הסכם עיבוד מידע (DPA) - מה זה כולל, מתי חייבים ואיך עושים את זה נכון בלי להסתכן

אם העסק שלכם עובד עם ספקים חיצוניים, משתמש בשירותי ענן, מעסיק פרילנסרים, או פשוט שומר מידע על לקוחות ועובדים – יש סיכוי גבוה שאתם כבר חייבים בהסכם עיבוד מידע, גם אם לא ידעתם על כך.

בעקבות תקנות הגנת הפרטיות המחמירות בישראל ובעולם, במקרים רבים – ובעיקר כאשר מידע אישי מעובד באמצעות גורם חיצוני – קיימת חובה משפטית להסדיר זאת בהסכם ייעודי.

הסכם עיבוד מידע, המכונה גם Data Processing Agreement, מגדיר את האחריות, את תנאי השימוש במידע ואת אמצעי ההגנה שיש ליישם כדי למנוע דליפות, שימוש לרעה או הפרות של חוק הגנת הפרטיות.

מה הוא בעצם הסכם עיבוד מידע ולמה כולם מדברים על זה?

הסכם עיבוד מידע הוא חוזה משפטי בין שני גופים – האחד הוא "בעל המידע" או "האחראי על המידע" (למעשה העסק שלכם), והשני הוא "מעבד המידע" או "הספק" (ספק חיצוני שמקבל גישה למידע).

ההסכם מסדיר את תנאי השימוש במידע אישי שבעל המידע מעביר למעבד המידע, לאיזו מטרה מותר להשתמש בו, את אמצעי האבטחה הנדרשים ומה עושים במקרה של תקלה, דליפה או פריצה.

מטרת הסכם עיבוד מידע היא פשוטה – להבטיח שהמידע של הלקוחות והעובדים שלכם לא יזלוג, לא ינוצל לרעה, ולא יסבך אתכם משפטית. הסכם עיבוד מידע הוא חיוני כי הוא מעניק הגנה משפטית לבעל המידע במקרה של תקלה, ומחייב את מעבד המידע לפעול בהתאם לתקנות והחוקים הרלוונטיים.

בנוסף, הסכם זה הוא דרישה חוקית במסגרת תקנות הגנת הפרטיות בישראל, ובהיעדרו העסק עלול, במקרים מסוימים, להיחשף להפרת חובות הקבועות בדין.

מי נחשב למעבד מידע?

כדי להבין מתי נדרש הסכם עיבוד מידע, חשוב לזהות מי נחשב בפועל לגורם חיצוני שמעבד מידע עבור העסק.

תיקון מס' 13 לחוק הגנת הפרטיות מגדיר "מחזיק" במאגר מידע כגורם חיצוני לבעל שליטה במאגר, המעבד מידע בעבורו. המונח "עיבוד” מוגדר באופן רחב וכולל, בין היתר, קבלה, איסוף, אחסון, העתקה, עיון, גילוי, העברה ומתן גישה למידע אישי.

בהתאם לכך, ספק עשוי להיחשב מחזיק גם אם אינו מקבל לידיו עותק מלא של מאגר המידע. די בכך שבמסגרת השירות הוא מבצע עבור העסק פעולות במידע האישי או מקבל גישה למידע לצורך ביצוען. כך, למשל, מערכות CRM ודיוור, ספקי אחסון וענן, חברות שכר וספקי תמיכה טכנולוגית עשויים להיחשב מחזיקים — בהתאם לאופי השירות, להרשאות שניתנו להם ולפעולות שהם רשאים לבצע במידע.

עם זאת, לא כל התקשרות עם ספק ולא כל חשיפה מקרית למידע הופכות אותו בהכרח למחזיק. יש לבחון אם מדובר בגורם חיצוני המעבד מידע אישי בעבור העסק, או בגורם הקובע בעצמו את מטרות העיבוד ועשוי להיחשב בעל שליטה נפרד ביחס לאותו מידע.

לכן, הבחינה אינה מסתכמת בשאלה היכן המידע נשמר. יש לברר מי מקבל גישה למידע, עבור מי הוא מעבד אותו, לאילו מטרות, באילו מערכות ואילו פעולות מותר לו לבצע. מיפוי נכון של התקשרויות וזרימת המידע מאפשר לזהות את מעמדו של כל ספק ולקבוע אם נדרשת הסדרה בהתאם לתקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), לרבות בחינת סיכוני ההתקשרות וקביעת הוראות מתאימות בהסכם.

למה נדרש הסכם עיבוד מידע – המסגרת החוקית בקצרה

הסכם עיבוד מידע נדרש בכל מקרה שבו עסק או ארגון מעביר מידע אישי לגורם חיצוני לצורך עיבוד, ניתוח או שימוש תפעולי כלשהו.

מדובר במידע יומיומי לכאורה, אך רגיש מאוד מבחינה משפטית: שמות, מספרי זהות, כתובות, מספרי טלפון, כתובות אימייל, פרטי תשלום, מידע רפואי, או כל נתון אחר שמזהה אדם, גם בעקיפין.

הנקודה הקריטית היא שהאחריות על המידע לא עוברת לספק. לפי חוק הגנת הפרטיות, בעל המידע – כלומר העסק – נשאר אחראי למידע גם אם התקלה, הדליפה או הפרה בוצעו על ידי צד שלישי. יחד עם זאת, היקף האחריות והחובות בפועל נקבעים בהתאם לנסיבות המקרה, סוג המידע המעובד ואופי הפעילות העסקית.

איזה מידע דורש התייחסות מיוחדת?

לא כל המידע שמחזיק עסק הוא בעל אותה רמת רגישות, ולכן גם הסיכונים הנובעים מהעברתו לספקים עשויים להשתנות משמעותית.

בעת ניסוח הסכם עיבוד מידע חשוב להבין אילו קטגוריות של מידע מועברות, מי האנשים או הגורמים שהמידע מתייחס אליהם ומה יכול לקרות במקרה של גישה בלתי מורשית.

פרטי קשר בסיסיים על אדם אינם בהכרח יוצרים את אותו סיכון כמו מידע פיננסי, מידע רפואי, נתוני זיהוי או מידע רגיש אחר לגבי אותו אדם.

ככל שהמידע רגיש יותר והיקף העיבוד משמעותי יותר (כלומר – כמות נושאי המידע גדולה יותר), כך עולה החשיבות של התאמת מנגנוני האבטחה וההתחייבויות החוזיות לסיכון בפועל.

גם מטרת השימוש חשובה: ספק שקיבל מידע לצורך מתן שירות מסוים אינו אמור לעשות בו שימוש חופשי למטרות אחרות, אלא למטרות המוגדרות בלבד.

לכן, סיווג נכון של המידע הוא שלב בסיסי בהתקשרות עם ספקים ומאפשר לקבוע בצורה מדויקת יותר את ההרשאות, ההגבלות ואמצעי ההגנה הנדרשים.

מה זה DPA – ההגדרה ושימוש בפועל

המונח DPA הוא ראשי תיבות של Data Processing Agreement, ובעברית: הסכם עיבוד מידע. זהו המסמך המשפטי הסטנדרטי והמקובל בעולם להסדרת היחסים בין מי שאחראי על המידע לבין מי שמעבד אותו בפועל עבורו. ובמילים פשוטות – DPA הוא ההסכם שקובע מה מותר ומה אסור לעשות עם מידע אישי שמועבר לספק חיצוני.

מה זה DPA במונחים מעשיים? 

מדובר בהסכם שמפרט את סוג המידע המועבר, את מטרת העיבוד, את משך התקופה, את אמצעי האבטחה, את הזכויות והחובות של כל צד, ואת ההליכים במקרה של הפרה או דליפת מידע.

מה כולל DPA תקין?

ברוב המקרים, הסכם עיבוד מידע כולל בין היתר התחייבות לסודיות מלאה, הגבלות ברורות על שימוש במידע, חובת דיווח על אירועי אבטחה, איסור העברה לגורמים נוספים ללא אישור, זכות פיקוח וביקורת של בעל המידע והתחייבות למחיקת המידע בסיום ההתקשרות. 

מה זה DPA בהקשר של ה-GDPR?

במסגרת תקנות ה-GDPR האירופיות, DPA הוא מסמך חובה. בלי DPA תקין, לא ניתן לעבוד עם לקוחות, ספקים או מערכות שמעורבים בעיבוד מידע של תושבי האיחוד האירופי. 

לכן, חברות גלובליות כמו Google, Microsoft ו-Amazon מחייבות את כל לקוחותיהן להסכים ל-DPA כתנאי לשימוש בשירותים שמציעות. המשמעות היא ברורה: זה לא חריג – אלא הסטנדרט.

האם הסכם סודיות מספיק?

עסקים רבים מניחים כי חתימה על הסכם סודיות מול ספק חיצוני מספקת הגנה משפטית גם כאשר הספק מקבל גישה למידע אישי על אנשים שמצוי ברשותם. בפועל, הסכם סודיות והסכם עיבוד מידע נועדו להסדיר התחייבויות שונות. הסכם סודיות מתמקד במניעת חשיפה בלתי מורשית של מידע, בעוד שהסכם DPA מסדיר גם את מטרות העיבוד, אופן השימוש במידע, אמצעי האבטחה וחלוקת האחריות בין הצדדים. 

כדי להבין מה זה DPA, חשוב להכיר את ההבדל בין שמירה על סודיות לבין הסדרה מקיפה של פעולות עיבוד מידע אישי. כאשר ספק מפעיל מערכת המכילה פרטי לקוחות, למשל, התחייבות כללית לסודיות אינה בהכרח מספקת מענה לכל החובות החלות על ההתקשרות. לכן, לפני חתימה על חוזה מסחרי, יש לבחון האם נדרשות הוראות נוספות בהתאם לדין ולאופי השירות.

מה קורה עם קבלני משנה?

אחת הנקודות שחשוב לבדוק במסגרת הסכם עיבוד מידע היא האם הספק שאליו הועבר המידע נעזר בעצמו בספקים או בקבלני משנה.

עסק יכול להתקשר עם מערכת אחת בלבד, אך מאחורי אותה מערכת עשויה להתקיים שרשרת של שירותי אחסון, תמיכה, אבטחה ותשתיות שמערבים גורמים נוספים.

מצב כזה מחייב להבין מי עשוי לקבל גישה למידע ומהם התנאים החלים עליו.

בהתאם לדין ולנסיבות, ההסכם יכול להתייחס לאופן שבו מאושרת התקשרות עם גורם נוסף, לחובות שיוטלו עליו ולמידע שעל הספק למסור לבעל המידע.

כדאי לבחון גם מה קורה כאשר קבלן משנה מתחלף או כאשר המידע מועבר לסביבה טכנולוגית אחרת.

המטרה היא למנוע מצב שבו העסק מכיר את הספק הישיר שלו, אך אינו יודע מי עוד מעבד בפועל את המידע.

שרשרת ספקים ברורה מאפשרת ניהול סיכונים יעיל יותר ושליטה טובה יותר במידע.

איפה המידע נשמר בפועל?

מיקום האחסון והעיבוד הוא שאלה משמעותית כאשר עסק משתמש בספקי ענן ובשירותים בינלאומיים.

במסגרת הסכם עיבוד מידע כדאי להבין האם המידע נשמר בישראל, באירופה, בארצות הברית או במספר מדינות במקביל, והאם במהלך מתן השירות הוא עשוי לעבור בין מרכזי נתונים שונים.

העברת מידע מחוץ לישראל עשויה לעורר דרישות משפטיות נוספות, ולכן לא נכון להסתפק בידיעה שהספק הוא חברה מוכרת או גדולה.

יש לבדוק את אופי השירות, מיקום העיבוד, ההסדרים החוזיים והדין הרלוונטי לפעילות הספציפית.

הנושא הופך למורכב עוד יותר כאשר העסק פועל מול לקוחות ממדינות שונות או משתמש במספר שירותי ענן המחוברים זה לזה.

מיפוי של זרימת המידע בארגון ומחוץ לו מאפשר להבין לא רק מי מחזיק בו, אלא גם היכן הוא נמצא לאורך התהליך ואילו מנגנונים משפטיים ואבטחתיים צריכים ללוות את ההעברה.

איך מתאימים DPA לעסק?

לא כל הסכם עיבוד מידע מתאים לכל עסק. חברה המפעילה חנות מקוונת, למשל, עשויה להעביר לספקים פרטי קשר, כתובות משלוח ונתוני רכישה, בעוד שמרפאה פרטית עשויה להעביר מידע רפואי בעל רגישות מיוחדת לנותני שירותים הפועלים עמה. בשני המקרים עשוי להידרש הסכם DPA, אך היקף ההתחייבויות ואמצעי ההגנה צריכים להתאים לסיכונים הנובעים מאופי המידע והשימוש בו. 

התאמה מקצועית מתחילה במיפוי סוגי המידע, זיהוי הגורמים המקבלים גישה והגדרת מטרות העיבוד המותרות. בהמשך יש לבחון את דרישות האבטחה, מנגנוני הפיקוח וחלוקת האחריות. שימוש בתבנית כללית ללא בדיקת הצרכים האמיתיים של העסק עלול להותיר סוגיות מהותיות ללא מענה חוזי מתאים.

מי חייב לחתום על הסכם עיבוד מידע

התשובה הקצרה היא: כמעט כל עסק בישראל. כל עסק או ארגון שמעביר מידע אישי לגורם חיצוני לצורך עבודה שוטפת – חייב להסדיר זאת באמצעות הסכם עיבוד מידע. החובה אינה תלויה בגודל העסק, בהיקף הפעילות או בכוונה טובה – אלא בעצם העברת המידע.

החובה אם כן חלה על מגוון רחב של גופים בישראל, ובהם חברות סטארט-אפ והייטק, ארגונים ללא כוונת רווח, מוסדות חינוך, קופות חולים, עורכי דין, רואי חשבון, סוכני ביטוח, חברות הייטק, חברות שיווק, פרסום ודיגיטל ועוד.

הסכם עיבוד מידע נדרש גם כאשר העסק מעביר מידע לספקי שירותים כמו חברות ענן (Dropbox, AWS, Google Cloud), מערכות CRM (Salesforce, HubSpot), מערכות שכר (Hilan, Meshulam), או חברות שיווק דיגיטלי (Google Ads, Facebook Ads).

גם במקרים שנראים “שוליים” לכאורה – כמו העסקת פרילנסר, קבלן משנה או עובד חיצוני עם גישה למידע של לקוחות או עובדים – נדרשת הסדרה משפטית מתאימה. לעיתים זה יהיה הסכם עיבוד מידע מלא, ולעיתים לכל הפחות התחייבות לסודיות מותאמת.

הנקודה החשובה ביותר להבין היא כי האחריות על המידע לא נעלמת ולא עוברת הלאה. גם אם המידע נמצא בפועל אצל ספק חיצוני – העסק שמסר אותו הוא זה שנושא באחריות המשפטית. זכרו, אם מישהו מחוץ לעסק נוגע במידע אישי של לקוחות שלכם – צריך הסכם.

העדר הסכם עיבוד מידע עלול להוביל לחשיפה משפטית, קנסות משמעותיים, תביעות מצד לקוחות או להתערבות של רשות הגנת הפרטיות.

מי אחראי לעיבוד המידע?

אחת השאלות החשובות בעת עריכת הסכם עיבוד מידע היא כיצד מחלקים את האחריות בין בעל השליטה במידע לבין מי שבפועל מעבד את המידע. בעל השליטה במאגר קובע את מטרות עיבוד המידע, בעוד שהספק עשוי לבצע עבורו פעולות עיבוד בהתאם להוראות שנקבעו בהתקשרות. הסכם DPA נועד להגדיר את התחייבויות הצדדים, לרבות שמירה על סודיות, הגבלת הרשאות, יישום אמצעי אבטחה ושיתוף פעולה במקרה של אירוע אבטחה. 

חשוב להבהיר כי עצם החתימה על DPA אינה פוטרת את בעל השליטה במאגר המידע מחובותיו לפי הדין, וגם אינה שוללת חובות עצמאיות שעשויות לחול על הספק כמעבד מידע. חלוקת אחריות ברורה מאפשרת לכל צד להבין מה מצופה ממנו, כיצד עליו לפעול כאשר מתגלה תקלה ואילו מנגנוני פיקוח נדרשים לאורך תקופת ההתקשרות.

איך חותמים על הסכם עיבוד מידע כמו שצריך – שלב אחר שלב

חתימה נכונה על הסכם עיבוד מידע מתחילה בהבנה של הצרכים והסיכונים. מדובר בתהליך מושכל שמתחיל בהבנת הפעילות העסקית והסיכונים האמיתיים הכרוכים בה.

בשלב הראשון פונים לליווי מקצועי – מתייעצים עם עורך דין המתמחה בהגנת פרטיות ובדיני טכנולוגיה, דבר המאפשר לזהות פערים, להימנע מהעתקה של הסכמים גנריים, ולוודא שההסכם מגן על העסק בפועל – ולא רק על הנייר

השלב השני הוא מיפוי – מזהים את כל הגורמים החיצוניים שיש להם גישה למידע אישי – ספקים, מערכות, פרילנסרים, קבלני משנה – ומוודאים שכל גורם כזה מוסדר בהסכם מתאים. לעיתים מתברר שדווקא ספקים ״שקופים״ הם נקודת התורפה המרכזית. 

בשלב השלישי בודקים מה צריך להיות תוכן ההסכם – הסכם עיבוד מידע תקין חייב לכלול, בין היתר תיאור ברור של סוגי המידע, מטרת העיבוד בלבד, משך הזמן שבו מותר להחזיק במידע, חובות סודיות, אמצעי אבטחת מידע, הגבלות על העברת מידע לגורמים נוספים, חובת דיווח על אירועי אבטחה, וזכות פיקוח ובקרה של בעל המידע. היעדר אחד מהרכיבים הללו עלול לרוקן את ההסכם מתוכן.

בשלב הרביעי מוודאים את ההתאמה הרגולטורית – כלומר, שההסכם תואם את הדין הישראלי, ובמידת הצורך גם רגולציות בינלאומיות, ובראשן ה-GDPR כאשר קיימת פעילות מול אירופה או עיבוד מידע של תושבי האיחוד האירופי.

בשלב החמישי חותמים על ההסכם ומתעדים זאת – יש לוודא שההסכם נחתם על ידי נציגים מוסמכים משני הצדדים, ושהוא נשמר במקום נגיש למקרה של ביקורת או חקירה.

לבסוף, צריך לזכור שיש לבצע תחזוקה שוטפת. הסכם עיבוד מידע אינו מסמך שחותמים ושוכחים ממנו. שינויים בפעילות העסקית, בטכנולוגיה, בספקים או בחקיקה מחייבים עדכון תקופתי של ההסכמים, כדי לשמור על התאמה למציאות ולצמצם סיכונים. כדאי לעדכן את הסכם עיבוד מידע מעת לעת, במיוחד כשיש שינויים בפעילות העסקית, בחוקים או בסיכונים.

חתימה נכונה על הסכם עיבוד מידע היא חלק מניהול עסק אחראי – לא פחות מחשבונאות, ביטוח או אבטחת מידע.

איך מגדירים אירוע אבטחה?

דליפת מידע אינה בהכרח התרחיש היחיד שצריך להתכונן אליו.

גישה בלתי מורשית, שליחת מידע לנמען שגוי, אובדן הרשאות, תקיפת סייבר מכוונת או חשיפה מקרית של מסמכים יכולים להעלות שאלות של אבטחת מידע והפרה של דיני הגנת הפרטיות.

לכן הסכם עיבוד מידע צריך להסדיר באופן ברור את התנהלות הצדדים כאשר מתרחש אירוע שעשוי לסכן מידע אישי או מידע בעל רגישות מיוחדת.

בין היתר, חשוב להגדיר כיצד הספק מדווח על האירוע, איזה מידע הוא נדרש למסור, כיצד הוא משתף פעולה בבדיקת האירוע ומה נעשה כדי לצמצם את הנזק ולמנוע הישנות שלו. תכנית התאוששות מאירוע אבטחה צריכה להיות מוגדרת וברורה.

למהירות העברת המידע ועדכונים בין הספק לעסק יכולה להיות חשיבות משמעותית, במיוחד כאשר קיימות חובות דיווח סטטוטורית או צורך לנקוט פעולות מידיות.

במקום להתחיל לברר אחריות לאחר האירוע, הצדדים יודעים מראש מהם התפקידים והצעדים שנדרשים מכל אחד מהם.

טעויות נפוצות בהסכמי עיבוד – ואיך לא ליפול בהן

רוב ההסתבכויות בתחום הגנת הפרטיות לא נובעות מזדון, אלא מטעויות ניהוליות שנראות שוליות – עד שהן פוגשות אירוע אמת.

הטעות הנפוצה ביותר היא אי-חתימה על הסכם עיבוד מידע כלל, מתוך הנחה שההסכם המסחרי הכללי “מספיק”. בפועל, הסכם מסחרי כמעט אף פעם לא מסדיר את האחריות, האבטחה והחובות הייחודיות הנוגעות לעיבוד מידע אישי. בלי הסכם ייעודי – אין הגנה משפטית אמיתית.

טעות שכיחה נוספת היא שימוש ב־הסכם גנרי או בתבנית שלא מותאמת לסוג המידע, לאופי הפעילות או לדרישות החוק הרלוונטיות. כל עסק, כל ספק וכל תהליך עיבוד יוצרים סיכון אחר – והסכם שלא מותאם למציאות פשוט לא מחזיק ברגע האמת.

טעות קריטית במיוחד היא התעלמות מאבטחת מידע: היעדר סעיפים ברורים על הצפנה, גיבויים, ניהול הרשאות ותגובה לאירועי אבטחה בעידן של מתקפות סייבר תכופות, זהו לא פרט טכני – אלא לב ההגנה על העסק.

גם כאשר קיים הסכם, עסקים רבים נופלים בטעות נוספת: להסתפק בחתימה בלבד. בפועל, האחריות לא נגמרת בחתימה – יש לוודא שהספק באמת מיישם את ההתחייבויות, באמצעות בקרה, בדיקות ועדכון שוטף.

ולבסוף, טעות נפוצה לא פחות היא אי-עדכון ההסכם לאורך זמן. חוקים משתנים, פעילות עסקית מתפתחת, טכנולוגיות מתחלפות – והסכם עיבוד מידע שאינו מתעדכן הופך מהר מאוד ללא רלוונטי. חשוב להבין, הסכם עיבוד מידע הוא מסמך חי, לא מסמך מדף.

האם DPA של הספק מספיק?

עסקים רבים מקבלים מספק טכנולוגי הסכם עיבוד מידע סטנדרטי ומניחים שעצם קיומו של המסמך פותר את סוגיית הפרטיות.

אלא שהעובדה שספק מציע DPA אינה אומרת בהכרח שתנאיו מתאימים לפעילות הספציפית של העסק, לסוג המידע שהוא מעבד או לחובות הרגולטוריות החלות במקרה מסוים על העסק.

לפני שמאשרים מסמך כזה כדאי לבדוק, בין היתר, מהן מטרות העיבוד שהוגדרו, אילו ספקי משנה מעורבים, האם יש מנגנון ראוי לטיפול במקרה של אירועי אבטחה, מה קורה למידע בסיום ההתקשרות ומהן מגבלות האחריות שנקבעו.

יש לבחון גם האם תנאי ההסכם מתיישבים עם ההסכם המסחרי הראשי ועם האופן שבו השירות פועל בפועל.

סתירה בין מסמכים שונים עלולה ליצור חוסר ודאות דווקא כאשר מתעוררת בעיה.

לכן, המטרה אינה רק לוודא שקיים DPA, אלא להבין מה הוא קובע והאם הוא משקף בצורה נכונה את מערכת היחסים והסיכונים בפועל.

מה בודקים לפני חתימה?

לפני חתימה על הסכם DPA, חשוב לבדוק שההתחייבויות המופיעות במסמך משקפות את השירות שהספק (מעבד המידע) מעניק בפועל. הבדיקה צריכה להתחיל בהגדרת מטרות העיבוד, סוגי המידע שאליהם הספק רשאי לגשת והפעולות המותרות לו. בהמשך יש לבחון את אמצעי אבטחת המידע, תנאי ההתקשרות עם ספקי משנה, מנגנוני הדיווח על אירועי אבטחה והאפשרות לבצע פיקוח ובקרה.

 כאשר מדובר בספק בינלאומי, יש לבחון גם את ההסדרים הנוגעים להעברת מידע בין מדינות וכן דינים רלוונטיים נוספים שעשויים לחול, כמו במקרה של ספק הממוקם באירופה שאז תתקיים תחולה של ה-GDPR. הסכם עיבוד מידע שאינו מתייחס למאפייני הפעילות עלול ליצור פער בין ההתחייבויות החוזיות לבין ההתנהלות בפועל. בדיקה משפטית מוקדמת מאפשרת לזהות סעיפים חסרים, לבחון את חלוקת האחריות ולהתאים את המסמך לדרישות הדין הרלוונטיות.

מה קורה בסיום ההתקשרות?

עסקים נוטים להתמקד בדרך שבה ספק מקבל מידע בתחילת העבודה, אבל חשוב לא פחות לתכנן ולבנות את מה יקרה למידע כאשר ההתקשרות מסתיימת.

הסכם עיבוד מידע יכול לקבוע האם הספק נדרש למחוק את המידע, להחזיר אותו לעסק או לשמור חלק ממנו כאשר קיימת הצדקה או חובה חוקית לכך.

כדאי להתייחס גם לעותקי גיבוי, למערכות ארכיון ולמידע שנמצא אצל קבלני משנה, משום שמחיקה מהממשק הראשי אינה בהכרח מעידה שכל העותקים נמחקו או הוסרו.

בנוסף, יש לקבוע מה קורה להרשאות של עובדים מטעם הספק וכיצד מוודאים שהגישה למערכות או מידע של העסק אכן מסתיימת.

סיום מסודר של ההתקשרות הוא חלק חשוב ממחזור החיים של המידע.

כאשר התנאים מוגדרים מראש, העסק אינו נדרש לנהל דיון מול הספק על החזרת המידע דווקא כאשר היחסים עמו מסתיימים.

כך ניתן לצמצם מצב שבו מידע אישי ממשיך להישמר ללא צורך אצל ספק שכבר אינו מעניק שירות.

האם AI מחייב הסכם DPA?

השימוש הגובר במערכות בינה מלאכותית מציב בפני עסקים שאלות חדשות הנוגעות לעיבוד מידע אישי ולאופן ההתקשרות עם ספקים טכנולוגיים. למשל, כאשר ספק טכנולוגי המעבד מידע בעבור בעל מאגר המידע מעביר למערכת AI (ובפרט בינה מלאכותית יוצרת) פרטי לקוחות, מסמכים או מידע אישי אחר, חשוב לוודא שהדבר נעשה לאחר הסדר ברור בין הספק הטכנולוגי לבין הלקוח (בעל המאגר).

במקרים המתאימים, הסכם עיבוד מידע יכול להסדיר את תנאי השימוש במידע, הגבלות על שימוש לצורכי אימון מודלים, תקופות שמירה והתחייבויות לאבטחת מידע. עם זאת, לא כל שימוש בכלי AI מחייב בהכרח חתימה על DPA. יש לבחון את סוג השירות, מעמד הספק, אופי המידע והדין החל. הסכם DPA מותאם יכול לסייע לעסק להסדיר את ההתקשרות ולצמצם סיכוני פרטיות הנובעים מהטמעת טכנולוגיות חדשות.

כל כמה זמן צריך לבדוק את ההסכם?

גם הסכם עיבוד מידע שנוסח בצורה מקצועית אינו בהכרח מתאים לעסק לנצח.

מערכות מתחלפות, ספקים מוסיפים שירותים, מאגרי מידע גדלים, קטגוריות חדשות של מידע נאספות והפעילות העסקית עשויה להתרחב למדינות או לקהלים חדשים.

כל שינוי כזה יכול להשפיע על הסיכונים ועל ההתחייבויות שצריך להסדיר מול הגורמים שמעבדים מידע עבור העסק.

לכן מומלץ להתייחס לבדיקת ההסכמים כחלק מתהליך ניהול הפרטיות ולא כפעולה חד-פעמית שמתבצעת בתחילת ההתקשרות בלבד.

נקודות מתאימות לבדיקה יכולות להיות חידוש חוזה עם ספק, מעבר למערכת חדשה, שינוי משמעותי בשירות, כניסה לשוק נוסף או שינוי רגולטורי רלוונטי.

במקביל, כדאי לוודא שהמציאות תואמת למה שנכתב במסמך.

אם הספק התחיל להשתמש בקבלני משנה חדשים או שהמידע המועבר אליו השתנה, ייתכן שגם ההסדרה החוזית דורשת בחינה מחודשת והתאמה.

רוצים לדעת איפה אתם עומדים – לפני שמתרחשת תקלה?

עו״ד נמרוד פיטוסי מתמחה בדיני הגנת פרטיות, דיני טכנולוגיה וליווי עסקים בהסדרת עיבוד מידע בצורה חכמה, פרקטית ומותאמת למציאות העסקית. הליווי כולל: 

• זיהוי נקודות חשיפה אמיתיות.
• ניסוח והטמעה של הסכמי עיבוד מידע מותאמים אישית.
• התאמה לדין הישראלי ולרגולציה בינלאומית.
• יצירת שקט ניהולי ורגולטורי לאורך זמן.

אנחנו כאן כדי לעזור לכם להבין את החובות המשפטיות, להגן על העסק שלכם ולוודא עמידה מלאה בחוקים ובתקנות. השאירו פרטים לצורך ייעוץ משפטי ראשוני ולליווי מקצועי!

המידע המובא בעמוד זה נועד למתן מידע כללי בלבד ואינו מהווה ייעוץ משפטי, חוות דעת משפטית או תחליף לייעוץ משפטי פרטני. יישום החובות המשפטיות בתחום הגנת הפרטיות והסכמי עיבוד מידע תלוי בנסיבות כל מקרה, באופי הפעילות ובדין החל. מומלץ להיוועץ בעורך דין המתמחה בתחום טרם נקיטת פעולה.