ביום 14 ביולי 2026 פרסמה הרשות להגנת הפרטיות את גילוי הדעת הסופי והמחייב למינוי ממונה על הגנת הפרטיות בארגון(DPO) . מדובר במפת הדרכים לאכיפה רגולטורית ולהטלת עיצומים כספיים בגין אי-עמידה בהוראות החוק.
מעבר לעצם המינוי הטכני, גילוי הדעת מחייב הנהלות בכירות ודירקטורים לבצע התאמות מיידיות במבנה הארגוני, בהגדרות התפקיד ובניהול הסיכונים התאגידי. לפניכם ריכוז התובנות והדגשים האופרטיביים:
- מיפוי התחולה: מי חייב במינוי ממונה סטטוטורי?
החוק וגילוי הדעת מחייבים ארגונים מכלל מגזרי המשק במינוי ,DPO בהתאם לארבעה קריטריונים מרכזיים:
- גופים ציבוריים ודו-מהותיים: משרדי ממשלה, רשויות מקומיות (ובכלל זה וועדים מקומיים), וגופים הממלאים תפקיד ציבורי על פי דין. לעניין גופים דו-מהותיים שאינם גוף ציבורי פורמלי, הרשות ממליצה על מינוי וולונטרי כחלק מחובת הסבירות והמידתיות.
- סחר במידע :(Data Brokers) גופים שעיסוקם העיקרי איסוף מידע ומסירתו לאחר כדרך עיסוק או בתמורה, המחזיקים מידע על למעלה מ-10,000 איש.
- ניטור שוטף ושיטתי: ארגונים שפעילותם כרוכה במעקב, פרופיילינג (Profiling) או ניטור בני אדם בהיקף ניכר (כגון אפליקציות מיקום ובריאות ומתקנים מחוברים לרשת).
- עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר: גופים שעיסוקם העיקרי כולל מידע רגיש (רפואי, ביומטרי, פלילי, פיננסי וכד'). החוק מציין במפורש בנקים, חברות ביטוח, קופות ובתי חולים כחייבים במינוי.
לעניין תאגידים עירוניים, עמדת הרשות היא כי תאגיד עירוני אינו מהווה חלק מן האישיות המשפטית של הרשות המקומית, ולכן לא ייחשב אוטומטית ל"גוף ציבורי" המחויב במינוי אלא אם כן הוא ממלא "תפקיד ציבורי על פי דין" או נכלל בצו שפורסם מכוח סעיף 23 (2)לחוק.
- מלכודת "המחזיק"
החוק אינו מטיל חובת מינוי DPO גורפת על כל "מחזיק" (מי שמעבד או מאחסן מידע עבור אחרים), ואולם, אצל גופים אלה היקף המידע המעובד נבחן במצטבר ביחס לכלל הלקוחות שלהם. כך, חברת שירותים (ענן, תוכנה) המעבדת מעט מידע עבור לקוחות רבים מאוד, תסווג כמי שמעבדת מידע רגיש "בהיקף ניכר" ותחויב במינוי DPO כתנאי לחוקיות פעילותה.
בנוסף, ארגון שאינו גוף ציבורי, אך מחזיק או מעבד מידע עבור גוף ציבורי – מחויב במינוי DPO משל עצמו. כך, תאגיד עירוני המרכז נתונים עבור המועצה, או אגודה שיתופית (תאגיד פרטי) המעניקה לוועד המקומי (גוף ציבורי) תשתיות מחשוב ומזכירות לניהול תושבים וגבייה, מסווגים כ"מחזיקים" של גוף ציבורי ומחויבים בשל כך במינוי ממונה כדין.
- קווים אדומים בממשל התאגידי: איסור ניגוד עניינים והפרדת רשויות
כדי למנוע מצב בעייתי של "הבודק מפקח על עצמו", אוסר החוק על הממונה למלא תפקיד נוסף בארגון (או להיות כפוף לנושא משרה) אם יש בכך כדי להעמידו בחשש לניגוד עניינים במילוי תפקידו לקידום הפרטיות:
- איסור מוחלט על כפל תפקידים מול גורמים עסקיים וטכנולוגיים: נושאי משרה בכירים – כגון מנהל מערכות מידע) מנמ"ר), ,CIO CTO , מנהל שיווק, מנהל לקוחות ומנהל כספים – פסולים לחלוטין מכהונה במקביל כ- ,DPO וכך גם כל עובד הכפוף אליהם במישרין. התפיסה היא שמי שיוזם, מפתח ומתקצב את שיטות העיבוד בארגון, אינו יכול לשמש כגורם העצמאי האמור לבקר ולפקח עליהן.
- ממונה אבטחת מידע (CISO) – איחוד תפקידי CISO וDPO – מותר רק כחריג. ארגון שיבחר בכך חייב לערוך בחינה פרטנית והנמקה בכתב, ולהוכיח כי בעל התפקיד מחזיק בידע משפטי-רגולטורי עמוק בדיני פרטיות וכי עומס המשימות אינו פוגע בתפקודו.
- יועץ משפטי פנימי – צירוף של תפקיד ה DPO -ליועץ המשפטי הפנימי הוא אפשרי, אך מחייב אמצעים ארגוניים המפרידים בין כובע היועמ"ש לכובע הממונה (כגון חתימות ותארים נפרדים, וכתובת דוא"ל ייעודית ונפרדת לנושאי פרטיות).
- מעמד הממונה בארגון: "חובת היוועצות" ודיווח ישיר להנהלה
- הממונה חייב לדווח ישירות למנכ"ל הארגון (או לגורם הכפוף לו במישרין) הצבתו תחת דרגי ביניים אינה חוקית.
- עמדתו המקצועית של ה DPO -אינה בגדר המלצה. החלטת הנהלה לדחות את עמדתו מחייבת שקילה בכובד ראש, הנמקה מפורשת ותיעוד בכתב, בדומה לגורם שיש חובת היוועצות עמו בחוק.
- יש לאפשר לממונה גישה ישירה למערכות ולמסמכי הארגון, ולשתפו מבעוד מועד בדיונים על אפיון מערכות, רכישת תוכנות ופרויקטים בעלי השלכה על מידע אישי.
- במינוי DPO חיצוני, חובה לעגן בהסכם רמת שירות (SLA) את זמינותו ונגישותו הפיזית לארגון.
- סנקציות, אכיפה
תיקון 13 מעניק לרשות סמכות להשתת עיצומים כספיים על גופים שהפרו את החובה למינוי ממונה, או שהפרו את ההוראות המסדירות את עצמאותו ומעמדו. הרשות מבהירה כי "מינוי על הנייר", הצבת הממונה בניגוד עניינים או אי-הקצאת משאבים לטובתו, יגררו סנקציות כספיות כאילו לא מונה ממונה כלל. גובה העיצום הינו דיפרנציאלי: 2 ש"ח לכל אדם שמידע על אודותיו מוחזק במאגר, ו-4 ש"ח לכל אדם כאשר מדובר במידע בעל רגישות מיוחדת.
- צעדים אופרטיביים מומלצים לארגון
- בחינת חובת המינוי: ביצוע בחינה משפטית ובדיקת תנאי הסף והיקף הפעילות (כולל בדיקת "מלכודת המחזיק" מול לקוחות ציבוריים), לצורך הכרעה לגבי מינוי חובה או מינוי וולונטרי.
- בחינת מבנה ארגוני וניגוד עניינים: אם ה DPO -מכהן במקביל כ- CISOאו כגורם ניהולי אחר, חובה להכין מסמך תיעוד והנמקה משפטי המצדיק את כפל התפקידים, כהכנה לביקורת.
- כתב מינוי ונהלים :אישור הנהלה ודירקטוריון לכתב מינוי פורמלי המעגן את כפיפות ה-DPO למנכ"ל, הקצאת משאבים לטובתו ואת חובת ההיוועצות עמו.
- הסכם התקשרות חיצוני: בעיגון ממונה חיצוני, יש להבטיח בחוזה את נוכחותו בארגון ואת היעדר ניגוד העניינים שלו מול לקוחות מקבילים.
- פרסום ורישום: עדכון פרטי הממונה ודרכי ההתקשרות עמו במדיניות הפרטיות המפורסמת לציבור, וכן ברישומי הרשות להגנת הפרטיות.
האמור במאמר זה מהווה סקירה כללית ואינו מהווה ייעוץ משפטי. משרדנו עומד לרשותכם לצורך מיפוי חובות הארגון, הכנת מסמכי תיעוד והנמקה, וניסוח כתבי מינוי ונהלים תאגידיים בהתאם להנחיות החדשות.
