ממונה אבטחת מידע מול ממונה הגנת פרטיות: שני תפקידים, לא כובע אחד

תקציר מנהלים: ממונה אבטחת מידע וממונה הגנת פרטיות אינם אותו תפקיד, וגם לא נבנו לאותה מטרה. לאחר תיקון 13, חובת המינוי של ממונה הגנת פרטיות נקבעת לפי סעיף 17ב1, ואילו חובת מינוי ממונה על אבטחת מידע נשארת בסעיף 17ב, עם טריגרים שונים ואחריות אישית שלא קיימת אצל ה-DPO. עמדת הרשות בגילוי הדעת הסופי בנושא מינוי ממונה (יולי 2026) היא שדרישות שני התפקידים רחבות ושונות זו מזו במידה ניכרת, ולכן איחוד ביניהם מעורר שאלות היתכנות ומחייב בחינה פרטנית של הארגון, הנמקה מבוססת ותיעוד ראוי.

ההבדל מתחיל בתפקיד עצמו

אם מחפשים הגדרת תפקיד של האחראי על אבטחת המידע, נקודת הפתיחה הנכונה היא זו: ממונה על אבטחת מידע עוסק בהגנה על המידע מבחינת אבטחה, ואילו ממונה הגנת פרטיות עוסק בציות לדיני הגנת הפרטיות, ייעוץ, בקרה, הדרכה וקשר עם הרשות.

לפי מדריך תיקון 13, ממונה הגנת פרטיות הוא תפקיד נפרד מהממונה על אבטחת מידע. סעיף 17ב2(א) לחוק מגדיר ל-DPO תפקידים קונקרטיים: ייעוץ להנהלה ולעובדים, הכנת תוכנית הדרכה, הכנת תוכנית לבקרה שוטפת על עמידה בהוראות החוק, וידוא קיומם של נוהל אבטחת מידע ומסמך הגדרות מאגר, טיפול בפניות של נושאי מידע, ואיש קשר מול הרשות להגנת הפרטיות.

מנגד, מדריך תיקון 13 מבהיר שבסעיף 17ב, הממונה על אבטחת מידע נושא באחריות אישית לאבטחת המידע. זה הבדל מהותי, לא ניסוחי. בגילוי הדעת בנושא מינוי ממונה הרשות אף הבהירה שביחס ל-DPO החוק אינו מטיל אחריות אישית במקרה של אי-ציות, משום שעיקר התפקיד הוא ייעוץ, הדרכה, פיקוח ובקרה.

כלומר, השאלה אינה רק מי "מבין במידע". השאלה היא מי אמור לפקח על עמידת הארגון בדיני הפרטיות, ומי אחראי מקצועית לתחום האבטחה.

מתי חייבים למנות ממונה על אבטחת מידע

חובת מינוי ממונה על אבטחת מידע, לאחר תיקון 13, חלה לפי מדריך תיקון 13 על הגורמים הבאים:

• בעל שליטה או מחזיק ב-5 מאגרים החייבים ברישום או בהודעה לרשות
• גוף ציבורי
• בנק
• חברת ביטוח
• חברה העוסקת בדירוג או הערכת אשראי

זו רשימת החייבים שנוגעת לתפקיד האבטחה. היא לא חופפת באופן מלא לחובת מינוי DPO.

לדוגמה, ארגון יכול להיות חייב ב-DPO לפי סעיף 17ב1 בגלל ניטור שוטף ושיטתי בהיקף ניכר, או בגלל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר, גם אם אינו נכנס בהכרח לאחת הקטגוריות של סעיף 17ב. ולהפך, גוף ציבורי עשוי להיות חייב בשני התפקידים במקביל.

אם אתם בודקים חובת מינוי DPO עצמה, הרחבנו על זה במדריך מי חייב למנות ממונה הגנת פרטיות.

מתי חייבים למנות ממונה הגנת פרטיות

סעיף 17ב1 קובע ארבע קטגוריות לחובת מינוי ממונה הגנת פרטיות:

תפקיד	מקור החובה	מי חייב
ממונה הגנת פרטיות	סעיף 17ב1	גוף ציבורי או מחזיק עבורו; סוחר מידע או דיוור ישיר עם יותר מ-10,000 בני אדם; עיבוד שכולל ניטור שוטף ושיטתי בהיקף ניכר; עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר
ממונה על אבטחת מידע	סעיף 17ב	בעל שליטה או מחזיק ב-5 מאגרים החייבים ברישום או בהודעה לרשות; גוף ציבורי; בנק; חברת ביטוח; חברה העוסקת בדירוג או הערכת אשראי

הטבלה הזו מסבירה למה בארגונים רבים צריך שני תפקידים נפרדים. יש חפיפה מסוימת, אבל היא לא מלאה, והחובות נולדו ממטרות שונות.

כך למשל, קופת חולים או בית חולים כללי יימצאו בדרך כלל במוקד של שתי החובות. לעומת זאת, חברת SaaS שמבצעת ניטור שיטתי של משתמשי קצה בהיקף ניכר עשויה להיכנס לחובת מינוי DPO, גם אם לא ברור שהיא חייבת בתפקיד האבטחה מכוח אחד הטריגרים של סעיף 17ב.

מה עמדת הרשות על כפל כובעים

כאן צריך להבחין בין לשון החוק לבין עמדת הרשות.

לשון החוק אינה אוסרת במפורש שאדם אחד ישמש גם כממונה על אבטחת מידע וגם כממונה הגנת פרטיות.

עמדת הרשות התעדכנה לאורך הדרך. בטיוטת גילוי הדעת מ-2025 נכתב שברוב המקרים הדרישות אינן מתיישבות ושלעיתים נוצרת מורכבות משפטית. בנוסח הסופי של גילוי הדעת, שפורסם ביולי 2026, הניסוח רוכך: דרישות הידע, הכישורים ואופן מילוי התפקיד של ממונה הגנת פרטיות רחבות ושונות במידה ניכרת מאלה של ממונה אבטחת המידע, ולכן כפל התפקידים מעורר שאלות היתכנות. המסקנה המעשית של הרשות: ארגון ששוקל איחוד נדרש לבחינה פרטנית, להנמקה מבוססת ולתיעוד ראוי של ההחלטה.

שלושה נימוקים נותרו בנוסח הסופי:

1. ממונה אבטחה לא בהכרח מחזיק ב"ידע מעמיק בדיני הגנת הפרטיות", כנדרש מסעיף 17ב3(א) לגבי DPO.
2. בארגונים גדולים או עתירי עיבוד מידע, תפקיד ממונה האבטחה מצריך תשומת לב מלאה, ומילוי שני התפקידים במקביל עלול לפגוע בשניהם.
3. דרישת הכפיפות הישירה למנכ"ל שבסעיף 17ב2(ג) לא תמיד מתקיימת אצל אחראי אבטחת המידע.

הנקודה השלישית חשובה במיוחד. סעיף 17ב2(ג) קובע שממונה הגנת פרטיות ידווח ישירות למנכ"ל או לעובד הכפוף ישירות למנכ"ל. זה חלק ממבנה העצמאות של התפקיד. בארגונים שבהם ה-CISO יושב תחת מערכות מידע, טכנולוגיה או תפעול, הכפיפות הזו פשוט אינה תואמת את דרישת החוק לגבי ה-DPO.

איפה מתעורר ניגוד העניינים בפועל

סעיף 17ב3(ג) אוסר על ממונה הגנת פרטיות למלא תפקיד נוסף, או להיות כפוף לנושא משרה, אם הדבר עלול להעמיד אותו בחשש לניגוד עניינים. לפי מדריך תיקון 13, כלל האצבע של הרשות לתפקידים בעייתיים כולל מנהל שיווק, מנהל לקוחות, מנהל כספים, מנהל מערכות מידע ו-CTO.

זה מתחבר ישירות לשאלה של מינוי אחראי אבטחת מידע כ-DPO. במקרים רבים, מי שאחראי לאבטחת המידע אחראי גם להחלטות מהותיות על אמצעי העיבוד, ארכיטקטורה, הרשאות, כלי ניטור, מיקור חוץ ובקרות. בגילוי הדעת בנושא מינוי ממונה הרשות מנסחת את המבחן כך: הממונה לא ימלא תפקיד הכולל סמכות או אחריות לקבוע מדיניות עיבוד מידע, לרבות קביעת מטרות עיבוד והחלטות מהותיות על אמצעי עיבוד.

להערכתנו, זה לב המתח בין שני התפקידים. אם אותו אדם גם מעצב את מנגנוני העיבוד וגם אמור לפקח על חוקיותם, קשה לשמור על המרחק המקצועי שהחוק מצפה לו.

בהקשר הזה מומלץ לעיין גם במדריך שלנו על ניגוד עניינים אצל ממונה הגנת פרטיות.

מה חייב לקבל ה-DPO, ומה לא בהכרח מאפיין CISO

ממונה הגנת פרטיות אינו רק תואר תפקיד. סעיף 17ב2 מטיל על הארגון דרישות מבניות:

• לספק לממונה את התנאים והמשאבים הדרושים למילוי נאות של תפקידו
• לוודא שהוא מעורב כראוי בכל נושא הנוגע לדיני הגנת הפרטיות
• לקבוע דיווח ישיר למנכ"ל או לעובד הכפוף ישירות למנכ"ל
• לפרסם לציבור באופן נגיש ופשוט את דרכי ההתקשרות עם הממונה

בגילוי הדעת, זו עמדת הרשות ולא הוראת חוק נוספת, הרשות מוסיפה שהממונה צריך להיות זמין ונגיש, ושמומלץ שדרכי ההתקשרות יכללו דוא"ל, טלפון ומען פיזי.

המבנה הזה מתאים לתפקיד ציות ופיקוח. הוא לא תמיד מתאים לאופן שבו בנוי תחום אבטחת המידע בארגון. בארגון קטן זה יכול להיראות כמו הבדל תאורטי. בארגון בינוני או גדול, זו כבר שאלה ארגונית מעשית מאוד.

ומה לגבי אחריות אישית

זה אחד המקומות שבהם ארגונים טועים בקריאה.

לפי גילוי הדעת בנושא מינוי ממונה, החוק אינו מטיל על ה-DPO אחריות אישית במקרה של אי-ציות. התפקיד שלו הוא לייעץ, להדריך, לפקח ולבקר. הארגון אינו חייב לאמץ כל עמדה של הממונה, אבל עמדת הרשות היא שיש לשקול את עמדתו בכובד ראש, ולנמק החלטה שלא לאמצה.

לעומת זאת, סעיף 17ב(ב) לחוק קובע שהאחראי על אבטחת המידע נושא באחריות אישית לאבטחת המידע. חשוב לדייק: בנוסח הסופי של גילוי הדעת הרשות לא כללה את פער האחריות הזה בין נימוקיה נגד כפל הכובעים, אבל ההבחנה עצמה נותרה בחוק. כשאותו אדם ממלא את שני התפקידים, עלולה להיווצר סיטואציה שבה הוא גם הגורם המבקר וגם הגורם שנושא באחריות אישית בתחום המבוקר.

לדעתנו, זו מורכבות שכדאי לקחת ברצינות. אם יתרחש אירוע אבטחה חמור או יתברר כשל מתמשך בבקרות, הארגון יתקשה להסביר למה בחר במבנה שמטשטש את קו ההפרדה הזה.

אז האם אפשר בכל זאת לאחד בין התפקידים

התשובה המשפטית הקצרה היא כן, החוק אינו קובע איסור מפורש גורף, וגם הרשות בנוסח הסופי של גילוי הדעת לא אסרה זאת. אבל הרשות דורשת מהארגון בחינה פרטנית, הנמקה מבוססת ותיעוד ראוי של ההחלטה.

אם שוקלים כפל כובעים, צריך לבדוק ולתעד לפחות את הנקודות הבאות:

• האם אותו אדם עומד בדרישת הידע המעמיק בדיני הגנת הפרטיות לפי סעיף 17ב3(א)
• האם מבנה הכפיפות שלו עומד בדרישת הדיווח הישיר למנכ"ל לפי סעיף 17ב2(ג)
• האם אין חשש לניגוד עניינים לפי סעיף 17ב3(ג)
• האם עומס התפקיד מאפשר מילוי נאות של שני התפקידים
• האם הארגון מסוגל להראות שה-DPO מעורב כראוי בכל נושא הנוגע לדיני הגנת הפרטיות

להערכתנו, בארגון קטן עם מבנה פשוט מאוד זו יכולה להיות שאלה פתוחה, אבל ברוב הארגונים הכיוון הבטוח יותר הוא הפרדה בין התפקידים, גם אם אחד מהם ניתן במיקור חוץ. החוק מתיר במפורש DPO חיצוני בסעיף 17ב3(ב), ועל האפשרות הזו הרחבנו בעמוד ממונה הגנת פרטיות.

השורה התחתונה

אם אתם שואלים האם CISO יכול להיות גם DPO, התשובה אינה "אסור" בכל מקרה, אבל גם רחוקה מ"בוודאי". לשון החוק לא אוסרת במפורש, ועמדת הרשות בגילוי הדעת הסופי היא שכפל הכובעים מעורר שאלות היתכנות, בעיקר בגלל דרישת הידע המשפטי, העומס בארגונים גדולים והכפיפות הישירה למנכ"ל, ולכן מחייב בחינה פרטנית, הנמקה מבוססת ותיעוד. מומלץ להתחיל ממיפוי מסודר של שתי החובות בנפרד, ורק אחר כך לבדוק אם יש היתכנות אמיתית לאיחוד.

שאלות נפוצות

האם ממונה אבטחת מידע הוא אותו דבר כמו CISO?

ברוב הארגונים זה הכינוי המקביל, אבל החוק עוסק בחובת מינוי ממונה על אבטחת מידע לפי סעיף 17ב, לא בתואר האנגלי. לצורך הציות, מה שקובע הוא תוכן התפקיד והאם חלה חובת מינוי.

מתי חלה חובת מינוי של האחראי על אבטחת המידע?

לפי מדריך תיקון 13, החובה חלה על בעל שליטה או מחזיק ב-5 מאגרים החייבים ברישום או בהודעה לרשות, על גוף ציבורי, על בנק, על חברת ביטוח ועל חברה העוסקת בדירוג או הערכת אשראי.

האם ממונה אבטחת מידע הרשות להגנת הפרטיות דורשת שיהיה גם DPO?

לא. אלה שתי חובות נפרדות. ייתכן שארגון יחויב בשתיהן, אבל כל תפקיד נבחן לפי מקור חובה אחר ולפי דרישות שונות.

האם מינוי ממונה על אבטחת מידע פוטר ממינוי DPO?

לא. אם הארגון נכנס לאחת הקטגוריות של סעיף 17ב1, צריך למנות גם ממונה הגנת פרטיות, גם אם כבר קיים אחראי אבטחת מידע.

מהי הגדרת תפקיד של האחראי על אבטחת מידע לעומת DPO?

ממונה על אבטחת מידע עוסק בתחום האבטחה, ולפי מדריך תיקון 13 נושא באחריות אישית לאבטחת המידע. DPO הוא סמכות מקצועית בתחום דיני הגנת הפרטיות, עם תפקידי ייעוץ, הדרכה, בקרה, טיפול בפניות נושאי מידע וקשר עם הרשות.

צריכים ממונה חיצוני? ספרו לנו על הארגון ונחזור אליכם עם הערכה עניינית.

המידע באתר הוא סקירה כללית ואינו ייעוץ משפטי. יישום בארגון ספציפי מחייב בחינה פרטנית.