תשובה מהירה: תחת ה-GDPR, בקר נתונים קובע מדוע וכיצד מעובדים נתונים אישיים, בעוד שמעבד נתונים מטפל בנתונים אך ורק לפי הוראות הבקר. האחריות שונה באופן משמעותי: בקרים נושאים באחריות הרחבה ביותר, בעוד שמעבדים נושאים באחריות ישירה רק כאשר הם פועלים מחוץ להוראות חוקיות או מפרים חובות GDPR המופנות אליהם באופן ספציפי.
נקודות מפתח
- בקר נתונים מחליט על מטרות ואמצעי העיבוד; מעבד נתונים פועל בשם הבקר.
- בקרים נושאים באחריות ה-GDPR העיקרית; מעבדים נושאים באחריות ישירה לפי סעיף 82 רק בנסיבות ספציפיות.
- שני התפקידים יכולים להתקיים בו זמנית בתוך ארגון אחד, חברה יכולה להיות בקר עבור לקוחותיה שלה ומעבד עבור עסק אחר.
- הסכם עיבוד נתונים (DPA) מחייב מבחינה משפטית בכל פעם שבקר מעסיק מעבד.
- מעבדי משנה דורשים אישור בכתב מראש מהבקר; המעבד הראשי נשאר אחראי באופן מלא להתנהלות מעבד המשנה.
- סיווג שגוי של תפקידך הוא סיכון תאימות שיכול לחשוף את הארגון שלך לקנסות רגולטוריים.
- מעבדים המשתמשים בנתונים אישיים למטרותיהם שלהם הופכים אוטומטית לבקרים עבור פעילות עיבוד זו.
- חוק הנתונים (שימוש וגישה) של בריטניה משנת 2026 מציג שינויים נוספים שארגונים הפועלים תחת ה-UK GDPR צריכים לבדוק בהקדם.
מה ההבדל בין בקר נתונים למעבד נתונים תחת ה-GDPR?
בקר נתונים הוא כל ישות הקובעת את מטרות ואמצעי עיבוד הנתונים האישיים. מעבד נתונים הוא כל ישות המעבדת נתונים אישיים בשם בקר, תוך הקפדה על הוראות הבקר בלבד [1].
ההבחנה תלויה בסמכות קבלת ההחלטות. אם הארגון שלך מחליט מדוע נאספים נתונים וכיצד הם ישמשו, אתה הבקר. אם הארגון שלך מטפל בנתונים רק מכיוון שישות אחרת הורתה לך לעשות זאת, ואין לך אמירה עצמאית לגבי המטרה, אתה המעבד.
דוגמאות מעשיות:
| תרחיש | תפקיד |
|---|---|
| קמעונאי מסחר אלקטרוני האוסף נתוני רכישה של לקוחות | בקר |
| ספק אירוח ענן המאחסן את מסד הנתונים של הקמעונאי | מעבד |
| פלטפורמת SaaS לשכר המעבדת נתוני עובדים עבור מעסיק | מעבד |
| סוכנות שיווק הבונת רשימת לקוחות פוטנציאליים משלה | בקר |
| ספק CRM הניגש לנתוני לקוחות כדי לספק תמיכה | מעבד |
ה-ICO מדגיש כי התווית בחוזה אינה קובעת את התפקיד, אלא ההתנהלות בפועל [1]. ספק המכונה "מעבד" בחוזה אך מקבל החלטות עצמאיות לגבי שימוש בנתונים הוא מבחינה משפטית בקר ללא קשר למה שההסכם אומר.
מהן האחריות העיקריות של בקר נתונים תחת ה-GDPR?
בקרים נושאים בנטל התאימות הכבד ביותר תחת ה-GDPR. הם אחראים לכל מחזור חיי הנתונים וחייבים לוודא שכל מעבד שהם מעסיקים עומד בתקני ה-GDPR [3].
חובות בקר ליבה כוללות:
- קביעה ותיעוד בסיס חוקי לכל פעילות עיבוד
- מתן הודעות פרטיות שקופות לנושאי נתונים
- הקלת זכויות נושאי נתונים, גישה, תיקון, מחיקה, ניידות והתנגדות
- ביצוע הערכות השפעה על הגנת נתונים (DPIAs) עבור עיבוד בסיכון גבוה
- מינוי קצין הגנת נתונים (DPO) היכן שנדרש
- ביצוע בדיקת נאותות לפני העסקת מעבדים וניטור תאימותם המתמשכת
- ביצוע הסכם עיבוד נתונים בכתב עם כל מעבד שהועסק [3]
בקרים אינם יכולים להוציא אחריות למיקור חוץ. גם כאשר מעבד גורם להפרה, הבקר נשאר אחראי לרשויות הפיקוח על בחירת המעבד שלו ועל הלימות ההגנות החוזיות.
מהן האחריות העיקריות של מעבד נתונים תחת ה-GDPR?
למעבדים יש חובות GDPR ישירות, לא רק חוזיות, והם אינם יכולים להתייחס לתאימות כבעיה של הבקר בלבד [3].
חובות מעבד ישירות תחת ה-GDPR כוללות:
- עיבוד נתונים רק על פי הוראות מתועדות מהבקר
- יישום אמצעי אבטחה טכניים וארגוניים מתאימים
- שמירת רישומים של כל פעילויות העיבוד שבוצעו בשם בקרים
- הודעה לבקר על כל הפרת נתונים ללא דיחוי בלתי סביר
- סיוע לבקר במילוי בקשות זכויות נושאי נתונים
- מחיקה או החזרה של כל הנתונים האישיים עם סיום החוזה
- העסקת מעבדי משנה רק באישור בכתב מראש מהבקר [3]
"למעבדים יש חובות ישירות תחת ה-GDPR, לא רק חובות חוזיות, והם חשופים לרגולציה אם הם פועלים מחוץ להוראות החוקיות של הבקר."
מי אחראי אם יש הפרת נתונים: בקר או מעבד?
שניהם יכולים להיות אחראים, אך היקף האחריות שונה. לפי סעיף 82 ל-GDPR, לכל אדם שסבל נזק מהפרת GDPR יש זכות לתבוע פיצויים מהבקר או מהמעבד האחראי [2].
בקרים אחראים לנזקים שנגרמו על ידי כל עיבוד המפר את ה-GDPR. מעבדים אחראים רק כאשר הם לא עמדו בחובות GDPR המופנות באופן ספציפי למעבדים, או כאשר הם פעלו מחוץ או בניגוד להוראות החוקיות של הבקר [2].
הקצאת אחריות בפועל:
- אם מעבד סובל מהפרה מכיוון שהבקר נתן הוראות אבטחה לא מספקות, הבקר נושא ככל הנראה באחריות העיקרית.
- אם מעבד התעלם מדרישות האבטחה של הבקר, המעבד נושא באחריות ישירה.
- שניהם יכולים להיות אחראים במשותף ובנפרד, כלומר נושא נתונים יכול לתבוע כל אחד מהצדדים עבור מלוא סכום הנזקים, ולהשאיר להם לחלק את האחריות ביניהם לאחר מכן.
מעבד יכול להימלט מאחריות על ידי הוכחה שלא היה אשם באירוע שגרם לנזק [2]. זהו רף גבוה: המעבד חייב להוכיח עמידה מלאה בחובות ה-GDPR שלו.
האם חברה יכולה להיות גם בקר וגם מעבד בו זמנית?
כן. ארגון יכול לפעול בו זמנית כבקר עבור פעילויות עיבוד מסוימות וכמעבד עבור אחרות, אפילו באותה מערכת יחסים עסקית [1].
לדוגמה, סוכנות שיווק דיגיטלי עשויה לפעול כבקר כאשר היא מנהלת את נתוני משאבי האנוש של עובדיה, וכמעבד כאשר היא מריצה קמפיינים פרסומיים באמצעות נתוני לקוחות של לקוח. התפקיד נקבע פעילות אחר פעילות, לא חברה אחר חברה.
האם מעבד יכול להפוך לבקר אם הוא משתמש בנתונים למטרותיו שלו?
מעבד הופך אוטומטית לבקר ברגע שהוא משתמש בנתונים אישיים למטרות החורגות מהוראות הבקר [1]. זו אחת מהסיווגים השגויים המשמעותיים ביותר בפועל.
אם ספק אנליטיקה בענן מתחיל לכרות נתוני לקוחות כדי לאמן את מודלי הבינה המלאכותית שלו ללא אישור, הוא חרג מתפקיד המעבד וקיבל מעמד של בקר עבור פעילות זו, עם כל חובות ה-GDPR הנלוות וחשיפה לאחריות. שום סעיף בחוזה אינו יכול למנוע סיווג מחדש זה; זה עניין של עובדה, לא של הסכמה.
כיצד הסכמי עיבוד נתונים מגנים על מעבדים מפני אחריות?
הסכם עיבוד נתונים (DPA) הוא מכשיר משפטי מחייב תחת ה-GDPR בכל פעם שבקר מעסיק מעבד [3]. עבור מעבדים, DPA מנוסח היטב הוא המנגנון העיקרי להגבלת חשיפה לאחריות.
DPA תואם חייב לציין:
- נושא, משך, אופי ומטרת העיבוד
- סוג הנתונים האישיים וקטגוריות נושאי הנתונים המעורבים
- חובות וזכויות הבקר
- דרישות סודיות עבור צוות מורשה
- אמצעי אבטחה שיש ליישם
- תנאים להעסקת מעבדי משנה
- נהלים להחזרה או מחיקה של נתונים בסיום החוזה [3]
כאשר מעבד פועל אך ורק במסגרת ה-DPA, האחריות לכל נזק שנגרם עוברת בעיקר לבקר. לעומת זאת, אם מעבד חורג מהוראות אלו, ה-DPA הופך לראיה לסטייה ולא למגן.
מה קורה אם מעבד מפר את כללי ה-GDPR?
מעבדים המפרים את ה-GDPR עומדים בפני קנסות רגולטוריים ואחריות אזרחית לנזקים. רשויות הפיקוח יכולות להטיל קנסות מנהליים ישירות על מעבדים, עד 20 מיליון אירו או 4% מהמחזור השנתי העולמי עבור ההפרות החמורות ביותר, הגבוה מביניהם [2].
מעבר לקנסות, מעבדים עומדים בפני תביעות לפי סעיף 82 מנושאי נתונים שסבלו נזק. הם עשויים גם לעמוד בפני אחריות חוזית כלפי הבקר תחת ה-DPA, כולל חובות שיפוי.
האם מעבדים זקוקים לקצין הגנת נתונים משלהם?
מעבדים כפופים לאותם ספי מינוי DPO כמו בקרים. מעבד חייב למנות DPO אם הוא מבצע ניטור שיטתי בקנה מידה גדול של יחידים, או מעבד קטגוריות מיוחדות של נתונים או נתוני הרשעות פליליות בקנה מידה גדול [1].
היותו מעבד אינו פוטר ארגון מדרישת ה-DPO. ספקי ענן גדולים רבים ופלטפורמות SaaS הפועלות כמעבדים נדרשים לשמור על DPO דווקא בגלל נפח ורגישות הנתונים שהם מטפלים בהם.
מה ההבדל בקנסות GDPR בין בקרים למעבדים?
מבנה הקנסות הדו-שכבתי של ה-GDPR חל באופן שווה על בקרים ומעבדים. שכבה ראשונה מכסה הפרות פחות חמורות (עד 10 מיליון אירו או 2% מהמחזור העולמי); שכבה שנייה מכסה את ההפרות החמורות ביותר, כולל עיבוד בלתי חוקי ואי כיבוד זכויות נושאי נתונים (עד 20 מיליון אירו או 4% מהמחזור העולמי) [2].
אין הנחה סטטוטורית למעבדים. עם זאת, בפועל, רשויות הפיקוח מעריכות אשמה, שיתוף פעולה ואת אופי ההפרה בעת קביעת סכומי הקנס, גורמים שעשויים להוביל לתוצאות שונות עבור בקרים לעומת מעבדים באותו אירוע.
האם למעבדי משנה יש אחריות שונה ממעבדים ראשיים?
מעבדי משנה נושאים באותן חובות GDPR כמו מעבדים ראשיים אך קשורים בחוזה למעבד הראשי ולא ישירות לבקר. ההבחנה הקריטית: המעבד הראשי נשאר אחראי באופן מלא לבקר על ביצועי מעבד המשנה [3].
אם מעבד משנה גורם להפרה, הסעד המשפטי של הבקר מופנה נגד המעבד הראשי. המעבד הראשי חייב אז לתבוע את מעבד המשנה בנפרד. מעבדי משנה עשויים גם לעמוד בפני פעולה רגולטורית ישירה מרשויות הפיקוח על הפרות ה-GDPR שלהם.
כללי מעבד משנה במבט חטוף:
- נדרש אישור בכתב מראש מהבקר לפני העסקת כל מעבד משנה
- המעבד הראשי חייב להטיל חובות הגנת נתונים מקבילות על מעבד המשנה
- המעבד הראשי אינו יכול להימלט מאחריות על ידי הצבעה על אשמת מעבד המשנה
כיצד קובעים אם אתה בקר או מעבד עבור העסק שלך?
הקביעה תלויה בשאלה אחת: האם הארגון שלך מחליט באופן עצמאי מדוע נתונים אישיים מעובדים? אם כן, אתה בקר. אם אתה מעבד נתונים רק מכיוון שישות אחרת הורתה לך לעשות זאת, ואין לך מטרה עצמאית, אתה מעבד [1].
רשימת בדיקה מעשית להחלטה:
- מי החליט לאסוף נתונים אלה מלכתחילה?
- מי קבע למה ישמשו הנתונים?
- האם לארגון שלך יש שיקול דעת לגבי אופן עיבוד הנתונים, או שאתה פועל לפי מפרטים של צד אחר?
- האם העיבוד ייפסק אם הצד השני יבטל את הוראותיו?
- האם אתה משתמש בנתונים למטרה כלשהי המועילה לארגון שלך באופן עצמאי?
אם תשובותיך מצביעות לכיוונים שונים על פני שאלות אלו, ייתכן שאתה בקר משותף, מצב הדורש הסדר שקיפות נפרד עם הצד השני [1].
מהן הטעויות הנפוצות שחברות עושות עם תפקידי בקר ומעבד?
סיווג שגוי הוא הטעות הנפוצה ביותר, והיא נושאת השלכות תאימות אמיתיות. ארגונים מניחים לעיתים קרובות שהיותם מכונים "ספק" או "נותן שירותים" בחוזה הופך אותם למעבד, כאשר התנהלותם בפועל מסווגת אותם כבקר.
טעויות נפוצות אחרות:
- דילוג על ה-DPA: בקרים המעסיקים מעבדים ללא DPA בכתב מפרים ישירות את ה-GDPR, ללא קשר למידת האבטחה של מערכות המעבד.
- אי בדיקת מעבדי משנה: בקרים מתעלמים לעיתים קרובות מכך שהמעבד שלהם העסיק מעבדי משנה ללא אישור או הגנות חוזיות מקבילות.
- הנחה שמעבדים מטפלים בזכויות נושאי נתונים: בקרים נשארים אחראים למענה לבקשות נושאי נתונים; מעבדים רק מסייעים.
- התעלמות מסיכון סיווג מחדש: מעבדים המרחיבים את שירותיהם ומתחילים להשתמש בנתוני לקוחות לצורך אנליטיקה, אימון מודלים או בנצ'מרקינג עשויים להפוך בטעות לבקרים מבלי לזהות את השינוי.
עבור ארגונים המנהלים הסכמות וזרימות נתונים על פני אתרים ונכסים דיגיטליים, פלטפורמת ניהול הסכמות כגון Biscotti CMP יכולה לעזור לבקרים לתעד בסיסים חוקיים ולנהל רישומי הסכמה, אלמנט יסודי באחריות הבקר תחת ה-GDPR.
כיצד עסק קטן צריך לטפל באחריות בקר מול מעבד?
עסקים קטנים אינם פטורים ממסגרת הבקר-מעבד של ה-GDPR. אם עסק קטן אוסף נתוני לקוחות, אפילו רק כתובות דוא"ל לניוזלטר, הוא בקר וחייב לעמוד בכל חובות הבקר.
צעדים מעשיים לעסקים קטנים:
- מפה כל כלי או ספק המטפל בנתונים אישיים בשמך (פלטפורמות דוא"ל, כלי אנליטיקה, מעבדי תשלומים, CRMs).
- ודא שקיים DPA חתום עם כל ספק.
- ודא שכל DPA של ספק עומד בדרישות המינימום של ה-GDPR.
- פרסם הודעת פרטיות תואמת המתארת במדויק את פעילויות העיבוד שלך.
- קבע תהליך למענה לבקשות נושאי נתונים בתוך חלון 30 הימים הסטטוטורי.
חוק הנתונים (שימוש וגישה) של בריטניה משנת 2026, שקיבל הסכמה מלכותית ב-19 ביוני 2026, מציג שינויים נוספים בחוק הגנת הנתונים שעסקים קטנים בבריטניה צריכים לבדוק עם יועץ משפטי כדי לוודא שחובות הבקר שלהם נשארות עדכניות [1].
שאלות נפוצות
ש: האם חברת SaaS היא תמיד מעבד? חברת SaaS היא מעבד רק כאשר היא מעבדת נתונים אישיים אך ורק בשם לקוחותיה וללא מטרה עצמאית. אם היא משתמשת בנתוני לקוחות לצורך אנליטיקה משלה, שיפור מוצרים או שיווק, היא הופכת לבקר עבור פעילויות אלו.
ש: האם מעבד צריך להירשם אצל רשות פיקוח? דרישות הרישום משתנות ממדינה חברה באיחוד האירופי. עם זאת, מעבדים חייבים לשמור רישומי פעילויות עיבוד פנימיים (RoPA) לפי סעיף 30 ל-GDPR אם הם מעסיקים 250 עובדים או יותר, או אם העיבוד צפוי לגרום לסיכון לנושאי נתונים.
ש: האם מעבד יכול לסרב להוראה של בקר? כן, אם ביצוע ההוראה ידרוש מהמעבד להפר את ה-GDPR. במקרים כאלה, המעבד צריך להודיע לבקר, ואם ההוראה לא תתוקן, ייתכן שיהיה עליו לסיים את מערכת היחסים.
ש: מהו הסדר בקר משותף? בקרים משותפים קיימים כאשר שתי ישויות או יותר קובעות במשותף את מטרות ואמצעי העיבוד. עליהם לתעד את אחריותם בהסדר שקוף ולהנגיש את מהות ההסדר לנושאי נתונים [1].
ש: כמה זמן DPA צריך להישאר בתוקף? DPA צריך להישאר בתוקף למשך מערכת היחסים של העיבוד. עם סיום, הוא קובע את חובת המעבד למחוק או להחזיר את כל הנתונים האישיים.
ש: האם מעבדים אחראים לקנסות שהוטלו על בקרים? לא. קנסות מוערכים נגד הישות שביצעה את ההפרה. עם זאת, מעבדים עשויים לעמוד בפני קנסות נפרדים על הפרותיהם שלהם, ועשויים לעמוד בפני תביעות שיפוי מבקרים תחת ה-DPA.
ש: האם ה-GDPR חל על מעבדים הממוקמים מחוץ לאיחוד האירופי? כן. ה-GDPR חל על מעבדים מחוץ לאיחוד האירופי כאשר הם מעבדים נתונים אישיים של תושבי האיחוד האירופי בשם בקרים מבוססי איחוד האירופי, או כאשר הם כפופים בדרך אחרת להיקף הטריטוריאלי של ה-GDPR לפי סעיף 3.
ש: מה ההבדל בין DPA לסעיף חוזי סטנדרטי? DPA מסדיר את מערכת היחסים בקר-מעבד באופן פנימי. סעיפים חוזיים סטנדרטיים (SCCs) הם מנגנונים חוזיים ספציפיים להעברת נתונים אישיים למדינות שלישיות מחוץ לאיחוד האירופי/EEA שאין להן החלטת הלימות.
מסקנה
בקר מול מעבד: הבנת האחריות שלך תחת ה-GDPR אינה תרגיל משפטי מופשט, היא קובעת מי עומד בפני קנסות רגולטוריים, מי מפצה נושאי נתונים, ומי אחראי לרשויות הפיקוח כאשר משהו משתבש. ההבחנה נשענת על שאלה עובדתית לגבי סמכות קבלת החלטות, לא על תוויות חוזיות.
צעדים מעשיים הבאים:
- בצע מיפוי נתונים כדי לזהות כל פעילות עיבוד ואת תפקיד הארגון שלך בכל אחת מהן.
- בקר חוזי ספקים קיימים כדי לוודא שקיימים DPAs תואמים עם כל מעבד שאתה מעסיק.
- סקור הסדרי מעבדי משנה כדי לוודא שקיים אישור מראש ומוטלות חובות מקבילות.
- אם אתה פועל הן כבקר והן כמעבד על פני פעילויות שונות, תעד כל תפקיד בנפרד.
- עבור ארגונים בבריטניה, סקור את ההשלכות של חוק הנתונים (שימוש וגישה) משנת 2026 עם יועץ משפטי מוסמך.
- פרוס פתרון לניהול הסכמות כגון Biscotti CMP כדי לשמור על רישומי הסכמה ניתנים לביקורת ולתמוך בחובות הבקר שלך.
סיווג שגוי אינו עניין טכני, הוא פער תאימות עם השלכות פיננסיות ומוניטין ישירות. קביעת התפקידים הנכונה מלכתחילה היא ההשקעה היעילה ביותר מבחינת עלות ב-GDPR שכל ארגון יכול לבצע.
הפניות
[1] What Are Controllers And Processors - https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/controllers-and-processors/controllers-and-processors/what-are-controllers-and-processors/?utm_source=openai
[2] Art 82 GDPR - https://gdpr-info.eu/art-82-gdpr/?utm_source=openai
[3] Controller And Processor Relationships - https://dataprotection.ie/en/organisations/know-your-obligations/controller-and-processor-relationships?utm_source=openai