- DPA אינו נספח פורמלי: תקנה 15 לתקנות אבטחת מידע קובעת רשימת נושאים שההסכם מול ספק חייב לכסות במפורש, ולא ברמז.
- דיווח שנתי הוא חובה חוזית: התקנות דורשות שהספק ידווח לבעל המאגר על אופן יישום חובות האבטחה אחת לשנה לפחות.
- קבלני משנה חייבים להיות מוסדרים: אם הספק מעביר את המידע לגורם נוסף (שרת, תמיכה, מפתח), ההסכם צריך להתייחס לכך מראש.
- האחריות לא עוברת: תיקון 13 לחוק הגנת הפרטיות הרחיב את סמכויות האכיפה של הרשות להגנת הפרטיות, והחובות ממשיכות לחול על בעל המאגר גם כשהעיבוד מבוצע בידי אחר.
- ספק בחו״ל = שכבה נוספת: העברת מידע מחוץ לישראל כפופה לכללים נפרדים, והם מתווספים ל-DPA ולא מחליפים אותו.
תוכן העניינים
- מה זה הסכם עיבוד מידע ומתי צריך אותו?
- מה התקנות דורשות מההסכם מול ספק?
- אילו סעיפים חייבים להופיע בהסכם עיבוד מידע?
- מי אחראי אם המידע דלף אצל הספק?
- איך בודקים שהספק באמת עומד בהתחייבויות?
- מה משתנה כשהספק נמצא בחו״ל?
- שאלות ותשובות
הסכם עיבוד מידע הוא הסכם כתוב בין בעל מאגר מידע לבין גורם חיצוני שמקבל גישה למידע אישי מטעמו, והוא מגדיר מה מותר לאותו גורם לעשות במידע, באילו תנאי אבטחה, לכמה זמן ומה קורה למידע בסוף הדרך. בעולם האירופי מכירים אותו בשמו האנגלי — Data Processing Agreement, ומכאן הקיצור DPA. בישראל המונח המשפטי המקביל הוא הסדרת ההתקשרות עם מחזיק במאגר, והחובה הזו קמה מתקנות הגנת הפרטיות (אבטחת מידע). כל עסק שמשתמש בספק חיצוני — מערכת CRM, שירות דיוור, חברת הנהלת חשבונות, מפתח אתרים, מוקד טלפוני או ספק אחסון — כבר מעביר מידע אישי לגורם חוץ, וזקוק להסכם כזה. אם אתם עדיין ממפים מול מי בכלל אתם עובדים, כדאי להתחיל מסדר הפעולות המלא לציות לחוק הגנת הפרטיות.
מה זה הסכם עיבוד מידע ומתי צריך אותו?
צריך הסכם עיבוד מידע בכל פעם שגורם חיצוני מקבל גישה למידע אישי של הלקוחות, העובדים או התורמים שלכם — גם אם הגישה טכנית בלבד וגם אם הספק ״לא מסתכל על המידע״. הקריטריון אינו מי מנתח את המידע, אלא מי יכול להגיע אליו. ספק שמאחסן את הגיבויים שלכם, מפתח שיש לו הרשאת אדמין למערכת, או מוקד שירות שרואה פרטי לקוחות — כולם מחזיקים במידע.
ההבחנה המעשית פשוטה: בעל המאגר הוא מי שקובע למה המידע נאסף ומה עושים איתו. המחזיק הוא מי שמעבד את המידע לפי ההוראות שקיבל. הסכם עיבוד מידע הוא הכלי שמעביר את ההוראות האלה מהעולם שבעל פה לעולם הכתוב, כך שגם הספק וגם הרגולטור יכולים לראות מה הוסכם.
מתי הסכם רגיל לא מספיק?
הסכם שירות מסחרי מסדיר מחיר, זמני תגובה ואחריות עסקית — אבל בדרך כלל שותק בכל מה שנוגע למידע. חוזה שכתוב בו רק ״הצדדים ישמרו על סודיות״ אינו עומד בדרישות התקנות, כי הוא לא מגדיר סוגי מידע, מטרות, היקף עיבוד או גורל המידע בסיום. הסכם עיבוד מידע יכול להיות נספח נפרד להסכם השירות, וזו הדרך הנוחה ביותר לנהל אותו.
מה התקנות דורשות מההסכם מול ספק?
תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), תשע״ז-2017, מפרטת רשימת נושאים שהתקשרות עם גורם חיצוני חייבת להסדיר בכתב. זו הרשימה שעליה נבחן ההסכם שלכם אם תיבדקו. אלה הנושאים המרכזיים שהתקנה מונה, לפי נוסח תקנות הגנת הפרטיות (אבטחת מידע), תשע״ז-2017:
| הנושא שההסכם חייב להסדיר | מה זה אומר בפועל |
|---|---|
| סוגי המידע ומטרות השימוש | לפרט אילו שדות מידע הספק מקבל (שם, טלפון, ת״ז, מידע רפואי) ולאיזו מטרה בלבד |
| המערכות שאליהן יש גישה | לנקוב במערכות הספציפיות, לא ״כל מערכות החברה״ |
| סוג העיבוד והיקפו | אחסון בלבד? ניתוח? דיוור? הפקת דוחות? עד איזה נפח ובאילו תנאים |
| תקופת ההתקשרות | מועד תחילה וסיום, וכן מה קורה בהארכה |
| החזרת המידע או השמדתו | מה בדיוק קורה למידע ולגיבויים בסיום — החזרה, מחיקה מאומתת, או שניהם |
| יישום חובות האבטחה | התחייבות הספק לקיים את חובות האבטחה לפי התקנות ברמה המתאימה למאגר |
| סודיות בעלי ההרשאות | התחייבות שהעובדים אצל הספק שיגשו למידע מחויבים לסודיות |
| קבלני משנה | אם הספק נעזר בגורם נוסף — כיצד הדבר מוסדר ובאילו תנאים |
| דיווח תקופתי | דיווח של הספק לבעל המאגר על אופן יישום חובות האבטחה, אחת לשנה לפחות |
שימו לב שהיקף הדרישות משתנה לפי רמת האבטחה שנקבעה למאגר המידע שלכם — מאגר ברמה גבוהה גורר ציפיות מחמירות יותר מהספק מאשר מאגר ברמת אבטחה בסיסית.
אילו סעיפים חייבים להופיע בהסכם עיבוד מידע?
הסכם עיבוד מידע שימושי בנוי מתשעה בלוקים, בסדר הזה. אפשר להשתמש ברשימה כתבנית עבודה מול הספק:
- הגדרת התפקידים — מי בעל המאגר ומי המחזיק, ומי מקבל את ההחלטות לגבי המידע.
- נספח סוגי המידע — טבלה של השדות שמועברים בפועל. זה הסעיף שנוטים לדלג עליו, והוא החשוב ביותר.
- מטרה מוגדרת ואיסור שימוש נלווה — הספק יעבד את המידע רק למטרה שנקבעה, ולא לשיפור המוצר שלו, לאימון מודלים או למחקר, אלא אם הוסכם במפורש.
- הוראות אבטחה קונקרטיות — הצפנה, ניהול הרשאות, אימות זיהוי, תיעוד גישה ובקרה, בהתאמה לרמת האבטחה של המאגר.
- קבלני משנה — רשימה מאושרת, חובת הודעה מראש על שינוי, והחלת אותן חובות על הגורם הנוסף.
- אירועי אבטחה — חובת הודעה מיידית לבעל המאגר, בפירוט מוגדר, וזמן תגובה מקסימלי. זה מה שיאפשר לכם לעמוד בחובות הדיווח שלכם.
- העברה מחוץ לישראל — אם המידע יוצא מהארץ, איפה הוא נשמר ובאיזה מסלול חוקי.
- סיום ההתקשרות — החזרה או השמדה של המידע, לוח זמנים, ואישור כתוב שהמחיקה בוצעה כולל גיבויים.
- ביקורת ודיווח — הדיווח השנתי, זכות לבקש הוכחות, ואפשרות לביקורת או לשאלון אבטחה.
מי אחראי אם המידע דלף אצל הספק?
מול נושאי המידע והרגולטור, האחריות נשארת אצל בעל המאגר. העברת העיבוד לספק מעבירה פעולות — לא חובות. אם דלף מידע מהמערכת של ספק הדיוור שלכם, אתם אלה שצריכים לטפל באירוע, לתעד אותו ולבחון את חובות הדיווח, ולא ״הספק יטפל בזה״.
ההסכם הוא מה שמאפשר לכם שני דברים שאחרת לא יהיו בידיכם: לדרוש מהספק מידע ושיתוף פעולה בזמן אמת בעת אירוע, ולגלגל אליו את הנזק הכספי בדיעבד אם ההפרה נבעה מהתנהלותו. בלי סעיף אירועי אבטחה מסודר תגלו שאתם מחכים לתשובה מספק שאין לו שום מחויבות חוזית לענות לכם בזמן. הפירוט המלא של סדר הפעולות מופיע במאמר על אירוע אבטחת מידע ומתי מדווחים עליו לרשות.
תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025, הרחיב משמעותית את סמכויות האכיפה המנהליות של הרשות להגנת הפרטיות, ובכך העלה את המשקל המעשי של השאלה הזו: הסדרה חלקה מול ספקים הפכה מסיכון תיאורטי לסיכון תקציבי.
איך בודקים שהספק באמת עומד בהתחייבויות?
הכלי שהתקנות נותנות לכם הוא הדיווח התקופתי: לפי תקנה 15, ההתקשרות צריכה לכלול דיווח של הספק לבעל המאגר על אופן יישום חובות האבטחה, אחת לשנה לפחות. בפועל מדובר בשאלון קצר או מסמך התחייבות מעודכן, ובעיקר בכך שמישהו אצלכם קורא אותו ומתייק.
מה בודקים בפועל אחת לשנה?
- האם רשימת קבלני המשנה של הספק השתנתה מאז החתימה.
- האם היו אצלו אירועי אבטחה בשנה החולפת, ואם כן — מה נעשה.
- האם ההרשאות שנתתם לו עדיין תואמות את הצורך, או שנשארו הרשאות עודפות מפרויקט שהסתיים.
- האם השרתים והמידע עדיין נמצאים באותו מקום גיאוגרפי שהוסכם.
הבדיקה הזו משתלבת היטב בעבודה השוטפת של הממונה על הגנת הפרטיות בארגון, ובארגונים קטנים — במי שאחראי על ההתקשרויות.
מה משתנה כשהספק נמצא בחו״ל?
ספק זר דורש שתי שכבות: הסכם עיבוד מידע כרגיל, ובנוסף בסיס חוקי להעברת המידע מחוץ לישראל. רוב כלי ה-SaaS שעסק ישראלי משתמש בהם — דיוור, אחסון, ניתוח נתונים, תמיכה — מאחסנים מידע בשרתים מחוץ לארץ, ולכן הסוגיה הזו נוגעת כמעט לכל עסק דיגיטלי.
בפרקטיקה, ספקים בינלאומיים גדולים מציעים DPA תקני משלהם. זה נוח, אבל שימו לב לשתי נקודות: ראשית, ההסכם שלהם כתוב מנקודת מבטם ולא בהכרח מכסה את דרישות התקנות הישראליות; שנית, הוא בדרך כלל מפנה לרשימת קבלני משנה מקוונת שהם רשאים לעדכן. שווה לתעד את הגרסה שאושרה ואת מועד האישור. הרחבה מלאה נמצאת במאמר על העברת מידע אישי לחו״ל ותנאיה, ועל ההיבט התהליכי במאמר על מיקור חוץ ומאגרי מידע.
עיקרי הדברים
- הסכם עיבוד מידע נדרש מול כל גורם חיצוני שיכול להגיע למידע אישי — לא רק מול מי שמנתח אותו.
- תקנה 15 לתקנות אבטחת מידע מגדירה את רשימת הנושאים שההסכם חייב לכסות, כולל דיווח שנתי של הספק.
- הנספח החשוב ביותר הוא טבלת סוגי המידע והמטרות — הוא זה שמונע ״זליגת שימוש״.
- האחריות כלפי נושאי המידע והרשות נשארת אצל בעל המאגר בכל מקרה.
- ספק בחו״ל מחייב שכבה נוספת של בסיס חוקי להעברה, מעל ה-DPA.
שאלות ותשובות
האם הסכם עיבוד מידע חייב להיות מסמך נפרד?
לא. הוא יכול להיות נספח להסכם השירות או פרק בתוכו. מה שחשוב הוא שהנושאים שהתקנות מונות יופיעו בכתב ובאופן מפורש, ולא שיהיה מסמך בעל כותרת מסוימת.
מה עושים כשספק מסרב לחתום על DPA?
סירוב הוא מידע חשוב בפני עצמו. ניתן להציע גרסה מצומצמת המתמקדת בסוגי המידע, אירועי אבטחה וסיום ההתקשרות. אם גם זה נדחה, יש לשקול את הסיכון מול תועלת השירות ולתעד את ההחלטה, כי החובות שלכם כבעלי המאגר נותרות בתוקף.
האם צריך הסכם עיבוד מידע מול פרילנסר?
כן, אם הוא מקבל גישה למידע אישי. פרילנסר שמנהל את מערכת הדיוור שלכם או מקבל הרשאת ניהול לאתר הוא מחזיק לכל דבר, גם אם אין חברה מאחוריו. במקרים כאלה מקובל להשתמש בנספח קצר לצד הסכם הסודיות.
כמה זמן שומרים הסכמי עיבוד מידע חתומים?
מומלץ לשמור אותם לכל אורך ההתקשרות ולתקופה נוספת אחריה, יחד עם אישור המחיקה או ההחזרה של המידע. זו הראיה שתידרש אם תישאלו בדיעבד מה הוסכם מול הספק ומה נעשה במידע בסיום.
האם DPA אירופי תקני מספיק לעסק ישראלי?
לא בהכרח. DPA שנוסח לצורכי הרגולציה האירופית מכסה חלק גדול מהנושאים, אך אינו נכתב מול תקנות אבטחת המידע הישראליות. הפרקטיקה המקובלת היא לאמץ אותו ולהוסיף נספח שמתייחס לדרישות המקומיות ולרמת האבטחה של המאגר.
המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
לקריאה נוספת ומקורות
- תקנות אבטחת מידע, תקנה 15 – מיקור חוץ
- חוק הגנת הפרטיות, סעיף 17 – אחריות לאבטחת מידע
- תקנות הגנת הפרטיות (אבטחת מידע), תשע״ז-2017 – נוסח מלא (נבו)
- תיקון 13 לחוק הגנת הפרטיות — המדריך המלא לבעלי אתרים
- מיקור חוץ ומאגרי מידע: מה נדרש לפני שנותנים לספק גישה
- העברת מידע אישי לחו״ל: מה מותר להעביר ובאילו תנאים
הסכמי עיבוד במשרדי מקצוע
