כמעט כל עסק ישראלי מבצע היום העברת מידע אישי לחו״ל — גם אם מעולם לא חתם על מסמך שנקרא כך. שירות ענן אמריקאי, מערכת דיוור שהשרתים שלה באירופה, CRM זר, ספק תמיכה טכנית מעבר לים או כלי אנליטיקה שמאחסן מזהי משתמשים בחו״ל — כולם מוציאים מידע אישי אל מחוץ לגבולות המדינה. מאז תיקון 13 לחוק הגנת הפרטיות, שהקנה לרשות להגנת הפרטיות סמכויות אכיפה מנהליות משמעותיות, השאלה הזו הפכה מסוגיה תיאורטית לסיכון רגולטורי ממשי. בבסיס פתרון הציות של Privorify עומדת ההנחה שרוב העסקים לא יודעים בכלל לאן המידע שלהם זורם — וזה בדיוק המקום שבו מתחילות ההפרות.
מה נחשב "העברת מידע אל מחוץ לגבולות המדינה"?
העברה היא כל מצב שבו מידע אישי ממאגר בישראל נשמר, מעובד או נגיש במאגר שנמצא מחוץ לישראל. אין צורך בפעולה אקטיבית של "שליחת קובץ": עצם האחסון של רשימת לקוחות בענן זר, סנכרון אוטומטי של לידים למערכת חיצונית, או מתן גישה מרחוק לספק תמיכה היושב במדינה אחרת — כולם נכנסים להגדרה. גם הרשאת צפייה בלבד היא גישה למידע.
ההשלכה המעשית: מיפוי זרימות המידע בארגון הוא תנאי מקדים לכל דיון משפטי. בלי לדעת אילו מערכות מחזיקות מידע אישי, היכן הן ממוקמות ומי הספק שמאחוריהן, אי אפשר לקבוע אם ההעברה מותרת.
אילו סוגי מידע רגישים במיוחד?
ככל שהמידע רגיש יותר — מידע רפואי, מידע פיננסי, נתוני מיקום, מידע על קטינים או מידע שנאסף מעובדים — כך נדרשת זהירות רבה יותר. מידע שסווג כמידע בעל רגישות מיוחדת מחייב לרוב גם רמת אבטחה גבוהה יותר במאגר המקורי, וההעברה שלו לגורם זר מגדילה את החשיפה בהתאם.
מה הכלל הבסיסי שקובעות התקנות?
הכלל הבסיסי בתקנות הוא שהעברת מידע ממאגר בישראל אל מחוץ לגבולות המדינה מותרת אם הדין במדינה שאליה מועבר המידע מבטיח רמת הגנה על הפרטיות שאינה נופלת מרמת ההגנה הקבועה בדין הישראלי. במילים אחרות — נקודת המוצא היא איסור, והמעביר הוא זה שצריך להצביע על העוגן שמתיר את ההעברה.
מכיוון שהתנאי הזה אינו מתקיים ביחס לכל המדינות, קובעות התקנות רשימת נסיבות חלופיות שבהתקיימן מותרת ההעברה גם למדינה שדינה אינו עומד בתנאי הבסיסי.
אילו מסלולים חלופיים קיימים להעברה?
התקנות מונות שורה של נסיבות שבהן מותר להעביר מידע לחו״ל. אלה המסלולים שנתקלים בהם בפועל בעסקים:
- הסכמת נושא המידע — כאשר האדם שהמידע נוגע אליו הסכים להעברה. הסכמה צריכה להיות מדעת, כלומר לאחר שנמסר לו מידע על מהות ההעברה ומטרתה.
- העברה הנדרשת לצורך התקשרות — כאשר ההעברה חיונית לשם קיום התקשרות בין בעל המאגר לבין נושא המידע, או בין בעל המאגר לצד שלישי לטובת נושא המידע.
- התחייבות המקבל לעמוד בתנאי הדין הישראלי — מסלול תקנה 2(4), שבו מקבל המידע מתחייב לקיים את התנאים החלים על מאגר מידע בישראל, בשינויים המחויבים. זהו המסלול הנפוץ ביותר בהתקשרויות מסחריות עם ספקי שירות זרים.
- מידע שפורסם כדין או הועמד לעיון הציבור ברשות החוק.
- העברה לגוף מאותו תאגיד או במסגרות נוספות שהתקנות מפרטות.
הרשות להגנת הפרטיות פרסמה גילוי דעת שעניינו פרשנות תקנה 2(4), שבו הובהר כי אין די באמירה כללית בחוזה: ההתחייבות צריכה לשקף באמת החלה של סטנדרט ההגנה הישראלי על המידע אצל המקבל.
מה חייב להופיע בהתחייבות בכתב של מקבל המידע?
בנוסף לעוגן שמתיר את ההעברה, מטילות התקנות על בעל המאגר חובה עצמאית: עליו לוודא באמצעות התחייבות בכתב מאת מקבל המידע שהמקבל נוקט אמצעים מספיקים להבטחת פרטיותם של נושאי המידע, ושהמידע לא יועבר על ידו לאדם אחר — בין באותה מדינה ובין במדינה אחרת.
מכאן שהסכם ההתקשרות עם ספק זר צריך לכלול, כמינימום:
| רכיב | מה הוא נועד להשיג |
|---|---|
| הגדרת מטרת השימוש | שהספק לא יעשה במידע שימוש מעבר למה שנדרש לשירות |
| איסור העברה לצד שלישי | מניעת שרשור המידע לקבלני משנה בלי אישור |
| אמצעי אבטחת מידע | הצפנה, בקרת גישה, ניהול הרשאות ותיעוד |
| דיווח על אירוע אבטחה | שבעל המאגר יוכל לעמוד בחובות הדיווח שלו בישראל |
| מחיקה או השבה בתום ההתקשרות | שהמידע לא יישאר אצל הספק ללא עוגן |
| זכות ביקורת ופיקוח | יכולת מעשית לוודא שההתחייבות מקוימת |
האם ההעברה משחררת את בעל המאגר מאחריות?
לא. זו אולי הטעות הנפוצה ביותר. העברת מידע לספק חיצוני — בישראל או בחו״ל — אינה מעבירה את האחריות. בעל המאגר נותר החייב העיקרי בחובות אבטחת המידע, בחובת הפיקוח על מי שפועל מטעמו ובחובות כלפי נושאי המידע. אם ספק זר דלף, האירוע הוא אירוע אבטחה של המאגר הישראלי לכל דבר, על כל המשתמע מכך.
לכן הבחירה בספק היא החלטת ציות, לא רק החלטת רכש. הדברים משתלבים ישירות עם הכללים החלים על מיקור חוץ ומאגרי מידע ועם תקנות אבטחת מידע.
איך נערכים לזה בפועל?
סדר פעולות מעשי שמתאים לעסק קטן-בינוני:
- מיפוי — רשימה של כל המערכות שמחזיקות מידע אישי, מי הספק ואיפה המידע מאוחסן.
- סיווג — אילו מהן מוציאות מידע מחוץ לישראל, ומהי רגישות המידע בכל אחת.
- איתור עוגן — לכל העברה, איזה מסלול בתקנות מתיר אותה.
- תיעוד חוזי — התחייבות בכתב מהספק, כולל הרכיבים שבטבלה למעלה.
- עדכון מסמכי הפרטיות — מדיניות הפרטיות והיידוע ללקוח צריכים לשקף שהמידע עשוי לעבור לחו״ל.
- בקרה תקופתית — ספקים מתחלפים ומערכות משתנות; מיפוי חד-פעמי מתיישן מהר.
מי שמתחיל את התהליך מאפס ימצא רקע רחב יותר במדריך המלא לתיקון 13 לבעלי אתרים.
שאלות ותשובות
האם שימוש בשירות ענן זר נחשב העברת מידע לחו״ל?
כן. אחסון או עיבוד של מידע אישי בשרתים הממוקמים מחוץ לישראל נחשב העברה אל מאגר שמחוץ לגבולות המדינה, גם אם לא בוצעה שליחה ידנית של קבצים ואפילו אם הגישה היא לצפייה בלבד.
מספיק שהספק חתום על הסכם סטנדרטי שלו?
לרוב לא. התקנות מחייבות התחייבות בכתב מצד מקבל המידע לנקוט אמצעים מספיקים להגנת הפרטיות ולא להעביר את המידע לאדם אחר. הסכם שירות כללי שאינו כולל את ההתחייבויות האלה אינו ממלא את הדרישה.
מה זה מסלול תקנה 2(4)?
זהו מסלול שבו מקבל המידע בחו״ל מתחייב לקיים את התנאים החלים על מאגר מידע בישראל, בשינויים המחויבים. הרשות להגנת הפרטיות פרסמה גילוי דעת בנושא פרשנות התקנה, שבו הובהר כי נדרשת החלה ממשית של סטנדרט ההגנה ולא ניסוח כללי בלבד.
אם הלקוח הסכים — אפשר להעביר כל מידע לכל מקום?
הסכמת נושא המידע היא אחת הנסיבות שהתקנות מכירות בהן, אך היא צריכה להיות הסכמה מדעת, ולצידה עדיין חלה החובה לקבל התחייבות בכתב מהמקבל. בנוסף, חובות אבטחת המידע והפיקוח של בעל המאגר ממשיכות לחול.
מי אחראי אם ספק בחו״ל דולף מידע של לקוחותיי?
האחריות כלפי הדין הישראלי נשארת אצל בעל המאגר. אירוע אצל ספק שפועל מטעמכם הוא אירוע אבטחת מידע של המאגר שלכם, על חובות הטיפול והדיווח הנגזרות ממנו.
הבהרה: המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
לקריאה נוספת ומקורות
- תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א-2001 — תקנה 1: הגבלת העברה של מידע לחו״ל; תקנה 2: תנאים להעברת מידע לחו״ל; תקנה 3: התחייבות להבטחת פרטיות (ויקיטקסט)
- תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי), התשפ״ג-2023 (ויקיטקסט)
- הרשות להגנת הפרטיות — הנחיות ועמדות רשמיות
- הסכם עיבוד מידע (DPA) עם ספק: מה חייב להיכלל בו
- מיקור חוץ ומאגרי מידע: מה נדרש לפני שנותנים לספק גישה
