ממונה על הגנת הפרטיות - כל מה שארגונים ועסקים צריכים לדעת

אמ;לק: ממונה על הגנת הפרטיות (DPO) הוא גורם מקצועי שתפקידו לסייע לארגונים לעמוד בדרישות חוק הגנת הפרטיות, לפקח על תהליכי עיבוד מידע אישי ולצמצם סיכונים משפטיים ורגולטוריים. בעקבות תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025, גופים ציבוריים וארגונים מסוימים במגזר הפרטי מחויבים במינוי ממונה על הגנת הפרטיות, בהתאם לסוג המידע שהם מעבדים, היקפו ואופי פעילותם.

הממונה יכול להיות עובד פנימי או גורם חיצוני בעל ידע מקצועי מתאים, תוך שמירה על עצמאות והימנעות מניגודי עניינים. אי עמידה בחובת המינוי עלולה להוביל לעיצומים כספיים ולחשיפה רגולטורית. לכן חשוב לבדוק האם הארגון מחויב במינוי ממונה על הגנת הפרטיות, להכיר את דרישות החוק ולבצע את המינוי בצורה מסודרת שתבטיח פיקוח מקצועי והגנה על מידע אישי.

מהו ממונה על הגנת הפרטיות?

ממונה על הגנת הפרטיות, המכונה גם DPO – Data Protection Officer, הוא הגורם בארגון שתפקידו לסייע בהבטחת קיום הוראות חוק הגנת הפרטיות והתקנות מכוחו ולקדם התנהלות נכונה בכל הנוגע לשימוש במידע אישי או מידע בעל רגישות מיוחדת. 

מאז כניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות באוגוסט 2025, התפקיד הפך מרכיב משמעותי עוד יותר בניהול סיכוני פרטיות בישראל, ובגופים מסוימים הוא אף מינוי שהחוק מחייב. ממונה על הגנת הפרטיות אינו אמור להיות רק האדם שפונים אליו לאחר שהתרחשה תקלה. הוא נדרש להשתלב בתהליכים שבהם הארגון אוסף, מאחסן, מנתח, משתף או עושה שימוש במידע אישי או רגיש, ולסייע לזהות מראש סיכונים ודרכים להתמודד איתם. 

בפועל, הגנת הפרטיות נוגעת כיום כמעט לכל פעילות דיגיטלית של עסק – ממאגרי לקוחות ועובדים ועד מערכות CRM, דיוור, ספקי ענן וכלי ניתוח מידע. לכן, ארגון שבוחן האם חלה עליו חובת מינוי ממונה על הגנת הפרטיות צריך להסתכל על פעילות עיבוד המידע שלו בפועל.

למה התפקיד הפך משמעותי?

פעם היה קל יותר לא להתייחס לדרישות חוק הגנת הפרטיות, או להתייחס לכך כאל נושא משפטי שמטפלים בו באמצעות מדיניות גנרית באתר וכמה סעיפים בהסכם. המציאות העסקית של היום שונה לחלוטין. גם עסק שאינו חברת טכנולוגיה עשוי להחזיק מידע על אלפי לקוחות, עובדים, מועמדים, ספקים ומשתמשים, להעביר אותו למערכות חיצוניות, ובמקרים מסוימים גם לנתח אותו באמצעות כלים דיגיטליים שונים.

במקביל, תיקון 13 הרחיב וחיזק באופן משמעותי את מסגרת האכיפה של דיני הגנת הפרטיות בישראל והוסיף, בין היתר, את החובה למנות ממונה בגופים העונים לתנאים שנקבעו בחוק. מכאן החשיבות של ממונה על הגנת הפרטיות: הוא מאפשר להפוך את הטיפול בפרטיות מתגובה נקודתית לבעיה למנגנון עבודה שוטף. ממונה על הגנת הפרטיות יכול לזהות תהליך חדש שמערב מידע אישי, להעלות שאלות לפני הטמעת מערכת או שירות ולהכווין את הארגון לבדיקות הנדרשות. 

התפקיד מתחבר בכך לעיקרון האחריותיות – הרעיון שלפיו הארגון נדרש לא רק לקיים את הדין, אלא גם לבנות מנגנונים המאפשרים לו להראות כיצד הוא עושה זאת.

מה מטרת הממונה בארגון?

המטרה המרכזית אינה "להפריע" למחלקות העסקיות או למנוע מהארגון להשתמש במידע, אלא לסייע לו לעשות זאת במסגרת הדין ותוך ניהול סיכוני פרטיות בצורה מסודרת. במקרים שבהם חברה מפתחת מוצר או שירות, יש לממונה תפקיד מפתח בשיקוף היבטים מהותיים בנושאי פרטיות שכדאי להתחשב ולהטמיע בארכיטקטורה (privacy by design) של מוצר או שירות כאמור כבר בשלבים מוקדמים של הפיתוח.

החוק מגדיר לממונה תפקידים הנוגעים, בין היתר, לקדם ולהנחות את הארגון כיצד יש לקיים את הוראות הדין. הרשות להגנת הפרטיות מציגה את הממונה כרכיב מרכזי בתפיסת האחריותיות הארגונית. בפועל, ממונה על הגנת הפרטיות צריך להכיר את האופן שבו מידע זורם בארגון: מאיפה הוא נאסף, למה משתמשים בו, מי מקבל אליו גישה, עם אילו ספקים משתפים אותו וכמה זמן שומרים אותו. מכאן ניתן לזהות פערים ולבנות סדרי עבודה שמצמצמים אותם.

ממונה הגנת הפרטיות גם מספק לארגון כתובת מקצועית בנושא, במקום שכל מחלקה תקבל החלטות באופן עצמאי. עבור הנהלה, המשמעות היא יכולת טובה יותר להבין את החשיפה הקיימת ולקבל החלטות מושכלות. לכן גם ארגון שאינו בטוח אם חלה עליו חובת מינוי ממונה הגנת הפרטיות צריך קודם למפות את פעילות עיבוד המידע שלו ורק לאחר מכן לקבוע אילו דרישות משפטיות חלות עליו.

מי חייב לבצע מינוי?

לא כל עסק בישראל חייב באופן אוטומטי לבצע מינוי ממונה הגנת הפרטיות, ולכן הבדיקה מתחילה באופי הארגון ובדרך שבה הוא מעבד מידע אישי. סעיף 17ב1 לחוק הגנת הפרטיות, שנוסף במסגרת תיקון 13, קובע מספר קטגוריות שבהן קיימת חובת מינוי ממונה הגנת הפרטיות. 

בין היתר, החובה חלה על גוף ציבורי כהגדרתו בחוק (למעט חריגים מסוימים), על מי שעיסוקו העיקרי כולל סחר במידע או איסוף מידע אישי מאחרים לשם מסירתו לאחר כדרך עיסוק ושבמאגריו מידע על יותר מ-10,000 בני אדם, וכן על גופים שפעילותם העיקרית כוללת פעולות עיבוד מידע שמחייבות ניטור שוטף ושיטתי של בני אדם בהיקף ניכר. קטגוריה נוספת נוגעת לעיבוד בהיקף ניכר של מידע בעל רגישות מיוחדת במסגרת הפעילות העיקרית, ובהם גם תאגידים בנקאיים. 

לכן השאלה אינה רק "כמה לקוחות יש לנו?". כדי לדעת אם נדרש ממונה על הגנת הפרטיות צריך לבחון מה הארגון עושה עם המידע, איזה מידע מוחזק, באיזה היקף ובאיזו תדירות מתבצע העיבוד.

אילו ארגונים נכללים בחובה?

החוק מגדיר את החובה לפי מאפייני הפעילות ולא באמצעות רשימה סגורה של ענפים עסקיים. גוף ציבורי נכלל בחובת המינוי, למעט החרגות שנקבעו בחוק, ובמגזר הפרטי עשויים להיכלל ארגונים שפעילותם המרכזית נשענת על ניטור שיטתי ונרחב של אנשים או על עיבוד בהיקף ניכר של מידע בעל רגישות מיוחדת.

החוק עצמו נותן דוגמאות לפעילות של ניטור, ובהן מעקב או התחקות שיטתית אחר התנהגות, מיקום או פעולות של אדם בהיקף ניכר, ומזכיר בין היתר ספקי שירותי תקשורת מקוונים ומנועי חיפוש. לגבי מידע בעל רגישות מיוחדת, הבחינה עשויה להיות רלוונטית למשל לגופים שעיקר פעילותם כולל עיבוד נרחב של מידע רפואי או מידע מסוגים רגישים אחרים שהחוק מגדיר. 

לכן ממונה על הגנת הפרטיות אינו תפקיד שמיועד רק לחברות ענק או לחברות טכנולוגיה. כל ארגון צריך לבחון את מאפייני הפעילות שלו לגופם לפני שהוא קובע אם חלה עליו חובה.

מה נחשב היקף ניכר?

זה אחד החלקים שבהם לא כדאי לחפש מספר קסם. החוק אינו קובע רף יחיד של לקוחות או רשומות שמעליו כל פעילות הופכת אוטומטית ל"היקף ניכר". 

במקום זאת, סעיף 17ב1 קובע כי לצורך הבחינה יש להתחשב, בין היתר, במספר בני האדם שהמידע מתייחס אליהם, בשיעורם באוכלוסייה מסוימת, בהיקף המידע ובכמותו, במגוון סוגי המידע, במשך ובתדירות של פעולות העיבוד ולתחום הגיאוגרפי של פעולות כאמור. המשמעות המעשית היא ששני ארגונים המחזיקים מספר דומה של רשומות לא בהכרח יקבלו אותה תשובה. 

ארגון שמעבד באופן קבוע מידע רגיש ומגוון על אנשים עשוי להציג פרופיל שונה לחלוטין מעסק שמחזיק פרטי קשר בסיסיים לצורך אספקת שירות נקודתית. לכן, כאשר בוחנים חובת מינוי ממונה על הגנת הפרטיות, נכון לתעד כיצד התקבלה המסקנה ולא להסתפק בתחושת בטן. בדיקה מסודרת של סוגי המידע, מטרות השימוש, מספר האנשים, תדירות העיבוד והיקפו מאפשרת להגיע להחלטה מבוססת יותר.

מה עושה הממונה בפועל?

ממונה על הגנת הפרטיות היא פונקציה מקצועית שאמורה להשתלב באופן שוטף בהתנהלות הארגון ולסייע לו לקיים את הוראות הדין ולשפר את ההגנה על המידע האישי שהוא מעבד, תוך קיום של שיח שוטף עם ממונה אבטחת המידע (CISO) בארגון. 

בין היתר, ממונה הגנת הפרטיות משמש מוקד ידע מקצועי, מייעץ להנהלה ולעובדים, מסייע בהטמעת מדיניות ונהלים, מקדם הדרכות ומתכנן מנגנוני בקרה על העמידה בדרישות החוק והתקנות. חלק חשוב מהעבודה הוא לזהות סיכוני הגנת הפרטיות לפני שהם הופכים לבעיה. לדוגמה, כאשר הארגון מטמיע מערכת CRM חדשה, מתחיל לאסוף סוג חדש של מידע או מתקשר עם ספק שמעבד עבורו מידע אישי, נכון לבחון מראש כיצד המהלך משפיע על הפרטיות.

 הממונה אינו אמור לקבל במקום ההנהלה ההחלטות העסקיות, אלא להציף סיכונים, להמליץ על דרכי פעולה ולסייע לארגון לבנות תהליכים שבהם שיקולי פרטיות מקבלים מקום כבר משלב התכנון.

על מה הוא מפקח?

הפיקוח של הממונה צריך להסתכל על מחזור החיים המלא של המידע ולא רק על המקום שבו הוא נשמר. המשמעות היא לבחון כיצד הארגון אוסף מידע אישי, לאילו מטרות הוא משתמש בו, מי רשאי לגשת אליו, למי הוא מועבר, כיצד הוא מאובטח ומה קורה כאשר כבר אין צורך להחזיק בו. ממונה על הגנת הפרטיות נדרש, בין היתר, להכין תוכנית לבקרה שוטפת על העמידה בהוראות החוק והתקנות, לפקח על ביצועה, לדווח להנהלה על ממצאים ולהציע דרכים לתיקון ליקויים. 

הוא עשוי להיות מעורב גם בבחינת נהלים, הדרכות עובדים, טיפול בזכויות של נושאי מידע ובתהליכים חדשים שבהם נעשה שימוש במידע אישי. לכן ממונה הגנת הפרטיות צריך להכיר את הפעילות האמיתית של הארגון ולא להסתפק במה שכתוב במסמכים. אם הנוהל אומר דבר אחד אבל מחלקת השיווק, משאבי האנוש או המכירות פועלת אחרת בפועל, הפער הזה הוא בדיוק מסוג הדברים שצריך לזהות ולטפל בהם.

מול מי הוא פועל?

ממונה הגנת הפרטיות נמצא בנקודת מפגש בין מספר גורמים, ולכן התפקיד דורש הרבה יותר מהיכרות עם החוק. בתוך הארגון הוא עשוי לעבוד עם ההנהלה, מערכות מידע, אבטחת מידע, משאבי אנוש, שיווק, מכירות, שירות לקוחות, רכש וגורמים משפטיים, בהתאם למבנה ופעילות של הארגון. 

המשמעות היא שלקוח, עובד או אדם אחר שהארגון מחזיק מידע לגביו צריך להיות מסוגל להבין למי ניתן לפנות בנושאים הרלוונטיים, והממונה משמש כתובת מקצועית גם במישור הזה. כדי שהמודל יעבוד, הארגון צריך לאפשר לממונה גישה למידע ולגורמים הדרושים לו ולא להתייחס אליו כאל מי שמגיע רק לאחר שכבר התרחשה תקלה.

מי מתאים לתפקיד?

לא מספיק לבחור עובד שמכיר את הארגון ולהוסיף לו לתיאור המשרה את התואר ממונה על הגנת הפרטיות. החוק דורש שהממונה יהיה בעל ידע וכישורים המתאימים לביצוע התפקיד, בהתחשב בין היתר במאפייני עיבוד המידע ובפעילות הגוף. 

בפועל מדובר בתפקיד שמחבר בין כמה עולמות: משפט ורגולציה, תהליכים ארגוניים, והיכרות עם עולם הטכנולוגיה ואבטחת מידע. ממונה הגנת הפרטיות צריך להיות מסוגל להבין כיצד נאסף מידע, אילו מערכות מעבדות אותו, מי מקבל אליו גישה ואילו סיכונים נוצרים לאורך הדרך. 

במקביל, הוא צריך להכיר היטב את דיני הגנת הפרטיות כדי לזהות מתי תהליך עסקי עלול ליצור בעיה משפטית. הרשות להגנת הפרטיות מדגישה במיוחד את הצורך בידע מעמיק בדיני הפרטיות ובהיכרות עם פעילות הארגון. לכן בחירת האדם המתאים צריכה להתבסס על יכולתו לבצע את התפקיד בפועל, ולא רק על תפקידו הקיים או הוותק שלו בארגון.

איזה ידע נדרש?

ממונה על הגנת הפרטיות צריך לדעת לתרגם דרישות משפטיות להחלטות שאנשים בארגון מסוגלים ליישם.

ידע מעמיק בדיני הגנת הפרטיות הוא מרכיב מרכזי, אך לצדו נדרשת הבנה מתאימה בטכנולוגיה ובאבטחת מידע והיכרות עם תחומי הפעילות, מטרות הארגון והסיכונים הנוצרים מעיבוד המידע שלו. למשל, כאשר מחלקת השיווק רוצה להטמיע כלי חדש שמנתח התנהגות לקוחות, ממונה הגנת הפרטיות צריך להבין מספיק את הטכנולוגיה כדי לשאול איזה מידע מועבר, לאן הוא מגיע ולמה הוא משמש, ובמקביל לבחון את המשמעות המשפטית.

הוא אינו חייב לבצע בעצמו את עבודת אנשי הסייבר, מערכות המידע או המשפטנים האחרים, אבל הוא כן צריך לדעת לעבוד איתם ולזהות מתי נדרש ידע מקצועי נוסף. ככל שפעילות הארגון מורכבת ורגישה יותר, כך גם רמת הידע והניסיון הדרושה לתפקיד צפויה להיות משמעותית יותר.

אילו ניגודי עניינים קיימים?

עצמאות מקצועית היא תנאי משמעותי לתפקוד של ממונה על הגנת הפרטיות. החוק קובע שהממונה לא ימלא תפקיד נוסף ולא יהיה כפוף לבעל תפקיד אם הדבר עלול להעמיד אותו בחשש לניגוד עניינים. קל להבין מדוע: אדם שמחליט בעצמו אילו נתונים לאסוף וכיצד להשתמש בהם עלול להתקשות לפקח באופן בלתי תלוי על אותן החלטות. 

הרשות מציינת ככלל אצבע תפקידים בכירים כמו מנהל שיווק, מנהל לקוחות, מנהל כספים, מנהל מערכות מידע או CTO כדוגמאות שבהן עשוי להתעורר פוטנציאל לניגוד עניינים. גם שילוב התפקיד עם ממונה אבטחת מידע או CISO אינו אסור באופן גורף, אך הרשות מדגישה שמדובר בתפקידים שונים וששילוב ביניהם עלול ליצור קשיים מקצועיים או ניגוד עניינים.

לכן לפני מינוי ממונה הגנת הפרטיות חשוב לבדוק לא רק אם המועמד מבין בתחום, אלא גם על אילו החלטות הוא אחראי במסגרת תפקידיו האחרים ולמי הוא מדווח.

פנימי או חיצוני?

אחת ההחלטות המעשיות אחרי שמתברר שצריך ממונה על הגנת הפרטיות היא האם למנות עובד מתוך הארגון או להיעזר בגורם חיצוני. שתי האפשרויות מוכרות, והבחירה צריכה להתאים לאופי הארגון, להיקף עיבוד המידע, לרמת המורכבות ולמשאבים הקיימים. 

הרשות להגנת הפרטיות מציינת שממונה הגנת הפרטיות יכול להיות עובד פנימי או גורם חיצוני, ולכן אין מודל אחד שמתאים לכל עסק. בחברה גדולה שמעבדת מידע אישי בהיקפים משמעותיים עשוי להיות יתרון לאדם שנמצא בתוך הארגון, מכיר מקרוב את המערכות ומשתתף בתהליכים באופן שוטף.

לעומת זאת, ארגון שאין בו הצדקה למשרה ייעודית מלאה יכול לבחון שירות חיצוני שמעניק את הידע המקצועי הנדרש בהתאם להיקף הפעילות. בכל מודל חשוב שהממונה יקבל גישה למידע, לאנשים ולתהליכים הדרושים לביצוע עבודתו. מינוי ממונה על הגנת הפרטיות לא אמור להיות סימון וי ברשימת משימות רגולטוריות, אלא יצירת פונקציה שבאמת מסוגלת להשפיע על האופן שבו הארגון מנהל הגנת הפרטיות.

איך בוחרים נכון?

כדי לבחור בין ממונה פנימי לחיצוני כדאי להתחיל מהפעילות. כמה מאגרי מידע ותהליכי עיבוד קיימים? האם הארגון עובד עם מידע בעל רגישות מיוחדת? כמה מחלקות וספקים מעורבים בעיבוד? באיזו תדירות משיקים מערכות או מוצרים חדשים הכוללים מידע אישי? וכמה עבודה שוטפת צפויה להידרש מהממונה? ככל שהארגון גדול יותר והמידע נמצא עמוק יותר בליבת הפעילות, כך עשויה לגדול החשיבות של זמינות והיכרות ארגונית רציפה. 

בארגון קטן או בינוני, לעומת זאת, ייתכן שמודל חיצוני יספק מענה מתאים ויעיל יותר. הרשות עצמה מדגישה שההחלטה צריכה להיעשות בכל מקרה לגופו בהתאם למאפייני הארגון, פעולות עיבוד המידע, המשאבים וזמינותו של אדם בעל ידע והכשרה מתאימים. לפני מינוי ממונה הגנת הפרטיות חשוב גם לבדוק עצמאות מקצועית וניגודי עניינים. בסופו של דבר, הבחירה הנכונה היא זו שמאפשרת לממונה הגנת הפרטיות להיות מעורב בזמן, לקבל את המידע הדרוש ולבצע בקרה אמיתית ולא להישאר רק שם שמופיע במסמכי הארגון.

מינוי ממונה הגנת הפרטיות

מינוי ממונה הגנת הפרטיות אינו מסתיים בהחלטה מי יקבל את התפקיד. כדי שהמינוי יהיה אפקטיבי, צריך להגדיר לממונה מעמד שמאפשר לו לבצע את עבודתו בפועל. החוק קובע, בין היתר, שעל הארגון לספק לממונה את התנאים והמשאבים הדרושים למילוי תפקידו, לוודא שהוא מעורב כראוי ובזמן בנושאים הקשורים לדיני הגנת הפרטיות ולאפשר לו לדווח ישירות למנכ"ל או לבעל תפקיד שכפוף ישירות למנכ"ל. 

בנוסף, יש לפרסם לציבור את פרטי הקשר עם הממונה בדרך נגישה ופשוטה ולהעביר אותם גם לרשות להגנת הפרטיות. המשמעות היא שמינוי על הנייר, בלי זמן, גישה למידע או יכולת להגיע למקבלי ההחלטות, אינו מגשים את מטרת התפקיד. לפני שמבצעים מינוי ממונה הגנת הפרטיות כדאי לכן לקבוע מראש מה יהיו סמכויותיו, למי ידווח, באילו תהליכים ישתתף וכיצד עובדים ומנהלים יידעו מתי לערב אותו.

איך מתחילים את התהליך?

השלב הראשון אינו בהכרח חיפוש מועמד, אלא הבנת מצב הפרטיות הקיים בארגון. כדאי למפות את זרימת המידע פנימה והחוצה מהארגון, ובכלל זה להבין אילו סוגי מידע אישי נאספים, באילו מערכות הם נשמרים, מי משתמש בהם, לאילו ספקים הם מועברים ואילו תהליכים עסקיים נשענים עליהם. המיפוי מאפשר להבין מה תהיה סביבת העבודה של ממונה על הגנת הפרטיות ואיזה ניסיון נדרש ממנו. לאחר מכן ניתן להגדיר את תחומי האחריות, לבחון האם נכון לבחור ממונה פנימי או חיצוני ולוודא שאין חשש לניגוד עניינים.

לאחר הבחירה כדאי להסדיר בצורה ברורה את ערוצי הדיווח והעבודה מול ההנהלה, מערכות המידע, אבטחת המידע, משאבי האנוש ושאר הגורמים הרלוונטיים. חשוב גם שהמינוי יהיה מוכר בתוך הארגון ולא יישאר עניין של ההנהלה בלבד. עובדים צריכים לדעת מי ממונה הגנת הפרטיות ובאילו מצבים נכון לפנות אליו. כך הממונה יכול להשתלב כבר בתחילת תהליכים חדשים ולא לגלות עליהם רק לאחר שהמידע נאסף או שהמערכת כבר הוטמעה.

ומה אם לא ממנים?

כאשר חלה חובת מינוי ממונה הגנת הפרטיות והארגון אינו מבצע אותה, הבעיה אינה מסתכמת בכך שחסר שם במסמך ארגוני. תיקון 13 הרחיב משמעותית את כלי האכיפה של הרשות להגנת הפרטיות, והפרה של החובה למנות ממונה נכללת במנגנון העיצומים הכספיים שבחוק. 

מעבר להיבט האכיפתי, היעדר ממונה על הגנת הפרטיות עלול ליצור פער מעשי בהתנהלות השוטפת: מערכת חדשה יכולה לעלות לאוויר בלי בחינה מתאימה, ספק יכול לקבל גישה למידע בלי שהשלכות הפרטיות נבדקו, או שפנייה של אדם בנוגע למידע עליו תעבור בין מחלקות בלי מענה או גורם שמרכז את הטיפול. ממונה על הגנת הפרטיות אמור להיות חלק ממנגנון האחריותיות של הארגון ולא רק פתרון לאחר שכבר נוצרה תקלה. 

לכן, כאשר קיים חשש שהארגון נכלל בחובה אך טרם בוצע מינוי ממונה הגנת הפרטיות, נכון קודם לברר את המצב המשפטי והעובדתי, ולא לדחות את הטיפול רק משום שעד היום לא התקבלה פנייה מהרשות או תלונה מצד לקוח.

אילו סיכונים עלולים להיווצר?

הסיכון הראשון הוא רגולטורי, אך הוא בהחלט אינו היחיד. ארגון שאין בו גורם שמרכז את תחום הגנת הפרטיות עלול לגלות שכל מחלקה פועלת לפי תפיסה אחרת: השיווק אוסף נתונים בדרך אחת, משאבי האנוש שומרים מסמכים במקום אחר, מערכות המידע מעניקות הרשאות וספק חיצוני מקבל מידע בלי שנבנתה תמונה מלאה של התהליך. 

במצב כזה קשה יותר לזהות פערים לפני שהם הופכים לאירוע משמעותי. כאשר קיימת חובת מינוי ממונה על הגנת הפרטיות, אי עמידה בה יכולה לחשוף את הארגון גם לכלי האכיפה שנקבעו בחוק. לצד זאת, הפרות אחרות של הוראות הגנת הפרטיות עשויות ליצור חשיפות נפרדות בהתאם לנסיבות. 

הסיכון העסקי יכול לכלול גם טיפול יקר ומורכב בתקלה שכבר התרחשה, עיכוב בפרויקטים ופגיעה באמון של לקוחות. ממונה על הגנת הפרטיות אינו מבטל את הסיכונים האלה, אך הוא יוצר פונקציה שמטרתה לזהות אותם מוקדם ולסייע לארגון לנהל אותם בצורה עקבית.

איך מתקנים את המצב?

אם הארגון מגלה באיחור שחלה עליו חובת מינוי ממונה על הגנת הפרטיות, הצעד המעשי הוא לא להסתפק במינוי מהיר רק כדי לסמן שהנושא טופל. כדאי להתחיל בבדיקה של פעילות עיבוד המידע, להבין ממתי מתקיימים התנאים הרלוונטיים ולזהות פערים נוספים שדורשים טיפול. 

לאחר מכן ניתן לבחור ממונה על הגנת הפרטיות בעל ידע וכישורים מתאימים, לבדוק שאין ניגוד עניינים ולהעמיד לרשותו את המשאבים והגישה הדרושים לביצוע התפקיד. במקביל, יש לטפל בדרישות הנלוות למינוי, ובהן פרסום פרטי ההתקשרות עם הממונה ומסירתם לרשות להגנת הפרטיות בהתאם להוראות החוק.

 משם כדאי לבנות סדר עדיפויות: אילו תהליכים דורשים בדיקה ראשונה, אילו נהלים חסרים, אילו ספקים ומערכות צריך לבחון ואילו עובדים זקוקים להדרכה. המטרה אינה לנסות לתקן הכול ביום אחד, אלא ליצור תהליך מתועד ומסודר שמטפל בפערים ומכניס את הגנת הפרטיות לתוך שגרת העבודה של הארגון.

השאלות שחשוב לשאול

האם כל עסק חייב למנות ממונה?

לא. תיקון 13 לחוק הגנת הפרטיות אינו מטיל חובת מינוי ממונה על הגנת הפרטיות באופן גורף על כל עסק שמחזיק מידע אישי. החובה נקבעת לפי סוג הגוף ומאפייני פעילות עיבוד המידע שלו. 

לכן עצם העובדה שלעסק יש CRM, רשימת לקוחות או מאגר עובדים אינה מספיקה לבדה כדי לקבוע שחלה עליו החובה. הדרך הנכונה היא לבחון מהו המידע שהעסק מעבד, כמה אנשים הוא כולל, מה מטרת השימוש בו וכיצד פעילות העיבוד משתלבת בעיסוקו המרכזי. 

האם עסק קטן יכול להיות חייב במינוי?

כן. גודל העסק כשלעצמו אינו המבחן היחיד שקובע האם קיימת חובת מינוי ממונה על הגנת הפרטיות. גם ארגון שאינו מעסיק מאות עובדים עשוי לבצע פעילות שעונה על אחת הקטגוריות הקבועות בחוק. לדוגמה, אם פעילותו העיקרית נשענת על עיבוד בהיקף ניכר של מידע בעל רגישות מיוחדת או על ניטור שוטף ושיטתי של אנשים בהיקף ניכר, צריך לבחון את החובה לפי מאפייני העיבוד ולא רק לפי מספר העובדים או נושאי המידע. באותה מידה, חברה גדולה אינה בהכרח חייבת במינוי רק משום שהיא גדולה. 

החוק בוחן את סוג הגוף ואת אופי פעילות עיבוד המידע. לכן ממונה על הגנת הפרטיות הוא נושא שרלוונטי גם לעסקים קטנים ובינוניים כאשר מודל הפעילות שלהם מבוסס במידה משמעותית על מידע אישי. לפני שמחליטים שהחובה אינה רלוונטית בגלל גודל החברה, כדאי לבצע בדיקה עניינית של הפעילות בפועל ושל סוגי המידע המעובדים. 

האם הממונה חייב להיות עורך דין?

החוק אינו קובע שממונה על הגנת הפרטיות חייב להיות עורך דין. הדרישה המרכזית היא שהממונה יהיה בעל ידע וכישורים המתאימים לביצוע תפקידיו, ובפרט ידע מעמיק בדיני הגנת הפרטיות, הבנה מתאימה בטכנולוגיה ובאבטחת מידע והיכרות עם תחומי הפעילות ומטרות הארגון. המשמעות היא שמדובר בתפקיד רב-תחומי, ולכן השאלה החשובה היא האם האדם מסוגל להבין גם את הדרישות המשפטיות וגם את הדרך שבה מידע מעובד בפועל בתוך הארגון.

 בארגון מורכב, ממונה על הגנת הפרטיות עשוי לעבוד באופן שוטף עם יועצים משפטיים, אנשי אבטחת מידע, מערכות מידע ומנהלים מקצועיים, מבלי שהוא עצמו ימלא את כל התפקידים האלה. כאשר בוחרים מועמד, כדאי לבחון ניסיון מעשי, היכרות עם פעילות הארגון ויכולת לתרגם הוראות משפטיות לתהליכי עבודה. תואר מקצועי מסוים לבדו אינו מחליף את מכלול הידע והכישורים שהתפקיד דורש. 

האם הממונה אחראי אישית לכל הפרה?

מינוי ממונה על הגנת הפרטיות אינו מעביר אליו את האחריות של הארגון לקיום הוראות הדין. התפקיד נועד לייעץ, להדריך, לפקח ולסייע בהטמעת דרישות הפרטיות, אך בעל השליטה במאגר או המחזיק בו, לפי העניין, עדיין נדרש לעמוד בחובות המוטלות עליו. 

לכן הנהלה אינה יכולה למנות ממונה ולהניח שמאותו רגע כל נושא הפרטיות "שייך אליו". כדי שהתפקיד יעבוד, מחלקות שונות צריכות לשתף פעולה, להעביר מידע בזמן וליישם את התהליכים והבקרות הנדרשים. גם הממונה עצמו זקוק למשאבים, עצמאות מקצועית וגישה לגורמים הרלוונטיים כדי לבצע את תפקידו. בפועל, הגנת הפרטיות היא אחריות ארגונית רחבה, והממונה הוא גורם מרכזי שמסייע לנהל אותה בצורה מקצועית ועקבית. ארגון שממנה בעל תפקיד אך אינו משתף אותו בהחלטות או אינו מקצה לו משאבים עלול להישאר עם פערים מהותיים למרות שהמינוי הפורמלי בוצע. 

למי הממונה צריך לדווח בארגון?

המחוקק ביקש למנוע מצב שבו ממונה על הגנת הפרטיות נמצא רחוק ממוקדי קבלת ההחלטות ואינו מסוגל להציף בעיות בזמן. בהתאם לכך, החוק קובע שהממונה ידווח ישירות למנכ"ל הארגון או לבעל תפקיד הכפוף ישירות למנכ"ל. המבנה הזה נועד לתת לתפקיד מעמד שמאפשר להעלות סיכוני פרטיות בפני דרג בעל יכולת להשפיע על ההתנהלות. 

בפועל, הממונה יכול לעבוד ביום-יום מול מגוון רחב של גורמים, ובהם מנהלי מערכות מידע, אבטחת מידע, שיווק, משאבי אנוש, רכש, שירות וייעוץ משפטי. עם זאת, כאשר הוא מזהה פער משמעותי או נדרש לקבל החלטה ארגונית, צריך להיות לו ערוץ דיווח מתאים. גם כאשר ממונה על הגנת הפרטיות הוא גורם חיצוני, חשוב להגדיר מי בארגון מקבל ממנו דיווחים ומי אחראי לקדם את ההמלצות. ללא חיבור אמיתי להנהלה, התפקיד עלול להפוך לייעוץ תיאורטי במקום למנגנון שמשפיע על תהליכי העבודה. 

האם צריך לפרסם את פרטי הממונה?

כן. כאשר מונה ממונה על הגנת הפרטיות בהתאם להוראות הרלוונטיות, החוק דורש לפרסם לציבור את דרכי ההתקשרות עמו באופן נגיש ופשוט. 

לכן כדאי לחשוב מראש על ערוץ פנייה שניתן לנהל באופן מסודר, למשל כתובת דואר אלקטרוני ייעודית, ולוודא שמי שמטפל בערוצים האחרים של העסק יודע להעביר פניות רלוונטיות לגורם הנכון. עצם פרסום הפרטים אינו מספיק אם הודעות נשארות ללא מענה או מגיעות לתיבה שאינה מנוטרת. ממונה על הגנת הפרטיות צריך להיות מסוגל לקבל פניות, לבדוק אותן מול הגורמים המתאימים ולהוביל את הטיפול הנדרש בהתאם לנסיבות ולדין. כך דרישת הפרסום הופכת לחלק ממנגנון מעשי ולא רק לפרט נוסף במדיניות הפרטיות. 

האם הממונה מחליף את מנהל אבטחת המידע?

לא. פרטיות ואבטחת מידע קשורות זו בזו, אך מדובר בתחומי אחריות שאינם זהים. ממונה על הגנת הפרטיות עוסק בשאלות רחבות הנוגעות לחוקיות עיבוד המידע, מטרות השימוש, זכויות נושאי המידע, מדיניות ונהלים, בקרה והטמעת שיקולי פרטיות בתהליכי הארגון. 

גורמי אבטחת המידע מתמקדים, בין היתר, באמצעים הטכנולוגיים והארגוניים שנועדו להגן על מערכות ומידע מפני גישה, שימוש או פגיעה שאינם מורשים. במציאות שני התחומים נפגשים פעמים רבות, ולכן שיתוף פעולה ביניהם חשוב. עם זאת, לא נכון להניח שמינוי איש אבטחת מידע פותר אוטומטית את הצורך בממונה על הגנת הפרטיות כאשר חלה חובת מינוי. גם שילוב שני התפקידים אצל אותו אדם דורש בחינה של התאמתו ושל אפשרות לניגוד עניינים. המטרה היא ליצור מנגנונים שמשלימים זה את זה, כך שהארגון בוחן גם כיצד להגן טכנולוגית על המידע וגם האם השימוש בו מתבצע בהתאם לדרישות הגנת הפרטיות. 

האם כדאי למנות ממונה גם בלי חובה?

יש ארגונים שעבורם מינוי ממונה על הגנת הפרטיות עשוי להיות כלי ניהולי מועיל גם כאשר הבדיקה המשפטית אינה מצביעה על חובה מפורשת. הדבר יכול להיות רלוונטי במיוחד לעסק שמבצע עיבוד משמעותי של מידע אישי, עובד עם מספר גדול של ספקי טכנולוגיה או מתכנן להרחיב פעילות מבוססת מידע. ממונה יכול ליצור כתובת אחת שמרכזת את התחום, מסייעת למחלקות לפני השקת תהליכים חדשים ומקדמת נהלים, הדרכות ובקרות. 

עם זאת, אין פירוש הדבר שכל עסק קטן צריך למהר ליצור תפקיד חדש. כדאי לבחון את רמת הסיכון, כמות וסוג המידע, מורכבות הפעילות והמשאבים הקיימים. גם הרשות להגנת הפרטיות המליצה בעבר על מינוי ממונה בארגונים שאינם מחויבים לכך כחלק מפרקטיקה ראויה לקידום פרטיות. לכן ההחלטה יכולה להיות חלק ממדיניות ניהול סיכונים רחבה יותר ולא רק תגובה לשאלה האם קיימת חובה חוקית.

כל כמה זמן צריך לבדוק מחדש את חובת המינוי?

אין סיבה להתייחס לבדיקה כאל אירוע חד-פעמי שנעשה ביום כניסת תיקון 13 לתוקף ונשכח. עסק יכול להשתנות במהירות: להשיק אפליקציה חדשה, להתחיל לעבד מידע רגיש, לרכוש חברה, להרחיב את מספר המשתמשים או להטמיע מערכת שמאפשרת ניטור שיטתי של פעילות אנשים. שינוי כזה עשוי להשפיע על המסקנה ביחס לחובת מינוי ממונה על הגנת הפרטיות. 

לכן כדאי לשלב את הנושא בבדיקות תקופתיות וגם לבחון אותו כאשר מתרחש שינוי משמעותי בפעילות עיבוד המידע. אין בחוק כלל פשוט שלפיו כל ארגון חייב לבצע את הבדיקה מחדש דווקא אחת לשנה; התדירות המתאימה תלויה בפעילות ובשינויים שמתרחשים בה. גישה מעשית היא לתעד את הבדיקה הקיימת ולחזור אליה כאשר מצטרף מאגר משמעותי, סוג מידע חדש או מודל עסקי אחר. כך הארגון אינו מסתמך במשך שנים על מסקנה שהתקבלה כאשר פעילותו נראתה שונה לחלוטין.

מתחילים לעשות סדר בפרטיות

הכניסה של חובת מינוי ממונה על הגנת הפרטיות לחוק הישראלי היא חלק משינוי רחב יותר בדרך שבה עסקים וארגונים נדרשים להתייחס למידע אישי. היום כבר לא מספיק לדעת היכן נשמר מאגר הלקוחות או להחזיק מסמך מדיניות פרטיות באתר. ארגון צריך להבין איזה מידע הוא אוסף, מדוע הוא זקוק לו, מי משתמש בו, למי הוא מועבר ואילו מנגנונים קיימים כדי לוודא שהשימוש נעשה בהתאם לדין. 

עבור גופים שעליהם חלה חובת מינוי ממונה על הגנת הפרטיות, הממונה הופך לחלק משמעותי מהמערך הזה, אך גם ארגונים שאינם חייבים במינוי צריכים לעמוד בחובות האחרות החלות עליהם לפי חוק הגנת הפרטיות. אם אינכם בטוחים האם העסק שלכם נדרש לבצע מינוי ממונה על הגנת הפרטיות, כיצד תיקון 13 משפיע על הפעילות שלכם או אילו צעדים נדרשים כדי לצמצם פערים קיימים, עורך דין נמרוד פיטוסי עוסק בדיני הגנת הפרטיות ומלווה עסקים בהתמודדות עם ההיבטים המשפטיים והרגולטורים של פעילותם. השאירו פרטים לקבלת ייעוץ ולבחינת החובות הרלוונטיות לארגון שלכם.