איזו רמת אבטחה חלה על המאגר שלכם

אולי, ורק במסלול אחד. החריג שבפרט 2(2) לתוספת הראשונה חל כשמספר בעלי ההרשאה אינו עולה על עשרה, אבל הוא מנוסח כחריג לפרט 1(3) בלבד, כלומר לסוגי המידע. אם הגעתם לבינונית בגלל שאתם גוף ציבורי או בגלל שמטרת המאגר היא מסירת מידע לאחר, מספר בעלי ההרשאה לא משנה. וגם כשהחריג חל, יש שאלה פרשנית פתוחה אם הוא עומד גם מול התוספת השנייה כשיש במאגר יותר מ-100,000 איש.

במקום מעניין, ורוב הסיכומים מפספסים אותו. חובת הסודיות המקצועית שוללת מכם את המסלול של ״מאגר המנוהל בידי יחיד״, גם אם אתם עובדים לבד לגמרי. אבל אם מספר בעלי ההרשאה אצלכם אינו עולה על עשרה, ולשם הגעתם דרך סוגי המידע ולא דרך מסירת מידע לאחר, החריג שבפרט 2(2) מחזיר אתכם לרמה הבסיסית. התוצאה היא שעורך דין יחיד עם תיקים רפואיים יושב ברמה הבסיסית, ואותו עורך דין עם משרד של חמישה עשר עובדים עולה לבינונית. המספר שקובע הוא בעלי ההרשאה, לא מספר הלקוחות.

כל יחיד שיש לו גישה, לפי הרשאת בעל המאגר או המחזיק, למידע מהמאגר, למערכות המאגר, או למידע ולרכיבים שנדרשים להפעלתו או לגישה אליו. יש כאן פרט שמפתיע: ספק חיצוני שאינו יחיד אינו נספר כבעל הרשאה, וגם יחיד שקיבל גישה מהמחזיק ולא מכם אינו נספר אצלכם.

לא בהכרח, וזה החריג שהכי הרבה עסקים מפספסים. פרט 2(1) קובע שמאגר שכל המידע הרגיש בו נוגע למועסקים ולספקים ומשמש לניהול העסק בלבד נשאר בבסיסית, אבל רק אם סוגי המידע הם רפואי, עבר פלילי, נתוני תקשורת, תמונות פנים ומידע כלכלי. אם יש שם גם מידע על צנעת חיים אישיים, מידע גנטי, דעות פוליטיות או אמונות דתיות, מזהה ביומטרי שאינו תמונת פנים או הרגלי צריכה מסגירים, החריג נופל.

שתי רשימות שונות שנוצרו בשני מועדים, ואי אפשר להחליף ביניהן. רמת האבטחה נקבעת לפי תשעת הסוגים שבתוספת הראשונה לתקנות משנת 2017. חובת ההודעה לרשות, ותעריפי העיצומים המוכפלים, נקבעים לפי ״מידע בעל רגישות מיוחדת״ כפי שהחוק מגדיר אותו אחרי תיקון 13, וההגדרה הזאת כוללת גם מוצא, נטייה מינית, הערכת אישיות ונתוני מיקום. הן חופפות ברובן, אבל בדיקה שמניחה שהן זהות תיתן תשובה שגויה בקצוות.

שני דברים שעולים כסף אמיתי: סקר סיכונים ומבדקי חדירות, שנדרשים אחת ל-18 חודשים ברמה הגבוהה בלבד. בנוסף מתווספת חובת דיווח לרשות על אירוע אבטחה חמור, ומתהדקות חובות הבקרה על מיקור חוץ. גם העיצומים על הפרת התקנות גבוהים יותר במאגר ברמה גבוהה.

רק אם מתקיימים שני התנאים יחד: יש במאגר מידע בעל רגישות מיוחדת על יותר מ-100,000 איש, והמאגר אינו חייב ברישום. אז יש למסור הודעה לרשות בתוך 30 יום, ולכלול בה את פרטי בעל השליטה, את פרטי ממונה הגנת הפרטיות אם קיימת חובה למנותו, ועותק ממסמך הגדרות המאגר. זו חובה חדשה שהחליפה חלק מחובת הרישום שבוטלה, והרבה ארגונים הניחו שביטול הרישום פטר אותם מהכול.