כמה עולה ממונה הגנת פרטיות? שכר, מיקור חוץ ומה שביניהם

תקציר מנהלים: לשאלה מה השכר של ממונה הגנת פרטיות, או כמה עולה ממונה חיצוני, אין תשובה אחת. החוק קובע מי חייב למנות ממונה, מה הכשירות הנדרשת, למי הוא מדווח ומה אסור מבחינת ניגוד עניינים, אבל הוא לא קובע טבלת שכר או תעריף לשירותי DPO. לכן השאלה הנכונה היא לא רק "כמה זה עולה", אלא איזה מודל מתאים לארגון שלכם: עובד פנימי, ממונה חיצוני, או שילוב בין השניים. כשבוחנים עלות, צריך להביא בחשבון גם את היקף המעורבות שנדרש לפי סעיפים 17ב2 ו-17ב3 לחוק, וגם את עלות הטעות אם ממנים אדם לא מתאים או ממנים "על הנייר" בלבד.

למה אין תשובת מחיר אחת שמתאימה לכולם

העלות של התפקיד נגזרת קודם כל מהמסגרת המשפטית. סעיף 17ב3(א) דורש ידע וכישורים נאותים, ובכלל זה ידע מעמיק בדיני הגנת הפרטיות, הבנה הולמת בטכנולוגיה ואבטחת מידע, והיכרות עם תחומי פעילות הארגון. סעיף 17ב2(ב) מוסיף שבעל השליטה או המחזיק חייבים לספק לממונה את התנאים והמשאבים הדרושים, ולוודא שהוא מעורב כראוי בכל נושא הנוגע לדיני הגנת הפרטיות. סעיף 17ב2(ג) דורש דיווח ישיר למנכ"ל או לעובד הכפוף ישירות למנכ"ל.

אלה לא דרישות פורמליות בלבד. הן משפיעות ישירות על המחיר:

• אם נדרשת זמינות שוטפת להנהלה, העלות עולה.
• אם הארגון מעבד מידע בעל רגישות מיוחדת בהיקף ניכר, נדרש לרוב ניסיון משמעותי יותר.
• אם מדובר בגוף ציבורי או במחזיק עבור גוף ציבורי, מעגלי העבודה מול הרשות והציבור רחבים יותר.
• אם צריך להקים מנגנוני ציות כמעט מאפס, חלק מהעלות הוא פרויקט הקמה, לא רק "שכר".

לכן, כל טווח מחיר בלי תיאור של סוג הארגון, היקף העיבוד ומצב ההיערכות הקיים הוא לכל היותר אומדן גס.

מה באמת קונה הארגון כשמשלם על שירותי DPO

החוק לא דורש רק "שם של ממונה". סעיף 17ב2(א) מגדיר סל תפקידים רחב:

רכיב בתפקיד	מה המשמעות המעשית לעלות
ייעוץ להנהלה ולעובדים והכנת תוכנית הדרכה	זמן שוטף, ישיבות, מענה לשאלות והדרכות
תוכנית לבקרה שוטפת על עמידה בחוק ודיווח על ממצאים	בניית מנגנון בקרה, בדיקות תקופתיות ותיעוד
וידוא קיומם של נוהל אבטחת מידע ומסמך הגדרות מאגר	עבודה משותפת עם IT, משפטית, ספקים ויחידות עסקיות
וידוא טיפול בפניות נושאי מידע	תהליך מסודר לעיון, תיקון ומימוש זכויות
איש קשר מול הרשות להגנת הפרטיות	זמינות לטיפול בפניות, בירורים ואירועים

במילים פשוטות, אתם לא משלמים רק על מומחה בדין. אתם משלמים על פונקציה ניהולית-משפטית-תפעולית שחייבת להיות מעורבת בעבודה של הארגון.

עמדת הרשות בגילוי הדעת בנושא מינוי ממונה מחזקת את זה עוד יותר. לפי גילוי הדעת, ייעוד התפקיד הוא גם להבטיח קיום הוראות החוק וגם לקדם הגנה על הפרטיות מעבר למינימום שבדין, לרבות Privacy by Design, טכנולוגיות מגינות פרטיות ותסקירי השפעה על פרטיות. זו עמדה פרשנית של הרשות, לא לשון החוק, אבל היא מלמדת היטב איך הרשות צפויה להסתכל על התפקיד בפועל.

עובד פנימי או ממונה חיצוני

סעיף 17ב3(ב) קובע במפורש שהממונה יכול להיות מי שאינו עובד הארגון. כלומר, מיקור חוץ מותר. זה משנה מאוד את מבנה העלות.

ממונה פנימי מתאים יותר בדרך כלל לארגונים שבהם הפרטיות היא פונקציית ליבה קבועה: למשל בנק, מבטח, קופת חולים, בית חולים כללי, או חברת טכנולוגיה שהמוצר שלה מבוסס על ניטור שוטף ושיטתי של בני אדם. בארגונים כאלה יש לעיתים צורך בנוכחות יומיומית, בעבודה רוחבית מול מחלקות רבות ובמעורבות עמוקה בתהליכי מוצר ותפעול.

ממונה חיצוני בריטיינר (בעולם קוראים למודל הזה DPO as a Service) מתאים לעיתים קרובות לארגונים שחייבים במינוי, אבל היקף העבודה אצלם אינו מצדיק משרה מלאה. למשל:

• ספק תוכנה שמעבד מידע עבור רשות מקומית
• עמותה שמנהלת מאגר רגיש גדול
• רשת מרפאות בינונית
• חברת SaaS ישראלית בשלב צמיחה, עם צוות מוצר קטן יחסית

עמדת הרשות במדריך היא שרצוי שהממונה יהיה חלק אינטגרלי מהארגון, אך מתכונת ההעסקה נבחנת לגופו של כל ארגון. בגילוי הדעת הרשות מוסיפה שעל פי רוב קיים יתרון בעובד ארגון במשרה מלאה, אך המתכונת והיקף המשרה נבחנים לפי נסיבות הארגון, ובלבד שמוקצים הזמן, התנאים והמשאבים הדרושים.

אם אתם מתלבטים בין המודלים, פירטנו את ההבדלים בהרחבה ב-מדריך לממונה חיצוני וב-השוואה בין ממונה פנימי לחיצוני.

אילו משתנים קובעים את העלות בפועל

הנה המשתנים שבדרך כלל מזיזים את המחיר למעלה או למטה:

1. האם יש חובת מינוי ברורה או אזור אפור

יש ארגונים שהחובה שלהם פשוטה יחסית: גוף ציבורי, מחזיק עבור גוף ציבורי, או אחד הגופים המנויים במפורש בעילת המידע בעל הרגישות המיוחדת. אצלם הדיון הוא בעיקר על אופן המינוי.

לעומת זאת, בארגונים שנמצאים באזור האפור של "היקף ניכר", חלק מהעבודה הראשונית הוא בכלל ניתוח משפטי אם החובה חלה. סעיף 17ב1(ב) קובע מבחן רב-גורמי, בלי סף מספרי חד. בגילוי הדעת הרשות גם מבהירה שאין סף כמותי חד-ערכי, וששיקולי הסעיף אינם מצטברים. זה בדרך כלל מוסיף שעות ייעוץ ותיעוד כבר בשלב הכניסה.

2. מורכבות המידע

לא כל מאגר שווה באותה מידה. מידע רפואי, נתוני שכר, פעילות פיננסית, עבר פלילי, נתוני מיקום או מידע בחובת סודיות לפי דין מייצרים רגישות גבוהה יותר. ככל שטווח סוגי המידע רחב יותר, והמערכות שמחזיקות אותו מגוונות יותר, כך גם עבודת הממונה רחבה יותר.

3. מבנה הארגון

ארגון עם מערכת אחת וצוות קטן הוא מקרה אחר לגמרי מארגון עם כמה חברות-בנות, ספקים רבים, מוקד שירות, צוות שיווק, מוצר דיגיטלי ופעילות בינלאומית. גם אם החוק לא קובע מחיר לפי גודל ארגון, בפועל כמות הממשקים משפיעה מאוד על היקף התפקיד.

4. שלב ההיערכות

יש הבדל בין ארגון שכבר יש לו מסמך הגדרות מאגר, נוהל אבטחת מידע, מנגנון לטיפול בזכויות נושאי מידע ותהליכי יידוע לפי סעיף 11, לבין ארגון שעדיין לא בנה את היסודות האלה. במקרה השני, חלק מהעלות הראשונית יוקדש להקמה.

5. היקף הזמינות שנדרש

יש ארגונים שצריכים שעת ייעוץ נקודתית פה ושם. אחרים צריכים השתתפות בישיבות הנהלה, בדיקות ספקים, הערות למסמכי התקשרות, מעורבות באירועי אבטחה ועבודה שוטפת עם HR, IT ומוצר. העלות תיגזר מהיקף הזמינות בפועל, לא רק מהתואר על כרטיס הביקור.

איפה ארגונים טועים כשהם מנסים "לחסוך"

הטעות הראשונה היא למנות אדם שאין לו את הכשירות הנדרשת. לפי סעיף 17ב3(א), נדרש ידע מעמיק בדיני הגנת הפרטיות והבנה הולמת בטכנולוגיה ואבטחת מידע. בגילוי הדעת הרשות אומרת שאין דרישת הסמכה פורמלית, אך המומחיות צריכה להיות ניתנת להוכחה, והשתלמות תעודה בהיקף 40 שעות לפחות מטעם הרשות או בחסותה נחשבת הכשרה בסיסית לממוני הגנת פרטיות. זו עמדת הרשות בגילוי הדעת, לא הוראת חוק.

הטעות השנייה היא למנות בעל תפקיד שנמצא בניגוד עניינים. סעיף 17ב3(ג) אוסר על כך. המדריך של הרשות מציג ככלל אצבע תפקידים בעייתיים כמו מנהל שיווק, מנהל לקוחות, מנהל כספים, מנהל מערכות מידע ו-CTO. לפעמים זה נראה חסכוני למנות את מי שכבר "מכיר את המידע", אבל החיסכון הזה עלול להפוך להפרה בפני עצמה.

הטעות השלישית היא להסתפק במינוי בלי משאבים. אם הממונה לא מעורב כראוי, לא מקבל זמן, לא מדווח ישירות כנדרש, ולא יכול לבצע בקרה והדרכה, הארגון לא באמת פתר את הבעיה.

מה העלות של אי-מינוי או מינוי לא תקין

כל הסכומים הם סכומי בסיס לפני הצמדה למדד; הם מתעדכנים כל 1 בינואר החל מ-2026 לפי סעיף 23לב(ב).

כשבודקים עלות, צריך להביא בחשבון גם את צד הסיכון.

בקבוצת העיצומים של ממונה הגנת פרטיות, ממונה אבטחת מידע, דיוור ישיר ופנייה לקבוצה בלתי מסוימת ללא יידוע, סכום הבסיס הוא 2 ש"ח לנושא מידע ו-4 ש"ח אם יש מידע רגיש, עם מינימום של 20,000 ש"ח ו-40,000 ש"ח בהתאמה.

הפרות ספציפיות בקבוצה הזו כוללות, לפי המדריך, אי-מינוי DPO בגופים ציבוריים או סוחרי מידע, וכן לאחר הוראת רשות שלא קוימה: אי-אספקת תנאים ומשאבים לממונה, ממונה שאינו מדווח ישירות למנכ"ל, ממונה ללא ידע וכישורים, או ממונה בניגוד עניינים.

דוגמה שהרשות עצמה מביאה: גוף ציבורי ללא DPO, עם מאגר של 100,000 איש הכולל מידע בעל רגישות מיוחדת, צפוי לעיצום של 400,000 ש"ח.

יש גם רכיב של הפחתה שכדאי להכיר. לפי התוספת החמישית לחוק, מפר שחב במינוי ממונה לפי סעיף 17ב1(א)(3) ו-(4) בלבד, כלומר בעילות של ניטור שיטתי או עיבוד מידע רגיש בהיקף ניכר, ומינה ממונה טרם מסירת ההודעה על כוונת החיוב, זכאי להפחתה של 10%. ההפחתה הזו לא חלה על גוף ציבורי ולא על סוחר מידע.

אז כמה זה עולה בפועל

כאן צריך להיות מדויקים: אין לנו מקור נורמטיבי שקובע שכר שוק, טווחי ריטיינר או עלות משרה לממונה, ולכן לא נכתוב מספרים כאילו הם "הדין".

במקום זה, נכון יותר לבנות את התקציב לפי אחד משלושה מודלים:

מודל	מתי הוא מתאים	מבנה העלות
ממונה פנימי	ארגון עם צורך קבוע ומתמשך במעורבות רחבה	עלות מעסיק של משרה, מלאה או חלקית, בתוספת הכשרה, השתלמויות ועדכון ידע שוטף
ממונה חיצוני בריטיינר	ארגון שחייב במינוי אך לא מצדיק משרה מלאה	ריטיינר חודשי הנגזר מהיקף הליווי, הזמינות הנדרשת ומורכבות המידע
מודל היברידי	ארגון עם איש קשר פנימי חזק וליווי מומחה חיצוני	ריטיינר מצומצם לליווי שוטף, בתוספת שעות פרויקטליות להקמה ולאירועים חריגים

מה קובע את התעריף של הממונה עצמו

סעיף 17ב3(א) דורש שלושה רכיבים במצטבר: ידע מעמיק בדיני הגנת הפרטיות, הבנה הולמת בטכנולוגיה ואבטחת מידע, והיכרות עם תחומי פעילות הארגון. השוק מתמחר את השילוב, לא כל רכיב בנפרד.

אנשי מקצוע שמחזיקים בשלושת הרכיבים גם יחד, למשל עורך דין העוסק בהגנת פרטיות שיש לו גם רקע טכנולוגי מעשי, נדירים יחסית, ותעריפם גבוה בהתאם מזה של יועץ שמכיר צד אחד בלבד של המשוואה. ההבדל אינו עניין של יוקרה: ממונה שנדרש להעביר כל שאלה טכנולוגית ליועץ נוסף, או להפך, מייצר לארגון עלות עקיפה וזמן תגובה ארוך יותר. לכן השוואת הצעות לפי תעריף בלבד, בלי לבחון עד כמה המועמד מכסה את דרישות סעיף 17ב3(א) במלואן, עלולה לחסוך בטווח הקצר ולעלות ביוקר בטווח הארוך.

גם סוג התוצרים משפיע על התמחור. יש הבדל בין סיכום המלצות של יועץ לבין חוות דעת משפטית כתובה שהארגון יכול להסתמך עליה מול הדירקטוריון, המבטח או הרשות. חוות דעת כזו יכול לתת רק עורך דין, ובאירוע אבטחת מידע נוסף לכך יתרון החיסיון של עורך דין-לקוח על התכתובת המשפטית. תוצרים מהסוג הזה מתומחרים גבוה יותר, והם בדרך כלל אלה שנבחנים כשמשהו משתבש.

להערכתנו, זו הדרך הנכונה לנהל את השאלה: להתחיל בהגדרה מדויקת של היקף החובה, היקף העבודה והשירותים הנדרשים, ורק אחר כך לבקש הצעת מחיר. אחרת משווים בין דברים שונים לגמרי תחת אותה כותרת של "שירותי DPO".

השורה התחתונה

אם אתם מחפשים מספר אחד, לא נמצא אותו בחוק. מה שהחוק כן נותן הוא מסגרת ברורה: מי חייב במינוי, מה הממונה צריך לדעת, איך הוא צריך להיות ממוקם בארגון, ואילו טעויות עלולות לעלות ביוקר. מבחינה מעשית, רוב הארגונים לא צריכים להתחיל משאלת השכר אלא משאלת המודל: פנימי, חיצוני או היברידי. אחרי שמגדירים את זה נכון, אפשר לתמחר בצורה עניינית.

שאלות נפוצות

האם ממונה הגנת פרטיות חייב להיות עובד של הארגון?

לא. סעיף 17ב3(ב) מתיר במפורש למנות ממונה שאינו עובד הארגון. לפי גילוי הדעת, רק יחיד יכול להתמנות, פנימי או חיצוני, וההתקשרות יכולה להתבצע דרך חברה שבה הוא מועסק. זו עמדת הרשות, לא לשון מפורשת בחוק.

האם יש קורס ממונה הגנת הפרטיות שחובה לעבור?

לא לפי החוק. בגילוי הדעת הרשות קובעת שאין דרישת הסמכה פורמלית, אך השתלמות תעודה בהיקף 40 שעות לפחות מטעם הרשות או בחסותה נחשבת הכשרה בסיסית לממוני הגנת פרטיות. לצד זה, הרשות גם מדגישה שהשתלמות כזו אינה חובה ואינה מספיקה לבדה.

מה ההבדל בין שכר של ממונה הגנת פרטיות לבין עלות שירותי DPO חיצוניים?

שכר פנימי כולל בדרך כלל עלות העסקה של עובד קבוע. שירותי DPO חיצוניים נרכשים לפי היקף ליווי, זמינות, מורכבות והשלב שבו הארגון נמצא. המסגרת המשפטית זהה, אבל מודל התמחור שונה.

האם מינוי ממונה הגנת פרטיות בלי דיווח למנכ"ל מספיק?

לא. סעיף 17ב2(ג) דורש דיווח ישיר למנכ"ל או לעובד הכפוף ישירות למנכ"ל. לפי המדריך, ממונה שאינו מדווח ישירות כנדרש עלול להיחשב כהפרה בקבוצת העיצומים הרלוונטית, לאחר הוראת רשות שלא קוימה.

האם אפשר למנות את ה-CTO או מנהל ה-IT?

החוק אוסר מינוי במצב של חשש לניגוד עניינים בסעיף 17ב3(ג). עמדת הרשות במדריך מציגה את מנהל מערכות המידע ו-CTO כדוגמאות לתפקידים בעייתיים. לכן, ברוב המקרים זה מהלך שדורש זהירות רבה, ולעיתים פשוט אינו מתאים.

צריכים ממונה חיצוני? ספרו לנו על הארגון ונחזור אליכם עם הערכה עניינית.

המידע באתר הוא סקירה כללית ואינו ייעוץ משפטי. יישום בארגון ספציפי מחייב בחינה פרטנית.