API ו־GDPR: תחולת החובות והגנת הנתונים

HTTPS לבדו אינו הופך API לתואם GDPR. יש לקבוע את תחולת התקנות, מטרת העיבוד והבסיס החוקי, ולהגביל נתונים וגישה לנדרש.

תחולה טריטוריאלית ובסיס חוקי

סעיף 3 כולל, בין היתר, עיבוד במסגרת פעילות של מוסד באיחוד, ובתנאים מסוימים הצעת מוצרים או שירותים לאנשים באיחוד או מעקב אחר התנהגותם בו. אזרחות או מגורים באירופה אינם מתארים לבדם את המבחן. הסכמה היא רק אחד הבסיסים שבסעיף 6; סעיף 9 מוסיף תנאים לקטגוריות מיוחדות של נתונים.

בקרות ואחריות שניתן להוכיח

אימות זהות אינו מתיר לקרוא כל רשומה. יש לבדוק הרשאות לכל אובייקט ופעולה, לצמצם שדות תשובה ולהגן על התעבורה. אין לרשום סודות או נתונים אישיים מיותרים ביומנים. יש להגדיר בעל שליטה ומעבד, שמירה, זכויות והעברות בינלאומיות. סעיף 35 דורש הערכת השפעה כאשר העיבוד צפוי ליצור סיכון גבוה.

עדכון: מנדט למשא ומתן אינו דין חל

ב־21 באוקטובר 2026 הודיעה מועצת האיחוד האירופי על עמדתה למשא ומתן בעניין Digital Omnibus, לרבות כללי הגנת נתונים. מנדט למשא ומתן אינו אימוץ סופי. ההודעה לבדה אינה מחליפה חובות קיימות בתיקונים המוצעים.

היערכות לאירועים

• לעדכן תיעוד עיבוד וראיות לבקרות.
• בעל השליטה מודיע לרשות ללא עיכוב בלתי מוצדק, ואם אפשר בתוך 72 שעות מהיוודע ההפרה, אלא אם לא סביר שתיווצר סכנה לזכויות ולחירויות (סעיף 33).
• המעבד מודיע לבעל השליטה ללא עיכוב בלתי מוצדק; יש להגן על יומנים ולהגביל שמירה.

מקורות ותחום תחולה

• EUR-Lex · GDPR / RGPD · 2016/679 · Art. 3, 5, 6, 9, 25, 28, 32, 33, 35, 44–49
• CNIL · API · 2023
• OWASP · API1:2023 · Broken Object Level Authorization
• Council of the EU · Digital Omnibus · 21 October 2026
• CNIL · Art. 33

בדיקה עריכתית: 31 באוקטובר 2026.

{
    "compressed_mb": 2,
    "expanded_mb": 600,
    "aggregate_budget_mb": 100,
    "first_files_valid": true,
    "expected": "stop_on_actual_overrun_and_do_not_promote"
}