ממונה הגנת פרטיות פנימי או חיצוני: איך מחליטים

תקציר מנהלים: החוק מתיר במפורש למנות גם ממונה פנימי וגם ממונה הגנת פרטיות חיצוני. סעיף 17ב3(ב) קובע שהממונה יכול להיות מי שאינו עובד הארגון. במקביל, עמדת הרשות במדריך ובגילוי הדעת בנושא מינוי ממונה היא שעל פי רוב קיים יתרון בממונה שהוא חלק מהארגון, אך מתכונת ההעסקה נבחנת לפי מאפייני הארגון, היקף העיבוד, המשאבים והיכולת למנוע ניגוד עניינים. ברוב הארגונים, השאלה הנכונה אינה "מה עדיף עקרונית", אלא איזה מודל יאפשר לממונה למלא בפועל את תפקידי סעיפים 17ב2 ו-17ב3.

מה החוק אומר, ומה הרשות אומרת

הנקודה הראשונה פשוטה: לשון החוק אינה מעדיפה פנימי על פני חיצוני. סעיף 17ב3(ב) קובע במפורש שהממונה יכול להיות מי שאינו עובד הארגון. כלומר, מיקור חוץ מותר, מה שמכונה כיום DPO as a Service.

מכאן מתחיל הניואנס. לפי המדריך של הרשות, רצוי שהממונה יהיה חלק אינטגרלי מהארגון, אבל מתכונת ההעסקה נבחנת לגופו של כל ארגון. בגילוי הדעת בנושא מינוי ממונה, שפורסם בנוסח סופי ביולי 2026, הרשות מנסחת זאת כך: על פי רוב קיים יתרון בממונה שהוא עובד הארגון במשרה מלאה, בגלל היכרות עמוקה וזמינות, אך אין דרישת חובה כזו, וכל עוד מוקצים הזמן, התנאים והמשאבים הנדרשים, גם מודל חיצוני אפשרי.

אנחנו מציעים לקרוא את זה כך: החוק פותח את הדלת לשני המודלים; עמדת הרשות בוחנת אם המודל שנבחר באמת עובד. מינוי "חיצוני" שלא זמין לארגון, או מינוי "פנימי" בלי עצמאות ובלי גישה להנהלה, שניהם עלולים להיכשל מאותה סיבה.

מתי ממונה פנימי הוא הבחירה הנכונה

ממונה פנימי מתאים בעיקר כאשר הפרטיות היא רכיב קבוע ומשמעותי בפעילות היומיומית של הארגון, ולא פרויקט נקודתי או דרישת ציות צרה.

אלה בדרך כלל הסימנים לכך:

• לארגון יש עיבוד מידע מורכב ומתמשך, לעיתים בכמה יחידות עסקיות במקביל
• ההנהלה צריכה ליווי שוטף בהחלטות מוצר, שיווק, HR, ספקים ואבטחת מידע
• יש צורך במעורבות יומיומית בתהליכים, בישיבות, בהדרכות ובהטמעת בקרה
• הארגון גדול מספיק כדי להצדיק הקצאת משאבים פנימית ייעודית

היתרון המרכזי של מודל פנימי הוא נוכחות. סעיף 17ב2(ב) דורש שהממונה יהיה "מעורב כראוי בכל נושא הנוגע לדיני הגנת הפרטיות". בארגון שבו החלטות על עיבוד מידע מתקבלות כל יום, קל יותר לעמוד בדרישה הזו כאשר הממונה נמצא בתוך המערכת, מכיר את בעלי התפקידים, ורואה תהליכים בזמן אמת.

יש גם יתרון ארגוני. הממונה נדרש לפי סעיף 17ב2(א) לייעץ להנהלה ולעובדים, להכין תוכנית הדרכה, להכין תוכנית לבקרה שוטפת, לוודא קיום נוהל אבטחת מידע ומסמך הגדרות מאגר, לטפל בפניות נושאי מידע ולשמש איש קשר מול הרשות. כשהתפקיד חי בתוך הארגון, היכולת לחבר בין כל החלקים האלה גבוהה יותר.

החיסרון ידוע: בארגון בינוני, האדם ה"מתאים" ביותר על הנייר הוא לעיתים גם האדם שהכי חשוף לניגוד עניינים.

מתי כדאי מודל חיצוני

בפועל, זה המודל שמתאים לארגונים רבים במשק. לא כי הוא "זול יותר" בהכרח, אלא כי הוא מאפשר להביא מומחיות נקודתית ומבנה נכון של עצמאות בלי לייצר משרה מלאה שאין לה הצדקה.

מודל חיצוני מתאים במיוחד כאשר:

• הארגון חייב במינוי, אבל היקף העבודה אינו מצדיק תקן פנימי ייעודי
• אין בתוך הארגון אדם עם ידע מעמיק בדיני הגנת הפרטיות, הבנה הולמת בטכנולוגיה ואבטחת מידע, והיכרות עם תחום הפעילות, כפי שדורש סעיף 17ב3(א)
• יש קושי אמיתי להימנע מניגוד עניינים אצל בעלי התפקידים הבכירים
• הארגון צריך להקים את הפונקציה במהירות לאחר תיקון 13
• מדובר בחברה פרטית, עמותה, מרפאה, חברת SaaS או ספק שירותים שמעבד מידע משמעותי אבל לא מחזיק מחלקת פרטיות פנימית

זה רלוונטי במיוחד לארגונים שנמצאים בדיוק באזור שעליו הרחבנו במדריך מי חייב למנות ממונה: לא תמיד יש מחלוקת על עצם החובה, אבל יש בהחלט מחלוקת על איך נכון לקיים אותה.

עמדת הרשות בגילוי הדעת מוסיפה שני פרטים חשובים. הראשון, רק יחיד, אדם טבעי, יכול להתמנות. ההתקשרות יכולה להתבצע דרך חברה, אבל המינוי עצמו הוא לא של החברה אלא של אדם מסוים. השני, גם במודל חיצוני נדרשות זמינות ונגישות, לרבות פיזית. כלומר, שירותי DPO טובים נמדדים לא רק במסמך מינוי, אלא בזמינות אמיתית לפניות, לישיבות, לאירועים ולבקרות.

אם אתם בוחנים מודל כזה, מומלץ לעיין גם בעמוד הייעודי שלנו על ממונה חיצוני, שבו פירטנו את מבנה השירות והסיכונים הנפוצים בהתקשרות.

טבלת החלטה: פנימי מול חיצוני

שיקול	ממונה פנימי	ממונה חיצוני
בסיס חוקי	מותר	מותר במפורש לפי 17ב3(ב)
זמינות יומיומית	בדרך כלל גבוהה	תלויה במבנה ההתקשרות והיקף הזמינות
היכרות עם הפעילות	בדרך כלל עמוקה יותר	דורשת תהליך כניסה מסודר וליווי שוטף
עצמאות מול יחידות עסקיות	לעיתים קשה יותר	לעיתים קלה יותר, אם אין תלות פנימית
סיכון לניגוד עניינים	גבוה יותר אצל בעלי תפקידי ליבה	קיים גם בחוץ, במיוחד כשיש כמה לקוחות
התאמה לארגון קטן-בינוני	לא תמיד יעיל	לעיתים קרובות הפתרון המעשי
עלות ארגונית	תלויה בשאלה אם נדרש תקן ייעודי או שניתן לשלב את התפקיד בלי לפגוע בעצמאות ובזמינות	תלויה בהיקף השירות, בזמינות הנדרשת ובמורכבות הארגון

לא לבחור לפי טייטל. לבחור לפי ניגוד עניינים

זו, לדעתנו, נקודת ההכרעה העיקרית.

סעיף 17ב3(ג) אוסר על הממונה למלא תפקיד נוסף, או להיות כפוף לנושא משרה, אם הדבר עלול להעמיד אותו בחשש לניגוד עניינים. עמדת הרשות במדריך ובגילוי הדעת מונה תפקידים שבהם ניגוד העניינים עשוי להתקיים פעמים רבות: מנהל שיווק, מנהל לקוחות, מנהל כספים, מנהל מערכות מידע ו-CTO, ובנוסח הסופי ככלל גם גורמים הכפופים להם. בגילוי הדעת הרשות מנסחת את זה עקרונית יותר: הבעיה היא כל תפקיד שכולל סמכות או אחריות לקבוע מדיניות עיבוד מידע, לרבות קביעת מטרות עיבוד והחלטות מהותיות על אמצעי עיבוד.

במילים פשוטות, מי שמחליט "מה לאסוף", "למה", "כמה זמן לשמור" ו"עם מי לשתף", לא אמור להיות גם מי שמפקח מקצועית על החוקיות של אותן החלטות.

זו בדיוק הסיבה שבארגונים רבים מינוי חיצוני הוא לא פשרה, אלא פתרון נכון יותר. אם המועמדים הפנימיים היחידים הם סמנכ"ל שיווק, CIO, CTO או CFO, ייתכן שהארגון דווקא מפחית סיכון כשהוא יוצא החוצה.

גם במודל חיצוני, אי אפשר למנות "שם על דף"

מינוי חיצוני לא פוטר את הארגון מהחובות המהותיות כלפי הממונה.

סעיף 17ב2(ב) מחייב את בעל השליטה או המחזיק לספק לממונה את התנאים והמשאבים הדרושים למילוי נאות של תפקידו, ולוודא שהוא מעורב כראוי בכל נושא הנוגע לדיני הגנת הפרטיות. סעיף 17ב2(ג) דורש דיווח ישיר למנכ"ל או לעובד הכפוף ישירות למנכ"ל. סעיף 17ב2(א)(4) קובע שדרכי ההתקשרות עם הממונה יפורסמו לציבור באופן נגיש ופשוט.

עמדת הרשות בגילוי הדעת מוסיפה שהפרסום המומלץ כולל דוא"ל, טלפון (שיחות והודעות) ומען פיזי, ושמומלץ לעדכן את הרשות בפרטי הממונה במסגרת הודעת 8א(ב) ורישום מאגר, כולל עדכון שינויים.

לכן, כשבוחנים הצעה של שירותי DPO, השאלות הנכונות אינן רק "מי האדם?" אלא גם:

• איך נראית הזמינות השוטפת שלו
• האם הוא משתתף בתהליכי בקרה והדרכה
• איך נראית גישתו להנהלה
• מי מחליף אותו בהיעדרות
• איך מטופלות פניות של נושאי מידע
• איך נשמרת עצמאות מקצועית כשיש לו לקוחות נוספים

הדיון בעלות חשוב, אבל הוא לא ראשון. אם זה רלוונטי לכם, פירטנו בנפרד את השיקולים בעמוד עלות ממונה הגנת פרטיות.

הבהרה משפטית: בגילוי הדעת הרשות מציינת שאין בחוק דרישת הסמכה פורמלית, אך המומחיות צריכה להיות ניתנת להוכחה. השתלמות תעודה בהיקף 40 שעות לפחות מטעם הרשות או בחסותה נחשבת "הכשרה בסיסית לממוני הגנת פרטיות", אבל ההשתתפות בה אינה חובה, והיא גם אינה מספיקה לבדה ללא ניסיון או השכלה נוספת.

חמש שאלות פרקטיות לפני שמחליטים

1. כמה פעמים בחודש הארגון צריך הכרעה פרטיותית אמיתית

אם כמעט כל שינוי במוצר, ב-HR, במכירות או בספקים נוגע לעיבוד מידע, ייתכן שממונה פנימי יתאים יותר. אם עיקר הצורך הוא בקרה, מדיניות, הדרכות וליווי נקודתי, מודל חיצוני עשוי להספיק.

2. האם יש בארגון מועמד בלי ניגוד עניינים

זו בדיקה מקדימה. אם אין, לא כדאי "לכופף" את הסעיף.

3. האם יש מועמד עם הכשירות הנדרשת

החוק דורש ידע מעמיק בדיני הגנת הפרטיות, הבנה הולמת בטכנולוגיה ואבטחת מידע, והיכרות עם תחומי פעילות הארגון. עמדת הרשות בגילוי הדעת מדגישה שאין דרישת תואר במדעי המחשב או ניסיון מעשי בתוכנה, אבל כן נדרשת אוריינטציה טכנולוגית מספקת.

4. האם ההנהלה מוכנה לתת לממונה גישה אמיתית

ממונה שלא מדווח ישירות כנדרש, שלא מעורב בתהליכים, או שלא מקבל זמן ותקציב, לא ימלא את תפקידו גם אם נבחר אדם מצוין.

5. האם צריך נוכחות מלאה או מומחיות ממוקדת

זה בדרך כלל ההבדל האמיתי בין שני המודלים.

מה הסיכון אם בוחרים מודל לא נכון

הסיכון אינו רק "לא מינו". הוא גם "מינו לא נכון".

לפי המדריך, בקבוצת ההפרות של הממונה ניתן להטיל עיצום על אי-מינוי DPO בגופים ציבוריים או סוחרי מידע לפי סעיף 17ב1(א)(1)-(2). עוד קובע המדריך שלאחר הוראת רשות שלא קוימה, ניתן להטיל עיצום גם בגין אי-אספקת תנאים ומשאבים לממונה, אי-מעורבות כראוי, ממונה שאינו מדווח ישירות למנכ"ל, ממונה ללא ידע וכישורים, וממונה בניגוד עניינים.

כל הסכומים הם סכומי בסיס (לפני הצמדה למדד); מתעדכנים כל 1 בינואר החל מ-2026 (סעיף 23לב(ב)).

סוג ההפרה	סכום בסיס
הפרות בקבוצת הממונה, דיוור ישיר ופנייה לקבוצה בלתי מסוימת ללא יידוע	2 ש"ח לנושא מידע; 4 ש"ח אם יש מידע בעל רגישות מיוחדת
מינימום בקבוצה זו	20,000 ש"ח; 40,000 ש"ח אם יש מידע בעל רגישות מיוחדת

דוגמה שמציג המדריך: גוף ציבורי ללא DPO, מאגר של 100,000 איש עם מידע רגיש, צפוי לעיצום של 400,000 ש"ח.

כלומר, הבחירה בין פנימי לחיצוני היא לא רק החלטת HR או רכש. זו החלטת ציות.

השורה התחתונה

אם יש לכם בארגון מועמד פנימי עם כשירות מתאימה, בלי ניגוד עניינים, עם גישה ישירה להנהלה ועם אפשרות אמיתית להיות מעורב בתהליכים, מינוי פנימי יכול לעבוד מצוין. אם אין לכם אדם כזה, או שאין הצדקה לתקן ייעודי, ממונה חיצוני הוא לא פתרון נחות אלא מודל שמותר במפורש בחוק, ולעיתים הוא המודל הנכון יותר.

במקום להתחיל מהשאלה "פנימי או חיצוני", מומלץ להתחיל מהשאלה "איך נעמוד בפועל בסעיפים 17ב2 ו-17ב3". משם ההחלטה בדרך כלל מתבהרת.

שאלות נפוצות

האם ממונה הגנת פרטיות חיצוני מותר לפי החוק?

כן. סעיף 17ב3(ב) קובע במפורש שהממונה יכול להיות מי שאינו עובד הארגון. עמדת הרשות היא שעל פי רוב קיים יתרון בעובד פנימי, אבל זו אינה דרישת חוק.

האם שירותי DPO יכולים להינתן על ידי חברה?

ההתקשרות יכולה להתבצע דרך חברה, אבל לפי גילוי הדעת רק יחיד, אדם טבעי, יכול להתמנות בפועל כממונה.

האם עדיף תמיד למנות עובד פנימי?

לא. זו עמדת העדפה מסויגת של הרשות, לא כלל משפטי. אם המועמד הפנימי נמצא בניגוד עניינים, חסר לו הידע הנדרש, או שאין לארגון יכולת לתת לו משאבים וגישה, דווקא מינוי חיצוני עשוי להיות נכון יותר.

האם אפשר למנות את מנהל ה-IT או ה-CTO כממונה?

בחלק גדול מהמקרים זו בחירה מסוכנת. עמדת הרשות במדריך מציגה את מנהל מערכות המידע ו-CTO כדוגמאות לתפקידים שעלולים להעמיד את הממונה בחשש לניגוד עניינים.

מה בודקים כשבוחרים בין פנימי לחיצוני?

בודקים כשירות לפי סעיף 17ב3(א), ניגוד עניינים לפי 17ב3(ג), משאבים ומעורבות לפי 17ב2(ב), דיווח ישיר לפי 17ב2(ג), והאם המודל שנבחר מאפשר טיפול אמיתי בהדרכה, בקרה, פניות נושאי מידע וקשר מול הרשות.

צריכים ממונה חיצוני? ספרו לנו על הארגון ונחזור אליכם עם הערכה עניינית.

המידע באתר הוא סקירה כללית ואינו ייעוץ משפטי. יישום בארגון ספציפי מחייב בחינה פרטנית.