גילוי הדעת הסופי של הרשות על מינוי ממונה הגנת פרטיות: ניתוח מעשי

תקציר מנהלים: ב-15.7.2026 פרסמה הרשות להגנת הפרטיות את הנוסח הסופי של גילוי הדעת בנושא מינוי ממונה על הגנת הפרטיות, כמעט שנה אחרי טיוטת יולי 2025. החוק עצמו קובע את חובת המינוי, הכפיפות, המשאבים והכשירות בסעיפים 17ב1-17ב3; גילוי הדעת מוסיף את הפרשנות שהרשות הודיעה שתשמש אותה בהפעלת סמכויותיה, כולל הטלת עיצומים כספיים. ההסתייגות שליוותה את הטיוטה ("המסמך עדיין טיוטה") נעלמה. מי שדחה את ניתוח החובה "עד שיהיה נוסח סופי" קיבל את הסימן שחיכה לו.

מה מעמדו המשפטי של גילוי הדעת

נקודת הפתיחה פשוטה: זו אינה הוראת חוק. החוק הוא חוק הגנת הפרטיות, ובתוכו בעיקר סעיפים 17ב1, 17ב2 ו-17ב3. גילוי הדעת הוא עמדתה הפרשנית של הרשות, והרשות קבעה בו במפורש שהפרשנות תשמש אותה בעת הפעלת הסמכויות המוקנות לה, לרבות הסמכות להטיל עיצומים כספיים.

יש כאן הבדל חשוב לעומת התקופה הקודמת. בטיוטה מ-23.7.2025 הרשות הוסיפה שהיא "תתחשב בכך שגילוי הדעת עדיין בגדר טיוטה להערות הציבור". המשפט הזה איננו בנוסח הסופי. תקופת החסד הפרשנית הסתיימה.

בניתוח משפטי נכון עדיין צריך להפריד בין שלוש שכבות:

שכבה	מה מקורה	מה המשמעות המעשית
לשון החוק	סעיפים 17ב1-17ב3 לחוק	מחייבת
עמדת הרשות	גילוי הדעת הסופי מ-14.7.2026	פרשנות, אבל זו הפרשנות שלפיה הרשות תפקח ותאכוף
ההערכה שלנו	ניתוח של אזורים אפורים	כלי עבודה לקבלת החלטה ולתיעוד

מי שמחפש תשובה תפעולית לארגון שלו לא יכול להסתפק רק בלשון החוק. מצד שני, גם לא נכון להציג את גילוי הדעת כאילו הוא מחליף את החוק. את מפת החובה עצמה פירטנו בהרחבה ב-מדריך על מי חייב למנות ממונה; כאן המוקד הוא מה גילוי הדעת מוסיף, ומה השתנה בו מאז הטיוטה.

מה השתנה מהטיוטה לנוסח הסופי

רוב הפרשנות המהותית של הטיוטה שרדה כמות שהיא. השינויים המעניינים מרוכזים בכמה נקודות, וחלקם משמעותיים מאוד לארגונים מסוימים.

חדש: אצל מחזיק סופרים את כל הלקוחות ביחד

התוספת החשובה ביותר בנוסח הסופי נוגעת ל"מחזיק", כלומר גורם חיצוני שמעבד מידע עבור בעלי שליטה במאגרים. לעמדת הרשות, את היקף העיבוד של מחזיק בוחנים במצטבר, תוך שקלול כלל המידע במאגרים של כלל הלקוחות שהוא משרת. הרשות נותנת דוגמה מספרית: מחזיק שמספק שירותי עיבוד ל-1,000 מאגרים, שבכל אחד מהם מידע בעל רגישות מיוחדת על 100 נושאי מידע בלבד, ייחשב כמי שמעבד מידע בעל רגישות מיוחדת בהיקף ניכר. העמדה נשענת על חוות דעת מקדמית שנתנה הרשות ב-31.10.2025 לפי סעיף 17ט2 לחוק.

המשמעות רחבה: ספקי SaaS, לשכות שירות, ספקי מיקור חוץ תפעולי וכל מי שמעבד מידע רגיש עבור לקוחות רבים צריכים לחשב את החובה על בסיס הצבר הלקוחות, גם כשכל לקוח בודד קטן. מי שבחן את עצמו לפי הטיוטה והגיע למסקנה מרגיעה כדאי שיבדוק שוב.

חדש: ממונה שהוא גם עורך דין של הארגון

הנוסח הסופי מוסיף התייחסות מפורשת למצב שבו הממונה עוסק במקביל בייעוץ משפטי לארגון. הרשות דורשת אמצעים ארגוניים שמפרידים בבירור בין הכובעים: למשל חתימה בתיאור התפקיד "ממונה הגנה על הפרטיות" כשהוא פועל ככזה, ותיבת דוא"ל ייעודית לענייני הממונה. בהערת שוליים הרשות מפנה למדריך של רשות הפרטיות הצרפתית (CNIL), שלפיו עורך דין יכול לכהן כממונה חיצוני על בסיס הסכם שירותים, אבל לא ייצג את הארגון בבית משפט בעניינים הנוגעים למידע אישי, בשל ניגוד עניינים.

זו הכוונה מעשית חשובה למשרדי עורכי דין שמציעים שירותי ממונה, וגם לארגונים ששוקלים למנות את היועץ המשפטי שלהם. המינוי אפשרי, אבל הוא דורש הפרדה מתועדת בין התפקידים והבנה של גבולות הייצוג.

רוכך: כפל הכובעים עם ממונה אבטחת מידע

בטיוטה הרשות כתבה שדרישות התפקיד "ברוב המקרים לא מתאימות" למאפייני תפקיד ממונה האבטחה, ושכפל התפקידים אף יוצר לעיתים "מורכבות משפטית". הנוסח הסופי מרוכך: הדרישות "רחבות ושונות במידה ניכרת", ולכן כפל התפקידים מעורר שאלות היתכנות ומצריך בחינה פרטנית מצד הארגון, עם הנמקה מבוססת ותיעוד ראוי. נשמט גם הנימוק שהופיע בטיוטה בדבר האחריות האישית שמוטלת על ממונה אבטחת המידע לפי סעיף 17ב(ב) וההתנגשות שהיא יוצרת.

התוצאה: הדלת לכפל כובעים לא נסגרה, אבל מי שבוחר בו נדרש לתעד מדוע דווקא אצלו זה עובד. הרחבנו על ההבדלים בין התפקידים ב-השוואה בין ממונה הגנת פרטיות ל-CISO.

רוכך: הטיפול בפניות נושאי מידע

הטיוטה המליצה שהממונה יטפל או ירכז בעצמו את הפניות והבקשות של נושאי מידע. בנוסח הסופי הדרישה מעשית יותר: על הממונה לדאוג שהפניות יקבלו מענה מקצועי וענייני מהגורמים הרלוונטיים בארגון, או ממנו עצמו, בהתאם לדרישות הדין ובמסגרת הזמן שנקבעה בדין או תוך זמן סביר. עבור ארגונים עם מערכי שירות קיימים זה שינוי מבורך: הממונה מפקח על התהליך ואינו חייב להפוך למוקד שירות.

הורחב: ניגוד עניינים חל גם על הכפופים

הטיוטה סימנה רשימת תפקידים בעייתיים: מנהל שיווק, מנהל לקוחות, מנהל כספים, מנהל מערכות מידע ו-CTO. הנוסח הסופי מוסיף שניגוד עניינים מתקיים ככלל גם ביחס לגורמים הכפופים לתפקידים האלה, ומנסח את הבחינה כמבחן פרשני שנבחן לגופו של כל תפקיד בכל ארגון. מי שחשב למנות את סגן מנהל מערכות המידע במקום המנהל עצמו קיבל תשובה.

נוסח מחדש: מתכונת ההעסקה

בעניין ממונה פנימי מול חיצוני הנוסח הסופי מדויק יותר מהטיוטה: "על פי רוב קיים יתרון" בכך שהממונה יהיה עובד הארגון המועסק במשרה מלאה, מתוך הנחה שמתכונת זו מאפשרת זמינות והיכרות מעמיקה. לצד זה, החוק מתיר במפורש העסקה במתכונת של נותן שירותים חיצוני (סעיף 17ב3(ב)), והרשות חוזרת על כך שמתכונת ההעסקה והיקף המשרה נבחנים לגופו של כל ארגון. על השיקולים בבחירה כתבנו ב-ממונה פנימי או חיצוני.

איפה גילוי הדעת משנה את קריאת סעיף 17ב1

העמדות הבאות הופיעו כבר בטיוטה ונשמרו בנוסח הסופי. הן משפיעות על האופן שבו ארגונים בוחנים אם הם נכנסים לאחת מקטגוריות החובה שבסעיף 17ב1(א).

העילה הראשונה היא סוחרי המידע. החוק קובע שבעל שליטה במאגר חייב במינוי אם מטרתו העיקרית של המאגר היא איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה, לרבות שירותי דיוור ישיר, ובמאגר יש מידע על יותר מ-10,000 בני אדם. לעמדת הרשות, "כדרך עיסוק" ו"בתמורה" הם תנאים חלופיים, לא מצטברים. גם מסירה קבועה כחלק מהעיסוק ללא תמורה עשויה להספיק.

העילה השנייה נוגעת למידע בעל רגישות מיוחדת. החוק מחיל אותה על מי שעיסוקו העיקרי כולל עיבוד מידע כזה בהיקף ניכר. לפי גילוי הדעת, "עיסוקו העיקרי" פירושו עיבוד שהוא רכיב מרכזי בהגשמת המטרות העסקיות העיקריות או חלק אינהרנטי מפעילות הליבה. עיבוד לצרכי עזר משניים, למשל ניהול מידע על עובדים בלבד, אינו נכנס לעילה הזו, אף ששאר חובות החוק על מידע רגיש ממשיכות לחול עליו.

והרשימה המפורשת שבחוק, ובה תאגיד בנקאי, מבטח, בית חולים כללי וקופת חולים, היא לעמדת הרשות רשימה מכלילה שמאפייניה משמשים דוגמה לגופים נוספים. ארגון שלא מוזכר בה יכול עדיין להיכנס לעילה אם מאפייני העיבוד שלו דומים. ארגונים רבים קוראים את הרשימות שבחוק כאילו הן סגורות; גילוי הדעת מאותת בדיוק את ההפך.

מה גילוי הדעת אומר על "היקף ניכר"

עיקר חוסר הוודאות עדיין כאן. סעיף 17ב1(ב) לחוק קובע ש"היקף ניכר" נבחן, בין השאר, לפי מספר בני האדם שמידע מעובד לגביהם, שיעורם באוכלוסייה מסוימת, היקף המידע, כמותו וטווח סוגי המידע, משך ותדירות פעולות העיבוד, משך שמירת המידע והתחום הגאוגרפי של פעולות העיבוד.

החוק לא נותן סף מספרי. גם גילוי הדעת נמנע מכך, למעט דוגמת המחזיק שתוארה למעלה. הרשות מבהירה שאין סף כמותי חד-ערכי, שהשיקולים שבסעיף 17ב1(ב) אינם מצטברים, ושייתכנו שיקולים נוספים מעבר למנויים בסעיף. זו פרשנות רחבה, והיא משאירה מרחב שיקול דעת ניכר בידי הרשות.

מבחינה מעשית, זו הנקודה שבה חברות SaaS, פלטפורמות פרסום, אפליקציות מיקום, פתרונות wearable, מערכות טלמטיקה ורכב חכם, וגם מערכי מצלמות מעקב גדולים, צריכות לעצור ולעשות ניתוח מסודר. גילוי הדעת מציג דוגמאות לניטור שוטף ושיטתי: התחקות אחר פעילות משתמשים באפליקציות ואתרים, פרופיילינג לפרסום ממוקד, התאמת תוכן, דירוג אשראי, חיתום ביטוחי, איתור הונאות, אפליקציות מיקום, מחשוב לביש, מאגרי צילומים של מצלמות מעקב, ספקי אינטרנט ו-IoT ביתי. הדוגמאות אינן ממצות.

להערכתנו, מי שנמצא באזור האפור לא צריך לשאול רק "האם יש לנו 10,000 משתמשים" או "האם אנחנו בנק". אלה אינן השאלות הנכונות בעילות 17ב1(א)(3) ו-17ב1(א)(4). השאלה היא האם פעילות הליבה של הארגון בנויה על ניטור שיטתי או על עיבוד נרחב של מידע בעל רגישות מיוחדת, ובאיזו עוצמה. ולמחזיקים נוספה עכשיו שאלת ההצבר: מה ההיקף המצטבר על פני כל הלקוחות.

מי יכול להיות ממונה, ומי כנראה לא

החוק קובע בסעיף 17ב3(א) דרישה מהותית: ידע וכישורים נאותים, ובכלל זה ידע מעמיק בדיני הגנת הפרטיות, הבנה הולמת בטכנולוגיה ואבטחת מידע, והיכרות עם תחומי פעילות הארגון. סעיף 17ב3(ב) מוסיף שהממונה יכול להיות מי שאינו עובד הארגון.

גילוי הדעת מחדד כמה נקודות:

• רק יחיד, אדם טבעי, יכול להתמנות. ההתקשרות יכולה להיעשות דרך חברה, אבל הממונה עצמו הוא אדם.
• אין בחוק דרישת הסמכה פורמלית.
• GDPR אינו "דיני הגנת הפרטיות" לעניין דרישת הידע המעמיק בדין הישראלי, אף שהיכרות עם משטרים זרים רצויה בארגונים בינלאומיים.
• השתלמות תעודה בהיקף 40 שעות לפחות מטעם הרשות או בחסותה נחשבת "הכשרה בסיסית לממוני הגנת פרטיות".
• ההשתתפות בהשתלמויות כאלה אינה חובה, ומנגד אינה מספיקה לבדה ללא ניסיון או השכלה נוספת. המומחיות צריכה להיות ניתנת להוכחה.

זו נקודה חשובה מאוד לשוק: קורס ממונה הגנת פרטיות יכול להיות חלק מהתשתית הראייתית לכשירות, אבל אינו תחליף לניסיון או להבנה ממשית של הדין הישראלי. הרחבנו על תפקיד ה-DPO עצמו ב-עמוד הייעודי על ממונה הגנת פרטיות.

ניגוד עניינים: המבחן והרשימה

סעיף 17ב3(ג) אוסר על הממונה למלא תפקיד נוסף, או להיות כפוף לנושא משרה, אם הדבר עלול להעמיד אותו בחשש לניגוד עניינים. בגילוי הדעת הרשות מסמנת מבחן מרכזי: האם אותו תפקיד כולל סמכות או אחריות לקבוע מדיניות עיבוד מידע, לרבות קביעת מטרות עיבוד והחלטות מהותיות על אמצעי עיבוד.

הרשימה שהרשות נותנת כדוגמה לתפקידים שבהם ניגוד העניינים עשוי להתקיים פעמים רבות: מנהל שיווק, מנהל לקוחות, מנהל כספים, מנהל מערכות מידע ו-CTO. ובנוסח הסופי, כאמור, גם הגורמים הכפופים להם.

מכאן נובעת מסקנה מעשית: בארגונים רבים, הפיתוי למנות את מי ש"מכיר הכי טוב את המערכות" דווקא יוצר בעיה. אם אותו אדם גם מחליט איך אוספים מידע, לשם מה ואיך מפעילים את המערכות, קשה לראות בו גורם פיקוח עצמאי. ניתחנו את התרחישים הנפוצים ב-מדריך ניגוד העניינים של הממונה.

מה גילוי הדעת אומר על מעמד הממונה בתוך הארגון

החוק עצמו די ברור כאן. לפי סעיף 17ב2(ב), הארגון חייב לספק לממונה את התנאים והמשאבים הדרושים למילוי נאות של תפקידו ולוודא שהוא מעורב כראוי בכל נושא הנוגע לדיני הגנת הפרטיות. לפי סעיף 17ב2(ג), הממונה ידווח ישירות למנכ"ל או לעובד הכפוף ישירות למנכ"ל.

גילוי הדעת מוסיף כמה הדגשים שימושיים:

• ייעוד התפקיד כפול: גם הבטחת קיום הוראות החוק וגם קידום ההגנה על הפרטיות מעבר למינימום שבדין.
• החוק אינו מטיל על הממונה אחריות אישית במקרה של אי-ציות.
• הארגון אינו חייב לאמץ את חוות דעת הממונה, אבל עליו לשקול אותה בכובד ראש ולנמק החלטה שלא לאמצה.
• הצבה של הממונה בלשכה המשפטית אפשרית, אך לא בהכרח מיטבית; אם הממונה עוסק גם בייעוץ משפטי, נדרשת הפרדה מעשית בין הכובעים.
• מומלץ לפרסם דרכי התקשרות שיכללו דוא"ל, טלפון ומען פיזי.

הנקודה האחרונה אינה לשון החוק. החוק דורש שדרכי ההתקשרות עם הממונה יפורסמו לציבור באופן נגיש ופשוט; ההמלצה על סוגי הערוצים היא עמדת הרשות.

ממונה הגנת פרטיות מול ממונה אבטחת מידע

החוק יוצר שני תפקידים שונים. ממונה הגנת פרטיות לפי סעיפים 17ב1-17ב3, וממונה אבטחת מידע לפי סעיף 17ב. החובה למנות ממונה אבטחת מידע חלה, בין היתר, על גוף ציבורי, על בעל שליטה או מחזיק ב-5 מאגרים החייבים ברישום או בהודעה לרשות, ועל בנק, חברת ביטוח וחברה העוסקת בדירוג או הערכת אשראי.

עמדת הרשות בגילוי הדעת הסופי: דרישות הידע והכישורים של הממונה רחבות ושונות במידה ניכרת מדרישות תפקיד ממונה האבטחה, ולכן כפל התפקידים מעורר שאלות היתכנות ומצריך בחינה פרטנית, הנמקה מבוססת ותיעוד ראוי מצד הארגון. הנימוקים: דרישת הידע המעמיק בדיני הגנת הפרטיות, עומס התפקיד בארגונים גדולים או עתירי עיבוד, ודרישת הדיווח הישיר למנכ"ל שלא בהכרח מתקיימת אצל ממונה אבטחה.

למי שבונה היערכות לפי מדריך תיקון 13, זו לא שאלה תיאורטית. מינוי שגוי עלול ליצור גם כשל ציות וגם בעיית ממשל תאגידי.

כל הסכומים הם סכומי בסיס לפני הצמדה למדד; מתעדכנים כל 1 בינואר החל מ-2026 לפי סעיף 23לב(ב).

מה הסיכון האכיפתי

צריך לדייק. אי-ציות לגילוי הדעת כשלעצמו אינו הפרת חוק. ההפרה היא של החוק עצמו. אבל הרשות הודיעה שתפרש את החוק לפי גילוי הדעת, בלי הנחת הטיוטה שנהגה עד עכשיו, ולכן התעלמות ממנו עלולה להיות טעות יקרה.

להלן מוקדי הסיכון המרכזיים בקבוצת העיצומים של הממונה:

סוג ההפרה	בסיס נורמטיבי	אופן העיצום
אי-מינוי DPO בגוף ציבורי או אצל סוחר מידע	17ב1(א)(1)-(2)	2 ש"ח לנושא מידע, או 4 ש"ח אם יש מידע בעל רגישות מיוחדת; מינימום 20,000 ש"ח או 40,000 ש"ח
אי-אספקת תנאים ומשאבים לממונה, אי-מעורבות כראוי	17ב2(ב) בצירוף 23כה(ד), לאחר הוראת רשות שלא קוימה	באותה קבוצת עיצומים
ממונה שאינו מדווח ישירות למנכ"ל	17ב2(ג) בצירוף 23כה(ד), לאחר הוראת רשות שלא קוימה	באותה קבוצת עיצומים
ממונה ללא ידע וכישורים או בניגוד עניינים	17ב3 בצירוף 23כה(ד), לאחר הוראת רשות שלא קוימה	באותה קבוצת עיצומים

המדריך של הרשות לתיקון 13 מציג דוגמה של גוף ציבורי ללא DPO, עם מאגר של 100,000 איש הכולל מידע בעל רגישות מיוחדת, בסכום של 400,000 ש"ח.

מכאן הלקח הממשי: גילוי הדעת מסמן אילו מינויים הרשות עשויה לראות כלא תקינים, ועכשיו הוא עושה זאת במעמד של נוסח סופי.

השורה התחתונה

גילוי הדעת הסופי אינו תחליף לחוק, אבל הוא המסמך שדרכו הרשות תקרא את החוק. אם הארגון שלכם נמצא בבירור בתוך אחת מקטגוריות החובה, השאלה כבר איננה רק אם למנות, אלא איך למנות נכון: אדם מתאים, בלי ניגוד עניינים, עם דיווח ישיר למנכ"ל ועם משאבים אמיתיים. אם אתם ספק שמעבד מידע רגיש עבור לקוחות רבים, חשבו את ההיקף במצטבר. ואם מיניתם ממונה על סמך הטיוטה, שווה לעבור על השינויים ולוודא שהמינוי עומד גם בנוסח הסופי, עם תיעוד מסודר של הניתוח.

שאלות נפוצות

האם גילוי הדעת בעניין ממונה הגנת פרטיות מחייב כמו חוק?

לא. זהו מסמך פרשני של הרשות להגנת הפרטיות, לא הוראת חוק. עם זאת, הרשות קבעה בו שהפרשנות תשמש אותה בהפעלת סמכויותיה, כולל הטלת עיצומים כספיים, וההסתייגות שליוותה את הטיוטה הוסרה.

מה ההבדל בין הטיוטה מ-2025 לנוסח הסופי מ-2026?

עיקר הפרשנות נשמר. השינויים הבולטים: כלל חדש שלפיו היקף העיבוד של מחזיק נבחן במצטבר על פני כל לקוחותיו; הנחיות הפרדה לממונה שמשמש גם יועץ משפטי; ריכוך העמדה על כפל כובעים עם ממונה אבטחת מידע, שמותנה עכשיו בבחינה פרטנית ותיעוד; הרחבת ניגוד העניינים גם לכפופים לתפקידים הבעייתיים; והסרת הסתייגות הטיוטה לעניין האכיפה.

האם אפשר למנות ממונה הגנת פרטיות חיצוני?

כן. סעיף 17ב3(ב) קובע במפורש שהממונה יכול להיות מי שאינו עובד הארגון. לעמדת הרשות, על פי רוב קיים יתרון בעובד ארגון במשרה מלאה, אבל מתכונת ההעסקה נבחנת לפי מאפייני הארגון, ובלבד שמוקצים לממונה הזמן, התנאים והמשאבים הנדרשים.

האם קורס ממונה הגנת הפרטיות מספיק כדי להתמנות?

לא בהכרח. לפי גילוי הדעת, אין דרישת הסמכה פורמלית, וגם השתלמות תעודה בהיקף 40 שעות לפחות מטעם הרשות או בחסותה אינה מספיקה לבדה ללא ניסיון או השכלה נוספת.

האם CTO או מנהל מערכות מידע יכולים לשמש ממונה הגנת פרטיות?

לעיתים זה ייצור בעיית ניגוד עניינים. סעיף 17ב3(ג) אוסר מינוי במצב של חשש לניגוד עניינים, וגילוי הדעת רואה בתפקידים שקובעים מדיניות עיבוד מידע תפקידים בעייתיים במיוחד. הנוסח הסופי מוסיף שהחשש חל ככלל גם על גורמים הכפופים לתפקידים האלה.

אנחנו ספק שמעבד מידע עבור הרבה לקוחות קטנים. זה נוגע לנו?

ייתכן מאוד. לפי הנוסח הסופי, היקף העיבוד של מחזיק נבחן במצטבר על פני כלל הלקוחות. בדוגמה של הרשות, מחזיק שמעבד מידע בעל רגישות מיוחדת על 100 נושאי מידע בלבד עבור כל אחד מ-1,000 מאגרים נחשב כמעבד בהיקף ניכר, וחייב במינוי ממונה.

רוצים שנעבור על ההיערכות שלכם? שיחת היכרות של 15 דקות, בלי התחייבות.

המידע באתר הוא סקירה כללית ואינו ייעוץ משפטי. יישום בארגון ספציפי מחייב בחינה פרטנית.