חן פישר גבאי משרד עורכי דין: אלפי רישיונות רכב של חייבים פתוחים ברשת, והשאלה שתיקון 13 לחוק הגנת הפרטיות מציב

למעלה מ-6,000 רישיונות רכב של חייבים. בלי סיסמה, בלי התחברות, בלי פריצה. כולם מתוך מערך המכירות המקוון של חן, פישר, גבאי, משרד עורכי דין מנתניה, משרד גדול שמתמחה בגבייה ובכינוס נכסים עבור בנקים וחברות מסחריות.

מה מצאנו

בבדיקה שערכנו נמצאו במערך המכירות של המשרד אלפי רישיונות רכב שניתן להגיע אליהם ולהוריד אותם בלחיצה. רובם “הושחרו”, אבל בשיטה כושלת שמאפשרת לשחזר את המסמך המלא. המסמכים לא הגיעו לרשת מאתר פיראטי ולא ממאגר שדלף בפריצה. הם פורסמו באתר המכירות של המשרד עצמו, במסגרת הליכי כינוס, מכוח צווים שיפוטיים.

המשרד עצמו מציין באתרו כי כלי הרכב “המפורסמים על ידי משרדנו באתר זה ובאתר בידספיריט הנם המקור המוסמך היחיד לפרסום ולמכירת כלי התחבורה”, וכי “ניתן להוריד מהאתר העתק מרישיון הרכב הרלוונטי” (מכירות ונכסים בכינוס, אתר המשרד).

וכאן מתחילה השאלה המעניינת באמת.

המידע האישי שייך לנושא המידע

נתחיל מהיסוד. חוק הגנת הפרטיות פותח בסעיף 1 במשפט אחד: “לא יפגע אדם בפרטיות של זולתו ללא הסכמתו”. מידע אישי הוא נכס דיגיטלי של האדם שהמידע עליו. הוא לא סחורה של מי שהמידע הגיע לידיו: אי אפשר להעביר אותו, למכור אותו או להשתמש בו מעבר למה שהותר במפורש, בחוק או בהסכמה.

פרופ’ מיכאל בירנהק וד”ר עמרי רחום-טוויג מדייקים את זה בספרם החדש, פרטיות מידעית (נבו, 2026): הזכות לפרטיות במידע אינה בעלות קניינית פשוטה בכל פרט, אלא משהו עמוק יותר, שליטה באופן שבו מידע על אדם נאסף, נשמר, מחובר למידע אחר ונעשה בו שימוש לאורך כל חיי המידע. השליטה הזאת נשארת אצל נושא המידע גם כשהמידע עצמו נמצא אצל אחרים.

צו אינו רישיון פרסום לתמיד

כונס נכסים מקבל מידע ממאגר ציבורי למטרה אחת: להוכיח שהרכב שייך לחייב, לאתר אותו, לתפוס אותו ולמכור אותו. למטרה זו בלבד הוא רשאי לקבל את המידע, מתוקף תפקידו כ”קצין בית משפט”.

הביטוי המשפטי לכך הוא עקרון צמידות המטרה, והוא מופיע בחוק פעמיים.

סעיף 2(9) מונה כפגיעה בפרטיות: “שימוש בידיעה על עניניו הפרטיים של אדם או מסירתה לאחר, שלא למטרה שלשמה נמסרה”. פגיעה כזאת היא עוולה אזרחית (סעיף 4), ומי שפוגע כך במזיד עובר עבירה פלילית שדינה חמש שנות מאסר (סעיף 5).

סעיף 8(ב), בנוסחו מאז תיקון 13 שנכנס לתוקף ביום 14.8.2025, קובע במילים שאינן משתמעות לשתי פנים:

“לא יעבד אדם מידע אישי במאגר מידע אלא למטרת המאגר שנקבעה לו כדין.”

וסעיף 8(ג) מוסיף: “לא יעבד אדם מידע אישי ממאגר מידע ללא הרשאה מאת בעל השליטה במאגר המידע או בחריגה מהרשאה כאמור”.

הנקודה שרבים מפספסים: עיבוד מידע אינו אירוע חד-פעמי שהסתיים ביום הפרסום. הנגשה מתמשכת של קובץ ברשת היא עיבוד שמתרחש כאן ועכשיו, גם אם הפרסום המקורי נעשה לפני שנים.

הדוגמה שבירנהק ורחום-טוויג מביאים כמעט נכתבה עבור המקרה הזה. חברת ביטוח קיבלה כדין, כמחזיקה בנכסי חייב, מידע על עיקול במסגרת הליך משפטי. אחר כך השתמשה באותו מידע להחלטה חיתומית: לסרב לבטח את אותו אדם. בית המשפט קבע שמקור חוקי לקבלת מידע אינו היתר בלתי מוגבל לשימוש עתידי בו (עת”מ 24867-02-11 איי.די.איי חברה לביטוח נ’ רשם מאגרי המידע).

אז מה קורה כשהרכב כבר נמכר? כשהליך הכינוס הסתיים לפני שנים? האם עדיין קיימת מטרה משפטית שמצדיקה שרישיון הרכב יישאר על שרת פתוח, ושהיסטוריה של אדם כחייב תהפוך לארכיון קבוע של אתר מסחרי? מספר רכב לבדו הוא נתון טכני. רישיון רכב בהקשר של כינוס מחבר אדם, רכב, בעלות, כתובת, חוב והליך משפטי. זה כבר לא מידע על מכונית. זה מידע על אדם.

שכבה נוספת: אבטחת מידע, ומי אחראי

בנפרד משאלת המטרה, סעיף 17(א) לחוק קובע: “בעל שליטה במאגר מידע ומחזיק במאגר מידע, כל אחד מהם אחראי לאבטחת המידע שבמאגר המידע”. תקנות הגנת הפרטיות (אבטחת מידע), התשע”ז-2017 מפרטות: תקנה 8 מחייבת לקבוע הרשאות גישה לפי הגדרות תפקיד, “במידה הנדרשת לביצוע התפקיד בלבד”, ותקנה 9 מחייבת לוודא “כי הגישה למאגר ולמערכות המאגר נעשית בידי בעל הרשאה המורשה לכך בלבד”. קובץ שנפתח בלחיצה, ללא הזדהות וללא מנגנון בקרה, אינו עומד בדרישות האלה. זו עילה עצמאית, שאינה תלויה בשאלה אם ההליך הסתיים.

ומי אחראי? סעיף 3 לחוק מגדיר בעל שליטה במאגר מידע כ”מי שקובע, לבדו או יחד עם אחר, את מטרות עיבוד המידע שבמאגר המידע או גוף שהוא או בעל תפקיד בו הוסמך בחיקוק לעבד מידע במאגר מידע”, ומבחין בינו לבין המחזיק. פלטפורמת מכירות שמפעילה את האתר היא, ככלל, מחזיק. מי שקבע את מטרת האיסוף, קיבל את המידע מתוקף תפקידו והחליט מה יפורסם, הוא בעל השליטה. ההבחנה קובעת על מי מוטלת חובת המחיקה, ועל מי מוטלת האחריות לכך שהמידע עדיין שם.

מה זה אומר לכל מי שמחזיק מידע על אחרים

אין כאן קביעה סופית שבמקרה הספציפי הופרו הוראות החוק. לשם כך צריך לבחון את נוסח הצווים, מועדי סיום ההליכים, סוגי הפרטים שנחשפו וזהות הגורמים ששלטו בפרסום. אבל העיקרון שהמקרה ממחיש נכון לכל עורך דין, כונס, חברת גבייה או עסק:

• הרשאה לקבל מידע היא הרשאה למטרה, לא הרשאה לנצח.
• ברגע שהמטרה הסתיימה, המשך ההחזקה וההנגשה הם שימוש חדש שדורש הצדקה חדשה.
• מידע שנחשף לכל דורש, בלי בקרת גישה, הוא הפרה גם אם השימוש עצמו היה מותר.

מקורות: מיכאל בירנהק ועמרי רחום-טוויג, פרטיות מידעית (נבו, 2026), עמ’ 49–50, 204, 207, 214–215; חוק הגנת הפרטיות, התשמ”א-1981 (נוסח מעודכן לאחר תיקון 13), סעיפים 1, 2(9), 3 (הגדרות “מידע אישי”, “בעל שליטה במאגר מידע”, “מחזיק”), 4, 5, 8(ב), 8(ג) ו-17(א); תקנות הגנת הפרטיות (אבטחת מידע), התשע”ז-2017, תקנות 8 ו-9; עת”מ 24867-02-11 איי.די.איי חברה לביטוח בע”מ נ’ רשם מאגרי המידע.

המידע במדור זה כללי ואינו ייעוץ משפטי. כל מקרה נבדק לגופו.