“כבר לא צריך לרשום מאגרים” הפכה לאמירה רווחת בשוק מאז שתיקון 13 נכנס לתוקף. היא נכונה חלקית, והחלק שאינו נכון הוא זה שעולה כסף.
הרישום היה מנגנון בירוקרטי מוכר: ממלאים טופס, מקבלים מספר מאגר, ומרגישים שהנושא סגור. ביטולו החלקי יצר אצל ארגונים רבים תחושה שהנושא ירד מהשולחן. בפועל קרה ההפך, מה שנחסך בבירוקרטיה עבר לחובות מהותיות שנבדקות באכיפה.
מי עדיין חייב ברישום
חוק מחייבסעיף 8א מותיר את חובת הרישום על שתי קטגוריות בלבד:
- מאגרים של גופים ציבוריים, למעט מאגרים שכוללים אך ורק מידע על עובדי הגוף.
- מאגרים שמטרתם העיקרית היא איסוף מידע אישי לצורך מסירתו לאחרים כעיסוק או בתמורה, לרבות שירותי דיוור ישיר, כשהמאגר כולל מידע על יותר מ-10,000 אנשים.
ארגון עסקי רגיל שמנהל מאגר לקוחות, מאגר עובדים או מאגר לידים לשימושו שלו, אינו נכנס לאף אחת מהשתיים. זו הסיבה שרוב הארגונים באמת לא חייבים ברישום היום.
מי חייב בהודעה לרשות
חוק מחייבבמקום הרישום נוצרה חובת הודעה. היא חלה על מאגר שאינו חייב ברישום, אך מכיל מידע בעל רגישות מיוחדת על יותר מ-100,000 אנשים. ההודעה נמסרת לרשות בתוך 30 יום.
שלושת המרכיבים של ההודעה:
- פרטי ההתקשרות של בעל השליטה במאגר.
- פרטי ההתקשרות של הממונה על הגנת הפרטיות, במקרים שבהם קמה חובת מינוי.
- עותק של מסמך הגדרות המאגר לפי תקנות אבטחת המידע.
המרכיב השלישי הוא זה שמפתיע. ההודעה אינה טופס פרטים, היא מחייבת להגיש מסמך מהותי שרוב הארגונים לא הכינו מעולם.
מסמך הגדרות המאגר
חוק מחייבתקנה 2 לתקנות אבטחת מידע מחייבת את בעל המאגר להגדיר במסמך, לכל הפחות: תיאור כללי של פעולות האיסוף והשימוש במידע; מטרות השימוש; סוגי המידע הכלולים במאגר; פרטים על העברת מידע אל מחוץ לגבולות המדינה; פעולות עיבוד באמצעות מחזיק; הסיכונים העיקריים לפגיעה באבטחת המידע והדרך להתמודד איתם; ושמות מנהל המאגר, המחזיק וממונה אבטחת המידע.
חוק מחייבלעניין עדכון, התקנה קובעת שהמסמך יעודכן בכל עת שנעשה שינוי משמעותי, ושבכל שנה עד 31 בדצמבר תיבחן מחדש השאלה האם נדרש עדכון.
המלצה מקצועיתהחובה להחזיק את המסמך אינה תלויה בחובת ההודעה, היא חלה מכוח התקנות בפני עצמן. ההודעה רק חושפת אותו לעיני הרשות. ארגון שמגלה את הדרישה הזו ברגע שהוא נדרש להודיע, מגלה אותה מאוחר מדי.
מה לא השתנה בכלל
עמדת הרשותהמדריך המקצועי של הרשות מתייחס לנקודה הזו במפורש ומזהיר מפני הפרשנות הרווחת: היעדר חובת רישום אינו פוטר את המאגר משאר החובות, והן ממשיכות לחול במלואן.
הרשימה שלא נגעו בה כוללת את מסמך הגדרות המאגר, נוהל אבטחת מידע, קביעת רמת האבטחה והדרישות שנגזרות ממנה, תיעוד גישה, בקרת ספקים לפי תקנה 15, ודיווח על אירוע אבטחה חמור.
המלצה מקצועיתההבחנה שכדאי להחזיק בראש: הרישום וההודעה הן חובות דיווחיות: הן מספרות לרשות שהמאגר קיים. החובות המהותיות הן אלה שנבדקות כשמשהו קורה. העיצום הראשון שהוטל מכוח תיקון 13 לא עסק ברישום; הוא עסק באיחור בדיווח על אירוע.
טעויות שחוזרות
- להסיק מהיעדר רישום שאין חובות. הטעות הנפוצה ביותר בנושא, ובדיוק זו שהרשות התייחסה אליה.
- לספור אנשים בלבד. חובת ההודעה מותנית גם בסוג המידע, לא רק בהיקפו.
- לגלות את מסמך הגדרות המאגר ברגע ההודעה. החובה להחזיק אותו עצמאית ואינה תלויה בהודעה.
- לשכוח את הבחינה השנתית. התקנה קובעת בחינה של הצורך בעדכון עד 31 בדצמבר בכל שנה.
- להתייחס למספר המאגר הישן כאל אישור. רישום היסטורי אינו מעיד על עמידה בדרישות היום.
שאלות נפוצות
ביטלו את חובת הרישום, אז מה נשאר?
הרישום צומצם לשתי קטגוריות, אבל שאר החובות לא נגעו בהן: מסמך הגדרות המאגר, נוהל אבטחת מידע, קביעת רמת אבטחה, תיעוד גישה, בקרת ספקים לפי תקנה 15, ודיווח על אירוע אבטחה חמור. המדריך המקצועי של הרשות מזהיר מפורשות מפני הפרשנות ההפוכה.
יש לנו מאגר לקוחות של 200,000 איש. חייבים להודיע?
תלוי בסוג המידע ולא רק בהיקף. חובת ההודעה מותנית בכך שהמאגר מכיל מידע בעל רגישות מיוחדת. מאגר לקוחות שכולל שם, טלפון וכתובת בלבד אינו זהה למאגר שכולל מידע רפואי, פיננסי או ביומטרי.
מה קורה למספר המאגר הישן שלנו?
הרישום שכבר בוצע אינו נמחק מעצם התיקון. השאלה המעשית אינה מה קורה לרישום הישן אלא האם החובות המהותיות מתקיימות היום, וזו שאלה שנבדקת ללא קשר למספר המאגר.
אם אנחנו לא חייבים ברישום ולא בהודעה, אנחנו בסדר?
לא בהכרח. שתי החובות האלה הן דיווחיות. החובות שנבדקות באכיפה הן המהותיות: רמת אבטחה, נהלים, תיעוד, בקרת ספקים ודיווח על אירועים. ארגון יכול להיות פטור משתיהן ועדיין להיות חשוף.
מי מגיש את ההודעה בפועל?
החובה חלה על בעל השליטה במאגר. הכנת מסמך הגדרות המאגר, שהוא חלק מההודעה, דורשת בדרך כלל עבודה משותפת של מי שמכיר את המערכות ומי שמכיר את הדרישות.
מקורות
- תיקון 13, סעיף 8א, ספר החוקים 3287
- מדריך מקצועי לתיקון 13, הרשות להגנת הפרטיות
- תקנות אבטחת מידע 2017, תקנה 2, מסמך הגדרות המאגר
- תיקון 13, על מי חל ומה נדרש
סקר פערים בודק את שתי השאלות יחד עם שאר הדרישות. להיערכות לתיקון 13 ←
העמוד מציג מידע מקצועי ואינו מהווה ייעוץ משפטי. תחולת החובות נבחנת לפי נסיבות הארגון וסוג המידע, ובסוגיות בעלות השלכה משפטית מומלץ להיוועץ בעורך דין. עודכן: אוגוסט 2026.
רלוונטי להעמקה: עיצומים כספיים בתיקון 13 . הפרת חובת הרישום היא אחת הקטגוריות עם הסכום הקבוע הגבוה ביותר.