ממשל, סיכונים ופרטיות
ממונה הגנת פרטיות במיקור חוץ - תפקיד שעובד, לא מינוי על הנייר
תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף באוגוסט 2025, וביולי 2026 פרסמה הרשות להגנת הפרטיות את גילוי הדעת הסופי בנושא מינוי ממונה הגנת הפרטיות. מאז אני פוגש שוב ושוב את אותה שאלה: מינינו מישהו, אז למה זה לא עובד?
ברוב המקרים התשובה זהה. מינו את מנהל מערכות המידע, את היועצת המשפטית או את מנהל הכספים, וקיבלו תפקיד שאיש לא הקצה לו זמן, שיושב בניגוד עניינים מובנה מול התפקיד העיקרי, ושאין לו את השליטה בדין שהרשות מצפה לה. המינוי קיים בפרוטוקול; העבודה לא נעשית.
אני משמש ממונה הגנת פרטיות במיקור חוץ עבור ארגונים שרוצים שהתפקיד יתפקד בפועל: מיפוי מאגרי המידע, נהלים שעובדים לפיהם, הדרכות, טיפול בפניות נושאי מידע, ודוח שנתי שהדירקטוריון יכול לקרוא.
מי חייב למנות ממונה
חובת המינוי חלה על ארבע קבוצות:
| מי | הסבר |
|---|---|
| גופים ציבוריים | רשויות, תאגידים סטטוטוריים וגופים מונחים |
| סוחרי מידע | מי שעיסוקו במידע על 10,000 אנשים ומעלה |
| ניטור שיטתי | ארגונים שעיקר פעילותם כרוך בניטור שיטתי של אנשים |
| מידע רגיש בהיקף ניכר | בעלי מאגר ומחזיקים שעיקר עיסוקם בעיבוד מידע רגיש |
הנקודה שמפתיעה הכי הרבה ארגונים: לביטוי "היקף ניכר" אין סף מספרי. הרשות קבעה שהבחינה נעשית לפי משקלל של קריטריונים - מספר נושאי המידע ושיעורם באוכלוסייה, היקף המידע ומגוונו, תדירות העיבוד ומשכו, תקופת השמירה והפריסה הגיאוגרפית - ושדי בקריטריון אחד כדי להקים את החובה. בפועל זה אומר שגם מאגר קטן יחסית יכול לחייב מינוי.
המשמעות המעשית: ארגון שהניח שהוא פטור כי הוא קטן צריך לבדוק את ההנחה הזו מחדש, ולתעד את הבדיקה. החלטה שלא למנות היא גם החלטה שצריך להסביר אותה.
מה הרשות דורשת מהממונה
גילוי הדעת מציב שלוש דרישות שקובעות אם המינוי עומד במבחן:
- עצמאות וכפיפות. הממונה כפוף ישירות למנהל הכללי. אסור שיחזיק בתפקיד בעל סמכות לקבוע מדיניות עיבוד מידע, ואסור שיהיה כפוף למי שמחזיק בתפקיד כזה.
- היעדר ניגוד עניינים. הרשות מצביעה על חפיפה בעייתית מובנית מול תפקידי מנהל אבטחת מידע, מנהל כספים ומנהל שיווק. הנוסח הסופי רוכך ביחס לטיוטה ודורש בחינה פרטנית מתועדת לכל ארגון, ולא פסילה גורפת.
- כשירות מקצועית. נדרשת שליטה עמוקה בדין הישראלי - חוק, תקנות, פסיקה, הנחיות הרשות וכללים ענפיים - יחד עם הבנה טכנולוגית ובאבטחת מידע. אין דרישה לתואר אקדמי; הכשירות מוכחת בניסיון מעשי משמעותי.
נקודה שכדאי להכיר: הממונה חייב להיות אדם פרטי. אי אפשר למנות חברה.
גילוי הדעת המלא וההנחיות המעודכנות מתפרסמים באתר הרשות להגנת הפרטיות.
DPO במיקור חוץ - מתי זה נכון
גילוי הדעת מאפשר במפורש שני מודלים: העסקה פנימית או נותן שירותים חיצוני. הנוסח הסופי אף ריכך את הטיוטה הקודמת - במקום לקבוע שהעסקה פנימית במשרה מלאה היא האופציה המיטבית, הוא אומר שעל פי רוב קיים יתרון בהעסקה מלאה, בשל ההיכרות העמוקה עם הארגון.
היתרון הזה אמיתי, ולכן שווה לומר בפתיחות מתי מיקור חוץ הוא הבחירה הנכונה ומתי לא:
| מיקור חוץ מתאים כאשר | מיקור חוץ פחות מתאים כאשר |
|---|---|
| הארגון חייב במינוי אך היקף העבודה אינו מצדיק משרה | הארגון מעבד מידע רגיש בהיקף גדול באופן יומיומי |
| כל מועמד פנימי יושב בניגוד עניינים מובנה | יש מועמד פנימי כשיר שאינו בניגוד עניינים |
| נדרשת כשירות בדין שאינה קיימת בארגון | נדרשת נוכחות יומיומית בשטח |
| הארגון בתחילת דרכו ורוצה להקים את התשתית נכון | קיימת כבר תשתית פרטיות בוגרת שצריך רק לתחזק |
חשוב להבהיר נקודה אחת: מיקור חוץ אינו מעביר את האחריות. האחריות נשארת אצל בעל המאגר. מה שהוא כן עושה הוא להבטיח שהתפקיד מאויש במי שיש לו את הזמן, הכשירות והעצמאות לבצע אותו.
מה כולל השירות
- מיפוי מאגרי המידע בארגון והגדרת רמות האבטחה הנדרשות בדין
- בחינת חובת המינוי ותיעוד ההחלטה, כולל מיפוי ניגודי עניינים
- תסקיר השפעה על הפרטיות (DPIA) לפי מתודולוגיית ISO 29134
- כתיבת מדיניות פרטיות ונהלים תפעוליים שהארגון באמת עובד לפיהם
- טיפול בפניות נושאי מידע ומענה בתוך המועדים שהחוק קובע
- הדרכות מודעות לעובדים, מותאמות לתפקידים ולא מצגת אחת לכולם
- ליווי מול ספקים ומעבדי מידע חיצוניים, כולל סעיפי פרטיות בהסכמים
- דוח שנתי להנהלה ולדירקטוריון על מצב הפרטיות בארגון
- זמינות שוטפת לאירועי אבטחת מידע ולשאלות שמגיעות מהשטח
הרקע המקצועי שמאחורי השירות
הסמכת ממונה אבטחת מידע (CISO) והסמכת ממונה הגנת פרטיות (DPO) מאוניברסיטת בר-אילן, ועבודה בפועל כממונה הגנת פרטיות במיקור חוץ בארגונים.
שאלות נפוצות
האם אפשר למנות חברה כממונה הגנת פרטיות?
לא. גילוי הדעת קובע שרק אדם פרטי יכול לשמש ממונה. נותן שירותים חיצוני הוא אדם שממונה בשמו, גם אם ההתקשרות נעשית מול עסק.
האם מנהל אבטחת המידע יכול לשמש גם כממונה הגנת הפרטיות?
הרשות מצביעה על חפיפה בעייתית מובנית בין שני התפקידים, אך אינה פוסלת אותה באופן גורף. נדרשת בחינה פרטנית של הארגון, והחלטה שמתעדת מדוע אין ניגוד עניינים בפועל.
אין לנו 10,000 רשומות - אנחנו פטורים?
לא בהכרח. הסף של 10,000 רלוונטי לסוחרי מידע בלבד. חובה יכולה לקום גם מניטור שיטתי או מעיבוד מידע רגיש בהיקף ניכר, ולביטוי הזה אין סף מספרי.
מה קורה אם לא ממנים?
אי-מינוי הוא הפרה שהרשות מוסמכת להטיל בגינה עיצום כספי. בנוסף, ארגון שמינה ממונה עשוי ליהנות מהפחתה בשיעור העיצום גם בהפרות אחרות.
כמה זמן לוקח להקים את התשתית?
בארגון בינוני, מיפוי המאגרים וכתיבת הנהלים הבסיסיים נמשכים בדרך כלל שישה עד עשרה שבועות. אחרי זה מדובר בליווי שוטף בהיקף קבוע וקטן בהרבה.
הצעד הראשון הוא בדיקה, לא הצעת מחיר
האם אתם חייבים במינוי, ואם כן - מה חסר היום. שיחה של חצי שעה מספיקה כדי לענות על זה.