הרשות להגנת הפרטיות במשרד המשפטים פרסמה גילוי דעת סופי ומקיף המסדיר את אופן מינויו, מעמדו ותפקידו של ממונה הגנת הפרטיות, Data Protection Officer DPO, בהתאם לתיקון מספר 13 לחוק הגנת הפרטיות, שנכנס לתוקפו באוגוסט 2025.
מדובר באחד השינויים המשמעותיים ביותר שנעשו בדיני הגנת הפרטיות בישראל מאז חקיקת החוק, כאשר לראשונה נקבעה חובה למנות ממונה הגנת פרטיות בגופים ציבוריים ובארגונים פרטיים שפעילותם כרוכה בעיבוד מידע אישי בהיקפים משמעותיים או ברמת סיכון גבוהה לפרטיות.
מי מחויב למנות ממונה?
החובה חלה, בין היתר, על משרדי ממשלה, רשויות מקומיות וגופים ציבוריים נוספים וכן על ארגונים העוסקים בסחר במידע אישי, גופים המבצעים ניטור שוטף של בני אדם וחברות המחזיקות מידע רגיש בהיקף נרחב ובהן בנקים, חברות ביטוח, בתי חולים וקופות חולים.
ברשות מדגישים כי מינוי ממונה אינו רק דרישה רגולטורית, אלא כלי מרכזי לחיזוק עקרון האחריותיות (Accountability), לשיפור הציות לחוק ולהגברת אמון הציבור בארגון.
לא רק עמידה בחוק, גם קידום תרבות פרטיות
על פי גילוי הדעת, תפקידו של ממונה הגנת הפרטיות רחב בהרבה מבקרה משפטית בלבד, הוא נדרש לייעץ להנהלת הארגון ולעובדיו, לקדם מדיניות פרטיות, להכין תוכניות הדרכה ובקרה, לטפל בפניות הציבור בנוגע לעיבוד מידע אישי ולשמש כאיש הקשר הרשמי מול הרשות להגנת הפרטיות.
עוד מובהר כי הממונה צריך להיות מעורב בכל שלב הנוגע לעיבוד מידע אישי בארגון, החל מהקמת מערכות מידע חדשות ועד לטיפול באירועי אבטחת מידע משמעותיים.
דרישות מחמירות לתפקיד
הרשות קובעת כי ממונה הגנת הפרטיות חייב להיות בעל ידע מעמיק בדיני הגנת הפרטיות בישראל, היכרות עם תחום אבטחת המידע והטכנולוגיה וכן הבנה מעשית בפעילות הארגון שבו הוא מכהן.
בנוסף, נקבע כי עליו לדווח ישירות למנכ"ל הארגון או לגורם הכפוף אליו במישרין, לקבל את כלל המשאבים הדרושים לביצוע תפקידו ולהיות חופשי מכל חשש לניגוד עניינים.
הארגון מחויב לשקול בכובד ראש את חוות דעתו ולהתייחס אליה כחוות דעת מקצועית המחייבת היוועצות.
מיקור חוץ אפשרי, אך לא תמיד מומלץ
החוק מאפשר למנות ממונה הגנת פרטיות גם במסגרת מיקור חוץ, אולם הרשות מציינת כי ברוב המקרים קיים יתרון לממונה שהוא עובד הארגון במשרה מלאה, הודות להיכרות עמוקה עם פעילותו, זמינותו והשתלבותו בתהליכי העבודה השוטפים.
האם ניתן לשלב את התפקיד עם CISO?
סוגיה נוספת שזוכה להתייחסות מפורטת היא האפשרות שממונה אבטחת מידע (CISO) ישמש גם כממונה הגנת הפרטיות.
לפי הרשות, החוק אינו אוסר זאת באופן גורף, אולם מדובר בשני תפקידים שונים במהותם, בעלי דרישות ידע, אחריות וסמכויות שונות. לפיכך, שילוב התפקידים מחייב בחינה פרטנית ומנומקת של הארגון ובמקרים רבים עלול שלא לעמוד בדרישות החוק, בעיקר בכל הנוגע לידע המשפטי הנדרש, היקף האחריות והעצמאות המקצועית.
הרשות: נבחן את יישום ההוראות בפועל
הרשות להגנת הפרטיות מבהירה כי בכוונתה להשתמש בסמכויות האכיפה שהוענקו לה כדי לוודא כי הארגונים המחויבים בכך ממנים ממוני הגנת פרטיות העומדים בכל דרישות החוק ובכלל זה בעלי ידע מקצועי מתאים, עצמאות מקצועית ומשאבים מספקים לביצוע תפקידם.
ברשות קוראים לכלל הארגונים הרלוונטיים לעיין בגילוי הדעת המלא ולוודא כי הם עומדים במלוא הדרישות שנקבעו בחוק ובמדיניות האכיפה החדשה.
