הסכם DPA (Data Processing Agreement, הסכם עיבוד מידע) הוא החוזה שמסדיר מה מותר לספק חיצוני לעשות עם מידע אישי שאתם מעבירים אליו: מה הוא רשאי לעבד, איך הוא מאבטח את המידע, למי אסור לו להעביר אותו, ומה קורה בסוף ההתקשרות. צריך הסכם כזה מול כל ספק שמקבל גישה למידע אישי, גם אם הוא לא משתמש בו בפועל: ענן, CRM, דיוור, שיווק, מוקד שירות או אחסון.
כמעט בכל ארגון שאני מלווה, מיפוי הספקים מגלה הפתעות. "יש לנו חברת דיוור, ספק ענן ומשרד הנהלת חשבונות". ואז מתברר שיש גם פרילנסר שמנהל את הקמפיינים, תוסף צ'אט באתר וחברת מצלמות. לכל אחד מהם יש גישה למידע אישי.
והאחריות על המידע הזה נשארת אצלכם.
מתי צריך הסכם DPA?
הכלל פשוט: אם לספק יש גישה, או גישה אפשרית, למידע אישי שאתם אחראים עליו, צריך הסכם. השאלה היא לא רק אם המידע רגיש, אלא אם הספק יכול להגיע אליו. תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, מחייבות להסדיר את ההתקשרות עם ספק שמעבד מידע בשבילכם, ותיקון 13, שנכנס לתוקף ב-14.8.2025, החמיר את האכיפה.
מול אילו ספקים חותמים הסכם DPA?
- שירותי ענן, שרתים ואחסון.
- מערכות CRM וניהול לקוחות.
- מערכות דיוור, אוטומציה וניהול לידים.
- משווקים דיגיטליים, פרילנסרים ומוקדי שירות שעובדים עם המידע.
- חברות שכר והנהלת חשבונות.
- חברות אבטחה עם מצלמות והקלטות.
מידע אישי רגיל ומידע בעל רגישות מיוחדת
ההסכם צריך להתאים לסוג המידע. מידע אישי הוא כל פרט שמזהה אדם או שאפשר לקשר אליו: שם, טלפון, אימייל, פרטי חשבון. תיקון 13 קבע קטגוריה של "מידע בעל רגישות מיוחדת", שכוללת, בין היתר, מידע רפואי, גנטי וביומטרי, נטייה מינית, דעות פוליטיות ואמונות, ועבר פלילי.
| מידע אישי רגיל | מידע בעל רגישות מיוחדת | |
|---|---|---|
| אבטחה | לפי רמת הסיכון: מערכות מוגנות, הרשאות, סודיות | מחמירה: הצפנה, בקרות גישה מתקדמות, תיעוד וניטור |
| רישום או הודעה לרשות | רישום מאגר נדרש היום רק במקרים מצומצמים | מאגר עם מידע כזה על יותר מ-100,000 אנשים מחייב הודעה לרשות תוך 30 יום |
| הסכם DPA | נדרש כשלספק יש גישה | נדרש, עם סעיפי אבטחה והתחייבויות מחמירים יותר |
| סיכון בהפרה | אכיפה ועיצומים | עיצומים גבוהים יותר, תביעות ופגיעה במוניטין |
עובדים עם ספקים שמקבלים מידע אישי?
השאירו פרטים ונמפה יחד את הספקים ואת ההסכמים שחסרים.
מה חייב להיות בהסכם DPA?
- אילו סוגי מידע מעובדים, ולאילו מטרות.
- מה מותר לספק לעשות עם המידע, ומה אסור. כולל איסור להשתמש בו לצרכים של הספק עצמו.
- אמצעי האבטחה שהספק מתחייב להם.
- הגבלה על העברה לצד שלישי ועל קבלני משנה.
- חובת דיווח מיידי על אירוע אבטחה.
- מחיקה או החזרה של המידע בסוף ההתקשרות.
- זכות שלכם לבקר, לבקש דיווח ולוודא שהספק עומד בהסכם.
- שיתוף פעולה כשאדם מבקש לעיין במידע שלו, לתקן אותו או למחוק אותו.
אל תשתמשו בהסכם אחד לכל הספקים. הסכם מול חברת ענן שונה מהסכם מול פרילנסר שמנהל קמפיינים. כל הסכם צריך להתאים לשירות ולמידע שהספק נחשף אליו.
מתי לבדוק ולעדכן את ההסכם
- כשמתחילים לעבוד עם ספק חדש, לפני שהוא מקבל גישה.
- כשהשירות משתנה: ספק אחסון חדש, אוטומציה חדשה, הרחבה של השירות.
- כשיש שינוי רגולציה, כמו תיקון 13.
- פעם בשנה, במסגרת בדיקת פרטיות שוטפת.
ארגונים שעובדים עם הרבה ספקים ומאגרי מידע צריכים לבדוק גם אם הם חייבים במינוי ממונה. כתבתי על זה במאמר על תפקיד ממונה הגנת הפרטיות. ומי שעובד עם עמותה, יכול לקרוא גם על הגנת הפרטיות בעמותות.
שורה תחתונה
הסכם DPA הוא לא עוד מסמך במגירה. הוא מה שמגדיר מי אחראי למה כשמשהו משתבש אצל ספק. ב-WEB-A אנחנו ממפים את הספקים, מנסחים ומתאימים הסכמי DPA ומלווים ארגונים בעמידה בתיקון 13 לחוק הגנת הפרטיות. השאירו פרטים ונבנה יחד תוכנית מסודרת.
שאלות נפוצות על הסכם DPA
מה זה הסכם DPA?
הסכם עיבוד מידע בין ארגון לבין ספק חיצוני שמקבל גישה למידע אישי. הוא קובע מה הספק רשאי לעשות עם המידע, איך הוא מאבטח אותו ומה קורה בסוף ההתקשרות.
האם צריך הסכם DPA גם עם ספק קטן או פרילנסר?
כן. מה שקובע הוא הגישה למידע, לא גודל הספק. פרילנסר שמנהל רשימת לקוחות או קמפיינים עם פרטים אישיים צריך הסכם מותאם.
מה ההבדל בין הסכם DPA למדיניות פרטיות?
מדיניות פרטיות מסבירה לגולשים וללקוחות מה אתם עושים עם המידע שלהם. הסכם DPA הוא חוזה ביניכם לבין ספק, שמגדיר מה הוא רשאי לעשות עם המידע.
כל כמה זמן צריך לעדכן הסכמי DPA?
כשמתחילים עם ספק, כשהשירות משתנה וכשיש שינוי רגולציה. בנוסף, אני ממליץ לעבור על כל ההסכמים פעם בשנה.
המידע במאמר זה נועד לידע כללי בלבד ואינו מהווה ייעוץ משפטי. בכל עניין או סוגיה משפטית יש להתייעץ עם עורך דין.
מומחה להנגשת אתרי אינטרנט וקצין הגנת פרטיות מוסמך (DPO). מעל 9 שנות ניסיון בליווי ארגונים לעמידה בתקנות הנגישות, ת"י 5568 ובחוק הגנת הפרטיות.
חושבים שהאתר שלכם חשוף?
אל תישארו עם התחושה. שלחו כתובת אתר ונחזור אליכם עם תמונת מצב ראשונית, בלי התחייבות.