ממונה על הגנת הפרטיות: מי חייב למנות ומה התפקיד כולל

מינוי ממונה על הגנת הפרטיות הוא אחד השינויים המעשיים ביותר שהביא עמו תיקון 13 לחוק הגנת הפרטיות, התשמ"א-1981. עד לתיקון, רוב הארגונים בישראל לא נדרשו לבעל תפקיד ייעודי בתחום הפרטיות; כיום, סוגים מוגדרים של גופים מחויבים בכך במפורש, והרשות להגנת הפרטיות רואה בממונה עוגן ארגוני מרכזי. אם אתם בתחילת הדרך ורוצים להבין את התמונה הרחבה, כדאי להתחיל מפתרון הציות של Privorify ולאחר מכן לרדת לפרטים שבמאמר זה.

מה זה ממונה על הגנת הפרטיות (DPO)?

ממונה על הגנת הפרטיות הוא בעל תפקיד בארגון שאחראי לוודא שהארגון עומד בדרישות דיני הגנת הפרטיות ואבטחת המידע. המונח הלועזי המקובל הוא DPO — Data Protection Officer — והוא מוכר גם מהרגולציה האירופית, אך הגרסה הישראלית שנקבעה בתיקון 13 לחוק הגנת הפרטיות מותאמת למבנה החוק המקומי ולסמכויות הרשות להגנת הפרטיות.

בבסיס התפקיד עומדת הפרדה חשובה: הממונה אינו רק "עוד כובע" שנתלה על מנהל מערכות המידע או על היועץ המשפטי. הוא נדרש לראייה רוחבית של מחזור חיי המידע האישי בארגון — מהרגע שבו מידע נאסף, דרך אחסונו, עיבודו, שיתופו עם ספקים חיצוניים ועד למחיקתו. ראייה רוחבית זו היא שמאפשרת לזהות פערי ציות לפני שהם הופכים לאירוע אכיפה.

מי חייב למנות ממונה על הגנת הפרטיות לפי תיקון 13?

חובת המינוי אינה חלה על כל עסק בישראל, אלא על קטגוריות מוגדרות של גופים שהחוק מייחד. לפי הפרסומים המקצועיים בעקבות תיקון 13, הקבוצות המרכזיות שנדרשות למנות ממונה הן:

• גופים ציבוריים — ככלל, גוף ציבורי נדרש למנות ממונה על הגנת הפרטיות, למעט גופים ביטחוניים שלגביהם קיימים הסדרים נפרדים.
• גופים המבצעים ניטור שיטתי ורחב — ארגונים שעיסוקם כרוך במעקב שיטתי ונרחב אחר התנהגותם, מיקומם או פעולותיהם של אנשים.
• סוחרי מידע ומפעילי דיוור ישיר בהיקפים גדולים — גוף שעוסק בסחר במידע אישי או בשירותי דיוור ישיר ומחזיק מאגר בהיקף משמעותי (מעל 10,000 רשומות). לפי הפרסומים, שני התנאים נדרשים במצטבר.
• גופים המעבדים מידע רגיש בהיקף משמעותי — ובכלל זה גופים בתחומי הבריאות והפיננסים, שהמידע שבידיהם מוגדר רגיש.

חשוב להדגיש: גם ארגון שאינו נופל לאחת הקטגוריות הללו ואינו חייב במינוי ממונה — עדיין כפוף למלוא חובות החוק בעניין איסוף מידע, ניהולו, עיבודו ואבטחתו. היעדר חובת מינוי אינו פטור מציות.

טבלת התמצאות מהירה

מה תפקידיו של הממונה על הגנת הפרטיות בפועל?

תפקידו המעשי של הממונה הוא לבנות, להטמיע ולבקר את מערך הציות של הארגון בתחום הפרטיות. זה אינו תפקיד הצהרתי אלא שוטף, ובפועל הוא מתפרס על כמה צירים מקבילים:

1. מיפוי המידע האישי — איזה מידע נאסף, מהיכן, לאיזו מטרה, מי ניגש אליו וכמה זמן הוא נשמר. ללא מיפוי אין ציות אמיתי, רק תחושת ציות.
2. כתיבת מדיניות ונהלים — מדיניות פרטיות לאתר, נוהל אבטחת מידע, נוהל מימוש זכויות של נושאי מידע ונוהל טיפול באירועי אבטחה.
3. הדרכה והטמעה — הכשרת עובדים שנחשפים למידע אישי, כך שהנהלים לא יישארו מסמך במגירה.
4. בקרה על ספקים — בדיקת ההסכמים והמנגנונים מול צדדים שלישיים המעבדים מידע עבור הארגון.
5. נקודת קשר — מענה לפניות של נושאי מידע המבקשים לעיין במידע או לתקנו, וכן ממשק מול הרשות להגנת הפרטיות.
6. דיווח להנהלה — הצפת סיכונים ופערים לדרג המנהל, שכן בעקבות התיקון האחריות הניהולית על עמידה בדיני הפרטיות הובהרה והודגשה.

האם אפשר למנות ממונה חיצוני?

כן — לפי הפרסומים המקצועיים, החוק מאפשר למנות ממונה על הגנת הפרטיות גם כנותן שירות חיצוני, ולא רק כעובד הארגון. זו בשורה משמעותית לארגונים בינוניים שאין להם היקף פעילות המצדיק משרה ייעודית.

עם זאת, הגמישות הזו מגיעה עם תנאים מהותיים. הממונה — פנימי או חיצוני — נדרש לפעול בעצמאות מקצועית, ללא ניגוד עניינים מול תפקידיו האחרים בארגון, ולקבל מהארגון גישה למידע, תקציב וסמכות שיאפשרו לו למלא את תפקידו בפועל. מינוי פורמלי של אדם שאין לו גישה למערכות ואין לו קו דיווח להנהלה מחמיץ את מטרת החובה.

מהו ניגוד עניינים בהקשר הזה?

ניגוד עניינים נוצר כאשר אותו אדם גם מגדיר את מטרות עיבוד המידע וגם אמור לבקר אותן. לדוגמה, מנהל שיווק שאחראי על הגדלת מאגר הלידים ובמקביל אמור לבקר את חוקיות איסופם, נמצא במתח מובנה. לכן ככלל מקובל להעדיף מיקום ארגוני שמאפשר ביקורת אמיתית.

מה נדרש מהארגון מעבר למינוי עצמו?

המינוי הוא נקודת פתיחה, לא קו סיום. ארגון שממנה ממונה ואינו משנה דבר בהתנהלותו נותר חשוף בדיוק כפי שהיה. בפועל, ההיערכות המלאה כוללת עדכון מסמכי היסוד של המאגר, בחינת רמת האבטחה הנדרשת לפי תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, ובניית מנגנון לטיפול באירועי אבטחת מידע.

ההקשר האכיפתי חשוב כאן: תיקון 13 העניק לרשות להגנת הפרטיות סמכויות פיקוח, חקירה ואכיפה מנהלית רחבות, לרבות הטלת עיצומים כספיים בהיקפים משמעותיים. לפי פרסומים מיולי 2026, הרשות מנהלת עשרות רבות של תיקי אכיפה. מי שרוצה להבין את סדרי הגודל הכספיים יכול לקרוא את המאמר שלנו על קנסות הגנת הפרטיות, ובעלי אתרים ימצאו ערך במדריך המלא לתיקון 13 לבעלי אתרים.

שאלות ותשובות

האם עסק קטן חייב למנות ממונה על הגנת הפרטיות?

ככלל, עסק קטן שאינו גוף ציבורי, אינו סוחר מידע ואינו מבצע ניטור שיטתי ורחב — אינו נמנה עם הקבוצות שהחוק מחייב במינוי ממונה. עם זאת, כל חובות החוק האחרות חלות עליו במלואן, לרבות אבטחת המידע, שקיפות מול הלקוחות ומימוש זכויות עיון ותיקון.

מה ההבדל בין ממונה על הגנת הפרטיות לבין מנהל אבטחת מידע?

מנהל אבטחת מידע מתמקד בהיבט הטכנולוגי — הגנה על מערכות, בקרות גישה, ניטור ותגובה לאירועים. הממונה על הגנת הפרטיות עוסק בשאלה הרחבה יותר של חוקיות העיבוד: האם מותר לאסוף את המידע, לאיזו מטרה, ומה זכויותיו של נושא המידע. שני התפקידים משלימים זה את זה, ובארגונים רבים הם משתפים פעולה באופן שוטף.

האם אפשר למנות עורך דין חיצוני כממונה?

הפרסומים המקצועיים מציינים שהחוק מאפשר במפורש מינוי של נותן שירות חיצוני. הדרישה המהותית היא שלממונה יהיו ידע והבנה מעמיקים בדיני הגנת הפרטיות ובתקנות אבטחת המידע, ושהוא יפעל בעצמאות וללא ניגוד עניינים.

כמה זמן לוקח להיערך למינוי?

הזמן משתנה מאוד לפי גודל הארגון ומורכבות מערכות המידע שלו. ארגון עם מערכת CRM אחת ואתר תדמית יכול להשלים מיפוי בסיסי בתוך שבועות; ארגון עם עשרות מערכות וספקים חיצוניים נדרש לתהליך ארוך יותר. הצעד הראשון הוא תמיד מיפוי, לא מסמכים.

מה קורה אם לא ממנים ממונה למרות שחלה חובה?

אי-עמידה בחובות שנקבעו בחוק חושפת את הארגון להליכי פיקוח ואכיפה מצד הרשות להגנת הפרטיות, ובכלל זה אפשרות להטלת עיצום כספי. מעבר לחשיפה הכספית, היעדר ממונה מקשה על הארגון לזהות ולתקן פערים לפני שהם הופכים לאירוע.

המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.