מהו הסכם עיבוד מידע DPA?
הסכם עיבוד מידע (DPA) מסדיר מה מותר לספק חיצוני לעשות עם מידע אישי שאתם מעבירים אליו: מערכת CRM, שירותי ענן, דיוור, שיווק, מוקד שירות או אחסון. בישראל החובה נשענת על תקנות אבטחת מידע ועל תיקון 13 לחוק הגנת הפרטיות, ובמסגרתה מגדירים את היקף העיבוד, המטרות, אמצעי האבטחה, הדיווח על אירועים והמחיקה בתום ההתקשרות. המאמר מפרט מתי חותמים, מול אילו ספקים, ומה חייב להופיע בהסכם, לצד טבלת השוואה בין מידע אישי רגיל למידע רגיש.
כאשר מידע אישי של לקוחות, עובדים או משתמשים עובר לספק חיצוני, האחריות לשמור עליו ולעבד אותו כדין נשארת אצל הארגון שמסר אותו. הסכם DPA הוא הכלי שמסדיר את ההתקשרות: מה הספק רשאי לעשות עם המידע, אילו אמצעי הגנה נדרשים, כיצד מדווחים על אירוע אבטחה ומה נעשה במידע בסיום ההתקשרות. ארגונים רבים אינם ערים לכך שגם ספק קטן, עם גישה מצומצמת למידע, נכלל בחובה הזו, ולכן מומלץ למפות את כלל הספקים ולתעדף את ההתקשרויות המהותיות.
במאמר הבא נעבור ונבין יחד על הנושאים המרכזיים הבאים:
- מהו "מידע אישי רגיל" ומהו "מידע רגיש" וההבדלים בניהם.
- מהו הסכם לעיבוד מידע DPA
- מתי יש צורך לחתום על הסכם לעיבוד מידע DPA
- מול אילו ספקים יש לחתום על הסכם DPA
- מהם הסעיפים החשובים ביותר בהסכם
- ולמה חשוב להתאים כל הסכם לספק ולשירות הספציפי שהוא נותן לכם
הגדרה: הסכם DPA לעיבוד מידע
הסכם DPA (Data Processing Agreement) הוא הסכם/חוזה מחייב בין בעל המידע או מנהל המידע לבין גורם חיצוני המעבד/משתמש עבורו במידע אישי לכל מטרה שהיא (לדוגמה מטרה שיווקית, תיעוד נתונים, בחינת נתונים פיננסים וכו"), במטרה מרכזית להבטיח שהעיבוד יתבצע בהתאם לחוק הגנת הפרטיות, לסטנדרטים מחמירים של אבטחת מידע. ההסכם מגדיר במדויק את היקף העיבוד, סוגי המידע המעובד ("מידע אישי רגיל" או "מידע רגיש" שעליהם נדון בהמשך המאמר), אמצעי ההגנה הנדרשים, חובות הדיווח במקרה של אירוע אבטחה, והתחייבויות לשמירה על סודיות.
מעבר להיותו דרישה רגולטורית בהתאם לחוק הגנת הפרטיות ולתיקון 13, הסכם DPA הוא כלי קריטי לניהול סיכונים – הוא יוצר שקיפות בין הצדדים, מצמצם חשיפות משפטיות, ומספק ללקוחות ולנושאי המידע ביטחון שהמידע שלהם מנוהל בצורה אחראית ומוגנת בכל רגע נתון.
ההגדרה למידע אישי "רגיל" בהתאם לחוק הגנת הפרטיות
מידע אישי או בעצם כל מידע או פרט מזהה או שניתן לקשר לאדם: שם, כתובת, מספר טלפון, כתובת אימייל, פרטי חשבון לקוח וכו’.
כיום, כל אתרי האינטרנט המאפשרים רישום לאתר או שליחת פרטים דרך טופס יצירת קשר, מנהלים מידע רגיש וצריכים לעמוד בהנחיות החוק והתיקון לחוק כפי שמתייחס למידע אישי "רגיל".
- לדוגמה, תיקון 13 לחוק הגנת הפרטיות מחייב:
- ליצור אבטחת מידע בהתאם לרמת הסיכון הקיימת.
- שמירה על זכויות בעלי המידע (זכות עיון, תיקון, מחיקה).
- עיבוד המידע אך ורק למטרה שהוגדרה מראש בצורה מסודרת ומבוקרת, לדוגמה מדיניות הפרטיות המפורסמת באתר.
קיימת אכיפה בגין דליפה או טיפול רשלני במידע כזה, אך הסנקציות לרוב יהיו פחות חמורות לעומת "מידע רגיש" שעליו נדבר בהמשך.
ההגדרה ל-"מידע רגיש" בחוק הגנת הפרטיות
חוק הגנת הפרטיות הישראלי מגדיר "מידע רגיש" בסעיף 7 לחוק כקטגוריות של מידע אישי, אשר הדלפתו או שימוש בלתי מורשה בו עלולים לפגוע בפרטיותו של אדם בצורה משמעותית.
לפי חוק הגנת הפרטיות, מידע רגיש כולל, בין היתר:
- מצב בריאותו של אדם – כל מידע רפואי או היסטוריה רפואית, טיפולים שקיבל או שיקבל בעתיד, שימוש בתרופות, אבחנות רפואיות וכו".
- ההרגלים האישיים של אדם – דפוסי התנהגות, דפוסי צריכה, הרגלי גלישה באתרי אינטרנט, תחומי עניין ספציפיים וכו".
- מצבו הכלכלי של אדם – מידע אודות הכנסות, הוצאות, חובות, נכסים או היסטוריית אשראי.
- דעותיו ואמונתו הפוליטית.
- נטייתו המינית.
- עברו הפלילי.
- מידע ביומטרי – מידע הכולל טביעות אצבע וכו".
- מידע גנטי – מידע אותו DNA או נתונים שמופקים ממנו.
השוואה בין מידע אישי למידע רגיש
מידע אישי רגיל | מידע רגיש | |
הגדרה | כל מידע או פרט על משתמש או אדם שדרכו שניתן לזהותו ( שם, כתובת, טלפון, אימייל וכו") | מידע שחשיפתו עלולה לפגוע פגיעה מהותית בפרטיות. (מצב בריאותי, מצב כלכלי, עבר פלילי, דעות פוליטיות, מידע ביומטרי, נטייה מינית) |
חובת אבטחת מידע | אבטחה בהתאם לרמת הסיכון של המידע ועצם חשיפתו לגורם עוין/זר. יש להשתמש במערכות מוגנות, בקרות גישה בסיסיות, שמירה על סודיות לאורך כל ניהול המידע. | אבטחה מחמירה אבטחה הכוללת הצפנה, בקרות גישה מתקדמות, תיעוד פעולות, ניטור, בקרות פיזיות ודיגיטליות. |
חובת רישום מאגר | חובה לרשום את המאגר אם הוא עומד בקריטריונים שבחוק (למשל – מכיל מידע על מעל 10,000 אנשים, או נגיש ליותר משלושה גורמים) | חובת רישום כמעט תמידית כאשר מאוחסן מידע רגיש, גם אם מספר הרשומות קטן יותר. |
התקשרות עם ספקים | דרוש ביצוע וחתימה על הסכם עיבוד מידע (DPA) אם הספק נחשף או עשוי להיחשף למידע | חובה להקפיד על DPA מפורט ומותאם, עם סעיפי אבטחה והתחייבויות מוגברות |
סנקציות על הפרה | קנסות מנהליים או אזרחיים | קנסות גבוהים משמעותית, חשיפה לתובענות ייצוגיות, פגיעה אפשרית במוניטין העסקי וחסימת הפעילות העסקית. |
דרישות נוספות לפי תיקון 13 | שמירה על זכויות נושאי המידע (עיון, תיקון, מחיקה), דיווח על אירוע אבטחה חמור | כל הדרישות של מידע רגיל + חובת דיווח מחמירה יותר, יישום נהלים מחמירים, הקפדה על מינוי אחראי אבטחת מידע במקרים רלוונטיים |
מתי יש צורך לחתום על הסכם לעיבוד מידע?
השאלה המרכזית שצריך לדון בה, היא מתי נדרש הסכם DPA לעיבוד מידע.
בכדי שנוכל לענות יחד על שאלה זו, חשוב לזהות מיהם אותם גורמים חיצוניים המעורבים בטיפול במידע האישי. לעיתים מדובר בספקים גדולים ומוכרים, ולעיתים בגורמים קטנים בהרבה – אבל עצם הגישה שלהם למידע, גם אם לא ישירה או יומיומית, מחייבת בדיקה מעמיקה והיערכות נכונה בכל שלבי השירות ואף לאחר סיומו.
בין אם אתה בעל עסק קטן, עצמאי שנותן שירותים, או עובד בארגון עם אלפי לקוחות – החובה להגן על המידע אינה משתנה. השאלה היא לא רק "האם המידע רגיש", אלא האם הספק יכול להגיע אליו – ואם כן, נדרש הסכם מסודר שמגדיר מה מותר, מה אסור, ואילו הגנות נדרשות.
מול אילו ספקים חותמים הסכם DPA?
כל צד שלישי חיצוני שמקבל גישה למידע אישי שברשותכם במסגרת שירותים כלשהם שהוא מספק לארגון, ייחשב ל"מעבד מידע" ויש להחתימו על חוזהDPA .
זה כולל, בין היתר:
- חברה המספקת שירותי ענן לחברה, חברת שרתים או כל חברה המאחסנת את מאגר המידע בשרתיה.
- חברות וספקים המנהלים מערכות CRM וניהול לקוחות
- מערכות דיוור, מערכות אוטומציה או מערכות ייחודיות לניהול לידים לדוגמה CMS.
- קבלני משנה כגון משווקים דיגיטליים, פרילנסרים שעובדים עם המידע, מרכזי שירות לקוחות המספקים שירות לקוחות על פי המידע המופיע במאגר.
- חברות אבטחה המספקות שירותי צילום פיזי בשילוב מצלמות ומאגרי הקלטה ושמירת המידע.
חשוב להדגיש שגם אם הספק לא "רואה" או משתמש במידע בפועל, אך יש לו גישה פוטנציאלית אליו – יש לחתום איתו על הסכם DPA מסודר בהתאם למידע שהוא חשוף אליו ולפרק זמן ההתקשרות.
מהם הנושאים העיקריים שמופיעים בהסכם לעיבוד מידע DPA?
הסכם DPA חייב לכלול את המרכיבים הבאים:
- הגדרה ברורה של סוגי המידע המעובד.
- המטרות השונות שבשבילן נאסף המידע.
- המגבלות החלות על המידע – מה מותר לספק לעשות עם המידע ומה לא.
- אמצעי אבטחת המידע שעל הספק לנקוט בעת שימוש או אחסון המידע.
- איסור שימוש חוזר במידע לטובת הספק עצמו (שנגד המטרות המרכזיות במסירת המידע מלכתחילה)
- מגבלות על העברת מידע לצדדים שלישיים נוספים.
- התחייבות למחיקת מידע עם סיום ההתקשרות.
- מנגנון דיווח במקרה של אירוע אבטחה ודליפת מידע לגורמים אחרים.
- אפשרות לביצוע ביקורת או דרישת דיווח מסודרת מצד הארגון.
אחריות הספק החיצוני ותקופת ההסכם
טרם העברת המידע לשימושו של הספק, הוא מחויב לחתום על ההסכם בכדי לקחת אחריות על כל המידע, כולל:
- שמירה על סודיות המידע
- שימוש רק לפי הוראות הארגון
- הטמעת אמצעי הגנה נאותים
- שיתוף פעולה בעת בקשות של נושאי מידע או אירועי אבטחה
ברוב המקרים, DPA תקף כל עוד יש התקשרות מסחרית בין הצדדים – אך יש לו השלכות גם לאחר סיום ההתקשרות, בעיקר לגבי מחיקה או החזרת המידע לחברה שסיפקה אותו.
מתי צריך לבדוק ולעדכן את ההסכם?
- בעת חתימת הסכם חדש עם ספק שמעבד מידע אישי.
- בשינויים מהותיים בשירות הניתן באופן שוטף, לדוגמה: מעבר לחברת אחסון או שירותי ענן חדשים, הרחבת השירות העסקי, הכנסת אוטומציה עסקית ועוד.
- בעת שיש רגולציה חדשה, כגון: תיקון 13 לחוק הגנת הפרטיות.
- במבדק פרטיות שנתי – ההמלצה היא לעבור אחת לשנה על כלל ההסכמים ולוודא שהם עדכניים, תקפים וכוללים את כל ההנחיות כפי שהן מפורטות בחוק.
ארגונים שמנהלים מספר ספקים ומאגרי מידע בודקים גם את חובת מינוי ממונה הגנת פרטיות. הרחבה בעמוד מי מחויב למנות DPO.
מעוניינים לוודא שהארגון שלכם עומד בדרישות חוק הגנת הפרטיות ותיקון 13, או להסדיר הסכמי DPA מול הספקים שלכם? ב-WEB-A מלווים ארגונים במיפוי ספקים, בניסוח והתאמה של הסכמי עיבוד מידע, בבניית מדיניות פרטיות ובניהול שוטף של הגנת הפרטיות במסגרת ליווי DPO מתמשך.
השאירו פרטים בטופס שבהמשך ונחזור אליכם עם מידע והצעה מותאמת, ללא התחייבות.
הסכמי DPA וליווי הגנת פרטיות עם WEB-A
השאירו הפרטים ואנו נדאג לחזור אליכם בהקדם האפשרי!
רוצים את המידע כאן ועכשיו? התקשרו: 074-7817111
