מי חייב למנות ממונה הגנת פרטיות (DPO)? המדריך המלא לפי תיקון 13
תקציר מנהלים: תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף ב-14 באוגוסט 2025, מחייב מינוי ממונה על הגנת הפרטיות בארבע קטגוריות של ארגונים: גופים ציבוריים (וכל מי שמעבד מידע עבורם), סוחרי מידע ושירותי דיוור ישיר עם מאגר של יותר מ-10,000 בני אדם, ארגונים שמנטרים בני אדם באופן שוטף ושיטתי בהיקף ניכר, וארגונים שעיסוקם העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר. אי-מינוי חושף את הארגון לעיצום כספי שמחושב לפי גודל המאגר, ובדוגמה שהרשות עצמה מביאה מגיע ל-400,000 ש"ח.
ארבע קטגוריות החובה לפי סעיף 17ב1
החוק מגדיר את החייבים במינוי ברשימה סגורה של ארבע קטגוריות. הניסוח המשפטי מלא בהפניות פנימיות, אז ננסח אותן כפי שאנחנו מסבירים ללקוחות.
1. גופים ציבוריים, וגם מי שמחזיק מידע עבורם
הקטגוריה הרחבה ביותר, והיא כוללת שתי חלופות שקל לפספס את השנייה שבהן. חייב במינוי כל גוף ציבורי כהגדרתו בסעיף 23 לחוק: משרדי ממשלה, רשויות מקומיות, וגופים שנקבעו בצו הגנת הפרטיות (קביעת גופים ציבוריים), התשמ"ו-1986, ובהם קופות חולים, בתי חולים, מוסדות להשכלה גבוהה וארגוני עובדים.
אבל סעיף 17ב1(א)(1) לא עוצר שם. הוא מחיל את החובה גם על מחזיק במאגר של גוף ציבורי, כלומר על ספק פרטי שמאחסן או מעבד מידע עבור הגוף. חברת תוכנה שמפעילה מערכת לניהול פניות תושבים עבור עירייה נכנסת לקטגוריה הזו, גם אם היא עצמה חברה של עשרה עובדים.
חריג אחד: גופים ביטחוניים (צה"ל, משטרה, שב"כ ודומיהם) כפופים להסדר נפרד של מפקח פרטיות פנימי, לא לחובת המינוי הרגילה.
2. סחר במידע ודיוור ישיר, מעל 10,000 בני אדם
כאן החוק דורש שני תנאים במצטבר: המטרה העיקרית של המאגר היא איסוף מידע אישי לשם מסירתו לאחר, כדרך עיסוק או בתמורה (לרבות שירותי דיוור ישיר), וגם יש במאגר מידע על יותר מ-10,000 בני אדם.
שימו לב להבדל: חברה ששולחת ניוזלטר ללקוחותיה שלה אינה "סוחרת במידע". מי שמוכר רשימות תפוצה, מתווך לידים או מפעיל שירותי דיוור עבור אחרים, הוא בדיוק מי שהסעיף מכוון אליו.
3. ניטור שוטף ושיטתי של בני אדם, בהיקף ניכר
סעיף 17ב1(א)(3) תופס ארגונים שעיסוקם העיקרי כולל או כרוך בעיבוד מידע שמחייב, מטבעו, ניטור שוטף ושיטתי של בני אדם: מעקב אחר התנהגות, מיקום או פעולות, בהיקף ניכר. החוק נוקב בשתי דוגמאות מפורשות: חברות סלולר ומנועי חיפוש מקוונים.
בפרקטיקה, זו הקטגוריה שמעסיקה הכי הרבה חברות טכנולוגיה ישראליות. מוצר SaaS שמנטר בשיטתיות התנהגות של משתמשי קצה, פלטפורמת פרסום שבונה פרופילים התנהגותיים, או אפליקציה שאוספת נתוני מיקום ברציפות, כולם צריכים לבחון את עצמם מול הסעיף הזה ברצינות.
4. עיבוד מידע בעל רגישות מיוחדת, בהיקף ניכר
הקטגוריה הרביעית חלה על מי שעיסוקו העיקרי כולל עיבוד "מידע בעל רגישות מיוחדת" בהיקף ניכר. החוק קובע במפורש שבנקים, חברות ביטוח, בתי חולים כלליים וקופות חולים חייבים במינוי מכוח הסעיף. אבל הרשימה בחוק היא "ובין השאר", כלומר פתוחה: מעבדה רפואית פרטית, חברת HR-Tech שמעבדת נתוני שכר בהיקפים גדולים, או פלטפורמת בריאות דיגיטלית, עשויות להיכנס לגדר הסעיף בלי להיות מוזכרות בו.
"מידע בעל רגישות מיוחדת" מוגדר ברשימה ארוכה בסעיף 3 לחוק, וכוללת בין היתר מידע רפואי, גנטי וביומטרי, נתוני שכר ופעילות פיננסית, דעות פוליטיות, עבר פלילי ונתוני מיקום.
סיכום הקטגוריות בטבלה
| קטגוריה | התנאי | דוגמאות |
|---|---|---|
| גוף ציבורי + מחזיקים עבורו | ללא סף מספרי | עירייה, אוניברסיטה, וגם ספק תוכנה של עירייה |
| סחר במידע / דיוור ישיר | מטרה עיקרית + מעל 10,000 בני אדם, במצטבר | מתווכי לידים, מוכרי רשימות תפוצה |
| ניטור שיטתי | עיסוק עיקרי + היקף ניכר | סלולר, מנועי חיפוש, מוצרים מבוססי מעקב התנהגותי |
| מידע בעל רגישות מיוחדת | עיסוק עיקרי + היקף ניכר | בנק, מבטח, בית חולים, קופת חולים, ולפי הנסיבות גם דיגיטל-הלת' ודומיו |
מהו "היקף ניכר"? כאן החוק מפסיק לתת תשובות חדות
לקטגוריות 3 ו-4 אין סף מספרי. סעיף 17ב1(ב) קובע מבחן רב-גורמי: מספר בני האדם שמידע מעובד לגביהם ושיעורם באוכלוסייה, היקף המידע וטווח סוגיו, משך ותדירות העיבוד, משך שמירת המידע, והתחום הגאוגרפי של הפעילות.
נאמר את זה ישירות: עד שתצטבר פרקטיקת אכיפה, כל קביעה נחרצת לגבי "היקף ניכר" במקרי ביניים היא ניחוש. העמדה שלנו ללקוחות באזור האפור עקבית: ערכו את הניתוח בכתב, תעדו את השיקולים לכאן ולכאן, וקבלו החלטה מנומקת. אם הרשות תבדוק אתכם, ההבדל בין "לא חשבנו על זה" לבין "בחנו ותיעדנו, והנה הניתוח" הוא לעיתים ההבדל בין הליך אכיפה לבין הערה.
מה הסיכון באי-מינוי
אי-מינוי ממונה בגוף ציבורי או אצל סוחר מידע הוא הפרה שהרשות מוסמכת להטיל בגינה עיצום כספי ישירות: 2 ש"ח לכל אדם שמידעו במאגר, ו-4 ש"ח אם יש במאגר מידע בעל רגישות מיוחדת, עם רצפה של 20,000 ש"ח (או 40,000 ש"ח כשיש מידע רגיש). הדוגמה שהרשות עצמה מביאה במדריך שלה: גוף ציבורי ללא ממונה, עם מאגר של 100,000 איש הכולל מידע בעל רגישות מיוחדת, צפוי לעיצום של 400,000 ש"ח.
ביתר הקטגוריות, וכן בהפרות הנוגעות לאופן העסקת הממונה (ממונה שלא מדווח ישירות למנכ"ל, ממונה בניגוד עניינים, ממונה שלא סופקו לו משאבים), הרשות נדרשת קודם להורות על הפסקת ההפרה, ורק אם ההוראה לא קוימה ניתן להטיל עיצום.
ופרט אחד ששווה להכיר: ארגון שחב במינוי ומינה ממונה בפועל לפני שהוטל עליו עיצום בגין הפרה אחרת, זכאי להפחתה של 10% מסכום העיצום (למעט גוף ציבורי וסוחר מידע). מינוי ממונה הוא לא רק חובה, הוא גם נסיבה מקילה.
חייבים למנות? שלוש החלטות שצריך לקבל
פנימי או חיצוני. סעיף 17ב3(ב) מתיר במפורש למנות ממונה שאינו עובד הארגון. הרשות ציינה שרצוי שהממונה יהיה חלק אינטגרלי מהארגון, אבל בפועל, לרוב הארגונים שאינם בנק או קופת חולים, ממונה חיצוני במיקור חוץ (DPO as a Service) הוא הפתרון המידתי: מומחיות בלי משרה מלאה. פירטנו את השיקולים במדריך נפרד על ממונה חיצוני.
מי בארגון לא יכול להיות הממונה. סעיף 17ב3(ג) אוסר על הממונה למלא תפקיד נוסף שמעמיד אותו בחשש לניגוד עניינים. כלל האצבע של הרשות פוסל את התפקידים שמקבלים את החלטות עיבוד המידע: מנהל שיווק, מנהל כספים, מנהל מערכות מידע, CTO. למנות את ה-CTO כממונה "כי הוא הכי מבין בזה" היא הטעות הנפוצה ביותר שאנחנו נתקלים בה, והיא עצמה עילה לאכיפה.
מה הממונה צריך לקבל מכם. דיווח ישיר למנכ"ל או למי שכפוף לו במישרין (סעיף 17ב2(ג)), משאבים ותנאים למילוי התפקיד, מעורבות "בכל נושא הנוגע לדיני הגנת הפרטיות", ופרסום פרטי ההתקשרות עמו לציבור. מינוי על הנייר בלי אלה הוא הפרה בפני עצמה.
השורה התחתונה
אם אתם גוף ציבורי, ספק של גוף ציבורי, או בנק/מבטח/בי"ח/קופ"ח, החובה חלה עליכם וזה לא שנוי במחלוקת. מיניתם? ודאו שהמינוי עומד בדרישות הכפיפות והעצמאות. אם אתם חברת טכנולוגיה או ארגון שמעבד מידע רגיש בהיקפים גדולים, אל תניחו שהחובה לא חלה רק כי אתם לא מוזכרים בחוק: עשו את הניתוח, תעדו אותו, וקבלו החלטה מנומקת. שתי דקות בכלי הבדיקה שלנו ייתנו לכם נקודת פתיחה מסודרת.
שאלות נפוצות
האם ממונה הגנת פרטיות חייב להיות עורך דין? לא. החוק דורש "ידע מעמיק בדיני הגנת הפרטיות", הבנה הולמת בטכנולוגיה ואבטחת מידע, והיכרות עם תחומי הפעילות של הארגון (סעיף 17ב3(א)). בפועל, השילוב הזה מוביל לרוב למשפטנים עם רקע טכנולוגי או לאנשי ציות מנוסים, אבל תעודת עורך דין אינה תנאי.
האם אפשר למנות ממונה חיצוני במיקור חוץ? כן, החוק מתיר זאת במפורש (סעיף 17ב3(ב)). הממונה חייב להיות אדם, לא חברה, וחלים עליו אותם כללי ניגוד עניינים, כולל כשהוא מכהן בכמה ארגונים במקביל.
מה ההבדל בין ממונה הגנת פרטיות לממונה אבטחת מידע? שני תפקידים נפרדים עם חובות מינוי נפרדות. ממונה אבטחת מידע נדרש לפי סעיף 17ב, בין היתר בגופים עם חמישה מאגרים רשומים ומעלה, והוא נושא באחריות אישית לאבטחת המידע. עמדת הרשות בגילוי הדעת הסופי היא שדרישות שני התפקידים שונות במידה ניכרת, ולכן איחוד ביניהם מעורר שאלות היתכנות ומחייב בחינה פרטנית ותיעוד. הרחבנו על כך במאמר ההשוואה בין התפקידים.
האם יש קורס חובה או הסמכה רשמית לממונה? החוק לא קובע דרישת הסמכה פורמלית. הדרישה היא מהותית: ידע וכישורים. קורסי DPO קיימים ומועילים כראיה לידע, אבל תעודה לבדה לא מקימה כשירות, והיעדרה לא שולל אותה.
מה העיצום על אי-מינוי ממונה? בגופים ציבוריים וסוחרי מידע: עיצום ישיר של 2 עד 4 ש"ח לכל נושא מידע במאגר, עם רצפה של 20,000 עד 40,000 ש"ח, לפי רגישות המידע. בדוגמת הרשות, גוף ציבורי עם מאגר רגיש של 100,000 איש: 400,000 ש"ח. ביתר הקטגוריות העיצום מוטל אם הופרה הוראת הרשות להפסקת ההפרה.
לא בטוחים אם החובה חלה עליכם? עשו את הבדיקה - שתי דקות, בלי פרטים אישיים. צריכים ממונה חיצוני? ספרו לנו על הארגון ונחזור אליכם עם הערכה עניינית.
המידע באתר הוא סקירה כללית ואינו ייעוץ משפטי. יישום בארגון ספציפי מחייב בחינה פרטנית.