DATABASE REGISTRATION · פרטיות ואבטחת מידע
רישום מאגר מידע — מתי עסק חייב, ומה קורה אם לא?
תיקון 13 הפך את רישום מאגרי המידע מחובה כמעט גורפת לחובה של מעטים. אבל מהצמצום הזה נולדה טעות מסוכנת: ״לא חייבים לרשום — סימן שאין חובות״. ההפך הוא הנכון: החובות שנשארו חלות על כל מאגר, רשום או לא, ורובן מוכרעות בתוכנה שאתם עובדים בה.
מה זה מרשם מאגרי המידע, ומי מנהל אותו?
חוק הגנת הפרטיות, התשמ״א-1981 מקים מרשם של מאגרי מידע, שמנהל ראש הרשות להגנת הפרטיות (סעיף 12 לחוק). במשך עשורים הרישום היה שער הכניסה של כמעט כל מאגר עסקי: חובה רחבה, מוכרת, ולעיתים קרובות לא מקוימת. תיקון 13, שנכנס לתוקף ב-14 באוגוסט 2025, הפך אותה לחובה ממוקדת שחלה על מעטים.
לפני ששואלים אם חייבים לרשום, כדאי לשאול אם יש בכלל ״מאגר מידע״. סעיף 3 לחוק מגדיר מאגר מידע כאוסף פרטי מידע אישי המעובד באמצעי דיגיטלי, ומחריג שני מקרים: אוסף לשימוש אישי שאינו למטרות עסק, ואוסף הכולל רק שם, מען ודרכי התקשרות לגבי 100,000 בני אדם או פחות — ובלבד שאין לבעל האוסף, או לתאגיד בשליטתו, אוסף אחר עם פרטים נוספים על אותם אנשים.
רוב העסקים חוצים את הסף הזה בלי לשים לב: ברגע שלצד רשימת הקשר יש היסטוריית הזמנות, חשבוניות או הערות על לקוחות — החריג לא חל, ויש מאגר מידע. הרחבנו על ההגדרה במאמר על תיקון 13 לחוק הגנת הפרטיות.
מי חייב ברישום מאגר מידע אחרי תיקון 13?
סעיף 8א(א) לחוק, כנוסחו אחרי התיקון, קובע שני מקרים בלבד שבהם מאגר חייב ברישום. הראשון: מאגר שמטרתו העיקרית היא איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה, לרבות שירותי דיוור ישיר, ויש בו מידע אישי על יותר מ-10,000 בני אדם — כלומר סוחרי מידע. השני: מאגר שבעל השליטה בו הוא גוף ציבורי — משרדי ממשלה ומוסדות מדינה, רשויות מקומיות וגופים הממלאים תפקידים ציבוריים על פי דין — אלא אם המאגר כולל מידע על עובדי הגוף בלבד.
המבחן הוא מה המאגר נועד לעשות, לא כמה הוא גדול. חנות שמנהלת מועדון לקוחות, קליניקה שמנהלת תיקי מטופלים או משרד שמנהל תיקי לקוחות — אוספים מידע לצרכיהם שלהם, לא כדי למכור אותו הלאה. אלה אינם סוחרי מידע, ולכן אינם חייבים ברישום, יהיה המאגר גדול ככל שיהיה.
שני חידודים משלימים את התמונה. ראש הרשות רשאי לפטור מרישום גם מאגר שחייב בו, אם שוכנע שהרישום אינו דרוש (סעיף 8א(א)(3)); וחובת הרישום כולה אינה חלה על מאגר שיש בו רק מידע שפורסם לרבים על פי סמכות כדין (סעיף 8א(ג)).
האם דיוור ללקוחות מחייב רישום מאגר מידע?
כאן נמצא בלבול נפוץ ששווה לפרק. החוק מבחין בין דיוור ישיר — פנייה ממוקדת לאדם על סמך מידע שבמאגר, מה שכל עסק עושה מול לקוחותיו — לבין שירותי דיוור ישיר: העברת רשימות ונתונים לאחרים, כשירות. דיוור ללקוחות שלכם אינו מקים כשלעצמו חובת רישום.
לעומת זאת, מי שנותן שירותי דיוור ישיר לאחרים אינו רשאי לעבד מידע במאגר כזה אלא אם המאגר רשום במרשם, ואחת ממטרותיו הרשומות היא שירותי דיוור (סעיף 17ד). ומי שסוחר ברשימות עם מידע על יותר מ-10,000 בני אדם נכנס ממילא לחובת הרישום הכללית של סעיף 8א. גם מי שפטור מרישום כפוף לכללי הדיוור הישיר עצמם — ובראשם זכותו של כל אדם לדרוש שמידע עליו יימחק ממאגר המשמש לדיוור ישיר (סעיף 17ו).
איך רושמים מאגר מידע, ומה קורה אחרי ההגשה?
מי שכן חייב ברישום מגיש בקשה לראש הרשות להגנת הפרטיות (סעיף 9 לחוק). הבקשה מפרטת:
- זהות בעל השליטה במאגר, מענו בישראל ודרכי ההתקשרות עימו, וזהות הממונה על הגנת הפרטיות;
- סוג השירות שנותן מחזיק המאגר לבעל השליטה, אם המאגר מוחזק אצל גורם חיצוני;
- מטרות הקמת המאגר והמטרות שלהן נועד המידע;
- סוגי המידע שייכללו במאגר;
- פרטים על העברת מידע אל מחוץ לגבולות המדינה ועל קבלת מידע דרך קבע מגוף ציבורי.
ראש הרשות רושם את המאגר בתוך 60 ימים מהגשת הבקשה, אלא אם יש יסוד סביר להניח שהמאגר משמש לפעולות בלתי חוקיות או שהמידע בו נאסף בניגוד לדין (סעיף 10(א)(1)). חלפה התקופה בלי הודעת סירוב או השהיה — רואים את המאגר כאילו נרשם, ואפשר לעבוד (סעיף 8א(א)(2)). הודיע ראש הרשות על סירוב או השהיה — אסור לעבד מידע במאגר, אלא אם בית המשפט קבע אחרת (סעיף 10(ב2)).
מה קורה אם לא רושמים מאגר שחייב ברישום?
האיסור עצמו חד: בעל שליטה במאגר חייב רישום לא יעבד בו מידע אישי, ולא ירשה לאחר לעבד בעבורו, כל עוד המאגר לא נרשם (סעיף 8א(א)(2)). ״לעבד״ בחוק הזה הוא כמעט כל דבר — קבלה, איסוף, אחסון, עיון, מסירה. עסק שחייב ברישום ולא נרשם פועל באיסור מתמשך, לא בעבירה טכנית חד-פעמית.
על ההפרה הזו נוסף מנגנון האכיפה שתיקון 13 העניק לרשות: ראש הרשות מוסמך להטיל עיצום כספי על עיבוד מידע במאגר חייב רישום שלא נרשם, על מסירת פרטים לא נכונים בבקשת רישום ועל אי-הודעה על שינוי בפרטים (סעיף 23כו(א)(1)). גם אי-מסירת הודעה על מאגר חייב הודעה מנויה שם. הסכומים קבועים בחוק, ובמאגרי ענק אף מוכפלים.
יש גם חשיפה אזרחית ישירה: אדם שהמידע עליו נמצא במאגר חייב רישום שלא נרשם, שדרש מבעל השליטה לרשום את המאגר ולא נענה בתוך 90 ימים, יכול לתבוע פיצויים לדוגמה שאינם תלויים בנזק (סעיף 15א(א)(1)). ומי שכבר נרשם — ההקפדה נמשכת: חובה לעדכן את הרשות על כל שינוי בפרטי הרישום (סעיף 9(ד)), וראש הרשות רשאי להתלות או לבטל רישום של מאגר שמפר את החוק (סעיף 10(ו)).
למה פטור מרישום אינו פטור מהחוק?
וכאן המלכודת שבגללה נכתב המאמר הזה. עסקים רבים שמעו ש״ביטלו את חובת הרישום״ והסיקו שדיני הפרטיות כבר לא נוגעים להם. אבל הרישום היה תמיד רק פרוצדורה — והחובות המהותיות מעולם לא היו תלויות בו. תיקון 13 דווקא חידד את זה: פחות ניירת, יותר אכיפה על מה שבאמת קורה למידע.
| החובה | היכן בחוק | האם תלויה ברישום? |
|---|---|---|
| רישום במרשם | ס׳ 8א(א) | חלה רק על סוחרי מידע וגופים ציבוריים |
| הודעה לרשות על מאגר רגיש גדול | ס׳ 8א(ב) | לא — חלה דווקא על מאגרים שאינם חייבים ברישום |
| אבטחת מידע | ס׳ 17 ותקנות אבטחת מידע, התשע״ז-2017 | לא — חלה על כל מאגר מידע |
| ממונה על הגנת הפרטיות | ס׳ 17ב1 | לא — נקבעת לפי אופי הפעילות והיקפה |
| יידוע בעת איסוף מידע | ס׳ 11 | לא — חלה על כל פנייה לאיסוף מידע למאגר |
| עיון, תיקון ומחיקה | ס׳ 13–14 | לא — זכות של כל אדם כלפי כל מאגר |
המרכזית שבחובות היא אבטחת המידע: בעל השליטה במאגר והמחזיק בו אחראים לאבטחת המידע שבו (סעיף 17(א)), ותקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 מפרטות מה זה אומר בפועל — מסמך הגדרות מאגר, ניהול הרשאות גישה, ורמות אבטחה שנקבעות לפי סוג המידע והיקפו. שום דבר מזה לא תלוי ברישום. לצידה: חובת הודעה לרשות כשמצטבר מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם (סעיף 8א(ב)), וחובת מינוי ממונה על הגנת הפרטיות למי שעונה על הקטגוריות שבסעיף 17ב1.
ומול כל אלה עומדות זכויות של אנשים: לדעת בשעת איסוף המידע מי אוסף, לאיזו מטרה ומה זכויותיהם (סעיף 11), לעיין במידע עליהם (סעיף 13) ולדרוש את תיקונו או מחיקתו (סעיף 14). סירוב שלא כדין לאפשר עיון, או הסכמה לתקן שלא בוצעה, חושפים את העסק לפיצויים לדוגמה לפי סעיף 15א — בלי קשר לשאלת הרישום.
שימו לב מה משותף לכל הרשימה: אף אחת מהחובות האלה לא מקוימת בטופס. מי רואה אילו נתונים, האם אפשר לאתר כל מה שנשמר על אדם ולמחוק אותו, האם הגישה מתועדת — כל אלה נקבעים באיך שהמערכת בנויה. מערכת שמנהלת מידע רגיש — תיק לקוח במשרד עורכי דין הוא הדוגמה המובהקת — חייבת הרשאות, הצפנה ותיעוד כברירת מחדל, ומערכת שנבנתה סביב העבודה שלכם עונה על דרישת המחיקה בלחיצה, במקום בחיפוש ידני בין קבצים פזורים.
איך אנחנו עובדים עם זה. ב-appotto שאלות הפרטיות נבדקות בשלב האפיון, לא אחרי העלייה לאוויר: אילו סוגי מידע המערכת תחזיק, מי ניגש אליהם, איך ממומשות זכויות העיון והמחיקה. כל סוגיה משפטית עוברת בדיקה אצל היועץ המשפטי של בית התוכנה, כך שהמערכת שמתקבלת עונה על הדרישות מהיום הראשון — וזה חלק ממה שמסביר את מרכיבי עלות הפיתוח.
אם אתם לא בטוחים איפה העסק שלכם עומד — האם יש לכם בכלל מאגר, האם אתם קרובים לאחד הספים, ואיך המערכת הנוכחית שלכם עומדת בדרישות — כתבו לנו בקצרה מה אתם מנהלים והיכן.
שאלות נפוצות
מי חייב ברישום מאגר מידע אחרי תיקון 13?
לפי סעיף 8א לחוק הגנת הפרטיות, חובת הרישום חלה בשני מקרים בלבד: מאגר שמטרתו העיקרית היא איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה, ויש בו מידע על יותר מ-10,000 בני אדם; ומאגר שבעל השליטה בו הוא גוף ציבורי, אלא אם הוא כולל מידע על עובדי הגוף בלבד. רוב העסקים הפרטיים אינם חייבים עוד ברישום.
מה קורה אם לא רושמים מאגר מידע שחייב ברישום?
אסור לעבד מידע אישי במאגר חייב רישום שלא נרשם. ראש הרשות להגנת הפרטיות מוסמך להטיל על ההפרה עיצום כספי לפי סעיף 23כו, ואדם שהמידע עליו נמצא במאגר ודרש לרשום אותו — בלי שנענה בתוך 90 ימים — יכול לתבוע פיצויים לדוגמה שאינם תלויים בנזק לפי סעיף 15א.
עסק שפטור מרישום מאגר מידע — פטור גם משאר החובות?
לא. חובת אבטחת המידע לפי סעיף 17 ותקנות אבטחת מידע חלה על כל מאגר מידע, רשום או לא. כך גם חובת היידוע בעת איסוף מידע, זכויות העיון והתיקון של כל אדם, וחובת ההודעה לרשות כשמצטבר מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם.
איך רושמים מאגר מידע ברשות להגנת הפרטיות?
מגישים בקשה לראש הרשות ובה פרטי בעל השליטה במאגר, מטרות המאגר, סוגי המידע, פרטים על העברת מידע לחוץ לארץ ועל קבלת מידע דרך קבע מגוף ציבורי. ראש הרשות רושם את המאגר בתוך 60 ימים, אלא אם יש יסוד סביר להניח שהמאגר משמש לפעולות בלתי חוקיות. חלפה התקופה בלי סירוב או השהיה — רואים את המאגר כאילו נרשם.
האם שליחת דיוור ללקוחות מחייבת רישום מאגר מידע?
דיוור של עסק ללקוחותיו שלו אינו מקים כשלעצמו חובת רישום. החוק דורש רישום כשמדובר בשירותי דיוור ישיר — העברת רשימות ונתונים לאחרים: מאגר כזה חייב להיות רשום במרשם ואחת ממטרותיו הרשומות חייבת להיות שירותי דיוור, לפי סעיף 17ד. מי שסוחר ברשימות עם מידע על יותר מ-10,000 בני אדם נכנס גם לחובת הרישום הכללית.
מקורות
- מקור ראשוני: חוק הגנת הפרטיות, התשמ״א-1981 — נוסח משולב, ויקיטקסט — הגדרות ס׳ 3, ס׳ 8א, 9, 10, 12, 15א, 17, 17ב1, 17ד, 17ו, 23 ו-23כו.
- מקור ראשוני: תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 — ויקיטקסט — החובות שאינן תלויות ברישום.
- הרשות להגנת הפרטיות — תיקון 13 לחוק הגנת הפרטיות
- חוק הגנת הפרטיות, התשמ״א-1981 — נבו
לא בטוחים אילו חובות חלות על המידע שאתם מחזיקים?
ספרו לנו איזה מידע העסק שלכם מנהל ובאילו כלים. נעבור על זה איתכם — כולל בדיקה אצל היועץ המשפטי של בית התוכנה — ותקבלו תמונה ברורה והצעת מחיר סגורה מראש. ייעוץ ראשוני ללא עלות.
שלחו לנו מייל