רישום מאגרי מידע והודעה לרשות:
מה השתנה בתיקון 13

מה השתנה: מרישום להודעה

לפי מדריך הרשות להגנת הפרטיות, חובת הרישום שחלה עד התיקון כמעט על כל מאגרי המידע במשק צומצמה משמעותית, ובמגזר הפרטי בוטלה כמעט לחלוטין, מתוך מטרה להקטין את הנטל הרגולטורי. במקומה נוספה חובת הודעה לרשות על מאגרים גדולים ורגישים.

המאמר מפרט נושא אחד מתוך המדריך המלא לתיקון 13 לחוק הגנת הפרטיות.

מי עדיין חייב לרשום מאגר מידע

חובת הרישום נשארה על כנה ביחס למאגרי הגופים הבאים:

• גוף ציבורי — למעט מאגר שכולל מידע על עובדי הגוף הציבורי בלבד
• מאגר שמטרתו העיקרית איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה, לרבות שירותי דיוור ישיר, ויש בו מידע על 10,000 בני אדם ומעלה

מאגר שאינו חב ברישום לפי ההסדר החדש ימשיך להיות רשום במרשם, אלא אם בעל השליטה פנה לרשות בבקשה למחוק אותו.

מתי חובה להודיע לרשות

ביחס למאגרי מידע שיש בהם מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם, אך אינם חייבים ברישום, נקבעה חובה חדשה למסור הודעה לרשות להגנת הפרטיות תוך 30 יום.

לפי המדריך, ההודעה לרשות כוללת:

• פרטי בעל השליטה במאגר ודרכי ההתקשרות עמו
• פרטי הממונה על הגנת הפרטיות ודרכי ההתקשרות עמו (אם קיימת חובה למנותו)
• העתק של מסמך הגדרות מאגר הנדרש לפי תקנה 2 לתקנות אבטחת מידע, התשע"ז-2017

על מי חלה חובת מינוי ממונה, ראו את מדריך מינוי ממונה הגנת פרטיות. על מסמך הגדרות המאגר ועל רשימת המצאי, ראו מיפוי מאגרי מידע.

מהו מאגר מידע לפי החוק המתוקן

לפי המדריך, "מאגר מידע" מוגדר כעת כאוסף פרטי מידע אישי המעובד באמצעי דיגיטלי, למעט:

• אוסף לשימוש אישי שאינו למטרות עסק או מטרות ציבוריות
• אוסף שכולל רק שם, מען ודרכי התקשרות, לגבי 100,000 בני אדם או פחות, שאינו מלמד כשלעצמו על מידע אישי נוסף לגבי מי שכלול בו, ובלבד שלבעל האוסף או לתאגיד בשליטתו אין אוסף אחר הכולל פרטי מידע אחרים לגבי אותם בני אדם

פטור מרישום אינו פטור מיתר החובות

מה קרה לתפקיד מנהל המאגר

לפי המדריך, החובה למנות מנהל מאגר בגופים פרטיים בוטלה, ובמקביל בוטלה האחריות האישית של מנהל מאגר ביחס לאבטחת המידע במאגר. החובות שהיו מוטלות על מנהל המאגר חלות על בעל השליטה במאגר, כלומר הארגון עצמו.

מה העונש על אי-רישום או אי-הודעה

לפי המדריך:

• עיצום כספי של 150,000 ש"ח על אי-רישום מאגר החייב ברישום, או אי-מסירת הודעה לרשות על מאגר החייב בהודעה. במאגר שיש בו מעל מיליון נושאי מידע הסכום מוכפל
• פיצוי אזרחי של עד 10,000 ש"ח ללא הוכחת נזק בגין ניהול מאגר החייב ברישום מבלי שנרשם
• עבירה פלילית של הטעיית ראש הרשות, מפקח או מומחה מטעם הרשות באמצעות מסירת פרטים שאינם נכונים בבקשה לרישום מאגר או בהודעה על מאגר: מאסר שנתיים

טבלת העיצומים המלאה נמצאת במדריך תיקון 13 לחוק הגנת הפרטיות.

שאלות נפוצות

האם צריך לרשום מאגר מידע אחרי תיקון 13?
לא בכל מקרה. חובת הרישום צומצמה משמעותית ובמגזר הפרטי בוטלה כמעט לחלוטין. היא נשארה על מאגרים של גופים ציבוריים (למעט מאגר שכולל מידע על עובדי הגוף בלבד), ועל מאגרים שמטרתם העיקרית איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה, כולל שירותי דיוור ישיר, עם מידע על 10,000 בני אדם ומעלה.

מתי חובה להודיע לרשות על מאגר מידע?
ביחס למאגר שיש בו מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם, שאינו חייב ברישום, נקבעה חובה למסור הודעה לרשות להגנת הפרטיות תוך 30 יום.

מה צריכה לכלול ההודעה לרשות?
לפי מדריך הרשות: פרטי בעל השליטה במאגר ודרכי ההתקשרות עמו, פרטי הממונה על הגנת הפרטיות ודרכי ההתקשרות עמו (אם קיימת חובה למנותו), והעתק של מסמך הגדרות מאגר הנדרש לפי תקנה 2 לתקנות אבטחת מידע.

מה קורה למאגר שכבר רשום וכבר אינו חייב ברישום?
לפי מדריך הרשות, מאגר שאינו חב ברישום לפי ההסדר החדש ימשיך להיות רשום במרשם מאגרי המידע, אלא אם בעל השליטה פנה לרשות בבקשה למחוק אותו מהמרשם.