עו״ד שחר שוורץ · עורך דין הגנת הפרטיות · רעננה
תוכנת הנהלת חשבונות, שירות ענן, מוקד טלפוני חיצוני. כשספק מקבל גישה למידע על הלקוחות שלכם, צריך הסכם שקובע מה מותר לו לעשות במידע ואיך הוא שומר עליו.
הסכם עיבוד מידע (DPA) הוא הסכם בין העסק שאחראי על המידע (בעל השליטה במאגר) לבין ספק שמעבד את המידע עבורו (המחזיק). תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017, מחייבת לבחון את הסיכונים לפני ההתקשרות, לקבוע בהסכם רשימת נושאים מוגדרת ולפקח על הספק. אם הספק מפר את החוק, הרשות להגנת הפרטיות יכולה בנסיבות מסוימות להטיל את העיצום גם על בעל השליטה.
תיקון 13 לחוק הגנת הפרטיות החליף את המונח "בעל מאגר" ב"בעל שליטה במאגר מידע": מי שקובע, לבדו או יחד עם אחר, את מטרות עיבוד המידע. זה הארגון עצמו, לא בעל תפקיד בתוכו. "מחזיק" הוא גורם חיצוני לבעל השליטה שמעבד מידע עבורו.
כמה דוגמאות. משרד רואי חשבון הוא בעל השליטה במאגר הלקוחות שלו, וחברת הענן שמאחסנת את הקבצים היא מחזיק. חנות מקוונת היא בעלת השליטה, ומערכת הדיוור ומוקד השירות החיצוני הם מחזיקים. לשכת שכר שמעבדת שכר עבור עשרות מעסיקים היא מחזיק אצל כל אחד מהם.
גם ספק שרק מאחסן את המידע ולא עושה בו שום דבר אחר מעבד אותו. לפי ההגדרה המעודכנת בחוק, "עיבוד" הוא כל פעולה על מידע אישי, כולל קבלה, אחסון, העתקה, עיון, העברה ומתן גישה.
החוק אוסר לעבד מידע ממאגר בלי הרשאה של בעל השליטה, או בחריגה מההרשאה. זו גם עבירה פלילית שעונשה עד שלוש שנות מאסר. הסכם עיבוד מידע הוא המסמך שמגדיר את ההרשאה הזו: מה הספק רשאי לעשות, ומה לא.
תקנה 15 לתקנות אבטחת מידע חלה כשמתקשרים עם גורם חיצוני לקבלת שירות שכרוך במתן גישה למאגר המידע. התקנות נכתבו לפני תיקון 13, ולכן הן עדיין משתמשות במונח "בעל מאגר".
התקנה לא חלה על התקשרות עם יחיד. ארגון שיש לו כמה מאגרים באותה רמת אבטחה יכול לחתום עם אותו ספק על הסכם אחד שמכסה את כולם.
להפרה של חובות הבקרה והפיקוח על גורם חיצוני יש מחיר. במדריך של הרשות היא מופיעה ברשימת ההפרות שעליהן אפשר להטיל עיצום: 80,000 ש״ח במאגר ברמת אבטחה בינונית, 320,000 ש״ח ברמה גבוהה ו-4,000 ש״ח במאגר ברמת אבטחה בסיסית. במאגר עם יותר ממיליון נושאי מידע הסכומים ברמה הבינונית והגבוהה מוכפלים.
התקנה דורשת מבעל המאגר שלושה דברים:
תקנה 15(א)(2) מפרטת מה צריך לקבוע בהסכם עם הספק. חמשת הנושאים הראשונים ברשימה צריכים להופיע גם בנוהל אבטחת המידע של העסק, עם הפניה להסכם. הרשימה:
מעבר לחובה בתקנות, ההנחיה של הרשות בנושא מיקור חוץ (הנחיית רשם מאגרי המידע 2/2011) מציעה להוסיף להסכם ביטוח אחריות מקצועית, סעדים להפרה, זכות לערוך ביקורת אצל הספק ותצהיר של הספק על מחיקת המידע בסוף ההתקשרות.
ספקי ענן ותוכנה גדולים מציעים DPA משלהם, וברשת אפשר למצוא לא מעט נוסחים של הסכם עיבוד מידע לדוגמא. נוסחים כאלה נכתבים לא פעם לפי הדין האירופי (GDPR), ומנוסחים מנקודת המבט של הספק. כשיש לעסק גם לקוחות באירופה, ייתכן שגם GDPR חל עליו. על כך יש באתר עמוד נפרד: עורך דין GDPR.
לפני שחותמים, בודקים שהנוסח מכסה את כל הנושאים של תקנה 15 ומתאים לסוג המידע שאתם מעבירים. משרד עורכי דין שמעלה לענן תיקים עם מידע שחלה עליו חובת סודיות, או משרד רואי חשבון שמעביר לספק נתוני שכר, מעביר מידע בעל רגישות מיוחדת. מול ספק שלא מוכן לשנות את הנוסח שלו, אפשר לפעמים להוסיף נספח שמשלים את החסר.
הסכם עם ספק ענן צריך להתייחס גם למקום שבו נשמר המידע. כשהשרתים נמצאים מחוץ לישראל, חלות גם תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א-2001.
לא כל גורם שנחשף למידע הוא מחזיק. יועץ או שותף עסקי שנחשף למידע בלי לקבל גישה למאגר צריך לרוב הסכם סודיות, ולא הסכם עיבוד מידע.
בחינת הסיכונים לפני ההתקשרות יכולה להיות חלק מתוך סקר סיכונים אבטחת מידע רחב יותר. על בסיס תקנה 15 וההנחיה של הרשות בנושא מיקור חוץ, אלה השאלות ששואלים לפני חתימה:
העברת העבודה לספק לא מעבירה אליו את האחריות. לפי החוק, כשהרשות מטילה עיצום כספי על מחזיק, היא שולחת הודעה גם לבעל השליטה, עם הוראה לפעול להפסקת ההפרה. אם ההפרה לא הופסקה ובעל השליטה לא פעל לפי הוראות הרשות, אפשר להטיל עליו את אותו עיצום, כאילו הוא המפר.
לכן ההסכם צריך לתת לכם כלים לפעול מהר: לדרוש מידע מהספק, להורות לו להפסיק פעולה מסוימת ולסיים את ההתקשרות כשהוא לא מתקן הפרה.
גם המועד שבו הספק מודיע על אירוע אבטחה חשוב לכם ישירות. תקנות אבטחת מידע מחייבות את בעל המאגר להודיע לרשות על אירוע אבטחה חמור באופן מיידי, ואי אפשר לדווח על אירוע שלא יודעים עליו. העיצום הראשון לפי תיקון 13, על קופת חולים מאוחדת ביולי 2026, הוטל בגלל איחור בדיווח כזה.
אני עובד באופן אישי עם כל לקוח. מתחילים בשיחת היכרות ובמיפוי של הספקים שמקבלים מידע, ממשיכים לניסוח ההסכמים או לבדיקה של הנוסח שהספק הציע, ומעדכנים כשמצטרף ספק חדש. המסמכים מול הלקוחות שלכם, כמו מדיניות הפרטיות שמפרטת למי המידע מועבר, מוסברים בעמוד עורך דין מדיניות פרטיות.
DPA (Data Processing Agreement) הוא הסכם עיבוד מידע: הסכם בין מי שאחראי על המידע לבין ספק שמעבד אותו עבורו. בישראל, הנושאים שהוא צריך לכלול קבועים בתקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע).
כן. התקנה לא מבחינה בין ספק קטן לגדול. מול ספק גדול חותמים בדרך כלל על הנוסח שלו, ולכן צריך לבדוק שהנוסח הזה מכסה את מה שהתקנה דורשת.
איפה המידע נשמר, מי מקבל אליו גישה, אילו ספקי משנה מעורבים, איך ומתי הספק מודיע על אירוע אבטחה ומה קורה למידע בסוף ההתקשרות. אם השרתים מחוץ לישראל, בודקים גם את התקנות על העברת מידע אל מחוץ לגבולות המדינה.
המחזיק אחראי להפרות שלו, אבל בעל השליטה לא משתחרר מאחריות. הרשות יכולה להטיל על בעל השליטה את העיצום שהוטל על המחזיק, אם לא פעל להפסקת ההפרה. לכן ההסכם צריך לחייב את הספק להודיע לכם מיד על כל אירוע אבטחה.
לא בהכרח. רוב הנושאים חופפים, אבל תקנה 15 דורשת נושאים מסוימים, כמו דיווח של הספק לפחות פעם בשנה על עמידתו בחובות, שלא תמיד מופיעים בנוסח אירופי. בודקים את ההסכם מול הדין הישראלי.
שלחו לי את רשימת הספקים שמקבלים מידע, או את הנוסח שהספק הציע, ונבדוק יחד מה חסר. נייד 050-582-5872, משרד 09-766-8569.
