מעבד מידע (עיבוד מטעם)
מעבד מידע הוא ספק שירות, כמו חברת אירוח אתרים (hosting), שמעבד מידע אישי מטעמו של ארגון אחר ובהתאם להוראותיו של אותו ארגון.
מהו עיבוד מטעם?
ארגונים רבים אינם מטפלים בהכול בעצמם: הם שוכרים שרתים מחברת אירוח, שולחים ניוזלטרים באמצעות שירות דיוור או משתמשים בתוכנת הנהלת חשבונות בענן. אם ספק כזה מעבד מידע אישי מטעם הארגון, ה-GDPR מכנה אותו מעבד (סעיף 4(8) ל-GDPR). הארגון שמזמין את העבודה נשאר בעל השליטה (סעיף 4(7) ל-GDPR).
החוזה לפי סעיף 28 ל-GDPR
סעיף 28 ל-GDPR דורש חוזה או מעשה משפטי מחייב אחר, שנקרא לעיתים קרובות הסכם עיבוד נתונים או DPA. בין היתר הוא קובע שהספק מעבד מידע רק לפי הוראות מתועדות, מחייב את עובדיו בסודיות, נוקט אמצעי אבטחה מתאימים ומעסיק מעבדי משנה נוספים רק באישור. כשהשירות מסתיים, עליו למחוק את המידע או להחזיר אותו אלא אם יש חובה חוקית לשמור אותו.
מי נשאר אחראי
בעל השליטה רשאי להשתמש רק בספקים שמציעים ערבויות טכניות וארגוניות מספקות, והוא נשאר אחראי כלפי האנשים הנוגעים בדבר. לכן בדרך כלל מממשים זכויות כמו גישה או מחיקה מול בעל השליטה. אם מעבד משתמש במידע למטרותיו שלו וקובע בעצמו את המטרות והאמצעים, סעיף 28(10) ל-GDPR מתייחס אליו כבעל שליטה ביחס לאותו עיבוד.
במה זה שונה מהסדרים אחרים
לא כל שיתוף פעולה הוא עיבוד מטעם. אם שני גופים קובעים במשותף את מטרות העיבוד ואמצעיו, הם בעלי שליטה במשותף לפי סעיף 26 ל-GDPR. ספק שמעניק שירות מקצועי משלו, כמו יועץ מס או בנק, הוא לעיתים קרובות בעל שליטה בזכות עצמו. אם מידע מועבר למעבד מחוץ לאיחוד האירופי, חלים גם הכללים על העברות למדינות שלישיות בסעיפים 44 ואילך ל-GDPR.
שאלות נפוצות
האם אני כמשתמש צריך לעשות משהו?
בדרך כלל לא. החוזה נחתם בין בעל השליטה לספק שלו. עם זאת, בעל השליטה חייב לציין במדיניות הפרטיות שלו את הנמענים או קטגוריות הנמענים של המידע שלכם.
האם הסכם עיבוד נתונים חייב להיחתם על נייר?
לא. לפי סעיף 28(9) ל-GDPR החוזה חייב להיות בכתב, אבל צורה אלקטרונית מותרת במפורש.
מהו מעבד משנה?
ספק נוסף שהמעבד מעסיק בתורו, כמו מרכז נתונים. זה מותר רק באישור מראש של בעל השליטה, ואותן חובות הגנת מידע חלות עליו.
מונחים קשורים
נושאים קשורים
כדאי לנסות את Friendstime
ההרשמה לוקחת דקה והיא חינמית.