פרטיות אחרי תיקון 13 — מפת חובה לעמותה

המדריך נבדק ביום 29.07.2026 מול נוסח תיקון 13 שפורסם בספר החוקים, תקנות אבטחת המידע, דפי השירות הפעילים וגילוי הדעת הסופי של הרשות להגנת הפרטיות מיום 14.07.2026. תיקון 13 נכנס לתוקף ביום 14.08.2025. יש לבדוק את המדריך מחדש עד 27.10.2026, ובמוקדם יותר אם ישתנו החוק, התקנות או עמדת הרשות.

רוב העמותות אינן פטורות מדיני פרטיות רק מפני שאינן פועלות למטרת רווח. עמותה שמנהלת רשימות תורמים, עובדים, מתנדבים, חברים או מקבלי סיוע מעבדת בדרך כלל מידע אישי; החובות המהותיות ואבטחת המידע עשויות לחול גם כאשר אין חובה לרשום את המאגר או למסור עליו הודעה לרשות.

המדריך נותן מפת החלטה ראשונית. הוא אינו מחליף בדיקה משפטית וטכנולוגית לפי המאגרים, מטרות הפעילות והספקים של העמותה.

איך לקרוא את המדריך

כל קביעה מסומנת לפי מעמדה:

• חוק מחייב — הוראה שנקבעה בחוק הגנת הפרטיות, ובפרט בנוסח תיקון 13.
• תקנות מחייבות — הוראה מתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017.
• עמדת הרשות — הסבר, פרשנות או נוהל של הרשות להגנת הפרטיות. הוא חשוב ליישום ולאכיפה, אך אינו גובר על לשון החוק או התקנות.
• נוהג שמרני מומלץ — צעד ניהולי שמסייע להוכיח שליטה וציות, גם אם אינו מנוסח בחוק כטופס או ככותרת מסוימת.

במקרה של סתירה, נוסח הדין גובר על מדריך זה ועל דפי ההסבר של הרשות.

מפת הפעולה בקצרה

1. מאתרים את כל האוספים הדיגיטליים שיש בהם מידע על בני אדם.
2. קובעים אילו אוספים הם מאגרי מידע ומהי מטרתו של כל מאגר.
3. ממפים מי בעל השליטה, מי מחזיק חיצוני ומי בעל הרשאה פנימי.
4. מסווגים את סוגי המידע, ובפרט מידע בעל רגישות מיוחדת.
5. סופרים בנפרד את נושאי המידע ואת בעלי ההרשאה.
6. בודקים חובת רישום, חובת הודעה וחובת מינוי ממונה הגנת פרטיות.
7. קובעים את רמת האבטחה לפי התוספות לתקנות — לא לפי טבלת העיצומים שבתוספת השלישית לחוק.
8. משלימים מסמך הגדרות מאגר, נוהל אבטחה, הרשאות, הסכמי ספקים ומנגנוני בקרה לפי הרמה.

לפני השאלות: בונים מלאי מידע שאפשר להסתמך עליו

אין להתחיל מן השאלה ״האם ה-CRM שלנו רשום״. צריך להתחיל מן הפעילות: איזה מידע נאסף, על מי, לאיזו מטרה, מי מחליט על השימוש, היכן הוא נשמר ולמי ניתנת גישה.

מה לרשום במלאי

לכל תהליך או אוסף רשמו לפחות:

• שם תפעולי, למשל ״ניהול תורמים״, ״תיקי מקבלי סיוע״, ״משאבי אנוש״ או ״מתנדבים״.
• מטרות העיבוד המדויקות.
• קבוצות האנשים שעליהם קיים מידע.
• שדות המידע וסוגי המסמכים.
• המערכות והעותקים: CRM, הנהלת חשבונות, אחסון ענן, Excel, תיבת דוא״ל, טפסים, גיבויים ומחשבים מקומיים.
• מקור המידע ולמי הוא מועבר.
• מספר משוער של בני אדם, מועד הספירה ושיטת הספירה.
• בעלי הרשאה פנימיים לפי תפקיד.
• כל ספק חיצוני שיכול לאחסן, לצפות, לתמוך, לגבות או לעבד את המידע.
• תקופת השמירה ודרך המחיקה.

מסמך הגדרות המאגר שנדרש בתקנה 2 אינו זהה למלאי העבודה, אבל המלאי הוא חומר הגלם שלו. המסמך המחייב צריך לכלול, בין היתר, תיאור האיסוף והשימוש, מטרות, סוגי מידע, העברה או שימוש מחוץ לישראל, עיבוד בידי מחזיק, סיכונים עיקריים וזהות בעלי התפקידים הרלוונטיים. יש לעדכן אותו בשינוי משמעותי, לבחון את הצורך בעדכונו בכל שנה עד 31 בדצמבר ולבחון אחת לשנה אם נשמר מידע רב מן הנדרש.

מי הוא מי

חוק מחייב: ״בעל השליטה במאגר מידע״ הוא מי שקובע, לבדו או יחד עם אחר, את מטרות עיבוד המידע, או גוף שהוסמך בחיקוק לעבד אותו. כשעמותה מחליטה למה לאסוף את פרטי התורמים או מקבלי הסיוע, בעלת השליטה היא בדרך כלל העמותה עצמה — לא יו״ר הוועד, העובד שהקים את הקובץ או חברת התוכנה.

חוק מחייב: ״מחזיק״ הוא גורם חיצוני לבעל השליטה שמעבד עבורו מידע. ספק CRM, ענן, תמיכה, שכר או סליקה עשוי להיות מחזיק אם הוא מאחסן מידע, ניגש אליו או מבצע בו פעולה עבור העמותה. ״עיבוד״ כולל גם אחסון, העתקה, עיון, חשיפה, העברה או מתן גישה. המונח המקצועי ״מעבד״ מתאר בדרך כלל את אותה פונקציה; בדין הישראלי המעודכן התווית שיש לבדוק היא ״מחזיק״.

עובד או מתנדב שפועל בתוך העמותה לפי הרשאה הוא בדרך כלל בעל הרשאה, לא מחזיק חיצוני. ספק אינו הופך לבעל השליטה רק מפני שהמערכת נמצאת אצלו; השאלה היא מי קובע את מטרות העיבוד. אם שני גופים קובעים יחד את המטרות, נדרשת בדיקה פרטנית של שליטה משותפת.

מיפוי מפורט של אחריות משותפת ושל כל זרימות המידע יטופל בנפרד בשאלה Q-181. הסבר ההכנה כאן אינו משנה את מעמדה כשאלה עצמאית ואינו מסמן אותה כהושלמה.

Q-083 — האם קובץ אקסל עם פרטי תורמים, עובדים או מקבלי סיוע נחשב מאגר מידע?

התשובה הקצרה

כן, ברוב המקרים. שם הקובץ, סוג התוכנה או מקום האחסון אינם מכריעים. לפי הגדרת החוק, מאגר מידע הוא אוסף של פרטי מידע אישי המעובד באמצעי דיגיטלי, בכפוף לשני חריגים מצומצמים. Excel, Google Sheets, CRM, מערכת שכר, תיקיית מסמכים או רשימת דוא״ל יכולים להיות מאגר או חלק ממאגר.

מבחן שלושה שלבים

שלב 1: האם זה אוסף דיגיטלי

האוסף אינו חייב להיות מסד נתונים טכנולוגי. גם גיליון, קובץ CSV, תיקיית קורות חיים, תיבת דוא״ל מאורגנת, גיבוי או מערכת SaaS עשויים לענות להגדרה אם נשמר בהם אוסף מידע אישי באופן דיגיטלי.

קלסר נייר טהור, שלא נסרק ולא מנוהל באמצעי דיגיטלי, אינו ״מאגר מידע״ לפי ההגדרה החדשה שבפרק מאגרי המידע. עדיין עשויות לחול עליו הוראות אחרות בדבר פגיעה בפרטיות, סודיות או דין מגזרי. ברגע שנוצר אינדקס ממוחשב, סריקה, צילום בטלפון, העתק בדוא״ל או רישום במערכת — צריך לבדוק גם את המאגר הדיגיטלי.

שלב 2: האם הנתונים נוגעים לאדם מזוהה או שניתן לזהותו

״מידע אישי״ הוא כל נתון הנוגע לאדם מזוהה או לאדם שניתן לזהותו במאמץ סביר, במישרין או בעקיפין. שם, מספר זהות, מזהה מקוון, נתוני מיקום או שילוב פרטים על מצב פיזי, בריאותי, כלכלי, חברתי או תרבותי הם דוגמאות מובהקות. גם קוד פנימי יכול להיות מידע אישי אם העמותה או גורם אחר יכולים לקשר אותו לאדם במאמץ סביר.

לכן:

• רשימת תורמים הכוללת סכומים, תאריכים, אמצעי תשלום, קבלות או היסטוריית קשר היא בדרך כלל מאגר.
• קובץ עובדים הכולל שכר, נוכחות, הערכות, חשבון בנק או מסמכים רפואיים הוא בדרך כלל מאגר.
• רשימת מתנדבים הכוללת תפקידים, זמינות, הכשרות, דיווחי אירוע או התאמות בריאותיות היא בדרך כלל מאגר.
• תיקי מקבלי סיוע הכוללים צורך, מצב משפחתי, מצב בריאותי או כלכלי והחלטת זכאות הם בדרך כלל מאגר.
• CRM הוא מאגר גם אם השרת שייך לספק, משום שהמיקום הטכני אינו מבטל את עיבוד המידע עבור העמותה.

שלב 3: האם חל אחד משני החריגים

חריג אישי: אוסף לשימוש אישי שאינו למטרות עסק. אוסף ארגוני של עמותה אינו בדרך כלל אוסף לשימוש אישי של אדם, גם אם העמותה קטנה או אינה למטרת רווח.

חריג אנשי קשר מצומצם: אוסף הכולל רק שם, מען ודרכי התקשרות של 100,000 בני אדם או פחות, שאינו מלמד כשלעצמו על מידע אישי נוסף, ורק אם לבעל האוסף או לתאגיד שבשליטתו אין אוסף אחר הכולל מידע נוסף על אותם אנשים.

החריג השני צר. רשימת שמות וטלפונים בלבד עשויה להיכנס אליו, אבל הוספת סכום תרומה, סיבת פנייה, שיוך לקבוצת סיוע, סטטוס טיפול, הערה חופשית או היסטוריית פעילות מוציאה בדרך כלל את האוסף מגבולות ״רק שם, מען ודרכי התקשרות״. גם עצם ההופעה ברשימה עשויה ללמד מידע נוסף לפי הקשר; למשל, רשימה שמזוהה כקבוצת מקבלי טיפול מסוים אינה בהכרח רשימת קשר ניטרלית.

מאגר אחד או כמה מאגרים

קובץ אינו בהכרח מאגר נפרד, ומערכת אחת יכולה להכיל כמה מאגרים. נקודת המוצא המעשית היא המטרות, קבוצות האנשים, סוגי המידע, ההרשאות וזרימות המידע. אל תרשמו כל עותק וגיבוי כמאגר נפרד באופן אוטומטי, ואל תאחדו אוספים בעלי מטרות שונות רק משום שהם נמצאים באותו CRM. הרשות רשאית במסגרת רישום לקבוע מספר מטרות או להורות על רישום ככמה מאגרים לפי הפעילות בפועל.

Q-182 — איזה מידע על תורמים, עובדים, מתנדבים ומקבלי סיוע נחשב בעל רגישות מיוחדת?

הרשימה המחייבת בחוק

תיקון 13 קובע רשימה סגורה של קטגוריות ״מידע בעל רגישות מיוחדת״:

1. מידע על צנעת חיי המשפחה, צנעת האישיות ונטייה מינית.
2. מידע על מצב בריאות, ובכלל זה מידע רפואי.
3. מידע גנטי.
4. מזהה ביומטרי המשמש או מיועד לשמש לזיהוי אדם או לאימות זהותו באופן ממוחשב.
5. מידע על מוצא.
6. מידע על עבר פלילי.
7. מידע על דעות פוליטיות, אמונות דתיות או השקפת עולם.
8. הערכת אישיות שנערכה בידי גורם מקצועי או באמצעי שנועד להעריך מאפייני אישיות מהותיים, לרבות קווי אופי, יכולת שכלית ותפקוד בעבודה או בלימודים.
9. נתוני מיקום ונתוני תעבורה מן הסוג שהחוק מגדיר, וכן נתוני מיקום המלמדים על קטגוריות מוגנות מסוימות.
10. נתוני שכר ופעילות פיננסית.
11. מידע אישי שחלה עליו חובת סודיות שנקבעה בדין.
12. מידע נוסף מן הסוג שהשר מוסמך לקבוע בתוספת השנייה לגבי מידע שהועבר מחוץ לישראל; התוספת שנחקקה עם תיקון 13 כוללת מידע על חברות בארגון עובדים בהקשר שנקבע בה.

איך הרשימה פוגשת עמותה

תורמים

סכומי תרומה, היסטוריית חיובים, החזרים, אמצעי תשלום ומידע שמציג פעילות פיננסית עשויים להיות מידע בעל רגישות מיוחדת. עצם התרומה לעמותה דתית, פוליטית, רפואית או חברתית עשויה בנסיבות מסוימות ללמד גם על אמונה, דעה או מצב אישי; אין לסווג באופן אוטומטי בלי לבדוק מה ההקשר מלמד בפועל.

עובדים

שכר, חשבון בנק ופעילות פיננסית; אישורי מחלה ומידע רפואי; אבחונים והערכות אישיות מקצועיות; בדיקות עבר פלילי; נתוני מיקום; זיהוי ביומטרי; אמונה דתית או חברות בארגון עובדים בנסיבות הרלוונטיות — כל אלה עשויים להיכלל ברשימה.

מתנדבים

התאמות נגישות ובריאות, בדיקות התאמה מקצועיות, עבר פלילי, נתוני מיקום, זיהוי ביומטרי או מידע על אמונה ופעילות פיננסית עשויים להיות בעלי רגישות מיוחדת. שם, טלפון ולוח משמרות רגיל הם מידע אישי, אך אינם בהכרח מידע בעל רגישות מיוחדת.

מקבלי סיוע

תיק סיוע עשוי לחשוף מצב בריאותי, משפחתי או כלכלי, דת, מוצא, עבר פלילי או מיקום. בעמותות טיפול, רווחה, מזון, דיור, אלימות, מוגבלות או שיקום, הסיווג צריך להיעשות שדה־שדה וגם לפי המסקנה שאפשר להסיק מן ההשתייכות לתוכנית.

מה אינו הופך אוטומטית למידע בעל רגישות מיוחדת

• מספר זהות, שם, טלפון ודוא״ל הם מידע אישי, אך אינם מופיעים כשלעצמם ברשימת הרגישות המיוחדת.
• צילום פנים רגיל אינו בהכרח ״מזהה ביומטרי״ בעל רגישות מיוחדת; הסיווג המיוחד חל כשהמזהה משמש או מיועד לשמש לזיהוי או לאימות ממוחשב. עם זאת, לתקנות אבטחת המידע יש נוסח ותיק משלהן לגבי מידע ביומטרי, ולכן יש לבצע בנפרד גם את מבחן רמת האבטחה.
• מידע פומבי אינו בהכרח חופשי מכל חובה. החוק מחריג מחובת הרישום וההודעה מאגר שאין בו אלא מידע שפורסם או הועמד לעיון הרבים בסמכות כדין, אך שימוש במידע עדיין חייב להיבחן לפי מטרת המאגר והדין החל.

Q-085 — האם מאגר העמותה חייב ברישום או בהודעה ומתי נדרש ממונה הגנת פרטיות?

שלוש בדיקות שונות

רישום, הודעה ומינוי ממונה הגנת פרטיות אינם אותו דבר. ייתכן מאגר שאינו חייב ברישום אך חייב בהודעה; ייתכן גוף שחייב בממונה גם לגבי מאגר הפטור מרישום; וייתכן שלא תחול אף אחת משלוש החובות המיוחדות, אך כל יתר הוראות החוק והתקנות עדיין יחולו.

בדיקה ראשונה: חובת רישום

חוק מחייב: לאחר תיקון 13 חובת הרישום נותרה בשתי קבוצות:

1. מאגר שמטרתו העיקרית היא איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה, לרבות שירותי דיוור ישיר, ויש בו מידע אישי על יותר מ־10,000 בני אדם.
2. מאגר שבעל השליטה בו הוא גוף ציבורי לפי פסקה (1) להגדרת ״גוף ציבורי״ בסעיף 23, למעט מאגר המכיל מידע על עובדי אותו גוף ציבורי בלבד.

עמותה רגילה אינה הופכת לגוף ציבורי רק מפני שהיא רשומה כעמותה, מקבלת תמיכה ציבורית או פועלת למטרה ציבורית. יש לבדוק אם היא גוף הממלא תפקידים ציבוריים על פי דין או גוף שנכלל בצו הרלוונטי. אם קיים יסוד כזה, אין להסתמך על ההנחה שמדובר בגוף פרטי.

מסירת דוח לתורם, העברת פרטים לספק שמטפל בהם עבור העמותה או דיווח לרשות לפי דין אינם בהכרח ״מטרתו העיקרית״ של המאגר למסור מידע לאחרים כדרך עיסוק או בתמורה. לעומת זאת, עמותה שבפועל אוספת רשימות כדי להעבירן לאחרים באופן שיטתי צריכה לבצע בדיקה משפטית מדויקת.

בדיקה שנייה: חובת הודעה

חוק מחייב: אם המאגר אינו חייב ברישום לפי שתי הקבוצות שלעיל, ומספר בני האדם שיש עליהם במאגר מידע בעל רגישות מיוחדת עולה על 100,000, בעל השליטה חייב להודיע לרשות בתוך 30 ימים מן היום שבו התקיים התנאי. ההודעה כוללת את זהות בעל השליטה, מענו ודרכי ההתקשרות עמו, פרטי ממונה הגנת הפרטיות אם נדרש, והעתק ממסמך הגדרות המאגר. שינוי בפרטים המחייבים או הפסקת פעילות מדווחים בתוך 30 ימים.

שימו לב להבדל המספרי: חובת ההודעה בחוק קמה כאשר המספר עולה על 100,000. לעומת זאת, סף של 100,000 בדיוק מופיע בתקנות בהקשר אחר — קביעת רמת אבטחה גבוהה. אין להחליף בין המבחנים.

מאגר שהיה רשום לפני תיקון 13

מאגר שהיה רשום ביום כניסת התיקון לתוקף נשאר במרשם מכוח הוראת המעבר, גם אם אינו חייב עוד ברישום, עד שבעל השליטה מודיע שאין עוד חובת רישום ומבקש את מחיקתו לפי ההליך. הישארות במרשם מכוח המעבר אינה פוטרת מחובת ההודעה אם תנאיה מתקיימים.

אין למחוק רישום רק כדי ״לנקות את הרשימה״. קודם יש לוודא בתצהיר ובמיפוי שהמאגר אינו קיים, הועבר או אינו מחויב עוד ברישום, ושחובת הודעה אחרת נבדקה.

בדיקה שלישית: חובת מינוי ממונה הגנת פרטיות

חוק מחייב: סעיף 17ב1 מחייב מינוי ממונה הגנת פרטיות בארבע קבוצות:

1. בעל שליטה שהוא גוף ציבורי, וכן מחזיק במאגר של גוף ציבורי, למעט ההסדר המיוחד לגוף ביטחוני.
2. בעל שליטה במאגר שמטרתו העיקרית איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה, לרבות שירותי דיוור ישיר, ויש בו מידע על יותר מ־10,000 בני אדם.
3. בעל שליטה או מחזיק שעיסוקיו העיקריים כוללים או כרוכים בעיבוד שמחייב, לפי טיבו, היקפו או מטרתו, ניטור שוטף ושיטתי של בני אדם בהיקף ניכר.
4. בעל שליטה או מחזיק שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר.

למונח ״היקף ניכר״ אין בחוק סף מספרי יחיד. החוק מחייב לשקול, בין היתר, את מספר האנשים ושיעורם באוכלוסייה מסוימת, היקף וכמות המידע, מגוון סוגי המידע, משך ותדירות העיבוד, משך השמירה והתחום הגאוגרפי.

עמדת הרשות בגילוי הדעת הסופי: ״עיסוקו העיקרי״ כולל עיבוד שהוא רכיב מרכזי בהגשמת מטרות הארגון או חלק אינהרנטי מפעילות הליבה, גם אם אינו חיוני לה. עיבוד מידע רגיש שנדרש רק למטרת עזר משנית, כגון העסקת עובדים, אינו כשלעצמו מפעיל את הקבוצה הרביעית אם אין לו זיקה ישירה למטרות המרכזיות. לעומת זאת, עמותה שהשירות המרכזי שלה מחייב עיבוד שיטתי של מידע רפואי, רווחתי או רגיש אחר עשויה לעמוד במבחן לפי ההיקף בפועל.

הנוסח הסופי קובע במפורש שאין ל״היקף ניכר״ סף כמותי חד־ערכי: בוחנים את מכלול נסיבות המקרה, והקריטריונים אינם חייבים להתקיים במצטבר. מספר גדול של אנשים עשוי להספיק גם לבדו; ומנגד, גם מספר שאינו גדול עשוי להיחשב היקף ניכר כאשר מתקיימים שיקולים אחרים. אצל מחזיק חיצוני בוחנים את פעילות העיבוד במצטבר בכלל מאגרי הלקוחות שלהם הוא מספק שירות. לכן אין לקבוע שמספר מסוים של מקבלי סיוע או רשומות מחייב DPO, ואין לפטור עמותה רק מפני שהיא קטנה. כאשר פעילות הליבה כוללת ניטור או מידע רגיש בהיקף שעשוי להיות ניכר, יש לתעד את כל הקריטריונים ולקבל ייעוץ פרטני או עמדה כתובה במקרה גבולי. החסם G047-B01 נפתר לאחר השוואת הנוסח הסופי לטיוטה.

אם חלה חובה, הממונה יכול להיות חיצוני, אך חייב להיות בעל ידע וכישורים מתאימים, לדווח ישירות למנכ״ל או לכפוף ישיר שלו, לקבל משאבים ומעורבות, ולהימנע מתפקיד או כפיפות היוצרים חשש לניגוד עניינים. החוק וגילוי הדעת הסופי מגדירים את תפקידיו, ובהם ייעוץ, הדרכה, תוכנית בקרה, וידוא קיומם של מסמך הגדרות ונוהל אבטחה, טיפול בזכויות נושאי המידע וקשר עם הרשות.

גם כאשר אין חובה, נוהג שמרני מומלץ הוא למנות אחראי פרטיות ארגוני בעל סמכות ומשאבים. אין להציג מינוי פנימי סמלי כעמידה בחובת DPO אם האדם אינו עומד בתנאי החוק או נמצא בניגוד עניינים.

Q-084 — איך קובעים את רמת האבטחה שחלה על מאגרי המידע של העמותה?

קודם כול: לא משתמשים בטבלה הלא נכונה

אחרי תיקון 13 קיימות בתוספת השלישית לחוק הגדרות של מאגר המנוהל בידי יחיד ושל רמות בסיסית, בינונית וגבוהה לצורך חישוב סכומי עיצום כספי. הרשות הבהירה במסמך מעודכן בעקבות התיקון שההגדרות האלה אינן קובעות את רמת האבטחה ואת החובות לפי התקנות. את הרמה המחייבת בפועל ממשיכים לקבוע לפי תקנה 1 והתוספות הראשונה והשנייה לתקנות אבטחת המידע.

תרשים החלטה מילולי לפי התקנות

שלב 1: האם זה מאגר המנוהל בידי יחיד

המסלול המקל חל על מאגר שמנהל יחיד או תאגיד בבעלות יחיד, שרק היחיד ועד שני בעלי הרשאה נוספים יכולים להשתמש בו, ובכפוף לחריגים נוספים. עמותה אינה תאגיד בבעלות יחיד; אין לה בעלים. לכן מאגר שבעלת השליטה בו היא העמותה לא יסווג בדרך כלל כ״מאגר המנוהל בידי יחיד״ רק משום שיש בו מעט עובדים או משתמשים.

שלב 2: בודקים קודם רמת אבטחה גבוהה

רמת אבטחה גבוהה חלה על מאגר מן הסוג של איסוף מידע לשם מסירתו לאחר כדרך עיסוק, או מאגר הכולל אחד מסוגי המידע המפורטים בפרט 1(3) לתוספת הראשונה, אם מתקיים אחד מאלה:

• יש בו מידע על 100,000 אנשים ומעלה; או
• מספר בעלי ההרשאה בו עולה על 100.

גם מאגר של גוף ציבורי יהיה גבוה אם הוא מקיים נוסף על כך את מאפיין מסירת המידע או את מאפיין סוגי המידע. עצם היותו מאגר גדול של גוף ציבורי אינו מופיע לבדו בתוספת השנייה כמבחן לרמה גבוהה.

שלב 3: אם אינו גבוה, בודקים רמת אבטחה בינונית

רמה בינונית חלה, ככלל, על מאגר שאינו מאגר המנוהל בידי יחיד ואינו ברמה גבוהה, אם מתקיים אחד מאלה:

• מטרתו העיקרית איסוף מידע לצורך מסירתו לאחר כדרך עיסוק, לרבות שירותי דיוור ישיר.
• בעלת השליטה בו היא גוף ציבורי לפי סעיף 23.
• הוא כולל אחד מסוגי המידע המנויים בתוספת הראשונה: צנעת החיים האישיים; מידע רפואי או נפשי; מידע גנטי; דעות פוליטיות או אמונות דתיות; עבר פלילי; נתוני תקשורת; מידע ביומטרי; מידע על נכסים, חובות, התחייבויות או מצב כלכלי; או הרגלי צריכה המלמדים על מאפיינים מוגנים או על אישיות, אמונה או דעות.

חשוב: רשימת התוספת לתקנות אינה זהה לחלוטין לרשימת ״מידע בעל רגישות מיוחדת״ שבחוק לאחר תיקון 13. לצורך רמת האבטחה משתמשים ברשימה שבתוספת לתקנות.

שלב 4: בודקים את החריג שמחזיר לבסיסית

החריג מתייחס למאגר שהיה מגיע לבינונית בגלל סוגי המידע שבפרט 1(3), ולא מבטל את הרמה הבינונית של גוף ציבורי או של מאגר שמטרתו מסירת מידע לאחרים.

במקרה כזה הרמה תהיה בסיסית אם מתקיים אחד משני מסלולים חלופיים:

1. המאגר כולל רק את סוגי המידע המותרים בחריג על מועסקים או ספקים, משמש לניהול העסק בלבד ואינו כולל את הסוגים שהחריג שולל; או
2. מספר בעלי ההרשאה אצל בעלת השליטה אינו עולה על עשרה.

גם אם החריג היה מוביל לבסיסית לפי מספר בעלי ההרשאה, מאגר מסוגי המידע שבפרט 1(3) שיש בו מידע על 100,000 אנשים ומעלה נכנס לתוספת השנייה ולרמה גבוהה. לכן סדר הבדיקה מתחיל ברמה הגבוהה.

שלב 5: אם אף מסלול אחר אינו חל — בסיסית

מאגר של עמותה שאינו מנוהל בידי יחיד, אינו גבוה ואינו מן הסוגים המובילים לבינונית, יהיה ברמת אבטחה בסיסית. ״בסיסית״ אינה פטור: חלות עליה חובות מחייבות, ובהן מסמך הגדרות, נוהל אבטחה, מיפוי מערכות, אבטחה פיזית, התאמת עובדים, ניהול הרשאות, אימות, תיעוד אירועים, אבטחת התקנים ותקשורת, התקשרות עם גורם חיצוני, שמירת תיעוד ואחריות.

ארבע ספירות שאסור לערבב

1. יותר מ־10,000 בני אדם — סף רישום ו-DPO במאגר שמטרתו מסירת מידע לאחרים כדרך עיסוק או בתמורה.
2. יותר מ־100,000 בני אדם עם מידע בעל רגישות מיוחדת — סף הודעה למאגר שאינו חייב ברישום.
3. 100,000 בני אדם ומעלה — אחד מספי רמת האבטחה הגבוהה, אבל רק למאגר מן הסוגים שבתוספת השנייה לתקנות.
4. יותר מ־100 בעלי הרשאה — הסף החלופי לרמה גבוהה; עד עשרה בעלי הרשאה עשוי להפעיל את החריג לבסיסית כשהרמה הבינונית נובעת מסוג המידע בלבד.

סופרים אנשים ייחודיים ולא שורות, ומתעדים את מועד הספירה, טווח הביטחון והאם אותו אדם מופיע בכמה מערכות. בעלי הרשאה נספרים לפי יכולת הגישה בפועל, לא רק לפי רשימה ישנה או מספר רישיונות שנרכשו.

צ׳קליסט מיידי להנהלת עמותה

1. מינוי בעל אחריות

הנהלת העמותה תקבע מי מרכז את מיפוי הפרטיות ומי מאשר החלטות. אם חלה חובת DPO, המינוי צריך לעמוד בתנאי החוק; אם טרם הוכרעה החובה, יש לתעד את הבדיקה ואת מועד הבחינה מחדש.

2. הקפאת ״רשימות צל״

מאתרים גיליונות פרטיים, תיבות דוא״ל, תיקיות שיתוף, גיבויים, טפסים ומחשבים של עובדים ומתנדבים. אין למחוק ראיות או מידע באופן חפוז; קודם קובעים מקור מוסמך, צורך, תקופת שמירה ודרך מחיקה מבוקרת.

3. השלמת מלאי ותרשים זרימה

לכל מאגר מתעדים מטרה, נושאי מידע, שדות, מקור, מערכות, העברות, מחזיקים, מדינות אחסון, בעלי הרשאה ותקופת שמירה.

4. סיווג רגישות

מסמנים בנפרד את רשימת הרגישות המיוחדת לפי החוק ואת סוגי המידע שבתוספת הראשונה לתקנות. שתי הרשימות חופפות בחלקן אך משרתות מבחנים שונים.

5. קביעת בעל שליטה ומחזיקים

העמותה תתועד כבעלת שליטה כאשר היא קובעת את המטרות. לכל CRM, ענן, מערכת שכר, מוקד, סליקה, רואה חשבון או ספק תמיכה בודקים אם הוא מחזיק ומה הוא מעבד. בדיקת חוזי ספקים והוראות תקנה 15 תורחב במדריך G-050.

6. ספירות מתועדות

סופרים נושאי מידע, נושאים בעלי מידע מיוחד ובעלי הרשאה. אין להשתמש במספר הרשומות כתחליף למספר בני האדם, ואין להניח שספק חיצוני אינו רלוונטי רק מפני שאין לו משתמש קבוע בממשק.

7. הכרעת רישום, הודעה ו-DPO

רושמים החלטה מנומקת לכל מאגר. אם קם תנאי הודעה, פועלים בתוך 30 ימים. אם מאגר ישן נשאר במרשם מכוח הוראת המעבר, מחליטים בנפרד אם להגיש בקשת מחיקה ואם חובת הודעה חלה.

8. קביעת רמת האבטחה

משתמשים בתוספות לתקנות ובמספרים המעודכנים במלאי. שומרים את דף ההכרעה עם מקור הנתונים, שמות המאשרים ותאריך הבדיקה.

9. מסמכי החובה ובקרות ראשונות

מכינים או מעדכנים מסמך הגדרות מאגר ונוהל אבטחה, מצמצמים הרשאות, מבטלים משתמשים שעזבו, קובעים אימות מתאים, בודקים גיבוי ותיעוד אירועים ומוודאים שכל פעולה מתועדת כנדרש. פירוט הבקרות, ההדרכה והטיפול באירוע יופיע במדריך G-049.

10. יידוע, זכויות ושימושים

מוודאים שהאדם מקבל הודעה מתאימה בעת האיסוף, שהשימוש תואם למטרה, ושיש מסלול לעיון ולתיקון. נושאים אלה, לרבות מחיקה והסכמה לפרסום, יפורטו במדריך G-048.

גבולות המדריך

המדריך הזה עונה על ארבע שאלות היסוד: מהו מאגר, מהו מידע בעל רגישות מיוחדת, מתי לבדוק רישום/הודעה/DPO ואיך לקבוע רמת אבטחה.

הוא אינו נותן הוראות מלאות בנושאים הבאים:

• הודעת פרטיות, הסכמה, צמידות מטרה ועיון/תיקון/מחיקה — G-048.
• הרשאות, סיסמאות, לוגים, גיבויים, הדרכה ואירוע אבטחה חמור — G-049.
• חוזי ענן, CRM, סליקה, AI ומחזיקים חיצוניים — G-050.
• מיפוי מפורט של בעל שליטה, מחזיק וזרימות בין כמה גופים — Q-181 כשאלה עצמאית.

מתי לעצור ולקבל בדיקה פרטנית

יש לפנות לייעוץ מתאים לפני החלטה כאשר:

• העמותה ממלאת תפקיד מכוח חוק או עשויה להיכלל בצו כגוף ציבורי.
• מטרת המאגר כוללת העברת רשימות או מידע לצדדים אחרים.
• פעילות הליבה כוללת טיפול, רווחה, שיקום, מחקר, ניטור או מידע רגיש בהיקף משמעותי.
• מספר נושאי המידע מתקרב ל־10,000 או ל־100,000, או מספר בעלי ההרשאה מתקרב ל־10 או ל־100.
• קיימים מאגרים רשומים ישנים, שליטה משותפת, פעילות בחו״ל או ספקים רבים.
• אין ודאות אם מידע מסוים מלמד על בריאות, אמונה, מצב משפחתי או פעילות פיננסית.

עד לקבלת הכרעה אין להמציא סף, להניח ש״עמותה קטנה פטורה״ או להציג רישום במרשם כאישור לעמידה בכל הדין.