ביום 14 ביולי 2026 פרסמה הרשות להגנת הפרטיות גילוי דעת מקיף בנושא מינוי ממונה על הגנת הפרטיות (DPO) בהתאם לתיקון 13 לחוק הגנת הפרטיות. פרסום גילוי הדעת מספק לראשונה את עמדתה הרשמית של הרשות ביחס לאופן יישום החובה למנות ממונה על הגנת הפרטיות שנוספה במסגרת תיקון 13 לחוק.

מעבר לפירוט הגופים החייבים במינוי, המסמך מבהיר כיצד יש לפרש מונחים מרכזיים, מהם תנאי הכשירות של הממונה ומהן הדרישות הנוגעות למעמדו ולעצמאותו בארגון.

מי חייב למנות ממונה על הגנת הפרטיות?

תיקון 13 מחייב מינוי ממונה על הגנת הפרטיות במספר סוגי ארגונים, ובהם:

• גופים ציבוריים וכן מחזיקים המעבדים מידע אישי עבורם.
• בעלי מאגרי מידע שמטרתם העיקרית היא איסוף מידע אישי לשם מסירתו לאחר, לרבות נותני שירותי דיוור ישיר, בהתקיים התנאים הקבועים בחוק.
• ארגונים שפעילות הליבה שלהם כוללת ניטור שוטף ושיטתי של בני אדם בהיקף ניכר.
• ארגונים שעיקר פעילותם כולל עיבוד בהיקף ניכר של מידע בעל רגישות מיוחדת, כהגדרתו בחוק.

הבהרות מרכזיות בגילוי הדעת

גילוי הדעת כולל מספר הבהרות בעלות משמעות מעשית.

ראשית, גילוי הדעת מבהיר כי כאשר מחזיק מספק שירותי עיבוד מידע למספר בעלי מאגרי מידע, בחינת היקף פעילותו תיעשה במצטבר ביחס לכלל הלקוחות ולא ביחס לכל לקוח בנפרד. הבהרה זו עשויה להביא לכך שמחזיקים מסוימים יידרשו למנות ממונה אף אם בחינת כל התקשרות בנפרד לא הייתה מקימה את החובה.

שנית, גילוי הדעת מדגיש כי המונח "בהיקף ניכר" אינו נקבע לפי רף מספרי קבוע. יש לבחון כל מקרה לפי מכלול נסיבותיו, ובהן מספר נושאי המידע, סוג המידע, היקף העיבוד, משכו, תדירותו והפריסה הגיאוגרפית. אין מדובר בתנאים מצטברים, וייתכנו גם שיקולים נוספים בהתאם לנסיבות.

הכישורים הנדרשים מהממונה

לפי גילוי הדעת, על הממונה להיות בעל ידע מעמיק בדיני הגנת הפרטיות בישראל, לצד הבנה מספקת בטכנולוגיה, באבטחת מידע ובפעילות הארגון. גילוי הדעת מבהיר כי השתתפות בקורס מקצועי, אף אם נערך בחסותה, אינה מספיקה כשלעצמה, וכי היכרות עם רגולציה זרה, לרבות ה- GDPR, אינה מהווה תחליף לבקיאות בדין הישראלי.

עצמאות והימנעות מניגודי עניינים

גילוי הדעת מדגיש כי על הממונה לפעול באופן עצמאי וללא ניגוד עניינים. ככלל, אין למנות לתפקיד גורם הקובע את מטרות עיבוד המידע או את אופן השימוש בו. גילוי הדעת מציין כדוגמאות לתפקידים העלולים לעורר חשש לניגוד עניינים מנהלי שיווק, כספים, לקוחות ו- CTO, וכן מבהיר כי ביחס למנהל מערכות המידע ולכפופים לו קיים בדרך כלל חשש כזה.

לצד זאת, גילוי הדעת מבהיר כי החוק אינו אוסר כשלעצמו על שילוב תפקיד הממונה עם תפקיד ממונה אבטחת מידע או CISO, אולם הדבר מחייב בחינה פרטנית, הנמקה ותיעוד מתאימים.

תפקידי הממונה

הממונה משמש הסמכות המקצועית בארגון בתחום הגנת הפרטיות. בין תפקידיו: ייעוץ להנהלה ולעובדים, הכנת תוכניות הדרכה, פיקוח על עמידת הארגון בדרישות הדין, טיפול בפניות של נושאי מידע, שיתוף פעולה עם הרשות להגנת הפרטיות ומעורבות בטיפול באירועי אבטחת מידע ובהליכי ציות ארגוניים.

במסגרת תפקידו הוא פועל גם לקידום הציות להוראות הדין ולהטמעת תרבות ארגונית של הגנה על הפרטיות.

מינוי ממונה פנימי או חיצוני

החוק מאפשר למנות ממונה שהוא עובד הארגון או נותן שירותים חיצוני. עם זאת, בכל מקרה נדרש למנות אדם מסוים (ולא תאגיד), להבטיח כי יעמדו לרשותו הזמן, המשאבים והגישה למידע הדרושים לצורך מילוי תפקידו, וכן להבטיח כי ידווח ישירות למנכ"ל או לנושא משרה הכפוף לו במישרין.

המלצות מעשיות לארגונים

לאור פרסום גילוי הדעת, מומלץ לכל ארגון לבחון האם חלה עליו חובת מינוי ממונה, האם זהות הממונה ומבנה התפקיד עומדים בדרישות החוק וגילוי הדעת, והאם הועמדו לרשותו העצמאות, הסמכויות והמשאבים הדרושים למילוי תפקידו.

סקירה זו כוללת מידע תמציתי בלבד שנמסר רק למטרות אינפורמטיביות. המידע כאמור אינו מהווה חוות דעת משפטית או ייעוץ משפטי ואין להסתמך עליו.

לגילוי הדעת המלא של הרשות להגנת הפרטיות, לחצו כאן.