למי השירות מתאים
מחזיקים מידע של גוף ציבורי
כל עסק שנותן שירות למשרד ממשלתי, לרשות מקומית, לקופת חולים, לבית חולים או למוסד להשכלה גבוהה ומחזיק מידע אישי מטעמו — ספק תוכנה או ענן, מוקד שירות, לשכת שכר, חברת גבייה, קבלן
מה החוק אומר
חוק הגנת הפרטיות מטיל את חובת מינוי הממונה על הגנת הפרטיות על:
בעל שליטה במאגר מידע שהוא גוף ציבורי כהגדרתו בחוק, או מחזיק במאגר מידע כאמור.
המילים "או מחזיק" פירושן שהחובה אינה של הגוף הציבורי בלבד. החוק מגדיר מחזיק כגורם חיצוני שמעבד מידע עבור בעל השליטה, וגם אחסון המידע או עיון בו הם עיבוד. אין כאן מבחן היקף: אם אתם מעבדים מידע אישי מטעם לקוח כזה, החובה חלה. אם הלקוח הוא גוף ציבורי, ואם ההתקשרות הופכת אתכם למחזיק, הן השאלות שתשובה בכתב מכריעה בהן.
מי נחשב "גוף ציבורי"
החוק וצו הגנת הפרטיות (קביעת גופים ציבוריים), התשמ״ו–1986, כוללים במפורש משרדי ממשלה, רשויות מקומיות, קופות חולים, בתי חולים, מוסדות להשכלה גבוהה וארגוני עובדים. חברה ממשלתית או תאגיד עירוני אינם גוף ציבורי באופן אוטומטי — רק אם הם ממלאים תפקיד ציבורי על פי חוק או נמנים בצו.
כשאתם משרתים לקוחות רבים
הרשות להגנת הפרטיות בוחנת את היקף העיבוד של מחזיק במצטבר, על פני כל הלקוחות שהוא משרת; לפי הדוגמה שלה, מחזיק שמעבד מידע עבור 1,000 מאגרים, שבכל אחד מהם מידע בעל רגישות מיוחדת על 100 נושאי מידע בלבד, ייחשב כמי שמעבד מידע כזה בהיקף ניכר. לשכת שכר, מוקד שירות או ספק תוכנה שמשרתים לקוחות קטנים רבים יכולים להיראות כך — בלי לדעת זאת.
זו הנחיה של הרשות להגנת הפרטיות (גילוי הדעת שלה בעניין מינוי ממונה על הגנת הפרטיות, PDF) ולא הלכה פסוקה, והיא נוגעת לשאלה אם חובת המינוי חלה — לא לגובהו של עיצום כספי.
מתי זה בדרך כלל עולה
| האירוע | מה נשבר |
|---|---|
| לקוח שולח שאלון אבטחה ופרטיות | אין מסמכים מוכנים, והתשובות נכתבות בחיפזון |
| מכרז או התקשרות עם גוף ציבורי | נדרש להצהיר על ממונה, על נוהל אבטחת מידע ועל מסמך הגדרות מאגר |
| אירוע או ביקורת אצל הלקוח הציבורי | גם ההתקשרות עם הספקים נבדקת: עיריית בית שמש חויבה בעיצום של 64,000 ש״ח, בין השאר כי ספק עם גישה למאגר הרווחה שלה לא נרשם כמחזיק. |
| השקעה, מיזוג או מכירה של העסק | הקונה או המשקיע בודקים את הפרטיות כפרק נפרד בבדיקת הנאותות |
| אירוע אבטחה | השאלה הראשונה היא מי מדווח, למי, ותוך כמה זמן |
בדיקה של 90 שניות
- האם לפחות לקוח אחד שלכם הוא משרד ממשלתי, רשות מקומית, קופת חולים, בית חולים או מוסד להשכלה גבוהה?
- האם מידע אישי מטעם אותו לקוח — של מטופלים, תושבים, סטודנטים, עובדים — יושב במערכות שלכם או אצל קבלן משנה שלכם, או שאתם מעבדים את המידע הזה עבור הלקוח במערכות שלו עצמו?
- אם התשובה לשתי השאלות היא כן, והלקוח הוא גוף ציבורי לפי החוק והצו, חובת המינוי חלה — ללא מבחן היקף. אם לא — החובה עדיין יכולה לחול מכוח אחת משלוש חלופות אחרות, והבדיקה המלאה עוברת עליהן.
את העבודה בתוך המערכות של הלקוח עצמו — גישה מרחוק, עיון במידע — אנו רואים כ"החזקה" על סמך ההגדרות של "מחזיק" ושל "עיבוד" בחוק. לא ידוע לנו על פסיקה או על פרסום של הרשות להגנת הפרטיות שהתייחסו לכך.
הדף הזה אינו חוות דעת על המצב שלכם. התשובה לשאלה אם החובה חלה עליכם נמסרת בכתב, אחרי בדיקה — גם כשהיא "לא".
מה תקבלו מאיתנו
לספק של גוף ציבורי אנחנו נותנים ארבעה דברים, לפי מה שנדרש ממנו.
| מה | מה זה כולל |
|---|---|
| תשובה בכתב | האם הלקוח הוא גוף ציבורי, האם ההתקשרות הופכת אתכם למחזיק, והאם חובת המינוי חלה עליכם — חתומה בידי עורך דין, גם כשהתשובה היא "לא". |
| ממונה הגנת פרטיות | אם החובה חלה, אחד מעורכי הדין שלנו ממלא את התפקיד: זמינות לשאלות שוטפות, הדרכה שנתית מתועדת ונקודת קשר אחת מול הרשות להגנת הפרטיות. |
| ההסכם עם הגוף הציבורי | הסכם עיבוד ונספח אבטחה שמסדירים את הגישה שלכם למידע: לאילו מטרות, אילו סוגי מידע, באילו מערכות ולכמה זמן. |
| מסמכים למכרז | מה שמכרזים של גופים ציבוריים מבקשים מספק: הצהרה על ממונה, נוהל אבטחת מידע ומסמך הגדרות מאגר. |