המאמר נועד למידע כללי ואינו תחליף לייעוץ משפטי המותאם לנסיבות המקרה.
החובה כבר בתוקף — והבדיקה אינה טכנית
תיקון 13 לחוק הגנת הפרטיות הוסיף לראשונה חובה מפורשת למנות ממונה על הגנת הפרטיות בשורה של גופים. החובה נכנסה לתוקף ביום 14.8.2025. גילוי הדעת הסופי של הרשות, שפורסם ביולי 2026, מפרט כיצד תפרש הרשות את תנאי התחולה ואת הדרישות הנוגעות למעמד הממונה. זו אינה רק המלצה ארגונית: הפרת החובה והוראות הנוגעות למעמד הממונה עשויה להוביל להפעלת סמכויות אכיפה ולהטלת עיצומים כספיים. לכן אין להסתפק בשאלה אם הארגון הוא גדול או אם המאגר רשום; יש לבחון את הפעילות בפועל, את מטרות העיבוד ואת תפקיד המידע בליבת העיסוק.
ארבע קבוצות של גופים המחויבים במינוי
החוק קובע ארבע חלופות מרכזיות: גופים ציבוריים ומחזיקים במאגרים של גופים ציבוריים; בעלי שליטה במאגר שמטרתו העיקרית איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה, כאשר המאגר כולל מידע על יותר מ־10,000 בני אדם; בעלי שליטה ומחזיקים שעיסוקיהם העיקריים כוללים או כרוכים בעיבוד המחייב ניטור שוטף ושיטתי של בני אדם בהיקף ניכר; ובעלי שליטה או מחזיקים שעיסוקם העיקרי כולל עיבוד בהיקף ניכר של מידע בעל רגישות מיוחדת. די בהתקיימות אחת החלופות כדי להקים את החובה.
גוף ציבורי — וגם הספק שמעבד עבורו מידע
החובה חלה על בעל שליטה שהוא גוף ציבורי כהגדרתו בחוק, ובהם משרדי ממשלה, רשויות מקומיות וגופים נוספים הממלאים תפקיד ציבורי על פי דין או נכללים בצו המתאים. החובה אינה תלויה בכך שהמאגר חייב ברישום. נקודה משמעותית במיוחד היא תחולת החובה גם על מחזיק במאגר של גוף ציבורי: ספק חיצוני שמאחסן, מעיין, מעבד או מקבל גישה למידע עבור הגוף הציבורי עשוי להיחשב מחזיק ולהידרש למנות ממונה בעצמו. לכן ארגונים המספקים שירותים לרשויות ולגופים ציבוריים צריכים לבחון את החובה גם אם פעילותם אינה נתפסת במבט ראשון כפעילות בתחום הפרטיות.
סחר במידע ושירותי דיוור ישיר
החלופה השנייה מכוונת לבעלי שליטה במאגרים שמטרתם העיקרית איסוף מידע אישי לצורך מסירתו לאחר, כדרך עיסוק או בתמורה, ובמאגר מידע על יותר מ־10,000 בני אדם. התנאים של מסירה כדרך עיסוק או מסירה בתמורה הם חלופיים. החלופה עשויה לכלול גופים העוסקים בסחר במידע במובנו הרחב ושירותי דיוור ישיר. עם זאת, ביחס לחלופה זו המחוקק הטיל את החובה על בעל השליטה; מחזיק במאגר כזה אינו נכנס אליה רק מעצם ההחזקה, אף שהוא עשוי להתחייב במינוי מכוח חלופה אחרת.
מהו ניטור שוטף ושיטתי?
ניטור אינו מוגבל למעקב פיזי. גילוי הדעת מונה בין הדוגמאות מעקב אחר פעילות משתמשים באפליקציות ובאתרים, יצירת פרופילים לצורכי פרסום מותאם או ניהול סיכונים, איסוף נתוני מיקום, התקנים לבישים, מוצרי IoT, מצלמות מעקב ושירותים מקוונים מסוימים. המבחן בוחן אם עיסוקיו העיקריים של הארגון כוללים את פעולות העיבוד או כרוכים בהן בפועל. לכן גם כאשר הניטור אינו המוצר שהארגון מוכר, הוא עשוי להיחשב חלק אינהרנטי מפעילות הליבה ולהקים חובת מינוי.
מידע בעל רגישות מיוחדת ועיבוד שהוא חלק מפעילות הליבה
לא כל ארגון שמחזיק מידע רגיש על עובדיו חייב בממונה מכוח חלופה זו. יש לבחון אם עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר הוא רכיב מרכזי או אינהרנטי בהגשמת מטרותיו העיקריות של הארגון. עיבוד מידע רפואי על מטופלים בבית חולים הוא דוגמה ברורה; לעומת זאת, עיבוד מידע רגיש לצורך ניהול משאבי אנוש בלבד עשוי להיחשב מטרת עזר ולא פעילות ליבה. ההבחנה אינה גורעת מהחובות האחרות החלות על מידע העובדים, אלא נוגעת לשאלת עצם חובת המינוי לפי החלופה הספציפית.
אין מספר קסם ל'היקף ניכר'
החוק וגילוי הדעת אינם קובעים סף מספרי אחד. הבחינה נעשית לפי מכלול שיקולים: מספר האנשים שהמידע מעובד לגביהם ושיעורם באוכלוסייה הרלוונטית; כמות, היקף ומגוון המידע; משך ותדירות העיבוד; תקופת השמירה; והפריסה הגאוגרפית. השיקולים אינם מצטברים. עיבוד מידע על מספר רב של אנשים עשוי להספיק גם ללא מאפיינים נוספים, אך גם מאגר שאינו גדול במיוחד עשוי להיחשב בהיקף ניכר כאשר המידע מגוון, נשמר לאורך זמן או מעובד בתדירות גבוהה. אצל מחזיק יש לבחון במצטבר את כלל נושאי המידע במאגרים של כל הלקוחות שעבורם הוא מעבד מידע.
מי יכול להתמנות ומה צריך לדעת?
הממונה יכול להיות עובד הארגון או נותן שירות חיצוני, וניתן למנות אותו עבור כמה חברות בקבוצה אם הוא מסוגל למלא את התפקיד באופן נאות ביחס לכל אחת מהן. נדרש ידע מעמיק בדיני הגנת הפרטיות והבנה מספקת בטכנולוגיה ובאבטחת מידע, בהתאם לאופי העיבוד ולסיכונים בארגון. אין די בתואר תפקיד. הממונה נדרש ליכולת להוביל תהליכים, לעבוד עם הנהלה ובעלי תפקידים מקצועיים, להציג עמדה עצמאית ולהפוך דרישות משפטיות לתכנית עבודה ישימה.
עצמאות, דיווח ישיר וניגוד עניינים
על הארגון להבטיח שהממונה יוכל לבצע את תפקידו באופן עצמאי, ללא הוראות באשר לאופן מילוי תפקידו המקצועי. עליו לדווח ישירות למנכ״ל או לגורם הכפוף למנכ״ל במישרין, להיות מעורב מבעוד מועד בנושאים מהותיים ולהחזיק בגישה למידע ולבעלי התפקידים הנדרשים. ניתן להטיל עליו תפקידים נוספים, אך לא כאלה היוצרים חשש לניגוד עניינים. בעל תפקיד שקובע את מטרות עיבוד המידע או את האמצעים המהותיים לביצועו עלול להימצא במצב שבו הוא נדרש לבקר החלטות שקיבל בעצמו.
מה הממונה אמור לעשות בפועל?
תפקיד הממונה כולל ייעוץ להנהלה ולעובדים, הכנת תכנית בקרה שוטפת ומעקב אחר ביצועה, טיפול בפניות של נושאי מידע, הדרכה, מעורבות בהליכי תכנון של מוצרים ומערכות חדשים, בחינת מדיניות ונהלים, סיוע בניהול אירועי פרטיות וקשר עם הרשות. יש להעמיד לרשותו זמן, תקציב, משאבים וגישה מספקת. מינוי ללא תכנית עבודה, סמכויות וממשקי דיווח עלול שלא לענות על הדרישה המהותית של החוק.
בדיקת תחולה מעשית לארגון
מומלץ להתחיל במיפוי של מטרות העיבוד, סוגי המידע, מספר נושאי המידע, תדירות ומשך הפעילות, מערכות ניטור, לקוחות מהמגזר הציבורי והיקף העיבוד המבוצע עבורם. לאחר מכן יש לבחון כל אחת מארבע החלופות ולתעד את ההחלטה ואת הנתונים שעליהם היא נשענת. כאשר קיימת חובה, יש לערוך כתב מינוי, להגדיר סמכויות וכפיפות, לפרסם דרכי התקשרות, להסדיר משאבים ולבנות תכנית עבודה מבוססת סיכון. גם בהיעדר חובה, מינוי וולונטרי עשוי לחזק ציות, אחריותיות ואמון — אך עליו להיות מינוי אמיתי ולא תואר בלבד.
שאלות נפוצות
האם כל חברה המחזיקה מידע על עובדים חייבת בממונה? לא בהכרח; יש לבחון את ארבע חלופות החוק, ובפרט אם עיבוד המידע הרגיש הוא חלק מעיסוקה העיקרי ובהיקף ניכר. האם ספק של רשות מקומית עשוי להיות חייב? כן, כאשר הוא מחזיק במאגר של גוף ציבורי ומעבד עבורו מידע. האם אפשר למנות ממונה חיצוני? כן, ובלבד שיוכל למלא את התפקיד באופן נאות ועצמאי. האם גודל המאגר לבדו מכריע? לא; זהו שיקול חשוב, אך לא יחיד. האם אפשר לשלב את התפקיד עם תפקיד אחר? כן, כל עוד אין חשש לניגוד עניינים ויש לממונה זמן ומשאבים מתאימים.