בטיחות מידע

מהם החוקים בישראל שחלים על מידע על לקוחות?

חוק הגנת הפרטיות, התשמ"א־1981, הוא החוק המרכזי בנוגע למידע על אנשים שנשמר במאגרים. תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז־2017, קובעות את חובות האבטחה. תיקון 13 לחוק שינה הגדרות, את חובת היידוע ואת האכיפה.

מקור: החוק והתקנות, תרגום לא רשמי לאנגלית של הרשות להגנת הפרטיות, נקרא ב־28 באוקטובר 2026.

מהו מידע אישי?

מידע אישי הוא כל פריט מידע שמתייחס לאדם מזוהה או ניתן לזיהוי. אדם ניתן לזיהוי אם אפשר לזהות אותו במאמץ סביר, במישרין או בעקיפין, גם באמצעות שם, מספר זהות, מידע ביומטרי, נתוני מיקום או מזהה מקוון.

מקור: חוק הגנת הפרטיות, ההגדרות, תרגום לא רשמי לאנגלית מעודכן אחרי תיקון 13, נקרא ב־28 באוקטובר 2026.

מה עסק חייב לומר לאנשים כשהוא מבקש את הפרטים שלהם?

בקשה לקבל מידע אישי למאגר צריכה להיות מלווה בהודעה. ההודעה אומרת אם מסירת המידע חובה על פי חוק או תלויה ברצון האדם ומה התוצאה של אי־הסכמה; מה המטרה; מה שמו ופרטי הקשר של בעל המאגר; למי יימסר המידע ולמה; ושלאדם יש זכות לעיין במידע שלו ולבקש לתקן אותו.

מקור: חוק הגנת הפרטיות, סעיף 11, תרגום לא רשמי לאנגלית מעודכן אחרי תיקון 13, נקרא ב־28 באוקטובר 2026.

מי אחראי לאבטחת המידע?

בעל המאגר ומי שמעבד מידע מטעמו אחראים כל אחד לאבטחת המידע במאגר. מי שמעבד מידע מטעמו הוא גורם חיצוני שמעבד מידע בשם בעל המאגר.

מקור: חוק הגנת הפרטיות, סעיף 17(א) וההגדרה של מעבד, תרגום לא רשמי לאנגלית מעודכן אחרי תיקון 13, נקרא ב־28 באוקטובר 2026.

האם לכל המאגרים אותה רמת אבטחה?

לא. התקנות מגדירות ארבע קבוצות: מאגר המנוהל בידי יחיד, ומאגרים ברמת אבטחה בסיסית, בינונית או גבוהה. מאגר המנוהל בידי יחיד הוא מאגר שמנהל אדם אחד, או חברה בבעלותו, שרק הוא ולכל היותר שני בעלי הרשאה נוספים יכולים להשתמש בו. הקבוצה הזו לא חלה אם המאגר נועד בעיקר להעביר מידע לאחרים כעיסוק, אם יש בו מידע על 10,000 אנשים ומעלה, או אם חלה עליו חובת סודיות מקצועית. הרמה הבסיסית היא כל מאגר שאינו בקבוצות האחרות.

מקור: תקנות אבטחת מידע התשע"ז־2017, תקנה 1 (הגדרות), תרגום לא רשמי לאנגלית, נקרא ב־28 באוקטובר 2026. מה מכניס מאגר לקבוצה הבינונית או הגבוהה תלוי בתוספות לתקנות; העמוד הזה לא מתאר אותן.

מה צריך לעשות אחרי אירוע אבטחה חמור?

במאגרים ברמת אבטחה בינונית או גבוהה, אירוע אבטחה חמור מדווחים לרשם באופן מיידי, יחד עם הצעדים שננקטו. התקנה אומרת "באופן מיידי" ולא קובעת מספר שעות. הרשם רשאי גם להורות לבעל המאגר להודיע לאנשים שנפגעו, לאחר שהתייעץ עם ראש הרשות הלאומית להגנת הסייבר. האם אירוע הוא חמור בעסק מסוים, ומתי החובה מתחילה, היא שאלה משפטית שהעמוד הזה לא עונה עליה.

מקור: תקנות אבטחת מידע התשע"ז־2017, תקנה 11(ד) וההגדרה של אירוע אבטחה חמור בתקנה 1, תרגום לא רשמי לאנגלית, נקרא ב־28 באוקטובר 2026.

מתי חייבים לרשום מאגר?

מאגר חייב להיות רשום אם מטרתו העיקרית היא לאסוף מידע אישי כדי למסור אותו לאחרים כעיסוק או תמורת תשלום, כולל שירותי דיוור ישיר, ויש בו מידע על יותר מ־10,000 אנשים; או אם בעל המאגר הוא גוף ציבורי, אלא אם המידע הוא רק על עובדיו. זה כלל אחד, לא הסעיף כולו.

מקור: חוק הגנת הפרטיות, סעיף 8א(א)(1), תרגום לא רשמי לאנגלית מעודכן אחרי תיקון 13, נקרא ב־28 באוקטובר 2026.

ומה לגבי העברת מידע לחו"ל, קנסות וממונה על הגנת הפרטיות?

להעברת מידע לחו"ל יש תקנות משלה. תיקון 13 העניק לרשות סמכות להטיל עיצומים כספיים ומחייב גופים מסוימים למנות ממונה על הגנת הפרטיות. לא סיכמנו את הכללים האלה בעמוד כי לא קראנו את נוסחם. בדקו באתר הרשות.