אבטחת מידע לעצמאים: מאגר המנוהל בידי יחיד

בקצרה: תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017, קובעות מסלול מקל ל"מאגר המנוהל בידי יחיד" — מאגר של אדם או חברת יחיד, שרק הוא ולכל היותר עוד שני בעלי הרשאה משתמשים בו. על מאגר כזה חלות רק חלק מהתקנות: מסמך הגדרות, אבטחה פיזית, זיהוי מורשים, תיעוד אירועים, התקנים ניידים, עדכוני מערכות ואבטחת תקשורת. אבל ההקלה לא חלה על מאגר עם מידע על 10,000 אנשים ומעלה, על מאגר לסחר במידע או דיוור, ועל מי שכפוף לסודיות מקצועית — כמו עורכי דין ומטפלים.

נקודות עיקריות

"מאגר המנוהל בידי יחיד" הוא קטגוריה מוגדרת בתקנה 1: יחיד או תאגיד בבעלות יחיד, ולכל היותר שני בעלי הרשאה נוספים.
עליו חלות תקנות 1, 2, 6(א), 9(א), 11(א), 12 עד 14 ו-20 בלבד, לפי תקנה 21(4).
ההקלה לא חלה על מאגר עם מידע על 10,000 אנשים ומעלה, מאגר למסירת מידע לאחרים כדרך עיסוק, ומאגר שחלה עליו סודיות מקצועית.
מסמך הגדרות המאגר נבחן לעדכון כל שנה עד 31 בדצמבר, ופעם בשנה בודקים שלא נשמר יותר מידע מהנדרש.
הפרה ראשונה של חובת מסמך ההגדרות או עדכון המערכות במאגר כזה יכולה להסתיים בהתראה מינהלית במקום עיצום כספי.

אבטחת מידע לעצמאים היא קודם כל שאלה של סיווג: עצמאי שמחזיק רשימת לקוחות, תיקי מטופלים או קובץ לידים מחזיק כמעט תמיד מאגר מידע, והחובות שלו תלויות בשאלה אם המאגר עומד בהגדרה של "מאגר המנוהל בידי יחיד". אם כן — רשימת החובות קצרה ומעשית. אם לא — חלות עליו רמות האבטחה הרגילות, כפי שמוסבר במדריך על קביעת רמת האבטחה של מאגר. המאמר הזה עוסק במקרה הראשון, ומתבסס על נוסח התקנות עצמן.

מהו מאגר מידע המנוהל בידי יחיד?

לפי תקנה 1 לתקנות אבטחת המידע, מאגר המנוהל בידי יחיד הוא "מאגר מידע שמנהל יחיד או תאגיד בבעלות יחיד, ואשר רק היחיד ולכל היותר שני בעלי הרשאה נוספים רשאים לעשות בו שימוש ובאפשרותם לעשות בו שימוש". שני התנאים מצטברים: לא מספיק שרק שלושה אנשים מורשים — צריך שגם בפועל רק הם יוכלו לגשת.

דוגמה מעשית: מעצבת גרפית שמנהלת מערכת לקוחות לבד, עם עוזרת אחת שנכנסת למערכת החשבוניות, עומדת בהגדרה. אבל אם סיסמת המערכת משותפת עם חמישה פרילנסרים, המאגר כבר אינו "מנוהל בידי יחיד", גם אם העסק עצמו קטן.

מתי עצמאי לא נהנה מהמסלול המקל?

תקנה 1 מוציאה מההגדרה שלושה סוגי מאגרים, גם כשהם מנוהלים בידי אדם אחד:

מאגר שמטרתו העיקרית היא איסוף מידע לצורך מסירתו לאחר כדרך עיסוק, לרבות שירותי דיוור ישיר — למשל מי שמוכר רשימות לידים.
מאגר שיש בו מידע על 10,000 אנשים ומעלה. רשימת תפוצה שצמחה לאורך שנים יכולה לחצות את הסף הזה בלי שמישהו שם לב.
מאגר שבעליו כפוף לחובת סודיות מקצועית לפי דין או לפי עקרונות של אתיקה מקצועית — רלוונטי לעורכי דין, רואי חשבון, פסיכולוגים ומטפלים.

הסעיף השלישי חשוב במיוחד, כי רבים מבעלי המקצועות האלה עובדים לבד ומניחים שהם במסלול המקל. הם לא. על החובות שלהם ראו הגנת הפרטיות במשרדי רואי חשבון ועורכי דין ואבטחת מידע רפואי בקליניקות.

אילו חובות אבטחה חלות בפועל?

תקנה 21(4) קובעת שעל מאגר המנוהל בידי יחיד חלות תקנות 1, 2, 6(א), 9(א), 11(א), 12 עד 14 ו-20. בתרגום לשפה מעשית:

תקנה	מה היא דורשת	מה זה אומר לעצמאי
2	מסמך הגדרות מאגר, עדכון ובחינה שנתית	מסמך קצר שמתאר מה אוספים ולמה
6(א)	שמירת המערכות במקום מוגן מפני כניסה ללא הרשאה	מחשב נעול, משרד נעול, לא תיקים פתוחים על השולחן
9(א)	אמצעים מקובלים שהגישה תיעשה רק בידי מורשה	משתמש אישי לכל מורשה וסיסמה שלא משתפים
11(א)	תיעוד כל אירוע שמעלה חשש לפגיעה במידע או לשימוש ללא הרשאה	יומן פשוט של אירועים, במידת האפשר עם רישום אוטומטי
12	הגבלת התקנים ניידים והגנה על מידע שהועתק אליהם	הצפנת לפטופ ודיסק חיצוני
13	ניהול תקין, הפרדת מערכות ועדכונים שוטפים	עדכונים אוטומטיים ולא לעבוד עם מערכת שהיצרן הפסיק לתמוך בה
14	הגנה מפני חדירה, הצפנה בהעברה ואימות בגישה מרחוק	אנטי-וירוס, חיבור מוצפן, אימות חזק למערכות ענן

תקנה 12 קובעת במפורש ששימוש בשיטות הצפנה מקובלות נחשב נקיטת אמצעים סבירים להגנה על מידע שהועתק להתקן נייד — ולכן הצפנת המחשב הנייד היא אחד הצעדים הזולים והאפקטיביים ביותר. מי שעובד מבית או מבתי קפה ימצא הרחבה במדריך על עבודה מהבית והתקנים ניידים.

מה צריך להופיע במסמך הגדרות המאגר?

תקנה 2(א) מחייבת לפחות שבעה נושאים: תיאור כללי של האיסוף והשימוש, מטרות השימוש, סוגי המידע, העברות לחו״ל, עיבוד באמצעות מחזיק, הסיכונים העיקריים והדרך להתמודד עמם, ושמות מנהל המאגר, המחזיק והממונה על האבטחה אם מונה.

לעצמאי זה יכול להיות מסמך של עמוד או שניים. שימו לב לסעיף ה"מחזיק": מערכת CRM בענן, שירות דיוור או נהלת חשבונות חיצונית מעבדים מידע עבורכם, וצריכים להופיע במסמך. הדרך הקלה לאסוף את הפרטים היא להתחיל במיפוי מאגרי המידע.

שתי חובות שנתיות נגזרות מתקנה 2: לבחון עד 31 בדצמבר אם צריך לעדכן את המסמך, ואחת לשנה לבדוק שהמידע השמור אינו רב מן הנדרש למטרות המאגר. הבדיקה השנייה היא הבסיס למדיניות שמירה ומחיקה פשוטה.

מה המסלול המקל לא פוטר?

המסלול המקל נוגע רק לתקנות אבטחת המידע. כל שאר חובות חוק הגנת הפרטיות ממשיכות לחול על עצמאי בדיוק כמו על חברה גדולה. ביניהן: שימוש במידע רק למטרת המאגר, הודעה לפי סעיף 11 בעת איסוף מידע, מענה לבקשות עיון, כללי דיוור ישיר, והצגת מדיניות פרטיות תקינה באתר.

וחשוב לזכור את צד האכיפה. תקנות הגנת הפרטיות (התראה מינהלית), התשפ״ו-2026, מאפשרות לראש הרשות לתת התראה במקום עיצום על הפרה ראשונה של הכנת מסמך הגדרות המאגר ועדכונו במאגר המנוהל בידי יחיד, ועל הפרה ראשונה של עדכון מערכות המאגר במאגר כזה. זו סמכות שבשיקול דעת ולא חסינות — הפרטים במאמר על התראה מינהלית מהרשות להגנת הפרטיות.

צ׳קליסט של 8 צעדים לעצמאי

רוב הצעדים לוקחים שעות בודדות, לא ימים, ורובם נעשים פעם אחת ומתוחזקים פעם בשנה.

בדקו שאתם בהגדרה — עד שלושה מורשים, פחות מ-10,000 אנשים, לא סחר במידע ולא סודיות מקצועית.
כתבו מסמך הגדרות מאגר בן עמוד-שניים לפי שבעת הנושאים בתקנה 2.
פתחו משתמש אישי לכל מורשה והפסיקו לשתף סיסמאות; ראו סיסמאות ואימות דו-שלבי.
הצפינו את המחשב הנייד והדיסקים החיצוניים.
הפעילו עדכונים אוטומטיים והחליפו מערכות שכבר אינן נתמכות בעדכוני אבטחה.
הפרידו בין עבודה לשימוש פרטי במידה סבירה — למשל משתמש נפרד במחשב.
פתחו יומן אירועים — מחשב שאבד, מייל שנשלח לכתובת שגויה, כניסה חשודה לחשבון.
קבעו תזכורת שנתית לדצמבר — עדכון המסמך, בדיקת עודף מידע ובדיקה שלא עברתם את סף 10,000 האנשים.

מי שרוצה לראות את התמונה הרחבה יותר של החובות אחרי תיקון 13 יכול להמשיך למדריך המלא לתיקון 13 לבעלי אתרים.

שאלות ותשובות

האם עצמאי עם רשימת לקוחות קטנה צריך מסמך הגדרות מאגר?

כן. תקנה 2, שעוסקת במסמך הגדרות המאגר, היא אחת התקנות שחלות גם על מאגר המנוהל בידי יחיד. המסמך יכול להיות קצר, אבל צריך לכסות את הנושאים שבתקנה.

מה קורה כשמספר האנשים במאגר עובר את 10,000?

המאגר כבר אינו עומד בהגדרת מאגר המנוהל בידי יחיד, וחלה עליו רמת אבטחה בסיסית או גבוהה יותר לפי סוג המידע ומספר בעלי ההרשאה.

האם פסיכולוגית שעובדת לבד נהנית מהמסלול המקל?

לא. מאגר שבעליו כפוף לחובת סודיות מקצועית לפי דין או לפי עקרונות של אתיקה מקצועית מוחרג במפורש מהגדרת מאגר המנוהל בידי יחיד.

האם עצמאי חייב לדווח לרשות על אירוע אבטחה?

במאגר המנוהל בידי יחיד חלה תקנה 11(א) בלבד, שמחייבת לתעד אירועי אבטחה. חובת הדיווח על אירוע אבטחה חמור מוגדרת בתקנות למאגרים ברמה בינונית וגבוהה. במקרה של אירוע כדאי להתייעץ עם בעל מקצוע.

האם מערכת CRM בענן משנה את הסיווג?

עצם השימוש בענן לא מוציא מאגר מההגדרה, אבל הספק מעבד מידע עבורכם וצריך להופיע במסמך הגדרות המאגר, והגישה מרחוק מחייבת אמצעי זיהוי ואימות לפי תקנה 14.

לקריאה נוספת ומקורות

המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.

אבטחת מידע לעצמאים: מה חל על מאגר מידע שמנוהל בידי יחיד