עו״ד שחר שוורץ · עורך דין הגנת הפרטיות · רעננה
אני מחזיק בהסמכת DPO ומציע שירות של ממונה חיצוני על הגנת הפרטיות: לעסקים שחייבים במינוי, ולעסקים שרוצים גורם קבוע שאחראי על הנושא.
DPO (ממונה על הגנת הפרטיות) הוא בעל תפקיד שתיקון 13 לחוק הגנת הפרטיות מחייב חלק מהגופים למנות. החוק מתיר להעסיק אותו כנותן שירות חיצוני, בתנאי שהוא אדם מסוים בעל הידע הנדרש, שאין לו ניגוד עניינים ושהוא מדווח ישירות למנכ״ל או למי שכפוף לו במישרין. גם עסק שלא חייב במינוי יכול למנות ממונה מרצון, והרשות להגנת הפרטיות קוראת לשקול זאת.
החובה למנות ממונה על הגנת הפרטיות נוספה בתיקון 13 לחוק הגנת הפרטיות ונכנסה לתוקף ב-14 באוגוסט 2025. סעיף 17ב1 לחוק מונה ארבעה סוגי גופים שחייבים במינוי:
ל"היקף ניכר" אין סף מספרי אחד. לפי גילוי הדעת הסופי של הרשות מ-14 ביולי 2026, בוחנים בין השאר את מספר האנשים, כמות המידע, מגוון סוגי המידע, משך העיבוד ותדירותו ומשך השמירה. לא כל השיקולים צריכים להתקיים יחד. מנגד, עיבוד מידע רגיש רק לצורך העסקת עובדים לא נחשב בדרך כלל ל"עיסוק העיקרי" של הארגון.
אצל מחזיק, ההיקף נבחן במצטבר על כל הלקוחות שהוא מעבד עבורם. בגילוי הדעת מופיעה דוגמה של מחזיק שמעבד 1,000 מאגרים, ובכל אחד מהם מידע רגיש על 100 אנשים בלבד. הוא נחשב למי שמעבד מידע רגיש בהיקף ניכר. זה נוגע ללשכות שכר, למשרדים שמנהלים הנהלת חשבונות עבור לקוחות ולספקי תוכנה שמחזיקים מידע של לקוחות עסקיים.
נתוני שכר ופעילות פיננסית, ומידע שחלה עליו חובת סודיות לפי דין, הם מידע בעל רגישות מיוחדת. לכן משרד רואי חשבון או משרד עורכי דין צריך לבדוק את עצמו ברצינות. הבדיקה לפי מקצוע מפורטת בעמודים על תיקון 13 לרואי חשבון ויועצי מס ועל תיקון 13 למשרדי עורכי דין. הפירוט המשפטי של החובה עצמה נמצא במאמר על ממונה הגנת הפרטיות.
גם כשהבדיקה מעלה שאין חובה, הרשות כתבה בגילוי הדעת שארגונים שלא חלה עליהם חובה צריכים לשקול מינוי. לפי הרשות, ממונה משפר את הציות לחוק, מחזק את האחריות הארגונית על המידע ובונה אמון אצל לקוחות. הרשות פרסמה עמדה דומה כבר בתחילת 2022, כשעוד לא הייתה בחוק חובת מינוי.
בעסק שמחזיק מידע רגיש על לקוחות, למשל משרד שמטפל בתיקי גירושין או משרד שמגיש דוחות שנתיים, ממונה מרצון הוא דרך מסודרת לדעת שמישהו עוקב אחרי החובות. כדאי גם לתעד בכתב את הבדיקה ואת המסקנה שאין חובה. אם הרשות תשאל, יהיה מה להציג.
שימו לב להבחנה אחת. המדריך של הרשות מאפשר הפחתה של 10% בעיצום כספי למי שחייב במינוי ומינה ממונה בפועל, כשהעיצום מוטל בגלל הפרה אחרת. ההפחתה הזו נוגעת לגופים שחייבים במינוי, ולא למינוי מרצון.
החוק אוסר על הממונה למלא תפקיד נוסף, או להיות כפוף לנושא משרה, אם הדבר עלול להעמיד אותו בחשש לניגוד עניינים. המבחן שהרשות קבעה: הממונה לא יכול להחזיק בתפקיד שקובע מדיניות לגבי עיבוד המידע, כלומר מחליט על מטרות העיבוד ועל השיטות והאמצעים. בפועל:
במשרד קטן, שבו השותף המנהל הוא גם מי שמחליט מה עושים עם המידע, קשה למצוא אדם פנימי שעומד בכל התנאים. כאן ממונה הגנת פרטיות חיצוני הוא פתרון מעשי. סעיף 17ב2 לחוק מפרט את תפקידי הממונה, וכך הם נראים בעבודה השוטפת:
רק אדם יכול להתמנות לממונה, גם כשההתקשרות נעשית דרך חברה או משרד. הממונה מדווח ישירות למנכ״ל או למי שכפוף לו במישרין, ולא דרך מנהל ה-IT או מחלקת השיווק. במשרד עורכי דין או רואי חשבון, זה לרוב השותף המנהל. העסק צריך לתת לממונה את התנאים והמשאבים למלא את התפקיד, כולל גישה למסמכים ולמערכות, ולשתף אותו בהחלטות שנוגעות למידע אישי. החוק לא מטיל על הממונה אחריות אישית להפרות של הארגון. האחריות לציות נשארת על העסק.
שירותי DPO לעסקים מתחילים אצלי בשיחת היכרות ובמיפוי המידע שהעסק מחזיק. אחר כך מגדירים בכתב את היקף השירות, את אופן הדיווח להנהלה ואת הזמינות שלי. היקף המשרה נגזר מגודל העסק, מכמות המידע ומרגישותו. כשהעסק משתנה, תוכנית העבודה מתעדכנת. אם מגיעה פנייה מהרשות, הממונה מעורב בה מההתחלה. על השלב הזה כתבתי בעמוד על ייצוג מול הרשות להגנת הפרטיות.
נקודה אחת כדאי להכיר מראש. בגילוי הדעת הרשות מפנה לעמדת רשות הפרטיות הצרפתית, שלפיה עורך דין יכול לשמש DPO חיצוני, אבל לא לייצג את אותו ארגון בבית משפט בתיקים שנוגעים למידע אישי. לכן כדאי לבחון שאלות של ניגוד עניינים עוד לפני תחילת ההתקשרות.
DPO פנימי הוא עובד הארגון, ו-DPO חיצוני הוא נותן שירות. החוק מתיר את שתי האפשרויות. הרשות כתבה שעל פי רוב יש יתרון לעובד במשרה מלאה שמכיר את הארגון מבפנים, אבל את מתכונת ההעסקה בוחנים לפי גודל הארגון, היקף המידע ורגישותו. בעסק קטן או בינוני, ממונה חיצוני בהיקף חלקי הוא לא פעם האפשרות המעשית.
כן. החוק מכיר בממונה שמשמש כמה גופים במיקור חוץ. איסור ניגוד העניינים חל גם עליו, כולל כפיפות לגורם בגוף אחר שעלול להעמיד אותו בחשש לניגוד עניינים, והוא צריך להקדיש לכל ארגון את הזמן שהתפקיד דורש.
לא בהכרח. נתוני שכר ופעילות פיננסית הם מידע בעל רגישות מיוחדת, אבל השאלה היא אם העיבוד הוא חלק מהעיסוק העיקרי ואם הוא בהיקף ניכר. משרד שמעבד שכר עבור לקוחות עסקיים נבחן לפי ההיקף המצטבר של כל המאגרים שהוא מעבד. כל משרד צריך בדיקה משלו.
הרשות מוסמכת להטיל עיצום כספי. לפי המדריך שלה, אי-מינוי ממונה בגוף ציבורי או בגוף שעוסק בסחר במידע עולה 2 ש״ח לכל אדם במאגר (4 ש״ח כשיש בו מידע בעל רגישות מיוחדת), ולא פחות מ-20,000 ש״ח (40,000 ש״ח במידע רגיש). הרשות גם כתבה שתשתמש בסמכויותיה כדי לוודא שהמינויים עומדים בכל דרישות החוק.
החוק דורש ידע מעמיק בדיני הגנת הפרטיות, הבנה הולמת בטכנולוגיה ובאבטחת מידע והיכרות עם תחומי הפעילות של הארגון. לפי הרשות, את הידע המשפטי רוכשים בדרך כלל בניסיון מעשי, ורצוי שהממונה יעבור גם הכשרה בסיסית לפני שהוא נכנס לתפקיד.
ספרו לי מה העסק עושה ואיזה מידע הוא מעבד. נבדוק יחד אם חלה עליכם חובה, ואם לא, אם מינוי מרצון מתאים לכם. נייד 050-582-5872, משרד 09-766-8569.
