חוק הגנת הפרטיות, התשמ"א–1981 מסדיר את השימוש במידע אישי ואת החובות החלות על מי שמעבד מידע במאגרים. ביום 14.8.2025 נכנס לתוקף תיקון מס' 13 לחוק, אשר שינה את הגדרות המידע ואת היקף חובת רישום מאגרי המידע. בניגוד להסדר שהיה נהוג בעבר, לא כל מאגר מידע של עסק חייב ברישום. לצד רישום מאגרים מסוגים מסוימים קבע החוק חובת הודעה לגבי מאגרים רחבי היקף הכוללים מידע בעל רגישות מיוחדת. ההבחנה בין החובות חיונית לבחינת מצבו של כל מאגר.
מהו מאגר מידע לפי החוק המעודכן?
סעיף 3 לחוק מגדיר "מאגר מידע" כאוסף פרטי מידע אישי המעובד באמצעי דיגיטלי, בכפוף לחריגים שקבע המחוקק. בין היתר, אוסף המשמש אדם לצרכיו האישיים ושאינו למטרות עסק אינו נכלל בהגדרה. חריג נוסף נוגע לאוסף הכולל רק שם, מען ודרכי התקשרות של 100,000 בני אדם או פחות, שאינו מלמד כשלעצמו על מידע אישי נוסף לגביהם, ובתנאי שלבעל האוסף או לתאגיד בשליטתו אין אוסף אחר הכולל פרטי מידע נוספים על אותם אנשים. אין להניח שכל רשימת קשר פטורה מהחוק: יש לבחון את המידע בפועל, את מטרת האוסף ואת התקיימות כל תנאי החריג.
מה נחשב למידע אישי ולמידע בעל רגישות מיוחדת?
תיקון 13 החליף את ההגדרות הישנות של "מידע" ו"מידע רגיש". כיום, "מידע אישי" הוא נתון הנוגע לאדם מזוהה או לאדם הניתן לזיהוי במאמץ סביר, במישרין או בעקיפין. הוא עשוי לכלול, בין היתר, שם, מספר זהות, מזהים מקוונים או נתוני מיקום, בהתאם לנסיבות. "מידע בעל רגישות מיוחדת" הוא קטגוריה נפרדת, הכוללת סוגי מידע שהחוק מונה, כגון מידע רפואי וגנטי, מזהים ביומטריים מסוימים, מידע על צנעת החיים, דעות פוליטיות, אמונות דתיות, נתוני שכר ופעילות פיננסית. מספר תעודת זהות הוא מידע אישי, אך עצם החזקתו אינה הופכת מאגר לחייב ברישום ואף אינה מסווגת אותו אוטומטית כמאגר מידע בעל רגישות מיוחדת.
לרקע הפסיקתי ראוי להזכיר את ע"א 439/88 רשם מאגרי המידע נ' ונטורה, פ"ד מח(3) 808, שבו נדונה פרשנות הביטוי "ענייניו הפרטיים של אדם" והתייחסותו למידע על חייו הפרטיים, כגון פרטי התקשרות וקשרים אישיים. הניתוח בפסק הדין מדגיש את ההיבט המהותי של הגנת הפרטיות, אולם לצורך בחינת חובת הרישום והסיווג של מידע כיום יש להחיל את ההגדרות והספים שנקבעו בתיקון 13, ולא את מבחני הרישום הקודמים.
אילו מאגרי מידע חייבים ברישום לאחר תיקון 13?
סעיף 8א(א) לחוק מתמקד בשני סוגים של מאגרים. הראשון הוא מאגר שמטרתו העיקרית איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה, לרבות שירותי דיוור ישיר, וכולל מידע אישי על יותר מ־10,000 בני אדם. השני הוא מאגר שבעל השליטה בו הוא גוף ציבורי כהגדרתו בחוק, למעט מאגר הכולל מידע אישי על עובדי אותו הגוף הציבורי בלבד.
לדוגמה, חברה המחזיקה מאגר לקוחות לצורך מתן שירותיה אינה חייבת ברישום רק מפני שיש במאגר מספרי זהות או פרטי קשר. מנגד, גוף שעיסוקו העיקרי איסוף מידע על יותר מ־10,000 אנשים לצורך מסירתו לאחרים עשוי לחוב ברישום. בכל מקרה יש לבחון את אופי הפעילות, מטרת איסוף המידע, מספר נושאי המידע והוראות החוק, ואין די בכינוי שניתן למאגר או בסוג התוכנה שבה הוא מנוהל.
חובת הודעה לרשות על מאגר הכולל מידע בעל רגישות מיוחדת
בנפרד מחובת הרישום, סעיף 8א(ב) לחוק קובע חובת הודעה לגבי מאגר שאינו חייב ברישום, הכולל מידע בעל רגישות מיוחדת על יותר מ־100,000 בני אדם. בעל השליטה נדרש להודיע לרשות להגנת הפרטיות בתוך 30 ימים מן המועד שבו התקיים התנאי, למסור את פרטי המאגר ולצרף את מסמך הגדרות המאגר הנדרש לפי תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז–2017. יש לעדכן את הרשות על שינויים בפרטים שנמסרו או על הפסקת פעילות המאגר בהתאם להוראות הדין.
חובת הודעה אינה רישום ואינה מחליפה את הצורך לבדוק חובות אחרות. פרטי ההליך וטופס ההודעה מופיעים באתר הרשות להגנת הפרטיות – חובת הודעה על מאגר מידע. עצם מסירת הודעה אינה מהווה אישור של הרשות לעמידה בהוראות החוק.
מה קורה למאגר שהיה רשום לפני תיקון 13?
לפי הוראת המעבר שבסעיף 76(א) לתיקון 13, מאגר שהיה רשום לפני כניסת התיקון לתוקף ממשיך להופיע במרשם גם אם אינו חייב עוד ברישום. בעל השליטה יכול לפנות לרשות בבקשה למחוק את הרישום, בהתאם לתנאי החוק ולדרישת התצהיר. מידע והגשת בקשה למחיקת רישום מאגר מידע זמינים באתר הרשות. יש לשים לב כי מחיקת הרישום אינה פוטרת מחובות הגנת הפרטיות, וכי גם מאגר שנשאר רשום מכוח הוראת המעבר עשוי להיות חייב בהודעה אם מתקיימים תנאיה.
כיצד מגישים בקשה לרישום מאגר מידע?
כשהמאגר אכן חייב ברישום, מוגשת בקשה מקוונת באמצעות השירות הרשמי לרישום מאגר מידע. השירות ניתן ללא עלות. על הבקשה לכלול, בין היתר, פרטי בעל השליטה במאגר ודרכי ההתקשרות, מטרות המאגר, היקפו וסוגי המידע הנכללים בו, מקורות המידע, פרטים על העברות מידע מחוץ לישראל ועל שירותי גורמים חיצוניים המעבדים את המידע. פרטי ממונה הגנת הפרטיות נמסרים במקרים המתאימים. הרשות רשאית לדרוש מידע נוסף ולבחון את הבקשה בהתאם לסעיף 10 לחוק.
הרשות מציינת כי החלטה בבקשת רישום מתקבלת בתוך 60 ימים לאחר שסופקו כל הפרטים והמידע הנוספים שנדרשו. כל עוד חלה חובת רישום יש לפעול לפי הוראות סעיף 8א(א), לרבות ההוראות לגבי עיבוד מידע קודם לרישום והסדר המקרה שבו חלף פרק הזמן הקבוע בחוק בלי שנמסרה החלטת סירוב או השהיה. אין להניח שהגשת הטופס כשלעצמה מסדירה כל פעילות עיבוד של מידע אישי.
חובות בעל השליטה במאגר ואכיפה
הצמצום בחובת הרישום אינו פטור מתחולת חוק הגנת הפרטיות. גם מי שמאגרו אינו חייב ברישום נדרש לקיים את החובות החלות עליו, ובהן שימוש במידע למטרות מותרות, אבטחת מידע, שמירה על סודיות, עמידה בדרישות הרלוונטיות למתן הודעה לאנשים שמהם נאסף מידע ומימוש זכויות עיון ותיקון. בחלק מן הגופים קיימת גם חובת מינוי ממונה על הגנת הפרטיות בהתאם להוראות החוק. תיקון 13 הרחיב את כלי האכיפה המנהליים, לרבות עיצומים כספיים בגין הפרות מסוימות, והסדיר גם עבירות פליליות. לכן אין עוד מקום לקביעה הגורפת הישנה שלפיה עצם אחזקתו של כל מאגר ממוחשב ללא רישום היא עבירה שדינה מאסר שנה; יש לבדוק את החובה ואת ההפרה המסוימת לפי הדין העדכני.
עיון בפנקס מאגרי המידע
סעיף 12 לחוק מסדיר את העיון במרשם מאגרי המידע. הרשות מאפשרת עיון גם באמצעות נתונים המונגשים באתר הממשלתי, בכפוף להיקף הפרסום והגבלות הנובעות משיקולי פרטיות. את ההוראות והקישור המעודכן אפשר למצוא בעמוד עיון מקוון בפנקס מאגרי המידע באתר הרשות להגנת הפרטיות.
לקריאה נוספת: חוק הגנת הפרטיות (תיקון מס' 13), התשפ"ד–2024, כפי שפורסם ברשומות; וכן מדריך הרשות להגנת הפרטיות לתיקון 13. הסקירה משקפת את ההסדר המעודכן נכון לאוקטובר 2026; בחינת החובה ביחס למאגר מסוים תלויה בנתונים ובנסיבותיו.
מאמרים נוספים באשכול: פרטיות, מאגרי מידע ודיוור
הגנת הפרטיות במידע שנמסר לאתר יד2 | משלוח דבר פרסומת אסור באינטרנט: חוק הספאם
