מה קורה כשסוגיית פרטיות פנימית מגיעה לרשות בעקבות תלונת עובד

כשהנהלה חושבת על סיכון בתחום הגנת הפרטיות, התרחיש הראשון שעולה הוא בדרך כלל ביקורת יזומה של הרשות להגנת הפרטיות.

בפועל, החשיפה יכולה להתחיל במקום הרבה יותר קרוב – בתלונה של עובד מתוך הארגון עצמו.

פסק דין חדש: מתלונה פנימית לתלונה ברשות להגנת הפרטיות

החלטה שניתנה לאחרונה בבית הדין האזורי לעבודה בחיפה ממחישה את הנקודה הזו היטב.

בהחלטה מיום 18.8.2026, בעניין פ"ה 55644-07-26, דוד אדלר נ' עיריית חיפה, נדונה בקשתו של מנהל בכיר בעירייה למנוע את פיטוריו.

במסגרת ההליך תואר כי אותו מנהל דיווח בתוך הארגון על חשד לזליגת מידע, ובהמשך הגיש תלונה לרשות להגנת הפרטיות. 

הנקודה החשובה למנכ"לים אינה מה שהוכרע בפסק הדין, אלא מה שהוא ממחיש – סוגיית פרטיות שמתחילה בתוך הארגון יכולה לצאת מגבולותיו ולהגיע לרגולטור.

מה קורה בפועל כשתלונת עובד מגיעה לרשות להגנת הפרטיות?

תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025, הרחיב משמעותית את סמכויות הפיקוח והאכיפה של הרשות להגנת הפרטיות.

לא כל תלונה מובילה אוטומטית לחקירה מקיפה, ולא נכון להניח שכל פנייה בודדת תגרור בדיקה של כלל פעילות החברה. עם זאת, כאשר קיים יסוד סביר להניח שבוצעה הפרה, החוק מסמיך את הרשות לפתוח בבירור מינהלי ולהפעיל כלים לקבלת מידע ומסמכים מהארגון.

המשמעות המעשית: בירור כזה עשוי להביא גם לבחינה של אופן ניהול המידע ושל העמידה בחובות הרלוונטיות בארגון.

בשלב הזה השאלות כבר אינן תיאורטיות:

• האם הארגון ערך את מסמכי החובה הנדרשים לגבי מאגרי המידע שלו?
• האם ברור אילו סוגי מידע אישי נאספים, ועל מי?
• האם קיימת מטרה מוגדרת וברורה לכל איסוף ושימוש במידע?
• אילו נתונים נשמרים על עובדים, מועמדים, לקוחות וספקים, ולכמה זמן?
• האם עובדים מקבלים את הגילוי הנדרש כשנאסף מהם מידע אישי?
• האם מידע מועבר לצדדים שלישיים, ובאילו תנאים?
• האם ההתקשרויות עם ספקים המעבדים מידע עבור הארגון הוסדרו כנדרש בדין?
• האם קיים מנגנון סדור למענה על בקשות ותלונות בנוגע לשימוש במידע אישי?

אלה שאלות של ממשל ארגוני וציות משפטי – לא רק שאלות טכנולוגיות.

מסמך הגדרות מאגר – לא טופס למדף, אלא מסמך חי

מסמך הגדרות מאגר אינו אמור להיכתב פעם אחת ולהישכח במגירה. הוא צריך לשקף את המציאות בפועל – אילו נתונים מוחזקים, מה מטרותיהם, מי הגורמים המעבדים אותם, ומהי סביבת הפעילות של המאגר. כאשר המסמך אינו קיים, אינו מעודכן, או סותר את מה שהחברה עושה בפועל – הפער מתגלה בדיוק ברגע שבו הארגון נדרש להציג תמונה מסודרת לגורם חיצוני.

מידע על עובדים הוא נקודת חשיפה משמעותית – לא רק מידע לקוחות

במפעלים ובארגונים עתירי כוח אדם, חלק ניכר מהמידע האישי הרגיש ביותר אינו מידע על לקוחות – אלא מידע על העובדים עצמם:

מידע רפואי והיעדרויות, נתוני שכר, הערכות ביצועים, הליכים משמעתיים, מידע על בני משפחה, נתוני נוכחות, תיעוד ממצלמות, מידע ממערכות בקרת כניסה, מסמכי מועמדים לעבודה, והתכתבויות הקשורות לעובדים.

כל אחד מסוגי המידע הללו עשוי להיות נחוץ למטרה עסקית לגיטימית. אבל השאלה לפי דיני הפרטיות אינה רק אם ניתן להגן עליו מפני פריצה או דליפה. 

צריך לשאול גם: למה המידע נאסף? האם נאסף יותר מהנדרש? מי משתמש בו? למי הוא מועבר? כמה זמן הוא נשמר? ומה נאמר לעובד על השימוש שייעשה בו?

זו בדיוק הנקודה שבה נוצר לעיתים בלבול בין אבטחת מידע לבין הגנת הפרטיות.

אבטחת מידע אינה הגנת פרטיות

גם בהחלטת בית הדין בחיפה עלתה טענה שנוגעת למבנה התפקידים בתחום הזה.

אבטחת מידע עוסקת בהגנה על המידע. 
הגנת הפרטיות עוסקת גם בשאלה האם מותר בכלל לאסוף את המידע ולעשות בו את השימוש המבוקש.

מערכת יכולה להיות מאובטחת היטב, ועדיין לעורר בעיית פרטיות של ממש. 
לדוגמה: אפשר להפעיל מערכת ניטור עובדים בתוך תשתית מאובטחת ברמה גבוהה מאוד – ועדיין יתעוררו שאלות מהותיות לגבי היקף הניטור, מטרתו, מידתיותו, והמידע שנמסר לעובדים על קיומו.

הרשות להגנת הפרטיות עצמה מתארת את ממונה הגנת הפרטיות (DPO) כמי שמייעץ להנהלה ולעובדים בכל הנוגע לדיני הגנת הפרטיות, מפקח על עמידה בהוראות החוק, מטפל בפניות ובתלונות הנוגעות לעיבוד מידע אישי, ומשמש איש הקשר מול הרשות – לצד דרישה להבנה הולמת גם בטכנולוגיה ובאבטחת מידע. כלומר: אבטחת מידע היא חלק מהתמונה, אך אינה תחליף לבחינה משפטית של השימוש במידע.

השאלה שבאמת חשובה למנכ"ל

לכן השאלה הרלוונטית איננה רק  – "מה הסיכוי שהרשות תגיע אלינו לביקורת?"

השאלה השימושית יותר היא:

"אם מחר סוגיית פרטיות פנימית תגיע לרשות – האם אנחנו יכולים להראות שההתנהלות שלנו מסודרת?"

• האם ניתן להוציא במהירות תמונה ברורה של מאגרי המידע בארגון?
• האם מסמכי החובה קיימים ומעודכנים?
• האם ניתן להסביר מדוע נאסף כל סוג מידע על עובדים?
• האם השימושים במידע הוגדרו ונבדקו מראש?
• האם ספקים חיצוניים המקבלים גישה למידע הוסדרו כנדרש?
• והאם הפער בין מה שקורה בפועל לבין המסמכים והנהלים קטן מספיק כדי שההנהלה תהיה נוחה עם מה שיוצג לרשות?

זו למעשה אחת הסיבות המרכזיות לבצע בדיקת ציות בתחום הגנת הפרטיות מבעוד מועד – לא משום שכל ארגון צפוי לעמוד מחר מול הליך אכיפה, אלא משום שעדיף לאתר ולתקן פערים בזמן שהארגון עדיין בוחר את העיתוי ושולט בתהליך.

מה כדאי להנהלה לבדוק קודם כול

בדיקת פרטיות אפקטיבית לא חייבת להתחיל בפרויקט טכנולוגי גדול. לעיתים נכון להתחיל דווקא במיפוי ניהולי ומשפטי ממוקד:

• אילו מאגרי מידע קיימים בארגון
• איזה מידע מוחזק בכל מאגר, ומה מטרות השימוש בו
• כיצד מטופל מידע על עובדים לאורך מחזור החיים שלו (איסוף, אחסון, שימוש, מחיקה)
• מיהם הספקים המעבדים מידע עבור הארגון
• אילו מסמכים ונהלים כבר קיימים, ומה מצבם בפועל

ארגונים שרוצים לבחון את מצבם יכולים להתחיל במיפוי ממוקד כזה – של המידע, השימושים בו, הספקים והמסמכים הקיימים – לפני שנכנסים לפרויקט רחב יותר. רק לאחר שמבינים את התמונה המלאה ניתן לזהות את הפערים האמיתיים ולקבוע סדר עדיפויות לטיפול בהם.

לסיכום

פרויקט ציות בתחום הגנת הפרטיות אינו רק תרגיל רגולטורי. הוא מאפשר להנהלה להבין מה קורה עם אחד הנכסים הרגישים ביותר של הארגון, המידע האישי שהוא מחזיק על עובדיו, לקוחותיו וספקיו, לפני שאירוע פנימי, כמו זה שתואר בהחלטת בית הדין בחיפה, מחייב אותה לתת תשובות תחת לחץ ומול רגולטור.

עורך דין רפי בלנקשטיין מלווה חברות בבדיקות ציות ובהסדרת פעילותן בתחום הגנת הפרטיות.

הכותב, עו"ד רפי, הוא עורך דין מסחרי המתמחה בדיני פרטיות ובממשל תאגידי בתחום הבינה המלאכותית, ומוסמך כממונה הגנת פרטיות (DPO) מטעם לשכת עורכי הדין בישראל.