מאגר מידע - איך עומדים בהוראות החוק

מה נחשב מאגר מידע לפי החוק

רבים מבעלי העסקים בישראל אינם יודעים שהם מחזיקים מאגר מידע במובן החוקי. רשימת לקוחות בגיליון אלקטרוני, תיקי מטופלים במחשב של קליניקה, מערכת הזמנות של מסעדה או רשימת נרשמים לניוזלטר - כל אלה עשויים להיחשב מאגר מידע, וכל אחד מהם מטיל על הארגון חובות. לפי ההגדרה המעודכנת בחוק הגנת הפרטיות, מאגר מידע הוא אוסף של פרטי מידע אישי שמעובד באמצעי דיגיטלי. ההגדרה אינה מתנה את קיום המאגר בגודל מסוים או בסוג מסוים של עסק, ולכן היא חלה על עסק של אדם אחד ממש כמו על תאגיד גדול.

לצד ההגדרה הרחבה קבע המחוקק שני חריגים. הראשון הוא אוסף לשימוש אישי שאינו משמש למטרות עסק, למשל אנשי הקשר בטלפון הפרטי. השני הוא אוסף שכולל אך ורק שם, מען ודרכי התקשרות, של 100,000 בני אדם או פחות, שאינו מלמד על שום מידע נוסף עליהם, ובתנאי שלבעל האוסף אין אוסף אחר על אותם אנשים. אוסף פרטי קשר של יותר מ-100,000 בני אדם נחשב מאגר מידע גם כשאין בו שום נתון מעבר לשם, כתובת וטלפון.

כדי להבין אם החריג השני חל, כדאי לשאול שאלה פשוטה: האם הרשימה עצמה מגלה משהו על האנשים שבה? רשימת לקוחות של חנות לתוספי תזונה, למשל, עשויה ללמד על מצבם הבריאותי של הקונים גם כשיש בה רק שמות וטלפונים. במקרה כזה החריג אינו חל.

מושג חשוב נוסף הוא "עיבוד". החוק מגדיר עיבוד ככל פעולה במידע אישי: קבלה, איסוף, אחסון, העתקה, עיון, גילוי, העברה ומתן גישה. המשמעות המעשית היא שגם ארגון שרק שומר מידע ואינו עושה בו דבר נוסף מעבד אותו בעיני החוק. עסק שמנהל את לקוחותיו במערכת לניהול לקוחות (CRM) מעבד מידע אישי בכל פעם שעובד פותח כרטיס לקוח, ובכל פעם שהמערכת שולחת תזכורת אוטומטית. התחרות על איסוף נתונים מצד חברות, שמשתמשות בהם כדי להתאים פרסום ומוצרים להעדפות הציבור, היא בדיוק מה שהחוק מבקש להגביל: המידע מותר לשימוש, אבל בתנאים.

מי אחראי למאגר: בעל שליטה, מחזיק ומה השתנה

תיקון 13 שינה את מפת האחריות סביב המאגר. במרכזה עומד כעת "בעל השליטה במאגר" - הארגון שקובע את מטרות העיבוד, כלומר מחליט לשם מה נאסף המידע ומה ייעשה בו. לצדו מופיע "המחזיק", שהוא כל גורם חיצוני שמעבד מידע עבור בעל השליטה: חברת אחסון ענן, משרד הנהלת חשבונות שמקבל את נתוני העובדים, ספק מערכת שכר או חברת שיווק שמפעילה קמפיין עבור הלקוח שלה.

ההבחנה חשובה משום שהיא מגדירה מי נושא באילו חובות. בעל השליטה הוא שאחראי לשאלה אם מותר בכלל לאסוף את המידע, לאיזו רמת אבטחה המאגר שייך ואם צריך לרשום אותו. המחזיק אחראי לעיבוד שהוא עצמו מבצע, וגם הוא כפוף להוראות. בקרה על מיקור חוץ היא חלק מהחובות של בעל השליטה, ואי עמידה בה נושאת עיצום משלה.

שינוי בולט נוגע למנהל המאגר. בעבר היה על גוף פרטי למנות מנהל מאגר, ואותו מנהל נשא באחריות אישית לאבטחת המידע. התיקון ביטל את חובת מינוי מנהל מאגר בגוף פרטי, ואיתה גם את האחריות האישית שלו לאבטחה. אין להסיק מכך שהאחריות נעלמה: היא עברה לבעל השליטה, כלומר לארגון עצמו, ובמקרים מסוימים מתווספת אליה חובה למנות ממונה ייעודי, כפי שיוסבר בהמשך.

מי שחייב לעמוד בהוראות? כמעט כל ארגון. רשויות מקומיות, כמו עיריות ומועצות, מחזיקות מידע רב על התושבים. חברות מחזיקות מספרי תעודת זהות, כתובות ופרטי תשלום של לקוחות. מעסיקים מחזיקים מידע על עובדים, ומידע כזה קשור גם לזכויות העובדים בישראל, למשל בתלושי שכר ובתיקים אישיים. כל ארגון שמשתמש במידע על אנשים לצורכי עיסוקו נמצא בתוך מעגל התחולה, ושאלת הגודל משפיעה רק על היקף החובות ולא על עצם קיומן.

רישום מאגר והודעה לרשות - מי חייב ומתי

הרשות להגנת הפרטיות מנהלת את פנקס מאגרי המידע, ותיקון 13 צמצם מאוד את רשימת המאגרים שחייבים להירשם בו. חובת הרישום נשארה רק לשני סוגי מאגרים: מאגר של גוף ציבורי, ומאגר שמטרתו העיקרית מסירת מידע לאחר עם מידע על 10,000 בני אדם ומעלה.

מאגר של גוף ציבורי

גוף ציבורי חייב לרשום את מאגריו, למעט מאגר שכולל מידע על עובדיו בלבד. משרד ממשלתי שמחזיק מאגר של מבקשי שירות חייב לרשום אותו, אבל מאגר משאבי האנוש של אותו משרד פטור מרישום.

מאגר שמטרתו מסירת מידע לאחרים

הסוג השני הוא מאגר שמטרתו העיקרית איסוף מידע כדי למסור אותו לאחר כדרך עיסוק או בתמורה, וזה כולל מאגר לדיוור ישיר. כשיש במאגר כזה מידע על 10,000 בני אדם ומעלה, הוא חייב ברישום. חברה שאוספת פרטי צרכנים ומוכרת רשימות לגורמי שיווק, או מפעילה שירותי שליחת דיוור עבור אחרים, צריכה לבדוק היטב את הסעיף הזה. מי שמתעניין בדיוור אלקטרוני כערוץ שיווק צריך לזכור שמאחורי כל רשימת תפוצה עומד מאגר מידע.

מאגר שכבר רשום

מאגר שנרשם לפני התיקון ואינו חייב עוד ברישום נשאר במרשם. כדי להוציא אותו ממנו, בעל השליטה צריך לבקש את מחיקתו.

חובת הודעה במקום רישום

לצד הרישום נוצרה חובה נפרדת: מאגר שאינו חייב ברישום אבל יש בו מידע בעל רגישות מיוחדת על יותר מ-100,000 איש חייב בהודעה לרשות בתוך 30 יום. ההודעה כוללת את פרטי בעל השליטה, את פרטי הממונה על הגנת הפרטיות כשחלה חובה למנות אותו, ועותק של מסמך הגדרות המאגר. רשת מרפאות פרטית, לדוגמה, אינה גוף ציבורי ואינה סוחרת במידע, ולכן אינה חייבת ברישום, אבל אם יש לה מידע רפואי על יותר מ-100,000 מטופלים, היא חייבת בהודעה. אי רישום או אי מסירת הודעה הם הפרה עצמאית שנושאת עיצום כספי, גם כשהמאגר מאובטח היטב.

ארבע רמות האבטחה - לאיזו רמה המאגר שייך

תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, פורסמו ב-8.5.2017 ונכנסו לתוקף שנה מיום פרסומן. התקנות חלות על כל מי שמנהל או מחזיק מאגר מידע, אבל אינן דורשות מכולם את אותו הדבר: הן מחלקות את המאגרים לארבע רמות לפי אופי השימוש, זהות המחזיק, היקף המידע ורגישותו.

מאגר המנוהל בידי יחיד

זו הרמה הקלה ביותר. היא חלה על מאגר שמנוהל בידי אדם יחיד ולכל היותר שני בעלי הרשאה נוספים. היא אינה חלה על מאגר לדיוור ישיר או לסחר במידע, על מאגר עם מידע על 10,000 אנשים ומעלה, ועל מאגר שחלה עליו סודיות מקצועית לפי דין או כללי אתיקה.

רמה בסיסית

רמה זו חלה על כל מאגר שאינו בידי יחיד ואינו עונה להגדרות של רמה בינונית או גבוהה. היא כוללת, למשל, מאגר לקוחות של עסק בינוני שאין בו מידע רגיש.

רמה בינונית

רמה בינונית חלה על מאגר לסחר במידע או לדיוור ישיר, על מאגר של גוף ציבורי ועל מאגר עם מידע רגיש: בריאות, מידע גנטי, דעות, עבר פלילי, מידע ביומטרי, מצב כלכלי ועוד. יש לכך חריג משמעותי: מאגר עם מידע רגיש יורד לרמה הבסיסית אם המידע בו נוגע לעובדים או לספקים ומשמש לניהול העסק בלבד, או אם מספר בעלי ההרשאה אצל בעל המאגר אינו עולה על 10.

קחו מקרה טיפוסי: קליניקה לפיזיותרפיה עם שמונה בעלי הרשאה למערכת התיקים הרפואיים. המידע רפואי ולכן רגיש, והקליניקה כפופה לסודיות מקצועית, כך שאינה יכולה ליהנות מהרמה של מאגר בידי יחיד. אבל מאחר שמספר בעלי ההרשאה אינו עולה על 10, המאגר שלה שייך לרמה הבסיסית ולא לרמה הבינונית. אם הקליניקה תגדל ותעניק הרשאה לאחד-עשר אנשים, היא תעבור לרמה הבינונית.

רמה גבוהה

רמה גבוהה חלה על מאגר לסחר במידע או על מאגר עם מידע רגיש, כולל של גוף ציבורי, כשיש בו מידע על 100,000 אנשים ומעלה, או כשמספר בעלי ההרשאה בו עולה על 100.

מקור: תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017; סכומי העיצומים לפי המדריך המקצועי של הרשות להגנת הפרטיות לתיקון 13.

החובות המעשיות: מסמכים, נהלים, הרשאות ודיווח

מטרת התקנות היא לצמצם ככל האפשר את החשיפה של מידע אישי ולמנוע ממנו לזלוג לגורמים שאינם מורשים לראות אותו. בפועל הן מתורגמות לשורה של חובות שבעל המאגר צריך לקיים, והיקפן גדל ככל שהרמה עולה. אלה החובות המרכזיות:

• הכנת מסמך הגדרות המאגר, שמתאר איזה מידע נאסף, למה, היכן הוא מאוחסן ומי רשאי לגשת אליו.
• כתיבת נוהל אבטחה שמגדיר כללי עבודה עם המאגר.
• מיפוי המערכות שבהן המידע נמצא, ובמאגרים ברמה גבוהה גם סקר סיכונים.
• אבטחה פיזית וסביבתית של המקום שבו מאוחסן המידע, ותיעוד של השימוש במאגר.
• ניהול כוח האדם שיש לו גישה למאגר, בהתאם לרמת האבטחה.
• ניהול הרשאות גישה כך שרק מי שזקוק למידע לצורך תפקידו יוכל לראות אותו.
• תיעוד אירועי אבטחה ודיון בהם.
• הגבלת השימוש בהתקנים ניידים.
• ביקורות תקופתיות על רמת האבטחה.

חלק מהחובות נוגע ישירות לתחזוקה טכנית בסיסית: עדכוני תוכנה, סיסמאות חזקות, גיבוי והצפנה. מי שרוצה להתחיל מהבסיס יכול לעיין במדריך פעולות להגנה על המחשב והמידע שבו, שמתאר צעדים שגם עסק קטן יכול ליישם.

דיון באירועי אבטחה ודיווח לרשות

התקנות קובעות תדירות מינימלית לדיון באירועי אבטחה: לפחות פעם בשנה ברמה הבינונית, ולפחות פעם ברבעון ברמה הגבוהה. באירוע אבטחה חמור בעל המאגר חייב להודיע לרשות להגנת הפרטיות באופן מיידי ולדווח על הצעדים שנקט. החובה הזו אינה עניין טכני: אי דיווח על אירוע חמור נמנה עם ההפרות בדרגה העליונה בתקנות, כלומר 80,000 ש"ח ברמה בינונית ו-320,000 ש"ח ברמה גבוהה.

העיצום הראשון לפי תיקון 13: קופת חולים מאוחדת

ביולי 2026 הטילה הרשות להגנת הפרטיות את העיצום הכספי הראשון מאז כניסת תיקון 13 לתוקף. הקופה שנקנסה היא קופת חולים מאוחדת, והסכום עמד על 256,000 ש"ח לאחר הפחתות. העילה הייתה אי דיווח מיידי על אירוע אבטחה חמור: לפי הרשות, הקופה ידעה על האירוע בנובמבר 2025 ודיווחה עליו רק בינואר 2026, באיחור של כחודשיים. המקרה ממחיש שהרשות רואה בעיתוי הדיווח הפרה בפני עצמה, גם בלי קשר לשאלה איך התרחש האירוע ומה הנזק שנגרם בו. ארגון שמגלה אירוע חמור צריך להפעיל מיד את נוהל הדיווח, ולא להמתין לסיום הבירור הפנימי.

ממונה על אבטחת מידע וממונה על הגנת הפרטיות

החוק מכיר בשני תפקידים שונים, ולא כל ארגון חייב בשניהם. התפקיד הראשון הוא ממונה על אבטחת מידע, שאחראי להיבט הטכני והארגוני של הגנה על המאגר. התפקיד השני, שנוסף בתיקון 13, הוא ממונה על הגנת הפרטיות, שאחראי לשאלה הרחבה יותר: האם הארגון מעבד את המידע כדין.

מי חייב למנות ממונה על אבטחת מידע

החובה חלה על בעל שליטה או מחזיק בחמישה מאגרים שחייבים ברישום או בהודעה, על גוף ציבורי, על בנק, על חברת ביטוח ועל חברה לדירוג או להערכת אשראי.

מי חייב למנות ממונה על הגנת הפרטיות

החובה חלה על גוף ציבורי ועל מי שמחזיק מאגר עבורו, על סוחר במידע עם מידע על יותר מ-10,000 בני אדם, על גוף שעיסוקו העיקרי מחייב ניטור שיטתי של בני אדם בהיקף ניכר, ועל גוף שעיסוקו העיקרי הוא עיבוד מידע רגיש בהיקף ניכר. החוק מונה במפורש בנקים, חברות ביטוח, בתי חולים וקופות חולים כגופים שחייבים במינוי. חובת המינוי נכנסה לתוקף יחד עם התיקון כולו, ב-14.8.2025.

מה קבעה הרשות בגילוי הדעת מיולי 2026

המונח "היקף ניכר" עורר שאלות רבות, וב-14 ביולי 2026 פרסמה הרשות גילוי דעת בנושא. לפי גילוי הדעת, ל"היקף ניכר" אין סף כמותי אחד, ולכן כל ארגון צריך לבחון את נסיבותיו ולא להסתמך על מספר מסוים. עוד נקבע שהממונה יכול להיות עובד של הארגון או נותן שירות חיצוני, ושרק אדם יחיד יכול להתמנות לתפקיד, ולא חברה או צוות.

בפועל, ארגון בינוני שמעבד מידע רפואי או כלכלי כחלק מליבת עיסוקו, כמו רשת מרפאות, מכון בדיקות או חברת מימון, צריך לבחון ברצינות אם הוא נכנס להגדרה. הבחירה במי למנות אינה עניין טכני בלבד: הממונה צריך להכיר את המאגרים, את מטרות העיבוד ואת ספקי החוץ שמחזיקים מידע עבור הארגון, ולשמש כתובת לבירורים פנימיים ולפניות של הרשות.

עיצומים, תביעות ועבירות - מה עולה הפרה

הפרת הוראות החוק והתקנות חושפת את הארגון לשלושה מסלולים במקביל: עיצום כספי מנהלי של הרשות להגנת הפרטיות, תביעה אזרחית של מי שהמידע עליו נפגע, ובמקרים מסוימים גם אחריות פלילית.

עיצומים על הפרת תקנות האבטחה

התקנות מחלקות את ההפרות לשלוש דרגות חומרה, והסכום נקבע לפי הדרגה ולפי רמת האבטחה של המאגר:

מקור: הרשות להגנת הפרטיות - מדריך מקצועי לתיקון 13. השורות של מעל מיליון נושאי מידע מחושבות לפי כפל הסכומים שקבע החוק.

עיצומים נוספים

• אי רישום מאגר או אי מסירת הודעה: 150,000 ש"ח, וכפל הסכום במאגר שבו מעל מיליון נושאי מידע.
• אי מתן זכות עיון, או אי מחיקה ממאגר דיוור ישיר לבקשת אדם: 15,000 ש"ח.
• עיבוד מידע שלא כדין: 4 ש"ח לכל נושא מידע, ו-8 ש"ח כשמדובר במידע רגיש, ולא פחות מ-200,000 ש"ח להפרה.

הפחתות ותקרות

החוק מאפשר הפחתה של עד 70% מהעיצום. כך, מי שהפסיק את ההפרה ודיווח עליה מיוזמתו יכול לקבל הפחתה של 30%. לעסקים קטנים, עם מחזור של 4 עד 10 מיליון ש"ח, ולעסקים זעירים, עם מחזור של עד 4 מיליון ש"ח, נקבעו תקרות מיוחדות. בכל מקרה, העיצום הכולל לא יעלה על 5% מהמחזור השנתי של הגוף.

תביעות אזרחיות

אדם שנפגע יכול לתבוע פיצוי ללא הוכחת נזק של עד 10,000 ש"ח, למשל כשמאגר שחייב ברישום לא נרשם, כשלא ניתנה לו זכות עיון במידע עליו, או כשהמידע נאסף בלי ההודעה שהחוק מחייב. ההתיישנות המקוצרת של שנתיים בוטלה, וחלה ההתיישנות הכללית של 7 שנים או יותר, אבל רק על עילה שנוצרה אחרי כניסת התיקון לתוקף.

עבירות פליליות

התיקון הוסיף עבירות חדשות: עיבוד מידע ללא הרשאה ומסירת פרטים כוזבים בפנייה לאיסוף מידע דינם עד 3 שנות מאסר, הטעיית הרשות דינה עד שנתיים, והפרעה לרשות במילוי תפקידה דינה עד 6 חודשים.

סדר פעולות לבדיקת עמידה בחוק

האכיפה בתחום התהדקה מאז כניסת התיקון לתוקף, והעיצום על קופת חולים מאוחדת מראה שהרשות מפעילה את סמכויותיה בפועל. ארגון שרוצה לבדוק את מצבו יכול לעבוד לפי הסדר הבא, שמתאים גם לעסק קטן:

1. מיפוי כל אוספי המידע בארגון, כולל אלה שמוחזקים אצל ספקים חיצוניים, הוא הצעד הראשון שכל השאר נשען עליו. כדאי לרשום לכל אוסף איזה מידע יש בו, על כמה אנשים, למה הוא משמש ומי ניגש אליו.
2. בדיקה אם אחד החריגים חל, למשל אוסף פרטי קשר בלבד של 100,000 בני אדם או פחות.
3. בדיקה אם המאגר חייב ברישום, כגוף ציבורי או כמאגר לסחר במידע ולדיוור ישיר עם 10,000 בני אדם ומעלה, או בהודעה לרשות, כמאגר רגיש עם יותר מ-100,000 איש.
4. קביעת רמת האבטחה לפי סוג המידע, מספר האנשים ומספר בעלי ההרשאה, כולל בדיקה אם חל החריג של 10 בעלי הרשאה או של מידע על עובדים וספקים.
5. הכנת מסמך הגדרות המאגר ונוהל האבטחה, וקביעת לוח זמנים לדיון באירועי אבטחה ולביקורות.
6. בדיקה אם חלה חובה למנות ממונה על אבטחת מידע או ממונה על הגנת הפרטיות.
7. הגדרת נוהל דיווח מיידי לרשות על אירוע אבטחה חמור, עם אחראי ברור ומספרי טלפון זמינים.
8. בדיקת החוזים עם ספקים שמחזיקים מידע, כדי לוודא שקיימת בקרה על מיקור החוץ.

כדאי לזכור שהגנת הפרטיות היא רק אחת מהחובות הרגולטוריות שחלות על פעילות דיגיטלית של עסק. אתר שאוסף פרטים בטופס הרשמה, למשל, כפוף גם לחובות אחרות, כמו אלה שמתוארות במדריך הנגשת אתרי אינטרנט ואפליקציות. בדיקה מסודרת אחת שעוברת על כל החובות יחד חוסכת עבודה כפולה, ומאפשרת לטפל בכל טופס ובכל מערכת פעם אחת.

מקורות

• הרשות להגנת הפרטיות - מדריך מקצועי לתיקון 13 לחוק הגנת הפרטיות
• הרשות להגנת הפרטיות - תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017
• הרשות להגנת הפרטיות - גילוי דעת בעניין תיקון 13 ומינוי ממונה על הגנת הפרטיות
• כלכליסט - העיצום הראשון לפי תיקון 13 על קופת חולים מאוחדת