האם אתם צריכים לרשום מאגר מידע? המדריך המעשי לעסקים אחרי תיקון 13

אם שמעתם על תיקון 13 ועל "חובת רישום מאגר מידע" ולא ברור לכם אם זה חל עליכם – אתם לא לבד. זה אחד הנושאים שיוצרים הכי הרבה בלבול, בין השאר כי חלק מהמידע שמסתובב באינטרנט עדיין מתאר את הכללים הישנים, מלפני שהחוק השתנה.

במאמר הזה אני עובר על הכלל העדכני, נכון לאחרי כניסת תיקון 13 לתוקף באוגוסט 2025: מי באמת חייב לרשום מאגר מידע היום, איך זה שונה מ"הודעה" לרשות (שני דברים נפרדים), ומה קורה אם רשמתם מאגר בעבר, לפי הכללים הישנים.

מה השתנה בתיקון 13 בנושא רישום מאגרי מידע

לפני תיקון 13, חובת הרישום הייתה רחבה יחסית וחלה על מגוון סוגי מאגרים – למשל מאגרים שכללו מידע בעל רגישות מיוחדת, מאגרים עם מידע על יותר מ-10,000 איש שלא נאסף ישירות מבעליו, מאגרים ששימשו לדיוור ישיר, ומאגרים של גופים ציבוריים. זו הסיבה שיועצים וכתבות רבות עדיין מתארים רשימה ארוכה של קריטריונים לרישום – זה היה נכון, לפני 14.8.2025.

מתי חובה לרשום מאגר מידע היום

לפי הכללים הנוכחיים, כפי שהם מופיעים בעמוד השירות הרשמי של הרשות להגנת הפרטיות לבקשת רישום מאגר מידע, חובת רישום חלה רק בשני מקרים:

מאגר שמטרתו העיקרית איסוף מידע לשם מסירתו לאחר

אם המאגר שלכם נועד בעיקרו לאיסוף מידע אישי לשם מסירתו לאחר, כדרך עיסוק או בתמורה, וגם יש בו מידע על יותר מ-10,000 איש – אתם חייבים ברישום, לפי סעיף 8א לחוק. מדובר בעיקר בעסקים שהמוצר שלהם הוא המידע עצמו – למשל חברות שמוכרות רשימות תפוצה או מידע על לקוחות פוטנציאליים לצדדים שלישיים.

חשוב לשים לב: עצם מתן הגישה למידע לספק שמעבד אותו עבורכם (כמו ספק אחסון או ספק דיוור) אינה הופכת כשלעצמה את מטרתו העיקרית של המאגר לאיסוף מידע לשם מסירתו לאחר – זה עדיין שימוש במידע לצורך הפעילות שלכם. נניח שיש לכם חנות ווקומרס עם רשימת לקוחות של 15,000 איש, שמנוהלת אצל ספק דיוור חיצוני – זה כשלעצמו לא הופך אתכם לחייבים ברישום, כי המטרה העיקרית של המאגר היא ניהול הלקוחות שלכם, לא איסוף מידע כדי למסור אותו לאחרים.

מאגר שבבעלות גוף ציבורי

אם בעל השליטה במאגר המידע הוא גוף ציבורי (במובן שהחוק מגדיר), חלה חובת רישום – למעט מאגר שמכיל רק מידע על עובדי הגוף עצמו.

עבור רוב בעלי העסקים הפרטיים שקוראים את המאמר הזה, הקטגוריה הזו פשוט לא רלוונטית.

רישום מול הודעה: שני דברים שונים

זה המקום שבו הכי הרבה אנשים מתבלבלים. תיקון 13 יצר חובה נוספת, נפרדת מרישום – הודעה לרשות להגנת הפרטיות.

לפי עמוד השירות הרשמי של הרשות בנושא חובת ההודעה, חובת ההודעה חלה כאשר במאגר יש מידע בעל רגישות מיוחדת (מונח מוגדר בחוק, הכולל כמה קטגוריות – בהן מידע רפואי, גנטי וביומטרי, מידע על עבר פלילי, דעות פוליטיות ואמונות דתיות, נתוני שכר ופעילות פיננסית וסוגי מידע נוספים המנויים בחוק) על יותר מ-100,000 איש – ובעל המאגר לא כפוף ממילא לחובת הרישום.

ההודעה, בניגוד לרישום, לא כפופה לאישור של הרשות – היא צריכה להימסר בתוך 30 יום מהמועד שבו מספר האנשים שיש על אודותיהם מידע בעל רגישות מיוחדת עבר את 100,000. במסגרת ההודעה נמסרים, בין היתר, פרטי בעל השליטה במאגר ודרכי ההתקשרות עמו, פרטי הממונה על הגנת הפרטיות (DPO), שתפקידו לסייע לארגון לקיים את דיני הגנת הפרטיות ולפקח על יישומם, אם קיימת חובה למנותו לפי החוק, וכן העתק ממסמך הגדרות המאגר.

לרוב העסקים הקטנים, גם חובת ההודעה הזו לא רלוונטית – כי מדובר בסף גבוה של 100,000 בעלי מידע רגיש במיוחד, לא 100,000 לקוחות רגילים.

כבר רשמתם מאגר מידע בעבר? מה המצב עכשיו

אם רשמתם מאגר מידע לפני שתיקון 13 נכנס לתוקף, לפי הכללים הישנים, הוא נשאר רשום גם היום – גם אם לפי הכללים החדשים לא הייתם חייבים ברישום מלכתחילה. מחיקה מהרישום לא קורית אוטומטית; כשמאגר אינו חייב עוד ברישום, ניתן לפנות לרשות בבקשה למחיקת הרישום, בהתאם להליך הקבוע בסעיף 10 לחוק – הליך שכולל אימות הבקשה בתצהיר, לא רק פנייה חופשית.

מהניסיון שלי, זו נקודה שמבלבלת בעלי עסקים – "אם כבר לא חייבים, אז למה המאגר עדיין רשום?" התשובה היא שהרישום הקיים לא נמחק אוטומטית רק משום שהמאגר כבר אינו חייב ברישום לפי הכללים החדשים. אם המאגר אינו חייב עוד ברישום, ניתן להודיע על כך לרשות בהתאם לסעיף 10, בצירוף תצהיר, ואז הרישום יימחק בהתאם להליך הקבוע בחוק. אם אתם לא בטוחים אם המאגר שלכם עדיין רשום, אפשר לבדוק ולעדכן פרטים דרך עמוד עדכון מאגר מידע של הרשות.

חשוב גם להבחין בין רישום מאגר מידע לבין מסמך הגדרות מאגר – שני נושאים נפרדים לגמרי, שגם הם נוטים להתבלבל. גם אם אינכם חייבים ברישום, אם אתם מנהלים מאגר מידע כהגדרתו בחוק, עדיין עשויות לחול עליכם תקנות אבטחת המידע, ובכלל זה החובה להכין מסמך הגדרות מאגר ובדיקת רמת אבטחה לפי תקנה 2 – חובה שמקורה בתקנות נפרדות, לא בחובת הרישום שעליה מדבר המאמר הזה.

בדיקה עצמית: האם צריך רישום או הודעה

לפני שעונות על השאלה, כדאי לדעת בערך כמה אנשים המידע עליהם נשמר אצלכן, ואיזה סוג מידע זה – אם לא עשיתן את התרגיל הזה, יש לי מדריך נפרד למיפוי מידע אישי בעסק שמסביר איך עושות את זה בפועל.

אחרי שיש לכן תמונה, אפשר לעבור על הרשימה הבאה:

• האם המטרה העיקרית של המאגר שלכן היא איסוף מידע לשם מסירתו לאחר, כדרך עיסוק או בתמורה – ויש בו מידע על יותר מ-10,000 איש? אם כן, כנראה שאתן חייבות ברישום.
• האם אתן גוף ציבורי, והמאגר לא כולל רק מידע על עובדים? אם כן, כנראה שאתן חייבות ברישום.
• האם יש לכן מידע בעל רגישות מיוחדת על יותר מ-100,000 איש, ואתן לא כפופות לחובת רישום? אם כן, כנראה שאתן חייבות בהודעה.
• אם התשובה לכל השאלות למעלה היא לא – לרוב זה בדיוק המצב של עסקים קטנים רבים – אין לכן היום חובת רישום או הודעה, אבל חובות אחרות (תיעוד, אבטחת מידע, הודעה לפי סעיף 11 בעת איסוף מידע) עדיין עומדות בעינן.

איך נרשמים בפועל, אם כן צריך

אם הגעתם למסקנה שאתם כן חייבים ברישום, התהליך מתבצע דרך טופס בקשה לרישום מאגר מידע באתר הרשות להגנת הפרטיות, ללא עלות. הטופס דורש פרטי בעל השליטה במאגר, פרטי ממונה על הגנת הפרטיות אם מונה, מאפייני המאגר (שם, כמות נושאי המידע, מטרות, סוגי המידע), ומקורות המידע. לפי הרשות, ראש הרשות בוחן את הבקשה ורושם את המאגר במרשם מאגרי המידע בתוך עד 60 יום ממועד קבלת המידע המלא – ואם חלפה התקופה הזו בלי הודעת סירוב או השהיה, המאגר נחשב כאילו נרשם.

סיכום

אם עברתם על הבדיקה העצמית למעלה ויצא לכם "לא" בכל השאלות – אצל עסקים קטנים רבים התשובה אכן תהיה שאין כיום חובת רישום או הודעה, אבל צריך לבדוק את מאפייני המאגר ולא להסתמך על גודל העסק בלבד. זה גם לא אומר שאין לכם חובות אחרות לגבי המידע שאתם מחזיקים, רק שהרישום הספציפי הזה כנראה לא אחת מהן. אם אתם עדיין לא בטוחים לאיזו קטגוריה אתם שייכים, או אם המסקנה שלכם הייתה "כן" – הכי בטוח לא לנחש.