בעמוד הזה
מה זה מאגר מידע?
חוק הגנת הפרטיות מגדיר מאגר מידע כ"אוסף פרטי מידע אישי המעובד באמצעי דיגיטלי" (סעיף 3 לחוק). ההגדרה רחבה: מערכת CRM, תוכנת שכר, מערכת תורים במרפאה או קובץ אקסל עם פרטי לקוחות יכולים כולם להיות מאגר מידע. מידע אישי הוא כל נתון על אדם מזוהה, או על אדם שאפשר לזהות במאמץ סביר.
החוק מוציא מההגדרה שני סוגי אוספים: אוסף לשימוש אישי שאינו למטרות עסק, ואוסף שכולל רק שם, מען ודרכי התקשרות של 100,000 בני אדם או פחות, בתנאים שבחוק. בתוך המאגר יש שני תפקידים: בעל השליטה, שקובע לבדו או יחד עם אחר את מטרות עיבוד המידע, והמחזיק, גורם חיצוני שמעבד את המידע בעבורו. לפי סעיף 17, כל אחד מהם אחראי לאבטחת המידע שבמאגר. איך ממפים ומסווגים את המאגרים בארגון: סיווג מאגרי מידע בישראל.
דוגמה מהשטח
רשת מרפאות עם מערכת ניהול מטופלים בענן. הרשת שומרת במערכת שמות, מספרי זהות ומידע רפואי. זה מאגר מידע, והרשת היא בעל השליטה בו: היא קובעת למה המידע נאסף ולמה הוא משמש. חברת התוכנה שמפעילה את המערכת בענן היא מחזיק. מידע על מצב בריאותו של אדם הוא מידע בעל רגישות מיוחדת לפי החוק, ולכן כשמספר המטופלים במאגר יעלה על 100,000, הרשת תצטרך להודיע על כך לרשות להגנת הפרטיות בתוך 30 ימים.
בעל שליטה מול מחזיק
| בעל שליטה | מחזיק | |
|---|---|---|
| מי זה | מי שקובע את מטרות עיבוד המידע, לבד או עם אחר | גורם חיצוני שמעבד מידע בעבור בעל השליטה |
| דוגמה | החברה שהלקוחות שלה נמצאים במאגר | ספק ענן, מוקד שירות, חברת שכר |
| אבטחת המידע במאגר | אחראי (סעיף 17) | אחראי (סעיף 17) |
| רישום או הודעה לרשות (סעיף 8א) | החובה מוטלת עליו כשמתקיימים התנאים | החובה לא מוטלת עליו |
| המונח המקביל ב-GDPR | Controller | Processor |
מקורות
רכיבים מרכזיים
איך זה עובד
- מיפוי
איתור כל המערכות והקבצים בארגון שמחזיקים מידע אישי.
- בדיקת ההגדרה
בדיקה אם כל אוסף הוא מאגר מידע לפי החוק, או שהוא נכנס לאחד החריגים.
- קביעת תפקידים
מי בעל השליטה בכל מאגר, ואילו ספקים מעבדים בו מידע כמחזיקים.
- בדיקת חובות
אבטחת מידע, ובמקרים שבחוק גם רישום או הודעה לרשות להגנת הפרטיות.
שאלות נפוצות
האם קובץ אקסל עם פרטי לקוחות הוא מאגר מידע?
בדרך כלל כן. אוסף של פרטי מידע אישי שמעובד במחשב הוא מאגר מידע, גם כשמדובר בקובץ פשוט. החריג העיקרי לעסקים: אוסף שכולל רק שם, מען ודרכי התקשרות של 100,000 בני אדם או פחות, שאינו מלמד בעצמו על מידע נוסף, ובתנאי שלבעליו אין אוסף אחר עם פרטים נוספים על אותם אנשים.
האם כל מאגר מידע חייב ברישום?
לא. לפי סעיף 8א, חובת הרישום חלה על מאגר שמטרתו העיקרית איסוף מידע אישי כדי למסור אותו לאחר כדרך עיסוק או בתמורה, ויש בו מידע על יותר מ-10,000 בני אדם, וכן על מאגר של גוף ציבורי (למעט מאגר של עובדי הגוף בלבד). מאגר אחר שיש בו מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם מחייב הודעה לרשות בתוך 30 ימים.
מה ההבדל בין בעל שליטה למחזיק?
בעל השליטה קובע את מטרות עיבוד המידע. המחזיק הוא גורם חיצוני שמעבד את המידע בעבורו, למשל ספק ענן או חברת שכר. אותו ארגון יכול להיות בעל שליטה במאגר שלו ומחזיק במאגר של לקוח.
מה ההבדל בין מאגר מידע ל-PII?
PII, או מידע אישי, הוא הנתון עצמו: שם, מספר זהות, כתובת. מאגר מידע הוא האוסף של נתונים כאלה שמעובד באמצעי דיגיטלי, ועליו חלות החובות של בעל השליטה והמחזיק.