מאגרי מידע: מיפוי, רישום והודעה לרשות
אחרי תיקון 13, רוב המאגרים במגזר הפרטי כבר לא חייבים ברישום, אבל זה לא אומר שאין חובות. רישום נשאר בעיקר למאגרים של גופים ציבוריים ולמאגרים שמטרתם מסירת מידע לאחרים כעיסוק, עם יותר מ-10,000 איש. מאגר שיש בו מידע בעל רגישות מיוחדת על יותר מ-100,000 איש חייב בהודעה לרשות בתוך 30 יום, יחד עם מסמך הגדרות המאגר. וכל השאר? עדיין חלות עליהם חובות אבטחה ותיעוד.
ב-WEB-A ממפים את כל המאגרים שמפוזרים בין המערכות, מסווגים את המידע הרגיש, ומחליטים איתכם אם צריך רישום, הודעה או רק תיעוד מסודר.
יש לכם מאגר מידע גם אם לא קראתם לו ככה
רשימת לקוחות, טופס לידים או מערכת CRM יכולים להיות מאגר לכל דבר. נבדוק יחד אילו חובות רישום ואבטחה חלות עליכם.
מאגרי מידע מההגדרה ועד ההחלטה
מהו מאגר, מתי נדרש רישום או הודעה, ואיך מטפלים במידע רגיש.
מהו מאגר מידע?
מאגר מידע מוגדר כ«אוסף מידע» הנמצא בכל המערכות שבהן המידע קיים. גם אם המידע מפוזר בין מספר מערכות, לדוגמה מידע על עובדים במשאבי אנוש ובשיווק, הוא עדיין נחשב מאגר אחד. הפיזור הטכנולוגי לא משפיע על ההגדרה המשפטית; מה שקובע הוא תוכן המידע.
חריגים נפוצים: אוסף לשימוש אישי שאינו לצורכי עסק, ואוסף שכולל רק שם, כתובת ודרכי התקשרות של עד 100,000 איש, כל עוד אין לכם אוסף אחר עם מידע נוסף על אותם אנשים. החוק מגדיר מאגר כמידע שמעובד באמצעי דיגיטלי, ולכן פנקס ידני לא נחשב מאגר. אבל ברוב העסקים היום המידע דיגיטלי, ולכן כן מדובר במאגר.
רישום או הודעה: מי חייב במה אחרי תיקון 13
החובה בישראל ייחודית. יש שני מסלולים:
רישום מאגר מידע: חל על מאגר של גוף ציבורי (חוץ ממאגר שיש בו רק מידע על העובדים שלו), ועל מאגר שמטרתו העיקרית איסוף מידע אישי כדי למסור אותו לאחרים כעיסוק או בתמורה, כולל דיוור ישיר, כשיש בו מידע על יותר מ-10,000 איש.
הודעה על מאגר מידע: כשמאגר שלא חייב ברישום מכיל מידע בעל רגישות מיוחדת על יותר מ-100,000 איש, צריך להודיע לרשות בתוך 30 יום ולצרף את מסמך הגדרות המאגר.
שלוש רמות אבטחה, ומה זה אומר עליכם
תקנות אבטחת המידע מחלקות מאגרים לרמת אבטחה בסיסית, בינונית או גבוהה, לפי סוג המידע וכמות האנשים. הרמה קובעת מה תצטרכו לעשות בפועל: נוהל אבטחה, הרשאות, תיעוד ובמאגרים בינוניים וגבוהים גם ביקורת תקופתית לפחות פעם ב-24 חודשים. לכן הסיווג הוא חלק מהמיפוי, ולא שלב שמדלגים עליו.
כשרק חלק קטן מהמאגר רגיש
לעיתים המאגר גדול, אבל רק חלק קטן ממנו רגיש. אפשר להפריד למאגרים נפרדים לגמרי: רגיש ולא רגיש. אם אי אפשר להפריד, העניין דורש זהירות מקצועית, ולא מנחשים לבד מול הרשות.
גם מי שרשם או הודיע בעבר עשוי להיות חייב להודיע מחדש אם הוא עומד בתנאי החובה אחרי התיקון.
איך אנחנו עובדים
- מיפוי מאגרים בכל המערכות
- סיווג מידע ורמת אבטחה
- החלטה על רישום, הודעה או תיעוד
- כתיבת מסמך הגדרות למאגר המידע
- הפרדת מאגרים כשצריך
- הגשה לרשות כשנדרש
- עדכון שנתי
אפשר לחבר את העבודה לליווי DPO חיצוני לאורך השנה.
לא בטוחים מה חל עליכם?
מאגר שלא נרשם או לא דווח כשצריך עלול להוביל לעיצום כספי. שלחו לנו אילו מערכות יש בארגון, ונגיד לכם אחרי מיפוי ראשוני אם צריך רישום, הודעה או רק סדר פנימי.
מידע כללי, אינו ייעוץ משפטי.
שאלות נפוצות
מהו מאגר מידע?
אוסף מידע אישי שנשמר במערכות הארגון. גם אם המידע מפוזר בין מערכות שונות, מבחינת החוק זה עדיין יכול להיחשב מאגר אחד.
האם צריך לרשום את המאגר או להודיע עליו לרשות?
תלוי בסוג הגוף, ברגישות המידע ובמספר האנשים. גוף ציבורי וסוחר מידע עם יותר מ-10,000 איש נרשמים. מאגר עם מידע בעל רגישות מיוחדת על יותר מ-100,000 איש מחייב הודעה. השאר לא נרשמים, אבל חייבים בתיעוד ובאבטחה.
מה קורה כשרק חלק קטן מהמאגר כולל מידע רגיש?
עדיף להפריד למאגר רגיש ומאגר לא רגיש כשאפשר. אם אי אפשר - בודקים מקצועית לפני שמחליטים איך לדווח.
הודעה על מאגר שנמסרה לפני התיקון עדיין תקפה?
מאגר שהיה רשום ממשיך להופיע במרשם, אלא אם תבקשו למחוק אותו. אבל אם הוא עומד בתנאי חובת ההודעה החדשה, הרישום הישן לא פוטר אתכם מההודעה.
איך ממפים מאגרי מידע שמפוזרים בין מערכות הארגון?
עוברים מערכת-מערכת (CRM, שכר, דיוור, טפסים באתר), רושמים איזה מידע אישי יושב איפה ומי ניגש אליו, ורק אז מחליטים על רישום, הודעה או תיעוד.
שיחה אישית,
לא הצעת מחיר אוטומטית.
ספרו לנו על העסק והאתר, ונחזור אליכם עם דרך פעולה אישית לנגישות ולפרטיות, בלי התחייבות.