רישום מאגר מידע אחרי תיקון 13: מי עוד חייב, ומי חייב רק בהודעה

התשובה, בשורה אחת

תיקון 13 לא ביטל את חובת רישום מאגר מידע, אלא צמצם אותה לשני מקרים שבסעיף 8א(א)(1): מאגר שמטרתו העיקרית היא איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה, ובו מידע על יותר מ-10,000 בני אדם, ומאגר של גוף ציבורי כהגדרתו בפסקה (1) שבסעיף 23. במקום הרישום הרחב נכנסה חובת הודעה לפי סעיף 8א(ב), למאגר שיש בו מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם. רוב הארגונים אינם חייבים באף אחד מהשניים, ולכן השאלה הראשונה אינה איך מגישים, אלא אם בכלל צריך.

סימון בעמוד: חובה חובה רגולטורית, דרישה שמקורה בחוק או בתקנות · מומלץ פעולה מקצועית מומלצת · RTBFIL יכולת RTBFIL, פעולה שהתוכנה מבצעת · ארגון / ייעוץ באחריות הארגון או ייעוץ משפטי.

שלושה מצבים

המצב השלישי הוא המצב של רוב הארגונים, והוא אינו פטור מהחוק. איסור עיבוד מידע אישי שלא למטרת המאגר לפי סעיף 8(ב), חובת היידוע לפי סעיף 11, זכות העיון לפי סעיף 13, תקנות אבטחת המידע וחובת מינוי ממונה על הגנת הפרטיות לפי סעיף 17ב1 אינם תלויים ברישום.

מי חייב ברישום לפי סעיף 8א(א)(1)

סעיף 8א לחוק הגנת הפרטיות מונה שני מקרים. הטבלה מציגה אותם בתמצית. ההכרעה אם ארגון מסוים נופל לאחד מהם היא בדיקה פרטנית, ואת תחולתה יש לבחון מול המדריך המקצועי של הרשות להגנת הפרטיות ובייעוץ משפטי לפי הצורך.

שני סייגים נוספים. סעיף 8א(ג) קובע שהוראות הסעיף כולו אינן חלות על מאגר שאין בו אלא מידע שפורסם לרבים על פי סמכות כדין או שהועמד לעיון הרבים על פי סמכות כדין. סעיף 8א(א)(3) מתיר לראש הרשות לפטור מאגר חייב ברישום מחובת הרישום, אם שוכנע שהרישום אינו דרוש לשם הבטחת קיום הוראות החוק לגבי אותו מאגר; הודעה על פטור כזה מומצאת לבעל השליטה ומתפרסמת באתר הרשות.

דיוור ישיר, חובה נפרדת. סעיף 17ד אוסר לעבד מידע אישי במאגר המשמש לשירותי דיוור ישיר אלא אם המאגר רשום במרשם ואחת ממטרותיו הרשומות היא שירותי דיוור. זו דרישה נפרדת מסעיף 8א, והיא אינה תלויה בסף של 10,000. לצידה עומד סעיף 17ה, המחייב להחזיק רישום של המקור שממנו התקבל כל אוסף נתונים, מועד קבלתו, ולמי נמסר.

מי חייב בהודעה לפי סעיף 8א(ב)

זאת החובה שהחליפה את הרישום הרחב, והיא הרלוונטית לארגונים גדולים שאינם גופים ציבוריים ואינם סוחרים במידע. התנאי: מאגר שאינו חייב ברישום לפי סעיף 8א(א)(1), ומספר בני האדם שיש על אודותיהם בו מידע בעל רגישות מיוחדת עולה על 100,000.

1. הודעה בתוך 30 ימים מהמועד שבו התקיים התנאי, ובה זהות בעל השליטה, מענו ודרכי ההתקשרות עימו, זהות הממונה על הגנת הפרטיות ודרכי ההתקשרות עימו אם נדרש מינויו לפי סעיף 17ב1, והעתק ממסמך הגדרות המאגר שעריכתו נדרשת לפי התקנות לפי סעיפים 17(ב) ו-36. חובה 8א(ב)(1) ארגון / ייעוץ
2. הודעה על שינוי, בתוך 30 ימים מיום השינוי: שינוי בזהות בעל השליטה או הממונה ובדרכי ההתקשרות, שינוי המחייב עדכון של מסמך הגדרות המאגר, והפסקת פעילות המאגר. חובה 8א(ב)(2) ארגון / ייעוץ
3. לדעת את המספר. הסף נוגע למספר בני האדם שיש על אודותיהם מידע בעל רגישות מיוחדת, לא למספר הרשומות ולא למספר הקבצים. ארגון שאינו יודע איזה מידע רגיש יושב אצלו אינו יודע אם הסף נחצה. מומלץ ארגון / ייעוץ

שר המשפטים רשאי לקבוע הוראות לעניין דרכי ההודעה, ורשאי, באישור ועדת החוקה, לפטור מחובת ההודעה סוגים של מאגרים או של בעלי שליטה. את הדרך המעשית להודיע מפרסמת הרשות: חובת הודעה לרשות להגנת הפרטיות על מאגר מידע.

מה נחשב מידע בעל רגישות מיוחדת

ההגדרה שבסעיף 3 לחוק מונה שתים עשרה קטגוריות:

• צנעת חיי המשפחה, צנעת האישות והנטייה המינית
• מצב בריאות, ובכלל זה מידע רפואי כהגדרתו בחוק זכויות החולה
• מידע גנטי כהגדרתו בחוק מידע גנטי
• מזהה ביומטרי המשמש או המיועד לשמש לזיהוי אדם או לאימות זהותו באופן ממוחשב
• מוצא
• עבר פלילי
• דעות פוליטיות, אמונות דתיות או השקפת עולם
• הערכת אישיות שנערכה מטעם גורם מקצועי או באמצעי מיועד, ובכלל זה קווי אופי, יכולת שכלית ויכולת תפקוד בעבודה או בלימודים
• נתוני מיקום ונתוני תעבורה שנוצרו על ידי ספק מורשה, ונתוני מיקום שיש בהם כדי ללמד על מידע מהקטגוריות האחרות
• נתוני שכר ופעילות פיננסית
• מידע שחלה עליו חובת סודיות שנקבעה בדין
• מידע אחר שקבע שר המשפטים בתוספת השנייה, בתנאים הקבועים בהגדרה

הקטגוריה שמפתיעה ארגונים היא נתוני שכר ופעילות פיננסית, שכמעט לכל מעסיק יש. השנייה היא מידע שחלה עליו חובת סודיות שנקבעה בדין, שתלויה בדין החל על הארגון ולא בתוכן הקובץ.

מה כוללת הבקשה לרישום, ומה לוח הזמנים

הפרק הזה נוגע רק למי שנמצא במצב הראשון. בקשה לרישום מוגשת לראש הרשות, ולפי סעיף 9(ב) היא מפרטת את זהות בעל השליטה, מענו בישראל ודרכי ההתקשרות עימו וזהות הממונה על הגנת הפרטיות ודרכי ההתקשרות עימו; את סוג השירות שנותן המחזיק במאגר לבעל השליטה; את מטרות הקמת המאגר והמטרות שלהן נועד המידע; את סוגי המידע שייכללו במאגר; פרטים בדבר העברת מידע מחוץ לגבולות המדינה; ופרטים בדבר קבלת מידע דרך קבע מגוף ציבורי. שר המשפטים רשאי לקבוע בתקנות פרטים נוספים.

1. 60 ימים. לפי סעיף 10(א)(1) ראש הרשות ירשום את המאגר בתוך 60 ימים מהגשת הבקשה. אם נדרשו מידע ופרטים נוספים, הזמן שעד להגשתם אינו נמנה. חובה 10(א)(1)
2. רואים כנרשם. לפי סעיף 8א(א)(2) רואים את המאגר כאילו נרשם אם הוגשה בקשה וחלפה אותה תקופה בלי שראש הרשות הודיע על סירוב או על השהיית הרישום. חובה 8א(א)(2)
3. סירוב והשהיה. ראש הרשות רשאי לסרב אם היה לו יסוד סביר להניח שהמאגר משמש או עלול לשמש לפעולות בלתי חוקיות או כמסווה להן, או שהמידע נוצר, התקבל, נצבר או נאסף בניגוד לדין, והוא רשאי לרשום מטרה שונה מזו שפורטה או להורות על רישום המאגר ככמה מאגרים נפרדים. בשני המקרים תינתן קודם הזדמנות לטעון טענות. הודיע ראש הרשות על סירוב או על השהיה, אסור לעבד מידע במאגר, זולת אם בית המשפט קבע אחרת. חובה 10(א)(2), 10(א)(3), 10(ב2)
4. הודעה על כל שינוי. סעיף 9(ד) מחייב את בעל השליטה להודיע לראש הרשות על כל שינוי בפרטים שבסעיף 9(ב) ועל הפסקת פעולתו של המאגר. הדרך המעשית: עדכון מאגר מידע. חובה 9(ד) ארגון / ייעוץ
5. התליה וביטול. לפי סעיף 10(ו), אם בעל השליטה או המחזיק הפרו את החוק או לא מילאו דרישה של ראש הרשות, ראש הרשות רשאי להתלות את תוקף הרישום או לבטלו, לאחר שניתנה הזדמנות להשמיע טענות. חובה 10(ו)

המרשם עצמו פומבי. סעיף 12 מחייב את ראש הרשות לנהל מרשם מאגרי מידע הפתוח לעיון הציבור ומאפשר חיפוש בפרטיו, והוא מכיל את הפרטים שבסעיף 9, למעט שמו של הממונה על הגנת הפרטיות. את הבקשה עצמה מגישים דרך הרשות: בקשה לרישום מאגר מידע.

מחיקת רישום מאגר מידע מהמרשם

סעיף 10(ב3) קובע שראש הרשות ימחק את רישומו של מאגר מהמרשם באחד משלושה מצבים: בעל השליטה הודיע לו שהמידע שבמאגר בוער; שהמידע הועבר למאגר רשום אחר ואינו קיים עוד; או שהמאגר אינו מחויב עוד ברישום. בשלושתם נדרשת הודעה של בעל השליטה, והחוק מוסיף תנאי אחד: ואימת הודעה זו בתצהיר.

המצב השלישי הוא זה שתיקון 13 פתח לארגונים שהיו רשומים ואינם נופלים לשני המקרים שנותרו. את תחולתו, ואת מה שנדרש ממאגר שהיה רשום לפני התיקון, יש לבחון מול הרשות: הוראות המעבר אינן בנוסח המשולב של החוק ולא נקראו לצורך עמוד זה.

שני המצבים הראשונים דורשים הצהרה בתצהיר שהמידע בוער ואינו קיים עוד. תצהיר הוא על עובדות, ולכן הוא מחייב מחיקה שבוצעה בפועל, ותיעוד שמראה מה נמחק, מי אישר ומתי. במאגרים מסודרים זה דוח. בתיבות הדואר של Exchange Online ובאתרי SharePoint אין דוח כזה. RTBFIL מיועדת לספק שם תהליך ייעודי לאיתור מידע אישי, סקירת הקשר, החלטה אנושית מתועדת, טיפול מבוקר ויומן ביקורת, במקורות הנתמכים על ידי המוצר. RTBFIL המחיקה והתיעוד במקורות הנתמכים ארגון / ייעוץ התצהיר עצמו, שאר המאגרים, וההכרעה אם המאגר אינו חייב עוד ברישום

מעבר לנקודה הזאת הרישום אינו עבודה של תוכנה. RTBFIL אינה מגישה בקשות לרשות, אינה מנהלת רישום מאגרי מידע ואינה סופרת נושאי מידע במאגר.

מה קורה אם לא רושמים ולא מודיעים

• 150,000 שקלים חדשים. סעיף 23כו(א) מעמיד עיצום כספי בסכום זה על עיבוד מידע אישי במאגר חייב ברישום בלי שנרשם, על פרטים שאינם נכונים בבקשה, על אי הודעה על שינוי בפרטי הבקשה, ועל אי מסירת הודעה לפי סעיף 8א(ב) או אי הודעה על שינוי בפרטיה. אם במאגר מידע אישי על מיליון בני אדם ומעלה, ראש הרשות רשאי להטיל את כפל הסכום.
• תקרה לעסק זעיר ולעסק קטן. לפי פרט 6(1) לתוספת החמישית, עסק זעיר שמחזורו בשנה שקדמה להפרה לא עלה על 4 מיליון שקלים חדשים לא יישא בשל הפרות אלה ביותר מ-20,000 שקלים חדשים, ועסק קטן שמחזורו לא עלה על 10 מיליון לא יישא ביותר מ-40,000. ההפחתה נעשית לבקשת המפר, בצירוף אישור על גובה מחזור העסקאות, בתוך 30 ימים ממסירת ההודעה על כוונת חיוב.
• הפחתות נוספות. פרט 2 לתוספת החמישית מונה הפחתות בשל היעדר הפרות קודמות, הפסקת ההפרה מיוזמת המפר ודיווח עליה לראש הרשות, ופעולות למניעת הישנות ההפרה ולהקטנת הנזק. שיעור ההפחתה המצטבר אינו עולה על 70%.
• פיצויים לדוגמה. סעיף 15א(א)(1) מאפשר לבית המשפט לפסוק פיצויים שאינם תלויים בנזק, עד 10,000 שקלים חדשים, בשל עיבוד מידע במאגר חייב ברישום שלא נרשם, ובלבד שנושא המידע פנה לבעל השליטה בדרישה לרשום את המאגר וחלפו 90 ימים מפנייתו.
• הפרה נמשכת והפרה חוזרת. סעיף 23ל מוסיף על העיצום את החלק המאה שלו לכל יום שבו נמשכת ההפרה אחרי שנמסרה דרישת התשלום, ובהפרה חוזרת בתוך שנתיים מוסיף סכום שווה לעיצום.

מה עושים עם זה

הרישום וההודעה הם שתי פעולות אדמיניסטרטיביות שנעשות פעם אחת ומתעדכנות בשינוי. העבודה החוזרת שמאחוריהן אחרת: לדעת איזה מידע אישי יושב בארגון, למה, ומתי תם הצורך בו. אותה עבודה היא שקובעת אם הסף של 100,000 נחצה, מה כתוב במסמך הגדרות המאגר, ומה אפשר להצהיר בתצהיר כשרוצים למחוק רישום.

מי שמונה לתפקיד הממונה על הגנת הפרטיות מחזיק בה: ממונה על הגנת הפרטיות, מי חייב למנות ומה התפקיד דורש. לסדר העבודה המלא: מדריך היערכות לתיקון 13. למה שהתוכנה עושה: RTBFIL לאיתור ולסקירה של מידע אישי ב-Microsoft 365 וב-SharePoint.

שאלות נפוצות

מקורות

• חוק הגנת הפרטיות, התשמ"א-1981, נוסח מלא: סעיף 3 (הגדרות "מידע בעל רגישות מיוחדת" ו"דיוור ישיר"), סעיף 8א, סעיף 9, סעיף 10, סעיף 12, סעיף 15א, סעיף 17ד, סעיף 17ה, סעיף 23 (הגדרת "גוף ציבורי"), סעיף 23כו, סעיף 23ל והתוספת החמישית.
• בקשה לרישום מאגר מידע, שירות של הרשות להגנת הפרטיות.
• חובת הודעה לרשות להגנת הפרטיות על מאגר מידע.
• עדכון מאגר מידע.
• מדריך מקצועי: תיקון מס' 13 לחוק הגנת הפרטיות, הרשות להגנת הפרטיות.
• שאלות ותשובות של הרשות להגנת הפרטיות על תיקון 13.
• הרשות להגנת הפרטיות, אתר הרשות: המרשם, הנחיות ופעילות אכיפה.

למידע משפטי מחייב ועדכני יש לעיין בנוסח החוק והתקנות, בפרסומי הרשות להגנת הפרטיות ובייעוץ משפטי לפי הצורך.