משרד חקירות מטפל לעיתים במידע רגיש במיוחד: פרטים משפחתיים, מידע כלכלי, צילומים, מיקומים, תכתובות, מידע על עובדים וחומרים שנאספו לצורך הליך משפטי. תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025, הרחיב וחידד את חובות הפרטיות והאכיפה. ביולי 2026 פרסמה הרשות להגנת הפרטיות גילוי דעת סופי בנושא תפקידו של ממונה הגנת פרטיות, או DPO.
השורה התחתונה: לא כל משרד חקירות חייב אוטומטית למנות ממונה הגנת פרטיות. החובה תלויה במאפייני הפעילות ובמבחנים שבחוק, ובהם סוג המידע, היקף העיבוד והאם הפעילות כוללת ניטור שיטתי בהיקף ניכר. עם זאת, גם כשאין חובת מינוי, חלוקת אחריות ברורה לפרטיות היא צעד ניהולי חשוב.
למה הנושא חשוב דווקא למשרד חקירות?
מידע הוא חומר העבודה של משרד חקירות. הסיכון אינו מסתכם בפריצה למחשב: הוא כולל גם שליחת חומר לנמען שגוי, שמירת תיק מעבר לנדרש, הרשאות רחבות מדי, קבלת חומר מלקוח בלי בירור מקורו, שימוש בספק ענן ללא בקרה או מסירת תוצר בלי אימות זהות המקבל.
מבחינת הלקוח, איכות החקירה אינה נמדדת רק במה שנמצא. היא נמדדת גם בדרך שבה המידע נאסף, תועד, נשמר ונמסר. עבודה שאינה מתחשבת בפרטיות עלולה לפגוע באנשים, לחשוף את הלקוח לסיכון ולהחליש את השימוש המעשי בתוצר.
מתי עשויה לקום חובת מינוי?
החוק כולל מספר מצבים שבהם קיימת חובת מינוי. בהקשר של משרד חקירות, שני מבחנים דורשים תשומת לב מיוחדת:
- ניטור שוטף ושיטתי של בני אדם בהיקף ניכר: יש לבחון את מהות המעקב, התדירות, מספר האנשים, משך הפעילות, הטכנולוגיות והיקף המידע.
- עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר: למשל מידע רפואי, כלכלי, ביומטרי, מידע על צנעת החיים או מידע אחר שהחוק מייחס לו רגישות מיוחדת.
אין מספר קסם אחד שמכריע בכל תיק. גם משרד קטן יכול לנהל פעילות רגישה, ומשרד גדול אינו חייב רק מפני שהוא גדול. ההכרעה צריכה להתבסס על מיפוי עובדתי ומשפטי של פעילות המשרד. כאשר יש ספק, נכון לקבל ייעוץ משפטי המתמחה בפרטיות ולא להסתמך על כותרת כללית.
מבחן החלטה מעשי למשרד
| שאלה | מה צריך למפות | למה זה משנה |
|---|---|---|
| איזה מידע מתקבל? | צילומים, מיקום, מצב רפואי, מצב כלכלי, קשרים אישיים, נתוני עובדים ומסמכי זיהוי | רגישות המידע משפיעה על הסיכון ועל החובות |
| על כמה אנשים? | נחקרים, בני משפחה, עובדים, עדים וצדדים שלישיים | היקף אינו רק מספר הלקוחות |
| באיזו תדירות ולכמה זמן? | מעקב חד-פעמי לעומת ניטור מתמשך ותיקים הנשמרים שנים | שיטתיות ומשך הם חלק מהתמונה |
| מי ניגש לחומר? | חוקרים, קבלני משנה, עורכי דין, ספקי מחשוב וענן | כל נקודת גישה מגדילה את הצורך בבקרה |
| לאן המידע מועבר? | דוא"ל, מערכות ענן, טלפונים, כוננים, פורטלים ומדינות אחרות | מסירה והעברה הן חלק ממחזור חיי המידע |
| האם נעשה שימוש בטכנולוגיה לניטור? | מצלמות, מאגרי מידע, כלי OSINT, מערכות מיקום וניתוח אוטומטי | הטכנולוגיה עשויה לשנות את היקף הסיכון |
מה עושה ממונה הגנת פרטיות?
לפי גילוי הדעת של הרשות, תפקיד הממונה הוא לקדם תרבות של פרטיות ולסייע לארגון לעמוד בהוראות הדין. בין המשימות המרכזיות:
- ייעוץ להנהלה ולעובדים בנושאי פרטיות והטמעת דרישות הדין בתהליכי העבודה.
- בניית תוכנית עבודה, הדרכות ובקרות תקופתיות.
- מעורבות מוקדמת בפרויקטים, מערכות וספקים שמשפיעים על מידע אישי.
- טיפול בפניות של נושאי מידע וסיוע במימוש זכויותיהם.
- עבודה מול הרשות להגנת הפרטיות בעת הצורך.
- מעקב אחר ליקויים והצפת סיכונים להנהלה באופן עצמאי ומקצועי.
הממונה אינו תחליף לאחריות ההנהלה, לאבטחת מידע, לייעוץ משפטי או לעבודת החוקר. הוא מחבר בין התחומים ומוודא שהפרטיות אינה מטופלת רק לאחר תקלה.
עצמאות, משאבים וניגוד עניינים
מינוי על הנייר אינו מספיק. כדי שהתפקיד יהיה אפקטיבי, הממונה זקוק לגישה להנהלה, זמן, מידע ומשאבים. עליו להיות מסוגל להציף בעיה גם כשהפתרון אינו נוח מבחינה תפעולית.
יש לבדוק ניגוד עניינים. אדם שמחליט לבדו מדוע לאסוף מידע, כיצד להשתמש בו וכמה זמן לשמור אותו עלול להתקשות גם לבקר את אותן החלטות. ניתן למנות גורם פנימי או חיצוני, אך המבנה צריך לאפשר שיקול דעת מקצועי ועצמאי.
תוכנית עבודה בת 30 יום
- ממנים בעל אחריות: גם אם טרם הוכרע אם נדרש DPO, קובעים מי מרכז את בדיקת הפרטיות.
- ממפים מידע: אילו סוגי מידע נכנסים, מה מקורם, היכן הם נשמרים ולמי הם יוצאים.
- ממפים הרשאות וספקים: עובדים, חוקרים חיצוניים, מערכות ענן, גיבוי, דוא"ל ושירותי תמלול.
- בודקים בסיס ומטרה: מה מטרת כל איסוף, האם החומר נחוץ ומתי מפסיקים לשמור אותו.
- קובעים נוהל מסירה: אימות זהות, הצפנה לפי הצורך, תיעוד מסירה ומניעת שליחה אוטומטית לנמען שגוי.
- מגדירים תגובה לאירוע: מי מקבל דיווח, כיצד עוצרים חשיפה, מה מתעדים ומתי נבחנת חובת דיווח.
- מכריעים בחובת המינוי: מתעדים את העובדות, המבחנים והמסקנה ומעדכנים את הבדיקה כשהפעילות משתנה.
מה לקוח צריך לשאול לפני מסירת חומר?
- מי יקבל גישה לתיק ולכמה זמן?
- כיצד שולחים מסמכים, צילומים והקלטות בצורה מבוקרת?
- האם נעשה שימוש בקבלני משנה או בשירותי ענן?
- כיצד נשמר המקור וכיצד מתועדות פעולות על הקבצים?
- מה קורה לחומר כשהחקירה מסתיימת?
- למי פונים במקרה של טעות, חשיפה או בקשה הנוגעת למידע אישי?
לא כל משרד יוכל למסור פרטים מבצעיים או לחשוף את מערך האבטחה שלו, אך הוא אמור להציג תשובות ענייניות על עקרונות האחריות, ההרשאות, השמירה והמסירה.
טעויות נפוצות
- "אנחנו קטנים, לכן החוק לא רלוונטי": גודל העסק אינו מבטל את רגישות המידע.
- "הכול אצל ספק הענן": שימוש בספק אינו מעביר אליו את כל האחריות.
- "הלקוח שלח, לכן מותר להשתמש": עצם קבלת החומר אינה פותרת את שאלת החוקיות, הנחיצות והמידתיות.
- "נשמור הכול למקרה שצריך": שמירה ללא גבול מגדילה חשיפה ועלולה להיות מנוגדת לעקרון צמצום המידע.
- "ממונה הפרטיות אחראי לבדו": האחריות הארגונית נשארת אצל ההנהלה ובעלי התפקידים.
שאלות נפוצות
האם כל משרד חקירות חייב למנות DPO?
לא. יש לבדוק אם מתקיים אחד המצבים שבחוק לפי מאפייני הפעילות בפועל. משרד שאינו חייב רשאי למנות ממונה מרצון או להגדיר בעל תפקיד אחר שמרכז את הנושא.
האם הממונה חייב להיות עובד המשרד?
לא בהכרח. ניתן לבחון מינוי פנימי או חיצוני, ובלבד שלממונה יהיו כשירות, משאבים, עצמאות וגישה מתאימה לארגון.
האם חוקר פרטי יכול להיות גם ממונה הגנת פרטיות?
הדבר מחייב בדיקת כשירות וניגוד עניינים. מי שקובע בעצמו את מטרות ואמצעי העיבוד עלול להימצא במתח מול תפקיד הביקורת והייעוץ העצמאי.
האם מינוי DPO פותר את כל חובות הפרטיות?
לא. המינוי הוא רכיב בממשל פרטיות. הוא אינו מחליף נהלים, הרשאות, אבטחה, צמצום מידע, הדרכות, ניהול ספקים ותגובה לאירועים.
מקורות רשמיים והמשך קריאה
- הרשות להגנת הפרטיות: גילוי הדעת הסופי בנושא ממונה הגנת פרטיות, יולי 2026
- מדריך מקצועי לתיקון 13 לחוק הגנת הפרטיות
- מאגר החקיקה של הכנסת: תיקון 13
להבנת ההשלכות הרחבות על איסוף ושמירת חומר בחקירה, קראו גם את המדריך על תיקון 13 וחקירות פרטיות. לבדיקת ניהול קבצים ומקור ראייתי ראו שמירת ראיות דיגיטליות, ולתכנון התקשרות מקצועית ראו בחירת משרד חקירות ותהליך העבודה.
המידע במדריך הוא כללי ואינו ייעוץ משפטי. חובת המינוי והיישום המתאים דורשים בחינה של נסיבות הארגון והדין העדכני.
לצד תפקידי הגנת הפרטיות, חשוב לעקוב גם אחר הצעת חוק הגנת הסייבר הלאומית 2026 ולהפריד בין היערכות מומלצת לחובה שטרם נכנסה לתוקף.
מה חשוב לעשות לפני שמתחילים?
- מגדירים החלטה: איזה מידע חסר ואיזו החלטה הוא אמור לתמוך בה.
- בודקים חוקיות: חוקר מורשה מסביר מראש אילו פעולות מותרות ומה אינו יכול לבצע.
- מצמצמים מידע: אוספים רק את הדרוש, בלי פריצה, האזנת סתר, התחזות אסורה או חדירה לרשות היחיד.
- מתאמים תוצר ותקציב: מסכמים שעות, הוצאות, נקודות עצירה, עדכונים ודוח סופי.
איך נראה תוצר מקצועי?
דוח שימושי מפריד בין עובדה, מסמך, תצפית והערכה; מציין מקור ומועד; מסביר מגבלות זיהוי; ושומר על רצף תיעוד. אם המידע מיועד להליך משפטי, מתאמים מראש עם עורך הדין ולא מבטיחים קבילות או תוצאה.
שאלות נפוצות
האם אפשר להתחיל מיד? במצב דחוף מבצעים תחילה הערכת סיכון. כשיש סכנה, עבירה מתמשכת או חשש לפגיעה, פונים לרשויות המתאימות לפני פעילות פרטית.
מה אסור להעביר לחוקר? סיסמאות, גישה לחשבון או חומר שהושג בפריצה. מעבירים מסמכים ומידע שיש הרשאה חוקית למסור.
מקורות רשמיים: רישוי חוקרים פרטיים, משרד המשפטים; הרשות להגנת הפרטיות.
לתיאום שיחה דיסקרטית עם IBPI – נגדיר מטרה, גבולות, עלות ותוצר לפני תחילת עבודה.
עודכן ונבדק לשנת 2026. מידע כללי בלבד, שאינו ייעוץ משפטי.
