מי חייב במינוי ממונה הגנת פרטיות לפי תיקון 13, ומה זה אומר בפועל

מה זה בכלל ממונה הגנת פרטיות

ממונה הגנת פרטיות (בעגה המקצועית: DPO, ראשי תיבות של Data Protection Officer) הוא בעל תפקיד האחראי לוודא שהארגון עומד בדרישות חוק הגנת הפרטיות — כולל האופן שבו נאסף, מעובד, מאוחסן ומוגן מידע אישי. לפני תיקון 13 זה היה בגדר המלצה טובה. אחרי התיקון, עבור חלק מהעסקים זו חובה שיש לה גם משמעות אכיפתית.

מי חייב במינוי בפועל

החוק לא קובע חובה גורפת לכל עסק — הוא תלוי בסוג הגוף, בהיקף המידע שהוא מחזיק ובאופי העיבוד. באופן כללי, הנטייה למינוי חובה חזקה יותר אצל גופים ציבוריים, וכן אצל עסקים פרטיים שפעילותם המרכזית כרוכה בעיבוד שיטתי או בהיקף משמעותי של מידע אישי — למשל מידע רפואי, פיננסי, או מאגרי מידע גדולים על אנשים פרטיים. אין מספר "קסם" אחד (כמות עובדים, למשל) שקובע לבד אם החובה חלה עליכם — זו שאלה שתלויה בשילוב של כמה פרמטרים, ולכן היא בדיוק סוג השאלה שכדאי לבדוק לגופה ולא לנחש.

גם אם המינוי הפורמלי לא חל עליכם באופן מוחלט, ברוב המקרים יש ערך מעשי במינוי מישהו שאחראי על הנושא — כי ברגע שרגולטור, מבטח או לקוח עסקי שואל "מי אצלכם אחראי על הגנת מידע", התשובה הטובה ביותר היא שם של אדם, לא "זה מוטמע אצל כולם".

מה בתפקיד בפועל

ממונה הגנת פרטיות לא חייב להיות שכיר חיצוני מיוחד, ובעסק קטן-בינוני זה לרוב לא מציאותי. מה שכן חשוב:

• עצמאות מקצועית. לממונה צריכה להיות אפשרות אמיתית להעלות בעיות, לא רק "לחתום" על מה שכבר הוחלט.
• גישה בפועל למידע ולתהליכים — לא רק תואר, אלא ידיעה אמיתית איפה המידע נמצא ואיך הוא זורם בארגון.
• ערוץ תקשורת ברור — גם פנימה (להנהלה) וגם החוצה (לרשות להגנת הפרטיות, במקרה הצורך).

הטעות הנפוצה: מינוי "על הנייר" בלבד

ראינו את זה הרבה: עסק ממנה מישהו לתפקיד, מעדכן מסמך פנימי, ובזה נגמר התהליך. הבעיה: אם קורה אירוע ואז מתברר שהממונה לא ידע כלום על המערכות בפועל, לא היה מעורב בהחלטות, ולא קיבל שום סמכות אמיתית — המינוי הפורמלי לא שווה הרבה. מינוי אמיתי דורש שהאדם הזה יידע לענות על השאלה "איפה המידע האישי שלנו נמצא, מי ניגש אליו, ומה קורה אם הוא דולף" — לא רק לחתום שהוא מודע לחוק.

איך יודעים אם זה חל עליכם

זו בדיוק השאלה שאבחון הבסיס (Baseline Sprint) שלנו עונה עליה, ספציפית לעסק שלכם — לא רשימת תיוג גנרית. אנחנו ממפים את סוג המידע שאתם מחזיקים, את היקף העיבוד, ואת הפערים מול תיקון 13, ומגיעים למסקנה מבוססת במקום ניחוש.

אתם עורכי דין? אתם קובעים אם חובה עלינו למנות ממונה?

לא. הכתוב במאמר זה הוא הסבר טכני כללי ואינו ייעוץ משפטי. אנחנו ממפים ומיישמים בקרות טכניות; לקביעה משפטית מדויקת של החבות שלכם יש להתייעץ עם עורך דין המתמחה בתחום — ובמקרים רבים אנחנו עובדים לצד עורך הדין שלכם, לא במקומו.

אפשר שהממונה יהיה מישהו מהצוות הקיים, ולא תפקיד נפרד?

ברוב עסקי ה-SME זה בדיוק המצב המעשי, ולרוב אין מניעה עקרונית — כל עוד יש לאותו אדם עצמאות מקצועית אמיתית, גישה בפועל למידע, וסמכות להעלות בעיות בלי לחשוש מניגוד עניינים מול תפקידו האחר. הבדיקה אם התפקיד הספציפי שלו מתאים היא חלק ממה שאבחון הבסיס בודק.