במציאות העסקית המודרנית, חברות רבות נעזרות בשירותי בקרה חיצוניים (כמו בודקי שכר מוסמכים, רואי חשבון חיצוניים או חברות טכנולוגיות לאיתור פערים בתשלומי שכר ופנסיה) כדי לוודא דיוק ועמידה בדיני העבודה המורכבים בישראל. תהליך זה דורש מעבר של קבצי נתונים מפורטים ורגישים ביותר של מאות עובדים.

כאשר ארגון מעביר מידע על עובדיו לחברה חיצונית, חלים עליו שני מעמדות משפטיים מרכזיים:

1. בעל מאגר המידע / מנהל המאגר (המעסיק): החברה המקורית שגייסה או מעסיקה את העובדים, מפיקה את תלושי השכר שלהם ושומרת את פרטיהם. המעסיק הוא "בעל השליטה" במידע והוא נושא באחריות המשפטית הכוללת והמלאה לשמירה על פרטיות העובדים.
2. מחזיק במאגר המידע (החברה החיצונית): הגוף המקבל את קובצי המידע לצורך עיבודו, בדיקתו או הפקת הדוחות. החוק מגדיר "מחזיק" כמי שמחזיק במידע דרך קבע, שלא עבורו בלבד, אלא עבור אדם אחר (הבעלים). על המחזיק חלות חובות עצמאיות של אבטחת מידע וסודיות, והוא רשאי לפעול אך ורק לפי הרשאות מפורשות בכתב מאת בעל המאגר.

חובות אבטחת מידע והעברתו למיקור חוץ (תקנה 15)

תקנות הגנת הפרטיות (אבטחת מידע), תשע"ז-2017, ובמיוחד תקנה 15 שבהן, מסדירות את נושא העברת המידע לצדדים שלישיים ("מיקור חוץ" או Outsourcing).

החוק אוסר על בעל מאגר להעביר מידע למחזיק חיצוני מבלי שנערך ביניהם הסכם בכתב (המכונה DPA – Data Processing Agreement).

הסכם זה חייב לכלול במפורש את הסעיפים הבאים:

• פירוט מטרות ההעברה: הגדרה מדויקת וחד-משמעית כי המידע מועבר אך ורק לצורך "בדיקת פערים בתלושי שכר וזכויות סוציאליות" ואסור לכל שימוש אחר.
• הגדרת סוגי המידע המועברים: הגבלה קפדנית של השדות המועברים (למשל: נתוני שכר ברוטו, הפרשות פנסיה, ימי חופשה ומחלה) ומניעת העברת מידע עודף שאינו נחוץ לצורך הבדיקה.
• איסור העברה לצד ג': החברה החיצונית מתחייבת שלא להעביר את הנתונים לאף גורם אחר (קבלני משנה, ספקי ענן משניים או יועצים) ללא אישור מראש ובכתב של המעסיק.
• יישום אמצעי אבטחת מידע: התחייבות של החברה החיצונית לעמוד בדרישות אבטחת המידע התואמות את רמת האבטחה של המאגר המקורי (שימוש בהצפנה, בקרת גישה קפדנית, הגנה מפני התקפות סייבר).
• זכות ביקורת ובקרה – תן סמכות מפורשת למעסיק (או למי מטעמו) לבצע מבדקים תקופתיים אצל החברה החיצונית כדי לוודא עמידה בהסכם ובדרישות האבטחה.
• מחיקת המידע או החזרתו: התחייבות להשמיד באופן מוחלט את כל עותקי המידע (כולל קבצים זמניים וגיבויים) או להחזירם למעסיק באופן מיידי עם סיום הפרויקט.

עקרון צמצום המידע (Data Minimization)

אחת הטעויות הנפוצות של מעסיקים ורואי חשבון היא העברה עיוורת של קובץ אקסל המכיל את כל "כרטיס העובד" ההיסטורי של העובדים. עקרון צמצום המידע מחייב את המעסיק לשאול: האם ניתן להשיג את מטרת הבדיקה ללא פגיעה בפרטיות העובד? האם יש מידע שאינו רלוונטי לבדיקה ואפשר להסירו מהקובץ?

אפשרות א' – אנונימיזציה מלאה / מיסוך פרטים (המומלץ ביותר):

• כיצד זה עובד: המעסיק מוחק מקובצי הנתונים את כל הפרטים המזהים הישירים: שמות מלאים, מספרי תעודות זהות וכתובות. במקומם, מוקצה לכל עובד "מספר מזהה ייחודי פנימי" (למשל עובד 101, עובד 102).
• יתרון משפטי: מידע אנונימי אינו נחשב "מידע אישי" תחת חוק הגנת הפרטיות, ולכן חוק הגנת הפרטיות ותקנות אבטחת המידע כמעט ואינם חלים על העברה זו. הסיכון המשפטי הינו נמוך במיוחד.

חלופה ב' – העברת המידע תחת הסכם DPA

• כיצד זה עובד: העברת קבצים הכוללים פרטי זיהוי, אך רק לאחר חתימה על הסכם DPA, ביצוע מבדק אבטחה לצד ג', והצפנה של הקובץ במעבר ובמנוחה.
• יתרון משפטי: עמידה מלאה בדרישות החוק למקרים שבהם הבדיקה מחייבת הצלבה של תעודות זהות (למשל מול קופות הפנסיה או רשות המיסים).

 חובת היידוע וזכויות העובדים

בדיני העבודה ובפסיקת בתי הדין לעבודה בישראל, נקבע כי הסכמה של עובד לפגיעה בפרטיותו במסגרת יחסי עבודה היא הסכמה "חשודה" בשל פערי הכוח המובנים בין העובד למעביד (כפי שחודד בגילויי דעת של הרשות להגנת הפרטיות).

• האם נדרשת הסכמה מפורשת של העובדים להעברה?
  במקרים בהם ההעברה נעשית לצורך הגנה על זכויותיו הסוציאליות של העובד (כמו בדיקת הפרשות פנסיוניות או דיוק בחישוב השכר), המעסיק פועל תחת "אינטרס לגיטימי" ואינו מחויב לקבל הסכמה מראש מכל העובדים, ובלבד שהוא עומד בכללי אבטחת המידע וממלא את חובת השקיפות.
• חובת היידוע ושקיפות:
  מומלץ מאוד לעדכן את העובדים (באמצעות נוהל פנימי, מדיניות פרטיות בארגון או הודעה כללית) כי החברה נעזרת מעת לעת בספקי שירות חיצוניים מוסמכים המחויבים לסודיות לצורך ניהול, בקרת שכר והבטחת זכויותיהם הפנסיוניות והכספיות.

תיקון 13 לחוק הגנת הפרטיות והשלכותיו

תיקון 13 לחוק הגנת הפרטיות ביצע מהפכה של ממש בתחום האכיפה המנהלית בישראל:

• גידול דרמטי בעיצומים הכספיים (קנסות): הרשות להגנת הפרטיות מוסמכת להטיל קנסות מנהליים כבדים במקרים של רשלנות בשמירה על מידע או העברת מידע לגורמים חיצוניים ללא הסכם ובקרה מתאימים.
• אחריות נושאי משרה: התיקון מחזק את החשיפה האישית והאחריות הניהולית של מנהלים ורואי חשבון בארגון לוודא כי העברת מידע נעשית בהתאם לחוק.
• חשיפה לתביעות אזרחיות: אי-עמידה בתקנות אבטחת מידע מהווה עילה לתביעות נזיקיות מצד עובדים שפרטיהם האישיים דלפו או שנעשה בהם שימוש שלא כדין.

צ'ק ליסט פרקטי לרואה החשבון ולמנהל הארגון לפני העברת הנתונים

כדי לוודא כי הפרויקט מבוצע בבטחה ובאופן חוקי, יש לפעול לפי הצעדים הבאים:

1. בחינת הצורך המעשי: האם הבדיקה יכולה להתבצע על קובץ אנונימי (ללא שמות ותעודות זהות)? אם כן – בצעו אנונימיזציה לפני השליחה.
2. ביקורת ספק (Due Diligence): בקשו מהחברה החיצונית הצהרה לגבי אמצעי אבטחת המידע שלהם (למשל, האם הם מחזיקים בהסמכת תקן ISO 27001 לאבטחת מידע?).
3. חתימה על הסכם הגנת פרטיות (DPA): אל תעבירו מידע ללא חתימה על נספח אבטחת מידע ופרטיות המגדיר את מטרות השימוש, איסור העברה לצד ג' וחובת מחיקת המידע בתום הבדיקה.
4. ערוץ העברה מאובטח: לעולם אל תשלחו קבצי אקסל המכילים נתוני שכר רגישים בדואר אלקטרוני רגיל ללא הצפנה. השתמשו בפלטפורמות שיתוף קבצים מאובטחות ומוצפנות המוגנות בסיסמה קשיחה ואימות דו-שלבי (MFA).
5. תיעוד ורישום: תעדו במאגר המידע של הארגון את דבר העברת המידע, למי הועבר, באיזה תאריך ולשם מה, בהתאם לדרישות ניהול ספר מאגר המידע על פי התקנות.