מאגר מידע וחברת שיווק – איך שומרים עליו

מאגר מידע וחברת שיווק – מה עושים לפני שנותנים גישה?

כשמעניקים לחברת שיווק, סוכנות או פרילנסר גישה למאגר מידע של לקוחות או לידים – האחריות העיקרית נשארת אצל בעל העסק ובעל השליטה במאגר. לפני מתן גישה יש להגדיר הסכם עיבוד נתונים (DPA), הרשאות מינימום נדרש, פיקוח על הורדות ולוגים, ומדיניות פרטיות שמסבירה העברת מידע לספקים. המאמר מפרט סיכונים נפוצים, שלוש רמות אבטחה, ומתי כדאי ליווי של ממונה הגנת פרטיות – עם המשך במתן שירותי DPO וניהול הגנת הפרטיות.

למה גישה לחברת שיווק דורשת ניהול מאגר מידע מסודר

מאגר המידע הוא נכס מרכזי של העסק. מתן כניסה לגורם חיצוני – חברת שיווק, סוכנות או פרילנסר – לצורך קמפיינים, דיוור, מערכות לידים או מכירות טלפוניות, מצמצם שליטה ישירה על מידע אישי (ולעיתים מידע רגיש). ברוב המקרים אין כוונה לפגוע בפרטיות; הבעיה היא היעדר הסכם, הרשאות ופיקוח כחלק מהתפעול השוטף.

בין הסיכונים המרכזיים שכדאי לנהל:

• זליגת מידע – שמירת עותקים, שיתוף או שימוש מחוץ למטרה שהוגדרה
• פריצות אבטחה – מערכות דיוור/CRM חיצוניות כנקודת כניסה לנתונים
• שימוש לרעה – דיוור לא מאושר או שימוש במאגר למטרות שאינן של העסק
• אחריות ארגונית – לפי תיקון 13 לחוק הגנת הפרטיות, האחריות העיקרית נשארת אצל בעל השליטה ונושאי המשרה – לא אצל הספק החיצוני

מה כל בעל עסק חייב לוודא מול ספק שיווק

אם משתפים מאגר מידע עם חברת שיווק, סוכנות או פרילנסר – אלה חמש בדיקות מעשיות:

1. הסכם DPA כתוב – מסדיר שימוש, מגביל גישה, ומגדיר חובות אבטחה. פירוט במדריך להסכם עיבוד מידע (DPA).
2. הרשאות לפי תפקיד – צפייה / עריכה / הורדה לפי מינימום נדרש. ספק שסיים עבודה – חוסמים מיד.
3. פיקוח תקופתי ולוגים – מי מחובר, לאילו נתונים, האם נשמרו עותקים לא מורשים.
4. אבטחה טכנולוגית הולמת – הצפנה במידת האפשר, אימות דו-שלבי, תיעוד כניסות (לוגים) לתקופה מתאימה.
5. עדכון מדיניות פרטיות מול המשתמשים – פרסום באתר שמסביר למי מועבר מידע וכיצד ניתן לעדכן או למחוק. ראו מדיניות פרטיות לאתר אינטרנט.

רמות אבטחת מאגרי מידע – בסיסי, בינוני וגבוה

החוק מבחין בין שלוש רמות אבטחה – לפי היקף המידע, סוג המידע והסיכונים בחשיפה. כל רמה דורשת צעדים שונים מול ספק שיווק:

רמת אבטחה בסיסית

מאגר עם נתונים בסיסיים כגון שמות, מספרי טלפון או כתובות.

סיכונים מרכזיים: שימוש לרעה בפרטי התקשרות לדיוור לא מורשה; הורדת רשימות לקוחות מחוץ למערכת.

מה נדרש: הסכם DPA, הרשאות צפייה בלבד במידת האפשר, ומניעת הורדה בלי אישור מפורש.

רמת אבטחה בינונית

מאגר עם פרטים נוספים – היסטוריית רכישות, תעודת זהות, או נתונים עסקיים חלקיים.

סיכונים מרכזיים: חשיפת דפוסי צריכה; שימוש לרעה / העברה לצד שלישי; עריכת נתונים בלי פיקוח.

מה נדרש: הפרדה בין צפייה, עריכה והורדה; ביקורת תקופתית על לוגים; נוהל פנימי לשמירה ושימוש בנתונים.

רמת אבטחה גבוהה

מאגר עם נתונים רגישים – פרטי תשלום, נתוני בריאות, מסמכים משפטיים או מידע אסטרטגי.

סיכונים מרכזיים: זליגה עם השלכות רגולטוריות ותדמיתיות; פריצות המנצלות הרשאות הורדה; עריכה לא מורשית.

מה נדרש: מערך אבטחה מלא – הצפנה בהעברה, אימות דו-שלבי, בקרת הרשאות לפי תפקיד, והפרדה ברורה בין צפייה לעריכה/הורדה. במאגרים ברמה זו מומלץ (ולעיתים חובה) למנות DPO ולבצע בדיקות תקופתיות מקיפות.

למה חשוב לדעת באיזו רמה נמצאים

כל רמה מכתיבה את עומק הפיקוח. גם רשימת מיילים פשוטה וגם מאגר רגיש – ברגע שחברת שיווק מקבלת גישה, נדרשים חוזה, הרשאות ובקרה שוטפת. אי אפשר להסתפק ב«העברנו קובץ» או «נתנו הרשאה במערכת».