ממונה הגנת פרטיות (DPO): התפקיד, הסמכויות והאחריות

תקציר מנהלים: ממונה הגנת פרטיות הוא תפקיד סטטוטורי חדש בדין הישראלי, שנכנס למסגרת מחייבת עם תיקון 13 לחוק הגנת הפרטיות, בתוקף מ-14.8.2025. החוק לא מסתפק בעצם המינוי. הוא מגדיר לממונה תפקידי ייעוץ, הדרכה, בקרה, ליווי מימוש זכויות וקשר מול הרשות; קובע חובת דיווח ישיר למנכ"ל; ומחייב את הארגון להעמיד לממונה תנאים, משאבים ומעורבות אמיתית בכל נושא הנוגע לדיני הגנת הפרטיות. ארגון שממנה "על הנייר" בלבד, או ממנה אדם בניגוד עניינים, לא סיים את העבודה. במקרים מסוימים זו עצמה הפרה אכיפתית.

אם אתם בודקים עכשיו מהו בעצם DPO לפי החוק הישראלי, נקודת המוצא פשוטה: זהו הגורם המקצועי שאמור להכניס לארגון משטר עבודה מסודר בדיני הגנת הפרטיות. לא "אחראי טפסים", ולא רק כתובת לפניות. לפי סעיף 17ב2(א), התפקיד משלב ייעוץ להנהלה ולעובדים, פיקוח ובקרה, וידוא מסמכי יסוד, טיפול בזכויות נושאי מידע, ושמש כאיש הקשר מול הרשות להגנת הפרטיות.

מי שחייב במינוי, ומתי, פירטנו בנפרד במדריך מי חייב למנות ממונה. כאן נתמקד בשאלה אחרת: נניח שהחובה חלה, או שהארגון רוצה למנות גם בלי חובה. מה בדיוק התפקיד, מה מותר ואסור לעשות במבנה הארגוני, ואיך נמנעים ממינוי חסר ערך.

מהו התפקיד של הממונה לפי החוק

סעיף 17ב2(א) לחוק מונה חמישה תפקידי ליבה. זו רשימה מחייבת, לא המלצה ניהולית.

1. סמכות מקצועית, ייעוץ והדרכה

הממונה הוא הסמכות המקצועית בארגון בתחום דיני הגנת הפרטיות. סעיף 17ב2(א)(1) קובע שהוא מייעץ להנהלה ולעובדים, מכין תוכנית הדרכה ומפקח על ביצועה.

המשמעות המעשית רחבה יותר ממצגת שנתית. בארגון סביר, הממונה צריך להיות מעורב כאשר בונים תהליך קליטת לקוחות, משנים מסכי הרשמה, מכניסים כלי אנליטיקה חדש, משיקים מאגר עובדים חדש, או מנסחים מסרי יידוע והסכמה. בלי זה, קשה מאוד לומר שהוא "מעורב כראוי בכל נושא הנוגע לדיני הגנת הפרטיות" כדרישת סעיף 17ב2(ב).

עמדת הרשות בגילוי הדעת בנושא מינוי ממונה מוסיפה רובד נוסף: ייעוד התפקיד אינו רק הבטחת קיום הוראות החוק במינימום הנדרש, אלא גם קידום הגנה על הפרטיות בארגון, לרבות Privacy by Design, אמצעים טכנולוגיים להגנת פרטיות ותסקירי השפעה על פרטיות. זו אינה לשון החוק, אלא עמדת הרשות בגילוי הדעת.

2. תוכנית בקרה שוטפת ודיווח להנהלה

לפי סעיף 17ב2(א)(2), הממונה מכין תוכנית לבקרה שוטפת על העמידה בהוראות החוק, מוודא את ביצועה, מדווח להנהלה על ממצאים ומציע תיקון ליקויים.

זה החלק שהופך את התפקיד ממייעץ פסיבי לגורם בקרה. ארגון שממנה ממונה אך לא מקיים תוכנית עבודה, בדיקות תקופתיות, רישום ליקויים ומעקב אחרי תיקון, יתקשה להראות שהמינוי מתפקד.

בפרקטיקה, אנחנו מצפים לראות לפחות מפת סיכונים, לוח בקרה שנתי, בדיקות מדגמיות של תהליכים רגישים, ותיעוד של החלטות הנהלה. החוק לא מפרט פורמט קשיח למסמכים האלה, אבל בלי חומר כתוב קשה להוכיח שהבקרה אכן מתבצעת.

3. וידוא נוהל אבטחת מידע ומסמך הגדרות מאגר

סעיף 17ב2(א)(3) דורש מהממונה לוודא קיומם של נוהל אבטחת מידע ומסמך הגדרות מאגר, לפי תקנות סעיפים 17(ב) ו-36, ולהביאם לאישור ההנהלה.

זו נקודה שמבלבלת ארגונים רבים. הממונה אינו בהכרח מי שכותב בעצמו כל מסמך אבטחת מידע, ואינו מחליף את מי שאחראי טכנולוגית על המערכות. אבל הוא כן צריך לוודא שהמסמכים קיימים, תואמים את דרישות הדין, ומובאים לאישור ההנהלה.

הקשר לממונה אבטחת מידע קריטי כאן. מדובר בשני תפקידים שונים, עם חובות שונות, ולעיתים גם אינטרסים שונים. הרחבנו על מוקדי ההתנגשות והכפילות האפשרית במדריך על ניגוד עניינים של ממונה.

4. טיפול בזכויות נושאי מידע ופרסום פרטי קשר

סעיף 17ב2(א)(4) מטיל על הממונה לוודא טיפול בפניות של נושאי מידע, לרבות עיון, תיקון ומימוש זכויות. בנוסף, דרכי ההתקשרות עם הממונה צריכות להתפרסם לציבור באופן נגיש ופשוט.

כאן יש חובה כפולה:

רכיב	מה דורש החוק
טיפול בזכויות	וידוא טיפול בפניות עיון, תיקון ומימוש זכויות
נגישות לציבור	פרסום דרכי התקשרות עם הממונה באופן נגיש ופשוט

עמדת הרשות בגילוי הדעת ממליצה שדרכי ההתקשרות שיפורסמו יכללו דוא"ל, טלפון (שיחות והודעות) ומען פיזי. זו המלצה פרשנית של הרשות, לא נוסח מחייב בחוק. ועדיין, מבחינה מעשית זו נקודת ייחוס טובה. פרסום כתובת מייל כללית ולא מנוטרת, או עמוד יצירת קשר בלי זיהוי ברור של תכלית הפנייה, לא נראה כמו יישום רציני של החובה.

5. איש קשר מול הרשות להגנת הפרטיות

לפי סעיף 17ב2(א)(5), הממונה הוא איש הקשר של הארגון מול הרשות להגנת הפרטיות.

זה כולל, בין היתר, פניות שוטפות, ליווי בדיקות, ולעיתים גם מעורבות בהודעות או עדכונים שהחוק מחייב למסור. עמדת הרשות בגילוי הדעת היא שמומלץ לעדכן את הרשות בפרטי הממונה, וחובה לעשות זאת כאשר הדבר נדרש במסגרת הודעה לפי סעיף 8א(ב) או רישום מאגר, לרבות עדכון שינויים.

למי התפקיד מדווח, ואילו משאבים חייבים לתת לו

כאן המחוקק היה חד למדי. לא די לומר שהממונה "מדווח ללשכה המשפטית" או "עובד עם ה-IT". סעיפים 17ב2(ב) ו-17ב2(ג) קובעים דרישות מבניות מפורשות.

דיווח ישיר למנכ"ל

סעיף 17ב2(ג) קובע שהממונה ידווח ישירות למנכ"ל או לעובד הכפוף ישירות למנכ"ל.

זו דרישה ארגונית מהותית. אם הממונה כפוף לשכבת ביניים שאין לה גישה ישירה למנכ"ל, או מדווח רק למנהל מחלקה, יש קושי של ממש עם לשון החוק. עמדת הרשות בגילוי הדעת גם מדגישה שאין הוראה על מיקום התפקיד במבנה הארגוני מעבר לדיווח הישיר למנכ"ל, ושמיקום בלשכה המשפטית אפשרי אך לא בהכרח מיטבי.

להערכתנו, בארגונים בינוניים וגדולים כדאי לתעד במפורש את שרשרת הדיווח בהחלטת המינוי עצמה. זה מסמך קטן, אבל הוא חוסך ויכוח מאוחר יותר.

תנאים ומשאבים

סעיף 17ב2(ב) מחייב את בעל השליטה או המחזיק לספק לממונה את התנאים והמשאבים הדרושים למילוי נאות של תפקידו.

החוק לא מגדיר מספר שעות, תקציב, צוות או היקף משרה. לכן אין תשובה אחידה לכלל השוק. בנק, קופת חולים וחברת SaaS קטנה לא יזדקקו לאותו מבנה. אבל הדרישה היא פונקציונלית: המבחן הוא אם בפועל הועמדו לממונה מה שנדרש כדי לבצע את עבודתו.

דוגמאות מעשיות למשאבים רלוונטיים:

• זמן עבודה מובחן לתפקיד
• גישה למקבלי החלטות
• גישה למסמכים, מערכות ובעלי תפקידים רלוונטיים
• תקציב להכשרה, בקרה ולעיתים סיוע חיצוני
• מעורבות בשלבי תכנון, ולא רק אחרי אירוע

מינוי של עובד עמוס מאוד, בלי זמן, בלי גישה להנהלה ובלי אפשרות לדרוש תיקון ליקויים, ייראה על פניו חלש מאוד.

מעורבות "בכל נושא הנוגע לדיני הגנת הפרטיות"

זו אחת ההוראות החשובות והפחות מיושמות. סעיף 17ב2(ב) מחייב לוודא שהממונה "מעורב כראוי בכל נושא הנוגע לדיני הגנת הפרטיות".

כלומר, הממונה צריך להיכנס מוקדם מספיק לתהליך כדי להשפיע. אם הוא רואה מסמך יידוע רק אחרי שכבר עלה לאוויר, או מתבקש להגיב לאירוע אבטחה אחרי שהחלטות המפתח התקבלו, קשה לומר שהוא מעורב כראוי.

עמדת הרשות בגילוי הדעת מחזקת כיוון זה ומקשרת אותו ל-Privacy by Design, לאמצעים טכנולוגיים להגנת פרטיות ולתסקירי השפעה. שוב, זו עמדת הרשות, לא לשון החוק, אבל היא צפויה להנחות את האכיפה.

מי יכול להתמנות, ומהם תנאי הכשירות

סעיף 17ב3 עוסק באדם עצמו.

ידע וכישורים

לפי סעיף 17ב3(א), לממונה צריכים להיות ידע וכישורים נאותים, ובכלל זה:

• ידע מעמיק בדיני הגנת הפרטיות
• הבנה הולמת בטכנולוגיה ואבטחת מידע
• היכרות עם תחומי הפעילות של הארגון

הדרישה נבחנת "בשים לב לאופי העיבוד, נסיבותיו, היקפו ומטרותיו". כלומר, רף הכשירות של ממונה בבית חולים כללי לא בהכרח זהה לרף בארגון קטן עם פעילות מצומצמת יותר.

עמדת הרשות בגילוי הדעת מוסיפה כמה הבהרות פרקטיות:

• אין בחוק דרישת הסמכה פורמלית
• הדרישה היא מהותית, לא תעודתית
• היכרות עם GDPR אינה שקולה כשלעצמה ל"ידע מעמיק בדיני הגנת הפרטיות" הישראליים
• המומחיות צריכה להיות ניתנת להוכחה באמצעות לימודים או ניסיון
• אין דרישה לתואר במדעי המחשב או לניסיון מעשי בפיתוח תוכנה, אך נדרשת אוריינטציה טכנולוגית מספקת

לגבי קורסים, עמדת הרשות בגילוי הדעת היא שהשתלמות תעודה בהיקף 40 שעות לפחות מטעם הרשות או בחסותה נחשבת "הכשרה בסיסית לממוני הגנת פרטיות". עם זאת, ההשתתפות בה אינה חובה, ומצד שני אינה מספיקה לבדה ללא ניסיון או השכלה נוספת.

לכן, מי שמחפש "קורס ממונה הגנת הפרטיות" או "קורס DPO" צריך להבין את התמונה המלאה: קורס יכול לסייע כראיה לידע בסיסי, אבל הוא לא מחליף ניסיון, הבנה ארגונית ויכולת ליישם דין בפועל.

פנימי או חיצוני

סעיף 17ב3(ב) קובע במפורש שהממונה יכול שיהיה מי שאינו עובד הארגון. במילים פשוטות, מיקור חוץ מותר.

עמדת הרשות במדריך לתיקון 13 היא שרצוי שהממונה יהיה חלק אינטגרלי מהארגון, אך מתכונת ההעסקה נבחנת לגופו של כל ארגון. בגילוי הדעת הסופי הרשות מנסחת זאת כך: על פי רוב קיים יתרון בממונה שהוא עובד הארגון במשרה מלאה, בגלל היכרות עמוקה וזמינות, אך המתכונת והיקף המשרה נבחנים לפי נסיבות הארגון, כל עוד מוקצים הזמן, התנאים והמשאבים הנדרשים.

בנוסף, עמדת הרשות בגילוי הדעת היא שרק יחיד, אדם טבעי, יכול להתמנות. ההתקשרות יכולה להתבצע דרך חברה שבה הוא מועסק, אבל המינוי עצמו הוא של אדם מסוים.

אם אתם שוקלים מינוי חיצוני, פירטנו את השיקולים, היתרונות והחסרונות במדריך על ממונה חיצוני.

ניגוד עניינים: איפה נופלים הכי הרבה ארגונים

סעיף 17ב3(ג) אוסר על הממונה למלא תפקיד נוסף, ולא להיות כפוף לנושא משרה בארגון או בגוף אחר, אם אלה עלולים להעמיד אותו בחשש לניגוד עניינים.

זה לא איסור טכני בלבד. הרציונל פשוט: מי שקובע מדיניות עיבוד מידע, או אחראי מסחרית להרחבת השימוש במידע, לא תמיד יכול לפקח באופן עצמאי על חוקיות אותן החלטות.

עמדת הרשות במדריך לתיקון 13 ובגילוי הדעת מונה תפקידים שבהם ניגוד העניינים עשוי להתקיים פעמים רבות: מנהל שיווק, מנהל לקוחות, מנהל כספים, מנהל מערכות מידע ו-CTO. בנוסח הסופי של גילוי הדעת הרשות מוסיפה שהאיסור מתקיים ככלל גם לגבי גורמים הכפופים לבעלי התפקידים האלה.

בגילוי הדעת הרשות מנסחת את המבחן באופן מהותי עוד יותר: הממונה לא ימלא תפקיד, ולא יהיה כפוף לבעל תפקיד, הכולל סמכות או אחריות לקבוע מדיניות עיבוד מידע, לרבות קביעת מטרות עיבוד והחלטות מהותיות על אמצעי עיבוד.

זו אחת הטעויות השכיחות ביותר בשטח. ארגון מחפש "מישהו שמבין במערכות", וממנה את ה-CTO. או מחפש "מישהו שמכיר את הלקוחות", וממנה את סמנכ"ל השיווק. מבחינת הרשות, אלה בדיוק המקרים שמעוררים חשש.

גם ממונה חיצוני אינו חסין מהכלל הזה. האיסור חל גם עליו, לרבות כשהוא מכהן בכמה ארגונים. הרחבנו על אמות המידה והדוגמאות במדריך על ניגוד עניינים של DPO.

האם הממונה נושא באחריות אישית

כאן יש הבחנה שחשוב לעשות.

לפי עמדת הרשות בגילוי הדעת, החוק אינו מטיל על הממונה אחריות אישית במקרה של אי-ציות, בניגוד לממונה אבטחת מידע לפי סעיף 17ב(ב). עיקר התפקיד הוא ייעוץ, הדרכה, פיקוח ובקרה.

זו עמדת הרשות בגילוי הדעת, לא נוסח מפורש של סעיף שקובע "אין אחריות אישית". אבל היא נשענת על מבנה החוק: החובות הארגוניות העיקריות מוטלות על בעל השליטה או המחזיק, לא על הממונה כאדם פרטי.

מצד שני, זה לא אומר שתפקיד הממונה סמלי. אם הארגון מתעלם ממנו, אינו מערב אותו, ממנה אדם חסר כשירות או בניגוד עניינים, או לא נותן לו משאבים, יש לכך משמעויות אכיפתיות כלפי הארגון.

עמדת הרשות בגילוי הדעת גם מוסיפה שהארגון אינו חייב לאמץ כל חוות דעת של הממונה, אך מאחר שהחוק קובע שהוא "סמכות מקצועית", יש לשקול את עמדתו בכובד ראש, ולנמק החלטה שלא לאמצה.

להערכתנו, זה אחד המקומות שבהם תיעוד פנימי שווה הרבה. אם הנהלה חולקת על עמדת הממונה, עדיף שההחלטה והנימוקים יירשמו.

מה הסיכון כשהמינוי חסר, לקוי או לא עצמאי

כל הסכומים הם סכומי בסיס (לפני הצמדה למדד); מתעדכנים כל 1 בינואר החל מ-2026 (סעיף 23לב(ב)).

הסיכון מתחלק לשני סוגים שונים, וחשוב לא לערבב ביניהם.

עיצום ישיר על אי-מינוי בחלק מהקטגוריות

לפי מדריך הרשות לתיקון 13, בקבוצת העיצומים של ממונה הגנת הפרטיות נכללים, בין היתר, אי-מינוי DPO בגופים ציבוריים או סוחרי מידע לפי סעיף 17ב1(א)(1)-(2).

העיצום בקבוצה זו הוא:

• 2 ש"ח לכל נושא מידע
• 4 ש"ח לכל נושא מידע אם יש מידע בעל רגישות מיוחדת
• מינימום 20,000 ש"ח
• מינימום 40,000 ש"ח אם יש מידע בעל רגישות מיוחדת

דוגמת הרשות עצמה: גוף ציבורי ללא DPO, עם מאגר של 100,000 איש שיש בו מידע בעל רגישות מיוחדת, צפוי לעיצום של 400,000 ש"ח.

עיצום לאחר הוראת רשות, במקרים מבניים מסוימים

לפי מדריך הרשות, בקבוצת הממונה נכללות גם הפרות שלא בהכרח נאכפות מיד עם גילוין, אלא לאחר הוראת רשות שלא קוימה. הדוגמאות שצוינו הן:

• אי-אספקת תנאים ומשאבים לממונה או אי-מעורבות כראוי, לפי 23כה(ד)
• ממונה שאינו מדווח ישירות למנכ"ל
• ממונה ללא ידע וכישורים
• ממונה בניגוד עניינים

כלומר, ארגון יכול לומר "מינינו", אך אם המינוי לא עומד בדרישות המהותיות, החשיפה לא נעלמת.

הפחתה אפשרית של 10%

לפי התוספת החמישית לחוק, קיימת הפחתה של 10% אם המפר חב במינוי ממונה לפי סעיף 17ב1(א)(3) ו-(4) בלבד, כלומר בעילות של ניטור שוטף ושיטתי או עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר, ומינה ממונה טרם מסירת ההודעה על כוונת החיוב. ההפחתה אינה חלה על גוף ציבורי או סוחר מידע.

זה לא תחליף לעמידה בדרישות, אבל זו אינדיקציה למחוקק ולרשות: מינוי אמיתי הוא חלק ממערך הציות, לא פרט טכני.

לשיקולי תקציב, היקף משרה ומודלי התקשרות, ראו גם את המדריך על עלות ממונה חיצוני.

הממונה מול ממונה אבטחת מידע

הבלבול בין DPO לבין ממונה אבטחת מידע נפוץ, בעיקר בארגונים שבהם אותה הנהלה מטפלת גם בפרטיות וגם בסייבר. מבחינה משפטית, אלה שני תפקידים נפרדים.

החוק אינו אוסר במפורש על כפל כובעים. עמדת הרשות בגילוי הדעת הסופי היא שדרישות הידע, הכישורים ואופן מילוי התפקיד של הממונה רחבות ושונות במידה ניכרת מאלה של ממונה אבטחת המידע, ולכן כפל התפקידים מעורר שאלות היתכנות ומצריך בחינה פרטנית מצד הארגון, הנמקה מבוססת ותיעוד ראוי.

הנימוקים שמציינת הרשות:

1. ממונה אבטחה לא בהכרח מחזיק בידע מעמיק בדיני הגנת הפרטיות
2. בארגונים גדולים או עתירי עיבוד מידע, תפקיד ממונה האבטחה מצריך תשומת לב מלאה ועלול לאתגר את מילוי שני התפקידים כראוי
3. דרישת הדיווח הישיר למנכ"ל לא תמיד מתקיימת אצל ממונה אבטחה

מעבר לכך, גם מבחינת ניגוד עניינים עלולה להתעורר בעיה. מי שמחליט בפועל על אמצעי עיבוד ואבטחה אינו תמיד האדם המתאים לפקח באופן עצמאי על התאמתם לדין.

איך נראה מינוי טוב בפועל

אחרי שקוראים את החוק, קל ליפול לשני קצוות. האחד הוא מינוי קוסמטי. השני הוא ניסיון להקים פונקציה כבדה מדי גם במקום שאין לכך הצדקה. בדרך כלל, הפתרון הנכון נמצא באמצע.

מינוי טוב כולל בדרך כלל:

• החלטת מינוי מסודרת, עם הגדרת זהות הממונה ושרשרת הדיווח
• בדיקת כשירות מתועדת: ידע, ניסיון, היכרות עם הארגון ואוריינטציה טכנולוגית
• בחינת ניגוד עניינים, לרבות תפקידים נוספים וכפיפות בפועל
• הקצאת זמן ומשאבים
• פרסום ברור של דרכי התקשרות לציבור
• תוכנית עבודה: הדרכות, בקרה, מסמכי יסוד, מנגנון לטיפול בזכויות
• שילוב הממונה בתהליכי פיתוח, שיווק, HR, רכש, אבטחת מידע ומיקור חוץ

בעמדת הרשות בגילוי הדעת יש גם התייחסות לאירועי אבטחה: הממונה אינו חייב לדווח בעצמו על אירוע אבטחה חמור לפי תקנה 11(ד)(1), אך עליו להיות מעורב בתהליך ולוודא דיווח כדין, ומומלצת מעורבות מהותית בכל הטיפול באירוע. זו עוד דוגמה לכך שהתפקיד חוצה מחלקות.

האם כדאי למנות גם בלי חובה מפורשת

החוק מחייב רק בנסיבות שבסעיף 17ב1. אבל עמדת הרשות בגילוי הדעת היא שמינוי וולונטרי מומלץ, במיוחד לגופים דו-מהותיים.

לדעתנו, יש מקרים רבים שבהם מינוי וולונטרי הוא מהלך נכון גם כשאין ודאות שהחובה חלה. למשל:

• ארגון שנמצא באזור האפור של "היקף ניכר"
• חברה שמטמיעה מוצרים עם ניטור משתמשים
• גוף שמעבד מידע רפואי, פיננסי או נתוני שכר בהיקפים משמעותיים
• ארגון שמחזיק כמה מערכות מידע מורכבות וממשקי מיקור חוץ רבים

היתרון אינו רק משפטי. ארגון שממנה גורם מקצועי, בונה מנגנון בקרה ומתעד החלטות, בדרך כלל מקבל גם תהליכים נקיים יותר, פחות אלתורים, ופחות הפתעות בבדיקות.

השורה התחתונה

אם כבר מיניתם ממונה, השאלה הבאה איננה "האם יש שם במסמך", אלא אם המינוי באמת עומד בחוק: כשירות, עצמאות, דיווח ישיר למנכ"ל, משאבים, מעורבות ויכולת לפעול. אם עדיין לא מיניתם, קודם בדקו אם החובה חלה עליכם לפי המדריך על מי חייב למנות ממונה. אם התשובה כנראה כן, אל תסתפקו במינוי סמלי. מינוי טוב הוא חלק ממערך הציות של הארגון, ומינוי חלש עלול להיחשף מהר מאוד.

שאלות נפוצות

מה עושה ממונה הגנת הפרטיות בפועל?

לפי סעיף 17ב2(א), הוא מייעץ להנהלה ולעובדים, מכין תוכנית הדרכה, מכין תוכנית בקרה שוטפת, מוודא קיום נוהל אבטחת מידע ומסמך הגדרות מאגר, מוודא טיפול בזכויות נושאי מידע, ומשמש איש קשר מול הרשות. בפועל, המשמעות היא מעורבות בתהליכי עיבוד מידע לכל אורך חיי המערכת או השירות.

האם ממונה הגנת פרטיות חייב להיות עובד פנימי?

לא. סעיף 17ב3(ב) מתיר במפורש למנות מי שאינו עובד הארגון. עמדת הרשות היא שרצוי שהממונה יהיה חלק אינטגרלי מהארגון, אך מתכונת ההעסקה נבחנת לפי נסיבות הארגון. אם אתם שוקלים מודל כזה, שירות שמכונה גם DPO as a Service, ראו את המדריך על ממונה חיצוני.

האם אפשר למנות את מנהל ה-IT, ה-CTO או סמנכ"ל השיווק?

לעיתים קרובות זו בחירה בעייתית מאוד. סעיף 17ב3(ג) אוסר מינוי במצב של חשש לניגוד עניינים, ועמדת הרשות במדריך מונה בין התפקידים הבעייתיים מנהל שיווק, מנהל כספים, מנהל מערכות מידע ו-CTO. המבחן המהותי, לפי גילוי הדעת, הוא אם אותו אדם קובע מדיניות עיבוד מידע או אחראי להחלטות מהותיות בעניין אמצעי העיבוד.

האם יש קורס חובה או הסמכה רשמית לתפקיד?

לא. החוק אינו דורש הסמכה פורמלית. עמדת הרשות בגילוי הדעת היא שהשתלמות תעודה בהיקף 40 שעות לפחות מטעם הרשות או בחסותה נחשבת הכשרה בסיסית, אך אינה חובה ואינה מספיקה לבדה. מה שנדרש הוא ידע וכישורים נאותים לפי סעיף 17ב3(א).

שכר, תקן ודרושים לממונה הגנת פרטיות: מה החוק קובע?

החוק אינו קובע שכר, דרגת תקן או מבנה משרה אחיד. הוא קובע תוצאה: דיווח ישיר למנכ"ל או לעובד הכפוף ישירות למנכ"ל, תנאים ומשאבים נדרשים, ומעורבות כראוי בכל נושא הנוגע לדיני הגנת הפרטיות. לכן השאלה האמיתית איננה רק "כמה משרה", אלא אם היקף הזמן והמשאבים מאפשרים מילוי נאות של התפקיד.

לא בטוחים אם החובה חלה עליכם? עשו את הבדיקה שתי דקות, בלי פרטים אישיים.

המידע באתר הוא סקירה כללית ואינו ייעוץ משפטי. יישום בארגון ספציפי מחייב בחינה פרטנית.