה מאומתת המחוברת ל-e-CODEX (באופן ישיר או באמצעות מתווך מוסמך) לצורך קבלת כל הזמנה, אישור קבלתה ורישום חותמת זמן עבורה.
- אימות זהות וסדר — בדיקות אוטומטיות של חתימות דיגיטליות, אישורי סמכות הנפקה, תקינות האישורים והתאמת הקטגוריות.
- איתור וחילוץ נתונים — כלים המסוגלים לאתר נתוני מנויים, זיהוי, תעבורה ותוכן בכל המערכות הרלוונטיות בתוך שעות ספורות, ולא ימים.
- פורמטים סטנדרטיים של פלט — ייצוא העומד בדרישות תקנות היישום של הנציבות בנוגע לפורמטים ולמבנה הנתונים.
- ערוצי העברה מוצפנים — העברת ראיות מוצפנות מקצה לקצה לרשות המבקשת באמצעות e-CODEX, עם אישור קבלה הניתן לאימות.
- תיעוד ביקורת המעיד על חבלה — יומנים חתומים קריפטוגרפית של כל פעולה, מהקליטה ועד המסירה, התומכים בשלמות הראיות ובביקורת בדיעבד.
- עמידות וזמינות גבוהה — תשתית יתירה המסוגלת לעמוד בדרישת זמן התגובה למקרי חירום של 8 שעות, 24 שעות ביממה, 7 ימים בשבוע, 365 ימים בשנה.
- בקרות לצמצום נתונים והגבלת המטרה — תוך הקפדה על חשיפת מידע רק בהתאם להוראות הספציפיות, בהתאם לסעיף 5 לתקנת ה-GDPR.
תהליכים תפעוליים וזמני תגובה
התקנה מטילה מועדי תגובה קפדניים ובלתי ניתנים למשא ומתן אלה הם הגורמים שצריכים להנחות את עיצוב המודל התפעולי שלכם:
- הזמנות ייצור סטנדרטיות: יש להעביר את הנתונים בתוך 10 ימים עם קבלתו.
- הזמנות ייצור דחופות: במקרים של סכנה מיידית לחיים, לשלמות הגופנית או לתשתיות חיוניות, יש להעביר את הנתונים בתוך 8 שעות.
- צווי שימור: יש לשמור את הנתונים למשך 60 יום, הניתן להארכה ב-30 ימים נוספים, עד להגשת צו גילוי מסמכים או בקשת סיוע משפטי.
עמידה בלוחות הזמנים הללו דורשת יותר מסתם טכנולוגיה — היא מחייבת תהליכים מתורגלים ומתועדים היטב. מדריך התפעול שלכם צריך לכלול:
- קבלת מטופלים ומיון 24 שעות ביממה, 7 ימים בשבוע עם נציגים משפטיים והנדסיים תורנים שנקבעו מראש.
- סיווג חומרה הבחנה בין צווי חירום, צווים רגילים וצווי שימור.
- מסלולי הסלמה במקרים שבהם הצו מעורר חששות בנוגע לזכויות יסוד, חסינות, חופש העיתונות, או כאשר נראה כי הרשות המנפיקה פועלת חריגה מסמכות.
- בקרת איכות בביקורת כפולה לפני שהנתונים עוזבים את הסביבה שלכם.
- מעקב אחר החזר הוצאות כאשר החוק הלאומי מאפשר החזר הוצאות בגין עמידה בדרישות.
- תרגילים תיאורטיים ביצוע תרגילים המדמים מצבי חירום לפחות פעמיים בשנה.
- הכשרה מתמשכת לצוותים המשפטיים, האבטחה, תמיכת הלקוחות וההנדסה שעשויים להיתקל בהזמנות.
עילות לסירוב והגנה על המשתמש
התקנה אינה מהווה "צ'ק פתוח" עבור רשויות ההנפקה. לספקי השירותים — ובמקרים שבהם נמסרה להם הודעה, גם למדינה המבצעת — ישנן עילות ספציפיות ומוגבלות לדחיית צו או לערעור עליו, לרבות הפרות ברורות של אמנת זכויות היסוד, חסינויות ופריבילגיות על פי דיני המדינה המבצעת, וכן סתירות עם דיני מדינה שלישית (מה שמכונה "בחינה לפי סעיף 17"). פיתוח היכולת המשפטית לזהות ולהפעיל עילות אלה במהירות הוא קריטי, הן להגנה על המשתמשים והן להגבלת האחריות שלכם.
הקשר בין תקנות ה-GDPR, NIS2 ו-DSA
ראיות אלקטרוניות אינן קיימות במנותק. הגילוי חייב להישאר תואם ל- התקנה הכללית להגנה על מידע (GDPR) (חוקיות, צמצום, תיעוד העיבוד וחובות ה-DPIA), ה- הנחיית NIS2 (טיפול בתקריות ואבטחת רשתות ומערכות מידע) ובמקרה של פלטפורמות מקוונות ענקיות, ה- חוק השירותים הדיגיטליים (דיווח שקוף על הזמנות ממשלתיות). תוכנית הציות שלכם צריכה להתייחס לראיות דיגיטליות כאל רובד נוסף המשולב במערך הקיים של פרטיות, אבטחה ושקיפות, ולא כאל תחום מבודד בפני עצמו.
עונשים בגין אי-עמידה בדרישות
על המדינות החברות להטיל עונשים יעילים, מידתיים ומרתיעים בגין הפרות של התקנה. אמת המידה הקבועה בסעיף 15 היא קנסות מינהליים בסכום של עד 21% מהמחזור השנתי הכולל של הספק ברחבי העולם בשנת הכספים הקודמת. מעבר לקנסות, כשלים חוזרים ונשנים או מערכתיים עלולים להוביל לצווים שיפוטיים, לפגיעה במוניטין, לנטישת לקוחות, ובמקרה של מגזרים המפוקחים על ידי הרשויות — להשלכות נגררות על רישיונות והיתרים.
תוכנית פעולה מעשית ל-6 חודשים עד אוגוסט 2026
- חודשים 1–2 — גילוי והערכת פערים. לאשר את היקף הפעילות, למפות את הנתונים, לבצע ביקורת על תהליכי אכיפת החוק הקיימים, ולהשוות אותם לדרישות התקנה.
- חודשים 2–3 — יסודות משפטיים. יש למנות נציג או גוף מייצג, להירשם אצל הרשות הלאומית, לגבש את המדיניות ולעדכן את החוזים.
- חודשים 3–4 — פיתוח טכני. לשלב עם e-CODEX, ליישם כלים לאימות, לחילוץ ולמסירה, ולחזק את רישום הביקורת.
- חודשים 4–5 — מוכנות מבצעית. לגייס ולהכשיר את צוות התגובה, לסיים את גיבוש תוכנית הפעולה, לערוך תרגילים תיאורטיים ותרגילי חירום.
- חודש 6 — ביטחון. ביקורת תאימות בלתי תלויה, אישור מטעם הדירקטוריון ותרגול לקראת ההשקה לפני ה-18 באוגוסט 2026.
שאלות נפוצות
למידע מפורט יותר, ראו את העמוד הייעודי שלנו שאלות נפוצות בנושא ראיות דיגיטליות.
מתי חלה תקנת האיחוד האירופי בנושא ראיות אלקטרוניות?
תקנה (האיחוד האירופי) 2023/1543 חלה באופן ישיר בכל מדינות האיחוד האירופי החל מ- 18 באוגוסט 2026. אין צורך בהטמעה נוספת של התקנה עצמה בחוק הלאומי, אולם על המדינות החברות ליישם את ההנחיה הנלווית (EU) 2023/1544 בחוק הלאומי.
האם התקנה חלה על נותני שירותים שאינם מהאיחוד האירופי?
כן. כל ספק המציע שירותים באיחוד האירופי נכלל בהוראות אלה, ללא תלות במקום שבו הוא פועל. ספקים שאינם מהאיחוד האירופי חייבים למנות נציג משפטי במדינה חברה כדי לקבל הזמנות ולפעול לפיהן.
מה יקרה אם לא אעמוד במועד של 8 השעות למקרי חירום?
אי עמידה במועד עלולה להוביל לצעדי אכיפה מצד הרשות המוסמכת במדינת האכיפה, לרבות קנסות מנהליים בגובה של עד 21% מהמחזור השנתי העולמי. מאמצים מתועדים והולמים לעמידה בדרישות — וכן ראיות ברורות לסיבת העיכוב — חיוניים לצמצום החשיפה.
האם אני יכול להודיע למשתמשים כאשר מתבקשים הנתונים שלהם?
הודעה למשתמש תלויה בהזמנה עצמה, בסוג הנתונים, בהתחייבויות הסודיות החלות ובחוק המקומי. מדיניות הודעה ברורה ומתועדת — שנוסחה בליווי ייעוץ משפטי מומחה — היא חלק בלתי נפרד מכל תוכנית ראיות אלקטרוניות בוגרת.
איך ICS יכולה לעזור לכם להתכונן
אם אינכם יכולים לשמור על מוכנות 24/7 באופן פנימי, או אם אתם פשוט מעוניינים באישור חיצוני שהתוכנית שלכם תעמוד בבדיקה קפדנית, ICS מספקת שירות מלא שירות להערכת תאימות בתחום הראיות האלקטרוניות וניהול תפעול. אנו מסייעים לכם להגדיר את היקף הפעילות, לסגור פערים משפטיים וטכניים, לבצע אינטגרציה עם e-CODEX, להכשיר את צוות התגובה שלכם, ובמידת הצורך — לשמש כאיש הקשר הממונה מטעמכם באיחוד האירופי.
צרו קשר עם ICS עוד היום לקביעת מועד להערכת המוכנות שלכם לניהול ראיות אלקטרוניות ולגבש תוכנית פעולה ברורה וניתנת להגנה זמן רב לפני מועד היעד של 18 באוגוסט 2026.
