הסכם עיבוד מידע · תקנת מיקור החוץ
התקנה מחייבת לבחון את סיכוני האבטחה לפני ההתקשרות, ואם הם גבוהים מדי ביחס לרגישות המידע, להימנע ממיקור החוץ לחלוטין. רק אחרי ההכרעה הזאת מגיעים לששת הסעיפים שההסכם חייב לכלול.
מה חייב להיות בהסכם
לא תבנית אירופית מתורגמת. אלה הדברים שהתקנה מונה במפורש.
לא גישה כללית למערכת אלא הגדרה של המידע ושל המטרה. זה גם מה שקובע מאוחר יותר אם שימוש מסוים היה בהרשאה או בחריגה ממנה.
ההפרדה בין המערכות היא מה שמונע מדליפה אצל ספק אחד להפוך לדליפה של הכול. אם התשובה היא הכול, זו התשובה שצריך לשנות ולא לנסח.
צפייה, עדכון, הפקת דוחות, אחסון בלבד. ההבחנה הזאת נשמעת פורמלית ומתבררת כמרכזית ביום שבודקים מה הוא באמת עשה.
זה הסעיף שכמעט תמיד חסר, והוא זה שמתפוצץ. עסק שמחליף ספק ולא הסדיר מראש את החזרת המידע ואת מחיקתו נשאר עם עותק של המאגר שלו אצל מישהו שכבר לא עובד איתו.
לא הצהרה שהספק עומד בתקנות אלא איך. זה ההבדל בין סעיף שאפשר לאכוף לבין סעיף שנועד להיראות טוב.
חובה על הספק להחתים את מי שיש לו גישה בפועל. לא מספיק שהחברה חתמה, כי לא החברה נכנסת למאגר אלא אנשים.
מה שממשיך אחרי החתימה
על הספק לדווח לכם אחת לשנה לפחות איך הוא מקיים בפועל את חובותיו לפי התקנות ולפי ההסכם, ולהודיע לכם על אירוע אבטחה. אם מעולם לא קיבלתם דיווח כזה מאף ספק, זו כבר תשובה.
אם התרתם לספק לתת את השירות דרך גורם נוסף, חובתו לכלול בהסכם מולו את כל אותם נושאים. המידע לא מפסיק להיות שלכם כשהוא יורד קומה.
הצד השני
כמעט כל עסק יושב בשני הצדדים של התקנה הזאת בו זמנית. הוא מוסר מידע לספקים, והוא בעצמו ספק של מישהו אחר. רוב החוזים בישראל לא מטפלים באף אחד מהכיוונים.
ובצד הספק ההפתעה גדולה יותר: מחזיק שמעבד מידע עבור גוף ציבורי חייב למנות ממונה משלו, וההיקף של מעבד נבחן במצטבר על פני כל הלקוחות ולא לקוח לקוח.
פירטתי את זה בנפרד בעמוד על ספקים ומעבדי מידע, ואת מה שקורה כשמשהו משתבש אצל ספק בעמוד על דיווח על אירוע אבטחה.
שאלות
כל גורם חיצוני שנוגע במידע האישי שלכם, וזו רשימה ארוכה יותר ממה שנדמה: אחסון בענן, מערכת דיוור, שירות תמיכה שרואה פרטי לקוחות, רואה חשבון שמקבל קובץ עובדים, וגם מי שבנה לכם את האתר אם יש לו גישה למסד. השאלה אינה אם חתמתם על משהו שנקרא הסכם עיבוד, אלא אם מישהו מחוץ לארגון יכול להגיע למידע.
התקנה מטפלת בזה במפורש. אם התרתם לספק לתת את השירות באמצעות גורם נוסף, חובתו לכלול בהסכם מולו את כל הנושאים המפורטים בתקנה. כלומר השרשרת ממשיכה, ואי אפשר לאבד את המידע בקומה השנייה של קבלני המשנה.
לא. על הספק לדווח לכם, אחת לשנה לפחות, איך הוא מקיים בפועל את חובותיו לפי התקנות ולפי ההסכם, ולהודיע לכם על אירוע אבטחה. אם מעולם לא קיבלתם דיווח כזה מאף ספק, זו כנראה התשובה למצב שלכם.
כן, וזה החלק שהכי מפתיע. התקנה מחייבת לבחון את סיכוני אבטחת המידע לפני ההתקשרות, ואם הם גבוהים מדי בהתחשב ברגישות המידע, להימנע ממיקור החוץ לחלוטין. כלומר ההכרעה הראשונה אינה איך לנסח את ההסכם, אלא אם בכלל מוסרים.
חלקית, ולא במקומות שנבדקים. תבנית אירופית מכסה את העקרונות ומחמיצה את הפירוט הישראלי, למשל את חובת הדיווח השנתית ואת ההסדרה המפורשת של החזרת המידע בתום ההתקשרות. מיפוי של תוכנית GDPR על ישראל מביא אתכם רוב הדרך בעקרונות ומשאיר אתכם חשופים בפרטים.
יותר ממה שרוב הספקים חושבים. מעבר לחובות שבהסכם, מחזיק שמעבד מידע עבור גוף ציבורי חייב למנות ממונה הגנת פרטיות משלו, וההיקף של מעבד נבחן במצטבר על פני כל הלקוחות שלו ולא לקוח לקוח. ספק קטן שמשרת הרבה לקוחות קטנים יכול למצוא את עצמו חייב בלי ששום לקוח בודד היה מקים את החובה.
תעשו את הרשימה בלי לפתוח חוזה אחד, רק לפי מי יש לו סיסמה. ברוב הארגונים הרשימה ארוכה משנדמה, ומול חלק ניכר ממנה אין הסכם שמכסה את ששת הסעיפים. זה בדיוק המקום שבו ממונה שקורא גם את המערכת שווה יותר מממונה שקורא רק את החוזה.
המקור: המדריך המלא לתקנות הגנת הפרטיות (אבטחת מידע) של הרשות להגנת הפרטיות, תקנת מיקור החוץ. נקרא מקובץ המקור. אני ממונה הגנת פרטיות ואינני עורך דין, והעמוד אינו ייעוץ משפטי ואינו נוסח הסכם. אם משהו כאן סותר את פרסומי הרשות, הרשות צודקת.