מאגרי מידע
אחרי תיקון 13.

מתחילים ממיפוי, לא מטופס

כדי לסווג מאגר צריך להבין את מטרותיו, סוגי המידע, מקורות המידע, זהות בעל השליטה, הגורמים שמחזיקים בו, מספר נושאי המידע והאם מידע מועבר מחוץ לישראל. אלה גם סוגי פרטים שהרשות מבקשת במסגרת הליכי רישום.

בארגון מודרני "המאגר" עשוי להיות מפוזר בין CRM, מערכת הנהלת חשבונות, מערכת תמיכה, שירות ענן, כלי דיוור ומערכות משאבי אנוש. המיפוי המשפטי צריך להתחבר לארכיטקטורה האמיתית.

שתי קבוצות המאגרים החייבים ברישום

סעיף 8א(א)(1) מונה שתי קבוצות: מאגר שמטרתו העיקרית איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה, לרבות שירותי דיוור ישיר, ובו מידע על יותר מ-10,000 בני אדם; ומאגר שבעל השליטה בו הוא גוף ציבורי כהגדרתו בפסקה (1) להגדרת גוף ציבורי בסעיף 23, למעט מאגר הכולל מידע אישי על עובדי אותו גוף בלבד.

לכן רשימת לקוחות של עסק אינה הופכת לחייבת רישום רק מפני שיש בה יותר מ-10,000 אנשים. צריך לבחון גם את מטרת האיסוף והמסירה. מנגד, מאגר למכירת מידע לאחרים מחייב בדיקה שונה.

סעיף 8א(ג) מחריג מאגר שאין בו אלא מידע שפורסם לרבים או הועמד לעיון הרבים על פי סמכות כדין. היעדר חובת רישום אינו פטור משאר חובות הפרטיות.

מתי נדרשת הודעה בתוך 30 ימים?

כאשר מאגר אינו חייב ברישום לפי סעיף 8א(א)(1), ומספר האנשים שיש עליהם מידע בעל רגישות מיוחדת בו עולה על 100,000, סעיף 8א(ב) מחייב הודעה לרשות בתוך 30 ימים מהתקיימות התנאי. הספירה מתייחסת לאנשים שעליהם מידע בעל רגישות מיוחדת, לא לכל שורה במערכת.

מוסרים את זהות בעל השליטה ופרטי הקשר, פרטי הממונה אם נדרש מינויו, והעתק ממסמך הגדרות המאגר. בתוך 30 ימים מדווחים גם על שינוי בפרטים שנקבעו, שינוי המחייב עדכון במסמך ההגדרות או הפסקת פעילות.

הגשת ההודעה אינה אישור של הרשות לכך שהמאגר או פעילות הארגון עומדים בדין.

מאגר שהיה רשום לפני 14 באוגוסט 2025

סעיף 76(א) לתיקון 13 קובע שמאגר שהיה רשום לפני כניסת התיקון לתוקף נשאר במרשם גם אם אין עליו עוד חובת רישום, אלא אם בעל השליטה הודיע לרשות שהחובה אינה חלה עליו. מחיקה מהמרשם אינה מתבצעת מעצמה.

הרשות מבהירה שמאגר הנשאר רשום רק מכוח הוראת המעבר אינו פטור מחובת ההודעה לפי סעיף 8א(ב), אם תנאיה מתקיימים. מנגד, לא חלה עליו חובת עדכון פרטי הרישום לפי סעיף 9(ד) רק בשל הרישום ההיסטורי.

למשל, מאגר לקוחות שנרשם בעבר, אינו נכלל עוד בקבוצות הרישום וכולל מידע בעל רגישות מיוחדת על יותר מ-100,000 אנשים: צריך לבדוק חובת הודעה גם אם שמו עדיין מופיע במרשם.

ספקים, מחזיקים והעברת מידע לחו"ל

מיפוי מאגר אינו שלם בלי הספקים שמקבלים גישה למידע. שירותי ענן, CRM, תמיכה, אנליטיקה ו-AI יכולים להיות חלק משמעותי משרשרת העיבוד. כאשר גורם חיצוני מקבל גישה למאגר, עשויות לחול גם דרישות תקנה 15 לתקנות אבטחת מידע.

אם מידע מועבר מחוץ לישראל, יש לבדוק בנפרד את תקנות העברת המידע לחו"ל, את עילת ההעברה ואת ההתחייבויות הנדרשות מהנמען. באפריל 2026 פרסמה הרשות גילוי דעת עדכני ביחס לפרשנות אחת מעילות ההעברה החוזיות.