ממונה הגנת פרטיות ברשויות מקומיות וגופים ציבוריים: חובת המינוי בפועל

תקציר מנהלים: רשות מקומית היא גוף ציבורי לעניין סעיף 17ב1(א)(1), ולכן חובת המינוי אינה שאלה של היקף המאגר או של שיקול דעת ניהולי, אלא חובה סטטוטורית. אותו כלל חל גם על גופים ציבוריים נוספים לפי סעיף 23 והצו הרלוונטי, וגם על מחזיק פרטי שמעבד מידע עבור גוף ציבורי. אם אתם בודקים את החובה למנות ממונה הגנת פרטיות ברשות מקומית, נקודת המוצא היא שהחובה קיימת, והבדיקה המעשית עוברת לשאלות של תחולה על תאגידים קשורים, מבנה הכפיפות, ניגוד עניינים ודרך המינוי בפועל.

ממונה הגנת פרטיות ברשות מקומית: למה החובה כמעט אינה שנויה במחלוקת

סעיף 17ב1(א)(1) מחייב מינוי ממונה על הגנת הפרטיות אצל בעל שליטה במאגר מידע שהוא גוף ציבורי כהגדרתו בסעיף 23, או מחזיק במאגר מידע כאמור. מדריך הרשות מונה במפורש משרדי ממשלה, רשויות מקומיות וגופים שנקבעו בצו הגנת הפרטיות, ובהם קופות חולים, בתי חולים, מוסדות להשכלה גבוהה וארגוני עובדים.

לכן, בעירייה, מועצה מקומית או מועצה אזורית, הדיון בדרך כלל אינו בשאלה אם יש חובה, אלא איך מקיימים אותה נכון. החובה נכנסה לתוקף ב-14.8.2025. הרשות הודיעה על מדיניות אי-אכיפה זמנית ביחס לחובת המינוי עד 31.10.2025, אך הדגישה שיש להשלים את הליכי המינוי עד אותו מועד. זו מדיניות אכיפה של הרשות, לא דחייה של מועד התחילה הקבוע בחוק.

הנקודה המעשית היא שרשות מקומית מחזיקה בדרך כלל כמה סוגי מאגרים במקביל: תושבים, ארנונה, חינוך, רווחה, כוח אדם, ספקים, פניות ציבור ומערכות מצלמות. לא צריך להוכיח כאן "היקף ניכר" ולא צריך לעבור סף של יותר מ-10,000 בני אדם. עצם היות הרשות גוף ציבורי מספיקה.

לא רק העירייה: גם הספק הפרטי של הגוף הציבורי עשוי להתחייב במינוי

זו אחת הנקודות שהרבה ארגונים מפספסים. סעיף 17ב1(א)(1) חל לא רק על הגוף הציבורי עצמו, אלא גם על מחזיק במאגר מידע כאמור. לפי ההגדרה המעודכנת, "מחזיק" הוא כל גורם חיצוני לבעל השליטה שמעבד מידע עבורו.

המשמעות רחבה מאוד. חברת תוכנה שמפעילה מערכת גבייה לעירייה, ספק ענן שמארח מערכת פניות תושבים, חברה חיצונית שמנהלת מוקד שירות עבור מועצה אזורית, או ספק שמפעיל מערכת נוכחות לעובדי רשות מקומית, צריכים לבדוק אם הם מחזיק במידע של גוף ציבורי. אם כן, החובה למנות ממונה עשויה לחול גם עליהם, אפילו אם הם עצמם אינם גוף ציבורי.

בפרקטיקה, זו נקודה קריטית גם במכרזים ובהתקשרויות. גוף ציבורי שמתקשר עם ספק עיבוד מידע צריך להבין אם הספק עצמו חייב במינוי, ולא להניח שהחובה "נשארת" רק אצל המזמין. הרחבנו על מסגרת החובה הכללית בעמוד מי חייב למנות ממונה הגנת פרטיות.

האם תאגיד עירוני או חברה ממשלתית נחשבים אוטומטית גוף ציבורי

כאן צריך להבחין בין לשון החוק לבין עמדת הרשות בגילוי הדעת בנושא מינוי ממונה.

לשון החוק מפנה להגדרת "גוף ציבורי" בסעיף 23 ולצו הגנת הפרטיות (קביעת גופים ציבוריים), תשמ"ו-1986. מדריך הרשות מציין שהצו קובע לכל גוף בטור א' את סוגי המידע שהוא רשאי לקבל בטור ב', ושהקביעה היא פרטנית לכל גוף. לפני שמסתמכים על הכללה של גוף מסוים, צריך לבדוק את הנוסח העדכני של הצו.

עמדת הרשות בגילוי הדעת (נוסח סופי, יולי 2026) מוסיפה הבחנה מעשית: חברה ממשלתית או תאגיד עירוני אינם חלק מהאישיות המשפטית של המדינה או של הרשות המקומית, ולכן ייחשבו "גוף ציבורי" רק אם הם ממלאים תפקיד ציבורי על פי דין או נכללים בצו לפי סעיף 23(2).

זו אינה הוראת חוק, אלא עמדת הרשות בגילוי הדעת. להערכתנו, כל תאגיד עירוני, אשכול רשויות או גוף קשור שפועל לצד רשות מקומית צריך לבדוק את הסיווג שלו באופן נקודתי ולא להניח שהתשובה מובנת מאליה לשום כיוון. במקרי גבול, מומלץ לתעד את הניתוח המשפטי והעובדתי.

מה הממונה בגוף ציבורי צריך לקבל בפועל

הרבה גופים משלימים "מינוי" אבל מפספסים את הדרישות המבניות שסביבו. סעיפים 17ב2 ו-17ב3 לא מסתפקים בכותרת תפקיד.

סעיף 17ב2(ב) מחייב את בעל השליטה או המחזיק לספק לממונה את התנאים והמשאבים הדרושים למילוי נאות של תפקידו, ולוודא שהוא מעורב כראוי בכל נושא הנוגע לדיני הגנת הפרטיות. סעיף 17ב2(ג) מוסיף דרישת כפיפות ברורה: הממונה ידווח ישירות למנכ"ל או לעובד הכפוף ישירות למנכ"ל.

סעיף 17ב2(א) מפרט את ליבת התפקיד:

• ייעוץ להנהלה ולעובדים, והכנת תוכנית הדרכה ופיקוח על ביצועה
• הכנת תוכנית לבקרה שוטפת על עמידה בהוראות החוק ודיווח להנהלה
• וידוא קיומם של נוהל אבטחת מידע ומסמך הגדרות מאגר
• וידוא טיפול בפניות של נושאי מידע
• תפקיד של איש קשר מול הרשות להגנת הפרטיות

בנוסף, דרכי ההתקשרות עם הממונה חייבות להתפרסם לציבור באופן נגיש ופשוט.

בגוף ציבורי, המשמעות היא שמינוי של עובד קיים "על הדרך", בלי זמן, בלי גישה להנהלה ובלי מעורבות בתהליכי רכש, מערכות מידע, מצלמות, חינוך ורווחה, לא באמת עומד בתכלית הסעיף. אם הממונה לא נכנס מוקדם להחלטות על עיבוד מידע, הארגון נשאר עם מינוי פורמלי בלבד.

מי לא נכון למנות בגוף ציבורי

סעיף 17ב3(ג) אוסר על ניגוד עניינים: הממונה לא ימלא תפקיד נוסף ולא יהיה כפוף לנושא משרה אם אלה עלולים להעמידו בחשש לניגוד עניינים. עמדת הרשות במדריך מסמנת ככלל אצבע תפקידים בעייתיים כמו מנהל שיווק, מנהל לקוחות, מנהל כספים, מנהל מערכות מידע ו-CTO.

בגילוי הדעת הרשות מחדדת שהמבחן המרכזי הוא אם אותו אדם קובע מדיניות עיבוד מידע, לרבות מטרות העיבוד והחלטות מהותיות על אמצעי העיבוד. לכן, במבנה של רשות מקומית או גוף ציבורי, צריך להיזהר במיוחד ממינוי של מי שכבר אחראי תפעולית על המערכות, על התקציב, על ההפעלה השוטפת או על קבלת ההחלטות ביחס לשימוש במידע.

גם שאלת הכפיפות חשובה. אם הממונה כפוף למי שמקבל את החלטות העיבוד המהותיות, יש קושי מובנה לעצמאות המקצועית שנדרשת מהתפקיד.

פנימי, חיצוני, ומה בודקים לפני מכרז ממונה הגנת פרטיות

החוק מתיר במפורש למנות ממונה שאינו עובד הארגון. סעיף 17ב3(ב) קובע שהממונה יכול שיהיה מי שאינו עובד הארגון. עמדת הרשות היא שרצוי שהממונה יהיה חלק אינטגרלי מהארגון, אך מתכונת ההעסקה נבחנת לגופו של כל ארגון.

מבחינת גופים ציבוריים, זה פותח שתי דרכים עיקריות:

מסלול	מה החוק מאפשר	נקודות בדיקה מעשיות
ממונה פנימי	מינוי של עובד הארגון	ידע מעמיק בדיני הגנת הפרטיות, כפיפות ישירה למנכ"ל, היעדר ניגוד עניינים, זמן ומשאבים
ממונה חיצוני	מינוי של אדם שאינו עובד הארגון	ההתקשרות יכולה להתבצע דרך חברה, אבל המינוי עצמו הוא ליחיד; צריך לוודא זמינות, עצמאות והיכרות עם פעילות הגוף

עמדת הרשות בגילוי הדעת מוסיפה שרק יחיד, אדם טבעי, יכול להתמנות, גם אם ההתקשרות נעשית דרך חברה. לכן, כשבוחנים התקשרות או מפרסמים הליך לבחירת נותן שירות, צריך לבדוק מי האדם המוצע בפועל, מה הכשירות שלו, ומה יבטיח את הזמינות שלו לארגון.

בנקודה הזאת כדאי להפריד בין דיני הגנת הפרטיות לבין דיני המכרזים. חוק הגנת הפרטיות קובע מי חייב במינוי, מי יכול להתמנות, מה מעמדו ומהם תנאי הכשירות והעצמאות. הוא אינו קובע מתי גוף ציבורי חייב לפרסם מכרז לצורך התקשרות עם ממונה חיצוני. השאלה אם נדרש מכרז, פטור, או מסלול התקשרות אחר, תלויה במערכת דינים אחרת. אם אתם בשלב ההתקשרות, מומלץ לעבוד עם מסמכי דרישות מסודרים ולא להסתפק בכותרת כללית של "יועץ פרטיות". אפשר להיעזר גם בעמוד על מכרזים ושירותי פרטיות או לבחון מתכונת של ממונה חיצוני.

מה הסיכון באי-מינוי בגוף ציבורי

כל הסכומים הם סכומי בסיס (לפני הצמדה למדד); מתעדכנים כל 1 בינואר החל מ-2026 (סעיף 23לב(ב)).

אי-מינוי ממונה בגוף ציבורי הוא חלק מקבוצת ההפרות של ממונה הגנת פרטיות / ממונה אבטחת מידע / דיוור ישיר / פנייה לקבוצה בלתי מסוימת ללא יידוע. סכום הבסיס הוא 2 ש"ח לנושא מידע, ו-4 ש"ח אם יש מידע בעל רגישות מיוחדת, עם מינימום של 20,000 ש"ח או 40,000 ש"ח בהתאמה.

מדריך הרשות נותן דוגמה קונקרטית: גוף ציבורי ללא ממונה, עם מאגר של 100,000 איש ובו מידע בעל רגישות מיוחדת, צפוי לעיצום של 400,000 ש"ח.

עוד הבחנה שצריך להכיר: לפי המדריך, אי-מינוי DPO בגופים ציבוריים או אצל סוחרי מידע נכלל בהפרות שאפשר להטיל בגינן עיצום. לעומת זאת, בהפרות אחרות הנוגעות למעמד הממונה, כמו אי-אספקת תנאים ומשאבים, ממונה שאינו מדווח ישירות למנכ"ל, ממונה ללא ידע וכישורים או ממונה בניגוד עניינים, מדובר בהטלת עיצום לאחר הוראת רשות שלא קוימה.

לטבלת עיצומים רחבה יותר, כולל קבוצות ההפרה והפחתות אפשריות, ראו את המדריך על עיצומים כספיים לפי חוק הגנת הפרטיות.

מה היינו בודקים קודם ברשות מקומית או בגוף ציבורי

אם היינו נכנסים עכשיו לרשות מקומית, לא היינו מתחילים מהשאלה "האם חייבים". היינו מתחילים משלוש בדיקות קצרות:

1. מי בדיוק האישיות המשפטית הרלוונטית, והאם יש גם תאגידים קשורים או ספקים חיצוניים שמעבדים מידע עבור הגוף.
2. האם האדם שמוצע לתפקיד עומד בדרישות הכשירות, הכפיפות והעצמאות, או שהוא כבר מחזיק בתפקיד שיוצר ניגוד עניינים.
3. האם המינוי מגובה במנגנון עבודה אמיתי: פרסום פרטי קשר, מעורבות בפרויקטים, תוכנית בקרה, הדרכות, ונוהל עבודה מול פניות נושאי מידע והרשות.

אלה לא פרטים טכניים. אלה בדיוק המקומות שבהם מינוי "על הנייר" נבחן כשמגיעים לפיקוח או לבירור מנהלי.

השורה התחתונה

ברשות מקומית, במשרד ממשלתי, במוסד ציבורי שנכלל בצו, וגם אצל ספק פרטי שמחזיק מידע עבור גוף ציבורי, חובת המינוי היא בדרך כלל נקודת המוצא ולא תוצאת בדיקה מורכבת. המורכבות האמיתית מתחילה אחרי זה: האם הגוף הנכון מינה, האם האדם הנכון מונה, והאם נבנה סביבו מנגנון שמאפשר לו למלא את התפקיד כפי שהחוק דורש. אם אתם בגוף ציבורי או עובדים איתו צמוד, מומלץ לבדוק עכשיו את מסמכי המינוי, הכפיפות, היקף התפקיד והסיווג של הספקים המרכזיים.

שאלות נפוצות

האם כל רשות מקומית חייבת למנות ממונה על הגנת הפרטיות?

כן. רשות מקומית נכללת בגופים הציבוריים שמדריך הרשות מונה לעניין סעיף 17ב1(א)(1), ולכן החובה אינה תלויה במספר התושבים או בהיקף המאגר.

האם ספק תוכנה של עירייה חייב גם הוא במינוי?

לעיתים כן. אם הוא מחזיק במאגר מידע של גוף ציבורי, סעיף 17ב1(א)(1) חל גם על מחזיק כזה. צריך לבדוק את מבנה העיבוד בפועל ולא רק את הכותרת החוזית.

האם תאגיד עירוני הוא תמיד גוף ציבורי לעניין מינוי ממונה?

לא בהכרח. לפי עמדת הרשות בגילוי הדעת, תאגיד עירוני ייחשב גוף ציבורי רק אם הוא ממלא תפקיד ציבורי על פי דין או נכלל בצו לפי סעיף 23(2). זו עמדת הרשות, לא הוראת חוק מפורשת.

האם חייבים לפרסם מכרז ממונה הגנת הפרטיות?

חוק הגנת הפרטיות עצמו אינו קובע אם גוף ציבורי חייב לפרסם מכרז לצורך מינוי ממונה חיצוני. הוא קובע שמותר למנות גם מי שאינו עובד הארגון, ושיש לעמוד בדרישות הכשירות, העצמאות והכפיפות. השאלה אם ההתקשרות טעונה מכרז מוסדרת בדינים אחרים, ולכן צריך לבדוק אותה בנפרד במסגרת דיני המכרזים וההתקשרויות של הגוף.

האם אפשר למנות ממונה חיצוני לגוף ציבורי?

כן. סעיף 17ב3(ב) מתיר במפורש למנות מי שאינו עובד הארגון. לפי עמדת הרשות, הממונה עצמו צריך להיות יחיד, גם אם ההתקשרות נעשית דרך חברה.

צריכים ממונה חיצוני? ספרו לנו על הארגון ונחזור אליכם עם הערכה עניינית.

המידע באתר הוא סקירה כללית ואינו ייעוץ משפטי. יישום בארגון ספציפי מחייב בחינה פרטנית.