ניהול ורישום
מאגרי מידע בישראל
חוק הגנת הפרטיות מחייב רישום מאגרי מידע ברשם הממשלתי. SYBER מלווה ארגונים במיפוי, רישום, קביעת רמת אבטחה, כתיבת נהלים, ועמידה מלאה בתיקון 13 ותקנות הגנת הפרטיות 2017.
מה זה מאגר מידע?
לפי חוק הגנת הפרטיות תשמ"א-1981, מאגר מידע הוא אוסף של נתוני מידע הניתן לעיבוד ממוחשב, שהגיעו לידי בעל המאגר. בפועל, כמעט כל מסד נתונים דיגיטלי שמכיל מידע על אנשים הוא מאגר מידע לצורך החוק.
דוגמאות למאגרי מידע: מערכת CRM עם נתוני לקוחות, מסד נתונים של עובדים, מאגר מנויים לניוזלטר, מערכת תמיכה עם פניות לקוחות, מאגר מטופלים של מרפאה, מאגר משקיעים של קרן.
תקנות הגנת הפרטיות (אבטחת מידע) 5777-2017 קובעות שלוש רמות אבטחה לפי רגישות המידע ומספר הרשומות. כל רמה מחייבת בקרות אבטחה ספציפיות שהארגון חייב ליישם.
מי חייב לרשום מאגר מידע?
סעיף 8 לחוק הגנת הפרטיות קובע חמישה סוגי מאגרים שחייבים ברישום חובה אצל רשם מאגרי המידע
מאגר עם למעלה מ-10,000 רשומות
כל מאגר מידע המכיל נתוני יותר מ-10,000 אנשים חייב ברישום, ללא קשר לסוג המידע.
מאגר מידע רגיש
מאגרים המכילים מידע רפואי, נפשי, גנטי, נטייה מינית, דעות פוליטיות/דתיות, עבר פלילי.
מאגר לדיוור ישיר
כל מאגר המשמש לשיווק ישיר ופנייה ישירה לאנשים, ללא תלות במספר הרשומות.
מאגר של גוף ציבורי
גופים ציבוריים חייבים לרשום את כל מאגרי המידע שלהם, ללא יוצא מן הכלל.
מידע שנאסף ללא ידיעת הנשואים
מאגרים שבהם המידע נאסף מבלי שנשואי המידע ידעו על כך, חייבים ברישום.
פטורים מרישום
מאגר לשימוש אישי בלבד, מאגר של גוף דתי לצורכי דת, מאגר לצרכי עיתונות בלבד, ומאגר שנועד אך ורק לשימוש עצמי של היחיד. עם זאת, גם מאגרים הפטורים מרישום חייבים בעמידה בדרישות האבטחה הרלוונטיות.
שלוש רמות אבטחה לפי חוק
כל ארגון שמחזיק מאגר מידע חייב לקבוע לאיזה רמת אבטחה הוא משתייך וליישם את הבקרות המתאימות
מאגרים שאינם עומדים בקריטריונים לרמה בינונית או גבוהה
דרישות חובה:
- מינוי אחראי אבטחת מידע
- נהלי אבטחת מידע בכתב
- בקרת גישה למאגר
- גיבויים תקופתיים
- הדרכת עובדים
- רישום אירועי אבטחה
מאגרים עם למעלה מ-100,000 רשומות, מידע רגיש, מידע המועבר לחו"ל, או נגישות ליותר מ-100 מורשים
דרישות חובה:
- כל דרישות הרמה הבסיסית
- הצפנת מידע בהעברה ובאחסון
- בקרת גישה מבוססת תפקיד (RBAC)
- רישום ומעקב פעולות משתמשים (Audit Log)
- בדיקות חדירה תקופתיות
- מדיניות ניהול אירועי אבטחה
- בקרות גישה מרחוק מאובטחת
בנקים, חברות ביטוח, קופות חולים, חברי בורסה, מאגרי אשראי/פיננסים, מאגרים הנגישים ממחוץ לרשת הארגון
דרישות חובה:
- כל דרישות הרמה הבינונית
- אימות דו-שלבי (MFA) לכל הגישות
- הצפנה חזקה בכל שכבות המערכת
- ניטור רציף ואיתור חריגות (SIEM)
- תכנית DRP ו-BCP לשחזור מהיר
- בדיקות חדירה שנתיות על ידי גורם חיצוני
- ביקורת פנימית שנתית
- מינוי ממונה הגנת מידע (DPO)
תהליך הרישום שלב אחר שלב
SYBER מלווה ארגונים לאורך כל תהליך הרישום, מהמיפוי הראשוני ועד לאישור הסופי
זיהוי כל מאגרי המידע בארגון
מיפוי מלא של מאגרי המידע הקיימים: CRM, ERP, מערכות HR, שיווק, תמיכה ועוד. כולל מאגרים בענן ובמערכות צד שלישי.
בדיקת חובת רישום
בחינה לפי קריטריוני החוק: מספר רשומות, סוג המידע, מטרת האיסוף. הכנת רשימת המאגרים החייבים ברישום.
קביעת רמת האבטחה הנדרשת
לפי תקנות הגנת הפרטיות (אבטחת מידע) 2017: בסיסי, בינוני או גבוה. כל רמה מחייבת בקרות אבטחה שונות.
הכנת תיק מאגר ומינוי אחראי
כתיבת נהלי אבטחה, RoPA (Record of Processing Activities), מינוי אחראי אבטחת מידע ו-DPO במידת הצורך.
הגשת הבקשה לרשם
הגשה מקוונת דרך מערכת הממשלה. תשלום אגרת רישום. קבלת מספר מאגר ואישור רישום.
תחזוקה שוטפת ועמידה בדרישות
עדכון פרטים בתוך 30 יום מכל שינוי, בדיקות אבטחה תקופתיות, עדכון נהלים לפי שינויי רגולציה.
טפסי רישום רשמיים ממשלת ישראל
קישורים ישירים לטפסים הרשמיים של רשם מאגרי המידע
טופס רישום מאגר מידע חדש
הגשת בקשה לרישום מאגר מידע חדש ברשם מאגרי המידע. יש למלא את כל פרטי המאגר, מטרותיו, בעליו ואחראי האבטחה.
פתיחת טופס רישוםהודעה על שינוי פרטי מאגר
שינוי בעלות, שינוי מטרות המאגר, שינוי מיקום אחסון, שינוי בסוג המידע המאוחסן. חובה לדווח תוך 30 יום מהשינוי.
טופס עדכון פרטיםבקשה לביטול רישום מאגר
כאשר המאגר נמחק לחלוטין, מועבר לבעלות אחרת, או שחדל לכלול מידע אישי. חובה להגיש הודעת ביטול.
טופס ביטול רישוםרשות הגנת הפרטיות (ממשלה)
דף הרשות הרשמי. כולל הנחיות, חוות דעת, פסיקות, טפסים נוספים וערוצי פנייה לרשם מאגרי המידע.
לאתר הרשותעדכוני רגולציה: תיקון 13 לחוק הגנת הפרטיות
תיקון 13 (2023) מחמיר את דרישות הרישום וניהול מאגרי המידע: קנסות מנהליים עד 8% ממחזור הארגון, חובת דיווח על הפרת מידע תוך 72 שעות לרשות ולנפגעים, חיזוק זכויות נושאי המידע (זכות גישה, מחיקה, תיקון), ומינוי DPO חובה לגופים העוסקים בעיבוד מידע רגיש בהיקף גדול.
שאלות נפוצות על מאגרי מידע
צריכים לרשום מאגר מידע?
SYBER מלווה ארגונים במיפוי מאגרי מידע, רישום אצל הרשם, כתיבת נהלי אבטחה ועמידה מלאה בתיקון 13. פנו אלינו לייעוץ ראשוני ללא עלות.