בעמוד הזה
מה זה מידע בעל רגישות מיוחדת?
חוק הגנת הפרטיות מגדיר בסעיף 3 קבוצה של סוגי מידע אישי שהחשיפה שלהם עלולה לפגוע באדם יותר ממידע רגיל. ברשימה: צנעת חיי המשפחה, האישות והנטייה המינית; מצב בריאות ומידע רפואי; מידע גנטי; מזהה ביומטרי שמשמש לזיהוי ממוחשב; מוצא; עבר פלילי; דעות פוליטיות, אמונות דתיות והשקפת עולם; הערכת אישיות מקצועית; נתוני מיקום ותעבורה מסוימים; נתוני שכר ופעילות פיננסית; ומידע שחלה עליו חובת סודיות לפי דין. שר המשפטים יכול להוסיף סוגים נוספים בתוספת השנייה לחוק, בתנאים שבחוק.
זו רשימה סגורה: מידע שאינו מופיע בה הוא מידע אישי רגיל, גם אם הוא נראה רגיש. למשל, כתובת דוא"ל או מספר טלפון אינם מידע בעל רגישות מיוחדת. ההבחנה חשובה כי החוק קושר אליה חובות נוספות: הודעה לרשות להגנת הפרטיות על מאגר גדול, מינוי ממונה על הגנת הפרטיות בארגונים שעיקר עיסוקם בעיבוד מידע כזה בהיקף ניכר, ועיצומים כספיים כפולים על חלק מההפרות. איך ממפים את סוגי המידע ומסווגים את המאגרים בארגון: סיווג מאגרי מידע בישראל.
דוגמה מהשטח
חברת השמה עם מאגר מועמדים. החברה שומרת על כל מועמד קורות חיים, פרטי קשר, ציפיות שכר ותוצאות של מבחני אישיות שעורך פסיכולוג תעסוקתי. פרטי הקשר הם מידע אישי רגיל, אבל נתוני השכר והערכת האישיות הם מידע בעל רגישות מיוחדת לפי סעיף 3. לכן המאגר כולו צריך להיות מוגן ברמה שמתאימה למידע הרגיש שבו. אם מספר המועמדים במאגר יעלה על 100,000, החברה תצטרך להודיע על כך לרשות להגנת הפרטיות בתוך 30 ימים (סעיף 8א(ב) לחוק).
מידע אישי מול מידע בעל רגישות מיוחדת
| מידע אישי | מידע בעל רגישות מיוחדת | |
|---|---|---|
| מה זה | כל נתון על אדם מזוהה או שאפשר לזהות במאמץ סביר | רשימה סגורה של סוגי מידע אישי בסעיף 3 לחוק |
| דוגמאות | שם, מספר זהות, כתובת, טלפון | מידע רפואי, ביומטרי, עבר פלילי, נתוני שכר |
| הודעה לרשות (סעיף 8א(ב)) | לא נדרשת בגלל סוג המידע | נדרשת כשבמאגר שאינו חייב ברישום יש מידע כזה על יותר מ-100,000 בני אדם |
| רמת אבטחה (לפי ההגדרות בתוספת השלישית לחוק) | נקבעת לפי גורמים אחרים, כמו מטרת המאגר, סוג בעל השליטה ומספר בעלי ההרשאה | בדרך כלל בינונית לפחות, וגבוהה כשיש במאגר מידע על 100,000 בני אדם ומעלה או יותר מ-100 בעלי הרשאה |
| עיצום כספי (סעיף 23כו) | סכום בסיס לכל אדם | בחלק מההפרות, כפול מסכום הבסיס |
| המונח הקרוב ב-GDPR | Personal data | Special categories of personal data (סעיף 9) |
מקורות
רכיבים מרכזיים
איך זה עובד
- מיפוי סוגי המידע
רשימת סוגי המידע האישי שנשמרים בכל מערכת ובכל קובץ בארגון.
- השוואה לרשימה בחוק
סימון כל סוג מידע שמופיע ברשימה של סעיף 3.
- ספירה
כמה בני אדם יש בכל מאגר, וכמה עובדים מורשים לגשת אליו.
- קביעת רמת האבטחה
התאמת בקרות האבטחה לרמה שחלה על המאגר לפי סוג המידע וההיקף.
- בדיקת חובות נוספות
האם נדרשת הודעה לרשות או מינוי ממונה על הגנת הפרטיות.
שאלות נפוצות
האם נתוני שכר הם מידע בעל רגישות מיוחדת?
כן. סעיף 3 לחוק מונה במפורש מידע אישי על נתוני שכר של אדם ועל פעילותו הפיננסית. כלומר גם מערכת שכר רגילה של עסק מחזיקה מידע כזה.
האם תמונת פנים היא מידע בעל רגישות מיוחדת?
לפי החוק, מזהה ביומטרי הוא מידע בעל רגישות מיוחדת כשהוא משמש, או מיועד לשמש, לזיהוי אדם או לאימות זהותו באופן ממוחשב. תמונה שנשמרת כדי לזהות אדם במערכת ממוחשבת, למשל בבקרת כניסה, עשויה להיכנס להגדרה.
מתי צריך להודיע לרשות להגנת הפרטיות על מאגר עם מידע כזה?
לפי סעיף 8א(ב) לחוק, כשבמאגר מידע שאינו חייב ברישום יש מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם, בעל השליטה צריך להודיע לרשות בתוך 30 ימים: מי הוא, איך ליצור איתו קשר, מי הממונה על הגנת הפרטיות אם נדרש, ולצרף העתק ממסמך הגדרות המאגר.
האם ההגדרה זהה ל-Special categories ב-GDPR?
דומה, אבל לא זהה. שתי ההגדרות כוללות מידע על בריאות, נטייה מינית, מוצא, דעות פוליטיות, אמונות, מידע גנטי וביומטרי. החוק הישראלי כולל גם נתוני שכר ופעילות פיננסית, עבר פלילי, הערכת אישיות ונתוני מיקום מסוימים. ב-GDPR, מידע על הרשעות פליליות מטופל בנפרד, וחברות באיגוד מקצועי נמצאת ברשימה.
מי חייב למנות ממונה על הגנת הפרטיות בגלל מידע כזה?
סעיף 17ב1 לחוק מחייב מינוי ממונה אצל בעל שליטה או מחזיק שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר. החוק מציין בין השאר תאגידים בנקאיים, מבטחים, בתי חולים כלליים וקופות חולים.