מהו DPO?
קצין הגנת מידע (Data Protection Officer או DPO) הוא תפקיד מקצועי אשר מטרתו להבטיח שארגון
כלשהו פועל בהתאם להוראות חוק הגנת הפרטיות ולתקנות החלות בנושא עיבוד ושמירת מידע אישי.
בעולם התקנות האירופי ובפרט תחת ה־GDPR, מדובר בתפקיד מחייב עבור גופים ציבוריים, מוסדות חינוך,
בריאות, חברות טכנולוגיה, או כל גוף שמעבד מידע אישי בקנה מידה רחב.
בישראל, עם כניסת תיקון 14 לחוק הגנת הפרטיות, קיבלה הדרישה למינוי DPO ממד של חובת מינויים של ממש,
כולל לרשויות מקומיות.
חובת מינוי DPO ברשויות מקומיות
כן. לפי הנחיות רשות הגנת הפרטיות (הרשות להגנת הפרטיות במשרד המשפטים), עיריות ורשויות מקומיות
מוגדרות כגופים ציבוריים המחזיקים במאגרים רבים של מידע אישי רגיש ולכן חלה עליהן חובת מינוי DPO.
החובה חלה כאשר מתקיימים התנאים הבאים:
הרשות המקומית היא בעלת מאגר מידע רשום אחד לפחות;
היא עושה שימוש נרחב במידע אישי כמו רישומי תושבים, מערכות גבייה, מצלמות, חינוך, רווחה ועוד;
יש לה עובדים אשר עוסקים בטיפול במידע אישי או ברגישות גבוהה (למשל עובדי רווחה, חינוך מיוחד,
מחלקת הנדסה ועוד).
במילים פשוטות, כל עירייה או מועצה אזורית או מקומית בישראל נדרשת למנות DPO.
תפקידי DPO בעירייה
קצין ההגנה על המידע ברשות מקומית ממלא תפקיד קריטי בשל מורכבות המידע ועקב פגיעות אפשרית בזכויות תושבים.
תפקידיו כוללים:
פיקוח על עמידה בחוקי הגנת המידע:
לוודא שמאגרי המידע רשומים כחוק.
לעקוב אחר עדכוני מדיניות פרטיות ונוהלי שמירת מידע.
לוודא שהמידע נאסף, נשמר ומעובד על פי החוק.
הדרכות והעלאת מודעות:
העברת הכשרות לעובדי הרשות, בפרט אלו שנחשפים למידע רגיש.
פיתוח שגרות עבודה בטוחות.
טיפול באירועי אבטחת מידע:
זיהוי אירועי דליפה או גישה לא מורשית.
דיווח לרשות להגנת הפרטיות ולמנכ”ל הרשות.
ניהול תהליך ההודעה לנפגעים (אם יש חובה כזו).
ייעוץ מקצועי:
סיוע משפטי-טכנולוגי בנושאי פרטיות למנהלי מחלקות.
בחינת מערכות חדשות שמטפלות במידע אישי (כגון מערכות CRM עירוניות, מערכות רישום תלמידים ועוד).
למי כפוף ה־DPO בעירייה?
ה־DPO אמור לפעול באופן עצמאי וללא ניגוד עניינים, לכן עליו להיות כפוף ישירות למנכ”ל העירייה
או לראש הרשות, ולא לגורם שתחת פיקוחו (למשל מנהל מערכות מידע).
אתגרים ביישום DPO ברשויות מקומיות
משאבים וכוח אדם – לא כל רשות מקומית יכולה להקצות משרה מלאה ל־DPO, ולכן יש מקומות בהם DPO
ממונה גם על תפקידים נוספים, בניגוד להמלצות.
פערי ידע – לעיתים חסר ידע מספק בנוגע לפרטיות, עמידה ברגולציה, ואבטחת מידע.
שיתוף פעולה בין מחלקות – DPO נדרש לתאם בין מספר אגפים ברשות, שלעיתים אינם מתואמים ואינם
מכירים בחשיבות התחום.
התמודדות עם מערכות מידע ישנות או מבוזרות – ברשויות רבות קיימות מערכות ישנות אשר אינן עומדות
בתקני אבטחת מידע עדכניים.
האם אפשר למנות DPO חיצוני לעריה?
כן. במידה ואין אפשרות למנות DPO פנימי, רשות מקומית יכולה להתקשר עם DPO חיצוני, אשר יספק שירותי פיקוח,
ליווי מקצועי, הדרכות וטיפול באירועים.
יש לוודא כי אותו גוף חיצוני אינו נמצא בניגוד עניינים מול הרשות, וכי יש לו את הידע המשפטי והטכנולוגי הנדרש.
סנקציות ואכיפה בנושא DPO
אי מינוי DPO או אי עמידה בדרישות החוק והנחיות הרשות להגנת הפרטיות עלולה להוביל ל:
פתיחת הליכי אכיפה מצד הרשות הממשלתית.
קנסות.
תביעות אזרחיות מצד תושבים במקרי פגיעה בפרטיות.
פגיעה באמון הציבור.
שאלות ותשובות בנושא DPO לעיריה
האם ניתן למנות עובד עירייה המשמש גם כמנהל מערכות מידע לתפקיד DPO?
לא מומלץ ואף עלול להוות ניגוד עניינים חמור.
ה־DPO נדרש לפקח על עמידת מערכות המידע בדרישות החוק ולכן אסור שידווח לגוף שאותו הוא מבקר
או יהיה כפוף לו.
מינוי מנהל מערכות מידע (CIO/CTO) לתפקיד DPO עלול לשלול את העצמאות המתחייבת מהתפקיד
ולפגוע באמינות הפיקוח.
כיצד על DPO לעקוב אחר פרויקטים עירוניים חדשים מבחינת פרטיות?
על ה־DPO להיות מעורב כבר בשלב תכנון הפרויקט (Privacy by Design), לוודא שבוצעה הערכת השפעה
על פרטיות (PIA) כאשר מדובר במערכות בעלות סיכון גבוה לפרטיות (כגון מצלמות רחוב חכמות, מערכות לזיהוי פנים,
מאגרי תלמידים).
עליו להבטיח שנעשתה הבחנה בין בסיסי עיבוד (למשל: חובה חוקית, אינטרס ציבורי, הסכמה) ולוודא שמנגנוני
שמירה ואנונימיזציה נאכפים בפועל.
מהו ההבדל בין תפקיד DPO לתפקיד מנהל אבטחת מידע (CISO) בעירייה?
ה־DPO אחראי להיבטי הציות המשפטי והאתי בהגנת המידע האישי כולל פיקוח, ייעוץ, הדרכות ודיווחים לרגולטור.
לעומת זאת, ה־CISO (מנהל אבטחת מידע) אחראי לצד הטכני של שמירת המידע כגון הצפנה, גיבויים, הגנת סייבר, נהלי גישה והרשאות.
שני התפקידים משלימים אך נבדלים והם נדרשים לשיתוף פעולה מתמיד, תוך שמירה על עצמאות DPO.
באילו מקרים נדרש DPO עירוני לדווח לרשות להגנת הפרטיות על אירוע אבטחת מידע?
במקרה של אירוע אבטחת מידע חמור, כלומר אירוע שבו נחשף מידע אישי רגיש או בקנה מידה נרחב, או כאשר עלולה
להיגרם פגיעה משמעותית בפרטיות חלה חובה לדווח ללא דיחוי לרשות להגנת הפרטיות.
בנוסף, על העירייה לדווח גם לנפגעים עצמם, אם קיימת סבירות לפגיעה בזכויותיהם.
ה־DPO אמון על ניהול האירוע מול הרגולציה ותיעוד תהליך הטיפול.
מהו ההיקף המינימלי של משאבים שעל עירייה להקצות לתפקיד DPO?
אין דרישה כמותית מפורשת בחוק, אך לפי עקרונות ה־GDPR והנחיות רשות הגנת הפרטיות, יש להקצות זמן,
תקציב, גישה למידע ולמערכות, ומשאבים אנושיים נלווים שיאפשרו ל־DPO לבצע את תפקידו.
במועצות קטנות אפשר למנות DPO חיצוני או אזורי, אך גם אז יש לוודא שהיקף ההעסקה מאפשר התמודדות עם כלל
הפעולות הנדרשות: פיקוח שוטף, טיפול באירועים, הדרכות וייעוץ למנהלים.
