בכל פעם שהעסק שלך – או הארגון שבו אתה עובד – מעביר מידע אישי לספק חיצוני, נוצרת חשיפה משפטית ותפעולית בגין דליפה או שימוש במידע רגיש. בין אם מדובר בפרטי לקוחות, פרטי עובדים או משתמשים – מרגע שהמידע יוצא מהמערכת הפנים ארגונית, השליטה בו כבר אינה מלאה  והאחריות המשפטית לשמור עליו ולעבד אותו בצורה תקינה, חלה על החברה עצמה (הבעלים של החברה, המנהל בפועל, או כל בעל תפקיד רלוונטי אחר).

בכדי למנוע את השימוש במידע וזה ולשמור על בעל העסק (המוציא את המידע מחוץ לארגון – פיזית או דיגיטלית) , נכנס לתמונה הסכם עיבוד מידע (DPA – Data Processing Agreement). זהו מסמך משפטי שחובה לקיים מול כל ספק חיצוני שמעבד עבורכם מידע אישי – מספקי מערכות CRM, מספקי שירותי ענן, יועצים, אנשי שיווק או כל מי שיש לו גישה למידע רגיש שנאסף, נשמר ומעובד ע"י הארגון

אבל מה שחשוב להבין הוא שהסכם כזה הוא לא טופס פורמלי שניתן פשוט להוריד מהאינטרנט – אלא כלי קריטי לניהול סיכונים, לעמידה ברגולציה ולהגנה על הארגון שלך. אם אין לך DPA עם ספק שמעבד מידע – אתה חשוף לקנסות, תביעות, וגם לפגיעה באמון הלקוחות.

רוב בעלי העסקים כלל לא מודעים לכך שהספקים שלהם צריכים להיות כפופים להסכם פרטיות מחייב – ולעיתים גם ספקים קטנים יחסית, עם גישה מינורית למידע, עלולים להפוך ל"חוליה החלשה" במקרה של דליפה או הפרה.

במאמר הבא נעבור ונבין יחד על הנושאים המרכזיים הבאים:

• מהו "מידע אישי רגיל" ומהו "מידע רגיש" וההבדלים בניהם.
• מהו הסכם לעיבוד מידע DPA
• מתי יש צורך לחתום על הסכם לעיבוד מידע  DPA
• מול אילו ספקים יש לחתום על הסכם DPA
• מהם הסעיפים החשובים ביותר בהסכם
• ולמה חשוב להתאים כל הסכם לספק ולשירות הספציפי שהוא נותן לכם

מהו הסכם לעיבוד מידע – הסכם DPA

הסכם DPA (Data Processing Agreement) הוא הסכם/חוזה מחייב בין בעל המידע או מנהל המידע לבין גורם חיצוני המעבד/משתמש עבורו במידע אישי לכל מטרה שהיא (לדוגמה מטרה שיווקית, תיעוד נתונים, בחינת נתונים פיננסים וכו"), במטרה מרכזית להבטיח שהעיבוד יתבצע בהתאם לחוק הגנת הפרטיות, לסטנדרטים מחמירים של אבטחת מידע. ההסכם מגדיר במדויק את היקף העיבוד, סוגי המידע המעובד ("מידע אישי רגיל" או "מידע רגיש" שעליהם נדון בהמשך המאמר), אמצעי ההגנה הנדרשים, חובות הדיווח במקרה של אירוע אבטחה, והתחייבויות לשמירה על סודיות. 

מעבר להיותו דרישה רגולטורית בהתאם לחוק הגנת הפרטיות ולתיקון 13 לחוק הגנת הפרטיות, הסכם DPA הוא כלי קריטי לניהול סיכונים – הוא יוצר שקיפות בין הצדדים, מצמצם חשיפות משפטיות, ומספק ללקוחות ולנושאי המידע ביטחון שהמידע שלהם מנוהל בצורה אחראית ומוגנת בכל רגע נתון.

ההגדרה למידע אישי "רגיל" בהתאם לחוק הגנת הפרטיות

מידע אישי או בעצם כל מידע או פרט מזהה או שניתן לקשר לאדם: שם, כתובת, מספר טלפון, כתובת אימייל, פרטי חשבון לקוח וכו’.

כיום, כל אתרי האינטרנט המאפשרים רישום לאתר או שליחת פרטים דרך טופס יצירת קשר, מנהלים מידע רגיש וצריכים לעמוד בהנחיות החוק והתיקון לחוק כפי שמתייחס למידע אישי "רגיל".

• לדוגמה, תיקון 13 לחוק הגנת הפרטיות מחייב:
  • ליצור אבטחת מידע בהתאם לרמת הסיכון הקיימת.
  • שמירה על זכויות בעלי המידע (זכות עיון, תיקון, מחיקה).
  • עיבוד המידע אך ורק למטרה שהוגדרה מראש בצורה מסודרת ומבוקרת, לדוגמה בעמוד "מדיניות פרטיות" המפורסם באתר.

קיימת אכיפה בגין דליפה או טיפול רשלני במידע כזה, אך הסנקציות לרוב יהיו פחות חמורות לעומת "מידע רגיש" שעליו נדבר בהמשך.

ההגדרה ל-"מידע רגיש" בחוק הגנת הפרטיות

חוק הגנת הפרטיות הישראלי מגדיר "מידע רגיש" בסעיף 7 לחוק כקטגוריות של מידע אישי, אשר הדלפתו או שימוש בלתי מורשה בו עלולים לפגוע בפרטיותו של אדם בצורה משמעותית.

לפי חוק הגנת הפרטיות, מידע רגיש כולל, בין היתר:

1. מצב בריאותו של אדם – כל מידע רפואי או היסטוריה רפואית, טיפולים שקיבל או שיקבל בעתיד, שימוש בתרופות, אבחנות רפואיות וכו".
2. ההרגלים האישיים של אדם – דפוסי התנהגות, דפוסי צריכה, הרגלי גלישה באתרי אינטרנט, תחומי עניין ספציפיים וכו".
3. מצבו הכלכלי של אדם – מידע אודות הכנסות, הוצאות, חובות, נכסים או היסטוריית אשראי.
4. דעותיו ואמונתו הפוליטית.
5. נטייתו המינית.
6. עברו הפלילי.
7. מידע ביומטרי – מידע הכולל טביעות אצבע וכו".
8. מידע גנטי – מידע אותו DNA או נתונים שמופקים ממנו.