מאז תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025, ארגונים רבים שואלים את אותה שאלה: האם אנחנו חייבים למנות ממונה הגנת פרטיות, בקיצור DPO? התשובה אינה "כולם" ואינה "אף אחד". התשובה תלויה בסוג הארגון, בסוג המידע שהוא מחזיק ובמהות הפעילות שלו. במאמר הזה נסביר את העקרונות, ואיך בודקים את המצב אצלכם.
המאמר כללי ואינו מחליף בדיקה של צרכי הארגון. נוסח של החוק, וההנחיות של רשות הגנת הפרטיות, הם המקור המחייב.
מה זה בעצם ממונה הגנת פרטיות
הממונה הוא בעל תפקיד בארגון (או נותן שירות חיצוני) שאחראי לוודא שהארגון עומד בדרישות דיני הגנת הפרטיות: אופן איסוף המידע האישי, למה הוא משמש, מי ניגש אליו ואיך הוא נשמר. על הרקע ועל התפקידים אפשר לקרוא בעמוד ממונה הגנת פרטיות.
מי חייב במינוי DPO
החוק מגדיר את הגופים שחלה עליהם חובת מינוי. בתמצית, ומבלי להחליף את הנוסח המעודכן בחוק, מדובר בין היתר ב:
- גופים ציבוריים. מחוייבים במינוי ממונה.
- גופים שעיקר פעילותם סחר במידע או מסירתו. למשל מי שמחזיק ומנהל מאגר מידע כדי להעביר או למסור אותו לאחרים תמורת תשלום.
- גופים שהפעילות המרכזית שלהם כרוכה בניטור שיטתי ורחב היקף של מידע אודות אנשים. כמו מעקב מתמשך אחר דפוסי התנהגות, מיקום או הרגלים של לקוחות או משתמשים.
- גופים שהפעילות המרכזית שלהם כרוכה בעיבוד מידע בעל רגישות מיוחדת בהיקף משמעותי. מידע רפואי, גנטי, ביומטרי או מידע כלכלי הם דוגמאות מוכרות.
המילים החשובות הן "פעילות מרכזית" ו"היקף משמעותי". עסק קטן שמחזיק פרטי קשר של לקוחות אינו נמצא בהכרח בקבוצה הזו, ואילו מרפאה, חברת אפליקציה שאוספת נתוני מיקום, או חברה המנהלת מידע רפואי של אלפי אנשים, עשויות להיות מחוייבות במינוי DPO.
איך בודקים אם החובה חלה עליכם
שאלות שכדאי לעבור עליהן:
- איזה סוג מידע אתם מחזיקים? פרטי קשר בלבד, או גם מידע רפואי, כלכלי, ביומטרי או מידע המפרט דעות ואמונות.
- כמה אנשים מוגדרים במאגרים שלכם? היקף גדול של פרטי אנשים משנה את התמונה.
- האם המידע הוא הליבה העיסקית או תוצר לוואי? הפעילות המרכזית היא זו שבלעדיה העסק לא היה פועל כפי שהוא.
- האם אתם עוקבים אחרי אנשים באופן שיטתי? מצלמות, מערכות מעקב, ניתוח התנהגות באתר או באפליקציה.
- האם אתם מעבירים או משתפים מידע עם אחרים או מקבלים אותו מאחרים? ספקי ענן, חברות שיווק, שותפים עסקיים.
- האם אתם גוף ציבורי או פועלים מטעם גוף ציבורי?
אם לשאלות אחדות התשובה חיובית, כדאי לא להמתין ולבדוק את הנושא ברצינות.
דוגמאות להמחשה
הדוגמאות הבאות הן להמחשה בלבד, והתשובה בכל מקרה תלויה בנסיבות:
- מרפאה או מכון רפואי המחזיקים תיקים רפואיים של מטופלים. מידע רפואי מוגדר כמידע רגיש, והוא חלק מהפעילות המרכזית, ולכן כדאי לבדוק היטב אם החובה חלה.
- אפליקציה האוספת נתוני מיקום והתנהגות של משתמשים באופן רציף. ניטור שיטתי כזה הוא סימן שמצדיק בדיקה.
- משרד קטן שמחזיק רשימת לקוחות ופרטי קשר. בדרך כלל זה אינו המצב שהחוק התכוון אליו כחובת מינוי, אבל החובות האחרות בחוק נשארות.
- חברה שמעבירה או מוכרת רשימות תפוצה. אם זו פעילות מרכזית, ייתכן שהיא בקבוצה החייבת במינוי.
הדוגמאות ממחישות שאין כלל פשוט לפי גודל או ענף. הבדיקה צריכה להיות פרטנית ביחס לכל ארגון, ולהתבסס על מה שהארגון עושה בפועל עם המידע.
ומה אם החובה לא חלה?
גם ארגון שאינו חייב למנות ממונה כפוף לחובות אחרות בדיני הגנת הפרטיות: לגבי מדיניות פרטיות, אבטחת מידע, הודעה למי שמסרו את המידע, ומתן זכות לעיין במידע ולתקנו. במקרים כאלה ארגונים רבים בוחרים למנות ממונה מרצון, כדי שיהיה מי שמבין את התחום, מתעד את ההחלטות ומעדכן את ההנהלה.
ממונה פנימי או חיצוני
הארגון יכול למנות עובד שיכהן בתפקיד, או לקבל שירות מגורם חיצוני. כל אחת מהדרכים כרוכה בשיקולים: ידע מקצועי, ניגוד עניינים, זמינות ועלות. אם מדובר בעובד, חשוב שלא יהיה לו תפקיד אחר שיוצר ניגוד עניינים מול תפקיד הממונה. השוואה בין האפשרויות תפורט במאמר נפרד.
מה כדאי לעשות בפועל כאשר מאפיינים את הארגון
- למפות את המידע. אילו מאגרים יש, מה בהם, ומי ניגש אליהם.
- לבדוק את סיווג המידע. מידע רגיש מחייב דרישות מחמירות יותר.
- לתעד את הבדיקה. גם כשמסקנת הבדיקה היא שאין חובת מינוי, כדאי לשמור את הנימוקים בכתב.
- לעדכן את מדיניות הפרטיות והנהלים. לא רק לפי שאלת הממונה, אלא גם לפי שאר דרישות התיקון.
- להתייעץ בזמן. כשיש ספק, עדיף לברר לפני שמתעורר אירוע.
טעויות נפוצות
- להניח שרק חברות גדולות חייבות מבלי לתת את הדעת לכך שהתנהלות האירגון פעמים רבות מצריכה מינוי.
- להניח שלא חלה חובה רק כי לא מחזיקים "מאגר" במובן הצר של המילה.
- למנות ממונה בשם בלבד, בלי סמכות, זמן ותמיכה מההנהלה.
- לא לתעד את ההחלטה אם למנות או לא.
לסיכום
השאלה אם חייבים למנות ממונה הגנת פרטיות תלויה בסוג הארגון, במידע שהוא מחזיק ובמהות הפעילות. כדאי לבדוק ולאפיין זאת באופן מסודר תוך תיעוד איפיון והמסקנה. אם אתם לא בטוחים אם החובה חלה עליכם, אפשר לפנות אלינו לבדיקה ראשונה. המידע במאמר הוא כללי ואינו מהווה ייעוץ משפטי.
המידע באתר הוא כללי ואינו מהווה ייעוץ משפטי. פרסום עורך דין.
מאמרים קשורים
- רכישת נכס בדובאי
מה בודקים לפני קניית דירה בדובאי: אזורי בעלות, שטר בעלות, דירה על הנייר, חשבון נאמנות, עורך דין עצמאי, ייפוי כוח נוטריוני ודיווח בישראל.
- רכישת דירה בקפריסין
מה בודקים לפני קניית דירה בקפריסין: שטר בעלות, שעבודים, היתרי בנייה, דירה על הנייר, עורך דין עצמאי, ייפוי כוח נוטריוני ואפוסטיל, ודיווח בישראל.
- רכישת נכס ביוון
מה בודקים לפני קניית נכס ביוון: בדיקת בעלות ורישום, עורך דין עצמאי, ייפוי כוח נוטריוני עם אפוסטיל, חוזה, נוטריון יווני ודיווח בישראל.