הרשות להגנת הפרטיות ("הרשות") פרסמה לאחרונה גילוי דעת סופי בנושא יישום החובה למנות ממונה על הגנת הפרטיות בהתאם להוראות תיקון מס' 13 לחוק הגנת הפרטיות, תשמ"א-1981 ("חוק הגנת הפרטיות"). חובה זו, שנכנסה לתוקף בחודש אוגוסט 2025, היא אחד החידושים המרכזיים שנקבעו במסגרת התיקון. בגילוי הדעת הבהירה הרשות כי בכוונתה לאכוף חובה זו, לרבות באמצעות הטלת  עיצומים כספיים על מפריה. 

על מי חלה חובת המינוי?

החובה למנות ממונה על הגנת הפרטיות חלה על מספר סוגים של ארגונים: (א) גופים ציבוריים, וכן על גורמים המעבדים עבורם מידע אישי; (ב) ארגונים שהמטרה העיקרית של מאגר המידע שבשליטתם היא איסוף מידע אישי לצורך מסירתו לאחרים כדרך עיסוק, כאשר המאגר כולל מידע אישי על יותר מ-10,000 בני אדם; (ג) בעלי שליטה או מחזיקים במאגר מידע שעיסוקיהם העיקריים כוללים ניטור שוטף ושיטתי של בני אדם בהיקף ניכר, כגון מעקב אחר פעילות משתמשים באתרים ובאפליקציות, יצירת פרופילים, איסוף נתוני מיקום, שימוש במכשירים המחוברים לרשת ושירותי חיפוש או תקשורת מסוימים; ו-(ד) ארגון שעיסוקו העיקרי כולל עיבוד בהיקף ניכר של מידע בעל רגישות מיוחדת כדוגמת, בנקים, חברות ביטוח, בתי חולים וקופות חולים.  

כיצד בוחנים "היקף ניכר"?

הרשות מבהירה בגילוי הדעת כי לצורך הבחינה האם פעילות מסוימת כוללת עיבוד או ניטור מידע "בהיקף ניכר" יש להביא בחשבון, בין היתר, את מספר נושאי המידע, שיעורם באוכלוסייה מסוימת, היקף וכמות המידע, משך ותדירות העיבוד ותקופת השמירה.

ככלל, מדובר בשיקולים שאינם מצטברים או ממצים. בהתאם לכך, גם פעילות המתייחסת למספר מצומצם יחסית של אנשים עשויה להיחשב לעיבוד בהיקף ניכר, למשל כאשר מדובר בכמות גדולה במיוחד של מידע, בעיבוד תדיר או מתמשך, או במידע הנשמר לתקופה ארוכה. 

מהי הכשירות הנדרשות מהממונה?

הממונה נדרש להיות בעל הידע והכישורים הדרושים למילוי תפקידו, בשים לב לאופי עיבוד המידע בארגון, לנסיבותיו, להיקפו ולמטרותיו. גילוי הדעת מדגיש כי על הממונה להיות בעל ידע מעמיק בדיני הגנת הפרטיות בישראל, לצד הבנה בטכנולוגיה ובאבטחת מידע, היכרות עם תחומי הפעילות של הארגון, מבנהו ודרכי פעולתו. 

מידת המומחיות הנדרשת מהממונה עשויה להשתנות מארגון לארגון. ככל שפעילות עיבוד המידע מורכבת, רגישה או רחבת היקף יותר, כך צפויה להידרש מהממונה רמת מומחיות גבוהה יותר.  

מה כולל התפקיד?

הממונה אמור לשמש סמכות מקצועית בארגון בתחום הגנת הפרטיות. בין היתר, עליו לייעץ להנהלת הארגון ולעובדיו, להכין תוכנית הדרכה ולפקח על יישומה, לקדם מנגנוני בקרה שוטפים לצורך בחינת עמידתו של הארגון בהוראות הדין, לוודא את קיומם ועדכונם של נוהל אבטחת מידע ומסמך הגדרות מאגר, לטפל בפניות של נושאי מידע ולשמש איש הקשר של הארגון מול הרשות להגנת הפרטיות.     

גילוי הדעת מבהיר כי אין די במינוי פורמלי של בעל תפקיד. על הממונה להיות מעורב הלכה למעשה בתהליכים ובהחלטות הנוגעים לעיבוד מידע אישי ולהגנת הפרטיות בארגון. 

עצמאות, מעמד ארגוני וניגוד עניינים

על הארגון להעמיד לרשות הממונה את התנאים והמשאבים הדרושים למילוי תפקידו, להבטיח את מעורבותו בנושאי פרטיות, להימנע מהצבתו במצבי ניגוד עניינים ולאפשר לו לפעול באופן עצמאי.   אף שהחוק אינו אוסר על הממונה למלא תפקיד נוסף בארגון, שילוב בין תפקידים מחייב בחינה פרטנית והנמקה מבוססת.

משמעות מעשית

ארגונים הפועלים בישראל נדרשים לבחון האם חלה עליהם החובה למנות ממונה על הגנת הפרטיות, ואם כן – האם המינוי עומד בדרישות החוק והרשות מבחינת מומחיות, עצמאות, כפיפות ארגונית והקצאת משאבים. מומלץ לוודא כי תפקידיו וסמכויותיו של הממונה מוגדרים בבירור, כי הוא משולב בתהליכי קבלת ההחלטות וכי עומדים לרשותו מנגנונים לביצוע בקרה אפקטיבית. גם בהיעדר חובת מינוי, הרשות ממליצה לשקול מינוי וולונטרי כחלק ממערך הציות, אחריותיות וממשל מידע באופן שתורם לביסוס האמון בארגון בעיני לקוחות, שותפים עסקיים ורגולטורים. 

משרדנו ישמח לסייע בבחינת תחולת חובת המינוי, בהתאמת המינוי לדרישות הדין וביישום גילוי הדעת.