מחשוב ענן: סוגיות משפטיות ופרטיות

עמוד השירות: עורך דין מסחר דיגיטלי ו-AI: תקנון, פרטיות ודיוור.

מחשוב ענן — מי נושא באחריות המשפטית כשמשהו משתבש?

בישראל אין חוק ספציפי למחשוב ענן — אבל זה לא אומר שיש ואקום משפטי. חוק הגנת הפרטיות, התשמ״א-1981, חל על כל מי שמחזיק מאגר מידע הכולל מידע אישי — בין אם השרת עומד בתל אביב ובין אם בוירג'יניה. ספק שירותי ענן שמעבד מידע אישי עבור הלקוח הוא ״מחזיק״ לפי החוק — גורם חיצוני המעבד מידע עבור בעל השליטה במאגר (סעיף 3) — וגם הוא אחראי לאבטחת המידע (סעיף 17). תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 קובעות את אמות המידה לאבטחת המידע, ובהן חובה לבחון אחת לשנה אם המידע שנשמר במאגר אינו רב מהנדרש למטרותיו (תקנה 2(ג)). הנקודה המעשית: מעביר נתונים לענן לא מעביר אחריות — הוא שומר עליה.

תיקון מס׳ 13 לחוק הגנת הפרטיות, שנכנס לתוקף ב-14 באוגוסט 2025, העצים משמעותית את סמכויות הרשות להגנת הפרטיות: היא רשאית להטיל עיצומים כספיים, שבמאגרים גדולים מחושבים לפי מספר האנשים שבמאגר ועלולים להגיע למיליוני שקלים (סעיף 23כו). הערכת השפעה על פרטיות (DPIA) אינה חובה כללית בחוק, אך מומלץ לבצע אותה לפני העברת מידע רגיש — רפואי, פיננסי או ביומטרי — לספק חיצוני. הצעדים המעשיים בנושא מרוכזים בעמוד היבטים משפטיים של מסחר מקוון.

שאלה על המקרה שלכם? כתבו בוואטסאפ · 050-431-3155

אילו חובות משפטיות חלות עליכם כשמשתמשים בשירות ענן?

חוק הגנת הפרטיות מטיל שלוש חובות מרכזיות על כל מי שמשתמש בשירותי ענן לעיבוד מידע אישי.

צ׳קליסט מעשי

1. חובת היידוע — מי שמבקש מידע אישי חייב להודיע אם מסירתו תלויה בהסכמה, לאיזו מטרה הוא נאסף, למי יימסר, מיהו בעל השליטה במאגר ואיך פונים אליו, ושעומדות לנושא המידע זכות עיון וזכות לבקש תיקון (סעיף 11, כנוסחו בתיקון מס׳ 13); פגיעה בפרטיות מחייבת הסכמה מדעת (סעיפים 1 ו-3).
2. זכות העיון — לכל אדם זכות לעיין במידע שעליו במאגר (סעיף 13) ולבקש לתקן או למחוק מידע שגוי (סעיף 14).
3. צמצום המידע — עיבוד מותר רק למטרת המאגר (סעיף 8(ב)), ויש לבחון אחת לשנה שהמידע אינו רב מהנדרש (תקנה 2(ג) לתקנות אבטחת מידע). ההסכם עם ספק הענן צריך לקבוע השבה והשמדה של המידע בסיום ההתקשרות (תקנה 15(א)(2)(ד)).

מאז תיקון 13, חובת הרישום חלה רק על מאגר שמטרתו העיקרית איסוף מידע כדי למסרו לאחרים כדרך עיסוק או בתמורה (כשיש בו מידע על יותר מ-10,000 בני אדם) ועל מאגר של גוף ציבורי, ומאגר שיש בו מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם חייב בהודעה לרשות (סעיף 8א). שימוש בשירותי ענן אינו פוטר מחובות אלה — המאגר הוא הנתונים, לא השרת הפיזי שמחזיק אותם. ארגונים רבים מפספסים נקודה זו ומוצאים עצמם בהפרה פרוצדורלית גם כשאבטחת המידע שלהם מצוינת.

ריבונות נתונים: כשהשרת בחו״ל, הדין בישראל

תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א-2001, אוסרות העברת מידע אישי לחו״ל אלא אם מדינת היעד מספקת רמת הגנה מספקת — או שנחתם חוזה ספציפי עם הגנות מקבילות. ה-Standard Contractual Clauses (SCC) שספקי הענן הגדולים מציעים הם כלי של הדין האירופי; מול התקנות הישראליות יש לבדוק בנפרד שמתקיים אחד מתנאי ההעברה ושהתקבלה מהספק התחייבות בכתב לשמירה על המידע (תקנה 3). "ספק גדול = אני בטוח" הוא לא הגנה משפטית.

גם כשהשרתים בחו״ל, חוק הגנת הפרטיות הישראלי חל על כל ארגון ישראלי שמשתמש בשירות. המשמעות הפרקטית: אם ספק הענן סובל מאירוע אבטחה חמור — בעל השליטה במאגר (הלקוח) חייב להודיע על כך לרשות להגנת הפרטיות מיד, והרשות רשאית להורות לו להודיע לנושאי המידע (תקנה 11(ד)). ההסכם עם הספק צריך לחייב אותו להודיע ללקוח על כל אירוע אבטחה (תקנה 15(א)(2)(ח)). ה-due diligence לפני חתימת חוזה ענן כולל: בדיקת תעודת SOC 2 Type II או ISO 27001 של הספק, בדיקת מדיניות breach notification שלו, ואימות שה-DPA עומד בדרישות ישראל.

הסכם עיבוד מידע (DPA)

כל הסכם בין עסק לבין ספק שירותי ענן שמעבד מידע אישי חייב לכלול Data Processing Agreement (DPA). ה-DPA צריך לכלול: מטרת העיבוד המדויקת, הנחיות העיבוד (processing instructions), ערבויות אבטחה של הספק, אופן טיפול בבקשות גישה מנושאי המידע, ומה קורה לנתונים עם סיום ההתקשרות. ה-DPA אינו מסמך פורמלי בלבד — הוא הכלי שבו הארגון מוכיח שנקט אמצעי זהירות סבירים.

בפועל, חברות רבות "מקבלות" את תנאי הענן הסטנדרטיים של Google, AWS או Microsoft מבלי לבדוק אם ה-DPA שלהן עומד בדרישות הישראליות. השאלות שכדאי לשאול: האם ה-DPA מאפשר לספק להשתמש בנתונים לפיתוח מוצרים? האם יש הגבלה על מיקום השרתים? מה לוח הזמנים לחזרת הנתונים עם סיום החוזה? תקנה 15 לתקנות אבטחת המידע מפרטת את הנושאים שחייבים להופיע בהסכם עם גורם חיצוני שמקבל גישה למאגר — והיא נקודת הייחוס המחייבת.

אילו אמצעי אבטחה חייבים לנקוט לפי תקנות תשע״ז?

תקנות הגנת הפרטיות (אבטחת מידע), תשע״ז-2017, קובעות רמות אבטחה — בסיסית, בינונית וגבוהה, ולצדן מאגר המנוהל בידי יחיד. מאגר שיש בו מידע רגיש (למשל רפואי, פיננסי או פלילי) נמצא ככלל לפחות ברמה הבינונית, וברמה הגבוהה כשיש בו מידע על 100,000 בני אדם ומעלה או יותר מ-100 בעלי הרשאה (התוספת הראשונה והשנייה). בכל רמה, העברת מידע ברשת ציבורית או באינטרנט חייבת להיעשות בהצפנה מקובלת (תקנה 14(ב)); הצפנה גם באחסון היא פרקטיקה מומלצת לספק שמטפל במידע רגיש. תקן ISO/IEC 27001, הנפוץ בקרב ספקי ענן בינלאומיים, מספק מסגרת מקובלת לניהול אבטחת המידע ומהווה אינדיקטור לכך שהספק לוקח אבטחה ברצינות.

חובת מינוי ממונה על אבטחת מידע קבועה בסעיף 17ב לחוק — למשל לגוף ציבורי, לבנק ולבעל שליטה בחמישה מאגרים החייבים ברישום או בהודעה — ובמאגר ברמת אבטחה גבוהה נדרשים סקר סיכונים ומבדקי חדירות אחת ל-18 חודשים לפחות (תקנה 5(ג)–(ד)). כאשר עסק עובר לסביבת ענן, הוא לא יוצא מחובות אלה — אלא צריך לוודא שה-DPA עם ספק הענן מכסה אותן במפורש, כולל בדיקות חדירה (penetration testing) תקופתיות ודוחות SOC.

דוגמה: איזו רמת אבטחה חלה על מאגר בענן?

מרפאה מאחסנת בענן תיקים רפואיים של 120,000 מטופלים.

1. מידע רפואי מנוי בפרט 1(3)(ב) לתוספת הראשונה לתקנות אבטחת מידע.
2. מאגר כזה שיש בו מידע על 100,000 אנשים ומעלה חייב ברמת האבטחה הגבוהה (התוספת השנייה, פרט (1)).
3. המשמעות: סקר סיכונים ומבדקי חדירות אחת ל-18 חודשים לפחות (תקנה 5(ג)–(ד)); תיעוד גישה אוטומטי שנשמר 24 חודשים לפחות (תקנה 10); ביקורת אחת ל-24 חודשים לפחות (תקנה 16(א)); ודיון באירועי אבטחה אחת לרבעון לפחות (תקנה 11(ג)).
4. ספק הענן, כמחזיק, חב גם הוא בחובות שבתקנות, למעט תקנות 2 ו-15(א) (תקנה 19(א)), וההסכם עמו צריך לקבוע את אופן יישומן (תקנה 15(א)(2)(ה)).

פרצת נתונים בענן: מי חייב לדווח ולמי?

חובת הדיווח קבועה בתקנה 11(ד) לתקנות אבטחת המידע: באירוע אבטחה חמור יש להודיע לרשות להגנת הפרטיות באופן מיידי ולדווח לה על הצעדים שננקטו, והרשות רשאית להורות להודיע גם לנושאי המידע שעלולים להיפגע. ״אירוע אבטחה חמור״ מוגדר לפי רמת האבטחה: במאגר ברמה גבוהה — כל שימוש במידע בלא הרשאה או פגיעה בשלמותו; במאגר ברמה בינונית — אירוע כזה הנוגע לחלק מהותי מהמאגר (תקנה 1). כדאי לקבוע מראש בהסכם עם ספק הענן תוך כמה זמן הוא מודיע לכם על אירוע.

הכלל המעשי: אם ספק הענן מודיע לכם על פרצה — השעון התחיל לדקות. אל תמתינו לבדוק "מה הנזק בדיוק" לפני שאתם יוצרים קשר עם עורך דין. החובה בתקנה 11(ד) היא להודיע לרשות ״באופן מיידי״, ולא בתום הבירור.

מידע על עובדים בענן: מה חייבים לדעת

כשעסק מעביר לענן מידע על עובדים — תלושי שכר, מידע רפואי, הערכות ביצועים — הוא נכנס לתחום שבו חוק הגנת הפרטיות ודיני העבודה נפגשים. לפי חוק הגנת הפרטיות, עובד זכאי לדעת מה מחזיקים עליו ולדרוש גישה. חובת היידוע שבסעיף 11 חלה גם כלפי עובדים: כשמבקשים מהם מידע אישי יש לציין לאיזו מטרה הוא נאסף ולמי יימסר.

בפועל, מרבית מעסיקים מוסיפים סעיף על שימוש בכלים דיגיטליים בחוזה העבודה. זה לא מספיק לבדו. כאשר עוברים לפלטפורמת ענן חדשה, כדאי לעדכן את מדיניות הפרטיות לעובדים ולוודא שה-DPA מכסה גם את הגבלות השימוש במידע עובדים. מידע על עובדים שנשמר מעבר לתקופת הצורך — כמו ציוני ראיונות לאחר גיוס, או מידע רפואי לאחר סיום העסקה — עלול להיות ״מידע עודף״ שהיה צריך לאתר בבחינה השנתית (תקנה 2(ג)), גם ללא כל אירוע אבטחה.