בעל שליטה או מחזיק: הסיווג שקובע מי אחראי למידע האישי
חוק הגנת הפרטיות מבחין בין מי שקובע את מטרות העיבוד לבין מי שמעבד מידע עבורו. הסיווג קובע אילו חובות חלות על כל צד, ומחזיק שמעבד מידע בלי הרשאה או בחריגה ממנה עובר עבירה שדינה שלוש שנות מאסר.
ההגדרות בחוק
תיקון 13 לחוק הגנת הפרטיות, התשמ"א-1981, שנכנס לתוקף ביום 14 באוגוסט 2025, עדכן את ההגדרות. בעל שליטה במאגר מידע הוא מי שקובע, לבדו או יחד עם אחר, את מטרות עיבוד המידע שבמאגר, או גוף שהוסמך בחיקוק לעבד את המידע. מחזיק הוא גורם חיצוני לבעל השליטה שמעבד מידע עבורו. בתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, המחזיק נקרא "גורם חיצוני", ובתקנות העברת מידע לחו"ל הוא נקרא "מקבל המידע".
"עיבוד" מוגדר בחוק כל פעולה על מידע אישי, ובכלל זה קבלתו, איסופו, אחסונו, העתקתו, עיון בו, גילויו, העברתו ומתן גישה אליו. ספק שרק מאחסן את המאגר, או שמקבל גישה אליו לצורך תמיכה טכנית, מעבד מידע.
למה הסיווג חשוב
על בעל השליטה חלות רוב החובות: בסיס חוקי לעיבוד, יידוע נושאי המידע לפי סעיף 11, מתן זכות עיון ותיקון, אבטחת המידע ומינוי ממונה כשהחוק מחייב זאת. החובות של המחזיק נגזרות מההרשאה שקיבל.
עיבוד בלי הרשאהעבירה פלילית
לפי סעיף 8(ג), לא יעבד אדם מידע אישי ממאגר מידע בלי הרשאה מבעל השליטה או בחריגה מההרשאה. העבירה בסעיף 23נה לחוק, שדינה שלוש שנות מאסר, חלה על מי שעושה זאת.
עיצום כספיעיצום
עיבוד שלא למטרה שנקבעה למאגר, או בלי הרשאה, חושף לעיצום של 4 ש"ח לכל נושא מידע (8 ש"ח במאגר שיש בו מידע בעל רגישות מיוחדת), ולפחות 200,000 ש"ח.
מידע שנאסף שלא כדיןמקור המידע
לפי סעיף 8(ד), בעל שליטה לא יעבד מידע שנוצר, התקבל או נאסף בניגוד לדין. מי שקיבל את המידע מאחר ולא ידע, ולא היה עליו לדעת, על הפגם, אינו אחראי עד שנודע לו.
הסכם עם המחזיקאבטחת מידע
תקנה 15 לתקנות אבטחת מידע מחייבת את בעל השליטה לבחון את המחזיק לפני ההתקשרות, לחתום איתו על הסכם בכתב שמפרט את העיבוד המותר ואמצעי האבטחה, ולפקח על קיומו.
הסיווג משפיע גם על חובת מינוי ממונה הגנת פרטיות: מחזיק שעיסוקו העיקרי ניטור שיטתי או עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר חייב במינוי בעצמו. ראו ממונה הגנת פרטיות לפי תיקון 13.
איך מבחינים
השאלות המרכזיות הן מי קובע למה המידע מעובד, את מי העיבוד משרת, ומי מחליט על מה שהוועדה האירופית להגנת מידע (EDPB) מכנה האמצעים המהותיים: איזה מידע נאסף, כמה זמן הוא נשמר ולמי הוא נמסר. ספק יכול לבחור את האמצעים הטכניים, כמו השרת, התוכנה ושיטת ההצפנה, ולהישאר מחזיק. ספק שמחליט להשתמש במידע הלקוחות למטרות משלו הופך, לגבי השימוש הזה, לבעל שליטה.
ההגדרה הישראלית מתייחסת למטרות בלבד. ה־GDPR מתייחס למטרות ולאמצעים. בפועל, גם בישראל מי שקובע אמצעים מהותיים קובע במידה רבה גם את המטרה.
הסיווג נעשה לפי כל פעולת עיבוד בנפרד. אותו גוף יכול להיות מחזיק לגבי מידע הלקוחות שהוא מאחסן, ובעל שליטה לגבי פרטי החיוב של הלקוחות עצמם. התפקיד גם יכול להשתנות לאורך ההתקשרות: ספק שממשיך להשתמש במידע אחרי סיום החוזה, לצרכים שלו, עושה זאת כבעל שליטה. ייתכן גם מצב של בעלי שליטה משותפים, כששני גופים קובעים יחד את מטרות העיבוד.
בית הדין של האיחוד האירופי עסק בבעלות שליטה משותפת בשני פסקי דין. בעניין Wirtschaftsakademie, שניתן ביום 5 ביוני 2018 (תיק C-210/16), נקבע שמנהל דף עסקי ברשת חברתית ומפעילת הרשת הם בעלי שליטה משותפים בנתונים שנאספים על מבקרי הדף. בעניין Fashion ID, שניתן ביום 29 ביולי 2019 (תיק C-40/17), נקבע שאתר שמטמיע כפתור "לייק" של פייסבוק הוא בעל שליטה משותף עם פייסבוק לגבי איסוף נתוני הגולשים והעברתם, אבל אינו אחראי למה שפייסבוק עושה בנתונים אחר כך. הקביעה רלוונטית לאתרים שמשתמשים בפיקסלים ובכפתורי שיתוף של רשתות חברתיות, כשה־GDPR חל עליהם.
דוגמאות
| מצב | סיווג אפשרי |
|---|---|
| חברת ניהול נכסים שמנהלת דירות עבור בעליהן | כשהיא גובה שכר דירה ומטפלת בשוכרים לפי הוראות הבעלים, היא בדרך כלל מחזיקה עבורם. כשהיא מנהלת מאגר שוכרים משלה ומשתמשת בו עבור כמה בעלים, לגבי המאגר הזה היא בעלת שליטה. |
| בית משותף עם חברת ניהול | נציגות הבית קובעת לשם מה נאסף מידע על הדיירים, כמו גביית דמי ועד ותיקונים, ולכן היא בעלת השליטה. חברת הניהול שמבצעת את הגבייה עבורה היא מחזיקה. |
| פרויקט התחדשות עירונית | היזם שאוסף פרטי בעלי דירות כדי להחתים אותם ולקדם את הפרויקט הוא בעל שליטה. חברת ניהול פרויקט שמעבדת את המידע עבורו היא מחזיקה. עורך הדין של בעלי הדירות הוא בעל שליטה עצמאי לגבי המידע שהוא מקבל מלקוחותיו. |
| משרד עורכי דין וספק מערכת לניהול לקוחות בענן | המשרד הוא בעל השליטה, והספק מחזיק. ספק שמשתמש בתיקי הלקוחות לאימון מודלים או לפיתוח מוצרים משלו הופך לבעל שליטה לגבי השימוש הזה. |
| פלטפורמה להשכרה לטווח קצר | הפלטפורמה היא בעלת השליטה במידע המשתמשים שלה. המארח שמקבל את פרטי האורח לצורך השהייה הוא בעל שליטה עצמאי לגבי המידע שקיבל, וחברה שמנהלת עבורו את הנכס היא מחזיקה. |
| קמפיין שיווק משותף לשתי חברות | כששתי חברות מחליטות יחד אילו פרטים לאסוף מהמשתתפים ולמה, הן עשויות להיות בעלות שליטה משותפות. |
הדין האירופי והאמריקאי
תקנת הגנת המידע האירופית (GDPR) מגדירה בסעיף 4(7) את ה־Controller, שקובע את מטרות העיבוד ואמצעיו, ובסעיף 4(8) את ה־Processor, שמעבד מידע מטעמו. לפי סעיף 28, ה־Processor פועל רק לפי הוראות מתועדות של ה־Controller, והחוזה ביניהם חייב לכלול רכיבים שהסעיף מפרט. סעיף 28(10) קובע שמעבד שמפר את הוראות התקנה בכך שהוא קובע בעצמו את מטרות העיבוד ואמצעיו ייחשב Controller לגבי אותו עיבוד. ההנחיות של ה־EDPB מס' 07/2020 מפרטות איך מבחינים בין התפקידים, ובכלל זה את ההבחנה בין אמצעים מהותיים לאמצעים שאינם מהותיים.
בקליפורניה, חוק ה־CCPA מבחין בין Business, שקובע את מטרות העיבוד ואמצעיו, לבין Service Provider ו־Contractor, שמעבדים מידע עבורו. החוזה עם ספק השירות צריך לאסור עליו למכור את המידע או לשתף אותו, ולהשתמש בו או לשמור אותו מחוץ לקשר העסקי עם ה־Business.