עו"ד אלן יוסף , שותפה וראש תחום הגנת הפרטיות ואבטחת מידע במשרדנו ABADI & CO., מציגה את עיקרי גילוי הדעת של הרשות בעניין חובת מינוי ממונה על הגנת הפרטיות, ומבהירה את המשמעויות המעשיות לארגונים ביחס לתחולת החובה, מינוי וולונטרי, עצמאות הממונה וניגודי עניינים.
ביום 14.7.2026 פרסמה הרשות להגנת הפרטיות (להלן: "הרשות") את גילוי הדעת בנושא החובה למנות ממונה על הגנת הפרטיות (להלן: "ממונה הגנת הפרטיות" או "DPO"), בהתאם לתיקון 13 לחוק הגנת הפרטיות, התשמ"א-1981 (להלן: "חוק הגנת הפרטיות").
הרשות הבהירה כי מינוי ממונה הגנת הפרטיות הוא רכיב מרכזי בתפיסת האחריותיות (Accountability). תפיסה זו מחייבת את הארגון לא רק לעמוד בהוראות הדין החלות על שימוש במידע, אלא גם להטמיע מנגנונים, נהלים ושיטות עבודה פנימיות שיבטיחו עמידה אפקטיבית בדרישות הדין.
גילוי הדעת משקף את עמדת הרשות ביחס לפרשנות הוראות חוק הגנת הפרטיות בהקשר זה, ובין היתר עוסק בנסיבות שבהן קמה החובה למנות ממונה הגנת פרטיות, בתפקידיו, בכישורים הנדרשים ממנו, במעמדו הארגוני ובתנאי העסקתו.
להלן עיקרי הנושאים העולים מגילוי הדעת:
על מי חלה החובה למנות ממונה הגנת הפרטיות?
בהתאם להוראות חוק הגנת הפרטיות, החובה למנות ממונה הגנת פרטיות חלה, בין היתר, על:
- גופים ציבוריים, ובמקרים מסוימים גם על מחזיקים המעבדים עבורם מידע אישי.
- ארגונים שעיקר פעילותם הוא איסוף מידע אישי לשם מסירתו לאחרים, לרבות גופים העוסקים בסחר במידע, ובתנאים מסוימים גם גופים העוסקים בשירותי דיוור ישיר.
- ארגונים שעיסוקיהם העיקריים כוללים ניטור שוטף ושיטתי של בני אדם, למשל באמצעות אפליקציות, אתרי אינטרנט, שירותי חיפוש, נתוני מיקום, מצלמות מעקב, מכשירים לבישים ומוצרי IoT.
- ארגונים שעיסוקם העיקרי כולל עיבוד בהיקף ניכר של מידע בעל רגישות מיוחדת, ובכלל זה בנקים, חברות ביטוח, בתי חולים וקופות חולים.
מהו "היקף ניכר"?
באשר למקרים שבהם תחול חובת מינוי ממונה הגנת פרטיות, ובפרט כאשר מדובר בגופים המעבדים מידע בעל רגישות מיוחדת "בהיקף ניכר", הרשות מבהירה כי אין סף כמותי אחיד או מבחן מספרי חד-משמעי. לצורך הבחינה יש להביא בחשבון, בין היתר, מספר נושאי המידע, שיעורם באוכלוסייה מסוימת, סוגי המידע, היקפו, משך ותדירות העיבוד, תקופת שמירת המידע והפריסה הגאוגרפית של פעילות העיבוד.לפיכך, גם כאשר מספר נושאי המידע אינו גדול במיוחד, ייתכן שהעיבוד ייחשב כעיבוד בהיקף ניכר בנסיבות המתאימות.
מינוי וולונטרי
הרשות ממליצה גם לארגונים שאינם מחויבים במינוי ממונה לפי החוק לשקול מינוי כאמור. הרשות מדגישה כי למינוי וולונטרי עשויה להיות חשיבות מיוחדת, בין היתר, בגופים דו-מהותיים, כלומר ארגונים הכפופים, לפחות בחלק מהיבטי פעילותם, לעקרונות מן המשפט הציבורי.
ניגוד עניינים
חוק הגנת הפרטיות קובע כי ממונה הגנת הפרטיות לא ימלא תפקיד נוסף, ולא יהיה כפוף לנושא משרה, אם הדבר עלול להעמידו בחשש לניגוד עניינים במילוי תפקידו. תכלית האיסור היא להבטיח כי הממונה יוכל לגבש עמדות מקצועיות באופן עצמאי, ללא השפעות זרות או שיקולים מתנגשים.
בהקשר זה, הרשות מבהירה כי ממונה הגנת הפרטיות אינו יכול למלא תפקידים או להיות כפוף לבעלי תפקידים שיש להם סמכות או אחריות לקבוע את מדיניות עיבוד המידע האישי בארגון, לרבות מטרות העיבוד, שיטות העיבוד ואמצעיו. בהתאם לעמדתה של הרשות, חשש לניגוד עניינים עשוי להתקיים, בין היתר, בתפקידים בכירים כגון מנהל שיווק, מנהל לקוחות, מנהל כספים ו-CTO. בנוסף, ככלל, קיים חשש לניגוד עניינים גם ביחס למנהל מערכות מידע ולכפופים לו.
הבחנה בין תפקיד הממונה לבין הייעוץ המשפטי
הרשות מבהירה כי ניתן למקם את ממונה הגנת הפרטיות במסגרת הייעוץ המשפטי של הארגון, ובלבד שאין בכך כדי ליצור ניגוד עניינים. עם זאת, הרשות סבורה כי מיקום זה לא בהכרח מאפשר להפיק מן התפקיד את מלוא התועלת, נוכח ההבדל המהותי בין תפקיד היועץ המשפטי לבין תפקיד הממונה: בעוד שתפקיד היועץ המשפטי מתמקד בהבטחת הציות להוראות הדין, תפקיד הממונה כולל גם קידום השמירה על הפרטיות מעבר לרף המינימלי המחויב על פי דין.
בהתאם לעמדת הרשות, על ממונה שהוא גם יועץ משפטי לנקוט באמצעים ארגוניים ואחרים אשר באמצעותם ניתן יהיה להבחין בבירור בין פעילותו כממונה על הגנת הפרטיות, ובין פעילותו כיועץ משפטי. אחת הדוגמאות לאמצעים כאלה היא שהממונה יקפיד לחתום כממונה (ולא כיועץ משפטי) כאשר הוא פועל כממונה. דוגמה אחרת שמציעה הרשות היא הפרדה בין תיבות דואר אלקטרוני לתפקידים השונים – תיבה עבור פעילות כממונה, ותיבה עבור פעילות כיועץ משפטי.
היחס בין ממונה הגנת הפרטיות לבין ממונה אבטחת המידע
הרשות מבהירה כי ממונה על הגנת הפרטיות וממונה אבטחת מידע הם שני תפקידים נפרדים השונים במהותם, וכל אחד מהם דורש ידע, מיומנויות ויכולות שונים.
הרשות אינה שוללת את האפשרות שממונה אבטחת מידע ישמש גם כממונה הגנת הפרטיות, אך מדגישה כי מדובר במינוי המעלה שאלות ממשיות של התאמה, עצמאות, ויכולת למלא את שני התפקידים במקביל מבחינת עומס עבודה ושדרת דיווח; לפיכך, מינוי כזה יחייב בחינה פרטנית.
ארגון המבקש למנות אדם אחד לשמש הן כממונה על הגנת הפרטיות והן כממונה אבטחת מידע, צריך להיות מסוגל להוכיח, באופן מבוסס ומתועד, כי מתקיימות בפועל כל דרישות הכשירות, הזמינות, הבכירות והעצמאות הנדרשות מממונה הגנת הפרטיות.
לסיכום
גילוי הדעת של הרשות מדגיש כי מינוי ממונה על הגנת הפרטיות אינו מהלך פורמלי בלבד, אלא חלק מהותי ממערך הממשל התאגידי והציות בתחום הגנת הפרטיות.
ארגונים השוקלים למנות ממונה על הגנת הפרטיות מקרב פונקציות משפטיות, טכנולוגיות או אבטחת מידע, נדרשים לבחון לא רק את כישוריו המקצועיים של המועמד, אלא גם את מיקומו במבנה הארגוני, היקף סמכויותיו, ומידת יכולתו להפעיל שיקול דעת עצמאי ובלתי תלוי ביחס להחלטות ארגוניות הנוגעות לעיבוד מידע אישי.
לקריאת גילוי דעת: מינוי ממונה על הגנת הפרטיות בארגון לפי דרישות תיקון 13 לחוק הגנת הפרטיות
נשמח לסייע בבחינה כאמור וכמובן להשיב לשאלות בנושא.
הצהרה משפטית:
האמור לעיל מובא למטרות עדכון כללי בלבד, ואינו מהווה חוות דעת משפטית או תחליף לייעוץ משפטי המותאם לנסיבותיו של כל ארגון. לנוכח ההשלכות האפשריות של גילוי הדעת, אנו ממליצים לבחון את יישומו בכל מקרה לגופו ולקבל ייעוץ משפטי פרטני בהתאם.
