חובת מינוי ממונה הגנת פרטיות (DPO): מי חייב, מי פטור, ואיך ממנים

תיקון 13 לחוק הגנת הפרטיות מחייב ארבע קטגוריות של גורמים למנות ממונה הגנת פרטיות — תפקיד עצמאי עם דרישות כשירות ספציפיות. אבל רוב בעלי העסקים לא יודעים אם הם חייבים DPO או לא, ומה ההבדל בין DPO פנימי לחיצוני. מדריך זה מסביר את החובה, סעיף-סעיף.

מה זה ממונה הגנת פרטיות (DPO)?

ממונה הגנת פרטיות — Data Protection Officer, או בקיצור DPO — הוא בעל תפקיד עצמאי בארגון שנועד לפקח על עמידת הארגון בחובות הגנת הפרטיות לפי החוק. התפקיד הוגדר לראשונה בחקיקה הישראלית במסגרת תיקון 13 לחוק הגנת הפרטיות, התשמ"א-1981, בסעיף 17ב1.

תפקיד ה-DPO אינו תפקיד טכני בלבד. מדובר בגורם שמשלב ידע משפטי, הבנה טכנולוגית והיכרות עם פעילות הארגון — ושנדרש ממנו לפעול באופן עצמאי, ללא תלות בגורמים עסקיים בארגון.

מי חייב למנות DPO?

סעיף 17ב1(א) לחוק מגדיר ארבע קטגוריות של גורמים שחייבים למנות ממונה הגנת פרטיות. לא מדובר בהמלצה — מדובר בחובה שאי-עמידה בה מהווה הפרה עצמאית:

מה נחשב "מידע רגיש"?

החוק מגדיר מידע רגיש ככולל: מידע על מצב בריאותי, מידע גנטי, מידע ביומטרי, דעות פוליטיות, אמונה דתית, מוצא אתני, נטייה מינית, עבר פלילי, ומצב כלכלי. גופים שעיבוד מידע מסוג זה הוא חלק מרכזי מפעילותם — חייבים DPO.

מה נחשב "ניטור שוטף"?

מעקב באופן שיטתי אחר התנהגות של אנשים, לרבות: ניתוח דפוסי גלישה באתר, איסוף נתוני מיקום, שימוש במצלמות אבטחה במרחבים ציבוריים או חצי-ציבוריים, יצירת פרופילים שיווקיים על בסיס התנהגות, וכל טכנולוגיה שמאפשרת לעקוב אחרי אנשים לאורך זמן.

מי לא חייב?

לא כל עסק חייב למנות DPO. אם העסק שלכם לא נכנס לאף אחת מארבע הקטגוריות שפורטו לעיל — אתם פטורים מחובת מינוי, גם אם אתם מחזיקים מידע אישי.

דוגמאות לעסקים שלרוב אינם חייבים DPO:

• מסעדה שמנהלת רשימת לקוחות עם שמות וטלפונים לצורך הזמנות
• מאמן כושר עם רשימת מתאמנים ופרטי קשר
• חנות מקוונת שאוספת שם, כתובת ופרטי תשלום לצורך משלוחים
• משרד עורכי דין שמחזיק תיקי לקוחות (אלא אם עוסק בתחומים שכוללים מידע רגיש בהיקף)
• רואה חשבון עם מאגר לקוחות לצורך מתן שירות

DPO פנימי או חיצוני — מה ההבדל?

החוק מאפשר שתי אפשרויות: מינוי עובד מן המניין כ-DPO פנימי, או התקשרות עם מומחה חיצוני שישמש כ-DPO. שתי האפשרויות לגיטימיות, אבל לכל אחת יתרונות וחסרונות.

DPO פנימי

DPO חיצוני

דרישות כשירות

החוק לא מסתפק בדרישה למנות DPO — הוא גם קובע תנאי כשירות ספציפיים. מינוי גורם שלא עומד בתנאים אלה אינו מקיים את החובה, ועלול להיחשב כאי-מינוי.

1. תושבות ישראלית

הממונה חייב להיות תושב ישראל. לא ניתן למנות DPO שיושב בחו"ל, גם אם הוא מומחה מוכר בתחום.

2. הכשרה מקצועית — 40 שעות לפחות

הממונה חייב לעבור הכשרה מקצועית בתחום הגנת הפרטיות בהיקף של 40 שעות לפחות. ההכשרה צריכה לכלול: מסגרת חקיקתית ישראלית, אבטחת מידע, ניהול סיכונים, וזכויות נושאי מידע. עורכי דין שעוסקים בתחום עשויים לעמוד בדרישה זו כבר מכוח ניסיונם המקצועי.

3. ללא ניגוד עניינים

הממונה לא יכול למלא תפקיד שיוצר ניגוד עניינים עם תפקידו כ-DPO. לדוגמה: מנהל IT שגם אחראי על אבטחת מידע וגם משמש כ-DPO — מצב שמייצר ניגוד עניינים מובנה, כי הוא מפקח על עצמו.

4. גישה ישירה להנהלה

ה-DPO חייב לקבל גישה ישירה להנהלה הבכירה של הארגון. הוא לא יכול להיות "כפוף" לגורם ביניים שמסנן או מצנזר את המלצותיו. דיווח ישיר למנכ"ל או לדירקטוריון הוא הכרחי.

5. עצמאות מקצועית

החוק אוסר לפטר את הממונה, להשעותו, או לפגוע בתנאי העסקתו בגלל עמדותיו או החלטותיו המקצועיות בתחום הפרטיות. זוהי הגנה דומה למודל של מבקר פנימי — הממונה חייב לפעול ללא חשש מתגובה ארגונית.

מה קורה אם לא ממנים?

אי-מינוי ממונה הגנת פרטיות, כשקיימת חובה לכך, מהווה הפרה עצמאית של החוק. כלומר — זו הפרה נפרדת מכל הפרה אחרת (כמו היעדר מדיניות פרטיות או באנר עוגיות). הסנקציות הן כבדות:

עיצומים כספיים מנהליים

• עד 5% מהמחזור השנתי של העסק — לכל הפרה
• העיצום מוטל על ידי רשות הפרטיות ללא צורך בהליך פלילי

תביעות אזרחיות

• כל אדם שנפגע מהפרה רשאי לתבוע פיצוי של עד 10,000 ש"ח ללא הוכחת נזק (כפל בהפרה מכוונת)
• בתביעה ייצוגית, הסכומים מצטברים
• ההפרה עצמה מספיקה — לא צריך להוכיח נזק ממשי

הפרה עצמאית — לא "חלק מהחבילה"

נקודה קריטית: אי-מינוי DPO הוא הפרה עצמאית. כלומר, גם אם הארגון עומד בכל החובות האחרות — מדיניות פרטיות, באנר עוגיות, הסכמי עיבוד — היעדר DPO לבד מספיק להטלת עיצום כספי. ולהפך: גם אם מונה DPO, זה לא פוטר מהחובות האחרות.

שאלות נפוצות