סוף עידן המינויים הפורמליים: הרשות להגנת הפרטיות משנה את כללי המשחק
כניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות(סעיף 17ב1) עיגנה לראשונה בחקיקה הישראלית את החובה למנות ממונה על הגנת הפרטיות.
בעקבות התיקון, פרסמה הרשות להגנת הפרטיות גילוי דעת רשמי ומקיף, המבהיר באופן חד-משמעי: תם עידן המינויים הפיקטיביים.
הרשות הבהירה כי הטלת תפקיד ה-DPO כ"תואר סמלי" ללא סמכויות, ללא עצמאות מקצועית, או תוך ניגוד עניינים מובנה – חושפת את הארגון ואת מנהליו לעיצומים כספיים כבדים ולהליכי אכיפה מנהליים ופליליים.
4 הקטגוריות: מי חייב למנות DPO לפי החוק וגילוי הדעת?
חובת המינוי חלה על ארגונים העונים על אחד מארבעת הקריטריונים הבאים:
-
גופים ציבוריים: משרדי ממשלה, רשויות מקומיות, תאגידים סטטוטוריים, קופות חולים ומוסדות ציבור (למעט גופי ביטחון מוחרגים).
-
גופים העוסקים בסחר במידע ובדיוור ישיר (Data Brokers): כל גורם שעיסוקו המרכזי הוא איסוף מידע אישי במטרה להעבירו לאחר בתמורה או כדרך עיסוק, ומאגרו כולל מידע על יותר מ-10,000 בני אדם.
-
גופים שעיסוקם כולל "ניטור שוטף ושיטתי של בני אדם בהיקף ניכר":
-
מעקב אחר התנהגות, מיקום או פעילות משתמשים.
-
חברות תקשורת, ספקי שירותי אינטרנט, חברות פרסום דיגיטלי (Ad-Tech), ומפעילי אפליקציות ואתרים המבצעים פרופילינג ואנליטיקה התנהגותית.
-
-
גופים שעיסוקם כולל עיבוד בהיקף ניכר של "מידע בעל רגישות מיוחדת":
-
בנקים, חברות ביטוח וגופים פיננסיים.
-
בתי חולים, מרפאות וחברות Health-Tech (מידע רפואי וגנטי).
-
ארגונים המעבדים מידע ביומטרי, נתוני אשראי או מידע רגיש על קטינים כחלק מפעילות הליבה שלהם.
-
החידוש הקריטי לספקי ענן, SaaS וחברות טכנולוגיה (מחזיקים):
גילוי הדעת קובע כי בחינת "היקף ניכר" אצל ספק שירות חיצוני (מחזיק) נמדדת במצטבר על פני כלל לקוחותיו. חברת SaaS שמנהלת מידע עבור עשרות לקוחות – גם אם כל לקוח בפני עצמו הוא קטן – נחשבת כמעבדת מידע בהיקף ניכר ומחויבת במינוי DPO.
מוקש ניגוד העניינים: אילו בעלי תפקידים נפסלו מלשמש כ-DPO?
גילוי הדעת מקדיש מקום מרכזי לחובת העצמאות של ה-DPO וקובע איסורים ברורים:
-
פסילה מוחלטת של מנהל מערכות מידע (CIO / מנהל IT):הרשות קבעה ניגוד עניינים קטגורי – מי שמנהל את התשתיות, השרתים והמערכות אינו יכול לשמש בו-זמנית כמבקר של תהליכי עיבוד המידע.
-
פסילה של קובעי מטרות העיבוד:מנהלי שיווק (CMO), מנהלי טכנולוגיה (CTO), מנהלי כספים (CFO) ומנהלי מוצר אינם יכולים לשמש כ-DPO, שכן הם מגדירים אילו נתונים ייאספו ולשם מה.
-
היועץ המשפטי הפנימי :מינויו אפשרי אך מותנה בהפרדה ארגונית ודיגיטלית מוקפדת (תיבת מייל נפרדת, חתימה ייעודית ונטרול ניגודי עניינים בעת ייצוג החברה מול תובעים).
היתרון הייחודי של עו"ד שחר שוורץ: שילוב מומחיות משפטית והסמכות CISO ו-DPO
גילוי הדעת מדגיש כי ה-DPO נדרש לידע מעמיק בדיני הגנת הפרטיות לצד הבנה טכנולוגית מעשית באבטחת מידע וארכיטקטורת רשת.
עו"ד שחר שוורץ נמנה על קבוצה מצומצמת וייחודית של כ-10 עורכי דין בלבד בישראל המחזיקים בשילוב ההסמכות הבכיר:
-
CISO: מנהל אבטחת מידע בכיר.
-
DPO: ממונה הגנת פרטיות.
שילוב נדיר זה מעניק לארגון מעטפת מלאה:
-
DPO חיצוני עצמאי ונטול ניגודי עניינים (DPO as a Service): מילוי החובה הרגולטורית בסטנדרט הגבוה ביותר ללא יצירת עומס על מצבת כוח האדם הפנימית.
-
שפה משותפת עם אנשי הפיתוח וה-IT: הבנה ישירה של בסיסי נתונים, שרתי ענן, קובצי לוג וטכנולוגיות הצפנה.
-
חסינות מול ביקורות הרשות: גיבוי תהליכי עיבוד המידע בחוות דעת משפטיות-טכנולוגיות מנומקות.
DPO פנימי מול DPO חיצוני: מה עדיף לארגון?
החוק וגילוי הדעת מעניקים מעמד שווה לשני המודלים:
| פרמטר | DPO חיצוני (DPO as a Service) | DPO פנימי (עובד חברה) |
| עצמאות ומניעת ניגוד עניינים | מלאה ומוחלטת (אינו מושפע מלחצים פנים-ארגוניים) | דורשת הגנות מבניות והפרדת תפקידים קפדנית |
| מומחיות רוחבית ועדכנית | ניסיון עשיר ממגוון ענפים, תקדימים וביקורות | היכרות ספציפית ומעמיקה עם החברה |
| עלויות והיקף משרה | גמיש וחסכוני (התאמה מלאה להיקף פעילות הארגון) | עלות העסקה של משרה מלאה ובכירה |
| כפיפות ישירה להנהלה | דיווח ישיר ומובנה למנכ"ל / לדירקטוריון | חובה לוודא כפיפות ישירה למנכ"ל |
צעדי פעולה מיידיים שכל ארגון חייב לבצע
-
ביצוע תסקיר חובת מינוי :בחינה משפטית מנומקת האם הפעילות שלכם נופלת תחת אחת מארבע הקטגוריות.
-
חובת תיעוד גם בהיעדר מינוי:הרשות מבהירה: אם החלטתם שאינכם חייבים במינוי DPO, ההחלטה והנימוקים חייבים להיות מתועדים בכתב לצורך הצגתם בעת ביקורת.
-
הגדרת סמכויות ותקציב לממונה:ככל שמונה DPO, יש לוודא כי הוא מדווח ישירות למנכ"ל, מעורב בכל פרויקט טכנולוגי חדש, וכי פרטיו דווחו כדין לרשות להגנת הפרטיות.
שאלות ותשובות
האם ה-DPO נושא באחריות פלילית או אישית בגין הפרות של החברה?
לא. גילוי הדעת מבהיר כי ה-DPO הוא גורם מבקר, מנחה ומייעץ. האחריות המשפטית המלאה לציות לחוק נותרת תמיד על כתפי הארגון ונושאי המשרה בו.
האם חברה חיצונית יכולה להתמנות כ-DPO?
ההתקשרות החוזית יכולה להיעשות מול חברה חיצונית, אך גילוי הדעת קובע כי המינוי בפועל חייב להיות פרסונלי ושמי של אדם טבעי (יחיד) בעל הכישורים הנדרשים.
האם חובה למנות DPO במשרה מלאה?
לא בהכרח. היקף המשרה נגזר מהיקף ומורכבות עיבוד המידע בארגון. בארגונים רבים, מינוי DPO חיצוני בהיקף שעות חודשי מוגדר מעניק מענה מלא לדרישות החוק.
מה המשמעות של אי-מינוי DPO בארגון שמחויב בכך?
אי-מינוי DPO מהווה הפרה ישירה של החוק, החושפת את הארגון לעיצומים כספיים כבדים בהתאם לתיקון 13, לצד הוצאת צווי עשה ופגיעה במוניטין העסקי.
סיכום
הנחיות הרשות להגנת הפרטיות מבהירות כי מינוי DPO הוא נדבך קריטי בניהול סיכוני הדאטה והסייבר של כל חברה מודרנית. מינוי מקצועי, עצמאי ומוסמך מגן על ההנהלה והופך את הציות ליתרון עסקי מול לקוחות ומשקיעים.
רוצים לוודא עמידה בהנחיות החדשות או זקוקים לשירותי ממונה הגנת פרטיות (DPO)?
