תיקון 13 לחוק הגנת הפרטיות: מה השתנה למעסיק ולחברת השמה שמחזיקים נתוני מועמדים

קודם כל, על מי מדובר

החוק מדבר על "בעל שליטה" ועל "מחזיק". לפי ההגדרה בסעיף 3, בעל השליטה הוא מי שקובע את מטרות עיבוד המידע. המחזיק הוא גורם חיצוני שמעבד את המידע עבורו. בגיוס זה בדרך כלל נראה כך: חנות רהיטים בבאר שבע שמגייסת מוכרים היא בעלת השליטה במידע על המועמדים שלה. מכון מיון שהיא שולחת אליו מועמדים הוא מחזיק. הנחיה 2/2012 של הרשות אומרת את זה במפורש: מכון המיון הוא מחזיק בלבד, "זרועו הארוכה של המעביד".

חברת השמה היא מקרה אחר. כשהיא בונה מאגר משלה ומציעה מועמדים לכמה לקוחות, היא קובעת את המטרות בעצמה, והיא בעלת שליטה במאגר הזה. זה חשוב, כי חלק מהחובות הכבדות של התיקון מכוונות בדיוק למודל הזה.

מה השתנה, נושא אחר נושא

הגדרות רחבות יותר

"מידע אישי" מוגדר היום כנתון הנוגע לאדם מזוהה או לאדם שניתן לזהותו במאמץ סביר, במישרין או בעקיפין. בגיוס כמעט הכל נכנס לכאן: שם, טלפון, קישור ללינקדאין, סיכום ראיון. ההגדרה של "מידע בעל רגישות מיוחדת" כוללת בין השאר מידע על בריאות, ובפסקה (8) גם הערכת אישיות שנערכה בידי גורם מקצועי או באמצעי שמיועד להעריך מאפייני אישיות מהותיים, ובכלל זה קווי אופי, יכולת שכלית ויכולת תפקוד בעבודה. הרשות כותבת בהנחיה 2/2012 שמידע מהליך מיון יהיה "לעתים קרובות" מידע כזה. על המשמעות לכלי AI כתבנו במאמר סינון קורות חיים עם AI.

רישום מאגרים: פחות רישום, יותר אחריות

לפי דף השירות של הרשות, התיקון ביטל את חובת הרישום הכללית שחלה בעבר על כל המאגרים. סעיף 8א משאיר רישום בעיקר לשני מקרים: מאגר של גוף ציבורי, ומאגר שמטרתו העיקרית איסוף מידע כדי למסור אותו לאחר כדרך עיסוק או בתמורה, כשיש בו מידע על יותר מ־10,000 בני אדם. הוסיפו לזה חובת הודעה לרשות בתוך 30 ימים כשבמאגר שאינו טעון רישום יש מידע רגיש על יותר מ־100,000 בני אדם. פירטנו את הספים ואיך סופרים במאמר האם מאגר מועמדים צריך רישום.

ממונה על הגנת הפרטיות

סעיף 17ב1 מחייב מינוי ממונה במספר מצבים. לגיוס רלוונטיים במיוחד שניים: בעל שליטה שמטרתו העיקרית איסוף מידע כדי למסור אותו לאחר, עם מידע על יותר מ־10,000 בני אדם, ומי שעיסוקו העיקרי כולל עיבוד מידע רגיש בהיקף ניכר. החוק לא נותן מספר להיקף ניכר. הוא מפרט שיקולים, ובהם מספר האנשים, היקף וסוגי המידע ותקופת השמירה. מעסיק קטן שמגייס לעצמו בדרך כלל לא יגיע לשם. חברת השמה עם מאגר גדול, או מכון מיון, כנראה כן.

הודעה למועמד בעת האיסוף

חובת ההודעה בסעיף 11 קדמה לתיקון, אבל עם הסנקציות החדשות כדאי לבדוק שהיא באמת מתקיימת. בנוסחו היום, כשמבקשים ממועמד מידע לשמירה במאגר, ההודעה צריכה לכלול: האם חלה עליו חובה למסור את המידע או שזה מרצונו, ומה התוצאה אם יסרב; המטרה; שם בעל השליטה ופרטי התקשרות; למי יימסר המידע ולאיזו מטרה; וזכויות העיון והתיקון לפי סעיפים 13 ו־14. טופס "שלחו קו״ח" בדף הקריירה בלי הסבר כזה הוא הפער הנפוץ ביותר שאפשר לסגור.

אכיפה

התיקון עיגן לרשות סמכות להטיל עיצומים כספיים. בתוספות לחוק, הסכום בחלק מההפרות מחושב לפי מספר האנשים שהמידע עליהם נמצא במאגר, והוא גבוה יותר כשמדובר במידע בעל רגישות מיוחדת. בהנחיה 2/2012 הרשות מציינת שבנסיבות מסוימות ניתן להטיל על מאגר עם מידע רגיש עיצום בסכום כפול. לצד זה יש לרשות סמכויות חקירה, וסעיף 23נה קובע עונש של שלוש שנות מאסר על עיבוד מידע ממאגר בלי הרשאה או בחריגה ממנה. בנוסף, סעיף 15א מאפשר לבית משפט לפסוק פיצויים לדוגמה של עד 10,000 שקלים, בלי הוכחת נזק, בהפרות מסוימות. בחרנו לא להציג כאן טבלת סכומי עיצום, כי החישוב תלוי בסוג ההפרה ובגודל המאגר וקל לצטט אותו לא נכון.

מה מעסיק קטן עושה ברבעון הזה

נניח משרד אדריכלים בחיפה עם 25 עובדים, שמגייס שלוש פעמים בשנה דרך טופס באתר ומיילים. רשימה ריאלית:

1. למפות איפה נמצאים קורות החיים היום: תיבות מייל, וואטסאפ של מנהלי צוות, תיקייה משותפת, לוח דרושים.
2. להוסיף לטופס ההגשה ולמודעה הודעה לפי סעיף 11, עם שם המשרד, כתובת לפניות ומטרת האיסוף.
3. לקבוע תקופת שמירה ולמחוק את מה שעבר אותה. פירטנו תבנית במאמר כמה זמן מותר לשמור קורות חיים.
4. לצמצם את מי שרואה את החומר. הנחיה 2/2012 מבקשת רשימה מוגבלת של מורשי גישה לפי צורך.
5. לבדוק אם אתם משתמשים במבחני אישיות או בכלי AI שמדרג מועמדים. אם כן, זה מידע רגיש, וכדאי לבדוק את ההתקשרות עם הספק.
6. לקבוע מי מטפל בבקשת עיון או מחיקה, גם אם אינכם חייבים בממונה.

חברת השמה או מכון מיון צריכים לעבור על אותה רשימה ועוד לבדוק ברצינות את שאלת הרישום והממונה, כי שם הספים של 10,000 בני אדם רלוונטיים.

מה לא אימתנו

את תאריך התחילה קראנו בסיכומים של משרדי עורכי דין ושל RSM ישראל. דף הרשות עצמו חוסם גישה אוטומטית, ולכן לא אימתנו את התאריך ישירות אצלה. את פרטי טבלאות העיצום קראנו בנוסח החוק בוויקיטקסט, ולא בפרסום רשמי של הרשות.

המאמר אינו ייעוץ משפטי. הוא מתאר את המצב נכון לנובמבר 2026. כדי לדעת אם הארגון שלכם חייב ברישום, בהודעה או במינוי ממונה, פנו לעורך דין שמתמחה בהגנת פרטיות.

מקורות

1. חוק הגנת הפרטיות, התשמ"א-1981 (נוסח בוויקיטקסט, כולל תיקון 13)
2. הרשות להגנת הפרטיות: בקשה לרישום מאגר מידע (דף שירות, נקרא דרך תקציר חיפוש)
3. RSM ישראל: תיקון 13 לחוק הגנת הפרטיות (מועד תחילה)
4. הנחיית הרשות להגנת הפרטיות מס' 2/2012, נוסח מעודכן בעקבות תיקון 13

נבדק לאחרונה ב-11/11/2026. מצאתם טעות או מקור מעודכן? כתבו ל-yossiheine.biz@gmail.com. כל המקורות באתר: עמוד המקורות.