מחזיק ומעבד
רוב מה שנכתב על תיקון 13 מדבר אל הארגון שהמידע שייך לו. שני הכללים שנוגעים דווקא לספק שמעבד מידע עבור אחרים כמעט לא הוזכרו, והם אלה שהופכים בית תוכנה קטן לחייב במינוי ממונה הגנת פרטיות משלו.
מי זה מחזיק
ההגדרה בחוק היא ״גורם חיצוני לבעל השליטה במאגר מידע המעבר מידע עבורו״, והיא רחבה בהרבה ממה שנשמע.
חמישה כללים
ההגדרה שתיקון 13 עדכן היא רחבה במכוון: כל פעולה שמבוצעת על מידע אישי, לרבות קבלתו, איסופו, אחסונו, העתקתו, עיון בו, גילויו, חשיפתו, העברתו, מסירתו או מתן גישה אליו. ספק שרק מאחסן, ולא נוגע במידע ולא מסתכל בו, מעבד. זה מספיק כדי להיות מחזיק.
זו ההוראה שהכי הרבה ספקים לא מכירים. חובת המינוי שבסעיף 17ב1(א)(1) חלה לא רק על הגוף הציבורי אלא גם על כל מחזיק במאגר שלו. אם אתם מספקים מערכת לקופת חולים, לרשות מקומית, לבית חולים, למוסד להשכלה גבוהה או לגוף אחר שבצו, החובה חלה עליכם ישירות, ולא נפתרת בכך שללקוח שלכם יש ממונה.
זו ההוראה השנייה שתופסת ספקים לא מוכנים. גילוי הדעת של הרשות קובע שאת היקף העיבוד שמבצע מחזיק יש לבחון במצטבר, תוך שקלול כל נושאי המידע במאגרים של כלל הלקוחות שלו. הדוגמה שהרשות עצמה נותנת: מחזיק שמספק שירותי עיבוד לאלף מאגרים, ובכל אחד מהם מידע רגיש על מאה אנשים בלבד, נחשב כמי שמעבד מידע בעל רגישות מיוחדת בהיקף ניכר. אף לקוח בודד לא היה מקים את החובה, והצירוף מקים אותה.
החוק בנה מסלול דו שלבי. כשמוטל עיצום על מחזיק, נשלחת הודעה גם לבעל השליטה במאגר יחד עם הוראה לפעול להפסקת ההפרה. אם ההפרה לא נפסקה ובעל השליטה לא פעל לפי הוראות הרשות, אפשר להטיל עליו את אותו עיצום כאילו היה הוא המפר. בפועל זה אומר שהחשיפה שלכם היא גם בעיה מסחרית מול הלקוח, ולא רק רגולטורית.
פרט טכני עם משמעות מעשית בסיווג רמת האבטחה. תקנות אבטחת המידע קובעות שמחזיק שאינו יחיד, וכן יחיד שקיבל גישה על פי הרשאה של המחזיק, אינם נחשבים בעלי הרשאה של בעל המאגר. כלומר צוות התמיכה שלכם לא מנפח את מניין בעלי ההרשאה אצל הלקוח, אבל הוא כן נספר אצלכם.
החשבון שכדאי לעשות
הדוגמה שהרשות מביאה בגילוי הדעת היא מחזיק שמספק שירותי עיבוד ל-1,000 מאגרים, ובכל אחד מהם מידע בעל רגישות מיוחדת על 100 נושאי מידע בלבד. אף לקוח בודד לא מקים את החובה.
הרשות קובעת שמחזיק כזה נחשב כמי שמעבד מידע בעל רגישות מיוחדת בהיקף ניכר, ולכן חייב במינוי ממונה. אם אתם מחזיקים מידע עבור עשרות או מאות לקוחות ומעולם לא סכמתם את המספר, זה החישוב שכדאי לעשות היום.
שאלות
לא, כשמדובר בגוף ציבורי. סעיף 17ב1(א)(1) מטיל את החובה על בעל השליטה במאגר של גוף ציבורי וגם על המחזיק בו, כשני חייבים נפרדים. הממונה של הלקוח אחראי על הארגון שלו, לא עליכם. במקרים אחרים, כשהלקוח אינו גוף ציבורי, החובה שלכם תיבחן לפי העילות האחרות, ובעיקר לפי מבחן ההיקף המצטבר.
כן. ההגדרה המעודכנת של עיבוד כוללת במפורש אחסון ועיון, וגילוי הדעת של הרשות מבהיר שככל שאלה נעשים עבור גוף ציבורי בידי גורם חיצוני, אותו גורם הוא מחזיק המחויב במינוי ממונה. הצפנה, מדיניות אי גישה או חוזה שאוסר עליכם להסתכל אינם משנים את הסיווג, אף שהם משפרים את מצב האבטחה.
אין סף כמותי אחד. סעיף 17ב1(ב) מונה קריטריונים שנבחנים יחד ולא במצטבר: מספר האנשים, שיעורם באוכלוסייה, היקף המידע, כמותו, מגוון סוגי המידע, משך ותדירות פעולות העיבוד, משך השמירה והתחום הגאוגרפי. הרשות מבהירה שמספר גדול לבדו מספיק, ושגם כשמספר נושאי המידע אינו גדול, הכף תיטה להיקף ניכר אם מתקיימים שיקולים אחרים. אצל מחזיק, כאמור, הספירה היא על פני כל הלקוחות יחד.
יכול מאוד להיות, וזו בדיוק הנקודה. גודל הארגון שלכם לא נכנס למבחן. מה שנבחן הוא היקף עיבוד המידע שאתם מבצעים, וספק קטן שמחזיק שני מאגרים גדולים או מספק שירות לגוף ציבורי אחד נמצא בחובה בזמן שחברה גדולה בהרבה, שלא נוגעת במידע אישי, לא נמצאת בה.
עקרונית כן, החוק מתיר מיקור חוץ ואינו אוסר על ממונה לכהן בכמה גופים. אבל הרשות מציינת במפורש שאיסור ניגוד העניינים חל גם על כפיפות לגורם בגוף אחר, כשמדובר בממונה שמשמש במיקור חוץ בכמה גופים. ממונה שמכהן גם אצל הלקוח וגם אצלכם נמצא בדיוק בצומת הזה: כשתתגלה תקלה, האינטרסים של השניים לא בהכרח יתלכדו.
מרשימים את הלקוחות ומסמנים מי מהם גוף ציבורי, כי זה המסלול הקצר ביותר לחובה. אחר כך סוכמים כמה נושאי מידע יש בכל המאגרים שאתם מחזיקים, יחד, ובודקים כמה מהם כוללים מידע בעל רגישות מיוחדת. שני המספרים האלה קובעים אם החובה חלה, ורוב הספקים מעולם לא חישבו אותם.
הצעד הבא
ארגון רגיל צריך לענות על השאלות האלה לגבי עצמו. ספק צריך לענות עליהן לגבי כל לקוח, ולהוכיח את זה בחוזה, בהסכם עיבוד ובתשובה לשאלון אבטחה. זו עבודה טכנית ולא רק משפטית, וברוב המקרים היא נופלת על מי שבנה את המערכת.
הדף הזה מסביר רגולציה ואינו מהווה ייעוץ משפטי. לרקע ראו המדריך לתיקון 13, לסיווג המאגרים שאתם מחזיקים את בדיקת רמת האבטחה, ולחשיפה הכספית את מחשבון העיצומים.