נקודות עיקריות
- ממונה אבטחת מידע וממונה הגנת הפרטיות הם שני תפקידים נפרדים, עם מקור חוקי שונה ורשימת חייבים שונה.
- תקנה 3 קובעת שממונה האבטחה כפוף למנהל המאגר או למנהל פעיל בכיר, ולא ימלא תפקיד נוסף שיוצר ניגוד עניינים.
- לפי גילוי הדעת מיולי 2026, ה-DPO מדווח למנכ״ל או למי שכפוף לו במישרין.
- איחוד DPO עם CISO או ממונה אבטחת מידע מותר רק אחרי בחינה פרטנית ותיעוד; עם מנהל מערכות המידע — ככלל יש ניגוד עניינים.
- רק יחיד יכול להתמנות ל-DPO, כעובד פנימי או כנותן שירות חיצוני.
תוכן עניינים
- מהו ממונה אבטחת מידע ומה הוא עושה?
- מי חייב למנות ממונה אבטחת מידע?
- במה שונה ממונה הגנת הפרטיות (DPO)?
- מה קובע גילוי הדעת מיולי 2026 על איחוד התפקידים?
- איך מחליטים אם לאחד או להפריד?
- שאלות ותשובות
ממונה אבטחת מידע הוא בעל התפקיד שאחראי, מטעם בעל מאגר המידע, להכין וליישם את נוהל אבטחת המידע ולפקח על עמידה בו. מאז שתיקון 13 נכנס לתוקף ב-14 באוגוסט 2025, לצידו קיים תפקיד נוסף — ממונה הגנת הפרטיות — וארגונים רבים שואלים אם אפשר לתת לאותו אדם את שני הכובעים. גילוי הדעת של הרשות להגנת הפרטיות מיולי 2026 עונה על כך במפורש. ניהול מסודר של שני הצירים אפשרי במערכת הציות לחוק הגנת הפרטיות של Privorify.
מהו ממונה אבטחת מידע ומה הוא עושה?
ממונה אבטחת מידע הוא הגורם שמוביל את אבטחת מאגרי המידע בארגון: הוא מכין נוהל אבטחת מידע לאישור בעל המאגר, מפקח באופן שוטף על העמידה בו ומדווח על ממצאיו. תקנה 3 לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017, קובעת את מסגרת התפקיד.
- כפיפות: כפוף ישירות למנהל מאגר המידע או למנהל פעיל בכיר של בעל המאגר.
- נוהל: מכין את נוהל אבטחת המידע, שטעון אישור בעל המאגר.
- פיקוח: מפקח באופן שוטף על העמידה בהוראות ומדווח על ממצאיו.
- עצמאות: לא ימלא תפקיד נוסף שעלול ליצור ניגוד עניינים במילוי תפקידו.
- משאבים: בעל המאגר מקצה לו את המשאבים הדרושים לביצוע התפקיד.
הממונה על אבטחת מידע מופיע בשמו גם במסמך הגדרות המאגר — ראו מסמך הגדרות המאגר: מה חייב להיכלל בו.
מי חייב למנות ממונה אבטחת מידע?
לפי נוסח סעיף 17ב(א) לחוק הגנת הפרטיות, חובת מינוי ממונה על אבטחת מידע חלה על מי שמחזיק חמישה מאגרי מידע הטעונים רישום, על גוף ציבורי, ועל בנק, חברת ביטוח וחברה לדירוג אשראי. מכיוון שתיקון 13 שינה את כללי חובת הרישום, כדאי לבחון עם בעל מקצוע איך הסעיף חל על הארגון הספציפי — ראו רישום מאגר מידע אחרי תיקון 13: מי חייב ומי רק מודיע.
גם ארגון שאינו חייב במינוי רשמי עדיין כפוף לתקנות אבטחת המידע. בפועל מישהו צריך להחזיק את הנושא: לעדכן הרשאות, לוודא גיבויים, להדריך עובדים. בעסק קטן זה לרוב חלק מתפקיד של מנהל המשרד או של ספק IT חיצוני — וזה לגיטימי, כל עוד האחריות מוגדרת ומתועדת.
במה שונה ממונה הגנת הפרטיות (DPO) מממונה אבטחת מידע?
ממונה הגנת הפרטיות עוסק בשאלה אם מותר לעבד את המידע ובאיזה אופן, וממונה אבטחת המידע עוסק בשאלה איך מגנים עליו. הראשון הוא תפקיד של ציות וייעוץ, והשני תפקיד של בקרה טכנית-ארגונית.
| נושא | ממונה אבטחת מידע | ממונה הגנת הפרטיות (DPO) |
|---|---|---|
| מקור חוקי | סעיף 17ב לחוק ותקנה 3 לתקנות אבטחת המידע | תיקון 13 לחוק + גילוי דעת מ-14.7.2026 |
| מוקד | אבטחת מאגרי המידע: נוהל, בקרות, פיקוח | ציות לכלל דיני הפרטיות: ייעוץ, הדרכה, מעקב |
| כפיפות | מנהל המאגר או מנהל פעיל בכיר | המנכ״ל או מי שכפוף לו במישרין |
| מי יכול להתמנות | בעל הכשרה מתאימה, ללא תפקיד מתנגש | יחיד בלבד, פנימי או חיצוני, עם ידע מעמיק בדיני הפרטיות |
| תוצר מרכזי | נוהל אבטחת מידע ודוחות פיקוח | המלצות להנהלה, הדרכות ומעורבות בפרויקטים |
מי חייב למנות DPO? לפי סקירות של גילוי הדעת, החובה חלה בין היתר על גופים ציבוריים, על סוחרי מידע, ועל ארגונים שעיקר פעילותם כולל ניטור שיטתי של אנשים או עיבוד מידע רגיש בהיקף משמעותי. הפירוט המלא במדריך ממונה על הגנת הפרטיות: מי חייב למנות ומה התפקיד כולל.
מה קובע גילוי הדעת מיולי 2026 על איחוד התפקידים?
גילוי הדעת שפרסמה הרשות להגנת הפרטיות ב-14 ביולי 2026 קובע ששילוב תפקיד ממונה הגנת הפרטיות עם תפקיד CISO או ממונה אבטחת מידע אינו אסור באופן גורף, אך מחייב בחינה פרטנית של הארגון. לפי סקירות משפטיות של המסמך, העמדה הסופית רכה יותר מהטיוטה, והארגון נדרש להראות היעדר ניגוד עניינים בנימוק ובתיעוד.
| תפקיד נוסף של ה-DPO | עמדת גילוי הדעת (יולי 2026) |
|---|---|
| ממונה אבטחת מידע / CISO | לא אסור באופן גורף; מחייב בחינה פרטנית, נימוק ותיעוד |
| מנהל מערכות המידע (CIO) והכפופים לו | ניגוד עניינים מתקיים ככלל |
| היועץ המשפטי של הארגון | לא אסור, אך לא בהכרח מפיק את התועלת המיטבית מהתפקיד |
למה דווקא מנהל מערכות המידע מוגבל?
מנהל מערכות המידע מחליט אילו מערכות להקים, אילו ספקים לבחור ואילו נתונים לאסוף — בדיוק ההחלטות שה-DPO אמור לבקר. מי שבודק את עצמו אינו בודק באמת, ולכן גילוי הדעת קובע שכאן הניגוד מתקיים ככלל, גם לגבי הכפופים למנהל מערכות המידע.
ומה עם ה-CISO?
ה-CISO קרוב יותר לתפקיד בקרה, ולכן האיחוד אפשרי. עם זאת, יש מתח מובנה: אבטחה חזקה מובילה לעיתים לניטור נרחב של עובדים ומשתמשים, וה-DPO אמור לשאול אם הניטור הזה מידתי. מי שמחזיק בשני הכובעים צריך להראות שהוא מסוגל לשאול את השאלה הזו על ההחלטות שלו עצמו. על המתח הזה ראו גם מעקב אחר עובדים: מה מותר למעסיק לנטר.
איך מחליטים אם לאחד את התפקידים או להפריד?
ארגון ששוקל לתת לאותו אדם את שני התפקידים צריך לעבור תהליך בחינה מתועד, שתוצאתו נשמרת ונבחנת מחדש כשהנסיבות משתנות. צעדים מעשיים:
- בררו אם הארגון חייב בממונה אבטחת מידע, ב-DPO, בשניהם או באף אחד.
- מפו את ההחלטות שהמועמד מקבל היום: האם הוא מחליט על מערכות, ספקים או ניטור?
- בדקו את קו הכפיפות — ה-DPO צריך להיות מדווח למנכ״ל או לכפוף לו במישרין.
- בדקו את ההכשרה: ידע מעמיק בדיני הפרטיות בנוסף לידע הטכני.
- כתבו נימוק לאיחוד והגדירו מנגנון לטיפול במקרי ניגוד, למשל העברת נושא ליועץ חיצוני.
- תעדו את ההחלטה וקבעו מועד לבחינה חוזרת.
במקרים רבים פתרון מעשי לעסקים בינוניים הוא DPO חיצוני לצד ממונה אבטחה פנימי. זה מפריד בין מי שבונה את ההגנות למי שבודק את הציות, ומקל על ההנהלה להראות פיקוח אמיתי — נושא שקיבל משקל בתיקון 13, כפי שמתואר באחריות הנהלה ודירקטוריון בהגנת הפרטיות.
סיכום
- ממונה אבטחת מידע מגן על המאגרים; ממונה הגנת הפרטיות בודק שהשימוש במידע מותר ומידתי.
- תקנה 3 מחייבת כפיפות למנהל בכיר והיעדר תפקיד מתנגש לממונה האבטחה.
- גילוי הדעת מ-14.7.2026: DPO+CISO — אפשרי בבחינה פרטנית מתועדת; DPO+מנהל מערכות מידע — ככלל ניגוד עניינים.
- כל החלטה על איחוד תפקידים צריכה נימוק כתוב ובחינה חוזרת.
שאלות ותשובות
מה ההבדל בין ממונה אבטחת מידע לממונה הגנת הפרטיות?
ממונה אבטחת מידע אחראי על ההגנה הטכנית והארגונית של מאגרי המידע ומכין את נוהל אבטחת המידע לפי תקנה 3 לתקנות אבטחת המידע. ממונה הגנת הפרטיות (DPO), שנקבע בתיקון 13, מלווה את הציות לכלל דיני הפרטיות — ייעוץ להנהלה, הדרכה ופיקוח שוטף.
האם מותר שאדם אחד יהיה גם ממונה אבטחת מידע וגם DPO?
לפי גילוי הדעת של הרשות להגנת הפרטיות מ-14 ביולי 2026, איחוד התפקידים אינו אסור באופן גורף, אבל מחייב בחינה פרטנית של הארגון, עם נימוק ותיעוד שאין ניגוד עניינים.
האם מנהל מערכות המידע יכול להיות ממונה הגנת הפרטיות?
ככלל לא. לפי גילוי הדעת, לגבי מנהל מערכות המידע והכפופים לו קיים ככלל ניגוד עניינים, כי הם מקבלים את ההחלטות על המערכות שהממונה אמור לפקח עליהן.
למי כפוף ממונה הגנת הפרטיות?
לפי גילוי הדעת מיולי 2026, הממונה מדווח ישירות למנכ״ל או למי שכפוף למנכ״ל במישרין. הממונה על אבטחת מידע, לעומת זאת, כפוף לפי תקנה 3 למנהל המאגר או למנהל פעיל בכיר של בעל המאגר.
האם אפשר למנות ממונה הגנת פרטיות חיצוני?
כן. לפי גילוי הדעת, ניתן להעסיק את הממונה כעובד פנימי או כנותן שירותים חיצוני, ורק יחיד (אדם) יכול להתמנות — לא חברה או צוות.
לקריאה נוספת ומקורות
- הרשות להגנת הפרטיות — גילוי דעת: מינוי ממונה על הגנת הפרטיות בארגון (14.7.2026)
- law.co.il — הרשות מפרסמת את גילוי הדעת בנושא מינוי ממונה הגנת הפרטיות
- תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 — תקנה 3
המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
להמשך קריאה
