תיקון 13 לחוק הגנת הפרטיות ומערכת ERP: אבטחת מידע, ספק ענן והעברת מידע לחו״ל

מערכת ERP מחזיקה כמעט תמיד מידע אישי: לקוחות, ספקים שהם אנשים פרטיים, עובדים, ולעיתים נתוני שכר ובריאות. לפי חוק הגנת הפרטיות, התשמ״א–1981, אחרי תיקון 13 (ספר החוקים 3287, 14.8.2024; לפי סעיף 74(א) לחוק המתקן התחילה היא שנה מיום הפרסום — 14 באוגוסט 2025), העסק שלכם הוא בדרך כלל בעל השליטה במאגר, וספק ה-ERP בענן הוא מחזיק שמעבד את המידע בשבילכם. האחריות לא עוברת לספק. בבחירת מערכת זה אומר שלושה דברים מעשיים: לבדוק אבטחת מידע לפי תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017; לחתום עם הספק על הסכם שכולל את מה שתקנה 15 דורשת בהתקשרות עם גורם חיצוני; ולברר איפה מאוחסן המידע — כי העברה לחו״ל כפופה לתקנות 2001. התיקון גם הרחיב את סמכויות הרשות להגנת הפרטיות, כולל עיצומים כספיים.

המדריך הוא חלק מהמדריך המרכזי למחיר מערכת ERP. ראו גם ענן מול התקנה מקומית, שכר ודיווחי 102/126 וחוזה ERP: SLA וייצוא נתונים. המידע כללי ואינו ייעוץ משפטי.

מה השתנה בתיקון 13 — בקצרה

סעיף 8א לחוק המתוקן מפרט את חובת הרישום וההודעה. סעיף 17ב1 מפרט מי חייב למנות ממונה על הגנת הפרטיות, וסעיף 17ב2 את תפקידיו. סכומי העיצומים כתובים בפרק ד3 ובתוספות לחוק, והם מתואמים מדי שנה; אל תסתמכו על סיכומים.

תקנות אבטחת מידע 2017 — מה הן דורשות מה-ERP

התקנות קובעות חובות לפי רמת האבטחה של המאגר. ברמה המעשית, מערכת ERP צריכה לאפשר לכם לעמוד בהן:

• ניהול הרשאות גישה (תקנה 8) — הרשאות לפי תפקיד, ולא "כולם רואים הכול".
• זיהוי ואימות (תקנה 9) — סיסמאות, ובהתאם לרמת האבטחה גם אמצעים חזקים יותר.
• בקרה ותיעוד גישה (תקנה 10) — לוג של מי נכנס, מתי ולמה.
• תיעוד אירועי אבטחה (תקנה 11).
• ניהול מאובטח ומעודכן של המערכות (תקנה 13) ואבטחת תקשורת (תקנה 14).
• גיבוי ושחזור של נתוני אבטחה (תקנה 18).

בענן, חלק מהיכולות האלה מסופקות על ידי הספק; ההגדרות — מי מקבל הרשאה ובאיזו רמה — נשארות אצלכם.

תקנה 15: ההסכם עם ספק ה-ERP

תקנה 15 לתקנות אבטחת מידע עוסקת במיקור חוץ. כשבעל מאגר מתקשר עם גורם חיצוני לקבלת שירות שכרוך במתן גישה למאגר, עליו לבחון לפני ההתקשרות את סיכוני אבטחת המידע, ולקבוע במפורש בהסכם, בין השאר:

1. איזה מידע הגורם החיצוני רשאי לעבד, ולאילו מטרות.
2. לאילו מערכות הוא רשאי לגשת.
3. סוג העיבוד או הפעולה שהוא רשאי לבצע.
4. משך ההתקשרות, אופן השבת המידע בסיומה, השמדתו אצל הספק ודיווח על כך.
5. איך הוא מיישם את חובות אבטחת המידע שחלות עליו כמחזיק.
6. חובה להחתים את בעלי ההרשאות שלו על סודיות.
7. אם הוא נעזר בגורם נוסף (קבלן משנה, ספק ענן תשתיתי) — חובה לכלול את אותם נושאים גם בהסכם איתו.
8. דיווח לפחות פעם בשנה על אופן ביצוע החובות, והודעה על אירוע אבטחה.

בנוסף, על בעל המאגר לנקוט אמצעי בקרה ופיקוח על עמידת הספק. התקנה לא חלה על התקשרות עם יחיד.

העברת מידע לחו״ל: תקנות 2001 ותקנות 2023

אם השרתים של ספק ה-ERP — או של ספק הענן שהוא נשען עליו — נמצאים מחוץ לישראל, זו העברת מידע לחו״ל. תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א–2001, קובעות שככלל מותר להעביר מידע רק למדינה שדינה מבטיח רמת הגנה שאינה פחותה מזו הישראלית, ומונות חריגים — ביניהם:

• הסכמת האדם שהמידע עליו;
• העברה לתאגיד בשליטת בעל המאגר שהבטיח את ההגנה;
• העברה למי שהתחייב בהסכם לקיים את התנאים החלים על מאגר בישראל;
• העברה למדינה שהיא צד לאמנה האירופית להגנת הפרט בעיבוד אוטומטי של מידע, או שמקבלת מידע ממדינות האיחוד האירופי באותם תנאים.

בכל העברה כזו נדרשת התחייבות בכתב של מקבל המידע שהוא נוקט אמצעים מספיקים להבטחת הפרטיות ושלא יעביר את המידע הלאה.

תקנות 2023 — תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי), התשפ״ג–2023 — הן מערכת תקנות נפרדת, שחלה על מידע שהגיע לישראל מהאזור הכלכלי האירופי (ועל מידע נוסף שמצוי באותו מאגר). הן קובעות חובות נוספות, כמו מחיקת מידע לבקשת האדם בתנאים מסוימים. אם יש לכם לקוחות או עובדים מאירופה במערכת, בדקו אותן.

עלויות פרטיות שכדאי להכניס לתקציב

• ייעוץ משפטי לבדיקת ההסכם ונספח העיבוד.
• הגדרת הרשאות ותיעוד בהטמעה — שעות נוספות של הספק ושלכם.
• סקר סיכונים או מיפוי מערכות, אם נדרש לפי רמת האבטחה.
• עלות אימות דו-שלבי או רישיונות אבטחה נוספים, אם אינם כלולים.

אלה לרוב סכומים קטנים ביחס לפרויקט, אבל הם נשכחים. הוסיפו אותם למחשבון ה-TCO כחלק מהעלויות החד-פעמיות.

שאלות נפוצות

אם הספק מאחסן בחו״ל, האם אסור לי להשתמש בו?

לא בהכרח. התקנות מאפשרות העברה בתנאים מסוימים, למשל התחייבות בהסכם או מדינה שעומדת בתנאים. צריך לבדוק איזה חריג חל ולתעד אותו. כדאי להתייעץ עם עורך דין.

מי אחראי אם אצל הספק הייתה דליפה?

העסק, כבעל השליטה, נשאר אחראי למאגר, והספק אחראי לחובות שלו כמחזיק ולפי ההסכם. לכן ההסכם וחובת הדיווח על אירוע אבטחה חשובים.

האם רוב העסקים צריכים לרשום את המאגר?

אחרי תיקון 13, חובת הרישום מצומצמת בעיקר למאגרים שמטרתם מסירת מידע לאחרים כדרך עיסוק ולגופים ציבוריים. החובות האחרות — אבטחה, יידוע, עיון — חלות על כולם.

ממתי חלות תקנות אבטחת מידע?

התקנות פורסמו ב-2017, ותחילתן נקבעה לשנה מיום פרסומן.

מקורות רשמיים

• חוק הגנת הפרטיות — ויקיטקסט — הנוסח המשולב כולל תיקון 13, סעיף 8א ופרק העיצומים
• תקנות הגנת הפרטיות (אבטחת מידע) — ויקיטקסט — תקנה 15 ותקנות 8–18
• תקנות העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה — ויקיטקסט — תקנות 1–3
• הרשות להגנת הפרטיות — דרך gov.il — הנחיות, מועדי תחילה ופרסומים