ממונה אבטחת מידע מול ממונה הגנת פרטיות: שני תפקידים, לא כובע אחד

תקציר מנהלים: ממונה אבטחת מידע וממונה הגנת פרטיות אינם אותו תפקיד, וגם לא נבנו לאותה מטרה. לאחר תיקון 13, חובת המינוי של ממונה הגנת פרטיות נקבעת לפי סעיף 17ב1, ואילו חובת מינוי ממונה על אבטחת מידע נשארת בסעיף 17ב, עם טריגרים שונים ואחריות אישית שלא קיימת אצל ה-DPO. עמדת הרשות בגילוי הדעת הסופי בנושא מינוי ממונה: דרישות שני התפקידים רחבות ושונות במידה ניכרת, ולכן כפל כובעים מעורר שאלות היתכנות ומצריך בחינה פרטנית, הנמקה מבוססת ותיעוד ראוי.

ההבדל מתחיל בתפקיד עצמו

אם מחפשים הגדרת תפקיד של האחראי על אבטחת המידע, נקודת הפתיחה הנכונה היא זו: ממונה על אבטחת מידע עוסק בהגנה על המידע מבחינת אבטחה, ואילו ממונה הגנת פרטיות עוסק בציות לדיני הגנת הפרטיות, ייעוץ, בקרה, הדרכה וקשר עם הרשות.

לפי מדריך תיקון 13, ממונה הגנת פרטיות הוא תפקיד נפרד מהממונה על אבטחת מידע. סעיף 17ב2(א) לחוק מגדיר ל-DPO תפקידים קונקרטיים: ייעוץ להנהלה ולעובדים, הכנת תוכנית הדרכה, הכנת תוכנית לבקרה שוטפת על עמידה בהוראות החוק, וידוא קיומם של נוהל אבטחת מידע ומסמך הגדרות מאגר, טיפול בפניות של נושאי מידע, ואיש קשר מול הרשות להגנת הפרטיות.

מנגד, מדריך תיקון 13 מבהיר שבסעיף 17ב, הממונה על אבטחת מידע נושא באחריות אישית לאבטחת המידע. זה הבדל מהותי, לא ניסוחי. בגילוי הדעת בנושא מינוי ממונה הרשות אף הבהירה שביחס ל-DPO החוק אינו מטיל אחריות אישית במקרה של אי-ציות, משום שעיקר התפקיד הוא ייעוץ, הדרכה, פיקוח ובקרה.

כלומר, השאלה אינה רק מי "מבין במידע". השאלה היא מי אמור לפקח על עמידת הארגון בדיני הפרטיות, ומי אחראי מקצועית לתחום האבטחה.

מתי חייבים למנות ממונה על אבטחת מידע

חובת מינוי ממונה על אבטחת מידע, לאחר תיקון 13, חלה לפי מדריך תיקון 13 על הגורמים הבאים:

• בעל שליטה או מחזיק ב-5 מאגרים החייבים ברישום או בהודעה לרשות
• גוף ציבורי
• בנק
• חברת ביטוח
• חברה העוסקת בדירוג או הערכת אשראי

זו רשימת החייבים שנוגעת לתפקיד האבטחה. היא לא חופפת באופן מלא לחובת מינוי DPO.

לדוגמה, ארגון יכול להיות חייב ב-DPO לפי סעיף 17ב1 בגלל ניטור שוטף ושיטתי בהיקף ניכר, או בגלל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר, גם אם אינו נכנס בהכרח לאחת הקטגוריות של סעיף 17ב. ולהפך, גוף ציבורי עשוי להיות חייב בשני התפקידים במקביל.

אם אתם בודקים חובת מינוי DPO עצמה, הרחבנו על זה במדריך מי חייב למנות ממונה הגנת פרטיות.

מתי חייבים למנות ממונה הגנת פרטיות

סעיף 17ב1 קובע ארבע קטגוריות לחובת מינוי ממונה הגנת פרטיות:

תפקיד	מקור החובה	מי חייב
ממונה הגנת פרטיות	סעיף 17ב1	גוף ציבורי או מחזיק עבורו; סוחר מידע או דיוור ישיר עם יותר מ-10,000 בני אדם; עיבוד שכולל ניטור שוטף ושיטתי בהיקף ניכר; עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר
ממונה על אבטחת מידע	סעיף 17ב	בעל שליטה או מחזיק ב-5 מאגרים החייבים ברישום או בהודעה לרשות; גוף ציבורי; בנק; חברת ביטוח; חברה העוסקת בדירוג או הערכת אשראי

הטבלה הזו מסבירה למה בארגונים רבים צריך שני תפקידים נפרדים. יש חפיפה מסוימת, אבל היא לא מלאה, והחובות נולדו ממטרות שונות.

כך למשל, קופת חולים או בית חולים כללי יימצאו בדרך כלל במוקד של שתי החובות. לעומת זאת, חברת SaaS שמבצעת ניטור שיטתי של משתמשי קצה בהיקף ניכר עשויה להיכנס לחובת מינוי DPO, גם אם לא ברור שהיא חייבת בתפקיד האבטחה מכוח אחד הטריגרים של סעיף 17ב.

מה עמדת הרשות על כפל כובעים

כאן צריך להבחין בין לשון החוק לבין עמדת הרשות.

לשון החוק אינה אוסרת במפורש שאדם אחד ישמש גם כממונה על אבטחת מידע וגם כממונה הגנת פרטיות.

עמדת הרשות בגילוי הדעת הסופי בנושא מינוי ממונה: דרישות הידע, הכישורים ואופן מילוי התפקיד של ה-DPO רחבות ושונות במידה ניכרת מדרישות תפקיד ממונה אבטחת המידע, ולכן כפל התפקידים מעורר שאלות היתכנות ומצריך בחינה פרטנית מצד הארגון, הנמקה מבוססת ותיעוד ראוי. הרשות מציינת שלושה נימוקים מרכזיים:

1. ממונה אבטחה לא בהכרח מחזיק ב"ידע מעמיק בדיני הגנת הפרטיות", כנדרש מסעיף 17ב3(א) לגבי DPO.
2. בארגונים גדולים או עתירי עיבוד, תפקיד ממונה האבטחה מצריך תשומת לב מלאה ועלול לאתגר את המילוי הנאות של שני התפקידים יחד.
3. דרישת הכפיפות הישירה למנכ"ל שבסעיף 17ב2(ג) לא בהכרח מתקיימת אצל אחראי אבטחת המידע.

מעבר לנימוקי הרשות, יש הבדל שנובע מהחוק עצמו: סעיף 17ב(ב) מטיל על ממונה אבטחת המידע אחריות אישית לאבטחת המידע, בעוד שעל ה-DPO אין אחריות אישית מקבילה. גם את הפער הזה כדאי לשקול לפני איחוד התפקידים.

הנקודה השלישית ברשימת הרשות חשובה במיוחד. סעיף 17ב2(ג) קובע שממונה הגנת פרטיות ידווח ישירות למנכ"ל או לעובד הכפוף ישירות למנכ"ל. זה חלק ממבנה העצמאות של התפקיד. בארגונים שבהם ה-CISO יושב תחת מערכות מידע, טכנולוגיה או תפעול, הכפיפות הזו פשוט אינה תואמת את דרישת החוק לגבי ה-DPO.

איפה מתעורר ניגוד העניינים בפועל

סעיף 17ב3(ג) אוסר על ממונה הגנת פרטיות למלא תפקיד נוסף, או להיות כפוף לנושא משרה, אם הדבר עלול להעמיד אותו בחשש לניגוד עניינים. לפי עמדת הרשות בגילוי הדעת, תפקידים שבהם ניגוד העניינים עשוי להתקיים פעמים רבות כוללים מנהל שיווק, מנהל לקוחות, מנהל כספים, מנהל מערכות מידע ו-CTO, וככלל גם גורמים הכפופים להם. הרשימה מוצגת כמבחן פרשני הנבחן לגופו של כל תפקיד.

זה מתחבר ישירות לשאלה של מינוי אחראי אבטחת מידע כ-DPO. במקרים רבים, מי שאחראי לאבטחת המידע אחראי גם להחלטות מהותיות על אמצעי העיבוד, ארכיטקטורה, הרשאות, כלי ניטור, מיקור חוץ ובקרות. בגילוי הדעת בנושא מינוי ממונה הרשות מנסחת את המבחן כך: הממונה לא ימלא תפקיד הכולל סמכות או אחריות לקבוע מדיניות עיבוד מידע, לרבות קביעת מטרות עיבוד והחלטות מהותיות על אמצעי עיבוד.

להערכתנו, זה לב המתח בין שני התפקידים. אם אותו אדם גם מעצב את מנגנוני העיבוד וגם אמור לפקח על חוקיותם, קשה לשמור על המרחק המקצועי שהחוק מצפה לו.

בהקשר הזה מומלץ לעיין גם במדריך שלנו על ניגוד עניינים אצל ממונה הגנת פרטיות.

מה חייב לקבל ה-DPO, ומה לא בהכרח מאפיין CISO

ממונה הגנת פרטיות אינו רק תואר תפקיד. סעיף 17ב2 מטיל על הארגון דרישות מבניות:

• לספק לממונה את התנאים והמשאבים הדרושים למילוי נאות של תפקידו
• לוודא שהוא מעורב כראוי בכל נושא הנוגע לדיני הגנת הפרטיות
• לקבוע דיווח ישיר למנכ"ל או לעובד הכפוף ישירות למנכ"ל
• לפרסם לציבור באופן נגיש ופשוט את דרכי ההתקשרות עם הממונה

בגילוי הדעת, זו עמדת הרשות ולא הוראת חוק נוספת, הרשות מוסיפה שהממונה צריך להיות זמין ונגיש, ושמומלץ לפרסם דוא"ל, טלפון ומען פיזי.

המבנה הזה מתאים לתפקיד ציות ופיקוח. הוא לא תמיד מתאים לאופן שבו בנוי תחום אבטחת המידע בארגון. בארגון קטן זה יכול להיראות כמו הבדל תאורטי. בארגון בינוני או גדול, זו כבר שאלה ארגונית מעשית מאוד.

ומה לגבי אחריות אישית

זה אחד המקומות שבהם ארגונים טועים בקריאה.

לפי גילוי הדעת בנושא מינוי ממונה, החוק אינו מטיל על ה-DPO אחריות אישית במקרה של אי-ציות. התפקיד שלו הוא לייעץ, להדריך, לפקח ולבקר. הארגון אינו חייב לאמץ כל עמדה של הממונה, אבל עמדת הרשות היא שיש לשקול את עמדתו בכובד ראש, ולנמק החלטה שלא לאמצה.

לעומת זאת, מדריך תיקון 13 מציין שבסעיף 17ב(ב) האחראי על אבטחת המידע נושא באחריות אישית לאבטחת המידע. לכן, כשאותו אדם ממלא את שני התפקידים, עלולה להיווצר סיטואציה שבה הוא גם הגורם המבקר וגם הגורם שנושא באחריות אישית בתחום המבוקר.

לדעתנו, זו לא רק מורכבות תיאורטית. אם יתרחש אירוע אבטחה חמור או יתברר כשל מתמשך בבקרות, הארגון יתקשה להסביר למה בחר במבנה שמטשטש את קו ההפרדה הזה.

אז האם אפשר בכל זאת לאחד בין התפקידים

התשובה המשפטית הקצרה היא כן, החוק אינו קובע איסור מפורש גורף. התשובה המעשית זהירה יותר.

אם שוקלים כפל כובעים, צריך לבדוק לפחות את הנקודות הבאות:

• האם אותו אדם עומד בדרישת הידע המעמיק בדיני הגנת הפרטיות לפי סעיף 17ב3(א)
• האם מבנה הכפיפות שלו עומד בדרישת הדיווח הישיר למנכ"ל לפי סעיף 17ב2(ג)
• האם אין חשש לניגוד עניינים לפי סעיף 17ב3(ג)
• האם עומס התפקיד מאפשר מילוי נאות של שני התפקידים
• האם הארגון מסוגל להראות שה-DPO מעורב כראוי בכל נושא הנוגע לדיני הגנת הפרטיות

להערכתנו, בארגון קטן עם מבנה פשוט מאוד זו יכולה להיות שאלה פתוחה, אבל ברוב הארגונים הכיוון הבטוח יותר הוא הפרדה בין התפקידים, גם אם אחד מהם ניתן במיקור חוץ. החוק מתיר במפורש DPO חיצוני בסעיף 17ב3(ב), ועל האפשרות הזו הרחבנו בעמוד ממונה הגנת פרטיות.

השורה התחתונה

אם אתם שואלים האם CISO יכול להיות גם DPO, התשובה אינה "אסור" בכל מקרה, אבל גם רחוקה מ"בוודאי". לשון החוק לא אוסרת במפורש, אך לפי עמדת הרשות כפל כובעים מעורר שאלות היתכנות ומצריך בחינה פרטנית, הנמקה מבוססת ותיעוד, בעיקר סביב דרישת הידע המשפטי, הכפיפות הישירה למנכ"ל, עומס התפקיד והחשש לניגוד עניינים. מומלץ להתחיל ממיפוי מסודר של שתי החובות בנפרד, ורק אחר כך לבדוק אם יש היתכנות אמיתית לאיחוד.

שאלות נפוצות

האם ממונה אבטחת מידע הוא אותו דבר כמו CISO?

ברוב הארגונים זה הכינוי המקביל, אבל החוק עוסק בחובת מינוי ממונה על אבטחת מידע לפי סעיף 17ב, לא בתואר האנגלי. לצורך הציות, מה שקובע הוא תוכן התפקיד והאם חלה חובת מינוי.

מתי חלה חובת מינוי של האחראי על אבטחת המידע?

לפי מדריך תיקון 13, החובה חלה על בעל שליטה או מחזיק ב-5 מאגרים החייבים ברישום או בהודעה לרשות, על גוף ציבורי, על בנק, על חברת ביטוח ועל חברה העוסקת בדירוג או הערכת אשראי.

האם ממונה אבטחת מידע הרשות להגנת הפרטיות דורשת שיהיה גם DPO?

לא. אלה שתי חובות נפרדות. ייתכן שארגון יחויב בשתיהן, אבל כל תפקיד נבחן לפי מקור חובה אחר ולפי דרישות שונות.

האם מינוי ממונה על אבטחת מידע פוטר ממינוי DPO?

לא. אם הארגון נכנס לאחת הקטגוריות של סעיף 17ב1, צריך למנות גם ממונה הגנת פרטיות, גם אם כבר קיים אחראי אבטחת מידע.

מהי הגדרת תפקיד של האחראי על אבטחת מידע לעומת DPO?

ממונה על אבטחת מידע עוסק בתחום האבטחה, ולפי מדריך תיקון 13 נושא באחריות אישית לאבטחת המידע. DPO הוא סמכות מקצועית בתחום דיני הגנת הפרטיות, עם תפקידי ייעוץ, הדרכה, בקרה, טיפול בפניות נושאי מידע וקשר עם הרשות.

צריכים ממונה חיצוני? ספרו לנו על הארגון ונחזור אליכם עם הערכה עניינית.

המידע באתר הוא סקירה כללית ואינו ייעוץ משפטי. יישום בארגון ספציפי מחייב בחינה פרטנית.