מתי חלה חובה למנות ממונה
תיקון 13 לחוק הגנת הפרטיות
התיקון, שנכנס לתוקף ב-14 באוגוסט 2025, קבע בסעיף 17ב1 לחוק חובת מינוי לארבע קטגוריות:
- גופים ציבוריים, בכפוף לחריגים, וכן מחזיקים, כלומר ספקים שמעבדים מידע עבור גוף ציבורי.
- בעלי שליטה במאגר שמטרתו העיקרית איסוף מידע אישי לשם מסירתו לאחרים כדרך עיסוק או בתמורה, לרבות שירותי דיוור ישיר, כשיש בו מידע על 10,000 בני אדם או יותר.
- גופים שפעילותם העיקרית כוללת ניטור שוטף ושיטתי של אנשים בהיקף ניכר.
- גופים שפעילותם העיקרית כוללת עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר.
ב-14 ביולי 2026 פרסמה הרשות להגנת הפרטיות גילוי דעת סופי שמפרש את החובה, את הכישורים הנדרשים מהממונה ואת מעמדו. הרשות ציינה שתפעל לפי פרשנות זו גם בהטלת עיצומים כספיים.
סעיף 37 ל-GDPR
ה-GDPR מחייב מינוי ממונה במקרים דומים במהותם: רשויות ציבוריות, וגופים שפעילותם העיקרית כוללת ניטור שיטתי בהיקף נרחב או עיבוד בהיקף נרחב של קטגוריות מיוחדות של מידע. חברה ישראלית שה-GDPR חל עליה צריכה לבחון את החובה גם לפיו.
בחינת החובה תלויה בפעילות בפועל, לא בשם הענף. לעיתים המסקנה היא שאין חובה, ואז ההחלטה אם למנות ממונה היא החלטה ניהולית.
מה הממונה עושה בפועל
- ייעוץ להנהלה ולעובדים בכל החלטה שכרוכה במידע אישי: מערכת חדשה, ספק חדש, שימוש חדש במידע קיים.
- תוכנית עבודה שנתית עם סדרי עדיפויות, בעלי תפקידים ומועדי סקירה.
- הדרכה ובקרה: הדרכות לפי תפקיד, ובדיקות שהנהלים מיושמים.
- מענה לפניות של נושאי מידע ושל הרשות להגנת הפרטיות.
- מעורבות באירועי אבטחה: הערכה, תיעוד והחלטה על דיווח.
- דיווח להנהלה: תמונת מצב תקופתית, פערים פתוחים והחלטות נדרשות.
איך עובד השירות
בדיקת חובה והתאמה. שיחה ראשונה על סוג הארגון, פעילויות העיבוד וסוגי המידע. מסקנה כתובה: האם חלה חובה, ובאיזה היקף נכון לפעול.
תמונת מצב. מיפוי מאגרים, מערכות, ספקים וזרימות מידע, והשוואה לדרישות החוק והתקנות.
תוכנית עבודה. פערים מתועדפים לפי סיכון, עם לוח זמנים ובעלי אחריות.
ליווי שוטף. זמינות לשאלות, השתתפות בפרויקטים, הדרכות, בקרה ודיווח.
תוצרים אפשריים
- בדיקת פערים
- מרשם פעילויות עיבוד (ROPA)
- הערכות השפעה על הפרטיות (DPIA)
- נהלים ומדיניות
- תהליך טיפול בבקשות נושאי מידע
- בחינת ספקים והסכמי עיבוד מידע (DPA)
- נוהל אירועי אבטחה
- תוכנית הדרכה
- דוחות להנהלה
עצמאות וניגוד עניינים
גילוי הדעת של הרשות מדגיש שהממונה צריך לפעול בעצמאות, בלי תפקידים שיוצרים ניגוד עניינים, ועם גישה ישירה להנהלה. ממונה חיצוני שאינו כפוף לשרשרת הפיקוד הרגילה של הארגון עשוי להקל על עמידה בדרישה הזו, בתנאי שהיקף התפקיד והגישה להנהלה מוסדרים בהסכם.
היקף השירות וזמינות הממונה ייקבעו בהסכם, לפי מאפייני הארגון.
למי השירות פחות מתאים
ארגון שמחפש מינוי על הנייר, בלי מעורבות בהחלטות ובלי תקציב ליישום. במקרה כזה המינוי לא יפחית סיכון, ועלול להקשות על הארגון להראות לרשות שהחובה מתקיימת בפועל.
לפרטים על המסגרת הכללית, ראו פרטיות והגנת מידע בישראל ו-רגולציה ותקינה.