העברת מידע מהמאגר לגורם חיצוני: מה דורשות התקנות

תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017, היא הסעיף שרוב העסקים בישראל מגלים מאוחר מדי. היא עוסקת במצב השגרתי ביותר: בעל מאגר נותן לגורם חיצוני — ספק תוכנה, מוקד שירות, משרד הנהלת חשבונות, כלי דיוור — גישה למידע האישי שבמאגר. התקנה קובעת שלפני שזה קורה צריך לבחון את הסיכון, להסדיר את ההתקשרות בהסכם, ולקבוע מנגנון דיווח של פעם אחת לפחות מדי שנה על אופן יישום החובות.

למה זה בכלל נחשב העברת מידע

האינטואיציה של רוב העסקים היא שהמידע "נשאר אצלנו" כל עוד הוא לא נמכר לאף אחד. החוק הישראלי, בנוסחו אחרי תיקון 13 לחוק הגנת הפרטיות שנכנס לתוקף ב־14 באוגוסט 2025, מסתכל אחרת. ההגדרה של עיבוד ושימוש במידע כוללת קבלה, איסוף, אחסון, העתקה, עיון, גילוי, חשיפה, העברה, מסירה ומתן גישה. כלומר — גם מצב שבו אף אחד לא "לקח" שום דבר, אלא רק פתח מסך וראה את הנתונים, נכנס להגדרה.

מכאן נגזר שהרשימה של מה שנחשב העברה ארוכה בהרבה ממה שנדמה. חברת תוכנה שמחזיקה את מערכת הלקוחות שלכם, מוקד תמיכה שיש לו הרשאת צפייה בכרטיס הלקוח, ספק שמבצע גיבוי, משרד חיצוני שמקבל קובץ שכר אחת לחודש — כולם גורמים חיצוניים שמקבלים גישה למאגר. השאלה אינה מי הבעלים של המידע, אלא מי יכול להגיע אליו בפועל.

המשמעות המעשית: לפני שמחתימים ספק חדש, שווה לעצור ולשאול שלוש שאלות שמסדרות את כל התמונה — מה בדיוק הוא יראה, מאיפה הוא יראה את זה, ומי עוד עומד מאחוריו. השאלה השלישית היא זו שהכי מרבה להישכח, כי ספק אחד כמעט תמיד נשען על ספקי משנה משלו.

לפני שחותמים: חמישה שלבים לפי תקנה 15

תקנה 15 בנויה כרצף ולא כרשימת-מכולת. היא מתחילה בבחינת סיכונים לפני ההתקשרות, ממשיכה בהסדרה חוזית, ומסתיימת בפיקוח שנמשך לאורך חיי ההתקשרות. הסדר חשוב: בדיקה אחרי החתימה כבר לא עונה על הדרישה.

• בודקים אם המידע בכלל נחוץ השאלה הראשונה אינה "איך מעבירים בבטחה" אלא "האם צריך להעביר". ספק שמנהל עבורכם קמפיין דיוור לא בהכרח זקוק לתעודת זהות, לתאריך לידה או להיסטוריית הרכישות המלאה. כל שדה שלא עובר — הוא שדה שלא צריך להגן עליו אצל הספק, לא צריך לנטר ולא צריך למחוק בסוף.
• מגדירים את היקף המידע המועבר כותבים במפורש אילו סוגי מידע נמסרים, באיזה נפח ולאיזו מטרה. כאן נכנסת גם שאלת הרגישות: מידע רפואי, פיננסי, ביומטרי או מידע על קטינים מצדיק זהירות גבוהה יותר ולעיתים גם דין מגזרי נוסף.
• בוחנים את רמת האבטחה אצל הספק איך הוא מצפין, איך הוא מנהל הרשאות, האם הוא שומר תיעוד גישות, האם יש לו הסמכה כמו ISO/IEC 27001, ומי מהעובדים שלו יוכל לגעת במידע. חשוב להבין: הסמכה היא ראיה תומכת, לא אישור אוטומטי שהספק "עומד בתקנות" — הרשות להגנת הפרטיות הוציאה הנחיה ייעודית (הנחיה 3/2018) בדיוק בשאלת היחס בין ISO/IEC 27001 לתקנות הישראליות.
• מסדירים את ההתקשרות בהסכם ההסכם הוא המקום שבו כל ההבנות הופכות מחייבות: מטרה, סוגי מידע, משך החזקה, סודיות, קבלני משנה, אירועי אבטחה וסיום ההתקשרות.
• קובעים בקרה תקופתית תקנה 15 מדברת על דיווח של הגורם החיצוני לבעל המאגר, אחד לפחות מדי שנה, על אופן יישום החובות. בפועל זה אומר שצריך מנגנון קבוע — לא תזכורת שמישהו שם לעצמו ושוכחים ממנה בשנה השנייה.

מה ההסכם עם הספק חייב לכסות

אין נוסח אחד שמתאים לכולם, ולכן העמוד הזה אינו תבנית חוזה. אבל יש גרעין של נושאים שבלעדיהם קשה להראות שההתקשרות הוסדרה. אם סעיף מהרשימה הזאת חסר לגמרי — זו בדרך כלל נקודת הכישלון הראשונה בבדיקה.

• מטרת השימוש. לשם מה בדיוק הספק מקבל את המידע, ואיסור מפורש להשתמש בו למטרה אחרת — כולל שימוש עצמאי, מחקר פנימי או אימון מודלים.
• סוגי המידע. אילו שדות ומסמכים עוברים. ניסוח כמו "מידע רלוונטי" אינו הגדרה אלא דחייה של ההחלטה.
• משך ההחזקה. כמה זמן הספק רשאי להחזיק את המידע, ומה קורה לגיבויים שלו באותה תקופה.
• השבה או השמדה בסיום. מה קורה ביום שההתקשרות נגמרת — החזרה, מחיקה, או שניהם בסדר מסוים — ואישור בכתב שהמחיקה בוצעה, כולל אצל קבלני משנה.
• דיווח על אירוע אבטחה. הגדרה מה נחשב אירוע, מי מודיע למי, תוך כמה זמן, ומה הספק מחויב למסור כדי שתוכלו לעמוד בחובות שלכם מול הרשות ומול נושאי המידע.

מעבר לחמשת אלה, שני נושאים נוספים חוזרים כמעט תמיד: סודיות — חובה אישית של עובדי הספק ולא רק של התאגיד, וקבלני משנה — רשימה שמית, המדינות שבהן הם פועלים, חובת הודעה מראש על שינוי, והחלת אותן חובות עליהם. סעיף שמתיר לספק "להיעזר בצדדים שלישיים לפי שיקול דעתו" מרוקן את כל השרשרת מתוכן.

נושא האירועים ראוי לתשומת לב נפרדת, כי שם המתח בין האינטרסים הכי חד: הספק רוצה לבדוק לעומק לפני שהוא מודיע, ואתם צריכים את המידע מהר כדי להחליט מה לעשות. את הפירוט המלא של מה שנדרש מכם כשמתרחש אירוע — התחקיר, התיעוד והדיווח — מכסה עמוד אירוע אבטחת מידע חמור, וכאן מספיק לקבוע שהחוזה חייב להזרים אליכם את הנתונים בזמן שמאפשר לפעול.

ספק בישראל מול מערכת מאוחסנת בחו"ל

כאן נכנסת לתמונה שכבת דין שנייה. תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א–2001, מסדירות יצוא מידע אישי ממאגר בישראל. המבנה שלהן פשוט יחסית: תקנה 1 עוסקת ברמת ההגנה בדין מדינת היעד; תקנה 2 קובעת שמונה חלופות היתר לשימוש כשאי אפשר להישען על תקנה 1; ותקנה 3 עוסקת בהתחייבות בכתב של מקבל המידע ובשאלת העברה נוספת ממנו הלאה.

הרשות להגנת הפרטיות מתארת את תקנה 2 כרשימה סגורה של שמונה תנאים חלופיים — כלומר צריך להצביע על אחד מהם בשם, לא להסתפק בתחושה שההעברה סבירה. החלופה שמשמשת בפועל מול ספקי ענן ו־SaaS היא בדרך כלל זו שבה המקבל מתחייב בהסכם לקיים את התנאים לאחזקת מידע ולשימוש בו החלים בישראל, בשינויים המחויבים. הרשות פרסמה בעניינה גילוי דעת סופי ב־13 באפריל 2026, שמבהיר שאין לפרש את "השינויים המחויבים" לפי נוחות הספק.

נקודה נוספת שנוטים לפספס: תקנה 3 לא עוסקת רק בספק הראשי אלא גם בשאלה לאן המידע ממשיך ממנו. הרשות פרסמה ב־13 באוקטובר 2024 גילוי דעת בעניין העברה נוספת, שמאפשר להסדיר העברת המשך כשההעברה הנוספת עומדת בעצמה בתקנות או נשענת על ערובות מוכרות אחרות. התרגום המעשי: החוזה צריך לכלול רשימת קבלני משנה ומדינותיהם, מנגנון הודעה על שינוי וזכות להתנגד או לסיים.

ומה אם המאגר כולל מידע שהגיע מהאזור הכלכלי האירופי? אז נכנסות תקנות 2023 הייעודיות, ומ־1 בינואר 2025 הן חלות גם על מידע אישי אחר המצוי באותו מאגר לצד המידע האירופי, בכפוף לחריגים שבתקנות. זה אומר שמאגר מעורב דורש סימון מקור, אחרת החובות מתפזרות על כל הקובץ.

מקרה־קצה: מעלים קובץ לקוחות לכלי CRM

התרחיש השכיח ביותר בעסק קטן ובינוני: מישהו בשיווק מייצא קובץ לקוחות מהמערכת הקיימת — שם, טלפון, אימייל, לפעמים גם היסטוריית רכישות — ומעלה אותו לכלי דיוור או CRM בענן כדי להריץ קמפיין. הפעולה לוקחת שתי דקות ולא עוברת דרך אף אחד. מבחינת החוק, זו העברת מידע אישי לגורם חיצוני, ולעיתים גם יצוא מידע מישראל.

מסמך הגדרות המאגר — המסמך שתקנות אבטחת המידע דורשות — הוא המקום שבו זה צריך להופיע. הוא לא נועד להיות טופס שממלאים פעם אחת ומתייקים; הוא נועד לשקף את המציאות. כשמוסיפים כלי ענן, אלה הפריטים שצריכים להתעדכן:

• זהות המחזיק. שם הגורם החיצוני, מי הוא מבחינה משפטית, ומהו תפקידו ביחס למידע.
• סוגי המידע שהועלו. לא "פרטי לקוחות" אלא רשימת השדות בפועל — ואם הקובץ כלל עמודות שלא היו נחוצות, זו ההזדמנות לגלות את זה.
• מטרת השימוש. המטרה שלשמה המידע נאסף מלכתחילה, והאם השימוש בכלי החדש נכנס לתוכה. שימוש שחורג ממטרת האיסוף הוא בעיה בפני עצמה, בלי קשר לספק.
• מיקום האחסון. היכן הנתונים יושבים, היכן הגיבוי, ומאיזו מדינה ניתנת תמיכה טכנית.
• מערכות וממשקים. העובדה שקיים ממשק או ייצוא ידני בין המאגר לכלי החיצוני, ומי מורשה לבצע אותו.
• בעלי ההרשאות. מי בארגון יכול להעלות קבצים לכלי, ומי אצל הספק יכול לראות אותם.
• תקופת החזקה ומחיקה. מתי הרשימה שהועלתה נמחקת מהכלי, וכיצד מוודאים זאת.

נקודה שחשוב להיות מדויקים לגביה: אין שירות ענן שאפשר לומר עליו שהוא "עומד בתקנות" הישראליות. התקנות חלות על בעל המאגר, לא על הכלי. ספק יכול לספק תשתית טובה, הסמכות, והסכם עיבוד מסודר — אבל ההחלטה אילו נתונים להעלות, לאיזו מטרה ולכמה זמן נשארת שלכם, וכך גם האחריות עליה.

בקרה שוטפת: מה עושים אחרי החתימה

החלק שהכי קל לדחות. תקנה 15 מדברת על דיווח תקופתי ועל פיקוח במהלך ההתקשרות — כלומר ההנחה היא שמשהו משתנה עם הזמן, וזה נכון: ספקים מחליפים קבלני משנה, מעבירים שרתים, מוסיפים תכונות שמעבדות מידע באופן חדש, ומשנים את מדיניות השמירה שלהם.

• לקבל מהספק את הדיווח השנתי בפועל — ולקרוא אותו, לא רק לתייק.
• לוודא שרשימת ההרשאות אצלכם ואצלו עדיין תואמת את מי שבאמת צריך גישה.
• לבדוק אם חלו שינויים במיקום האחסון, בקבלני המשנה או במדינות שמהן ניתנת תמיכה.
• לוודא שמסמך הגדרות המאגר ומדיניות הפרטיות שפרסמתם עדיין מתארים את המציאות.
• לבדוק שמידע של ספקים שהתקשרות איתם הסתיימה אכן נמחק, ושיש על כך אישור.

הבקרה הזאת לא עומדת בפני עצמה — היא חלק מהמערך שמוסדר בנוהל אבטחת המידע ובמסמך מדיניות אבטחת המידע, ואת התמונה הרחבה של מערכת החובות מרכז עמוד העוגן של תקנות אבטחת מידע. אין טעם לכפול כאן את הפרקים האלה; הנקודה היחידה שחשוב לחבר היא שהספק החיצוני הוא חלק מהיקף האבטחה שלכם, ולא מחוץ לו.

לגבי אכיפה: תיקון 13 הרחיב את סמכויות הפיקוח והעיצומים של הרשות. גובה עיצום תלוי בסעיף שהופר, בסוג המאגר, ברמת האבטחה ובהיקף המידע — כך שאין "קנס קבוע" להעברת מידע לספק או לחו"ל. כדי לסבר את האוזן בלבד: דוח מבקר המדינה הצביע על עיצום אפשרי של עד 320,000 ש״ח למאגר ברמת אבטחה גבוהה בגין אי־ביצוע סקרי סיכונים ומבדקי חדירות — דוגמה רשמית, לא סכום אוטומטי ולא סכום שמיוחד להעברת מידע.

תוכן עניינים בסדרה

מקורות

• תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017 — הרשות להגנת הפרטיות, gov.il (תקנה 15: מיקור חוץ, דיווח אחד לפחות מדי שנה)
• תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א–2001 — נוסח הדין
• גילוי דעת של הרשות להגנת הפרטיות בעניין פרשנות תקנה 2(4) — 13.4.2026
• חוק הגנת הפרטיות (תיקון מס׳ 13), ספר החוקים 3287 — הכנסת, 14.8.2024
• תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי), התשפ״ג–2023
• דוח הנציבות האירופית על בדיקת החלטות הנאותות, ובהן ישראל — 15.1.2024

נכון ל־29/10/2026.