מעבר לענן ותיקון 13: מה לבדוק בספק ובחוזה

מה תיקון 13 משנה למי שמעביר מידע אישי לענן? תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025, והוא נתן לרשות להגנת הפרטיות סמכויות אכיפה רחבות, כולל הטלת עיצומים כספיים. החובות עצמן לגבי ספק חיצוני שמחזיק את המידע שלכם מופיעות בעיקר בתקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017. מה שהשתנה הוא המחיר של התעלמות מהן.

המידע במאמר הזה כללי ואינו ייעוץ משפטי. החובות שחלות על הארגון שלכם תלויות בסוג המידע, בהיקף שלו ובתחום הפעילות, ולכן לפני החלטה כדאי לבדוק אותן עם עורך דין או עם הממונה על הגנת הפרטיות בארגון. המטרה כאן מעשית: לעזור לכם לדעת מה לשאול ספק ענן ומה לבקש שיופיע בחוזה, לפני מעבר לענן.

מה השתנה ב-14 באוגוסט 2025

תיקון 13 עדכן את חוק הגנת הפרטיות, התשמ"א-1981, בכמה נושאים. לעניין מעבר לענן, שלושה מהם רלוונטיים במיוחד:

• הרשות להגנת הפרטיות קיבלה סמכויות פיקוח ואכיפה מורחבות, כולל עיצומים כספיים על הפרות.
• בחלק מהארגונים, למשל גופים ציבוריים וסוחרי מידע, נקבעה חובה למנות ממונה על הגנת הפרטיות.
• חובת רישום מאגרי מידע צומצמה, ובמקביל נקבעו חובות הודעה לרשות במקרים מסוימים.

תקנות אבטחת המידע משנת 2017 היו בתוקף גם לפני התיקון. ההבדל הוא שעכשיו יש לרשות כלים להטיל סנקציות כשהן אינן מקוימות. התקשרות עם ספק ענן בלי בדיקה ובלי חוזה מתאים היא סוג הפער שכדאי לסגור לפני המעבר, ולא אחריו.

ספק ענן כגורם חיצוני: מה דורשת תקנה 15

תקנה 15 עוסקת בהתקשרות עם גורם חיצוני שמקבל גישה למאגר מידע לצורך מתן שירות. ספק שמאחסן את השרתים שעליהם יושב המאגר שלכם, או שמגבה אותם, הוא בדרך כלל גורם כזה. אם זה המקרה אצלכם, כדאי לוודא עם היועץ המשפטי.

לפי התקנה, לפני ההתקשרות צריך לבחון את סיכוני אבטחת המידע שבה. אחר כך צריך לקבוע בחוזה עם הספק שורה של נושאים. הטבלה מתרגמת כל דרישה לשאלה שאפשר לשאול ספק ענן:

מה התקנה דורשת לקבוע בחוזה	השאלה לספק הענן
איזה מידע הספק רשאי לעבד ולאילו מטרות	לאילו נתונים יש לכם גישה בפועל, ולמה?
לאילו מערכות של המאגר הספק רשאי לגשת	האם הצוות שלכם נכנס לשרתים שלנו, ובאילו מקרים?
סוגי העיבוד או הפעולות שהספק רשאי לבצע	מה אתם עושים בשרת מעבר לתחזוקת התשתית?
משך ההתקשרות, החזרת המידע או השמדתו בסיומה, ודיווח על כך	מה קורה למידע ולגיבויים כשהחוזה נגמר, ואיך תאשרו שנמחקו?
איך הספק מקיים את חובות אבטחת המידע שחלות עליו	אילו אמצעי אבטחה מגינים על השרתים, על הרשת ועל הגישה?
התחייבות לסודיות של בעלי ההרשאה מטעם הספק	האם העובדים שלכם חתומים על התחייבות לסודיות?
העברת אותן חובות לקבלן משנה, אם יש	האם צד שלישי מעורב, למשל חוות שרתים או ספק גיבוי?
דיווח שנתי על עמידה בחובות והודעה על אירוע אבטחה	איך ומתי תודיעו לנו על אירוע אבטחה?

התקנה דורשת גם לתאר את הנושאים האלה בנוהל האבטחה של המאגר, ולקיים בקרה על עמידת הספק בחוזה, בהיקף שמתאים לסיכון. לכן לא מספיק לחתום: צריך גם לתעד ולבדוק.

מידע שיוצא מישראל: תקנות ההעברה לחו"ל

העברת מידע ממאגר בישראל אל מאגר בחו"ל מוסדרת בתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001. כלל הבסיס בתקנה 1 הוא שאין להעביר מידע לחו"ל, אלא אם הדין במדינת היעד מבטיח הגנה שאינה פחותה מזו שבישראל.

תקנה 2 מונה חריגים לכלל, ואחד מהם, בתקנה 2(4), הוא התחייבות חוזית של הגורם המקבל לקיים את התנאים החלים בישראל על החזקת המידע והשימוש בו, בשינויים המחויבים. הרשות להגנת הפרטיות פרסמה גילוי דעת שמפרט מה התחייבות כזו צריכה לכלול, ובהן גם התחייבויות לאבטחת מידע. בנוסף, תקנה 3 מחייבת לקבל מהגורם המקבל התחייבות בכתב לנקוט אמצעים מספיקים לשמירה על הפרטיות ולא להעביר את המידע הלאה.

המשמעות המעשית: כשספק הענן, או ספק הגיבוי שלו, שומר את המידע מחוץ לישראל, יש עוד שכבה של בדיקה ושל חוזה. כשהשרתים והגיבויים נשארים בישראל, השאלה הזו פשוטה יותר. על ההבדלים בין ספקים מקומיים לספקים בחו"ל אפשר לקרוא במדריך איך לבחור ספק ענן בישראל.

צ'קליסט: 12 שאלות לכל ספק ענן

את השאלות האלה כדאי לשאול כל ספק, כולל אותנו, ולבקש את התשובות בכתב:

1. באיזו מדינה ובאיזו חוות שרתים יישבו השרתים שלנו?
2. באיזו מדינה נשמרים הגיבויים, והאם עותק כלשהו יוצא מישראל?
3. אילו קבלני משנה מעורבים בשירות, ומה תפקידו של כל אחד?
4. מי מהצוות שלכם יכול לגשת לשרתים שלנו, ואיך הגישה הזו מתועדת?
5. האם הסביבה שלנו מבודדת מלקוחות אחרים, ובאיזו רמה?
6. האם המידע מוצפן בהעברה ובאחסון, ומי מחזיק במפתחות?
7. איך ובתוך כמה זמן תודיעו לנו על אירוע אבטחה שנוגע למידע שלנו?
8. מה כתוב בהסכם רמת השירות על זמינות, זמני מענה וזיכויים?
9. איך מתבצעת העברת הנתונים בזמן המעבר, ומה קורה לעותקים הזמניים?
10. מה קורה למידע ולגיבויים כשההתקשרות מסתיימת, ובאיזה פורמט נקבל אותו?
11. האם תחתמו על נספח אבטחת מידע לחוזה, לפי הנוסח של היועץ המשפטי שלנו?
12. אילו תקנים או אישורים יש לכם או לחוות השרתים, ואפשר לקבל עותק?

שאלה 12 חשובה במיוחד. ספק שטוען לתקן צריך להיות מסוגל להציג אישור בתוקף, ולפרט מה בדיוק התקן מכסה. אישור של חוות השרתים אינו בהכרח אישור של הספק שמשכיר לכם שרת בתוכה.

גיבויים והתאוששות מאסון: איפה העותק השני יושב

הרבה ארגונים בודקים בקפידה איפה יושב השרת הראשי ושוכחים את הגיבוי. אבל הגיבוי הוא עותק מלא של אותו מידע, ולכן כל השאלות שלמעלה חלות גם עליו: באיזו מדינה הוא נשמר, מי יכול לגשת אליו, כמה זמן הוא נשמר ומתי הוא נמחק.

תקנות אבטחת המידע כוללות גם הוראות על נהלי גיבוי ושחזור. מעבר לרגולציה, יש כאן שאלה עסקית פשוטה: אם הגיבוי יושב באותה תשתית כמו השרת, תקלה אחת יכולה לפגוע בשניהם.

בגיבוי ענן עם Acronis הגיבוי מוצפן ב-AES-256 לפני שהוא יוצא מהמכשיר, הגישה לקונסולה מוגנת בהרשאות ובאימות דו-שלבי, ומדיניות השמירה נקבעת לפי צורכי העסק והרגולציה שחלה עליו. את מיקום אחסון הגיבוי כדאי לברר ולתעד כבר בשלב האפיון, כמו כל שאלה אחרת ברשימה.

מה אנחנו יכולים לענות כבר עכשיו

חלק מהשאלות ברשימה מקבלות תשובה עוד לפני שיחת האפיון:

• השרתים של אמפייר אייאל נמצאים בחוות שרתים בישראל, בראש העין ובפתח תקווה.
• בעסקים שצריכים בידוד מלא יש ענן פרטי, שבו המארח, הרשת והאחסון מוקצים לעסק אחד בלבד, עם רשת פרטית וחומת אש משלו.
• הסכם רמת השירות מפורסם באתר וכולל יעד זמינות חודשי של 99.9%, זמני מענה לפי חומרת התקלה וזיכויים.
• בזמן מעבר לענן הנתונים עוברים בערוצים מוצפנים, והנתונים המקוריים נשמרים עד שסביבת היעד אומתה.

את שאר השאלות, כמו נספח אבטחת מידע או דרישות ספציפיות של הענף שלכם, מבררים בשיחה ומסכמים בכתב.

מה נשאר באחריותכם גם אחרי המעבר

מעבר לענן מעביר לספק את האחריות על התשתית: החומרה, החשמל, הרשת ואבטחת חוות השרתים. האחריות על המאגר עצמו נשארת אצלכם. הספק אינו יודע מי מהעובדים שלכם צריך גישה לאיזה מידע, ואינו קובע למה המידע נאסף.

נושא	באחריות הספק	באחריותכם
חומרה, חשמל וקירור	כן
רשת והגנת DDoS ברמת התשתית	כן
משתמשים, סיסמאות והרשאות בתוך השרת		כן
עדכוני תוכנות ומערכת הפעלה בשרת לא מנוהל		כן
מי מקבל גישה למידע ולמה		כן
נוהל האבטחה של המאגר ובקרה על הספק		כן

בשרת מנוהל חלק מהמשימות שבצד שלכם עוברות לספק, למשל עדכונים וניטור. כדאי שהחלוקה תיכתב בחוזה, כדי שלא יישאר נושא שכל צד חושב שהוא באחריות הצד השני.

איך משלבים את הבדיקה בתוכנית המעבר

הזמן הנכון לבדיקה הוא שלב האפיון, לפני שבוחרים תצורה ולפני שמעבירים בייט אחד:

1. ממפים אילו מערכות מחזיקות מידע אישי, ואיזה סוג מידע.
2. מזהים מאגרים שבהם יש מידע רגיש במיוחד, למשל מידע רפואי או פיננסי.
3. מחליטים איפה המידע חייב לשבת, ואם מותר לו לצאת מישראל.
4. מעבירים את רשימת השאלות לספק ומקבלים תשובות בכתב.
5. מעבירים ליועץ המשפטי את החוזה ואת נספח האבטחה לבדיקה.
6. מעדכנים את נוהל האבטחה של המאגר לפי התשתית החדשה.

את התמונה העסקית הרחבה של המעבר, כולל עלויות וסיכונים, מרכז המדריך מעבר לענן לעסקים.

שאלות נפוצות

מתי נכנס תיקון 13 לתוקף?

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025.

האם ספק ענן נחשב גורם חיצוני לפי תקנה 15?

תקנה 15 חלה על התקשרות עם גורם חיצוני שמקבל גישה למאגר מידע לצורך מתן שירות. ספק שמאחסן או מגבה את השרתים שעליהם יושב המאגר הוא בדרך כלל גורם כזה. ההחלטה אם התקנה חלה במקרה שלכם שייכת ליועץ המשפטי.

מותר לשמור מידע אישי בשרתים בחו"ל?

התקנות משנת 2001 מתירות העברה לחו"ל כשהדין במדינת היעד מגן על המידע ברמה שאינה פחותה מזו שבישראל, או כשמתקיים אחד החריגים שבתקנה 2, למשל התחייבות חוזית של הגורם המקבל. בכל המקרים נדרשת התחייבות בכתב מהגורם המקבל.

מה צריך להופיע בחוזה עם ספק הענן?

לפי תקנה 15: איזה מידע הספק מעבד ולמה, לאילו מערכות הוא ניגש, אילו פעולות מותרות לו, מה קורה למידע בסיום ההתקשרות, איך הוא מקיים את חובות האבטחה, סודיות של העובדים, קבלני משנה, ודיווח שנתי והודעה על אירוע אבטחה.

מה עושים אם הספק לא מוכן לחתום על נספח אבטחת מידע?

זה סימן שכדאי לעצור ולשקול. ספקים גדולים עובדים לפעמים רק עם נוסח חוזה קבוע משלהם, ואז צריך לבדוק עם היועץ המשפטי אם הנוסח הזה מכסה את מה שתקנה 15 דורשת. אם לא, עדיף לגלות את זה לפני המעבר ולא אחריו.

האם שרתים בישראל פותרים את כל השאלות?

לא. שרתים בישראל מפשטים את שאלת ההעברה לחו"ל, אבל חובות האבטחה, החוזה עם הספק והבקרה עליו חלות גם על ספק מקומי. בדקו גם איפה נשמרים הגיבויים.

מתכננים מעבר לענן ורוצים לעשות אותו נכון?

בשיחת האפיון נמפה יחד את המערכות והמידע, נענה בכתב על השאלות שברשימה ונבנה תוכנית מעבר שהיועץ המשפטי שלכם יכול לבדוק. כל הפרטים ובקשת ייעוץ בעמוד מיגרציה לענן.