המאמר נועד למידע כללי ואינו תחליף לייעוץ משפטי המותאם לנסיבות המקרה.
מקורות רשמיים שעליהם מבוסס המאמרהרשות להגנת הפרטיות – מדריך פעולה לתקנה 15 ↗
האחריות אינה עוברת לספק
העברת עיבוד מידע לספק חיצוני אינה מעבירה אליו את מלוא האחריות של הארגון. לפני ההתקשרות יש לבחון את סיכוני אבטחת המידע הכרוכים בה ואת התאמת הספק לביצוע הפעילות.
מה צריך להסדיר?
יש להגדיר בהסכם את המידע שהספק רשאי לעבד, מטרות השימוש, מערכות מורשות, סוגי פעולות, משך ההתקשרות, השבת או מחיקת מידע, סודיות, ספקי משנה, דיווח ובקרה.
לא מסתפקים בחתימה
תקנה 15 דורשת גם פיקוח ובקרה במהלך ההתקשרות. היקף הבקרה צריך להיות מותאם לסיכון, לרגישות המידע ולהיקף הגישה שניתן לספק.
בדיקה מעשית
מומלץ לנהל שאלון ספק, מסמכי בדיקה, נספח ייעודי, אישורי ספקי משנה ומנגנון מעקב אחר אירועים ושינויים בשירות.