מותר להעביר מידע אישי ממאגר מידע בישראל לחוץ לארץ בשתי דרכים. הראשונה היא כשהדין במדינת היעד מגן על המידע לפחות כמו הדין בישראל. השנייה היא כשמתקיים אחד משמונה מקרים שהתקנות מונות. בשתי הדרכים צריך גם התחייבות בכתב ממי שמקבל את המידע.
אם המידע שלכם יושב אצל ספק ענן או SaaS בארה״ב או באירופה, בפועל זה אומר שלושה דברים: הסכם עם כל ספק, רשימה מסודרת של הספקים, ומדיניות פרטיות שאומרת שהמידע מעובד מחוץ לישראל.
הכלל: הגנה שאינה פחותה מזו שבישראל
נקודת המוצא היא איסור. תקנה 1 לתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א–2001, אוסרת להעביר מידע ממאגר בישראל אל מחוץ לגבולות המדינה, ואוסרת לאפשר העברה כזו, אלא אם הדין במדינה שאליה הוא מגיע מבטיח רמת הגנה שאינה פחותה מזו שבדין הישראלי, בשינויים המחויבים. כלומר, ההשוואה היא בין החוק שם לחוק כאן.
שמונה מקרים שבהם ההעברה מותרת
גם כשהדין במדינת היעד לא עומד ברף הזה, תקנה 2 מתירה להעביר מידע לחו״ל אם מתקיים אחד משמונת המקרים שהיא מונה, לפי הסדר הזה:
- האדם שהמידע עליו הסכים להעברה.
- אי אפשר לקבל את הסכמתו של האדם, וההעברה הכרחית כדי להגן על בריאותו או על שלמות גופו.
- המידע מועבר לתאגיד שבשליטתכם, וההגנה על הפרטיות הובטחה גם אחרי ההעברה. לפי הלשון, זה מכסה תאגיד שהמעביר שולט בו, ולא את חברת האם שלו.
- מקבל המידע התחייב בהסכם איתכם לקיים את התנאים שחלים על החזקת מידע ועל השימוש בו במאגר בישראל, בשינויים המחויבים.
- המידע פורסם לציבור, או הועמד לעיון הציבור, מכוח סמכות שבדין.
- ההעברה הכרחית כדי להגן על שלום הציבור או על ביטחונו.
- הדין בישראל מחייב את ההעברה.
- המידע מועבר למאגר במדינה מסוימת: מדינה שהיא צד לאמנה האירופית להגנה על הפרט בעיבוד אוטומטי של מידע, הידועה כאמנה 108 של מועצת אירופה; מדינה שמקבלת מידע ממדינות הקהילה האירופית באותם תנאים; או מדינה שרשם מאגרי המידע הודיע ברשומות שיש בה רשות שתפקידה להגן על הפרטיות, ושהוא הגיע איתה להסדר על שיתוף פעולה.
התחייבות בכתב בכל העברה
בכל העברה, בכל אחת משתי הדרכים, תקנה 3 מחייבת אתכם לקבל ממקבל המידע התחייבות בכתב. הוא מתחייב שהוא נוקט אמצעים מספיקים כדי לשמור על פרטיותם של האנשים שהמידע עליהם, ושלא יעביר את המידע לאף אחד אחר, לא באותה מדינה ולא במדינה אחרת.
אבל ספקי ענן נעזרים בדרך כלל בספקי משנה, ולכן השאלה מה קורה בהעברה הלאה עולה כמעט תמיד. לפי גילוי דעת של הרשות להגנת הפרטיות מ־13 באוקטובר 2024, האיסור על העברה הלאה לא חל אם אתם, בעלי המאגר בישראל, הסכמתם לה בכתב. זה בשני תנאים: ההעברה לצד השלישי הייתה חוקית אילו נעשתה בתוך ישראל, והיא הייתה עומדת בתנאי תקנה 1 או 2 אילו נעשתה ישירות מישראל. לפי אותו גילוי דעת, ההתחייבות יכולה לכלול גם ערובות מקובלות אחרות שאינן זהות לדין הישראלי, למשל עמידה ב־GDPR. חשוב לזכור שזו פרשנות של הרשות להגנת הפרטיות, ולא מה שכתוב בתקנות עצמן.
אחסון מידע בענן בחו״ל: שרתים בארה״ב או באירופה
מידע שנשמר אצל ספק על שרתים מחוץ לישראל יוצא מישראל, ולכן צריך לו בסיס באחת משתי הדרכים. גילוי דעת של הרשות להגנת הפרטיות מ־13 באפריל 2026 מתייחס במפורש גם להעברה למחזיק שנמצא מחוץ לישראל, כלומר לספק שמעבד את המידע עבורכם.
כשהשרתים באיחוד האירופי, הבסיס הוא בדרך כלל המקרה של מדינות מסוימות שבתקנה 2(8), כי כל מדינות האיחוד הן צד לאמנה 108. ארה״ב אינה צד לאמנה, ולכן מול ספק מסחרי בארה״ב הבסיס המעשי הוא בדרך כלל הסכם לפי תקנה 2(4), שבו הספק מתחייב לקיים את התנאים שחלים על מאגר בישראל.
מה צריך להיות בהסכם עם הספק
כשההעברה נשענת על הסכם כזה, גילוי הדעת מ־13 באפריל 2026 מפרט מה צריך להיות בו. גם כאן מדובר בפרשנות של הרשות להגנת הפרטיות, לא בחקיקה. לפי הפרשנות הזו, המילים "בשינויים המחויבים" הן מבחן אובייקטיבי. כלומר, הנסיבות האישיות או הארגוניות של מקבל המידע לא פוטרות אותו מהתנאים.
"הסכם להעברת מידע אישי בין בעל שליטה במאגר מידע בישראל לבין גורם מחוץ לישראל חייב לכלול התחייבות של מקבל המידע לקיים כלפי נושאי המידע התחייבויות הזהות, או שתוכנן דומה באופן מהותי, לאלו הקבועות בחוק הגנת הפרטיות הישראלי."
בין היתר, הספק צריך להתחייב להשתמש במידע רק למטרה שלשמה הוא נמסר לכם, לאפשר לאנשים לעיין במידע עליהם ולבקש לתקן או למחוק אותו, ולשמור על סודיות. הוא צריך גם להתחייב לחובות המהותיות שבתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017. במקום זה הוא יכול להחזיק בהסמכה לתקן ISO/IEC 27001, ולעמוד בנוסף בדרישות מתוך תקנות אבטחת המידע שהרשות להגנת הפרטיות מונה לשם כך בהנחיה 3/2018.
אם במאגר יש גם מידע שהגיע מהאזור הכלכלי האירופי, הספק צריך להתחייב גם לחובות המהותיות שבתקנות 3–7 לתקנות על מידע כזה, שעליהן נרחיב בפרק הבא. וחשוב לדעת שהעברה על בסיס הסכם לא פוטרת אתכם, וגם לא את הספק, מהחובות שלכם לפי החוק והתקנות.
מידע שהגיע מהאזור הכלכלי האירופי
תקנות נפרדות, תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי), התשפ״ג–2023, חלות על מידע במאגר בישראל שהגיע ממדינות האיחוד האירופי, מאיסלנד, מנורווגיה או מליכטנשטיין. הן לא חלות על מידע שאדם העביר בעצמו ובמישרין על עצמו. מ־1 בינואר 2025 הן חלות גם על כל מידע אחר באותו מאגר.
התקנות האלה מוסיפות כמה חובות. הראשונה, בתקנה 3 שלהן, היא מחיקה לפי בקשה. אדם רשאי לבקש בכתב שתמחקו מידע עליו אם הוא נאסף שלא כדין, אם המשך השימוש בו אינו חוקי, או אם הוא כבר לא נחוץ למטרה שלשמה נאסף. יש לכך חריגים, ואת ההחלטה צריך למסור לו בכתב, מוקדם ככל האפשר.
החובה השנייה, בתקנה 4, היא צמצום. צריך מנגנון שמוודא שלא נשאר במאגר מידע שכבר לא נחוץ, ושמוחק אותו מוקדם ככל האפשר. זה לא נדרש אם כבר אי אפשר לזהות מהמידע את האדם באמצעים סבירים, או אם חל חריג.
החובה השלישית, בתקנה 6, היא יידוע. אתם צריכים להודיע לאדם, בהקדם האפשרי אחרי שקיבלתם את המידע ולכל המאוחר בתוך חודש, ישירות או דרך מי שהעביר לכם אותו. ההודעה אומרת מי בעל המאגר ומי מנהל המאגר ואיך פונים אליהם, מה מטרת ההעברה, איזה סוג מידע מדובר, ושיש לאדם זכות לעיין במידע, לתקן אותו ולבקש למחוק אותו. אם אתם רוצים להעביר את המידע לצד שלישי, צריך הודעה נוספת, מוקדם ככל האפשר ולכל המאוחר עם ההעברה. גם כאן יש חריגים.
החובות נכנסו לתוקף בשלבים (תקנה 9). למידע שהתקבל מ־7 באוגוסט 2023 הן חלות מאותו יום, למידע שהתקבל לפני כן הן חלות מ־7 במאי 2024, ולשאר המידע באותו מאגר מ־1 בינואר 2025.
אם המידע הגיע מהאיחוד האירופי, ייתכן שחלים עליו גם כללי ה־GDPR, הרגולציה האירופית, על העברה הלאה. זה יכול לקרות דרך החוזה עם הלקוח האירופי או ישירות. הרחבנו על כך במאמר האם החברה שלכם צריכה עמידה ב־GDPR?
מה צריך להיות במקום
- הסכם או נספח עיבוד נתונים (DPA) עם כל ספק בחו״ל. ההסכם כולל את ההתחייבות בכתב לפי תקנה 3. אם הבסיס להעברה הוא הסכם לפי תקנה 2(4), הוא כולל גם את מה שגילוי הדעת מ־2026 מפרט. ואם הספק מקבל גישה למאגר, הוא כולל גם את מה שתקנה 15 לתקנות אבטחת המידע דורשת בהסכם עם גורם חיצוני.
- רשימת ספקים. לכל ספק כדאי לרשום איזה מידע הוא מקבל, באיזו מדינה המידע נשמר ומאיפה ניגשים אליו, על איזה מקרה בתקנה 2 ההעברה נשענת, ואילו ספקי משנה אישרתם בכתב.
- מדיניות פרטיות. סעיף 11 לחוק הגנת הפרטיות, התשמ״א–1981, מחייב, כשפונים לאדם כדי לקבל ממנו מידע, לומר לו בין היתר "למי יימסר המידע ומטרות המסירה". התקנות על העברת מידע לחו״ל לא מחייבות לציין שהמידע יוצא מישראל, אבל אנחנו ממליצים לציין זאת. ואם ההעברה נשענת על הסכמת האדם לפי תקנה 2(1), הוא צריך לדעת עליה, אחרת ההסכמה שלו אינה הסכמה מדעת.
אין באמור ייעוץ משפטי
המאמר הזה, כמו כל התוכן באתר, הוא מידע כללי בלבד. הוא אינו ייעוץ משפטי ואינו חוות דעת משפטית, והוא לא מתייחס לנסיבות של ארגון מסוים. הדין משתנה, ומה שהיה נכון כשהמאמר פורסם עשוי שלא להיות נכון היום. התשובה לשאלה שלכם תלויה בעובדות של המקרה, ולכן אין להסתמך על המאמר בלי ייעוץ פרטני. קריאת המאמר אינה יוצרת יחסי עורך דין–לקוח. המאמר עוסק בדין הישראלי בלבד, ואין בו ייעוץ לגבי הדין במדינת היעד.
המאמר משקף את תקנות העברת מידע לחו״ל, את התקנות על מידע שהגיע מהאזור הכלכלי האירופי, את חוק הגנת הפרטיות אחרי תיקון 13, ואת גילויי הדעת של הרשות להגנת הפרטיות על תקנה 3 (13 באוקטובר 2024) ועל תקנה 2(4) (13 באפריל 2026). המידע נכון ליום 7 באוקטובר 2026.