כשמידע עובר לידי ספק חיצוני - מי אחראי?
חברת SaaS ישראלית חותמת על הסכם עם ספק אחסון ענן, ומעבירה אליו את בסיס הנתונים של לקוחותיה - פרטי קשר, היסטוריית רכישות ולעיתים גם מידע פיננסי. מי אחראי אם הספק סובל מאירוע אבטחה? התשובה, ברוב המקרים, חד-משמעית: החברה שמחזיקה במאגר, לא הספק.
תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, קובעות מנגנון ברור להתמודדות עם מצב זה - תקנה 15, העוסקת בהעברת עיבוד מידע לגורם חיצוני. כל חברת טכנולוגיה שמשתמשת בספקי ענן, מערכות CRM, מוקדי תמיכה או כל גורם אחר שמעבד מידע אישי בשמה, נדרשת לעמוד בדרישות התקנה - והכישלון בכך חושף אותה לאחריות משפטית ישירה.
המסגרת המשפטית: תקנה 15 לתקנות אבטחת מידע
תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, הותקנו מכוח חוק הגנת הפרטיות, התשמ"א-1981, כפי שתוקן בתיקון 13, וקובעות את רמת האבטחה הנדרשת ממאגרי מידע בישראל בהתאם לרגישות המידע ולהיקפו. התקנות חלות הן על "בעל מאגר" - הגורם שהמידע נאסף עבורו ולטובתו - והן על "מחזיק במאגר", שהוא כל גורם המחזיק פיזית במידע, גם אם אינו הבעלים שלו.
תקנה 15 עוסקת במצב הנפוץ מאוד בעולם הטכנולוגיה, שבו בעל המאגר מעביר את עיבוד המידע לספק חיצוני - ספק ענן, חברת שיווק, מוקד תמיכה, או כל קבלן משנה אחר. התקנה קובעת כי העברת מידע כזו מותרת רק אם קיים הסכם בכתב בין הצדדים, הכולל התחייבויות ספציפיות בנוגע לאבטחת המידע.
חשוב להדגיש: התקנה אינה מסתפקת בהסכם שירותים כללי. היא דורשת הוראות ייעודיות העוסקות במפורש בהגנה על המידע האישי המועבר, ברמה שתואמת את רגישות המידע ואת היקף השימוש בו.
מה חייב להיכלל בהסכם עיבוד מידע
הסכם עיבוד מידע תקין לפי תקנה 15 צריך לכלול, בין היתר, את הרכיבים הבאים:
- הגבלת מטרת השימוש - הספק רשאי לעבד את המידע אך ורק לצורך מתן השירות המוסכם, ולא לכל מטרה אחרת.
- רמת אבטחה מתאימה - התחייבות הספק ליישם אמצעי אבטחה פיזיים, טכנולוגיים וארגוניים ברמה המתאימה לרגישות המידע המעובד.
- איסור העברה לקבלני משנה ללא אישור מראש ובכתב של בעל המאגר, ובכפוף להטלת אותן חובות אבטחה על קבלן המשנה.
- החזרה או מחיקה של המידע בתום תקופת ההתקשרות, או בכל מועד אחר לפי דרישת בעל המאגר.
- זכות ביקורת ופיקוח - אפשרות לבעל המאגר לוודא עמידה בהתחייבויות האבטחה, לרבות באמצעות ביקורות תקופתיות.
- חובת דיווח על אירועי אבטחה - התחייבות הספק להודיע לבעל המאגר באופן מיידי על כל חשד לאירוע אבטחה או דליפת מידע.
הסכם שאינו כולל הוראות אלו, גם אם הוא מכונה "הסכם שירותים" מקיף ומפורט, אינו עומד בדרישות התקנה.
האחריות שלא עוברת לספק
אחת הטעויות הנפוצות ביותר היא ההנחה שמרגע שהמידע הועבר לספק, האחריות עברה אליו. הדין הישראלי אינו פועל כך. בעל המאגר נותר אחראי כלפי נושאי המידע וכלפי הרשות להגנת הפרטיות, גם כאשר העיבוד בפועל מתבצע על ידי צד שלישי.
המשמעות המעשית: גם אם הספק הוא שגרם לאירוע האבטחה, החברה שמסרה לו את המידע עלולה לשאת באחריות רגולטורית ואזרחית - אלא אם היא יכולה להוכיח שנקטה את כל האמצעים הסבירים, לרבות חתימה על הסכם עיבוד מידע תקין ופיקוח אפקטיבי על ביצועו.
מסיבה זו, הסכם העיבוד אינו רק מסמך פורמלי לצורך עמידה בדרישת התקנה, אלא כלי ממשי להגנה על החברה במקרה של תביעה או הליך אכיפה.
ההשלכות של תיקון 13 על הסכמי עיבוד מידע
תיקון 13 לחוק הגנת הפרטיות, התשמ"א-1981, שנכנס לתוקף ב-14.8.2025, חידד את חשיבותם של הסכמי עיבוד מידע עם ספקים. התיקון הוסיף חובת דיווח על אירועי אבטחה חמורים לרשות להגנת הפרטיות ולעיתים גם לנושאי המידע, והרחיב משמעותית את סמכויות האכיפה של הרשות, לרבות הטלת עיצומים כספיים.
כאשר אירוע האבטחה מתרחש אצל ספק חיצוני, חובת הדיווח של בעל המאגר תלויה בכך שהספק הודיע לו במועד - ולכן סעיף הדיווח המיידי בהסכם העיבוד הפך קריטי עוד יותר לאחר התיקון. חברה שאינה יודעת על אירוע אבטחה אצל הספק שלה בזמן, עלולה למצוא את עצמה מפרה את חובת הדיווח שלה עצמה, מבלי שהייתה לה כל אפשרות לעמוד בה.
חשוב גם לציין כי תיקון 13 צמצם את חובת רישום מאגרי המידע כך שהיא חלה כיום בעיקר על גופים ציבוריים ועל גורמים העוסקים בסחר במידע מעל היקף הקבוע בחוק - אך הצמצום הזה אינו גורע מחובות האבטחה והעיבוד התקין החלות על כלל בעלי המאגרים, לרבות החובה להתקשר בהסכמי עיבוד מידע תקינים עם ספקים. נכון למועד כתיבת מאמר זה, מומלץ לעקוב אחר הנחיות הרשות להגנת הפרטיות המתעדכנות בנושא.
טעויות נפוצות בניסוח הסכמים עם ספקים
בבדיקת הסכמים עם ספקים, חוזרות מספר טעויות שוב ושוב:
- הסתמכות על תעודת ISO 27001 או SOC 2 של הספק כתחליף להסכם עיבוד מידע ייעודי - תעודות אלו מעידות על נהלים פנימיים, אך אינן יוצרות התחייבות חוזית כלפי בעל המאגר.
- שימוש בהסכם גנרי שהספק מספק ("Terms of Service") מבלי לבחון אם הוא עומד בדרישות הדין הישראלי.
- היעדר התייחסות לקבלני משנה של הספק - מצב נפוץ בשירותי ענן רב-שכבתיים, שבו המידע עובר דרך כמה גורמים מבלי שבעל המאגר מודע לכך.
- אי-בדיקה של מיקום האחסון הפיזי של המידע, העלול להעלות שאלות נוספות בנוגע להעברת מידע אל מחוץ לישראל.
- היעדר מנגנון מעשי לווידוא מחיקת המידע בסיום ההתקשרות עם הספק.
צעדים מעשיים לפני החתימה
לפני החתימה על הסכם עם ספק שיעבד מידע אישי עבור החברה, מומלץ לפעול לפי הצעדים הבאים:
- למפות את כלל הספקים שיש להם גישה למידע אישי של החברה, כולל ספקי משנה.
- לבחון את רגישות המידע המועבר ולהתאים את דרישות האבטחה בהתאם.
- לוודא שההסכם כולל את כל הרכיבים הנדרשים לפי תקנה 15, ולא רק הפניה כללית ל"סודיות".
- לקבוע מנגנון ברור ומהיר לדיווח על אירועי אבטחה מצד הספק.
- לשריין זכות ביקורת וסעיפי שיפוי מתאימים למקרה של הפרה.
- לבחון מעת לעת, ולא רק במועד החתימה, שהספק אכן עומד בהתחייבויותיו.
הסכם עיבוד מידע תקין אינו מסמך חד-פעמי שנחתם ונשכח במגירה. הוא כלי ניהול סיכונים חי, שצריך להתעדכן ככל שמשתנים הספקים, היקף המידע המעובד והדרישות הרגולטוריות. חברות שמשקיעות בניסוח מדויק של הסכמים אלה מצמצמות משמעותית את החשיפה המשפטית שלהן, ובונות בסיס איתן יותר ליחסים עם ספקים לטווח ארוך.
האמור במאמר זה מהווה מידע כללי בלבד ואינו מהווה ייעוץ משפטי. לקבלת ייעוץ מותאם לנסיבות הספציפיות של חברתכם, אנו מזמינים אתכם ליצור קשר עם משרדנו.
