תיקון 13 לחוק הגנת הפרטיות: מה חל על מורה נהיגה

בטלפון שלכם, ממש עכשיו, יש מספרי תעודת זהות של קטינים, טלפונים של ההורים שלהם, הערה על מי חייב משקפיים בטסט ורשימה של מי חייב כמה כסף. זה לא "פנקס תלמידים". מאז 14 באוגוסט 2025 יש לזה שם בחוק: מאגר מידע.

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף באותו יום, והכותרות דיברו על עיצומים של מאות אלפי שקלים. רובן המוחלט לא עליכם. אבל "רובן" זה לא "כולן", ומה שכן נוגע לכם אפשר לסגור בערב אחד.

הפוסט הזה מסביר מה כתוב בחוק ובתקנות ומה נובע מהם למורה עצמאי; הוא אינו ייעוץ משפטי.

מתי רשימת התלמידים הופכת למאגר מידע

סעיף 3 לחוק מגדיר מאגר מידע כ"אוסף פרטי מידע אישי המעובד באמצעי דיגיטלי", ומוציא מההגדרה שני דברים: אוסף לשימוש אישי שאינו למטרות עסק, ואוסף של עד 100,000 בני אדם שיש בו שם, מען ודרכי התקשרות בלבד ואינו חושף מידע אישי נוסף.

קראו את החריג השני שוב, כי הוא הגבול שלכם. אנשי קשר בטלפון עם שם ומספר — בתוך החריג. הרגע שהוספתם ליד השם תעודת זהות, מספר שיעורים שבוצעו, יתרת חוב או הערה על הגבלה רפואית — יצאתם ממנו, ומה שיש לכם הוא מאגר מידע לכל דבר.

אצל רוב המורים זה קרה מזמן, באקסל או באפליקציה. שווה לשים לב לניואנס: יומן נייר מול אפליקציה הוא ויכוח תפעולי אצלנו, אבל כאן יש לו גם צד משפטי — פנקס נייר בלבד אינו "מעובד באמצעי דיגיטלי". ברגע שיש קובץ, זה כן.

שלוש החובות המפחידות שלא חלות עליכם

זה החלק שכל מי שמוכר "היערכות לתיקון 13" לא ממהר לספר:

• רישום מאגר. סעיף 8א(א)(1) מחיל את חובת הרישום על מאגר שמטרתו העיקרית היא איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה, ושיש בו מידע על יותר מ-10,000 בני אדם. אתם לא סוחרים במידע.
• הודעה לרשות. סעיף 8א(ב) מפעיל את חובת ההודעה כשמספר בני האדם שיש עליהם מידע בעל רגישות מיוחדת עולה על 100,000.
• ממונה על הגנת הפרטיות. סעיף 17ב1(א) מחייב מינוי בגופים ציבוריים, אצל מי שעיסוקו איסוף מידע למסירה לאחר, אצל מי שעוסק בניטור שיטתי, ואצל מי שעיסוקו עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר — בפועל בנקים, מבטחים, בתי חולים.

מורה עם כמה עשרות תלמידים פעילים אינו קרוב לאף אחד משלושת הספים. אם מציעים לכם למנות ממונה, בקשו לראות את הסעיף.

מה כן חל: סעיף 17(א) והרשימה הקצרה

סעיף 17(א) קצר ולא משאיר פרשנות: "בעל שליטה במאגר מידע ומחזיק במאגר מידע, כל אחד מהם אחראי לאבטחת המידע שבמאגר המידע". אין בו סף גודל, אין בו פטור לעסק קטן.

התקנות שמפרטות מה זה אומר הן תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, והן מחלקות מאגרים לארבע רמות. הרמה הנמוכה ביותר נקראת מאגר המנוהל בידי יחיד: מאגר שמנהל יחיד או תאגיד בבעלות יחיד, שרק היחיד ולכל היותר שני בעלי הרשאה נוספים רשאים ויכולים להשתמש בו. ההגדרה מוציאה מאגרים שמטרתם מסחר במידע, מאגרים על 10,000 בני אדם ומעלה, ומידע שחלה עליו חובת סודיות מקצועית לפי דין או לפי כללי אתיקה.

לפי תקנה 21(4), על מאגר כזה חלות רק תקנות 1, 2, 6(א), 9(א), 11(א), 12–14 ו-20. בעברית:

שבע שורות. מסמך הגדרות המאגר — הפריט היחיד שדורש ישיבה — הוא עמוד אחד, וכתיבתו היא כנראה שעת העבודה הכי משתלמת בכל הרשימה.

איפה החוק לא נותן לכם תשובה

כאן נעצור ונגיד את זה בגלוי: הסיווג שלכם אינו ודאי. אתם מחזיקים הקשר בריאותי — הפניה למרב"ד, משקפיים כתנאי ברישיון — ומידע פיננסי, ושניהם נמנים עם הקטגוריות של "מידע בעל רגישות מיוחדת" בסעיף 3 לחוק אחרי התיקון.

הגדרת "מאגר המנוהל בידי יחיד" שקראנו אינה מוציאה מידע רגיש; היא מוציאה מידע שחלה עליו חובת סודיות מקצועית, ומורה נהיגה אינו כפוף לחובה כזאת לפי דין. אלא שנוסח התקנות הזמין לקריאה נכון ליום 18.9.2023 — לפני התיקון — ולא מצאנו נוסח מעודכן שמסדיר את היחס בין "מאגר המנוהל בידי יחיד" לבין הקטגוריה החדשה. מי שיגיד לכם בוודאות לאיזו רמה אתם שייכים, בכיוון זה או אחר, ממציא.

מה שכן ודאי: שבע התקנות שלמעלה הן הרצפה, וכולן חלות עליכם בכל תרחיש. נבדוק שוב עד 1.12.2026 אם פורסם נוסח מעודכן לתקנות, ונעדכן את הפוסט.

המספרים — ומה מהם באמת מכוון אליכם

התוספת השלישית מתמחרת כל הפרה לפי רמת האבטחה של המאגר, ועמודת "מאגר המנוהל בידי יחיד" היא הנמוכה שבהן. בשורות שהצלחנו לקרוא — מסמך הגדרות המאגר ועדכונו — הסכום בעמודה הזאת הוא 2,000 ש"ח; הטבלה נחתכת באחזור האוטומטי, ולכן לא אימתנו ששאר שורותיה זהות. נבדוק שוב עד 1.12.2026.

כדי לראות את סדר הגודל של הפער: גלובס דיווח ב-30.12.2025 על מבצע אכיפה של הרשות להגנת הפרטיות באתרי הסחר, וכתב ש"הקנס על הפרה חמורה כמו אי-דיווח על אירוע סייבר במאגר הנדרש לרמת אבטחה גבוהה יכול להגיע ל-320 אלף שקל". זה מאגר אחר ורמת אבטחה אחרת — לא המקום שלכם.

והסיכון המעשי הגדול יותר אינו הרשות אלא סעיף 15א: הורה מרוגז שמגיש תביעה קטנה על סירוב לבקשת עיון יכול לקבל עד 10,000 ש"ח בלי להוכיח שום נזק. זה אותו מגרש שבו אתם גובים חובות מתלמידים, רק בצד השני של השולחן.

מה ההורה זכאי לבקש

סעיף 13 מקנה לכל אדם זכות לעיין במידע האישי שעליו — בעצמו, על ידי בא כוח שהרשה בכתב, או על ידי אפוטרופסו. תלמידי נהיגה הם ברובם קטינים, ולכן ההורה שחתם על ההסכם הוא גם מי שרשאי לשאול מה יש אצלכם על הילד. סעיף 14 מוסיף: מי שעיין ומצא שהמידע אינו נכון, שלם, ברור או מעודכן, רשאי לבקש תיקון או מחיקה.

ובצד השני של התהליך, סעיף 11 קובע מה צריך להיאמר כשאתם מבקשים את המידע מלכתחילה: אם יש חובה חוקית למסור אותו, לשם מה הוא מבוקש, ומי בעל השליטה במאגר ואיך יוצרים איתו קשר. שלוש שורות בטופס ההרשמה, לא יותר.

מה לעשות הערב

1. פתחו את הקובץ ומחקו עמודות שאתם לא משתמשים בהן. צילום ת"ז שנשמר מההרשמה, כתובת מלאה שאף פעם לא נסעתם אליה, מספר חשבון בנק שהיה רלוונטי פעם. כל שדה שנשאר הוא שדה שאתם אחראים לאבטח.
2. כתבו מסמך הגדרות מאגר. עמוד אחד לפי שבעת הסעיפים בתקנה 2. זו החובה המרכזית שכן חלה עליכם, ואף אחד לא יכתוב אותה במקומכם.
3. נעילת מסך בטלפון ובמחשב, ומקום נעול למה שעל נייר. תקנה 9(א) היא זיהוי ואימות — שרק בעל הרשאה ניגש; תקנה 6(א) היא אבטחה פיזית וסביבתית. אף אחת מהשתיים אינה דורשת הצפנה — אבל תקנה 14(ב) כן, ברגע שאתם מעבירים מידע מהמאגר באינטרנט, ותקנה 12 קובעת שיראו בשימוש בשיטות הצפנה מקובלות נקיטת אמצעים סבירים להגנה על מידע שהועתק להתקן נייד — כלומר אם הטלפון שבו נפתח הפוסט הזה מוצפן, יצאתם בזה ידי חובה.
4. ספרו מי עוד רואה את הרשימה. בן או בת זוג שמסדרים לכם את היומן, מורה מחליף, רואה החשבון. הרמה הקלה מותנית בכך שמלבדכם יש לכל היותר שני בעלי הרשאה נוספים.
5. החליטו מראש מה קורה כשהטלפון אובד או נמכר. מחיקה מרחוק מופעלת, גיבוי קיים, וקובץ תיעוד לאירועים לפי תקנה 11(א).
6. הוסיפו שלוש שורות לטופס ההרשמה לפי סעיף 11: מטרת האיסוף, שמכם ודרכי התקשרות, ואם יש חובה חוקית למסור.
7. הפרידו בין מה שנשמר למס לבין מה שנשמר לתפעול. ספרי החשבונות נשמרים לפי כללי ניהול הספרים; הערות תפעוליות על תלמיד שסיים לפני שנתיים — לא.
8. לפני שאתם מייצאים רשימה למערכת אחרת, דעו שזו העברת מידע. הצד שקיבל הופך למחזיק, וסעיף 17(א) מטיל אחריות על שניכם — לא במקומכם.

ולסיום, דבר אחד שכדאי שיהיה ברור: מערכת ניהול, כל מערכת ניהול, לא הופכת אתכם לעומדים בחוק. היא משנה איפה המידע יושב ומי מחזיק בו יחד איתכם. סעיף 17(א) נשאר רשום על שמכם בכל מקרה.