מדריך למינוי ממונה הגנת פרטיות (DPO) תחת תיקון 13 לחוק הגנת הפרטיות: מי חייב למנות, מה תפקידו וסמכויותיו, דרישת העצמאות והמיקום הארגוני, ממונה פנימי מול חיצוני, וההשלכות של אי-מינוי. צעדים מעשיים לארגון.
עודכן
ממונה הגנת פרטיות (Data Protection Officer, DPO) הוא בעל תפקיד שאחראי לפקח על עמידת הארגון בדיני הגנת הפרטיות, ותיקון 13 לחוק הגנת הפרטיות הופך את מינויו לחובה עבור סוגים מסוימים של גופים. השאלה הראשונה שכל ארגון צריך לשאול היא אם הוא נמנה עליהם, שכן אי-מינוי כשהוא נדרש הוא הפרה בפני עצמה. מאמר זה מסביר מי חייב למנות, מה תפקיד הממונה, ואיך נערכים.
ממונה הגנת פרטיות הוא הגורם שמרכז בארגון את האחריות לניהול נכון של מידע אישי. הוא מייעץ להנהלה, מפקח על יישום החובות, משמש כתובת מול הרשות להגנת הפרטיות ומול נושאי המידע, ומוודא שהארגון פועל לפי הדין. הוא אינו רק תפקיד פורמלי, אלא עוגן שמבטיח שנושא הפרטיות מקבל טיפול שיטתי ולא מקרי.
תיקון 13 קובע חובת מינוי לסוגים מסוימים של גופים, בהתאם לאופי הפעילות ולהיקף המידע. בין השאר, החובה מכוונת לגופים ציבוריים, לגופים שעיסוקם העיקרי כרוך בעיבוד מידע אישי בהיקף משמעותי, ולגופים שמעבדים מידע רגיש בהיקף נרחב. גם ארגון שאינו חייב בבירור צריך לבצע בדיקה מסודרת של מעמדו, כי ההנחה שהחובה אינה חלה, בלי בדיקה, היא סיכון.
נוסח החובה, סעיפים 17ב1 עד 17ב3 לחוק, מובא במדריך חוק הגנת הפרטיות ותיקון 13.
תפקידי הממונה כוללים ייעוץ להנהלה ולעובדים בכל הנוגע לחובות הפרטיות, מעקב אחר עמידה בדין, סיוע בביצוע הערכות והדרכות, ושמש נקודת קשר מול הרשות. כדי שיוכל למלא את תפקידו, על הארגון להעניק לו גישה למידע ולתהליכים הרלוונטיים, ולערב אותו בזמן אמת בהחלטות שיש להן השלכה על הגנת המידע, ולא רק בדיעבד.
עיקרון מרכזי הוא עצמאות הממונה. עליו להיות מסוגל לחוות דעה בלי חשש, ובלי שהאינטרסים העסקיים ישתיקו את שיקול הדעת המקצועי שלו. לכן חשוב שהממונה ידווח לדרג הבכיר, שלא ייווצר ניגוד עניינים בין תפקידו לבין תפקידים אחרים שהוא ממלא, ושמעמדו בארגון יאפשר לו להתריע כשצריך. מיקום ארגוני נכון הוא מה שהופך את התפקיד מאות פורמלי לכלי בקרה אמיתי.
ארגון יכול למנות ממונה מקרב עובדיו או להיעזר בממונה חיצוני, בהתאם לגודלו, למורכבותו ולמשאביו. ממונה פנימי מכיר את הארגון מבפנים, אך יש לוודא שאין לו ניגוד עניינים. ממונה חיצוני מביא מומחיות ואובייקטיביות, ולעיתים הוא הפתרון המעשי לארגונים שאין להם משאב פנימי מתאים. בשני המקרים, האחריות הכוללת לעמידה בדין נשארת של הארגון.
ארגון שחייב במינוי ואינו ממנה חושף את עצמו לאכיפה מצד הרשות להגנת הפרטיות, שסמכויותיה חוזקו בתיקון 13. מעבר להיבט האכיפתי, היעדר ממונה פירושו לרוב שאין בארגון גורם שמחזיק בתמונה הכוללת של ניהול המידע, וכך גדל הסיכון לכשלים, לדליפות ולפגיעה בזכויות נושאי המידע. העלות של אי-מינוי מתגלה בדרך כלל ברגע הלא נכון.
ההיערכות מתחילה בבדיקה אם חלה חובת מינוי, ואם כן, באיתור מועמד מתאים, פנימי או חיצוני, בעל הידע והעצמאות הנדרשים. לאחר המינוי יש להגדיר בבירור את סמכויותיו, את מסלול הדיווח שלו, ואת המשאבים שיעמדו לרשותו, ולעגן זאת בנהלים. מינוי הממונה משתלב במערך רחב יותר של ממשל פרטיות, ולעיתים גם של ממשל בינה מלאכותית, כך שהגורם האחראי רואה את התמונה כולה.
לתמונת ההיערכות המלאה ראו תיקון 13 לחוק הגנת הפרטיות: מדריך היערכות לארגונים, ולצד הטכני אבטחת מידע לפי תיקון 13.
מינוי ממונה הגנת פרטיות תחת תיקון 13 מתחיל בשאלה אם החובה חלה, וממשיך במינוי בעל תפקיד עצמאי, בעל סמכויות ומשאבים, במיקום ארגוני שמאפשר לו לפעול. ארגון שמסדיר זאת נכון אינו רק עומד בדרישות החוק, אלא בונה מנגנון בקרה שמפחית סיכון ומחזק את אמון הלקוחות והעובדים במידע שהופקד בידיו.
הערה: אין באמור ייעוץ משפטי או תחליף לו, והוא אינו מהווה חוות דעת מחייבת. כל מקרה מחייב בחינה פרטנית מול עורך דין מוסמך.
בעל התפקיד שמרכז בארגון את האחריות לניהול נכון של מידע אישי: מייעץ להנהלה, מפקח על יישום החובות, ומשמש כתובת מול הרשות להגנת הפרטיות ומול נושאי המידע. תיקון 13 הפך את מינויו לחובה לסוגים מסוימים של גופים, ואי מינוי כשהוא נדרש הוא הפרה בפני עצמה.
לפי סעיפים 17ב1 עד 17ב3: גוף ציבורי, למעט גוף ביטחוני; בעל שליטה שמטרת מאגרו מסירת מידע לאחר כדרך עיסוק ויש בו מידע על יותר מ-10,000 בני אדם; ומי שעיסוקו כרוך בניטור שוטף ושיטתי של בני אדם בהיקף ניכר, או בעיבוד מידע בעל רגישות מיוחדת בהיקף ניכר.
לפי החוק הוא מכין תוכנית הדרכה ובקרה, מטפל בפניות ומשמש איש קשר מול הרשות. בפועל הוא גם מייעץ להנהלה ולעובדים, עוקב אחר העמידה בדין ומסייע בהערכות ובהדרכות. כדי שיוכל לעשות זאת צריך לערב אותו בזמן אמת בהחלטות שנוגעות למידע, ולא רק בדיעבד.
למנכ״ל, או למי שכפוף למנכ״ל ישירות. המטרה היא עצמאות: ממונה שמדווח לדרג הבכיר יכול לחוות דעה ולהתריע בלי שהאינטרס העסקי ישתיק את שיקול הדעת המקצועי שלו.
רק תפקיד שאינו יוצר ניגוד עניינים, שכן החוק אוסר עליו תפקיד כזה. כשבוחנים מינוי של עובד קיים, בודקים אם תפקידו האחר יעמיד אותו בפיקוח על תחום שהוא עצמו אחראי לו.
כן. ממונה חיצוני מביא מומחיות ואובייקטיביות, ולעיתים הוא הפתרון המעשי לארגון שאין לו משאב פנימי מתאים. גם ממונה חיצוני אסור שיהיה במצב של ניגוד עניינים, וצריך לתת לו משאבים וגישה להנהלה. בכל מקרה, האחריות הכוללת לעמידה בדין נשארת של הארגון.
לפי גודל הארגון, מורכבותו ומשאביו. ממונה פנימי מכיר את הארגון ואת התהליכים מבפנים, אבל צריך לוודא שאין לו ניגוד עניינים. ממונה חיצוני רואה את הארגון מבחוץ. השאלה המכרעת היא אם הממונה, מכל סוג, יקבל גישה, משאבים ומעמד שמאפשרים לו לפעול.
גישה למידע ולתהליכים הרלוונטיים, מעורבות בהחלטות שיש להן השלכה על הגנת המידע, משאבים, ומסלול דיווח לדרג הבכיר. כדאי לעגן בנוהל כתוב את סמכויותיו, את מסלול הדיווח ואת המשאבים שיעמדו לרשותו.
הוא חשוף לאכיפה. סעיף 23כה מסמיך את ראש הרשות להגנת הפרטיות, אחרי שמיעת טענות, להורות על הפסקת הפרה, ופגמים במינוי הממונה הם אחד המקרים שבהם הדבר אפשרי. על הוראה כזו אפשר לערער תוך 45 ימים לבית משפט השלום. מעבר לאכיפה, בארגון בלי ממונה לרוב אין מי שמחזיק את התמונה הכוללת של ניהול המידע.
בודקים ומתעדים. ההנחה שהחובה אינה חלה, בלי בדיקה מסודרת של אופי הפעילות, היקף המידע ורגישותו, היא סיכון בפני עצמה. וגם כשהמינוי אינו חובה, הגדרה ברורה של מי אחראי לפרטיות בארגון מפחיתה סיכון.
בודקים אם חלה חובת מינוי; מאתרים מועמד, פנימי או חיצוני, בעל ידע ועצמאות; מגדירים בכתב את סמכויותיו, את מסלול הדיווח ואת המשאבים; ומשלבים את התפקיד במערך הרחב של ממשל הפרטיות, ובארגון שמטמיע AI גם בממשל הבינה המלאכותית, כך שהגורם האחראי רואה את התמונה כולה.
נושא: בינה מלאכותית וממשל סיכונים
השירות בתחום: ייעוץ וחוות דעת שנייה בנושא AI
ייעוץ וחוות דעת נדל״ן · ייעוץ וחוות דעת AI · ייעוץ משפטי · גישור ויישוב סכסוכים · מאמרים · שאלות ותשובות · מבדק מוכנות · לתיאום פגישת ייעוץ
כל שינוי בקוד נבדק בשער פיתוח מאובטח לפי עקרונות OWASP Top 10, ISO/IEC 27001:2022 (A.8.28) ו-NIST SSDF. בדיקה אחרונה: 2.11.2026. פירוט הבקרות