ממונה הגנת הפרטיות: מי חייב למנות, ומי לא יכול לכהן

הרשות להגנת הפרטיות פרסמה ביולי 2026 את גילוי הדעת הסופי בעניין חובת מינוי ממונה על הגנת הפרטיות. הפרט שיפתיע ארגונים רבים אינו מי חייב למנות, אלא מי אינו יכול לכהן בתפקיד.

חובת המינוי נכנסה לתוקף באוגוסט 2025, במסגרת תיקון 13 לחוק הגנת הפרטיות. גילוי הדעת הסופי פורסם כשנה לאחר הטיוטה, והוא מציג את עמדתה הפרשנית של הרשות, שלפיה היא תפעיל את סמכויות האכיפה שלה, לרבות הטלת עיצומים כספיים (law.co.il, 20.7.2026).

מי חייב למנות

גילוי הדעת מפרט ארבע קטגוריות: גופים ציבוריים ובעלי מאגר; סוחרי מידע שמחזיקים מידע על יותר מעשרת אלפים אנשים; ארגונים שעיסוקם כולל ניטור שיטתי של אנשים; ובעלי שליטה או מחזיקים שפעילותם העיקרית כרוכה בעיבוד מידע רגיש בהיקף משמעותי.

הקטגוריה הרביעית היא זו שתופסת ארגונים שלא חשבו שהיא נוגעת להם. ״היקף משמעותי״ הוא מבחן איכותי, ולא מספרי, ומרפאה, קופת גמל, חברת גיוס עובדים או פלטפורמה שמנהלת נתוני בריאות של לקוחותיה עשויות למצוא את עצמן בתוכה. זו גם הנקודה שבה ארגון צריך לקבל החלטה מתועדת, ולא להסתמך על תחושה.

מי לא יכול לכהן

הרשות קובעת שהממונה ידווח ישירות למנכ״ל, ולא יחזיק בתפקיד שיש בו סמכות לקבוע מדיניות עיבוד מידע. ההשלכה המעשית חדה: לגבי מנהל מערכות המידע והכפופים לו קיים ככלל ניגוד עניינים. שילוב התפקיד עם מנהל אבטחת המידע מעורר אף הוא קושי, ומחייב בחינה פרטנית ותיעוד הנימוקים.

זו הוראה שמבטלת את הפתרון הנפוץ ביותר. ארגונים רבים מינו את מי שכבר עוסק בנתונים, משום שהוא זה שמכיר אותם. גילוי הדעת אומר שדווקא ההיכרות הזו היא הבעיה, כי הממונה אמור לבקר את מי שמעבד, ולא להיות הוא.

מה נדרש ממנו

ידע עמוק בדיני הפרטיות בישראל, ובכלל זה חקיקה, פסיקה והנחיות הרשות. הכרת רגולציה זרה כמו GDPR אינה חובה, אך מומלצת לארגונים בעלי פעילות בינלאומית. הרשות מבהירה שתואר אקדמי אינו נדרש, ושהמומחיות צריכה להיות ניתנת להוכחה בניסיון מעשי ממשי, רצוי לצד הכשרה בסיסית.

מעבר לכישורים שבחוק, הרשות מונה כישורים שאינם משפטיים: הכרה בערך הגנת הפרטיות, כישורים בין-אישיים וניהוליים, יכולת להוביל תהליכים, עבודת צוות, כושר שכנוע ושליטה בשפה שבה עובד הארגון. הרשימה הזו מתארת תפקיד של מוביל שינוי, לא של יועץ.

פנימי או חיצוני

רק יחיד יכול להתמנות, ולא תאגיד, אף שהוא רשאי להעסיק צוות מסייע או לספק שירות באמצעותו. הגרסה הסופית ריככה את לשון הטיוטה: העסקה פנימית במשרה מלאה היא ככלל עדיפה, אך מיקור חוץ מותר.

מה זה משנה למי שעובד

ליועצים המשפטיים: שאלת ניגוד העניינים אינה שאלה של מבנה ארגוני בלבד. אם הממונה מכהן היום בתפקיד שגילוי הדעת מסמן, זהו ליקוי קיים ולא סיכון עתידי, והאכיפה כבר הוכרזה.

למי שממנה עכשיו: תעדו את ההחלטה. גם החלטה שלא למנות היא החלטה שצריכה נימוק כתוב, במיוחד בקטגוריה הרביעית שבה המבחן איכותי.

ולמי שעוסק בבינה מלאכותית בארגון: כאן נמצא החיבור. פרויקט AI ארגוני הוא כמעט תמיד פרויקט עיבוד מידע, ולעיתים קרובות מידע רגיש בהיקף משמעותי. הממונה אינו גורם שמאשר בסוף התהליך. אם הוא נכנס אחרי בחירת הכלי, הוא נכנס מאוחר מדי.

מסמך זה הוא ניתוח מקצועי ואינו ייעוץ משפטי. הנוסח המחייב הוא גילוי הדעת עצמו כפי שפורסם על ידי הרשות להגנת הפרטיות.