קורס והסמכת ממונה הגנת פרטיות: מה באמת נדרש לפי החוק

תקציר מנהלים: קורס ממונה הגנת פרטיות אינו דרישת חובה בחוק. סעיף 17ב3(א) דורש דבר אחר: ידע וכישורים נאותים, ובכלל זה ידע מעמיק בדיני הגנת הפרטיות, הבנה הולמת בטכנולוגיה ואבטחת מידע, והיכרות עם תחומי הפעילות של הארגון. עמדת הרשות, כפי שנקבעה בגילוי הדעת בנושא מינוי ממונה (נוסח סופי, יולי 2026), היא שאין דרישת הסמכה פורמלית, אך השתלמות תעודה בהיקף 40 שעות לפחות מטעם הרשות או בחסותה נחשבת "הכשרה בסיסית לממוני הגנת פרטיות". זה קו הפתיחה, לא קו הסיום.

האם החוק דורש תעודה או הסמכה רשמית לממונה הגנת פרטיות?

התשובה הקצרה היא לא. החוק עצמו לא קובע חובת תעודה, רישיון, בחינה או הסמכה פורמלית כתנאי למינוי.

מה שהחוק כן קובע, בסעיף 17ב3(א), הוא סטנדרט מהותי. הממונה צריך להחזיק בידע וכישורים נאותים, ובכלל זה שלושה רכיבים מצטברים:

1. ידע מעמיק בדיני הגנת הפרטיות.
2. הבנה הולמת בטכנולוגיה ואבטחת מידע.
3. היכרות עם תחומי פעילות הארגון.

כל אחד מהרכיבים האלה נבחן "בשים לב לאופי העיבוד, נסיבותיו, היקפו ומטרותיו". כלומר, הכשירות אינה מנותקת מהארגון. מי שמתאים לחברת SaaS שמנטרת התנהגות משתמשים אינו בהכרח מתאים לקופת חולים, ולהפך.

עמדת הרשות בגילוי הדעת הולכת באותו כיוון: אין בחוק דרישת הסמכה פורמלית. הדרישה היא מהותית, לא טקסית.

מה כוללת הכשירות של ממונה הגנת פרטיות לפי סעיף 17ב3(א)

המונח "ידע מעמיק בדיני הגנת הפרטיות" רחב יותר ממה שמועמדים רבים מניחים. לפי עמדת הרשות בגילוי הדעת, הוא כולל היכרות עם החוק, פסיקה, תקנות, הנחיות ומסמכי מדיניות של הרשות, רגולציה מגזרית, ובגופים ציבוריים גם משפט חוקתי ומנהלי.

יש כאן נקודה מעשית: היכרות עם GDPR יכולה להיות יתרון, במיוחד בארגונים בינלאומיים, אבל לפי עמדת הרשות היא אינה "דיני הגנת הפרטיות" לעניין דרישת הידע המעמיק בדין הישראלי. מועמד שמכיר מצוין את הדין האירופי אך אינו שולט בחוק הישראלי, בתקנות אבטחת מידע, בחובת היידוע לפי סעיף 11, ברישום ובהודעה לפי סעיף 8א, או במנגנון העיצומים הכספיים, יתקשה להיחשב כשיר לתפקיד בישראל.

גם הרכיב הטכנולוגי לא דורש להפוך את הממונה למהנדס. עמדת הרשות היא שאין דרישה לתואר במדעי המחשב או לניסיון מעשי בפיתוח תוכנה. נדרשת אוריינטציה טכנולוגית מספקת כדי לבחון אם הטכנולוגיה עומדת בדרישות הדין, לקדם Privacy by Design ו-PETs, ולהיות מעורב בתסקירי השפעה על פרטיות.

זה בדיוק ההבדל בין מועמד שעבר קורס לבין מועמד שיכול לבצע את התפקיד.

איזו הכשרה כן נחשבת רלוונטית

כאן כדאי להבחין בין לשון החוק לבין עמדת הרשות.

החוק אינו מזכיר מספר שעות, סוג מוסד, או תכנית לימודים מסוימת. לעומת זאת, בגילוי הדעת הרשות מציינת כי השתלמות תעודה בהיקף 40 שעות לפחות מטעם הרשות או בחסותה נחשבת "הכשרה בסיסית לממוני הגנת פרטיות".

שתי המסקנות המעשיות שונות מאוד זו מזו:

• לפי החוק, אפשר להיות כשיר גם בלי קורס כזה, אם ניתן להוכיח ידע וכישורים נאותים.
• לפי עמדת הרשות, קורס בהיקף כזה הוא אינדיקציה טובה להכשרה בסיסית, אך אינו מספיק לבדו.

הרשות מוסיפה שני דברים שמועמדים נוטים לפספס:

• ההשתתפות בהשתלמויות הרשות אינה חובה.
• ההשתתפות בהן גם אינה מספיקה לבדה ללא ניסיון או השכלה נוספת.

במילים אחרות, תעודה יכולה לעזור. היא לא מחליפה מומחיות ניתנת להוכחה.

מה שווה יותר: קורס, ניסיון, או שניהם?

אם המטרה היא להתמנות בפועל, התשובה הטובה ביותר היא שניהם, אבל לא באותו משקל בכל שלב.

לפי עמדת הרשות, ידע מעמיק נרכש על פי רוב בניסיון מעשי משמעותי. לכן, מועמד עם רקע ממשי בייעוץ, ציות, ניהול פרטיות, אבטחת מידע או טיפול בזכויות נושאי מידע, יהיה בדרך כלל בעמדה חזקה יותר ממי שמחזיק רק בתעודה.

מן הצד השני, מי שמגיע מתחום משיק, למשל ייעוץ משפטי פנימי, GRC, אבטחת מידע או מוצר, עשוי להיעזר מאוד בקורס מסודר כדי לבנות תשתית בדין הישראלי. זה נכון במיוחד אחרי תיקון 13, שהרחיב את החובות, הוסיף חובת מינוי במקרים מסוימים, וקבע מנגנון עיצומים כספיים חדש.

לדעתנו, מועמד שמבקש להתמנות לראשונה צריך לשאול לא "איזה קורס לקנות", אלא "איך אני מוכיח כשירות". התשובה כוללת בדרך כלל שילוב של לימוד שיטתי, מסמכי עבודה, היכרות עם פעילות ארגונית אמיתית, ויכולת להסביר להנהלה מה החוק דורש ומהי עמדת הרשות.

טבלה: מה החוק דורש, מה הרשות אומרת, ומה המשמעות למועמד

נושא	לשון החוק	עמדת הרשות בגילוי הדעת	המשמעות המעשית
תעודה או הסמכה רשמית	אין דרישה מפורשת	אין דרישת הסמכה פורמלית	תעודה אינה תנאי סף
ידע משפטי	ידע מעמיק בדיני הגנת הפרטיות	כולל חוק, פסיקה, תקנות, הנחיות ומסמכי מדיניות; בגוף ציבורי גם משפט חוקתי ומנהלי	צריך שליטה בדין הישראלי, לא רק היכרות כללית
רקע טכנולוגי	הבנה הולמת בטכנולוגיה ואבטחת מידע	אין חובה לתואר במדעי המחשב או ניסיון בתוכנה	צריך יכולת מקצועית לעבוד מול IT, מוצר ואבטחה
קורס ייעודי	לא נקבע	40 שעות לפחות מטעם הרשות או בחסותה נחשבות הכשרה בסיסית	אינדיקציה מועילה, לא תחליף לניסיון
הוכחת מומחיות	לא פורט מנגנון פורמלי	המומחיות צריכה להיות ניתנת להוכחה	כדאי לשמור אסמכתאות על לימודים וניסיון

האם קורס לבד מספיק כדי להתמנות לממונה הגנת פרטיות

לפי עמדת הרשות, לא. קורס לבדו אינו מספיק ללא ניסיון או השכלה נוספת.

זו עמדה משמעותית, כי ארגונים שמחפשים מועמד לתפקיד, וגם מועמדים שמחפשים משרת "ממונה הגנת פרטיות דרושים", נוטים לעתים להניח שתעודה מסוימת סוגרת את הפער. בפועל, התפקיד כולל ייעוץ להנהלה ולעובדים, הכנת תכנית הדרכה, הכנת תכנית לבקרה שוטפת, וידוא קיומם של נוהל אבטחת מידע ומסמך הגדרות מאגר, טיפול בפניות נושאי מידע, ותפקיד של איש קשר מול הרשות. אלה תפקידי סעיף 17ב2(א). קשה לבצע אותם היטב בלי ניסיון עבודה שמחבר בין הדין, המערכות והאנשים.

מועמד שעבר קורס אבל לא עסק מעולם בניתוח בסיסי חוקיות, בטיפול בבקשות עיון ותיקון, או בעבודה מול הנהלה על סיכוני פרטיות, עדיין בתחילת הדרך. זה לגיטימי. רק לא כדאי להציג זאת כהסמכה מלאה.

מה לבדוק לפני שנרשמים למסלול הכשרה

אם אתם שוקלים מסלול לימודים, מומלץ לבדוק אם הוא עוזר לכם לבנות את שלושת רכיבי הכשירות שנדרשים בחוק.

1. האם התכנית מתמקדת בדין הישראלי

הקריטריון הראשון הוא לא מיתוג בינלאומי אלא התאמה לתפקיד בישראל. אם רוב ההכשרה מוקדש למשטרים זרים, היא עשויה להיות שימושית, אבל לא בהכרח מספקת לצורך סעיף 17ב3(א).

2. האם יש רכיב טכנולוגי ואבטחתי אמיתי

הממונה לא אמור לכתוב קוד, אבל הוא כן צריך להבין מערכות הרשאות, העברת מידע, מיקור חוץ, סיווגי מידע, אבטחת מידע, ותהליכי בקרה. בלי זה, קשה למלא את תפקידי הפיקוח והבקרה שבחוק.

3. האם המסלול מאפשר להציג הוכחת מומחיות

עמדת הרשות היא שהמומחיות צריכה להיות ניתנת להוכחה. לכן, מעבר לתעודה עצמה, ערך ממשי יכול להיות לתרגילים, עבודות, ניתוחי מקרה או ניסיון יישומי שאפשר להציג.

4. האם אתם בכלל מכוונים לתפקיד פנימי או חיצוני

החוק מתיר למנות ממונה שאינו עובד הארגון, כלומר מיקור חוץ מותר במפורש לפי סעיף 17ב3(ב). אם אתם מכוונים לתפקיד חיצוני, רף ההוכחה המקצועי בדרך כלל יהיה גבוה יותר, משום שהארגון קונה מומחיות שכבר קיימת. הרחבנו על מבנה התפקיד וחובותיו במדריך ממונה הגנת פרטיות.

מי שמחפש מינוי ממונה הגנת פרטיות צריך להבין גם את גבולות התפקיד

מועמדים רבים מגיעים מתפקידים כמו ייעוץ משפטי, אבטחת מידע, IT או ציות. זה טבעי. אבל לא כל תפקיד רקע מתאים להתמזג עם תפקיד הממונה.

סעיף 17ב3(ג) אוסר על ניגוד עניינים. לפי החוק, הממונה לא ימלא תפקיד נוסף ולא יהיה כפוף לנושא משרה אם אלה עלולים להעמידו בחשש לניגוד עניינים. עמדת הרשות בגילוי הדעת היא שהמבחן המרכזי הוא אם אותו תפקיד כולל סמכות או אחריות לקבוע מדיניות עיבוד מידע, לרבות קביעת מטרות העיבוד והחלטות מהותיות על אמצעי העיבוד.

כלל האצבע של הרשות מזהה כתפקידים בעייתיים, בין היתר, מנהל שיווק, מנהל לקוחות, מנהל כספים, מנהל מערכות מידע ו-CTO. לכן, גם מועמד מצוין עם רקע טכנולוגי חזק לא בהכרח יכול להיות הממונה אם הוא גם מי שקובע בפועל איך מעבדים מידע בארגון.

מי מחפש קורס, ומי בכלל חייב במינוי

יש קשר ישיר בין שוק ההכשרות לבין היקף חובת המינוי. לא כל ארגון חייב למנות ממונה, ולכן גם לא כל מי שמתעניין בתחום צריך לכוון דווקא לתפקיד DPO מלא. סעיף 17ב1 מחיל את החובה על ארבע קטגוריות של גופים, ובהן גופים ציבוריים, סוחרי מידע בתנאים מסוימים, גופים שמבצעים ניטור שוטף ושיטתי בהיקף ניכר, וגופים שעיסוקם העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר. את המבחן המלא פירטנו במדריך מי חייב למנות ממונה הגנת פרטיות.

למועמדים זה משנה מאוד. ארגון שחייב במינוי יחפש בדרך כלל אדם שיכול להיכנס לתפקיד מהר, עם סטנדרט מקצועי מוכח. ארגון שלא חייב במינוי עשוי להעדיף ליווי חיצוני, תפקיד חלקי או חלוקת אחריות אחרת.

השורה התחתונה

אם אתם מחפשים להיכנס לתחום, אל תחפשו "הסמכה" במובן של רישיון סטטוטורי, כי כרגע אין כזו. חפשו דרך אמינה להראות ידע מעמיק בדין הישראלי, הבנה טכנולוגית מספקת, והיכרות עם פעילות ארגונית אמיתית. קורס טוב יכול להיות התחלה מצוינת, במיוחד אם הוא מחזק את שלושת המרכיבים האלה. הוא פשוט לא פוטר אתכם מהחלק הקשה יותר: להפוך לאנשי מקצוע שאפשר לסמוך עליהם בתפקיד.

צריכים ממונה חיצוני? ספרו לנו על הארגון ונחזור אליכם עם הערכה עניינית.

שאלות נפוצות

האם קורס ממונה הגנת פרטיות הוא חובה לפי החוק?

לא. החוק לא דורש תעודה או הסמכה פורמלית. סעיף 17ב3(א) דורש ידע וכישורים נאותים, ובכלל זה ידע מעמיק בדיני הגנת הפרטיות, הבנה הולמת בטכנולוגיה ואבטחת מידע, והיכרות עם תחומי פעילות הארגון.

האם השתלמות של 40 שעות מספיקה כדי להתמנות?

לא בהכרח. לפי עמדת הרשות בגילוי הדעת, השתלמות תעודה בהיקף 40 שעות לפחות מטעם הרשות או בחסותה נחשבת הכשרה בסיסית לממוני הגנת פרטיות. באותה נשימה הרשות מבהירה שהשתתפות כזו אינה חובה, וגם אינה מספיקה לבדה ללא ניסיון או השכלה נוספת.

האם ממונה הגנת פרטיות חייב להיות עורך דין?

לא. החוק לא קובע דרישה כזו. הדרישה היא מהותית: ידע מעמיק בדיני הגנת הפרטיות, הבנה הולמת בטכנולוגיה ואבטחת מידע, והיכרות עם תחום הפעילות של הארגון.

האם אפשר להיות ממונה הגנת פרטיות חיצוני?

כן. סעיף 17ב3(ב) קובע שהממונה יכול שיהיה מי שאינו עובד הארגון. עמדת הרשות היא שמתכונת ההעסקה נבחנת לפי נסיבות הארגון, אך יש לוודא הקצאת זמן, תנאים ומשאבים מתאימים, וכן היעדר ניגוד עניינים.

מה אומר גילוי הדעת בעניין ממונה הגנת פרטיות על הכשרה?

גילוי הדעת בנושא מינוי ממונה, שפורסם בנוסח סופי ב-15.7.2026, קובע כעמדת הרשות שאין דרישת הסמכה פורמלית; ש-GDPR אינו "דיני הגנת הפרטיות" לעניין דרישת הידע המעמיק בדין הישראלי; שידע מעמיק נרכש על פי רוב בניסיון מעשי משמעותי; ושקורס בהיקף 40 שעות לפחות מטעם הרשות או בחסותה נחשב הכשרה בסיסית. הרשות הבהירה שהפרשנות שבגילוי הדעת תשמש אותה בהפעלת סמכויות האכיפה שלה.

צריכים ממונה חיצוני? ספרו לנו על הארגון ונחזור אליכם עם הערכה עניינית.

המידע באתר הוא סקירה כללית ואינו ייעוץ משפטי. יישום בארגון ספציפי מחייב בחינה פרטנית.