גילוי הדעת הסופי של הרשות להגנת הפרטיות בנושא מינוי ממונה על הגנת הפרטיות - מה המשמעות עבור חברות פרטיות ובעלי עסקים?

ביום 15.7.2026 פרסמה הרשות להגנת הפרטיות גילוי דעת סופי בנושא מינוי ממונה על הגנת הפרטיות בארגון, מכוח תיקון 13 לחוק הגנת הפרטיות. מדובר במסמך בעל חשיבות מעשית רבה, בין היתר משום שהרשות מבהירה כי הפרשנות שנקבעה בו תשמש אותה גם בהפעלת סמכויות האכיפה שלה, לרבות בהטלת עיצומים כספיים.

לכאורה, מדובר בנושא שמזוהה בעיקר עם גופים ציבוריים. בפועל, גילוי הדעת רלוונטי מאוד גם למגזר הפרטי, ובמיוחד לחברות ועסקים שפעילותם כרוכה בעיבוד מידע אישי בהיקף משמעותי, בניטור משתמשים, בשימוש במידע לצרכים שיווקיים, בפרופיילינג או בעיבוד מידע רגיש.

למה גילוי הדעת חשוב דווקא למגזר הפרטי?

אחד המסרים המרכזיים בגילוי הדעת הוא שהחובה למנות ממונה על הגנת הפרטיות אינה מוגבלת לגופים ציבוריים בלבד. החוק, כפי שפורש על ידי הרשות, עשוי לחול גם על שורה של ארגונים פרטיים, בהתאם לאופי הפעילות שלהם, סוגי המידע שהם מעבדים והיקף העיבוד.

מבחינה מעשית, גילוי הדעת מחדד שני מישורים שונים אך קשורים:

• מתי עשויה לחול על הארגון חובה למנות ממונה על הגנת הפרטיות.

• מהו הסטנדרט המהותי שמצופה מארגון שכבר מינה ממונה, או שמתעתד לעשות זאת.

במילים אחרות, לא מדובר רק בשאלה אם מונה ממונה, אלא אם המינוי אכן עומד בדרישות החוק והציפיות הרגולטוריות.

באילו מקרים החובה עשויה להיות רלוונטית לחברות פרטיות?

לפי גילוי הדעת, החובה עשויה להיות רלוונטית במיוחד לחברות פרטיות בשלושה סוגי פעילות עיקריים:

1. סחר במידע או מסירת מידע אישי לצדדים שלישיים

החובה עשויה לחול על בעל שליטה במאגר מידע שמטרתו העיקרית היא איסוף מידע אישי לשם מסירתו לאחר, כדרך עיסוק או בתמורה, ובתנאים הקבועים בחוק. הרשות קושרת קטגוריה זו גם לפעילויות מסוימות של שירותי דיוור ישיר ולארגונים הפועלים במובן הרחב כ-Data Brokers.

2. ניטור שוטף ושיטתי של בני אדם

זוהי אחת הקטגוריות המשמעותיות ביותר עבור עסקים דיגיטליים. הרשות מבהירה כי מדובר בין היתר במעקב אחר פעילות משתמשים באתרים ובאפליקציות, יצירת פרופילים על בסיס התנהגות, תחומי עניין והעדפות, שימוש בנתוני מיקום, מעקב באמצעות מצלמות, התקנים לבישים, כלי IoT ושירותים דיגיטליים נוספים המבוססים על איסוף וניתוח מתמשך של מידע אישי.

מבחינת חברות טכנולוגיה, איקומרס, SaaS, אדטק, פינטק, הלת'טק, פרסום דיגיטלי ושירותים מבוססי דאטה - זו ככל הנראה הקטגוריה שראוי לבחון תחילה.

3. עיבוד בהיקף ניכר של מידע בעל רגישות מיוחדת

החובה עשויה לחול גם על בעל שליטה או מחזיק במאגר מידע שעיסוקו העיקרי כולל עיבוד בהיקף ניכר של מידע בעל רגישות מיוחדת. הרשות מדגישה כי השאלה אינה רק איזה מידע מעובד, אלא גם האם עיבוד המידע הוא חלק מליבת הפעילות העסקית או הארגונית.

מה נחשב "היקף ניכר"?

הרשות מבהירה כי אין סף מספרי חד-משמעי, והבחינה תיעשה לפי מכלול נסיבות. בין השיקולים הרלוונטיים: מספר נושאי המידע, שיעורם באוכלוסייה מסוימת, סוגי המידע, כמות המידע, משך ותדירות פעולות העיבוד, משך השמירה וההיבט הגיאוגרפי של הפעילות.

חשוב במיוחד לשים לב לעמדת הרשות ביחס ל"מחזיקים" - כלומר, ספקים חיצוניים המעבדים מידע עבור אחרים. לפי גילוי הדעת, היקף העיבוד של מחזיק נבחן במצטבר ביחס לכלל מאגרי הלקוחות שלהם הוא מספק שירותים. המשמעות היא שגם ספק שירותים שאצל כל לקוח בנפרד נחשף להיקף מידע מוגבל יחסית, עשוי להיחשב כמי שמעבד מידע בהיקף ניכר כאשר בוחנים את כלל פעילותו.

לא די במינוי פורמלי

אחד החידודים החשובים בגילוי הדעת הוא שמינוי "על הנייר" לא יספיק. הרשות מדגישה כי ממונה על הגנת הפרטיות חייב להיות בעל הידע והכישורים הנדרשים למילוי תפקידו בצורה נאותה, בשים לב לאופי עיבוד המידע, נסיבותיו, היקפו ומטרותיו.

בהקשר זה, הרשות מדגישה במיוחד שלושה נדבכים:

• ידע מעמיק בדיני הגנת הפרטיות בישראל.

• הבנה הולמת בטכנולוגיה ובאבטחת מידע, בהתאם לפעילות הארגון.

• היכרות עם תחומי הפעילות של הארגון, סביבת הרגולציה שלו, ותהליכי העבודה והעיבוד הנהוגים בו.

הרשות אף מבהירה כי השתתפות בקורס או בהכשרה, כשלעצמה, אינה בהכרח מספקת לצורך עמידה בדרישת הידע המעמיק.

מה התפקיד של הממונה בפועל?

לפי גילוי הדעת, הממונה על הגנת הפרטיות אינו אמור להיות תפקיד סמלי, אלא גורם מקצועי משמעותי במערך הציות והממשל התאגידי של הארגון. בין תפקידיו:

• לשמש סמכות מקצועית ולייעץ להנהלה ולעובדים.

• להכין תוכנית הדרכה ולפקח על ביצועה.

• להכין או לכל הפחות לוודא קיומה של בקרה שוטפת על העמידה בהוראות החוק.

• לוודא קיומם של נוהל אבטחת מידע ומסמך הגדרות מאגר כנדרש.

• לוודא טיפול בפניות של נושאי מידע ולשמש איש קשר מול הרשות להגנת הפרטיות.

המשמעות המעשית היא שהארגון נדרש לא רק למנות אדם, אלא לבנות סביבו מנגנון עבודה אמיתי.

עצמאות, מעמד ארגוני ומשאבים

גילוי הדעת מקדיש מקום משמעותי גם לשאלה איך נכון למקם את הממונה בתוך הארגון. הרשות מבהירה כי יש לספק לממונה את התנאים והמשאבים הדרושים למילוי תפקידו, ולוודא שהוא מעורב כראוי בכל נושא הנוגע לדיני הגנת הפרטיות.

בנוסף, החוק מחייב כי הממונה ידווח ישירות למנכ"ל או לעובד הכפוף לו במישרין.

מבחינת חברות פרטיות, מדובר בנקודה חשובה במיוחד: גם אם קיים רצון "לשבץ" את התפקיד במקום נוח מבחינה ארגונית, יש לבחון האם מיקום זה אכן מאפשר לממונה עצמאות מקצועית, נגישות למקבלי ההחלטות ויכולת השפעה אפקטיבית.

ניגוד עניינים - מוקד סיכון מרכזי

אחת הסוגיות הפרקטיות הבולטות בגילוי הדעת היא ניגוד עניינים. לפי הרשות, הממונה לא יכול למלא תפקיד נוסף או להיות כפוף לנושא משרה, אם הדבר עלול להעמידו בחשש לניגוד עניינים במילוי תפקידו.

הרשות מסבירה כי קושי כזה עשוי להתעורר במיוחד כאשר אותו אדם אחראי גם על קביעת מדיניות עיבוד המידע או על קבלת החלטות מהותיות לגבי אמצעי ושיטות העיבוד. בין הדוגמאות שהוזכרו: מנהל שיווק, מנהל לקוחות, מנהל כספים, CTO ומנהל מערכות מידע.

מנקודת מבט של חברות פרטיות, זהו אחד הנושאים שכדאי לבדוק בזהירות יתרה, במיוחד בארגונים רזים שבהם בעלי תפקידים נושאים על גבם כמה כובעים במקביל.

האם אפשר למנות את אותו אדם גם כ-DPO וגם כ-CISO?

הרשות אינה קובעת איסור גורף על כפל תפקידים בין ממונה על הגנת הפרטיות לבין ממונה אבטחת מידע או CISO, אך היא מדגישה כי מדובר בשני תפקידים שונים במהותם.

לכן, אם ארגון מבקש לרכז את שני התפקידים אצל אותו אדם, עליו לבצע בחינה פרטנית, מנומקת ומתועדת, ולוודא כי אותו אדם אכן עומד בדרישות הידע, הכשירות, הבכירות והזמינות הנדרשות.

בפועל, בארגונים גדולים או כאלה שעיבוד המידע בהם מורכב ומשמעותי, הרשות מאותתת כי שילוב כזה עשוי להיות מאתגר.

אז מה חברות פרטיות צריכות לעשות עכשיו?

בעקבות גילוי הדעת, מומלץ לחברות פרטיות ולעסקים לבצע בחינה ממוקדת של מבנה הציות שלהם בתחום הפרטיות, ובפרט לשאול:

• האם פעילות הארגון עשויה להכניס אותו לגדר החובה למנות ממונה.

• אם כבר מונה ממונה - האם מדובר במינוי מהותי ואפקטיבי, או רק פורמלי.

• האם לממונה יש ידע מתאים, עצמאות מקצועית, קו דיווח תקין ומשאבים מספקים.

• האם קיימים ניגודי עניינים פוטנציאליים.

• האם קיימים מנגנוני עבודה תומכים, כגון הדרכות, בקרה, טיפול בפניות ונהלים מעודכנים.

במילים פשוטות: ארגונים פרטיים אינם יכולים להניח עוד שמדובר בנושא ששייך רק למגזר הציבורי. עבור עסקים שמבוססים על מידע, משתמשים בכלי ניטור ואנליטיקה, מפעילים מערכות שיווק מבוססות דאטה, או מעבדים מידע רגיש כחלק מליבת הפעילות - זהו תחום שדורש בחינה קונקרטית, ולא רק תשומת לב כללית.

סיכום

גילוי הדעת הסופי של הרשות להגנת הפרטיות מסמן באופן ברור את כיוון האכיפה והציפיות הרגולטוריות ביחס למינוי ממונה על הגנת הפרטיות. המסר המרכזי הוא כפול: מצד אחד, יותר ארגונים במגזר הפרטי עשויים להיכנס לתחולת החובה; מצד שני, גם כאשר כבר קיים ממונה - הרשות תבחן אם מדובר במינוי אמיתי, אפקטיבי ועצמאי, ולא בכותרת ריקה מתוכן.

עבור חברות פרטיות, זהו זמן נכון לבצע בדיקת תחולה, לבחון את מבנה התפקיד והכפיפויות, ולעדכן את מנגנוני הפרטיות הפנימיים בהתאם לדרישו

ת תיקון 13 ולעמדת הרשות.

נשמח לסייע בבחינת תחולת החובה על פעילות הארגון, בבדיקת פערים ממוקדת, בבחינת התאמת הממונה הקיים או המוצע, ובעדכון נהלים, מדיניות וממשקי עבודה בתחום הפרטיות.

לגילוי הדעת המלא באתר האינטרנט של הרשות להגנת הפרטיות: https://www.gov.il/he/pages/amendment-13-26-07-26