אחריות ספקים לפי תיקון 13: למה בעל השליטה במידע נשאר אחראי

לא. אם ספק שאתם משלמים לו פוגע במידע האישי של הלקוחות שלכם, האחריות המשפטית נשארת שלכם — לא במשותף, לא בחלקיות. אתם בחרתם את הספק, והחוק מתייחס לבחירה הזו כמשהו שעליכם לתת עליו דין וחשבון.

תיקון 13 לחוק הגנת הפרטיות הפך את זה למפורש. מינוי מעבד — פלטפורמת שכר, כלי תמיכה, עוזר בינה מלאכותית שהצוות שלכם התחיל להשתמש בו — לא פוטר אתכם מהחובות שלכם כבעלי השליטה במידע. אתם נשארים אחראים למה שהמעבד הזה עושה עם המידע, אלא אם תוכלו להראות שהפעלתם עליו פיקוח אמיתי. סעיף 28 ל-GDPR קובע רף דומה לגבי מידע עם זיקה לאיחוד האירופי: בעל שליטה במידע רשאי להשתמש רק במעבד שמציע “ערבויות מספקות” להגנה על המידע, ובעל השליטה במידע נשאר אחראי לוודא זאת.

מה זה “בעל שליטה במידע” ו”מעבד” בהקשר הזה

אתם בעלי השליטה במידע לגבי כל מידע אישי שאתם מחליטים לאסוף ולמה — רשימת הלקוחות שלכם, מידע על מועמדים, רשומות מטופלים. ספק הוא מעבד כאשר הוא מטפל במידע הזה לפי ההוראות והמטרות שלכם — מארח אותו, מריץ אותו דרך מודל, שומר אותו בתור תמיכה. ההגדרה לא תלויה בגודל הספק או במוניטין שלו. פלטפורמת בינה מלאכותית מוכרת עדיין נחשבת מעבד, ואתם עדיין בעלי השליטה במידע, ברגע שהמידע של הלקוחות שלכם עובר דרכה.

מה נדרש בפועל בשביל “פיקוח ראוי”

פיקוח הוא לא חתימה חד-פעמית על חוזה. בפועל זה אומר לדעת, באופן שוטף: מה הספק מוגדר בפועל לעשות עם המידע (לא רק מה שכתוב בדף השיווק שלו), האם קיים הסכם עיבוד נתונים חתום, היכן המידע מעובד בפועל ועל ידי אילו תת-מעבדים, ומה קורה למידע אם תפסיקו להשתמש בספק. מדיניות פרטיות שהייתה נכונה כשנכתבה לפני שנתיים, ולא נבדקה מאז, היא לא פיקוח — היא נייר עבודה שהפסיק לעקוב אחרי המערכת שהוא אמור לתאר.

מה זה אומר בפועל

זו הסיבה ש”אנחנו משתמשים בספק מוכר” היא לא הגנה מספקת בפני עצמה. לקוח, מבטח או הרגולטור ששואלים לאן המידע הולך שואלים שאלה שרק אתם יכולים לענות עליה — לא הספק שלכם. אם תכונת הבינה המלאכותית של הספק שלכם התחילה להתאמן על הקלט של הלקוחות שלכם בלי הודעה, או שתת-מעבד השתנה בלי הודעה, זו עדיין החשיפה שלכם — גם אם לא ידעתם על כך.

זו גם הסיבה שהעבודה בעלת התועלת הגבוהה ביותר היא לא כתיבת מדיניות חדשה — היא בירור מה חשבונות הספקים הקיימים שלכם מוגדרים בפועל לעשות, וסגירת הפער בין זה למה שהנייר שלכם טוען.

איך DataCycles משתלבת בזה

זה ההיגיון מאחורי שלב הבדיקה (Assess): קריאת הגדרות הספק ישירות במקום להסתמך על תשובות לשאלון, כך שהתשובה לשאלה “מה ספק הבינה המלאכותית שלנו עושה בפועל עם המידע הזה” היא משהו שאתם יכולים להוכיח, לא משהו שאתם מקווים שנכון. ראו מה אנחנו בודקים לפרטים.