תיקון 13 לחוק הגנת הפרטיות: מה השתנה בבדיקות רקע ובחקירות

21 באוקטובר 2026

במשך שנים, מעסיק שביקש בדיקת רקע על מועמד עסק בשאלה אחת בלבד: מה אפשר לגלות. מאז שנכנס לתוקף תיקון 13 לחוק הגנת הפרטיות, נוספה שאלה שנייה שחשובה לא פחות - מה מותר לשמור, ולמה. השינוי הזה עבר מתחת לרדאר אצל חלק ניכר מהמעסיקים בישראל, ודווקא הוא זה שמייצר היום את החשיפה הגדולה ביותר. אני שרון שמיר, מנהל "שמיר חקירות", ואחרי יותר משלושים שנה בתחום זו אחת ההתפתחויות הרגולטוריות המשמעותיות שראיתי בעבודה מול מעסיקים.

עיקרי הדברים

האכיפה הוגברה משמעותית, והפרה שהייתה תיאורטית נושאת היום מחיר.
ההבחנה בין מידע רגיל למידע בעל רגישות מיוחדת חודדה, והסטנדרט על השני מחמיר יותר.
המעסיק הוא מחזיק המידע, לא משרד החקירות - והחשיפה מתחילה אחרי שהדוח מגיע אליו.
העיקרון המנחה הוא מינימליזציה: אל תבקשו מידע שאינכם יודעים מה תעשו איתו.
במעקבים המסגרת לא השתנתה מהותית, אבל מחיר הטעות עלה.

רקע: מה בכלל עשה התיקון

חוק הגנת הפרטיות, התשמ"א-1981, הוא חוק ותיק שנחקק בעולם שבו מאגרי מידע היו קלסרים. תיקון 13 נועד להתאים אותו למציאות שבה כל עסק מחזיק מידע דיגיטלי על עובדים, מועמדים ולקוחות. שלושה שינויים מרכזיים משנים את התמונה עבור מי שמזמין חקירות:

הגברה משמעותית של האכיפה. לרשות להגנת הפרטיות ניתנו סמכויות אכיפה מורחבות, ובכללן הטלת עיצומים כספיים.
התייחסות מובחנת למידע רגיש. מידע רפואי, מידע על עבר פלילי, נתוני מיקום ונתונים ביומטריים נמצאים בקטגוריה המחמירה.
שינוי במשטר הרישום ובממשל הפנים ארגוני. חובת רישום מאגרים צומצמה והוחלפה בגישה שמתמקדת באחריות הארגון עצמו, ובכלל זה חובה למנות ממונה על הגנת הפרטיות בגופים מסוימים.

הבהרה חשובה

יישום התיקון עדיין מתפתח, ותנאי הסף המדויקים, סכומי העיצומים והיקף החובות נגזרים מנוסח החוק ומהנחיות הרשות. נמנעתי במכוון מלנקוב כאן במספרים, וממליץ לאמת מול הנוסח המעודכן ומול הרשות להגנת הפרטיות. מה שחשוב להבין הוא הכיוון, והוא ברור: אחריות מוגברת על מי שמחזיק מידע.

הנקודה שמעסיקים מפספסים: אתם מחזיקי המידע

כשמעסיק מזמין בדיקת רקע, הוא נוטה לחשוב שהאחריות על המידע מוטלת על משרד החקירות. בפועל, ברגע שהדוח מגיע אליו ונשמר אצלו - בתיק אישי, בתיקיית מייל, בכונן משותף - הוא זה שמחזיק מאגר מידע על אדם, והוא זה שחשוף.

מניסיוני, זה בדיוק המקום שבו ארגונים נכשלים. לא בהזמנת הבדיקה, אלא במה שקורה אחריה: דוחות על מועמדים שלא התקבלו שנשמרים שנים בלי צורך, דוח שמועבר בקבוצת וואטסאפ של ההנהלה, היעדר מדיניות מחיקה, ומועמד שמעולם לא ידע שנאסף עליו מידע. כל אחת מהנקודות האלה הייתה בעייתית גם קודם. אחרי התיקון, יש מי שאוכף אותן.

מה זה משנה בפועל בבדיקת רקע

הנושא	הנוהג שהיה מקובל	הגישה הנכונה היום
היקף הבדיקה	"תבדקו עליו כל מה שאפשר"	בדיקה ממוקדת לפי הרלוונטיות לתפקיד
תוצר	דוח מקיף עם כל הממצאים	דוח ממוקד במסקנה התפקידית
שמירה	נשמר ללא הגבלת זמן	תקופת שמירה מוגדרת ומחיקה בתום הצורך
הפצה	מועבר לכל מי שמעורב בגיוס	גישה מצומצמת למי שנדרש להכריע
שקיפות	המועמד אינו יודע	יידוע כחלק מתהליך הגיוס
מידע רגיש	נאסף אם נתקלו בו	נאסף רק בהצדקה ממשית לתפקיד

העיקרון המנחה: מינימליזציה

אני עובד היום עם מעסיקים לפי כלל פשוט: אל תבקשו מידע שאינכם יודעים מה תעשו איתו. מועמד לתפקיד נהג חלוקה - הרלוונטיות היא ותק נהיגה ואמינות תעסוקתית. מועמד שמנהל כספים - יושרה כלכלית ומצב חובות. מועמד שמגיע לבתי לקוחות - רלוונטיות שונה שוב.

בדיקה שמביאה מידע שאינו קשור לתפקיד אינה רק מיותרת; היא הופכת את המעסיק למחזיק מידע שאין לו הצדקה להחזיק. בפועל זה גם משפר את איכות ההחלטה - דוח ממוקד קל יותר לקריאה מדוח של עשרים עמודים. בנינו כך את בדיקות רקע ופרופיל, בדיקות מהימנות, בדיקות מהימנות לעובדים בכירים ובדיקת רקע פיננסית.

מילון מושגים

מאגר מידע - אוסף נתונים על אנשים המוחזק באמצעים דיגיטליים. תיקיית דוחות על מועמדים היא מאגר לכל דבר.
מידע בעל רגישות מיוחדת - מידע שחשיפתו עלולה לפגוע במיוחד, ובכלל זה מידע רפואי, עבר פלילי, נתוני מיקום ונתונים ביומטריים.
מינימליזציה - העיקרון שלפיו אוספים את המידע ההכרחי בלבד למטרה מוגדרת, ולא מעבר לכך.
ממונה על הגנת הפרטיות - בעל תפקיד שגופים מסוימים נדרשים למנות, האחראי על עמידת הארגון בדרישות.
תקופת שמירה - פרק הזמן שבו קיימת הצדקה להחזיק את המידע. בתומו יש למחוק.

סיפור מהשטח: הדוח שהיה מפורט מדי

חברה בינונית פנתה אלינו אחרי שקיבלה פנייה מעורך דין מטעם מועמד שלא התקבל. המועמד גילה, בדרך אגבית, שנשמר עליו חומר מפורט אצל המעסיק הפוטנציאלי - כולל פרטים שלא היה להם קשר לתפקיד.

הבדיקה עצמה לא בוצעה על ידינו. היא בוצעה שנה קודם לכן על ידי גורם אחר, והדוח כלל מידע רחב בהרבה מהנדרש. החברה שמרה אותו, העבירה אותו בין כמה מנהלים, ולא מחקה אותו. נדרשנו לסייע בשחזור מה נאסף, ממי ולאיזו מטרה - ובדיוק כאן התברר הכשל: לא היה תיעוד. איש לא ידע לומר מה הייתה ההצדקה לכל רכיב בבדיקה.

מאז, כשאני מספק דוח, אני מקפיד שיהיה בו גם הסבר מה נבדק ומדוע. לא כפורמליות, אלא משום שזהו המסמך שיגן על הלקוח אם יישאל בדיעבד.

ומה לגבי חקירות שאינן בדיקות רקע

לגבי מעקבים ולגבי חקירות שטח, המסגרת לא השתנתה מהותית. מה שהיה אסור לפני התיקון - האזנה לשיחות של אחרים, חדירה לחומר מחשב, צילום בתוך רשות היחיד - אסור גם היום, מכוח חוק הגנת הפרטיות ומכוח חוק האזנת סתר, התשל"ט-1979.

מה שכן השתנה הוא המחיר של טעות. בעולם שבו האכיפה הייתה רדומה, לקוח שקיבל ראיה בעייתית הסתכן בעיקר בפסילתה. היום הוא מסתכן גם בחשיפה מול הרגולטור. זו גם הסיבה שהשאלה אם החוקר מחזיק רישיון קריטית מאי פעם. העיסוק מוסדר בחוק חוקרים פרטיים ושירותי שמירה, התשל"ב-1972, ומי שמעסיק גורם לא מורשה מצרף את עצמו לשרשרת האחריות. ראו חוקר פרטי ללא רישיון.

טיפ זהב למעסיקים

הפעולה היחידה שאני ממליץ לכל מעסיק לבצע השבוע, בלי קשר לשום חקירה: פתחו את התיקייה שבה נשמרים דוחות על מועמדים, ומחקו כל דוח על מי שלא התקבל ושההחלטה לגביו כבר התקבלה מזמן. זו פעולה של עשרים דקות, היא מצמצמת את החשיפה שלכם יותר מכל נוהל שתכתבו, והיא גם הדבר הראשון שתישאלו עליו אם מישהו יבדוק אתכם.

רשימת פעולות למעסיק

מפו מה אתם מחזיקים. אילו דוחות, על מי, מאיזו שנה, ואיפה.
מחקו מה שאין לו הצדקה. במיוחד דוחות על מועמדים שלא התקבלו.
הגדירו מי מוסמך לראות. גישה לפי צורך, לא לפי היררכיה.
שלבו יידוע בתהליך הגיוס. הצהרה ברורה שייתכן ותבוצע בדיקה, והיקפה.
קבעו תקופת שמירה וודאו שמישהו אחראי על המחיקה בפועל.
בקשו דוח ממוקד ודרשו הסבר מה נבדק ומדוע.
עבדו רק עם מורשים ובדקו זאת, אל תניחו.

הצד שאף אחד לא אוהב לשמוע

אני אומר את זה ללקוחות גם כשזה עולה לי בהיקף העבודה: לא כל מה שאפשר לברר כדאי לברר. מעסיק שאוסף יותר מידע ממה שהוא צריך אינו מקבל החלטה טובה יותר - הוא רק מגדיל את הסיכון שלו, ולעיתים מטה את ההחלטה על בסיס מידע שאינו רלוונטי. התיקון דוחף את השוק לכיוון שהיה נכון גם קודם: חקירה ממוקדת, עם תוצר מדוד, שנשמר רק כל עוד הוא נחוץ.

לא בטוחים אם מה שאתם מחזיקים עומד בדרישות?

אם אתם מנהלים תהליכי גיוס ומחזיקים דוחות ישנים, שווה לעשות בדיקה פשוטה לפני שמישהו ישאל אתכם עליה. אני מציע שיחה קצרה שבה נעבור על מה שאתם מבקשים לבדוק, ונגדיר יחד מה באמת נדרש לתפקיד ומה מיותר. לא אחת התוצאה היא בדיקה מצומצמת יותר ממה שהלקוח תכנן, וזה בסדר גמור.

לפרטים נוספים ראו חקירת מהימנות עובדים, או צרו קשר ישירות.

המידע במאמר זה הוא מידע כללי בלבד ואינו מהווה ייעוץ משפטי. החקיקה בתחום הגנת הפרטיות והנחיות הרשות מתעדכנות מעת לעת, ויש לאמת כל פרט מול הנוסח המעודכן ובהתאם לנסיבות הספציפיות.

שאלות ותשובות

לא. בדיקת רקע לצורך החלטת גיוס היא פרקטיקה לגיטימית ולא נאסרה. מה שהשתנה הוא הסטנדרט שבו היא צריכה להתבצע: היקף מידתי ורלוונטי לתפקיד, שקיפות מול המועמד, שמירה לתקופה מוגדרת, והגבלת הגישה למי שנדרש להכריע. מעסיק שעובד נכון ממילא לא אמור לחוש שינוי דרמטי.

שניהם עשויים להיות חשופים, בהקשרים שונים. משרד החקירות אחראי לאופן ביצוע החקירה ולחוקיותה, בכפוף לחוק חוקרים פרטיים ושירותי שמירה, התשל"ב-1972. המעסיק אחראי למה שהוא עושה עם המידע לאחר שקיבל אותו: כיצד הוא נשמר, מי נחשף אליו ומתי הוא נמחק. זו הנקודה שבה מעסיקים מופתעים.

החוק אינו נוקב במספר אחיד, משום שהתקופה נגזרת מהמטרה שלשמה נאסף המידע. העיקרון הוא שמידע נשמר כל עוד קיימת הצדקה להחזקתו ולא מעבר לכך. המקרה הברור ביותר הוא דוח על מועמד שלא התקבל: ברגע שההחלטה התקבלה, במרבית המקרים אין עוד הצדקה להחזיק אותו.

שקיפות היא אחד העקרונות המרכזיים בחוק הגנת הפרטיות, וכיוון התיקון מחזק אותה. הגישה הנכונה היא לשלב בתהליך הגיוס הצהרה ברורה שייתכן ותבוצע בדיקת רקע, מה היקפה הכללי ולאיזו מטרה. מעבר להיבט המשפטי, זו התנהלות שמצמצמת מחלוקות בהמשך.

המסגרת החוקית למעקבים לא השתנתה מהותית: מה שהיה אסור לפני התיקון אסור גם היום, ובכלל זה האזנה לשיחות של אחרים לפי חוק האזנת סתר, התשל"ט-1979, חדירה לחומר מחשב וצילום ברשות היחיד. מה שהשתנה הוא עוצמת האכיפה, ולכן מחיר העבודה עם גורם לא מורשה גבוה היום מבעבר.