בעל שליטה במאגר מידע מול מחזיק: מי אחראי למה אחרי תיקון 13

נקודות עיקריות

• תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025, הוסיף לחוק את המונח ״בעל שליטה במאגר מידע״ ועדכן את הגדרת ״מחזיק״.
• המבחן המכריע הוא מי קובע את מטרות העיבוד — לא מי מחזיק פיזית את השרת.
• המחזיק חייב לתקן מידע אישי אם בעל השליטה הסכים לתיקון או שבית משפט ציווה עליו (סעיף 14(ד)).
• ההתקשרות בין הצדדים מוסדרת בתקנה 15 לתקנות אבטחת המידע (מיקור חוץ).
• אותו עסק יכול להיות בעל שליטה במאגר אחד ומחזיק במאגר אחר.

תוכן עניינים

• מי נחשב בעל שליטה במאגר מידע?
• מי נחשב מחזיק במאגר מידע?
• איך מזהים מה התפקיד של העסק בפועל?
• אילו חובות חלות על כל אחד מהם?
• מה קורה כשמחזיק חורג מההרשאה?
• צ׳קליסט: סיווג התפקיד ב-6 שאלות
• שאלות ותשובות

בעל שליטה במאגר מידע הוא הגורם שהחוק רואה בו אחראי העיקרי למידע: הוא מחליט למה אוספים מידע ומה עושים בו. ההבחנה בין בעל שליטה למחזיק קובעת מי נושא באילו חובות, מי עונה לפניות של לקוחות, ומה צריך להיכתב בהסכם עם כל ספק. המונחים דומים ל״Controller״ ול״Processor״ ב-GDPR האירופי, והם נכנסו לחוק הישראלי בנוסחם הנוכחי בתיקון 13. לתמונה המלאה של התיקון ראו את המדריך המלא לתיקון 13 לחוק הגנת הפרטיות, ולמיפוי התפקידים בארגון שלכם אפשר להיעזר במערכת הציות של Privorify.

מי נחשב בעל שליטה במאגר מידע?

לפי סעיף 3 לחוק, בעל שליטה במאגר מידע הוא ״מי שקובע, לבדו או יחד עם אחר, את מטרות עיבוד המידע שבמאגר המידע״, או גוף שהוסמך בחיקוק לעבד מידע במאגר. המפתח הוא קביעת המטרות, ולא הבעלות על התשתית הטכנולוגית.

חנות אונליין שמאחסנת את נתוני הלקוחות שלה אצל חברת אחסון בענן היא עדיין בעלת השליטה, כי היא זו שהחליטה לאסוף את המידע לצורך משלוח, חשבונית ושיווק. הרשות להגנת הפרטיות אימצה את אותו היגיון גם בטיוטת ההנחיה על אימות גיל מיוני 2026: אתר שמשתמש באמצעי אימות הוא בעל השליטה במאגר שבו מאוחסן המידע, גם כשספק חיצוני מבצע את האימות בפועל.

מהי שליטה משותפת?

המילים ״לבדו או יחד עם אחר״ מלמדות שלמאגר אחד יכולים להיות כמה בעלי שליטה. דוגמה אפשרית היא שני עסקים שמפעילים יחד מועדון לקוחות משותף ומחליטים במשותף מה ייעשה במידע. במצב כזה רצוי לקבוע בהסכם מי מטפל בפניות עיון, בתיקון ובאירועי אבטחה.

מי נחשב מחזיק במאגר מידע?

מחזיק במאגר מידע מוגדר בחוק כ״גורם חיצוני לבעל השליטה במאגר המידע המעבד בעבורו מידע״. שני התנאים מצטברים: הוא חיצוני לארגון, והוא מעבד בעבור בעל השליטה ולא למטרות שלו.

דוגמאות נפוצות למחזיקים:

• ספק אחסון וענן שמריץ את האתר ומסד הנתונים;
• מערכת CRM או כלי דיוור שמנהלים את רשימות הלקוחות;
• לשכת שכר חיצונית שמכינה תלושים לפי נתוני העובדים;
• מוקד שירות חיצוני שעונה ללקוחות בשם העסק;
• ספק אימות גיל או זהות שמחזיר לאתר תוצאה.

שימו לב למילה ״חיצוני״: עובדי הארגון, גם כשהם עובדים עם המידע כל היום, אינם מחזיקים. הם בעלי הרשאה מטעם בעל השליטה.

איך מזהים מה התפקיד של העסק בפועל?

שואלים מי החליט למה המידע נאסף ומה עושים בו. מי שמשתמש במידע לצרכיו העסקיים העצמאיים הוא בעל שליטה; מי שמבצע הוראות של אחר בלבד הוא מחזיק. אותו עסק יכול להיות בעל שליטה במאגר אחד ומחזיק במאגר אחר.

הטבלה מציגה ניתוח כללי. הסיווג במקרה קונקרטי תלוי בעובדות ובנוסח ההסכם, ובמקרי גבול כדאי להתייעץ משפטית.

אילו חובות חלות על כל אחד מהם?

בעל השליטה נושא ברוב החובות כלפי נושאי המידע וכלפי הרשות. המחזיק חייב באבטחת מידע, בעיבוד רק למטרת המאגר, וביישום תיקונים שבעל השליטה אישר.

חובות בעל השליטה

• יידוע נושאי המידע לפי סעיף 11 וטיפול בבקשות עיון ותיקון לפי סעיפים 13 ו-14;
• קביעת רמת האבטחה, מסמך הגדרות המאגר ונוהל האבטחה;
• בחינת סיכונים לפני התקשרות עם מחזיק וחתימה על הסכם לפי תקנה 15;
• פיקוח על המחזיק בהיקף שמתאים לסיכונים;
• מינוי ממונה על הגנת הפרטיות כשהחוק מחייב זאת. ראו מי חייב למנות ממונה על הגנת הפרטיות.

חובות המחזיק

• אחריות לאבטחת המידע לפי סעיף 17 לחוק. תקנה 19 לתקנות אבטחת המידע קובעת שחובות בעל המאגר לפי התקנות חלות גם על המחזיק;
• עיבוד רק למטרת המאגר שנקבעה לו כדין (סעיף 8(ב));
• תיקון מידע אם בעל השליטה הסכים לתיקון או שבית משפט ציווה עליו (סעיף 14(ד)). על התהליך ראו בקשה לתיקון מידע אישי;
• עמידה בהוראות ההסכם עם בעל השליטה, כולל דיווח על אירועי אבטחה ומחיקה בסיום ההתקשרות.

מה קורה כשמחזיק חורג מההרשאה?

מחזיק שמשתמש במידע למטרות שלו חורג ממטרת המאגר, ובפועל מתחיל לפעול כמי שקובע מטרות עיבוד. הדבר עלול להפר את סעיף 8(ב) לחוק ואת ההסכם, ולחשוף את שני הצדדים לטענות.

דוגמה מוכרת היא ספק שמשתמש בנתוני הלקוחות של לקוחותיו כדי לאמן מודל בינה מלאכותית משלו. שימוש כזה אינו חלק מהשירות שבעל השליטה הזמין, ולכן ההסכם צריך לאסור אותו במפורש או להסדיר אותו. לצד זה, תיקון 13 הרחיב את סמכויות האכיפה של הרשות, וחלק מהעיצומים הכספיים שבו מופנים גם למחזיקים. מה לכלול בהסכם כדי למנוע זאת מפורט במדריך הסכם עיבוד מידע (DPA) עם ספק, והצעדים שלפני ההתקשרות במדריך מיקור חוץ ומאגרי מידע.

צ׳קליסט: סיווג התפקיד ב-6 שאלות

כדי לסווג כל התקשרות עם ספק או לקוח, עברו על שש השאלות הבאות ותעדו את התשובות במסמך הגדרות המאגר.

1. מי החליט לאסוף את המידע, ולאיזו מטרה?
2. האם הצד השני רשאי להשתמש במידע למטרות שלו?
3. מי קובע כמה זמן שומרים ומתי מוחקים?
4. מי עונה לפניות עיון ותיקון של נושאי המידע?
5. האם קיים הסכם לפי תקנה 15 שמגדיר מטרות, אבטחה, דיווח ומחיקה?
6. האם הספק עצמו מעסיק תת-מחזיקים, והאם הסכם מתייחס לכך?

תשובה ״אנחנו״ לשאלות 1–4 מצביעה על בעל שליטה; תשובה ״הלקוח שלנו״ מצביעה על מחזיק.

סיכום

• בעל שליטה קובע את מטרות העיבוד; מחזיק הוא גורם חיצוני שמעבד עבורו.
• שניהם אחראים לאבטחת המידע ומחויבים למטרת המאגר.
• הסכם לפי תקנה 15 הוא הכלי המרכזי לחלוקת האחריות ביניהם.

שאלות ותשובות

מה ההבדל בין בעל שליטה למחזיק במאגר מידע?

בעל שליטה קובע, לבדו או יחד עם אחר, את מטרות עיבוד המידע. מחזיק הוא גורם חיצוני שמעבד מידע עבור בעל השליטה, כמו ספק ענן או מערכת CRM.

האם ספק הענן שמאחסן את הנתונים שלי הוא בעל השליטה?

בדרך כלל לא. המבחן הוא מי קובע את מטרות העיבוד ולא מי מחזיק את השרת. ספק ענן שמאחסן מידע עבור העסק הוא מחזיק, והעסק נשאר בעל השליטה.

האם מחזיק חייב לתקן מידע לבקשת לקוח?

לפי סעיף 14(ד) לחוק, מחזיק חייב לתקן מידע אישי אם בעל השליטה הסכים לתיקון המבוקש או שבית משפט ציווה על התיקון.

האם מחזיק אחראי לאבטחת המידע?

כן. סעיף 17 לחוק מטיל אחריות לאבטחת מידע גם על המחזיק, ותקנה 19 לתקנות אבטחת המידע קובעת שחובות בעל המאגר לפי התקנות חלות גם עליו.

האם עסק יכול להיות גם בעל שליטה וגם מחזיק?

כן, לגבי מאגרים שונים. חברת תוכנה היא מחזיקה לגבי נתוני הלקוחות של לקוחותיה, ובעלת שליטה לגבי מאגר המנויים והעובדים שלה עצמה.

לקריאה נוספת ומקורות

• חוק הגנת הפרטיות, התשמ״א-1981 — סעיף 3 (הגדרות), סעיף 8, סעיף 14(ד) וסעיף 17
• תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 — תקנה 15 (מיקור חוץ) ותקנה 19

המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.