שאלת רישום מאגר מידע היא אולי השאלה הנפוצה ביותר שעסקים שואלים מאז שנכנס תיקון 13 לתוקף באוגוסט 2025, וגם השאלה שסביבה מצטבר הכי הרבה בלבול. הסיבה פשוטה: הכלל הישן התהפך. למי שרוצה לראות תחילה את התמונה הכוללת של הציות, Privorify מרכז את הדרישות לכדי תהליך מסודר; במאמר הזה נתמקד בשאלה הצרה — מי צריך לרשום, מי צריך להודיע, ומי לא צריך אף אחד מהשניים.
מה זה בכלל מאגר מידע?
מאגר מידע הוא אוסף נתוני מידע המוחזק באמצעי מגנטי או אופטי והמיועד לעיבוד ממוחשב. בעברית פשוטה: רשימת הלקוחות ב-CRM שלכם, טבלת הנרשמים לניוזלטר, מאגר העובדים במערכת השכר וטופסי הצור קשר באתר — כולם מאגרי מידע לעניין החוק. העובדה שמאגר אינו טעון רישום אינה משנה את עצם קיומו או את החובות החלות עליו.
מי חייב ברישום מאגר מידע אחרי תיקון 13?
לפי הפרסומים המקצועיים בעקבות תיקון 13, חובת הרישום בפנקס המאגרים צומצמה וחלה כיום על שתי קבוצות עיקריות: גופים ציבוריים, וסוחרי מידע המחזיקים מאגר על יותר מ-10,000 אנשים. לצד זאת נוצרה חובה נפרדת וקלה יותר — חובת הודעה לרשות — החלה על מי שמחזיק מידע רגיש על 100,000 אנשים ומעלה.
ההבחנה הזו משנה את המצב עבור הרוב המוחלט של העסקים הקטנים והבינוניים בישראל: הם כבר אינם נדרשים להגיש בקשת רישום עבור מאגר הלקוחות שלהם. אבל וודאו שאתם קוראים את המשפט הבא עד הסוף: הוויתור על הרישום הוא וויתור על פרוצדורה בירוקרטית בלבד, לא על החובות המהותיות.
טבלת סיכום: רישום, הודעה או לא כלום
| המצב | מה נדרש |
|---|---|
| גוף ציבורי | רישום מאגר |
| סוחר מידע עם מאגר על מעל 10,000 אנשים | רישום מאגר |
| מידע רגיש על 100,000 אנשים ומעלה | הודעה לרשות להגנת הפרטיות |
| עסק פרטי רגיל עם מאגר לקוחות | ככלל אין רישום — אבל כל חובות החוק חלות במלואן |
מה זה "מידע רגיש" לעניין החובה?
מידע רגיש הוא קטגוריה מוגדרת בחוק הגנת הפרטיות, התשמ"א-1981, והיא רחבה יותר ממה שרוב העסקים מניחים. היא כוללת בין היתר מידע על מצב בריאותי, מצב כלכלי, דעות ואמונות ועבר פלילי. תיקון 13 אף הרחיב את תחולת החוק על סוגי מידע נוספים, ולכן כדאי לבדוק מחדש מה בדיוק מוחזק אצלכם.
עסקים רבים מופתעים לגלות שהם מחזיקים מידע רגיש בלי שהתכוונו לכך: קליניקה שמנהלת תיקים, עמותה שמספקת סיוע כלכלי, או חנות מקוונת ששומרת שאלוני בריאות לצורך התאמת מוצר. במקרים אלו רמת האבטחה הנדרשת גבוהה יותר, גם אם אין חובת רישום.
אם אין רישום — מה כן נדרש ממני?
כל מי שמנהל מאגר מידע כפוף לשורה של חובות מהותיות, ללא קשר לשאלת הרישום. אלו העיקריות שבהן:
- מסמך הגדרות המאגר — מסמך שמתאר איזה מידע נאסף, לאיזו מטרה, מי בעל המאגר ומי מחזיק בו.
- נוהל אבטחת מידע — לפי תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, הנוהל נדרש לכלול גם התמודדות עם אירועי אבטחת מידע.
- רמת אבטחה מתאימה — התקנות מבחינות בין רמות אבטחה לפי אופי המאגר, היקפו ורגישות המידע שבו.
- שקיפות באיסוף — יידוע נושא המידע לגבי מטרת האיסוף ומי יקבל את המידע.
- מימוש זכויות — מנגנון מעשי לטיפול בבקשות עיון ותיקון מצד אנשים שמידע עליהם מוחזק במאגר.
- עיגון מול ספקים — הסדרה חוזית עם גורמים חיצוניים שמעבדים את המידע עבורכם.
מדוע הביטול הובן לרעה על ידי עסקים רבים?
הטעות הנפוצה היא לקרוא את ביטול חובת הרישום כהקלה כללית. בפועל קרה ההפך: תיקון 13 החליף פיקוח מראש (רישום בפנקס) בפיקוח בדיעבד ואכיפה מנהלית. הרשות להגנת הפרטיות קיבלה סמכויות פיקוח, חקירה ואכיפה רחבות במידה ניכרת, ולפי פרסומים מיולי 2026 היא מנהלת עשרות רבות של תיקי אכיפה.
מבחינה מעשית, ארגון שמסתמך על כך שהמאגר שלו "לא רשום ולכן הכל בסדר" נמצא בנקודה חלשה. בבדיקת פיקוח או בעקבות תלונה של לקוח, השאלה לא תהיה אם המאגר רשום אלא אם קיימים מסמכים, נהלים ואמצעי אבטחה סבירים. מי שרוצה להבין את סדרי הגודל הכספיים ימצא אותם במאמר על קנסות הגנת הפרטיות, ובעלי אתרים ימצאו צעדים מעשיים במדריך תיקון 13 לבעלי אתרים.
שאלות ותשובות
האם עדיין צריך לרשום מאגר מידע בישראל?
רק חלק מהגופים. לפי הפרסומים בעקבות תיקון 13, חובת הרישום צומצמה וחלה בעיקר על גופים ציבוריים ועל סוחרי מידע עם מאגר על מעל 10,000 אנשים. רוב העסקים הקטנים והבינוניים אינם נדרשים לרשום את מאגר הלקוחות שלהם.
מה ההבדל בין חובת רישום לחובת הודעה?
רישום הוא הליך פורמלי של הכנסת המאגר לפנקס המאגרים. חובת ההודעה היא דרישה קלה יותר — יידוע הרשות על קיום המאגר. לפי הפרסומים, חובת ההודעה רלוונטית למי שמחזיק מידע רגיש על 100,000 אנשים ומעלה.
אם אין לי חובת רישום, האם אני פטור מהחוק?
לא. ביטול חובת הרישום הוא וויתור על פרוצדורה בירוקרטית בלבד. כל מאגר מידע, גם אם אינו טעון רישום, כפוף לחובות בנוגע לאיסוף המידע, ניהולו, עיבודו ואבטחתו.
מה זה מסמך הגדרות המאגר?
מסמך פנימי שמתעד מה המאגר מכיל, לאיזו מטרה נאסף המידע, מי בעל המאגר ומי מחזיק בו, ואילו סיכונים נשקפים למידע. הוא משמש בסיס לנוהל האבטחה ולהחלטות על רמת האבטחה הנדרשת.
איך יודעים אם המידע שלנו נחשב רגיש?
מידע רגיש הוא קטגוריה המוגדרת בחוק הגנת הפרטיות וכוללת בין היתר מידע על מצב בריאותי, מצב כלכלי, דעות ואמונות ועבר פלילי. תיקון 13 הרחיב את תחולת החוק על סוגי מידע נוספים, ולכן כדאי לבצע מיפוי מעודכן.
המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
מה בא אחרי הרישום או ההודעה
- פיקוח רוחב של הרשות להגנת הפרטיות: מה בודקים — הרישום הוא שהופך אתכם לגוף מזוהה מול הרשות — ומשם מגיעה בדיקת הפיקוח.
- מיקור חוץ ומאגרי מידע: מה נדרש לפני שנותנים לספק גישה — בעל המאגר הרשום נשאר האחראי גם כשהמידע יושב אצל ספק חיצוני.
- הגנת הפרטיות בעמותות: מה נדרש מהמגזר השלישי — עמותות רבות מחזיקות מאגר שחובת רישום או הודעה חלה עליו, בלי לדעת זאת.
מקורות רשמיים
- שאלות ותשובות רשמיות על תיקון 13 — הרשות להגנת הפרטיות
- חוק הגנת הפרטיות (תיקון מס׳ 13), התשפ״ד-2024 — מאגר החקיקה הלאומי, הכנסת
- הרשות להגנת הפרטיות — האתר הרשמי
להמשך קריאה
- מיפוי מאגרי מידע בארגון: הצעד הראשון לעמידה בתיקון 13
- הסכם עיבוד מידע (DPA) עם ספק: מה חייב להיכלל בו
להמשך קריאה: כשהמאגר עובר בעלים
