גיוס ומשאבי אנוש: קורות חיים הם מאגר מידע לכל דבר

פתחו רגע את תיבת המייל של מי שמגייס אצלכם וחפשו ״קורות חיים״. עכשיו פתחו את תיקיית ״מועמדים״ בדרייב המשותף — זו שמחולקת לפי שנים ומגיעה אחורה עד 2018. ועכשיו תחשבו על קובצי ה-PDF שהועברו בוואטסאפ ויושבים עד היום בטלפונים פרטיים של מנהלים. כל קובץ כזה הוא מידע אישי על אדם אמיתי: שם, טלפון, כתובת, היסטוריה תעסוקתית — ולעיתים קרובות גם ציפיות שכר. אף אחד לא החליט להקים את המאגר הזה; הוא פשוט הצטבר. ובגלל זה, בכמעט כל ארגון שאנחנו פוגשים, מערך הגיוס הוא מאגר המידע הכי פחות מנוהל בעסק: בלי בעלים, בלי תקופת שמירה, בלי בקרת גישה. מאז שנכנס לתוקף תיקון 13 לחוק הגנת הפרטיות ב-14 באוגוסט 2025, זה כבר לא רק אי-סדר — זו חשיפה רגולטורית של ממש.

מה באמת יש בערימת קורות החיים שלכם

כשעוברים בפועל על מאגר קורות חיים של ארגון ישראלי ממוצע, מגלים הרבה יותר ממה שמצפים. מעבר לפרטי הקשר וההיסטוריה התעסוקתית מופיעים שם באופן שגרתי: מספרי תעודת זהות (למרות שהרשות להגנת הפרטיות פרסמה במרץ 2025 הנחיה לעסקים על צמצום איסוף מספרי זהות), מצב משפחתי, פרטי שירות צבאי, כתובת מגורים מלאה, תאריך לידה ולעיתים גם צילום. ובסוף כמעט כל קובץ — ממליצים: שם, תפקיד וטלפון של אנשים שמעולם לא פנו אליכם. המועמד מסר לכם מידע אישי של צד שלישי, ומרגע שהוא אצלכם — אתם מעבדים גם אותו.

התמונה הזו קובעת את רמת הסיכון. דליפת מאגר קורות חיים חושפת שכר, כתובות ומצב משפחתי של אנשים שחלקם מועסקים כרגע במקום אחר — ולא סיפרו למעסיק שהם מחפשים. הנזק הוא תעסוקתי ישיר: פגיעה בפרנסה, בקידום ובמשא ומתן על שכר — בדיוק סוג הנזק שהופך מאגר גיוס לרגיש, לא רק משפטית.

חברות השמה: אתם לא ״גם מעבדים מידע״ — אתם עסק של מידע

אם אתם חברת השמה או מגייסים חיצוניים, המשוואה חדה עוד יותר: המוצר שלכם הוא מידע אישי — אתם אוספים קורות חיים, מעשירים אותם בהערות ראיון והערכות, ומעבירים אותם ללקוחות בתמורה. תיקון 13 ביטל את חובת רישום המאגרים לרוב המגזר הפרטי, אבל השאיר אותה בין השאר למאגר שמטרתו העיקרית איסוף מידע אישי לשם מסירתו לאחרים כדרך עיסוק או בתמורה, המכיל מידע על 10,000 נושאי מידע ומעלה. חברת השמה שחצתה את הרף עשויה להידרש לרישום המאגר וגם למינוי ממונה הגנת פרטיות (DPO) — חובה שחלה על סוחרי מידע בהיקף כזה. אי-רישום של מאגר החייב ברישום חשוף לעיצום של 150,000 ₪ לפי מדרג העיצומים שפרסמה הרשות.

וגם מתחת לרף, יחסי סוכנות-לקוח הם זרימת מידע שחייבת הסדרה: מי בעל השליטה במידע ומי מחזיק? מה הלקוח רשאי לעשות בקורות חיים שקיבל, ומה קורה להם אחרי שהמשרה אוישה? בלי הסכם שעונה על השאלות האלה, כל צד מניח שהאחריות אצל השני — ובביקורת שניהם חשופים.

מחזור חיי המועמד — איך עושים את זה נכון

קליטה: ערוץ ייעודי והודעת סעיף 11

הבעיה מתחילה בקליטה. קורות חיים שמגיעים לתיבה אישית, לוואטסאפ של מנהל או ב״חבר מביא חבר״ בלי תיעוד — נולדים מחוץ לכל שליטה. הפתרון: ערוץ קליטה אחד — טופס בעמוד הקריירה או מייל ייעודי (jobs@‎) — וכל מה שמגיע אחרת מנותב אליו ונמחק מהמקור. בנקודת האיסוף חייבת להופיע הודעת פרטיות לפי סעיף 11 לחוק: מי אוסף, לאיזו מטרה, האם יש חובה למסור ולמי המידע יועבר. זו לא פורמליות: באפריל 2025 קנסה הרשות את משרדי EY ו-PwC ישראל ב-15,000 ₪ כל אחד על סריקת תעודות זהות של מבקרים בלי ההודעה הנדרשת. ותחת תיקון 13, הפרת חובת היידוע מתומחרת לפי ראש — 50 ₪ לאדם, 100 ₪ במידע בעל רגישות מיוחדת — עם רצפה של 30,000 ₪ לעבירה.

מיון: מי בכלל רואה קורות חיים

עיקרון הצורך-לדעת (Need to Know) חל גם בתוך הארגון: קורות חיים נגישים למגייסת ולמנהל המגייס של אותה משרה — לא לכל מי שיש לו גישה לדרייב. הדפוס המוכר: ״שרשרת ההעברות״ — המגייסת שולחת למנהל, המנהל מעביר לראש צוות, וכעבור חודש יש חמישה עותקים בחמש תיבות מייל שאיש לא ימחק. הפתרון הפשוט: עובדים על קישור למערכת אחת (ATS או תיקייה מנוהלת עם הרשאות), לא על קבצים מצורפים — מי שצריך מקבל הרשאה, ומי שסיים ההרשאה נסגרת לו.

מיון בעזרת AI: כלי דירוג קורות חיים — בזהירות ובשקיפות

כלי AI שמדרגים ומסננים מועמדים הם בדיוק התרחיש שבו עוצרים ועושים הערכת סיכוני פרטיות מסודרת לפני ההפעלה: עיבוד אוטומטי של מידע רגיש, בהיקף גדול, עם השפעה ישירה על פרנסתם של אנשים. הרשות להגנת הפרטיות פרסמה באפריל 2025 טיוטת גילוי דעת על החלת דיני הפרטיות על מערכות AI — כיוון הרגולציה ברור. לפני שמפעילים: על אילו נתונים הכלי אומן, והאם הוא מזין את קורות החיים שלכם חזרה לאימון? האם הוא מסנן קבוצות באופן שיטתי (הטיה לפי גיל, מגדר או מוצא — שהיא גם עילה לפי חוק שוויון ההזדמנויות בעבודה)? והאם תדעו להסביר למועמד למה נדחה? ולמי שמזין קורות חיים ל-ChatGPT ״רק כדי לסכם״ — קראו קודם על שימוש בטוח בכלי AI בעסק.

דחייה היא לא רישיון שמירה

כאן נמצאת ההפרה הנפוצה ביותר בגיוס. המטרה שלשמה נאספו קורות החיים — איוש משרה מסוימת — מסתיימת כשהמשרה אוישה, ומרגע זה המשך ההחזקה דורש בסיס חדש: הסכמה מפורשת של המועמד לשמירה לצורך משרות עתידיות. בלעדיה, הכלל המעשי שאנחנו ממליצים עליו: מחיקה תוך 6–12 חודשים לכל היותר מסגירת המשרה — וקצר מזה עדיף. עם הסכמה — תקופה מוגדרת וסבירה (למשל שנה), ואז מחיקה או חידוש ההסכמה. תקנה 2 לתקנות אבטחת מידע מחייבת מנגנון אקטיבי שמוודא שלא מוחזק במאגר מידע שאינו נחוץ עוד — הרחבנו על כך, ועל תיקיית ״קורות חיים 2019״ שעדיין פתוחה, במדריך על שמירה ומחיקה של מידע אישי.

ממליצים ובדיקות רקע: גם זה עיבוד מידע

שיחה לממליץ היא עיבוד מידע כפול: אתם מעבדים את פרטי הממליץ — שמסר לכם צד שלישי — ואוספים ממנו מידע חדש על המועמד. עשו זאת רק בהסכמת המועמד ותעדו עניינית; סיכום השיחה הוא חלק מתיק המועמד וכפוף לאותן חובות. ובאשר לסריקת רשתות חברתיות: העובדה שמידע פומבי אינה הופכת כל שימוש בו למותר — עקרונות המידתיות והגבלת המטרה חלים גם כאן. בדקו רק מה שרלוונטי לתפקיד: פרופיל LinkedIn מקצועי — כן; חיטוט בתמונות משפחתיות או בדעות פוליטיות — לא (ודעות פוליטיות הן ממילא מידע בעל רגישות מיוחדת לפי החוק). כלל אצבע מהשטח: אם לא הייתם אומרים למועמד בפנים ״בדקנו את זה עליך״ — אל תבדקו.

המועמד לשעבר חוזר: זכות עיון ומחיקה

מועמד — גם כזה שנדחה לפני שנתיים — רשאי לבקש לעיין במידע שאתם מחזיקים עליו, לתקן אותו או לדרוש מחיקה. הפרת זכויות העיון, התיקון והמחיקה מתומחרת בתיקון 13 בעיצום של 15,000 ₪, ולצידה עילת תביעה אזרחית עם פיצוי ללא הוכחת נזק עד 10,000 ₪. המשמעות: צריך תהליך — מי מקבל את הפנייה, איך מאתרים את כל העותקים (וכאן נקמת שרשרת ההעברות), ותוך כמה זמן עונים. ארגון שכל קורות החיים שלו במערכת אחת עונה בעשר דקות; ארגון של תיקיות ומיילים — לא עונה בכלל.

הסכם סוכנות-לקוח ותיק ספקי ה-HR: מי אחראי על מה

מערך גיוס מודרני נשען על שרשרת ספקים: חברת השמה, מערכת ATS או HRIS בענן, כלי סינון, לוחות משרות — כל אחד מהם מחזיק או מעבד מידע מועמדים עבורכם. תקנה 15 לתקנות אבטחת מידע מחייבת להסדיר התקשרות כזו בהסכם שמגדיר את המידע, המטרה, ההחזרה או ההשמדה בסיום ואמצעי האבטחה. כך מתחלקת האחריות בפועל:

מהתקבל לעובד: התיק רק גדל

כשמועמד מתקבל, תיק המועמדות הופך לגרעין של תיק עובד — ומכאן המידע רק מצטבר: חוזה, נתוני שכר ובנק, הערכות, מסמכים רפואיים מהיעדרויות. חשוב להפריד: מה שנאסף לצורך הגיוס — סיכומי משרות אחרות שנשקלו, שיחות ממליצים, פלט כלי סינון — לא נודד אוטומטית לתיק העובד; עוברים רק המסמכים הרלוונטיים להעסקה. על החובות כלפי מי שכבר עובד אצלכם — ניטור, מצלמות ואיסוף מידע — כתבנו במדריך על פרטיות עובדים. ומיפוי המועמדים והעובדים כשני מאגרים נפרדים הוא צעד מתבקש — התחילו ממיפוי מאגרי מידע.

מבצע הניקיון: לסגור שנים של הצטברות

1. אתרו את כל העותקים. תיבות מייל של מגייסים ומנהלים, דרייב משותף, וואטסאפ, מחשבים אישיים, מערכות ישנות — אי אפשר לנהל את מה שלא מיפיתם.
2. רכזו למערכת אחת. ATS, או לפחות תיקייה מנוהלת עם הרשאות לפי משרה; כל השאר נמחק אחרי ההעברה.
3. מחקו את הישן. קורות חיים למשרות שאוישו ללא הסכמת שמירה, ותיקיות שעברו את תקופת השמירה. תעדו את הביצוע: תאריך, היקף, מבצע.
4. קבעו ערוץ קליטה אחד עם הודעת פרטיות לפי סעיף 11 בכל נקודת איסוף — טופס הקריירה, חתימת המייל של jobs@‎.
5. כתבו מדיניות שמירה קצרה. נדחה — מחיקה תוך X חודשים; נשמר בהסכמה — עד שנה ואז חידוש; התקבל — רק הרלוונטי עובר לתיק עובד.
6. סגרו את החוזים. הסכם עם כל חברת השמה וספק ATS/HRIS: מטרות, אבטחה, מחיקה בסיום ומנגנון לפניות מועמדים.
7. מנו אחראי ובדקו רף. מי הבעלים של מאגר המועמדים? חברת השמה שחצתה 10,000 מועמדים — בחינת חובת רישום ומינוי DPO.

השורה התחתונה

גיוס הוא עיבוד מידע אישי אינטנסיבי שמתחפש לתהליך אדמיניסטרטיבי: כל קורות חיים הם רשומה במאגר; ציפיות השכר שבהם — מידע בעל רגישות מיוחדת; הממליצים — צד שלישי שמעולם לא פנה אליכם; וחברת ההשמה היא עסק שכל המוצר שלו הוא מידע. הבשורה הטובה: זה תחום קל לתיקון. ערוץ קליטה אחד, מערכת אחת, הודעת פרטיות אחת, מדיניות מחיקה אחת — ומבצע ניקיון שסוגר שנים של הצטברות. חמשת אלה מורידים מהשולחן את אחת החשיפות השקטות והנפוצות ביותר תחת תיקון 13.

*האמור במאמר זה הוא מידע כללי בלבד ואינו מהווה ייעוץ משפטי או מקצועי מחייב. יישום החובות בפועל תלוי במאפייני הארגון, בהיקף המידע ובנסיבות פרטניות, ומחייב בחינה מול הדין העדכני.*