הרשות להגנת הפרטיות פרסמה את הנוסח הסופי של גילוי הדעת בעניין החובה למנות ממונה על הגנת הפרטיות (DPO) לפי תיקון 13 לחוק הגנת הפרטיות - חובה שנכנסה לתוקף ביום 14.8.25. גילוי הדעת מציג את עמדת הרשות ביחס להיקף החובה, הידע והכישורים הנדרשים מן הממונה, תפקידיו, מעמדו בארגון ומתכונת העסקתו. הפרשנות תשמש את הרשות בעת הפעלת סמכויותיה, לרבות הסמכות להטיל עיצומים כספיים. הנוסח הסופי כולל שינויים וחידודים לעומת הטיוטה שפורסמה להערות הציבור ביולי 2025.
עיקרי גילוי הדעת:
- על מי חלה החובה? ללא חידוש - הרשות חוזרת על עיקרי החוק: על גופים ציבוריים ועל מחזיקים במאגריהם, על גופים העוסקים בסחר במידע שבמאגרם מידע אישי על יותר מ-10,000 בני אדם, על גופים שעיסוקם כרוך בניטור שוטף ושיטתי של בני אדם, ועל בעלי שליטה ומחזיקים שעיסוקם העיקרי כולל עיבוד בהיקף ניכר של מידע בעל רגישות מיוחדת.
- מהו עיבוד "בהיקף ניכר"? למונח אין סף כמותי חד-ערכי, והוא נבחן לפי מכלול נסיבות: מספר נושאי המידע ושיעורם באוכלוסייה, היקף המידע וכמותו, מגוון סוגיו, משך ותדירות העיבוד, משך שמירת המידע והתחום הגאוגרפי. הקריטריונים אינם מצטברים – די בקריטריון אחד, ומנגד גם מאגר קטן עשוי להיחשב כעיבוד בהיקף ניכר אם מתקיימים שיקולים אחרים.
החידוש המרכזי לעומת הטיוטה: היקף העיבוד של מחזיק במאגר מידע ייבחן במצטבר תוך שקלול כל נושאי המידע במאגרי כלל בעלי השליטה שהוא משרת. כך, מחזיק המספק שירותי עיבוד ל-1,000 מאגרים שבכל אחד מהם מידע בעל רגישות מיוחדת על 100 בני אדם בלבד – ייחשב כמעבד בהיקף ניכר.
- מינוי וולונטרי ומקרי ספק: הרשות ממליצה לשקול מינוי ממונה גם בארגונים שאינם חייבים בכך, בפרט בגופים דו-מהותיים, שכן המינוי משפר את הציות ואת אמון הלקוחות. עוד יצוין כי ארגון החייב במינוי כתוצאה מניטור או עיבוד מידע רגיש, עשוי לזכות בזכות המינוי בהפחתה של 10% מעיצום כספי שיוטל עליו בגין הפרות אחרות של החוק. במקרים של ספק ניתן לפנות לרשות.
- הידע והכישורים הנדרשים: הממונה נדרש לידע מעמיק בדיני הגנת הפרטיות הישראליים: החוק, הפסיקה, התקנות, הנחיות הרשות ורגולציה מגזרית רלוונטית. חקיקה זרה כדוגמת ה-GDPR אינה נכללת בדרישה, אך היכרות עמה רצויה בארגונים בעלי פעילות בינלאומית משמעותית. הידע נרכש על פי רוב בניסיון מעשי משמעותי, ורצוי שילווה בהכשרה בסיסית. המומחיות צריכה להיות ניתנת להוכחה. כן נדרשות הבנה הולמת בטכנולוגיה ואבטחת מידע, ללא צורך בתואר אקדמי בתחום, והיכרות עם תחומי פעילות הארגון.
- ייעוד הממונה ותפקידיו: להבטיח את קיום הוראות החוק ולקדם את ההגנה על הפרטיות גם מעבר למינימום הקבוע בדין, תוך הטמעת "תרבות פרטיות" בארגון. בין תפקידיו: סמכות מקצועית וייעוץ, הדרכה, בקרה שוטפת, וידוא טיפול בפניות נושאי מידע ושימוש כאיש הקשר מול הרשות. החוק אינו מטיל על הממונה אחריות אישית להפרות.
- מתכונת העסקה: ניתן להעסיק את הממונה כעובד פנימי או כנותן שירותים חיצוני, ורק יחיד (אדם טבעי) יכול להתמנות (שימו לב, אין מניעה שהממונה יעסיק או ייתן את שירותיו באמצעות צוות מסייע). כאן רוככה עמדת הרשות: בעוד הטיוטה קבעה כי "אופטימאלית" רצוי שהממונה יהיה עובד הארגון, הנוסח הסופי מסתפק בכך ש"על פי רוב קיים יתרון" בהעסקת עובד במשרה מלאה, מתוך הנחה שכך תתאפשר היכרות מעמיקה עם הארגון.
- מעמד, משאבים וניגוד עניינים: הממונה ידווח ישירות למנכ"ל או לכפוף לו במישרין, ועל הארגון לספק לו את התנאים והמשאבים הנדרשים, לרבות תקציב, צוות וגישה למידע. הממונה לא ימלא תפקיד הכולל סמכות לקבוע מדיניות עיבוד מידע, ואף לא יהיה כפוף לבעל תפקיד כזה; ניגוד עניינים עשוי להתקיים פעמים רבות בתפקידים בכירים כגון מנהל שיווק, מנהל כספים ו-CTO. שני חידושים בולטים כאן: ראשית, נקבע כי ביחס למנהל מערכות המידע ניגוד עניינים מתקיים ככלל וגם ביחס לכפופים לו. שנית, רוככה העמדה בשאלת כפל התפקידים עם ממונה אבטחת המידע (CISO): בעוד הטיוטה קבעה כי דרישות החוק "ברוב המקרים לא מתאימות" לתפקיד, הנוסח הסופי מסתפק בכך שכפל התפקידים "מעורר שאלות" ומצריך בחינה פרטנית מצד הארגון, בהנמקה מבוססת ותיעוד ראוי. ממונה המשמש במקביל כיועץ משפטי נדרש לאמצעי הפרדה בין הכובעים, כגון חתימה נפרדת ותיבת דוא"ל ייעודית.
הרשות הבהירה כי בכוונתה להשתמש בסמכויותיה כדי לוודא שמינוי הממונים נעשה בהתאם לקריטריונים הקבועים בחוק.
מקור: גילוי הדעת.