מה קורה אם מחר לקוח מבקש לדעת איזה מידע אתם מחזיקים עליו

במקרים מסוימים, אי מתן זכות עיון יכול לחשוף את החברה לפיצוי של עד 10,000 ₪ ללא הוכחת נזק

לקוח פונה לחברה ומבקש לדעת איזה מידע אישי אתם מחזיקים עליו.

זו נשמעת כמו בקשה פשוטה.

מישהו בחברה מתחיל לבדוק ב-CRM, במערכת הדיוור ובמערכת השירות.

ואז מתברר שהמידע לא נמצא רק אצלכם.

חלק ממנו נמצא אצל ספק השיווק, חלק במערכת הדיוור, חלק אצל מוקד התמיכה, חלק אולי הועבר לכלי AI   וחלק נמצא אצל ספקים שאיש בהנהלה כבר לא זוכר בדיוק איזה.

בשלב הזה השאלה כבר אינה רק מה כתוב על הלקוח במערכת המרכזית. השאלה היא האם החברה באמת יודעת איפה נמצא המידע שלו ומי מחזיק בו.

אם אין תשובה אחת ברורה, זו אינה רק בעיית ארגונית – זו עשויה להיות בעיה משפטית וכספית.

מתי זכות העיון במידע אישי הופכת לחשיפה כספית?

תיקון 13 לחוק הגנת הפרטיות הרחיב את האפשרות לפסוק במקרים מסוימים פיצוי של עד 10,000 ₪ ללא הוכחת נזק.

אחת העילות לכך היא אי מתן זכות העיון במידע אישי לפי סעיף 13 לחוק.

הפיצוי אינו אוטומטי. אבל מבחינת הנהלה, הנקודה המעשית ברורה: זכות העיון צריכה להיות תהליך מוסדר מראש – לא משהו שמתחילים לברר רק כאשר מגיעה פנייה.

הרשות להגנת הפרטיות מבהירה כי בקשת עיון צריכה לקבל מענה בתוך 30 ימים ממועד קבלתה.

כדי לעמוד בכך, החברה צריכה לדעת איזה מידע היא מחזיקה, היכן הוא נמצא, ואילו גורמים חיצוניים מחזיקים או מעבדים אותו עבורה.

לכן השאלה אינה רק אם מישהו בחברה יודע לענות ללקוח – השאלה היא אם קיימת בחברה תמונה מסודרת שמאפשרת לתת את המענה הנדרש, גם כשהמידע מפוזר בין מערכות וספקים.

ככל שהמידע מפוזר בין יותר מקומות, כך קשה יותר לתת תשובה מלאה ובזמן.

למה ספק חיצוני לא מוציא את המידע מהאחריות שלכם

חברות בינוניות עובדות כיום עם עשרות ספקים: מערכות CRM, מערכות שכר וגיוס, שירותי ענן, מערכות דיוור, מוקדי שירות, מערכות אנליטיקה, כלי AI , שירותי תמיכה ומערכות הנהלת חשבונות.

כל אחד מהספקים האלה עשוי לקבל חלק אחר מהמידע האישי שהחברה מחזיקה על לקוחות, עובדים ומשתמשים.

כאשר חברה מתקשרת עם גורם חיצוני לצורך שירות הכרוך בגישה למאגר מידע, במקרים הרלוונטיים צריך לבחון את הסיכונים ולהסדיר בהסכם את הנושאים הנוגעים לעיבוד המידע.

ההסדרה יכולה להופיע בהסכם השירות, בנספח פרטיות, או בהסכם עיבוד מידע – המכונה לעיתים DPA. השם של המסמך פחות חשוב. מה שחשוב הוא שמישהו בחברה יודע מי קיבל את המידע, למה הוא קיבל אותו, ומה מותר לו לעשות איתו.

מי מחזיק היום במידע האישי של הלקוחות והעובדים שלכם

כדאי לבדוק אם קיימת בחברה תמונה אחת מסודרת של הספקים שמקבלים מידע אישי.

לא רק הספקים הגדולים, גם מערכת שה- HR הכניס לפני שנתיים, כלי שיווק שנרכש בכרטיס אשראי, שירות תמלול, או מערכת נוספת שכמעט הפסקתם להשתמש בה – אבל החשבון בה עדיין פעיל.

אי אפשר לנהל מידע שנמצא אצל ספק שאיש כבר לא זוכר.

איזה מידע כל ספק מקבל, ולשם מה

יש הבדל בין כתובת דואר אלקטרוני לבין תיק עובד מלא, בין רשימת לקוחות לבין מידע רפואי, בין מידע בסיסי על משתמש לבין גישה למידע רחב יותר.

בלי להבין איזה מידע כל ספק מקבל, אי אפשר לדעת מה נמצא מחוץ לחברה, ומה החשיפה שנוצרת מההתקשרות.

מה מותר לספק לעשות עם המידע

זו אחת השאלות שחברות מפספסות – לא מספיק לדעת שספק מקבל מידע, צריך לדעת מה מותר לו לעשות איתו.

האם הוא משתמש במידע רק כדי לספק לכם את השירות, האם הוא משתמש בו לצורכי אנליטיקה, האם הוא משתמש בו לשיפור המוצר, האם המידע יכול לשמש לאימון מערכת, והאם הוא רשאי להעביר אותו לגורם נוסף.

הסכם טוב לא עוסק רק באופן שבו המידע נשמר – הוא צריך להסדיר גם לאילו מטרות ניתן להשתמש בו, למי ניתן להעבירו, ומה קורה בסיום ההתקשרות.

מי עוד מקבל את המידע – שרשרת קבלני המשנה

הספק שלכם יכול לעבוד עם ספקים נוספים, שירות SaaS יכול להסתמך על ספק ענן. כלי AI יכול להישען על תשתית או מודל של חברה אחרת. מוקד שירות יכול להיעזר בקבלן משנה.

כך מידע יכול לעבור דרך כמה שכבות של ספקים שאינכם עובדים איתם ישירות.

לא כל שרשרת כזו יוצרת בעיה – הבעיה מתחילה כשהחברה אפילו לא יודעת שהיא קיימת.

לאן המידע עובר – העברת מידע אל מחוץ לישראל

שרת בחו"ל, צוות תמיכה בחו"ל, ספק משנה במדינה אחרת.

כל אלה מצבים נפוצים, ואינם בהכרח אסורים. אבל העברת מידע אישי מחוץ לישראל כפופה לכללים משפטיים מוגדרים.

המנכ"ל לא צריך ללמוד את כל הכללים האלה. הוא כן צריך לדעת שמישהו בדק לאן המידע עובר, ועל איזה בסיס משפטי.

מה מסדיר את היחסים עם כל ספק – DPA ונספחי פרטיות

השם של המסמך פחות חשוב, DPA : נספח פרטיות.

מה שחשוב הוא מה כתוב בו: איזה מידע הספק מקבל, לשם מה, למי הוא רשאי להעביר אותו, מה הוא מחויב לעשות, מה קורה כאשר אדם מבקש לעיין במידע, ומה קורה כשהחברה רוצה להפסיק את ההתקשרות.

מה קורה למידע כשההתקשרות מסתיימת

חברות יודעות בדרך כלל איך להתחיל לעבוד עם ספק. הרבה פחות ברור מה קורה כשהעבודה נגמרת.

החוזה מסתיים. המערכת מוחלפת. המשתמשים עוברים. אבל המידע יכול להישאר אצל הספק – במערכת הישנה, בגיבויים, או אצל ספק נוסף שלו.

לכן צריך לדעת מראש: מה מוחזר, מה נמחק, מה נשמר, ולכמה זמן.

איפה נכנס ה-DPA ולמה הוא לא המטרה בפני עצמו

DPA הוא הסכם עיבוד מידע – אחד הכלים שיכולים להסדיר את היחסים עם ספק שמעבד מידע עבור החברה.

אבל DPA הוא לא המטרה. אפשר להחזיק תיקייה מלאה ב-DPA, ועדיין לא לדעת לאילו ספקים יש מידע. אפשר גם לחתום על הסכם מצוין שלא תואם למה שהספק עושה בפועל.

ולכן השאלה הראשונה אינה אם חתמתם על DPA, השאלות הראשונות הן אחרות:

• מי הספק
• איזה מידע הוא מקבל
• לשם מה
• מי עוד מקבל אותו
• איפה המידע נמצא
• ומה קורה כשההתקשרות משתנה או מסתיימת

רק אז אפשר לדעת אם ההסכם באמת מגן על החברה, ואם אתם ערוכים לרגע שבו לקוח או עובד יבקשו לממש את זכות העיון שלהם.

מה כדאי להנהלה לבדוק עכשיו

בדיקת פרטיות אפקטיבית לא חייבת להתחיל בפרויקט טכנולוגי גדול. אפשר להתחיל ממיפוי ניהולי ומשפטי ממוקד:

• אילו סוגי מידע אישי החברה מחזיקה
• איפה הם נמצאים
• אילו ספקים מקבלים אותם
• לשם מה כל ספק מקבל את המידע
• אילו מסמכים והסכמים כבר קיימים
• מה קורה למידע כשהתקשרות עם ספק מסתיימת
• ואיך החברה מטפלת בפנייה של אדם שמבקש לעיין במידע עליו

רק לאחר שמבינים את התמונה אפשר לזהות את הפערים האמיתיים ולקבוע מה דורש טיפול קודם.

לסיכום

פרטיות אינה מסתכמת במסמך DPA או בבדיקה משפטית של חוזה אחד.

כאשר לקוח או עובד מבקשים לעיין במידע האישי שלהם, החברה צריכה להיות מסוגלת לדעת מה היא מחזיקה, היכן המידע נמצא, מי מעבד אותו עבורה, ומה נדרש כדי לתת מענה מסודר בתוך פרק הזמן שקובע הדין.

אם כדי לענות על השאלות האלה צריך להתחיל לאסוף מידע מחמש מחלקות ומעשרה ספקים – זה בפני עצמו סימן שכדאי להסדיר את התהליך מראש.

עורך דין רפי בלנקשטיין מלווה חברות במיפוי מידע וספקים, בהסדרת התקשרויות עם גורמים המעבדים מידע, ובבניית תהליך מסודר למימוש זכויות נושאי מידע.

המטרה פשוטה: שכאשר לקוח או עובד מבקשים לדעת איזה מידע אתם מחזיקים עליהם, החברה כבר יודעת את התשובה – ולא מתחילה לחפש אותה.

הכותב, עו"ד רפי, הוא עורך דין מסחרי המתמחה בדיני פרטיות וממשל תאגידי בתחום הבינה המלאכותית, ומוסמך כממונה הגנת פרטיות (DPO) מטעם לשכת עורכי הדין בישראל.