הרשות להגנת הפרטיות פרסמה את הנוסח הסופי של גילוי הדעת על החובה למנות ממונה על הגנת הפרטיות (DPO) לפי תיקון 13 לחוק הגנת הפרטיות. המסמך, הנושא את התאריך 14 ביולי 2026, מפרט מי חייב במינוי, איך לפרש את המונח "היקף ניכר", ואילו תפקידים מעמידים את הממונה בניגוד עניינים, כולל התייחסות מפורשת ליועץ המשפטי של הארגון.
תיקון מס' 13 לחוק הגנת הפרטיות, התשמ"א-1981, אושר בכנסת ב-5 באוגוסט 2024 ונכנס לתוקף ב-14 באוגוסט 2025. גילוי הדעת מציין שהפרשנות שבו תשמש את הרשות בהפעלת סמכויותיה, לרבות הטלת עיצומים כספיים על הפרת חובת המינוי והוראות נלוות. טיוטה של המסמך פורסמה להערות הציבור בקיץ 2025, ובאוגוסט 2025 הודיעה הרשות על מדיניות אי-אכיפה זמנית לגבי חובת המינוי עד 31 באוקטובר 2025.
מי חייב למנות ממונה
לפי סעיף 17ב1(א) לחוק, כפי שגילוי הדעת מפרש אותו, החובה חלה על ארבע קבוצות:
- גופים ציבוריים כהגדרתם בסעיף 23 לחוק, וגם על "מחזיק" שמעבד מידע עבורם. לפי הרשות, ספק חיצוני שרק מאחסן מידע של גוף ציבורי או מעיין בו נחשב מחזיק, ולכן חייב במינוי בעצמו.
- גופים שעוסקים בסחר במידע (Data Brokers), כשבמאגר מידע על יותר מ-10,000 בני אדם, כולל שירותי דיוור ישיר.
- גופים שעיסוקם העיקרי כרוך בניטור שוטף ושיטתי של בני אדם. הרשות מונה כדוגמאות מעקב אחר משתמשים באפליקציות ובאתרים, פרופיילינג לפרסום ממוקד, דירוג אשראי וחיתום ביטוחי, נתוני מיקום, מכשירים לבישים ומצלמות מעקב.
- גופים שעיסוקם העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר. החוק מונה במפורש בנקים, חברות ביטוח, בתי חולים וקופות חולים.
לגבי "היקף ניכר" (סעיף 17ב1(ב)), הרשות קובעת שאין סף כמותי אחד, ושהשיקולים בחוק, כמו מספר האנשים, היקף המידע ומשך השמירה, אינם מצטברים. דוגמה בולטת מהמסמך: מחזיק שמספק שירותי עיבוד ל-1,000 מאגרים, שבכל אחד מידע רגיש על 100 אנשים בלבד, ייחשב כמי שמעבד מידע רגיש בהיקף ניכר. ההיקף נבחן במצטבר על פני כל הלקוחות. לספקי תוכנה ושירותי ענן שמשרתים ארגונים רבים, זו קביעה משמעותית.
הרשות גם ממליצה לגופים שאינם חייבים, ובמיוחד לגופים דו-מהותיים, לשקול מינוי וולונטרי. היא מזכירה שלפי פרט 2(4) לתוספת החמישית לחוק, מינוי ממונה בגוף שחייב בכך מכוח סעיף 17ב1(א)(3) או (4) עשוי לזכות בהפחתה של 10% בעיצום כספי שיוטל בשל הפרות אחרות.
מה הממונה צריך לדעת ולעשות
לפי גילוי הדעת, הממונה נדרש לידע מעמיק בדיני הגנת הפרטיות, להבנה בטכנולוגיה ובאבטחת מידע, ולהיכרות עם תחומי הפעילות של הארגון. תפקידו כולל ייעוץ להנהלה ולעובדים, הכנת תוכנית הדרכה ופיקוח עליה, בקרה על עמידה בחוק, טיפול בפניות של נושאי מידע וייצוג הארגון מול הרשות. הרשות מדגישה שייעודו אינו רק להבטיח ציות, אלא לקדם את הגנת הפרטיות גם מעבר למינימום שבדין.
סעיף 17ב2(א)(1) קובע שהממונה "ישמש סמכות מקצועית". הארגון לא חייב לקבל את עמדתו, אבל לפי הרשות יש לשקול אותה בכובד ראש ולנמק החלטה שלא לאמץ אותה.
ניגוד עניינים, מיקור חוץ והיועץ המשפטי
סעיף 17ב3(ב) מתיר להעסיק ממונה כנותן שירותים חיצוני. הרשות מבהירה שרק אדם יחיד יכול להתמנות, גם אם ההתקשרות נעשית דרך חברה, ושלרוב יש יתרון לעובד פנימי במשרה מלאה.
לגבי ניגוד עניינים (סעיף 17ב3(ג)), הממונה לא יכול למלא תפקיד שכולל סמכות לקבוע מדיניות עיבוד מידע, או להיות כפוף למי שממלא תפקיד כזה. הרשות מציינת שניגוד עניינים מתקיים פעמים רבות אצל מנהל שיווק, מנהל לקוחות, מנהל כספים ו-CTO, וככלל אצל מנהל מערכות המידע ומי שכפוף לו.
לעורכי דין בארגונים, הסעיף הרלוונטי ביותר עוסק במיקום הממונה. הצבתו בייעוץ המשפטי אפשרית, כל עוד אין ניגוד עניינים, אבל לפי הרשות היא לא בהכרח מיטבית, בגלל ההבדל בין תפקיד היועץ המשפטי (הבטחת ציות) לבין תפקיד הממונה (קידום הפרטיות מעבר לחובה). אם היועץ המשפטי ממלא גם את תפקיד הממונה, עליו להפריד בבירור בין שני הכובעים, למשל בחתימה נפרדת ובתיבת דואר ייעודית לענייני הממונה.