רמות אבטחת מידע: איך יודעים באיזו רמה המאגר שלכם

עו״ד ארתור קרטון · 7 באוקטובר 2026 · אבטחת מידע ואירועים

תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017, מחלקות את מאגרי המידע לארבע רמות: מאגר המנוהל בידי יחיד, רמה בסיסית, רמה בינונית ורמה גבוהה. הרמה נקבעת לכל מאגר בנפרד, והיא שקובעת אילו חובות חלות עליו. כדי לדעת באיזו רמה המאגר שלכם, בודקים איזה מידע יש בו ועל כמה אנשים, כמה בעלי הרשאה יש לו, מה המטרה שלו, ומי הבעלים שלו: גוף ציבורי, יחיד או ארגון אחר.

ארבע הרמות ומה קובע כל אחת

הרמה המקלה ביותר היא מאגר המנוהל בידי יחיד. לפי ההגדרה שבתקנה 1, היא חלה כשהמאגר מנוהל בידי אדם אחד, או בידי תאגיד שבבעלות אדם אחד, ורק הוא ועוד שני בעלי הרשאה לכל היותר יכולים להשתמש בו. אבל גם מאגר כזה לא נמצא ברמה הזאת בשלושה מקרים: כשיש בו מידע על 10,000 בני אדם או יותר, כשעיקר המטרה שלו היא איסוף מידע כדי למסור אותו לאחרים כעיסוק (כולל דיוור ישיר), וכשיש בו מידע שחלה עליו חובת סודיות מקצועית.

מאגר נמצא ברמה הבינונית אם מתקיים בו אחד משלושה תנאים. הראשון, עיקר המטרה שלו היא איסוף מידע כדי למסור אותו לאחרים כעיסוק, כולל דיוור ישיר. השני, הבעלים שלו הוא גוף ציבורי, כמו משרד ממשלתי או רשות מקומית. השלישי, יש בו מידע מסוג שמופיע ברשימה מיוחדת שבתוספת הראשונה לתקנות.

הרשימה הזאת כוללת מידע על צנעת חייו האישיים של אדם, מידע רפואי או נפשי ומידע גנטי. היא כוללת גם דעות פוליטיות או אמונות דתיות, עבר פלילי, נתוני תקשורת ומידע ביומטרי. ויש בה עוד שני סוגים: מידע על הנכסים, החובות והמצב הכלכלי של אדם, והרגלי צריכה שמלמדים על אחד מסוגי המידע האלה (חוץ מהמידע הכלכלי) או על האישיות, האמונות או הדעות שלו.

מאגר עם מידע מהרשימה יכול בכל זאת להישאר ברמה הבסיסית. זה אפשרי רק כשהרשימה היא הסיבה היחידה שהמאגר הגיע לרמה הבינונית, ורק באחד משני מצבים. במצב הראשון, יש למאגר עד עשרה בעלי הרשאה. במצב השני, המידע מהרשימה הוא רק על המועסקים או הספקים של העסק, והוא משמש רק לניהול העסק. וגם אז, רק בתנאי שהמידע לא כולל צנעת חיים אישיים, מידע גנטי, דעות או אמונות, מידע ביומטרי שאינו תמונות פנים, או הרגלי צריכה.

לפי התוספת השנייה לתקנות, מאגר עולה לרמה הגבוהה כשמתקיימים בו שני דברים יחד. קודם כול, יש בו מידע מהרשימה, או שעיקר המטרה שלו היא מסירת מידע לאחרים. ובנוסף, יש בו מידע על 100,000 בני אדם או יותר, או שיש לו יותר מ־100 בעלי הרשאה. מאגר של גוף ציבורי מגיע לרמה הזאת רק אם גם בו מתקיימים שני התנאים האלה. שימו לב שהחריג של עד עשרה בעלי הרשאה נקבע רק לרמה הבינונית, ולכן אין להניח שהוא מוציא מאגר כזה מהרמה הגבוהה.

כל מאגר שלא נכנס לאחת משלוש הרמות האלה נמצא ברמה הבסיסית.

מה משתנה מרמה לרמה

תקנה 21 קובעת אילו תקנות חלות בכל רמה, והחובות מצטברות. כל רמה כוללת את כל החובות של הרמה שמתחתיה, ומוסיפה עליהן עוד. הטבלה מרכזת את העיקריות:

בכל הרמות צריך לתעד אירועי אבטחה (תקנה 11(א)). אבל החובה לדווח לרשות להגנת הפרטיות על אירוע חמור חלה רק ברמה הבינונית ובגבוהה. מה נחשב "אירוע אבטחה חמור" בכל אחת מהן, ומה פירוש "מיידית", הסברנו במאמר שני השעונים של הדיווח על אירוע אבטחה.

תיקון 13 ו"מידע בעל רגישות מיוחדת"

תיקון 13 לחוק הגנת הפרטיות, התשמ״א–1981, נכנס לתוקף ב־14 באוגוסט 2025, והוסיף לסעיף 3 לחוק רשימה חדשה של "מידע בעל רגישות מיוחדת". תקנות אבטחת המידע לא תוקנו בעקבותיו, ולכן הן ממשיכות לסווג מאגרים לפי הרשימה שלהן. שתי הרשימות חופפות ברובן, אבל הן לא זהות. ברשימה של החוק יש, למשל, מוצא של אדם, הערכות אישיות ומידע שחלה עליו חובת סודיות לפי דין. ברשימה של התקנות יש הרגלי צריכה, שלא מופיעים ברשימה של החוק.

התיקון גם הוסיף לחוק את התוספת השלישית, ובה עיצומים כספיים על הפרת תקנות אבטחת המידע, בסכומים שתלויים ברמת האבטחה של המאגר. לצורך העיצומים, התוספת מגדירה את ארבע הרמות בעצמה, והפעם לפי הרשימה החדשה. הרשות להגנת הפרטיות הבהירה, במדריך שעדכנה בעקבות התיקון, מה תפקידן של ההגדרות שבתוספת:

"ההגדרות של רמות האבטחה... רלוונטיות אמנם לעניין גובה העיצום הכספי שניתן להטיל בגין הפרת התקנות... אולם הגדרות אלו אינן קובעות את רמת האבטחה החלה על המאגר לעניין התקנות עצמן, ולעניין החובות החלות על המאגר לפי התקנות."

בפועל, החובות שלכם נקבעות לפי הרשימה שבתקנות, ואילו העיצום על הפרה שלהן נקבע לפי ההגדרות שבתוספת. ההבדל בין הרמות גדול: העיצום על אותה הפרה גבוה פי 20 ברמה הבינונית מאשר בבסיסית, וברמה הגבוהה הוא גבוה פי 4 מאשר בבינונית. ובמאגר ברמה הגבוהה שיש בו מידע על מיליון בני אדם או יותר, אפשר להכפיל את הסכום (סעיף 23כו(ח) לחוק).

סיווג בשלושה צעדים

1. רשמו כל מאגר בנפרד: מה נשמר בו ולאיזו מטרה. אם אתם ספק שמעבד מידע עבור לקוח, בדקו גם את המאגר של הלקוח, כי הרמה שלו קובעת את רוב החובות שלכם (תקנה 19(א)).
2. בדקו את המטרה של המאגר ואת הבעלים שלו מול התנאים שתיארנו למעלה. את סוגי המידע בדקו מול שתי הרשימות, כי הרשימה של התקנות קובעת את החובות, והרשימה של החוק משפיעה על העיצום.
3. ספרו על כמה אנשים יש מידע במאגר וכמה בעלי הרשאה יש לו, והשוו אותם לספים שתיארנו למעלה. אצל בעלי ההרשאה הספים הם שניים נוספים, עשרה ויותר מ־100, ואצל בני האדם הם 10,000 ו־100,000. בעל הרשאה הוא כל מי שיש לו גישה למידע, למערכות המאגר או למה שנדרש כדי להפעיל אותו, כולל אנשי מערכות. ספק שאינו אדם יחיד, ומי שקיבל גישה מטעמו, לא נספרים.

את התוצאה כדאי לרשום במסמך הגדרות המאגר, שבו תקנה 2 ממילא מחייבת לתאר את סוגי המידע. כדאי גם לבדוק אותה מחדש בכל שינוי משמעותי, ולפחות פעם בשנה, עד 31 בדצמבר.

הערכות סיכונים