ניגוד עניינים של ממונה הגנת פרטיות: מי לא יכול לקבל את התפקיד

תקציר מנהלים: ניגוד עניינים של ממונה הגנת פרטיות אינו שאלה תיאורטית אלא תנאי חוקי למינוי תקין. סעיף 17ב3(ג) אוסר על הממונה למלא תפקיד נוסף, או להיות כפוף לנושא משרה, אם הדבר עלול להעמיד אותו בחשש לניגוד עניינים. לפי עמדת הרשות בגילוי הדעת בנושא מינוי ממונה, המבחן המרכזי הוא אם אותו אדם קובע מדיניות עיבוד מידע, מטרות עיבוד או החלטות מהותיות על אמצעי העיבוד. לכן, בהרבה ארגונים, מינוי CTO, מנהל מערכות מידע, מנהל שיווק או מנהל כספים ל-DPO הוא מהלך בעייתי שכדאי לעצור לפני החתימה.

מה אומר החוק על ניגוד עניינים של ממונה הגנת פרטיות

נקודת המוצא היא סעיף 17ב3(ג) לחוק. לשון החוק קובעת שהממונה לא ימלא תפקיד נוסף ולא יהיה כפוף לנושא משרה, בארגון או בגוף אחר, אם אלה עלולים להעמידו בחשש לניגוד עניינים.

זה סעיף קצר, אבל המשמעות שלו רחבה. ה-DPO אמור להיות "סמכות מקצועית" בארגון לפי סעיף 17ב2(א), לייעץ, לפקח, לדווח להנהלה על ליקויים, ולוודא קיום מנגנוני ציות. אם אותו אדם גם מקבל את ההחלטות העסקיות או הטכנולוגיות שעליהן הוא אמור לפקח, הפיקוח מאבד עצמאות.

יש כאן גם מרכיב של כפיפות. לפי סעיף 17ב2(ג), הממונה חייב לדווח ישירות למנכ"ל או לעובד הכפוף ישירות למנכ"ל. אם בפועל הממונה יושב תחת מנהל שמקבל החלטות על עיבוד מידע, או תלוי בו מקצועית, נוצר קושי מובנה.

איזה מבחן קובעת הרשות בגילוי הדעת

צריך להבחין בין החוק לבין עמדת הרשות. החוק עצמו לא מפרט רשימת תפקידים אסורים. עמדת הרשות מופיעה בגילוי הדעת בנושא מינוי ממונה, שפורסם בנוסח סופי ב-15.7.2026 (אחרי טיוטה מיולי 2025). זו עמדה פרשנית ולא הוראת חוק, אבל הרשות הבהירה שהיא תשמש אותה בהפעלת סמכויות האכיפה שלה.

לפי גילוי הדעת, המבחן המרכזי לניגוד עניינים הוא אם הממונה ממלא תפקיד, או כפוף לבעל תפקיד, הכולל סמכות או אחריות לקבוע מדיניות עיבוד מידע, לרבות קביעת מטרות העיבוד והחלטות מהותיות על אמצעי העיבוד.

במילים פשוטות: מי שמחליט למה אוספים מידע, איזה מידע אוספים, כמה זמן שומרים אותו, עם מי משתפים אותו, או באיזו מערכת עושים שימוש, לא אמור להיות גם מי שבודק אם ההחלטות האלה עומדות בדין.

זו הסיבה שמינוי "האדם שהכי מבין במידע" אינו בהכרח מינוי תקין. לפעמים דווקא זה האדם שהכי שקוע בקבלת ההחלטות שעליהן צריך לפקח.

אילו תפקידים בארגון נחשבים בעייתיים במיוחד

המדריך של הרשות וגילוי הדעת הסופי מציגים רשימה של תפקידים שבהם ניגוד העניינים עשוי להתקיים פעמים רבות: מנהל שיווק, מנהל לקוחות, מנהל כספים, מנהל מערכות מידע ו-CTO. בנוסח הסופי הרשות מוסיפה שהאיסור מתקיים ככלל גם לגבי גורמים הכפופים לבעלי התפקידים האלה, ומדגישה שהרשימה היא מבחן פרשני שנבחן לגופו של כל תפקיד ולא רשימה סגורה.

תפקיד	למה הוא בעייתי	מקור
מנהל שיווק	מעורב בדרך כלל בקביעת מטרות שימוש במידע, פרופיילינג, קמפיינים ומסירה לגורמים נוספים	עמדת הרשות במדריך ובגילוי הדעת
מנהל לקוחות	עשוי לקבוע שימושים במידע לקוחות, סגמנטציה ושימור לקוחות	עמדת הרשות במדריך ובגילוי הדעת
מנהל כספים	עשוי להיות מעורב בנתוני שכר, פעילות פיננסית ובקבלת החלטות על שימוש במידע רגיש	עמדת הרשות במדריך ובגילוי הדעת
מנהל מערכות מידע	אחראי בפועל על אמצעי העיבוד, הרשאות, מערכות וספקים	עמדת הרשות במדריך ובגילוי הדעת
CTO	מקבל החלטות טכנולוגיות מהותיות על מערכות, ארכיטקטורה ומנגנוני עיבוד	עמדת הרשות במדריך ובגילוי הדעת

הטעות הנפוצה ביותר שאנחנו רואים היא מינוי CTO ל-DPO. זה קורה מתוך כוונה טובה: בארגון חושבים שהאדם הטכנולוגי הבכיר מבין הכי טוב את הדאטה, האבטחה והמערכות. הבעיה היא שדווקא בגלל זה הוא לעיתים קרובות אחראי על אמצעי העיבוד, ולעיתים גם על חלק ממטרות השימוש העסקיות. לפי עמדת הרשות, זה בדיוק אזור הסיכון.

גם מנהל מערכות מידע הוא מועמד בעייתי מאוד. ממונה הגנת פרטיות צריך לוודא, בין השאר, קיום נוהל אבטחת מידע ומסמך הגדרות מאגר לפי סעיף 17ב2(א)(3). אם אותו אדם עצמו אחראי על יישום המערכות והבקרות שנבדקות, קשה לומר שיש הפרדה מספקת.

האם אפשר למנות ממונה חיצוני בלי להיקלע לניגוד עניינים

כן. סעיף 17ב3(ב) קובע במפורש שהממונה יכול שיהיה מי שאינו עובד הארגון. כלומר, מינוי חיצוני מותר בחוק. הרחבנו על זה במדריך על ממונה חיצוני.

אבל מיקור חוץ לא פותר אוטומטית את בעיית ניגוד העניינים. סעיף 17ב3(ג) חל גם על ממונה חיצוני המכהן בכמה ארגונים. גם לפי גילוי הדעת, האיסור חל על ממונה חיצוני.

דוגמה פשוטה: אם היועץ החיצוני שנותן שירותי DPO לארגון גם מייעץ לו בתכנון מנגנוני פרופיילינג או מקבל עבורו החלטות מהותיות על אמצעי עיבוד, עלול להיווצר קושי. אותו קושי עשוי להתעורר גם אם הוא כפוף מסחרית לגורם אחר שמקבל את ההחלטות האלה.

להערכתנו, בארגון שבוחר בממונה חיצוני נכון לבחון לא רק את קורות החיים של המועמד אלא גם את מעטפת השירות. מי מגדיר את תפקידו, למי הוא מדווח, אילו שירותים נוספים הוא נותן, והאם יש לו עצמאות אמיתית להגיד להנהלה "לא".

לא רק התפקיד עצמו: גם הכפיפות הארגונית יכולה ליצור בעיה

ניגוד עניינים אינו מתחיל ונגמר בטייטל על כרטיס הביקור. גם מבנה הדיווח בארגון רלוונטי.

סעיף 17ב2(ג) דורש דיווח ישיר למנכ"ל או לעובד הכפוף ישירות למנכ"ל. בנוסף, סעיף 17ב2(ב) מחייב את בעל השליטה או המחזיק לספק לממונה את התנאים והמשאבים הדרושים ולוודא שהוא "מעורב כראוי בכל נושא הנוגע לדיני הגנת הפרטיות".

אם ממנים אדם מתאים על הנייר, אבל מכפיפים אותו בפועל למנהל שיווק, למנהל טכנולוגיות או למנהל כספים, יש סיכון שהמינוי לא יעמוד בתכלית החוק. אותו אדם יתקשה לבקר את מי שמנהל את הקריירה שלו.

עמדת הרשות בגילוי הדעת מוסיפה שהצבה של הממונה בלשכה המשפטית אפשרית, אך לא בהכרח מיטבית. זו דוגמה טובה לכך שאין פתרון ארגוני אחד שמתאים לכולם. צריך לבדוק אם המיקום הארגוני תומך בעצמאות התפקיד או מחליש אותה.

בנוסח הסופי נוספה גם התייחסות למי שמכהן כממונה ועוסק במקביל בייעוץ משפטי לארגון: לפי הרשות, נדרשים אמצעים ארגוניים שמבחינים בבירור בין שני הכובעים, למשל חתימה בתיאור התפקיד "ממונה הגנה על הפרטיות" כשהוא פועל ככזה, ותיבת דוא"ל ייעודית לענייני הממונה.

איך בודקים אם מינוי מסוים תקין

בפרקטיקה, אנחנו ממליצים לעבור על ארבע שאלות קצרות לפני כל מינוי:

1. האם המועמד קובע מטרות עיבוד מידע בארגון.
2. האם המועמד מקבל החלטות מהותיות על אמצעי העיבוד.
3. האם המועמד כפוף למי שקובע מטרות או אמצעים כאלה.
4. האם יש לו עצמאות, משאבים ודיווח ישיר כנדרש בחוק.

אם התשובה לאחת השאלות הראשונות היא כן, או שלשאלה הרביעית היא לא, המינוי דורש בדיקה זהירה יותר.

בחברות טכנולוגיה, למשל, השאלה השנייה כמעט תמיד קריטית. בחברות שיווק ודיגיטל, השאלה הראשונה בולטת יותר. בארגוני בריאות, פיננסים ו-HR, שני המוקדים יחד נוטים להופיע.

מי שעדיין לא בטוח אם בכלל חלה עליו חובת מינוי, יכול להתחיל מהמדריך שלנו על ממונה הגנת פרטיות, שמפרט מי חייב במינוי לפי סעיף 17ב1.

מה הסיכון אם הממונה מונה בניגוד עניינים

צריך להבדיל בין מקור החובה לבין מנגנון האכיפה. לפי המדריך של הרשות, בקבוצת ההפרות של הממונה נכללות גם הפרות שקשורות לאופן המינוי, ובהן ממונה שאינו מדווח ישירות למנכ"ל, ממונה ללא ידע וכישורים, וממונה בניגוד עניינים. לגבי ההפרות האלה, המדריך מציין שהעיצום מוטל לאחר הוראת רשות שלא קוימה.

כל הסכומים הם סכומי בסיס (לפני הצמדה למדד); מתעדכנים כל 1 בינואר החל מ-2026 לפי סעיף 23לב(ב).

סוג ההפרה	סכום בסיס	מינימום	הערה
הפרות בקבוצת הממונה, ממונה אבטחת מידע, דיוור ישיר או פנייה לקבוצה בלתי מסוימת ללא יידוע	2 ש"ח לנושא מידע	20,000 ש"ח	4 ש"ח לנושא מידע ו-40,000 ש"ח מינימום אם יש מידע בעל רגישות מיוחדת
אי-מינוי DPO בגופים ציבוריים או סוחרי מידע	2 ש"ח לנושא מידע	20,000 ש"ח	4 ש"ח לנושא מידע אם יש מידע בעל רגישות מיוחדת
ממונה בניגוד עניינים, ממונה ללא ידע וכישורים, או ממונה שאינו מדווח ישירות למנכ"ל	2 ש"ח לנושא מידע	20,000 ש"ח	לפי המדריך, נדרשת קודם הוראת רשות שלא קוימה; אם יש מידע בעל רגישות מיוחדת, 4 ש"ח לנושא מידע ו-40,000 ש"ח מינימום

הנקודה המעשית היא זו: מינוי לא תקין אינו "פתרון ביניים". אם הארגון חייב במינוי, לא די למנות מישהו בשם. צריך שהמינוי עצמו יעמוד בדרישות הכשירות, העצמאות והיעדר ניגוד העניינים.

בהקשר הזה מומלץ לקרוא גם את ההשוואה בין DPO ל-CISO. החוק אינו אוסר במפורש כפל כובעים, אבל עמדת הרשות בגילוי הדעת הסופי היא שהדרישות של שני התפקידים רחבות ושונות במידה ניכרת, ולכן איחוד ביניהם מעורר שאלות היתכנות ומחייב בחינה פרטנית, הנמקה מבוססת ותיעוד.

השורה התחתונה

אם יש לכם מועמד פנימי שנראה טבעי לתפקיד, אל תסתפקו בשאלה אם הוא "מבין פרטיות". בדקו אם הוא מקבל החלטות על דאטה, מוצר, שיווק, תמחור, הרשאות, ספקים או ארכיטקטורה. אם כן, חפשו מועמד אחר או שקלו מינוי חיצוני.

אם אתם כבר עם מינוי קיים, עברו על מבנה הדיווח והתפקידים הנוספים של אותו אדם. לפעמים הבעיה אינה בזהות הממונה אלא בהגדרת התפקיד שנבנתה סביבו.

ממונה הגנת פרטיות לא אמור לפקח על עצמו. זה לב העניין. סעיף 17ב3(ג) אוסר מינוי שיוצר חשש לניגוד עניינים, ועמדת הרשות ממקדת את הבדיקה בשאלה מי קובע מטרות עיבוד ומי מקבל החלטות מהותיות על אמצעי העיבוד. אם ההתלבטות שלכם היא בין ה-CTO, מנהל מערכות המידע או מנהל השיווק, נקודת המוצא צריכה להיות חשד ולא נוחות. ברוב המקרים, עדיף לעצור, למפות סמכויות, ולבנות מינוי תקין מאשר לתקן בדיעבד.

שאלות נפוצות

האם CTO יכול להיות ממונה הגנת פרטיות?

לפעמים תיאורטית כן, אבל לפי עמדת הרשות זה בדרך כלל תפקיד בעייתי. אם ה-CTO קובע אמצעי עיבוד או מדיניות טכנולוגית מהותית, קיים חשש לניגוד עניינים לפי סעיף 17ב3(ג) וגילוי הדעת.

האם מנהל מערכות מידע יכול לשמש DPO?

זה מינוי שמחייב זהירות גבוהה. מנהל מערכות מידע אחראי לעיתים קרובות על הרשאות, מערכות, ספקים ובקרות, ולכן עלול לפקח על החלטות שהוא עצמו קיבל. ראו גם את ההשוואה שלנו בין ממונה הגנת פרטיות ל-CISO.

האם מותר למנות ממונה הגנת פרטיות חיצוני?

כן. סעיף 17ב3(ב) מתיר במפורש מינוי של מי שאינו עובד הארגון. עם זאת, גם ממונה חיצוני חייב לעמוד בדרישת היעדר ניגוד עניינים, זמינות, משאבים ודיווח תקין.

ניגוד עניינים של ממונה הגנת פרטיות: האם רשימת התפקידים האסורים סגורה?

לא. החוק לא קובע רשימה סגורה של תפקידים אסורים. במדריך ובגילוי הדעת הרשות מציגה דוגמאות ומבחן פרשני שנבחן לגופו של כל תפקיד, אבל הבדיקה האמיתית היא פונקציונלית: מי קובע מטרות עיבוד ומי שולט באמצעי העיבוד.

האם מינוי לא תקין נחשב כאילו לא מונה ממונה?

החוק ומסמכי הרשות שבידינו אינם משתמשים בנוסחה שלפיה מינוי פסול "שקול" משפטית לאי-מינוי. מה שכן מופיע במדריך הוא שממונה בניגוד עניינים, ממונה ללא ידע וכישורים, או ממונה שאינו מדווח ישירות למנכ"ל הם הפרות נפרדות. לכן, מינוי על הנייר אינו פותר את הבעיה אם מבנה התפקיד עצמו אינו עומד בדרישות החוק.

צריכים ממונה חיצוני? ספרו לנו על הארגון ונחזור אליכם עם הערכה עניינית.

המידע באתר הוא סקירה כללית ואינו ייעוץ משפטי. יישום בארגון ספציפי מחייב בחינה פרטנית.