מידע עובדים במערכת שכר ו-HR: תיקון 13, תקנות אבטחת מידע, רמת האבטחה ושעון נוכחות ביומטרי

מערכת שכר ו-HR היא מאגר מידע לפי חוק הגנת הפרטיות, ובעל המאגר הוא המעסיק — גם כשהמערכת בענן של ספק. על המאגר חלות תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017, ומאז 14 באוגוסט 2025, עם כניסת תיקון 13 לתוקף, לרשות להגנת הפרטיות יש סמכות להטיל עיצומים כספיים על הפרות. החדשה הטובה לעסק קטן: לפי פרט 2 בתוספת הראשונה לתקנות, מאגר שכולל מידע רפואי, פלילי או כלכלי על המועסקים ומשמש לניהול העסק בלבד, חל עליו ככלל רמת אבטחה בסיסית. החדשה הפחות טובה: מידע ביומטרי שאינו תמונות פנים — למשל טביעת אצבע בשעון נוכחות — מוציא את המאגר מהחריג ומעלה אותו לרמה בינונית, עם דרישות נוספות. המדריך מסביר מה זה אומר בפועל. המידע כללי ואינו ייעוץ משפטי.

המדריך הוא חלק מהמדריך לטעויות שכר נפוצות.

איזה מידע יש במערכת שכר

רמת אבטחה: בסיסית או בינונית

לפי התוספת הראשונה לתקנות אבטחת המידע (נוסח מאוחד בוויקיטקסט):

• פרט 1(3): מאגר שכולל אחד מסוגי המידע הרגישים — צנעת חיים, מידע רפואי, גנטי, דעות ואמונות, עבר פלילי, נתוני תקשורת, מידע ביומטרי, מידע כלכלי, הרגלי צריכה — חלה עליו רמה בינונית.
• פרט 2(1): אבל אם המידע מסוג רפואי, פלילי, נתוני תקשורת, ביומטרי — לעניין תמונות פנים בלבד — וכלכלי, הוא על המועסקים או הספקים של בעל המאגר, ומשמש לניהול העסק בלבד, ואין במאגר מידע מסוג צנעת חיים, גנטי, דעות, ביומטרי שאינו תמונות פנים או הרגלי צריכה — חלה רמה בסיסית.
• פרט 2(2): חריג נוסף — מאגר שמספר בעלי ההרשאה בו אינו עולה על עשרה.

מה זה אומר: מאגר שכר רגיל — שכר, בנק, אישורי מחלה — לניהול העסק, נשאר בדרך כלל ברמה בסיסית. שעון ביומטרי עם טביעת אצבע מכניס מידע ביומטרי שאינו תמונת פנים, ולכן המאגר עשוי לעבור לרמה בינונית (אלא אם חל חריג אחר). בדקו את הסיווג עם יועץ.

מה כל רמה דורשת (בקצרה)

ברמה בסיסית, בין השאר: מסמך הגדרות מאגר, נוהל אבטחה, הרשאות לפי צורך, הדרכת בעלי הרשאה (תקנה 7), תיעוד אירועי אבטחה (תקנה 11), ובקרה על ספק חיצוני (תקנה 15). ברמה בינונית נוספות דרישות, למשל ביקורת לפחות אחת ל-24 חודשים (תקנה 16), הדרכה תקופתית, ובדיקת אירועים שנתית. אירוע אבטחה חמור במאגר ברמה בינונית — שימוש בחלק מהותי מהמאגר בלי הרשאה — מחייב הודעה מיידית לרשות (תקנה 11(ד)).

ספק ענן ולשכת שירות: תקנה 15

מערכת שכר בענן או לשכת שירות מקבלות גישה למאגר שלכם. לפי תקנה 15, לפני ההתקשרות בוחנים את סיכוני האבטחה, ובהסכם עם הספק מעגנים, בין השאר:

1. איזה מידע הספק רשאי לעבד ולאיזו מטרה;
2. סוגי הגישה והמערכות;
3. אמצעי האבטחה שהספק מחויב בהם;
4. חובת סודיות של עובדי הספק;
5. דיווח שנתי של הספק על עמידתו בהסכם;
6. הודעה על אירוע אבטחה;
7. החזרה או מחיקה של המידע בסיום ההתקשרות;

ובנוסף פיקוח של בעל המאגר על הספק. התקנה אינה חלה על התקשרות עם יחיד (תקנה 15(ג)). בפועל: בקשו מהספק נספח עיבוד מידע וחתמו עליו. אם המידע נשמר בחו״ל, חלות גם תקנות ההעברה לחו״ל.

תיקון 13: מה השתנה למעסיק

• עיצומים כספיים: מאז 14.8.2025, הרשות להגנת הפרטיות יכולה להטיל עיצומים על הפרות של החוק והתקנות, לפי התוספות לחוק, עם תקרות מופחתות לעסק זעיר ולעסק קטן. הסכומים מתעדכנים במדד מדי 1 בינואר; את הסכומים העדכניים בדקו בהודעה ברשומות ובאתר הרשות.
• ממונה הגנת פרטיות: חובה רק לגופים מסוימים (גופים ציבוריים, סוחרי מידע גדולים, ועיסוק עיקרי בניטור שיטתי או במידע רגיש בהיקף משמעותי — סעיף 17ב1). רוב העסקים הקטנים אינם בקבוצות האלה.
• רישום מאגרים: הצטמצם; ככלל חל על סוחרי מידע מעל 10,000 איש ועל גופים ציבוריים.

שעון נוכחות ביומטרי

מעבר לסיווג רמת האבטחה, יש שאלה של מידתיות והסכמה. בתי הדין לעבודה עסקו בשאלה אם מעסיק רשאי לחייב עובדים בשעון ביומטרי, והרשות להגנת הפרטיות פרסמה עמדות בנושא. הכיוון הכללי: לשקול חלופה פחות פוגענית, ליידע את העובדים, לשמור תבנית ולא תמונה, ולהגביל שימוש לנוכחות בלבד. לפני רכישה — התייעצו עם עורך דין, ובדקו אם שעון כרטיס או אפליקציה מספיקים. ראו גם מדריך הנוכחות.

צ׳קליסט מידע עובדים במערכת שכר

1. מי בעל ההרשאה, ומה כל אחד רואה (תיק עובד והרשאות)?
2. אימות דו-שלבי לכל מי שרואה שכר.
3. יומן גישה.
4. נספח עיבוד מידע עם הספק לפי תקנה 15.
5. מיקום שמירת המידע (ישראל או חו״ל).
6. מחיקה או החזרה בסיום (מעבר מערכת).
7. נוהל לאישורי מחלה: מי רואה ולכמה זמן.
8. אם יש שעון ביומטרי — סיווג המאגר, הסכמה וחלופה.

שאלות נפוצות

האם צריך לרשום את מאגר העובדים ברשם המאגרים?

לאחר תיקון 13, חובת הרישום הצטמצמה וחלה ככלל על סוחרי מידע גדולים ועל גופים ציבוריים. עסק פרטי רגיל עם מאגר עובדים בדרך כלל אינו חייב ברישום, אבל חובות האבטחה חלות עליו.

האם אישור מחלה מעלה את רמת האבטחה?

לא בהכרח. לפי פרט 2(1) בתוספת, מידע רפואי על מועסקים לניהול העסק נשאר ככלל ברמה בסיסית, כל עוד אין במאגר סוגי מידע אחרים שמוציאים אותו מהחריג.

האם הספק אחראי לאבטחה?

הספק אחראי לפי ההסכם, אבל בעל המאגר — המעסיק — אחראי לפי התקנות, כולל הבחירה בספק והפיקוח עליו.

מקורות

• חוק הגנת הפרטיות ותקנות הגנת הפרטיות (אבטחת מידע) בוויקיטקסט — התוספת הראשונה, תקנות 7, 11, 15 ו-16; סעיף 17ב1
• ספר החוקים 3287 באתר olaw — תיקון 13 וסעיף התחילה
• הרשות להגנת הפרטיות באתר gov.il — הנחיות, עמדות ועדכון סכומי העיצומים
• כל זכות — פרטיות בעבודה