תיקון 13 לחוק הגנת הפרטיות, התשמ״א–1981, נכנס לתוקף ב־14 באוגוסט 2025, ומאז סעיף 8א לחוק מחייב ברישום רק שני סוגי מאגרים. הראשון הוא מאגר שעיקר המטרה שלו היא איסוף מידע אישי כדי למסור אותו לאחר, כעיסוק או בתמורה, ויש בו מידע על יותר מ־10,000 בני אדם. השני הוא מאגר של גוף ציבורי, כמו משרד ממשלה או רשות מקומית, אלא אם יש בו מידע על עובדי הגוף בלבד. במילים של הרשות להגנת הפרטיות, חובת הרישום של מאגרי מידע במגזר הפרטי "בוטלה כמעט לחלוטין".
אבל פטור מרישום אינו פטור מהחוק. מאגר שלא חייב ברישום, ויש בו מידע בעל רגישות מיוחדת על יותר מ־100,000 בני אדם, חייב בהודעה לרשות להגנת הפרטיות. ולפי תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017, לכל מאגר צריך להיות מסמך הגדרות מאגר.
מי עדיין חייב ברישום
מספיק שמתקיים אחד משני המצבים האלה:
| המצב | מה החוק דורש |
|---|---|
| מאגר שנועד למסור מידע לאחרים (סעיף 8א(א)(1)(א)) | עיקר המטרה של המאגר היא איסוף מידע אישי כדי למסור אותו לאחר, כעיסוק או בתמורה, כולל שירותי דיוור ישיר, וגם יש בו מידע אישי על יותר מ־10,000 בני אדם |
| מאגר של גוף ציבורי (סעיף 8א(א)(1)(ב)) | בעל השליטה במאגר הוא גוף ציבורי לפי פסקה (1) להגדרה בסעיף 23, כלומר משרד ממשלה או מוסד מדינה אחר, רשות מקומית, או גוף אחר שממלא תפקידים ציבוריים על פי דין, למעט מאגר שיש בו מידע אישי רק על העובדים של הגוף הציבורי |
"שירותי דיוור ישיר" הם, לפי ההגדרה בחוק, שירות שנותנים לאחרים: העברה של רשימות, מדבקות או נתונים. עסק ששולח דיוור ללקוחות שלו לא נותן שירות כזה. אבל במאגר שכן משמש לשירותי דיוור ישיר אסור לעבד מידע, אלא אם הוא רשום ושירותי דיוור ישיר הם אחת המטרות הרשומות שלו (סעיף 17ד).
מאגר שנרשם לפני התיקון
תיקון 13 החליף את "רשם מאגרי המידע" ב"ראש הרשות להגנת הפרטיות", ואת "פנקס מאגרי המידע" ב"מרשם". לפי הוראת המעבר שבסעיף 76(א) לחוק הגנת הפרטיות (תיקון מס׳ 13), התשפ״ד–2024, מאגר שהיה רשום ביום שהתיקון נכנס לתוקף נשאר רשום, עד שבעל השליטה בו מודיע לרשות להגנת הפרטיות שחובת הרישום כבר לא חלה עליו. את ההודעה הזאת צריך לאמת בתצהיר. הרשות להגנת הפרטיות מדגישה שמאגר שנשאר רשום רק מכוח הוראת המעבר הזאת לא פטור מחובת ההודעה.
חובת הודעה: מידע רגיש על יותר מ־100,000 בני אדם
אם המאגר לא חייב ברישום, אבל מספר האנשים שיש עליהם בו מידע בעל רגישות מיוחדת עלה על 100,000, בעל השליטה צריך להודיע על כך לרשות להגנת הפרטיות (סעיף 8א(ב)). יש לו 30 ימים מהיום שבו המספר עבר את הסף. סופרים רק את מי שיש עליו מידע רגיש, ולפי החוק זה כולל בין היתר מידע על מצב בריאות, מידע גנטי, עבר פלילי, ונתוני שכר ופעילות פיננסית.
בהודעה מוסרים את הזהות של בעל השליטה, את הכתובת שלו ואת דרכי ההתקשרות איתו. אם חלה עליו חובה למנות ממונה על הגנת הפרטיות, מוסרים גם את הזהות של הממונה ואת דרכי ההתקשרות איתו. ולהודעה מצרפים העתק של מסמך הגדרות המאגר.
לפי הטופס המקוון של הרשות להגנת הפרטיות, מאגר שעבר את הסף לפני 14 באוגוסט 2025 מציין את 14 באוגוסט 2025 כמועד המעבר. מכאן ש־30 הימים של מאגר כזה נספרים מהיום שבו התיקון נכנס לתוקף.
גם אחרי ההודעה צריך לעדכן את הרשות להגנת הפרטיות, בתוך 30 ימים, בשלושה מקרים: כשמשתנה הזהות של בעל השליטה או של הממונה, או דרכי ההתקשרות איתם; כשיש שינוי שמחייב לעדכן את מסמך הגדרות המאגר; וכשהמאגר מפסיק לפעול.
החובה הזאת מוטלת על בעל השליטה, לא על ספק שמעבד מידע בשבילו. ומי שבשליטתו או בהחזקתו חמישה מאגרים שחייבים ברישום או בהודעה, חייב למנות ממונה על אבטחת מידע (סעיף 17ב(א)).
מסמך הגדרות מאגר: מי חייב ומה נכנס בו
תקנה 2 לתקנות אבטחת המידע מחייבת מסמך הגדרות לכל מאגר, בכל רמות האבטחה. החובה היא של בעל השליטה. מחזיק, כלומר מי שמעבד מידע עבורו, פטור ממנה. המסמך צריך לכלול לפחות את הדברים האלה:
- הוא מתאר באופן כללי איך המידע נאסף, איך משתמשים בו ולאילו מטרות.
- הוא מפרט את סוגי המידע שיש במאגר.
- הוא מציין אם המאגר, או חלק מהותי ממנו, מועבר אל מחוץ לישראל, או אם משתמשים במידע מחוץ לישראל, ואם כן, את פרטי ההעברה.
- הוא מתאר את פעולות העיבוד שנעשות באמצעות מחזיק.
- הוא מפרט את הסיכונים העיקריים לאבטחת המידע ואת הדרך להתמודד איתם.
- הוא כולל את השמות של מנהל המאגר, של המחזיק ושל הממונה על אבטחת מידע, אם מונה כזה.
צריך לעדכן את המסמך בכל שינוי משמעותי, ובנוסף לבדוק בכל שנה, עד 31 בדצמבר, אם נדרש עדכון. לרשות להגנת הפרטיות יש תבנית לדוגמה, אבל צריך להתאים אותה לארגון.
ההשלכות של הפרה
אם המאגר חייב ברישום ולא נרשם, אסור לעבד בו מידע עד שיירשם, והפרה של האיסור הזה חושפת את בעל השליטה לעיצום כספי לפי סעיף 23כו(א) לחוק. בנוסף, אדם שיש עליו מידע במאגר יכול לדרוש שהמאגר יירשם. אם עברו 90 ימים והמאגר עדיין לא נרשם, הוא יכול לתבוע פיצויים לדוגמה של עד 10,000 ש״ח, בלי להוכיח שנגרם לו נזק.
גם מי שלא מסר הודעה או עדכון שהיה חייב למסור חשוף לעיצום כספי לפי אותו סעיף. ומי שאין לו מסמך הגדרות מאגר, או שהמסמך שלו לא מעודכן, חשוף לעיצום לפי התוספת השלישית לחוק, בסכום שתלוי ברמת האבטחה של המאגר.
התקרות לעיצומים על עסק זעיר ועל עסק קטן מפורטות במאמר תיקון 13: מה עסקים צריכים לדעת.
הצעד הראשון: מיפוי המאגרים
כל החובות האלה מתחילות ברשימה. רשמו את כל אוספי המידע האישי שהעסק מעבד באמצעי דיגיטלי, למשל לקוחות, עובדים, פניות מהאתר ומשתמשי אפליקציה. לגבי כל מאגר בדקו שלושה דברים:
- מי בעל השליטה בו. זה מי שקובע את המטרות של עיבוד המידע, וספק שמעבד מידע עבור לקוח הוא מחזיק ולא בעל שליטה.
- מה עיקר המטרה של המאגר, על כמה אנשים יש בו מידע, ועל כמה מהם יש מידע רגיש. התשובות קובעות אם המאגר חייב ברישום, בהודעה, או באף אחד מהם.
- מה כבר רשום. לגבי מאגרים שנרשמו לפני התיקון, צריך להחליט אם להשאיר אותם במרשם או לבקש למחוק אותם.
התוצר הוא מסמך הגדרות לכל מאגר. לפי הרשות להגנת הפרטיות, המסמך הזה הוא גם הבסיס לסיווג המאגרים לפי רמות האבטחה שבתקנות.
מקורות רשמיים
- הרשות להגנת הפרטיות: בקשה לרישום מאגר מידע
- הרשות להגנת הפרטיות: חובת הודעה על מאגר מידע
- הרשות להגנת הפרטיות: מסמך הגדרות המאגר
- הרשות להגנת הפרטיות: מדריך לתיקון 13 (PDF)
אין באמור ייעוץ משפטי
המאמר הזה, כמו כל התוכן באתר, הוא מידע כללי בלבד. הוא לא ייעוץ משפטי ולא חוות דעת משפטית, והוא לא מתייחס לנסיבות של ארגון מסוים. הדין משתנה, ומה שהיה נכון ביום הפרסום עשוי שלא להיות נכון היום, ולכן אין להסתמך עליו בלי ייעוץ שמתייחס לעובדות שלכם. קריאת המאמר אינה יוצרת יחסי עורך דין–לקוח.
המאמר משקף את חוק הגנת הפרטיות כפי שהוא אחרי תיקון 13, שנכנס לתוקף ב־14 באוגוסט 2025, את הוראת המעבר שבתיקון, ואת תקנות אבטחת המידע. מה שמיוחס במאמר לרשות להגנת הפרטיות הוא העמדה שפרסמה בדפי המידע, בטופס ובמדריך שלה, ולא לשון החוק. התשובה לגבי מאגר מסוים תלויה בנסיבות שלו. המידע נכון ליום 7 באוקטובר 2026.