מידע בעל רגישות מיוחדת: מה נכנס להגדרה החדשה ומה זה מחייב

נקודות עיקריות

• תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025 והחליף את המונח ״מידע רגיש״ במונח הרחב יותר ״מידע בעל רגישות מיוחדת״.
• ההגדרה כוללת מידע רפואי, מידע גנטי, מזהה ביומטרי, נתוני מיקום, נתוני שכר ופעילות פיננסית, דעות פוליטיות, אמונות דתיות, עבר פלילי, מוצא, נטייה מינית, צנעת חיי המשפחה, הערכת אישיות ומידע שחלה עליו חובת סודיות שנקבעה בדין.
• בעל שליטה במאגר שאינו חייב ברישום, שכולל מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם, חייב להודיע על כך לרשות להגנת הפרטיות.
• רגישות המידע היא אחד הקריטריונים שנשקלים בקביעת גובה עיצום כספי, לצד סוג ההפרות, כמותן ומספר נושאי המידע שנפגעו.
• הסיווג נקבע לפי סוג המידע שנמצא בפועל במערכות — לא לפי שם המאגר, לא לפי מטרתו המוצהרת ולא לפי גודל העסק.

תוכן העניינים

• מה זה מידע בעל רגישות מיוחדת ומה בדיוק השתנה בתיקון 13?
• אילו סוגי מידע נכללים בהגדרה?
• איך רגישות המידע משפיעה על רמת האבטחה הנדרשת?
• מתי חייבים להודיע לרשות על מאגר עם מידע בעל רגישות מיוחדת?
• איך רגישות המידע משפיעה על גובה העיצום הכספי?
• איך מסווגים בפועל את המידע בעסק?
• שאלות ותשובות

מידע בעל רגישות מיוחדת הוא קטגוריית מידע אישי שהמחוקק סימן כמסוכנת במיוחד לאדם שהמידע נוגע אליו אם הוא ייחשף, ולכן החיל עליה דרישות הגנה מחמירות יותר משאר המידע האישי. עד לתיקון 13 לחוק הגנת הפרטיות עבד השוק עם המונח ״מידע רגיש״; התיקון, שנכנס לתוקף ב-14 באוגוסט 2025, החליף אותו בהגדרה מפורטת ורחבה בהרבה. ההבדל אינו סמנטי: הוא קובע אילו מאגרים דורשים הגנה מוגברת, מתי קמה חובת הודעה לרשות, וכמה יקרה תעלה הפרה. אם עדיין לא מיפיתם את המידע שאתם מחזיקים, כדאי להתחיל מהמדריך המלא לתיקון 13 לבעלי אתרים ולחזור לכאן לשלב הסיווג.

מה זה מידע בעל רגישות מיוחדת ומה בדיוק השתנה בתיקון 13?

מידע בעל רגישות מיוחדת הוא מידע אישי שחשיפתו עלולה לגרום לאדם פגיעה חמורה — בפרטיותו, במעמדו החברתי, בתעסוקתו או בביטחונו — ולכן החוק מחיל עליו סטנדרט מחמיר יותר. בתיקון 13 הוחלף המונח ״מידע רגיש״ במונח ״מידע בעל רגישות מיוחדת״, וההגדרה נפרשה לרשימה מפורטת של קטגוריות במקום ניסוח כללי.

למה זה משנה בפועל? כי הרשימה הפורשת חושפת סוגי מידע שרוב העסקים לא חשבו עליהם כרגישים. נתוני מיקום, למשל, נאספים כמעט בכל אפליקציה ובכל צי רכב. נתוני שכר קיימים בכל עסק עם עובדים. הערכת אישיות נמצאת בכל תיק מיון של מועמד. עסק שסיווג את עצמו כ״לא מחזיק מידע רגיש״ לפי האינטואיציה הישנה עלול לגלות שהמאגר שלו נכנס להגדרה החדשה דרך שלוש דלתות שונות.

נקודה חשובה נוספת: ההגדרה חלה על המידע, לא על הארגון. עסק קטן עם חמישה עובדים שמנהל תלושי שכר ואישורי מחלה מחזיק מידע בעל רגישות מיוחדת בדיוק כמו תאגיד גדול. ההיקף משפיע על חובות נלוות ועל חומרת חשיפה, אבל לא על השאלה האם המידע מסווג ככזה.

אילו סוגי מידע נכללים בהגדרה?

ההגדרה שנקבעה בתיקון 13 כוללת מידע על צנעת חיי המשפחה, נטייה מינית, מידע רפואי, מידע גנטי, דעות פוליטיות, אמונות דתיות, עבר פלילי, נתוני מיקום, מזהה ביומטרי, מוצא, הערכת אישיות, נתוני שכר ופעילות פיננסית, וכן מידע אישי שחלה עליו חובת סודיות שנקבעה בדין. הטבלה הבאה מתרגמת כל קטגוריה למה שנמצא בפועל אצל עסק ישראלי טיפוסי.

שימו לב לשתי קטגוריות שמפתיעות עסקים שוב ושוב: הערכת אישיות, שהופכת כל תיק גיוס למאגר בעל רגישות מיוחדת, ונתוני מיקום, שנאספים לעיתים קרובות כתוצר לוואי טכני בלי שאיש בארגון החליט לאסוף אותם.

איך רגישות המידע משפיעה על רמת האבטחה הנדרשת?

תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 מחלקות מאגרים לרמות אבטחה — בסיסית, בינונית וגבוהה — וסוג המידע שבמאגר הוא אחד הפרמטרים שקובעים את הרמה. ככל שהמידע רגיש יותר, כך צפויה לחול רמה מחמירה יותר, ואיתה חובות תפעוליות נוספות.

ההבדל בין הרמות אינו הצהרתי. במאגר שחלה עליו רמת אבטחה בינונית או גבוהה, למשל, בעל המאגר נדרש לגבות את נתוני האבטחה באופן שיאפשר בכל עת לשחזר את הנתונים למצבם המקורי, ולתעד את הליכי השחזור. לרמות הגבוהות מתווספות דרישות בקרה ובדיקה תקופתיות. אלה חובות שדורשות תקציב, ספק וכתובת אחראית בארגון — ולכן קביעת הרמה היא החלטה שצריכה להיעשות מוקדם, לא אחרי אירוע.

אם עדיין לא קבעתם את רמת האבטחה של המאגרים שלכם, ההסבר המלא נמצא במדריך שלנו על קביעת רמת האבטחה של מאגר מידע לפי התקנות, ואת נוסח התקנות המלא אפשר לקרוא בנוסח הרשמי של תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017.

מתי חייבים להודיע לרשות על מאגר עם מידע בעל רגישות מיוחדת?

תיקון 13 יצר חובת הודעה חדשה: בעל שליטה במאגר מידע שאינו חייב ברישום, אך המאגר כולל מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם, נדרש להודיע על כך לרשות להגנת הפרטיות. זו חובה נפרדת מחובת הרישום הקלאסית, והיא נועדה לתת לרשות מפה של המאגרים הרגישים בשוק גם כשאין חובת רישום פורמלית.

שתי טעויות נפוצות סביב החובה הזו: הראשונה היא להניח שביטול חלק מחובות הרישום בתיקון 13 פירושו שאין יותר מה לדווח — בעוד שבפועל נוצר מסלול הודעה חדש. השנייה היא לספור לא נכון את נושאי המידע: הספירה היא של בני אדם, ולא של רשומות, ולקוח שמופיע בשלוש מערכות שונות הוא עדיין אדם אחד. מנגד, לקוחות עבר שלא נמחקו נספרים גם הם. הבחנה בין השניים דורשת מיפוי אמיתי, ולא הערכה. הרחבנו על כך במדריך רישום מאגר מידע אחרי תיקון 13: מי חייב ומי רק מודיע.

איך רגישות המידע משפיעה על גובה העיצום הכספי?

תיקון 13 העניק לראש הרשות להגנת הפרטיות סמכות להטיל עיצומים כספיים מנהליים, והקריטריונים לקביעת הסכום כוללים את סוגי ההפרות, את כמות ההפרות, את מספר נושאי המידע שנפגעו, ואת השאלה האם מדובר במידע בעל רגישות מיוחדת. כלומר, אותה הפרה עצמה עשויה להיות יקרה יותר כשהמידע שנחשף רגיש.

הדוגמה המעשית הראשונה הגיעה ביולי 2026, כשהרשות הודיעה על העיצום הכספי הראשון שהוטל מכוח תיקון 13 — בסך 256,000 ש״ח — על קופת חולים, בגין אי-דיווח מיידי על אירוע אבטחה חמור שאפשר גישה בלתי מורשית למידע רפואי של מבוטחים. שילוב של מידע רפואי, היקף נרחב וכשל בדיווח הוא בדיוק הצירוף שהקריטריונים מתמחרים כלפי מעלה.

מעבר לעיצום המנהלי, התיקון גם הרחיב את סמכות בית המשפט לפסוק פיצוי ללא הוכחת נזק בסכום של עד 10,000 ש״ח. בהקשר של מאגר גדול עם מידע רגיש, החשיפה המצטברת בתביעות אזרחיות עלולה לעלות על העיצום עצמו. פירוט נוסף במדריך קנסות הגנת הפרטיות וכמה עולה הפרת תיקון 13.

איך מסווגים בפועל את המידע בעסק?

הסיווג מתחיל במיפוי של המידע שנמצא במערכות בפועל, ולא בהצהרה על מה שהעסק חושב שהוא אוסף. זהו התהליך המינימלי שמאפשר להגן על החלטת הסיווג מול הרשות:

1. רשמו את כל המערכות שמחזיקות מידע על אנשים — CRM, מערכת שכר, תיבות דואר, גיליונות שיתופיים, טפסי אתר, שרת קבצים, מערכות של ספקים.
2. עברו שדה-שדה על הטפסים והמסכים וסמנו כל שדה שנופל לאחת מקטגוריות ההגדרה. בדקו גם שדות ״הערות״ חופשיות — שם מצטבר בפועל המידע הרגיש ביותר.
3. בדקו איסוף נסתר: נתוני מיקום מאפליקציה, קבצי לוג, הקלטות שיחה, מסמכים סרוקים שהועלו על ידי לקוחות.
4. ספרו נושאי מידע ייחודיים בכל מאגר, כדי לבחון את סף ההודעה של 100,000 בני אדם.
5. קבעו רמת אבטחה לכל מאגר בהתאם לתקנות, וגזרו ממנה את רשימת הפעולות הנדרשות.
6. תעדו את ההחלטה ואת הנימוק במסמך אחד, עם תאריך ואחראי, וקבעו מועד לבדיקה חוזרת. סיווג לא מתועד שווה, מבחינת הרשות, לסיווג שלא נעשה.

שלב שביעי שרבים מדלגים עליו: אחרי הסיווג, בדקו האם אתם באמת צריכים את המידע הרגיש. הדרך הזולה ביותר להגן על מידע בעל רגישות מיוחדת היא לא להחזיק אותו — צמצום איסוף ומחיקה של מה שכבר לא נדרש מקטינים בבת אחת את רמת האבטחה הנדרשת, את היקף החשיפה ואת עלות ההיערכות. הרחבנו על כך במדריך מדיניות שמירה ומחיקה של מידע אישי בעסק.

שאלות ותשובות

האם רשימת דיוור רגילה נחשבת מידע בעל רגישות מיוחדת?

רשימה שכוללת רק שם וכתובת דוא״ל אינה נכנסת מעצמה לקטגוריות ההגדרה. עם זאת, אם הרשימה מפולחת לפי מאפיינים כמו מצב בריאותי, השתייכות דתית או מצב פיננסי — הפילוח עצמו הופך את המידע לרגיש, גם אם השדות המקוריים תמימים.

האם מספר תעודת זהות הוא מידע בעל רגישות מיוחדת?

מספר תעודת זהות אינו מופיע כקטגוריה עצמאית ברשימה שנקבעה בתיקון 13, אך הוא מזהה ייחודי שמאפשר קישור בין מאגרים ולכן מגדיל משמעותית את הנזק בדליפה. מקובל להתייחס אליו כשדה שדורש הגנה מוגברת גם כשהוא אינו מסווג פורמלית כרגיש.

מה קורה אם רק חלק קטן מהמאגר כולל מידע בעל רגישות מיוחדת?

גם נוכחות חלקית מכניסה את המאגר לתחום ההגדרה. הפתרון המקובל הוא הפרדה: להוציא את השדות הרגישים למאגר נפרד עם הרשאות מצומצמות, כך שרמת האבטחה המחמירה תחול על החלק הקטן ולא על כלל המערכת.

האם החזקת מידע בעל רגישות מיוחדת מחייבת מינוי ממונה על הגנת הפרטיות?

חובת המינוי נקבעת לפי אמות מידה שבחוק, הנוגעות בין היתר לסוג הגוף ולאופי הפעילות, ורגישות המידע היא אחד המשתנים הרלוונטיים — אך לא בהכרח היחיד. את התנאים המלאים פירטנו במדריך על ממונה על הגנת הפרטיות.

איך מוכיחים לרשות שביצענו סיווג כנדרש?

באמצעות תיעוד: מסמך מיפוי מאגרים מעודכן, החלטת סיווג מנומקת לכל מאגר, קביעת רמת אבטחה נגזרת, ותאריכי בדיקה חוזרת. בביקורת, מסמך מסודר שמראה תהליך שקול הוא ההבדל המרכזי בין ליקוי טכני לבין התרשלות.

המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.

להמשך קריאה

• אבטחת מידע רפואי במרפאות ובקליניקות: מה נדרש בפועל — מידע רפואי הוא הדוגמה הנפוצה למידע בעל רגישות מיוחדת.
• פרטיות ילדים במוסדות חינוך וצהרונים: מה נדרש מהמפעילים — מידע על קטינים במסגרות חינוך.
• הצפנת מידע אישי בעסק: מתי זו חובה ואיך בוחרים מה להצפין — אחד האמצעים להגנה על מידע כזה.
• אנונימיזציה של מידע אישי: מתי מידע באמת מפסיק להיות אישי — מתי מידע מפסיק להיות מידע אישי.
• תיקון 13 לחוק הגנת הפרטיות — המדריך המלא לבעלי אתרים — המדריך המלא לתיקון 13.