תפקידי ממונה הגנת פרטיות

אחרי תיקון 13 לחוק הגנת הפרטיות, ארגונים רבים מבינים שהם צריכים ממונה הגנת פרטיות, או לפחות מישהו שמבין בנושא. אבל מה הממונה עושה בפועל? האם הוא רק "חותמת" על מסמכים, או גורם שעובד בארגון כל השנה? במאמר הזה נפרט ונסביר את התפקידים העיקריים של הממונה בצורה מעשית.

המאמר כללי ואינו מחליף בדיקה של צרכי הארגון. נוסח החוק וההנחיות של רשות הגנת הפרטיות הם המקור המחייב. השאלה אם הארגון חייב למנות ממונה נבדקת במאמר מי חייב למנות DPO.

הרעיון המרכזי: גורם שמסתכל על המידע מבחינת הפרטיות

ארגון מנהל מידע אישי בכל מחלקה: שיווק, משאבי אנוש, שירות לקוחות, מערכות מחשוב. הממונה הוא בעל התפקיד שמסתכל על כל זה מנקודת המבט של הגנת הפרטיות, מוודא שיש מי שאחראי, ומקדם את הנושא בארגון. בעמוד ממונה הגנת פרטיות אפשר לקרוא על ליווי בתחום.

הנוסח המפורט של תפקידי הממונה ושל הסמכויות שלו קבוע בחוק ובהנחיות הרשות, והמאמר מציג תמונה כללית.

התפקידים העיקריים

1. מיפוי המידע

השלב הראשון הוא להבין איזה מידע יש בארגון: מאיפה הוא מגיע, מה בו, איפה הוא נשמר, מי ניגש אליו ולאן הוא עובר. בלי מיפוי אי אפשר לקבוע מדיניות, ולכן הממונה בדרך כלל מתחיל משם, ומעדכן את המיפוי כשמשהו משתנה.

2. מדיניות ונהלים

הממונה מסייע בגיבוש ובעדכון של מסמכי היסוד: מדיניות פרטיות, נוהל אבטחת מידע, נוהל לטיפול בפניות של אנשים המבקשים לעיין במידע שנשמר עליהם או לתקנו, ונוהל טיפול באירוע אבטחה. חשוב שהמסמכים יתארו את מה שהארגון עושה בפועל, ולא יהיו נוסח כללי שהועתק מארגון אחר.

3. ייעוץ והדרכה

הממונה משמש כתובת לשאלות של ההנהלה והעובדים: האם מותר לאסוף נתון מסוים, איך מנסחים טופס הסכמה, מה בודקים לפני שמטמיעים כלי חדש או מעבירים מידע לספק. בנוסף, הוא מדריך עובדים, בעיקר אלה שנחשפים למידע אישי במהלך העבודה.

4. בחינה לפני שינויים

כשהארגון מתכנן מערכת חדשה, קמפיין שיווקי או שימוש חדש במידע, כדאי שהממונה ייבחן אותם מראש. קל יותר להתאים תהליך בשלב התכנון מאשר לתקן אותו אחרי שהושק.

5. ספקים וצדדים שלישיים

ארגונים רבים מעבירים מידע לספקי ענן, מערכות דיוור, חברות שכר ועוד. הממונה בודק מה מועבר, מה כתוב בהסכם עם הספק ומה אמצעי האבטחה שהספק מפעיל.

6. טיפול בפניות ובאירועי אבטחה

כשאדם פונה לארגון בבקשה לעיין במידע או לתקנו, הממונה עוזר לוודא שהפנייה מטופלת בצורה נכונה. כשמתרחש אירוע אבטחה, הוא משתתף בבדיקה של היקף האירוע ובהחלטה אם יש חובת דיווח ולמי. פירוט החובות בנושא יובא במאמר נפרד.

7. קשר עם הרשות והנהלה

הממונה הוא איש הקשר של הארגון מול רשות הגנת הפרטיות כשצריך, ומדווח להנהלה על מצב ההיערכות, על פערים שנמצאו ועל פעולות שנדרשות.

מה הממונה לא עושה

• אינו מחליף את ההנהלה. האחריות לעמידה בחוק היא של הארגון. הממונה מייעץ, בודק ומסייע, אך ההחלטות העסקיות נשארות בידי הארגון.
• אינו איש אבטחת מידע בלבד. אבטחת מידע חשובה, אבל הגנת הפרטיות רחבה יותר ועוסקת גם בשאלה אילו נתונים בכלל נאספים ולמה.
• עמידה בדרישות היא תהליך מתמשך המתאפיין בפיקוח ועדכון, ולא מסמך שמכינים פעם אחת ומניחים במגירה.

מה צריך בכדי שהתפקיד יבוצע באופן יעיל ומיטבי

• ידע מקצועי. היכרות עם דיני הגנת הפרטיות לרבות תקנות ה־GDPR ועם אופן עבודת הארגון.
• סמכות וגישה להנהלה. ממונה שאין לו גישה למקבלי ההחלטות לא יוכל להשפיע.
• זמן ומשאבים. תפקיד שניתן "בנוסף לכל השאר" נשאר לרוב 'על הנייר'.
• היעדר ניגוד עניינים. מי שקובע בארגון את מטרות השימוש במידע, למשל מנהל השיווק או מנהל מערכות המידע, למעשה מבקר את עצמו. השוואה בין ממונה פנימי לחיצוני תובא במאמר נפרד.

איך נראית שנה טיפוסית

דוגמה להמחשה בלבד (המבנה משתנה מארגון לארגון): בתחילת התהליך נעשים מיפוי ובדיקת פערים. אחר כך מעדכנים מדיניות ונהלים ומקיימים הדרכה. במהלך השנה בודקים כלים וספקים חדשים, מטפלים בפניות ובאירועים, ובסוף התקופה מדווחים להנהלה ומעדכנים את המיפוי.

טעויות נפוצות

• למנות ממונה בשם בלבד, בלי זמן וסמכות.
• להניח שמספיק לכתוב מדיניות פרטיות באתר.
• לא לערב את הממונה בשלב התכנון של מערכות חדשות.
• לא לתעד החלטות ופעולות.

לסיכום

ממונה הגנת פרטיות הוא גורם הפועל באופן מתמשך בארגון: ממפה מידע, מסייע בגיבוש מדיניות, מייעץ ומדריך, בודק ספקים ושינויים, מלווה פניות ואירועים ומדווח להנהלה. אם אתם רוצים לבדוק את אופן ביצוע התפקיד בארגון שלכם, אפשר לפנות אלינו. המידע במאמר הוא כללי ואינו מהווה ייעוץ משפטי.