חובת מינוי DPO לפי תיקון 13: מי חייב, ולמה זה כנראה גם אתם

הרשות להגנת הפרטיות פרסמה גילוי דעת על חובת מינוי ממונה הגנת פרטיות. ההיקף רחב בהרבה ממה שנדמה, כולל ספקים שמעבדים מידע עבור גוף ציבורי, וחברות שמנטרות לקוחות בהיקף ניכר. בדקו אם זה חל עליכם.

ב-14 ביולי 2026 פרסמה הרשות להגנת הפרטיות את גילוי הדעת בעניין חובת מינוי ממונה על הגנת הפרטיות (DPO) לפי תיקון 13 לחוק הגנת הפרטיות. גילוי הדעת מציג את עמדת הרשות לגבי היקף החובה, תפקידי הממונה, הכישורים הנדרשים ממנו ומעמדו בארגון. החובה עצמה נכנסה לתוקף כבר ב-14.8.2025. זהו אחד החידושים המשמעותיים ביותר בעדכון המקיף ביותר שעבר חוק הגנת הפרטיות מאז נחקק ב-1981, וההיקף שלו רחב בהרבה ממה שרוב הארגונים מניחים. גם אם מעולם לא חשבתם על עצמכם כ"ארגון רגיש לפרטיות", כדאי לבדוק.

חשוב לדעת: גילוי הדעת ישמש את הרשות בהפעלת סמכויותיה, לרבות הטלת עיצומים כספיים על ארגונים שאינם עומדים בחובה. הוא פורסם לאחר שלב של טיוטה להערות הציבור, וכעת מהווה את עמדת הרשות המלאה.

מי חייב במינוי, ארבע חלופות, ודי באחת מהן

לפי סעיף 17ב1(א) לחוק, החובה חלה על כל ארגון שנכנס לאחת מארבע הקטגוריות הבאות. אין צורך שיתקיים יותר מחלופה אחת:

1. גוף ציבורי, וכל "מחזיק" חיצוני שמעבד עבורו מידע. משרדי ממשלה, רשויות מקומיות, קופות חולים, בתי חולים, מוסדות להשכלה גבוהה ועוד. וזו הנקודה שהכי מפתיעה ארגונים פרטיים: החובה חלה גם על כל גורם חיצוני שמעבד מידע אישי עבור גוף ציבורי, כלומר, ספק SaaS, קבלן משנה או נותן שירותים שמאחסן, מעבד או אפילו רק מעיין במידע עבור רשות מקומית, משרד ממשלתי או קופת חולים, נחשב "מחזיק" וחייב במינוי בעצמו, גם אם הוא אינו גוף ציבורי כלל.
2. ארגון שעיסוקו העיקרי הוא סחר במידע, כולל שירותי דיוור ישיר, מעל 10,000 בני אדם במאגר. הכוונה לארגונים שאוספים מידע אישי כדי למסור אותו לאחר, כדרך עיסוק או בתמורה.
3. ארגון שעיסוקיו העיקריים כרוכים בניטור שוטף ושיטתי של בני אדם, בהיקף ניכר. זה כולל אפליקציות שאוספות נתוני מיקום, מכשירים לביש שעוקבים אחרי בריאות, רכבים חכמים ומכשירי IoT, מצלמות אבטחה מחוברות, וכן פרופיילינג לצורכי פרסום ממוקד, התאמה אישית, דירוג אשראי, חיתום ביטוחי או איתור הונאות.
4. ארגון שעיסוקו העיקרי כולל עיבוד בהיקף ניכר של מידע בעל רגישות מיוחדת. החוק קובע במפורש שבנקים, חברות ביטוח, בתי חולים וקופות חולים חייבים במינוי מכוח חלופה זו, אבל הרשות מבהירה שזו רשימה לדוגמה ("white list"), לא רשימה סגורה.

למונח "היקף ניכר" (הרלוונטי לחלופות 3 ו-4) אין סף מספרי קבוע, הרשות בוחנת אותו לפי מכלול הנסיבות: מספר בני האדם, שיעורם באוכלוסייה, היקף וסוגי המידע, תדירות ומשך העיבוד, ותחום גאוגרפי. גם מאגר עם מספר נושאי מידע לא גדול עשוי להיחשב "בהיקף ניכר" אם שאר הפרמטרים משמעותיים.

שימו לב גם למה שהחוק לא מחייב: עיבוד מידע רגיש הנדרש רק למטרות עזר משניות, כמו ניהול משאבי אנוש רגיל, אינו מפעיל את חלופה 4, אלא אם יש לו זיקה ישירה לפעילות הליבה של הארגון.

מעבר לחובה: מתי כדאי למנות ממונה גם בלי חובה חוקית

הרשות ממליצה לשקול מינוי וולונטרי גם לארגונים שאינם חייבים בכך, בפרט "גופים דו-מהותיים" הכפופים לפחות לחלק מעקרונות המשפט הציבורי. וליתר הארגונים: מינוי ממונה מכוח סעיף 17ב1(א)(3) או (4) עשוי להקל ב-10% בעיצום כספי, אם יוטל בעתיד עיצום בשל הפרות אחרות של החוק, תמריץ כלכלי ישיר, לא רק שיקול של ניהול סיכונים.

איזה ידע וכישורים חייבים להיות לממונה

החוק דורש מהממונה "ידע וכישורים הנדרשים למילוי תפקידו בצורה נאותה", דרישה גמישה שנבחנת לפי אופי הארגון, אבל גילוי הדעת מפרט שלושה תחומים שחייבים להתקיים:

• ידע מעמיק ומוכח בדיני הגנת הפרטיות בישראל, שליטה מלאה ומקיפה במכלול החקיקה והרגולציה הישראלית בתחום: חוק הגנת הפרטיות, פסיקה, תקנות והנחיות הרשות (לא GDPR זר, אם כי היכרות עמו רצויה בארגונים בינלאומיים). נרכש בעיקר בניסיון מעשי משמעותי, למשל בתפקיד ממונה פרטיות או בליווי תחום הפרטיות בארגון בפן המשפטי, ורצוי בנוסף גם הכשרה פורמלית של 40 שעות לפחות מטעם הרשות או בחסותה. הכשרה זו נחשבת "הכשרה בסיסית", אבל אינה חובה ואינה מספיקה לבדה בלי ניסיון או השכלה נוספת.
• הבנה טכנולוגית הולמת באבטחת מידע וזרימת מידע בארגון, לא בהכרח תואר במדעי המחשב, אבל מספיק כדי לקדם "עיצוב לפרטיות" (Privacy by Design), טכנולוגיות מגבירות פרטיות ותסקירי השפעה על הפרטיות.
• היכרות עם תחומי הפעילות והמבנה הארגוני, תחומי העיסוק, חלוקת האחריות ותהליכי העבודה (בדגש על תהליכי עיבוד מידע), המבנה התאגידי, וכן המגזר, השוק והרגולציה המגזרית. היכרות זו יכולה לנבוע מעבודה קודמת בארגון, מניסיון בארגונים אחרים באותו מגזר, או מלימוד יזום של התחום, ועליה להספיק כדי לזהות את סיכוני הפרטיות וליישם ביעילות את החוק, התקנות ועקרונות הגנת הפרטיות בתהליכי העבודה. יש לתת דגש גם על אוכלוסיות מיוחדות בקרב נושאי המידע (קטינים, אזרחים ותיקים, בעלי צרכים מיוחדים, עולים חדשים).

מה הממונה עושה בפועל, שישה תפקידים לפי החוק

סעיף 17ב2(א) לחוק פורט שישה רכיבי תפקיד מרכזיים:

1. לשמש סמכות מקצועית וכתובת ייעוץ יזומה להנהלה ולעובדים, לאורך כל מחזור החיים של עיבוד המידע.
2. להכין ולהוביל תכנית הדרכה תקופתית לעובדים.
3. להכין תכנית בקרה שוטפת על עמידת הארגון בהוראות החוק, ולדווח להנהלה על ממצאיה, רצוי לפחות אחת לשנה.
4. לוודא קיום ועדכון של נוהל אבטחת מידע ומסמך הגדרות מאגר, מאושרים בידי ההנהלה.
5. לטפל בפניות ובקשות של נושאי מידע, עיון, תיקון, מחיקה, הסרה מדיוור ישיר וכיו"ב.
6. לשמש איש הקשר הרשמי של הארגון מול הרשות להגנת הפרטיות.

מעבר לרשימה הפורמלית, הרשות מבהירה שייעודו הכללי של הממונה הוא לקדם "תרבות פרטיות" בארגון, מעבר למינימום הקבוע בדין. החוק לא מטיל על הממונה אחריות אישית במקרה של הפרה; תפקידו הוא ייעוץ, הדרכה, פיקוח ובקרה, לא נשיאה באחריות המשפטית של הארגון.

שני תנאים שיפסלו מינוי "על הנייר"

גילוי הדעת מדגיש שני תנאי מעמד שהרשות רואה כאינדיקציה מרכזית לכך שהמינוי אמיתי, לא פורמלי בלבד:

• דיווח ישיר למנכ"ל, הממונה חייב לדווח ישירות למנכ"ל, או לעובד הכפוף במישרין למנכ"ל בלבד. לא לסמנכ"ל, לא ליועץ המשפטי, לא לכל גורם ביניים אחר.
• העדר ניגוד עניינים, הממונה לא יכול למלא תפקיד נוסף או להיות כפוף לבעל תפקיד שיש לו סמכות או אחריות על מדיניות עיבוד המידע. בפרט, זה פוסל שילוב עם תפקידים כמו מנהל שיווק, מנהל לקוחות, מנהל כספים, מנהל מערכות מידע או CTO.

ומה עם ה-CISO? האם אפשר לשלב את שני התפקידים באדם אחד?

גילוי הדעת מקדיש לכך התייחסות מפורשת: זה לא אסור באופן גורף, אבל הרשות ממליצה נגד זה ברוב המקרים. הסיבות: (1) ל-CISO אין בהכרח את הידע המעמיק בדיני הגנת הפרטיות שהחוק דורש מהממונה; (2) לממונה אבטחת מידע יש אחריות אישית לאבטחת המידע בארגון, שעלולה להתנגש עם שיקולי הפרטיות (למשל ניטור מסיבי של עובדים לצורכי אבטחה, שעלול לפגוע בפרטיות); (3) ממונה אבטחת מידע לא בהכרח עומד בדרישת הדיווח הישיר למנכ"ל; (4) בארגונים גדולים, לכל אחד מהתפקידים יש עומס שמצדיק בעל תפקיד נפרד. בארגונים שחייבים במינוי ממונה אבטחת מידע מכוח החוק, השילוב בעייתי במיוחד.

מיקום ארגוני: הצבת הממונה בייעוץ המשפטי

הצבת הממונה במחלקת הייעוץ המשפטי אפשרית, כל עוד אינה יוצרת ניגוד עניינים. עם זאת, הרשות מדגישה שהדבר לא בהכרח יפיק את התועלת המיטבית, בשל ההבדל המהותי בין תפקיד היועץ המשפטי (הבטחת ציות לחוק) לבין תפקיד הממונה (קידום השמירה על הפרטיות מעבר למינימום הנדרש בדין), ובשל השוני בידע ובכישורים הנדרשים. אם בכל זאת מוטל התפקיד על מי שמשמש גם כיועץ משפטי, על הממונה לנקוט אמצעים ארגוניים שמבחינים בבירור בין שני הכובעים, למשל חתימה נפרדת בכובעו כממונה, או תיבת דוא"ל ייעודית לענייני הגנת הפרטיות בלבד.

ממונה פנימי או חיצוני, ומה לעשות עכשיו

החוק מתיר במפורש להעסיק את הממונה כנותן שירותים חיצוני, לא חובה שיהיה עובד שכיר. מומלץ שיהיה עובד הארגון (זמינות ומעורבות אינטימית עדיפה), אבל בארגונים רבים, בפרט קטנים ובינוניים, מיקור חוץ הוא הפתרון המעשי, ובלבד שיוקצה לממונה הזמן, הגישה והמשאבים הדרושים למילוי התפקיד.

סימנתם ולו אחד? עדיף לבצע בדיקה מסודרת מאשר להניח שהחובה לא חלה. אנחנו יכולים לבדוק זאת איתכם ולשמש כממונה חיצוני (DPO כשירות).

אז מה עושים השבוע?

1. לבדוק איזו מארבע החלופות עשויה לחול עליכם, בדגש על שאלת ה"מחזיק" אם אתם ספק לגוף ציבורי, ועל היקף המידע הרגיש או המנוטר שאתם מעבדים.
2. אם החובה חלה, להחליט על מינוי פנימי או ממונה חיצוני (DPO כשירות), ולוודא שהוא עומד בדרישות הידע.
3. לוודא שמסלול הדיווח הוא ישירות למנכ"ל, ושאין ניגוד עניינים מובנה בתפקיד.
4. אם אתם לא בטוחים אם החובה חלה עליכם, עדיף לבצע בדיקה חד-פעמית ומסודרת מאשר להניח שהיא לא רלוונטית.

ההיקף הרחב של "מחזיק" עבור גוף ציבורי, וההגדרה הגמישה של "היקף ניכר", משמעם שהרבה יותר ארגונים חייבים במינוי ממונה משהם מניחים.

שאלות נפוצות

מתי בדיוק נכנסה לתוקף חובת מינוי הממונה?

תיקון 13 לחוק הגנת הפרטיות אושר בכנסת ב-5.8.2024, וכלל הוראותיו, לרבות חובת מינוי הממונה, נכנסו לתוקף ב-14.8.2025. טיוטת גילוי הדעת שמפרשת את החובה פורסמה להערות הציבור ב-23.7.2025, וגילוי הדעת פורסם ב-14.7.2026. הרשות הבהירה שהפרשנות בו מנחה את שיקוליה באכיפה, לרבות הטלת עיצומים כספיים.

אנחנו חברה פרטית קטנה-בינונית, האם אנחנו חייבים במינוי ממונה?

תלוי אם אתם עונים על אחת מארבע החלופות בחוק: היותכם גוף ציבורי או "מחזיק" עבורו; סחר במידע/דיוור ישיר על מעל 10,000 בני אדם; ניטור שוטף ושיטתי בהיקף ניכר; או עיבוד בהיקף ניכר של מידע רגיש במיוחד. גודל החברה עצמו אינו הקריטריון.

מה זה בדיוק "מחזיק" חיצוני שחייב במינוי גם אם אינו גוף ציבורי?

כל גורם חיצוני, ספק SaaS, קבלן, נותן שירותים, שמעבד מידע אישי עבור גוף ציבורי (משרד ממשלתי, רשות מקומית, קופת חולים וכדומה) נחשב "מחזיק" במאגר של אותו גוף, ולכן חב בעצמו במינוי ממונה, גם אם הוא עצמו חברה פרטית לגמרי.

אפשר למנות את ה-CISO של הארגון גם כממונה הגנת הפרטיות?

החוק לא אוסר זאת באופן מוחלט, אבל הרשות ממליצה נגד השילוב ברוב המקרים, בגלל פערי ידע, סיכון לניגוד עניינים, ודרישת הדיווח הישיר למנכ"ל שממונה אבטחת מידע לא תמיד עומד בה. בארגונים המחויבים במינוי ממונה אבטחת מידע מכוח החוק, השילוב בעייתי במיוחד.

האם היועץ המשפטי של הארגון יכול לשמש גם כממונה על הגנת הפרטיות?

כן, בתנאי שאין ניגוד עניינים. אך הרשות מדגישה שהצבת הממונה בייעוץ המשפטי לא בהכרח אופטימלית, בשל ההבדל בין תפקיד היועץ המשפטי (הבטחת ציות) לבין תפקיד הממונה (קידום הפרטיות מעבר למינימום הנדרש). אם בכל זאת ממנים אדם אחד לשני התפקידים, עליו לנקוט אמצעים ארגוניים שמבחינים בין הכובעים, כמו חתימה נפרדת בכובעו כממונה או תיבת דוא"ל ייעודית לענייני פרטיות בלבד.

האם אפשר להעסיק ממונה הגנת פרטיות חיצוני במקום למנות עובד פנימי?

כן. החוק מתיר במפורש העסקת הממונה כנותן שירותים חיצוני, ובלבד שיוקצו לו הזמן, הגישה והמשאבים הדרושים למילוי התפקיד כנדרש בחוק.

מה נחשב "היקף ניכר" לצורך חובת מינוי הממונה?

אין סף מספרי קבוע. הרשות בוחנת את מכלול הנסיבות: מספר נושאי המידע ושיעורם באוכלוסייה, היקף וטווח סוגי המידע, ומשך ותדירות העיבוד. גם מאגר עם מספר נושאי מידע לא גדול עשוי להיחשב בהיקף ניכר אם שאר הפרמטרים משמעותיים.

מה צפוי לארגון שחייב במינוי ולא ימנה ממונה?

החובה נכנסה לתוקף ב-14.8.2025, וגילוי הדעת ישמש את הרשות בהפעלת סמכויותיה, לרבות הטלת עיצומים כספיים. מנגד, מינוי ממונה מכוח חלופת הניטור או חלופת המידע הרגיש עשוי אף להקל ב-10% בעיצום כספי שיוטל בשל הפרות אחרות.