הסכם עיבוד מידע
מתחיל בבדיקת הספק.

DPA הוא הסכם עיבוד מידע. הוא מסדיר בין היתר אילו נתונים הספק מעבד, לאילו מטרות, מי מורשה לגשת, מהן דרישות האבטחה ומה קורה בסיום השירות. ההוראות יכולות להופיע בהסכם השירות או בנספח מתאים; שם המסמך לבדו אינו קובע אם מולאו הדרישות.

תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 מסדירה התקשרות של בעל מאגר עם גורם חיצוני - חברה או ארגון, לא אדם יחיד - הנותן שירות הכרוך במתן גישה למאגר המידע: בחינת סיכוני אבטחת מידע לפני ההתקשרות, וקביעה מפורשת בהסכם של המידע והמטרות המותרות, ההרשאות והמערכות, אמצעי האבטחה, ספקי משנה, דיווח תקופתי ואירועי אבטחה, והשבת או השמדת המידע בסיום. הרשות להגנת הפרטיות פרסמה מדריך פעולה לתקנה, שמדגיש גם בחינה האם בכלל נחוץ להעביר לספק מידע אישי או שאפשר לצמצם את הגישה. וגם כשהתקנה אינה חלה פורמלית, למשל כשהספק הוא קבלן עצמאי יחיד, הסכם מסודר הוא הדרך לשמור על שליטה במידע.

מי מוגדר כמעבד ומה המידע בעיבוד, אילו התחייבויות אבטחה נלקחות, האם נדרש אישור מראש לספקי משנה, מהן התחייבויות הדיווח על אירוע אבטחה, מה קורה למידע בסיום, ומה סמכויות הביקורת. חשוב לוודא שההתחייבויות תואמות את מה שהמערכת שלך באמת עושה - חתימה על נוסח שלא עומדים מאחוריו יוצרת סיכון חוזי מעבר לסיכון הפרטיות.

לא תמיד. DPA שנכתב ל-GDPR הוא בסיס חשוב, אבל כשמידע מועבר ממאגר בישראל חלות גם תקנות אבטחת המידע ותקנות העברת מידע לחו"ל הישראליות. בדיקה נכונה מתאימה בין המסמך הבינלאומי לדרישות המקומיות, ובמקרה של פער - משלימה אותו בהסכם או בנספח.

הגדרת תפקידים ומטרות, פירוט המידע והמערכות, אבטחת מידע, ניהול ספקי משנה, דיווח וטיפול באירועי אבטחה, סיוע בבקשות של נושאי מידע, מסגרת להעברת מידע מחוץ לישראל, והוראות לסיום: החזרה, מחיקה והוכחת מחיקה.

הוצאת עיבוד לספק אינה משחררת את בעל השליטה מחובותיו, וגם לספק או למחזיק עשויות להיות חובות עצמאיות לפי הדין וההסכמים. האחריות במקרה של פריצה תלויה בתפקידים, בהפרות ובנסיבות. לכן משלבים בדיקת ספק ואבטחה, הסכם מתאים ובקרה לאורך ההתקשרות; סעיף שיפוי לבדו אינו פתרון.