בקצרה
פרילנסר שמפתח או מתחזק מערכות ללקוחות בודק בדרך כלל אחריות מקצועית — טענה שטעות בעבודה גרמה ללקוח נזק כספי — ובנפרד סייבר, כלומר אירוע אבטחה שפוגע במידע או במערכות. אלה אינם בהכרח באותה פוליסה. אם אתם מעבדים מידע אישי בשביל לקוח, תיקון 13 לחוק הגנת הפרטיות מחיל גם עליכם אחריות לאבטחת המידע.
כשאתם מעבדים מידע בשביל לקוח
תיקון 13, בתוקף מ־14 באוגוסט 2025, מגדיר ״מחזיק״ כגורם חיצוני לבעל השליטה במאגר שמעבד עבורו מידע. לפי החוק, בעל השליטה והמחזיק אחראים כל אחד לאבטחת המידע שבמאגר. תקנה 15 עוסקת בשירות הכרוך בגישה למאגר בידי גורם חיצוני שאינו אדם יחיד. כאשר היא חלה, נדרשים בחינת סיכונים והסכם שמסדיר, בין השאר, דיווח לפחות פעם בשנה והודעה על אירוע אבטחה. ההחרגה של אדם יחיד בתקנה זו אינה פוטרת עצמאי מחובות אחרות לפי חוק הגנת הפרטיות ותקנות אבטחת המידע. גם החובה למנות ממונה הגנת פרטיות תלויה בתנאי החוק ואינה חלה אוטומטית על כל פרילנסר.
ביטוח סייבר אינו תחליף לאבטחה
תנאי פוליסת סייבר עשויים לכלול דרישות לאמצעי הגנה, כגון גיבוי, ניהול הרשאות ועדכוני אבטחה. את הדרישות ואת השפעת אי־העמידה בהן בודקים לפי הפוליסה והדין; אין רמת הגנה אחת שמבטיחה פיצוי בכל מוצר. בחוברת ההמלצות לעסק קטן של מערך הסייבר הלאומי (2018) מודגש הקשר בין הגנה לבין ביטוח. לדיווח על אירוע סייבר פועל מוקד 119 של המערך.
שאלות לשאול לפני שבוחרים כיסוי
השאלות מחברות בין החוזה, השירות והפוליסה.
- האם השירות בפוליסה מתואר במדויק: פיתוח, תחזוקה, אירוח, ייעוץ אבטחה או ניהול שרתים?
- האם יש כיסוי לטענות של לקוחות בחו״ל, ובאילו מדינות ודינים?
- איך מתייחסים לקבלני משנה ולקוד או לשירותים של צד שלישי שאתם משלבים?
- האם גבול האחריות בחוזה מול הלקוח תואם את גבול האחריות בפוליסה?
- האם אחריות מקצועית כוללת אירוע אבטחה או פגיעה בפרטיות, או שנדרש מענה סייבר נפרד?
- מה תנאי ההודעה על אירוע, ואילו אמצעי אבטחה נדרשים מכם כדי לקבל כיסוי?
מה להכין לשיחה
אל תעלו לאתר קוד, סודות גישה או חוזה חסוי. לשיחה הראשונה מספיק תיאור.
- תיאור השירותים והלקוחות העיקריים — תחומים ומדינות, בלי שמות
- חוזה טיפוסי, כולל סעיפי הגבלת אחריות ושיפוי
- רשימת קבלני משנה ושירותים חיצוניים
- תיאור כללי של אמצעי האבטחה והגיבוי
- פוליסה קיימת ותאריך תחילתה
דוגמה להמחשה בלבד: חנות מקוונת
מפתח עצמאי מתחזק חנות מקוונת של לקוח. עדכון שהוא מטמיע משבית את הקופה ליומיים, ובאותו שבוע מתגלה גישה לא מורשית לנתוני לקוחות דרך תוסף ישן. השבתה בגלל טעות בעבודה ואירוע אבטחה שחשף מידע אישי הם שני אירועים שונים, עם שאלות שונות על אחריות, דיווח וכיסוי. הדוגמה היפותטית ואינה קובעת מי אחראי.
מה המדריך אינו קובע
המדריך אינו קובע אם אתם ״מחזיק״ במקרה מסוים או אילו חובות דיווח חלות עליכם; את זה בודקים עם יועץ פרטיות. אין בו המלצה על פוליסה, גבול אחריות או ספק.
מקורות והמשך בדיקה
הקישורים אינם מעידים שהגורם הרשמי כתב או אישר את העמוד.
- חוק הגנת הפרטיות (תיקון מס׳ 13), התשפ״ד-2024 · רשומות — ספר החוקים 3287
פורסם ב־14.8.2024 ותחילתו שנה לאחר מכן: ״מחזיק״ הוא גורם חיצוני המעבד מידע עבור בעל השליטה, וכל אחד מהם אחראי לאבטחת המידע; עיצומים על אי־הודעה על אירוע אבטחה חמור.
בדיקת המקור תועדה לתאריך
- תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 · נבו — נוסח מאוחד לא רשמי
רמות אבטחה לפי סוג המידע ומספר בעלי ההרשאה, וחובות בהעברת עיבוד לגורם חיצוני (תקנה 15) ובאירוע אבטחה. איזו רמה חלה על עסק מסוים — שאלה לייעוץ פרטיות.
בדיקת המקור תועדה לתאריך
- המלצות לאבטחת מידע וצמצום סיכוני סייבר לעסק קטן · מערך הסייבר הלאומי, 2018
ביטוח סייבר מחייב את העסק ליישם רמה בסיסית של הגנה כדי להיות זכאי לפיצוי; מוקד 119 לדיווח. חוברת מ־2018, לא מדריך מעודכן לכל מוצר.
בדיקת המקור תועדה לתאריך
- אחריות מקצועית — תיאור מוצר ופוליסת ינואר 2023 · הראל ביטוח ופיננסים — מקור מסחרי ראשוני
דוגמה להבחנה בין אחריות מקצועית, תנאים וחריגים. אינה המלצה על החברה, אישור כיסוי למקצוע מסוים או סקירה של כל המוצרים.
בדיקת המקור תועדה לתאריך
- מדריך ליישום תקנה 15 — נוסח מעודכן בעקבות תיקון 13 · הרשות להגנת הפרטיות
תקנה 15 עוסקת בהתקשרות עם גורם חיצוני שאינו אדם יחיד, בשירות הכרוך בגישה למאגר. ההבחנה אינה פוטרת אדם יחיד משאר חובות הפרטיות ואבטחת המידע.
בדיקת המקור תועדה לתאריך
על התוכן
פורסם:
עודכן: