ממונה הגנת פרטיות חיצוני

ארגון הנדרש במינוי ממונה הגנת פרטיות, או שבוחר למנות אחד מרצון, עומד בפני שאלה מעשית: האם למנות עובד מתוך הארגון? או לקבל את השירות מגורם חיצוני? אין תשובה אחת נכונה לכל ארגון. התשובה תלויה בגודל, בסוג המידע, בידע הקיים ובתקציב. במאמר הזה נציג את השיקולים שכדאי לבחון.

המאמר כללי ואינו מחליף בדיקה של צרכי הארגון. נוסח החוק וההנחיות של רשות הגנת הפרטיות הם המקור המחייב, ושם גם נבדקות הדרישות לגבי כישורי הממונה ואופן מינויו. השאלה אם הארגון חייב למנות ממונה נבדקת במאמר מי חייב למנות DPO, והתפקידים עצמם מוסברים במאמר תפקידי ממונה הגנת פרטיות.

שתי דרכים למנות ממונה

• ממונה פנימי. עובד בארגון, בדרך כלל עובד קיים, שמקבל את מילוי התפקיד בנוסף ולצד תפקידיו האחרים או כתפקיד מלא.
• ממונה חיצוני. יועץ, משרד או חברה שנותנים לארגון שירותי ממונה לפי הסכם, בהיקף שעות או במתכונת קבועה.

גם מי שבוחר בממונה חיצוני נשאר אחראי כלפי החוק. מינוי של גורם חיצוני אינו מעביר את האחריות מהארגון לנותן השירות.

שיקולים בבחירה

1. ידע מקצועי

דיני הגנת הפרטיות מורכבים ומתעדכנים. עובד קיים עשוי להכיר היטב את הארגון אך להיות בעל היכרות פחותה של התחום המשפטי והטכנולוגי, ואילו נותן שירות חיצוני בדרך כלל מתמחה בתחום אבל צריך זמן כדי להכיר את הארגון. אם בוחרים בעובד פנימי, כדאי לתכנן הכשרה מסודרת. אם בוחרים בגורם חיצוני, כדאי לוודא שהוא מכיר את סוג הפעילות של הארגון.

2. ניגוד עניינים

זו אחת השאלות החשובות ביותר. מי שקובע בארגון למה ואיך משתמשים במידע, למשל מנהל השיווק, מנהל מערכות המידע או מנהל משאבי האנוש, עלול למצוא את עצמו מבקר את החלטותיו שלו. לכן חשוב לבדוק מראש אם לעובד המיועד יש תפקיד אחר העשוי ליצור ניגוד עניינים. גם בממונה חיצוני יש לבדוק ניגוד עניינים, למשל כשהוא מספק לארגון גם שירותי טכנולוגיה או אבטחה אותו הוא אמור לבקר.

3. עצמאות ונגישות להנהלה

ממונה שאין לו גישה למקבלי ההחלטות לא יוכל להשפיע. בשני המסלולים חשוב לקבוע מראש למי הוא מדווח, באיזו תדירות, ומה קורה כשיש חילוקי דעות. עצמאות מקצועית חשובה גם לעובד פנימי, שעלול להרגיש לחץ כשהוא עורך ביקורת על החלטות הממונים עליו.

4. זמינות והיכרות עם הארגון

עובד פנימי זמין יותר ביום־יום, מכיר את האנשים והתהליכים ויכול להיות שותף מוקדם לפרויקטים. ממונה חיצוני זמין בדרך כלל לפי שעות שהוסכמו, ולכן כדאי להגדיר מראש זמני תגובה, במיוחד בזמן אירוע אבטחה.

5. עלות

עובד פנימי כרוך בעלות שכר נוספת ובזמן שלוקח מתפקידיו האחרים. שירות חיצוני נמדד לרוב בהיקף שעות או בתשלום קבוע. אין מספר אחד נכון, וההשוואה צריכה לכלול גם את עלות הזמן הפנימי שמושקע בליווי הממונה החיצוני. כדאי לבקש הצעה כתובה שמפרטת מה כלול ומה לא.

6. המשכיות

כשעובד עוזב, הידע עלול לעזוב איתו. בממונה חיצוני יש בדרך כלל המשכיות מקצועית, אבל גם שם כדאי לוודא שהתיעוד נשמר אצל הארגון.

טבלה תמציתית

שיקול	ממונה פנימי	ממונה חיצוני
היכרות עם הארגון	היכרות גבוהה	היכרות הנבנית עם הזמן
ידע בתחום	תלוי בהכשרה	בדרך כלל מתמחה
ניגוד עניינים	צריך לבדוק היטב	צריך לבדוק, בעיקר כשיש שירותים נוספים
זמינות	יומיומית	לפי הסכם
עלות	שכר וזמן	לפי היקף או תשלום קבוע

הטבלה כללית ואינה מחליפה בחינה של הארגון הספציפי.

מה כדאי לקבוע בהסכם עם ממונה חיצוני

אם בוחרים בגורם חיצוני, כדאי להסדיר זאת בכתב:

• היקף השירות. אילו תפקידים כלולים: מיפוי מידע, מדיניות, הדרכות, ליווי ספקים, טיפול בפניות ואירועים.
• היקף שעות וזמני תגובה. במיוחד בזמן אירוע אבטחה.
• גישה למידע ולאנשים בארגון. מי איש הקשר, ולאילו מערכות ומסמכים הממונה זקוק לגישה.
• סודיות. הממונה יחשף למידע רגיש, ולכן נדרשת התחייבות לסודיות ואבטחה גם מצידו.
• ניגוד עניינים. הצהרה בכתב על שירותים אחרים שניתנים לארגון.
• אחריות ודיווח להנהלה. באיזו תדירות ובאיזה פורמט מתקבלים דוחות.
• משך ההסכם וסיומו. כולל העברת התיעוד לארגון בסיום.

מתי בדרך כלל מתאים ממונה חיצוני

דוגמאות להמחשה בלבד, ולא כלל:

• ארגון קטן או בינוני שאין לו עובד עם הידע המתאים, ואין צורך בעבודה יומיומית מלאה.
• ארגון שרוצה גורם עצמאי שאינו כפוף להנהלת המחלקות שהוא בודק.
• ארגון שמתחיל את ההיערכות ורוצה ללמוד מניסיון של מי שליווה ארגונים אחרים.

מתי בדרך כלל מתאים ממונה פנימי

• ארגון גדול, עם מאגרי מידע רבים ופעילות יומיומית שנוגעת בפרטיות.
• ארגון שיש בו עובד עם ידע מתאים, סמכות וזמן, ושאין לו תפקיד שיוצר ניגוד עניינים.
• ארגון שרוצה שהממונה ישתלב מוקדם בפיתוח מערכות ומוצרים.

אפשר גם לשלב: ממונה פנימי שמלווה אותו יועץ חיצוני לסוגיות משפטיות או טכניות מורכבות. גם כאן חשוב להגדיר מי אחראי על מה.

טעויות נפוצות

• למנות את מי שפנוי וזמין באותה עת, בלי לבדוק ידע וניגוד עניינים.
• למנות ממונה בשם בלבד, בלי זמן, סמכות ותמיכה מההנהלה.
• להניח שמינוי של גורם חיצוני פוטר את הארגון מאחריות.
• לחתום על הסכם בלי להגדיר מה כלול בשירות ומה זמני התגובה.
• לא לתעד את ההחלטה ואת שיקוליה.

לסיכום

ממונה פנימי וחיצוני הם שני מסלולים לגיטימיים, ולכל אחד יתרונות וחסרונות. ההחלטה צריכה להתבסס על ידע, ניגוד עניינים, זמינות, עלות והיקף הפעילות של הארגון, ולהיות מתועדת. אם אתם שוקלים איזה מסלול מתאים לכם, אפשר לפנות אלינו לבדיקה ראשונה. המידע במאמר הוא כללי ואינו מהווה ייעוץ משפטי.