רישום מאגר מידע: מה זה אומר, מי חייב בו ומה הוא לא מבטיח

הסבר מסודר על מה נחשב מאגר מידע לפי חוק הגנת הפרטיות, לפי אילו צירים נקבעת חובת הרישום, מה כוללת בקשת הרישום ואילו חובות ממשיכות לחול גם בלעדיה.

כמעט כל ארגון בישראל מחזיק פרטים על אנשים. חנות שומרת היסטוריית הזמנות, מרפאה שומרת תיקי מטופלים, עמותה שומרת רשימת תורמים, מעסיק שומר נתוני עובדים. חוק הגנת הפרטיות מתייחס לאוספים כאלה במונח אחד, מאגר מידע, ובונה סביבו מערכת חובות. אחת מהן, וזו שהציבור מכיר, היא חובת הרישום.

סביב החובה הזו הצטברו יותר אי הבנות מאשר סביב כל חלק אחר בחוק. יש הסבורים שרישום הוא סוג של תו תקן שמעיד על עמידה בדרישות, ויש הסבורים שמי שאינו רשום אינו כפוף לחוק כלל. שתי ההנחות שגויות, ושתיהן יקרות. ההסבר שלהלן מפריד בין המושגים ומראה מה בדיוק הרישום עושה ומה הוא אינו עושה.

רישום מאגר מידע: מה החוק מגדיר, מי מנהל את הפנקס ומה נדרש בפועל

נקודת הפתיחה היא ההגדרה עצמה. החוק אינו מדבר על מסד נתונים במובן הטכני אלא על אוסף נתוני מידע המוחזק באמצעי מגנטי או אופטי והמיועד לעיבוד ממוחשב. ההגדרה הזו רחבה בכוונה: גיליון אלקטרוני עם פרטי לקוחות, מערכת ניהול קשרי לקוחות ורשימת דיוור נכנסים כולם בגדרה, וגודל הארגון אינו משנה.

מה נכלל בהגדרה ומה יוצא ממנה

לצד ההגדרה הרחבה קבע החוק חריגים. אוסף המוחזק לשימושו האישי של אדם ואינו למטרות עסק אינו נחשב מאגר לעניין זה. כך גם אוסף שכולל רק שם, כתובת ודרכי התקשרות, ובלבד שאין בו מידע נוסף על האדם ואין בו נתונים שנוצרו מהצטברות פרטים אחרים. ברגע שמתווסף פרט אחד מעבר לפרטי הקשר, למשל היסטוריית רכישות, ציון, סיווג פנימי או מאפיין אישי, החריג נשמט והאוסף חוזר להיות מאגר לכל דבר.

ההבחנה הזו מסבירה חלק גדול מהטעויות בשטח. ארגון שמשוכנע שהוא מחזיק "רק רשימת דיוור" מגלה שהמערכת שלו שומרת גם תאריך פתיחת הודעה, גם תגיות התעניינות וגם דירוג פנימי, וזה כבר מידע ולא פרטי קשר בלבד.

מי מנהל את הפנקס

פנקס מאגרי המידע מתנהל על ידי הרשות להגנת הפרטיות, גוף במשרד המשפטים שהוא גם רשם מאגרי המידע וגם רשות האכיפה בתחום. הרשות מפרסמת הנחיות פרשניות, מקיימת ביקורות ומפעילה סמכויות פיקוח. הפנקס עצמו הוא רישום ציבורי, ולא הליך של מתן אישור.

לפי מה נקבעת חובת הרישום

חובת הרישום מעולם לא חלה על כל מאגר. החוק מונה סוגי מאגרים שלגביהם היא קמה, והרשימה הזו שונתה בתיקוני חקיקה לאורך השנים, כולל צמצום מהותי של היקפה. משום כך אין טעם לשנן רשימה, ויש טעם רב להכיר את הצירים שלפיהם היא נבנית, משום שהצירים עצמם יציבים:

• היקף — מספר האנשים שהמידע עליהם מוחזק במאגר.
• רגישות — האם המידע נכנס לקטגוריה שהחוק מגדיר כמידע רגיש, כגון מצב בריאותי, מצב כלכלי, דעות והשקפות או עבר פלילי.
• מקור המידע — האם הנתונים התקבלו מהאדם עצמו, או מגורם שלישי שלא בידיעתו הישירה.
• זהות בעל המאגר — האם מדובר בגוף ציבורי כהגדרתו בחוק, שעליו חלות דרישות נוספות.
• מטרת המאגר — ובמיוחד מאגרים שכל תכליתם הוא מתן שירותי דיוור ישיר לאחרים.

כאשר ארגון בוחן את עצמו, אלה חמש השאלות שהוא צריך לענות עליהן לפני שהוא בודק מה בדיוק הנוסח התקף היום. הנוסח נמצא בספר החוקים ובהנחיות הרשות, ושם יש לאמת אותו.

רישום אינו אישור, והיעדר רישום אינו פטור

זו הנקודה שהכי חשוב להפנים. הרישום בפנקס הוא פעולת דיווח: בעל המאגר מודיע מה הוא מחזיק, למי, לאיזו מטרה. הוא אינו קובע שהמאגר חוקי, שהאבטחה בו מספקת או שההסכמות שנאספו תקינות. ארגון שרשום כדין ומפר את החוק, מפר את החוק.

בכיוון ההפוך, ארגון שאינו חייב ברישום כפוף בכל זאת לכל שאר החובות. עיקרון ההסכמה מדעת, ההגבלה לשימוש למטרה שלשמה נאסף המידע, זכות העיון של אדם במידע שעליו וזכות תיקונו, וכן חובות אבטחת המידע לפי התקנות, אינם תלויים ברישום כלל.

החובה	מה היא כוללת	על מי היא חלה בגדול
רישום המאגר בפנקס	דיווח לרשם על קיום המאגר ופרטיו	רק על סוגי מאגרים שהחוק מנה במפורש
מסמך הגדרות המאגר	תיעוד פנימי של מטרות, סוגי מידע, גורמים בעלי גישה והעברות	על בעלי מאגרים, כחלק ממשטר אבטחת המידע
אבטחת מידע לפי התקנות	בקרת הרשאות, תיעוד אירועים, ניהול סיכונים ודיווח על אירוע חמור	על כל בעל מאגר, ברמת חומרה נגזרת מסוג המאגר
מינוי ממונה על הגנת הפרטיות	גורם ייעודי האחראי על יישום החובות בארגון	על סוגי גופים שהחוק מגדיר
זכות עיון ותיקון	מתן אפשרות לאדם לעיין במידע שעליו ולבקש את תיקונו	על כל בעל מאגר, ללא קשר לרישום

מה כוללת בקשת רישום

הבקשה מוגשת לרשם ומבקשת ממנו תמונה מלאה של המאגר. הפרטים החוזרים בה הם זהות בעל המאגר, זהות מחזיק המאגר אם המידע נשמר אצל ספק חיצוני, זהות מנהל המאגר בארגון, מטרות המאגר וסוגי המידע הכלולים בו, האם המידע מתקבל מגורם שלישי, והאם הוא מועבר אל מחוץ לגבולות המדינה.

נקודה שמרבים לפספס

אחסון בענן אצל ספק חיצוני אינו מעביר את האחריות אל הספק. בעל המאגר נשאר בעל המאגר, והספק הוא מחזיק. חלוקת התפקידים הזו צריכה להיות מוסדרת בהסכם, והיא רלוונטית במיוחד כשמדובר בשירותים שמעבדים תוכן משתמשים בכלים אוטומטיים, סוגיה שעולה למשל בדיון על האופן שבו עוזרים חכמים במסרונים נוגעים בפרטיות המשתמש.

עדכון ושינוי לאורך זמן

מאגר אינו נכס סטטי. מטרות משתנות, מודולים חדשים נוספים למערכת, שדות חדשים נאספים, ספק חיצוני מוחלף. כל שינוי מהותי בפרטים שדווחו מחייב עדכון, וכשמאגר חדל להתקיים יש לדווח גם על כך. מאגר רשום שפרטיו אינם משקפים את המציאות אינו מיטיב עם איש: הוא אינו מגן על הארגון ואינו נותן לציבור מידע נכון.

מה קורה כשלא מקיימים את החובות

לרשות להגנת הפרטיות סמכויות פיקוח ואכיפה, הכוללות ביקורות בארגונים, דרישת מידע והפעלת אמצעים מנהליים כלפי מי שאינו מקיים את הוראות החוק. גובה העיצומים ותנאי הטלתם מוסדרים בחקיקה ועודכנו בעבר, ולכן זהו נתון שיש לבדוק בנוסח התקף ולא לצטט מהזיכרון.

מעבר להיבט האכיפתי קיים הסיכון המעשי, והוא לרוב הגדול יותר. מאגר שאינו מנוהל כראוי הוא מאגר שקל יותר להוציא ממנו מידע, ומידע אישי שדלף הופך לחומר גלם בידי מי שמתמחה בהתחזות ובהנדסה חברתית, כפי שעולה מתיאורי שיטות ההונאה הדיגיטליות שמנצלות פרטים אישיים אמיתיים.

איפה בודקים את הנוסח המעודכן

שלושה מקורות מחזיקים את התמונה התקפה: נוסח חוק הגנת הפרטיות והתקנות שמכוחו כפי שהם מתפרסמים, ההנחיות והעמדות שמפרסמת הרשות להגנת הפרטיות, וייעוץ משפטי פרטני בארגונים שבהם המאגר מורכב. ההסבר המבני כאן יציב, אך ספי הרישום, הקטגוריות והסנקציות הם בדיוק הפרטים שמשתנים בתיקוני חקיקה.

ההיגיון הכללי אינו ייחודי לתחום הפרטיות. גם במערכות רישום אחרות שנוגעות לאדם, כמו רישום נתוני אשראי, ההסדרה נעה בין הצורך במידע זמין לבין ההגנה על מי שהמידע נוגע לו, מתח שהוצג היטב בדיון על קיצור תקופת הרישום של נתוני אשראי שליליים.

שאלות נפוצות

מה נחשב מאגר מידע לפי חוק הגנת הפרטיות?

החוק מגדיר מאגר מידע כאוסף נתוני מידע המוחזק באמצעי מגנטי או אופטי והמיועד לעיבוד ממוחשב. ההגדרה רחבה ואינה תלויה בגודל הארגון או בסוג התוכנה, ולכן גיליון אלקטרוני עם פרטי לקוחות, מערכת לניהול קשרי לקוחות או רשימת נמענים מנוהלת נכנסים כולם בגדרה. החוק קובע חריגים, ובהם אוסף לשימוש אישי שאינו למטרות עסק.

האם רשימת אנשי קשר בלבד נחשבת מאגר מידע?

אוסף הכולל רק שם, כתובת ודרכי התקשרות נהנה מחריג, ובלבד שאין בו מידע נוסף על האדם ואין בו נתונים שנוצרו מהצטברות פרטים. בפועל החריג נשמט מהר: ברגע שנשמרים גם היסטוריית רכישות, תגיות התעניינות, סיווג פנימי או דירוג כלשהו, כבר לא מדובר בפרטי קשר בלבד והאוסף חוזר להיות מאגר לכל דבר.

מי מנהל את פנקס מאגרי המידע?

הפנקס מתנהל על ידי הרשות להגנת הפרטיות, גוף במשרד המשפטים המשמש גם רשם מאגרי המידע וגם רשות האכיפה בתחום. הרשות מפרסמת הנחיות פרשניות, מקיימת ביקורות ומפעילה סמכויות פיקוח. הפנקס הוא רישום ציבורי ולא הליך של מתן אישור למאגר.

האם רישום מאגר מידע מעיד שהמאגר חוקי?

לא. הרישום הוא פעולת דיווח שבה בעל המאגר מודיע מה הוא מחזיק, למי ולאיזו מטרה. הוא אינו קובע שהמאגר מנוהל כדין, שרמת האבטחה בו מספקת או שההסכמות שנאספו תקינות. ארגון רשום שאינו מקיים את החובות המהותיות מפר את החוק בדיוק כמו ארגון שאינו רשום.

אילו חובות חלות גם על מאגר שאינו חייב ברישום?

רוב החובות אינן תלויות ברישום כלל. ביניהן עיקרון ההסכמה מדעת לאיסוף המידע, ההגבלה לשימוש למטרה שלשמה נאסף, זכותו של אדם לעיין במידע שעליו ולבקש את תיקונו, חובות אבטחת המידע לפי התקנות, ותיעוד פנימי של מטרות המאגר וסוגי המידע שבו.

לפי מה נקבע אם מאגר מסוים חייב ברישום?

חובת הרישום מעולם לא חלה על כל מאגר, והרשימה שבחוק שונתה בתיקוני חקיקה לאורך השנים. הצירים היציבים שלפיהם היא נבנית הם היקף המאגר במונחי מספר האנשים שהמידע עליהם מוחזק, רגישות המידע, מקור המידע והאם התקבל מגורם שלישי, זהות בעל המאגר ובפרט אם הוא גוף ציבורי, ומטרת המאגר, בעיקר כשהיא מתן שירותי דיוור ישיר.

מה קורה כשהמידע מאוחסן אצל ספק ענן חיצוני?

אחסון חיצוני אינו מעביר את האחריות אל הספק. בעל המאגר נשאר בעל המאגר והספק הוא מחזיק המאגר, וחלוקת התפקידים בין השניים אמורה להיות מוסדרת בהסכם ביניהם. אם המידע נשמר או מעובד מחוץ לגבולות המדינה, זהו פרט מהותי שנדרש לדווח עליו במסגרת פרטי המאגר.

איפה בודקים את הנוסח המעודכן של חובת הרישום?

שלושה מקורות מחזיקים את התמונה התקפה: נוסח חוק הגנת הפרטיות והתקנות שמכוחו כפי שהם מתפרסמים, ההנחיות והעמדות שמפרסמת הרשות להגנת הפרטיות, וייעוץ משפטי פרטני כשהמאגר מורכב. ההסבר המבני יציב לאורך זמן, אבל ספי הרישום, הקטגוריות והסנקציות הם בדיוק הפרטים שמשתנים בתיקוני חקיקה.