מי צריך למנות DPO?
החובה למינוי DPO בישראל, כפי שעוגנה בתיקון 13 לחוק הגנת הפרטיות ובתיקוני הפרקטיקה הרלוונטיים,
מעצימה את ההגנה על פרטיות המידע ברמה הארגונית.
אוגוסט 2025 מהווה קריאת השכמה לגופים רלוונטיים לקדם גיבוש ממונה מתאים,
להיערך תקציבית ולוודא עצמאות תפקודית.
זהו צעד מהותי לקראת בגרות פרטיות, שקיפות ואמון במרחב הדיגיטלי והרגולטורי הגדול של ימינו.
הרקע החקיקתי למינוי DPO הוא תיקון 13 לחוק הגנת הפרטיות
ב־5 באוגוסט 2024, הכנסת אישרה את תיקון 13 לחוק הגנת הפרטיות (התשפ”ד‑2024), הכולל עוגן מפורש
לחובת מינוי DPO, שייכנס לתוקף ב־14 באוגוסט 2025.
ב־23 ביולי 2025, הרשות להגנת הפרטיות פרסמה טיוטת גילוי דעת שמבהירה את התנאים,
התפקיד והדרישות מהממונה.
על מי חלה החובה למינוי DPO?
לפי גילוי הדעת והחוק, חובה זו חלה על גופים הבאים:
גופים ציבוריים, כולל רשויות מקומיות ומוסדות ממשלתיים.
גופים שמבצעים סחר במידע אישי, כמו Data Brokers וחברות דיוור.
גופים שעוסקים בניטור שיטתי ושוטף של אנשים (כולל אפליקציות, פרסונליזציה, פרופיילינג וכו’).
גופים שמעבדים מידע רגיש/רגיש במיוחד כגון מידע רפואי, ביומטרי, פלילי, נתוני אשראי
בכמות משמעותית.
לגופים אלה יש חובה לערוך מינוי רשום עד ל־14.8.2025.
תפקידו ותחומי האחריות של DPO
הרשות קבעה דרישות ספציפיות לאופי התפקיד:
ייעוץ מקצועי ורגולטורי – ה‑DPO יהיה סמכות מקצועית בארגון וייעץ להנהלה ולעובדים בנוגע למדיניות פרטיות
ועיבוד מידע.
פיתוח תוכניות הדרכה, בקרת ציות ונהלים כולל פיקוח שוטף על נהלי עיבוד וביצוע סקרי סיכונים.
טיפול בפניות נושאי מידע כלפי בקשות לעיון, מחיקה, תיקון, מימוש זכויות ועוד.
איש קשר רגולטורי מול הרשות להגנת הפרטיות והגורמים הרלוונטיים.
בנוסף, חובת הקצאת משאבים למילוי התפקיד קיימת בחוק והארגון צריך להבטיח שה‑DPO יקבל סמכויות,
תקציב והכשרה מתאימים.
ידע וניסיון של DPO
התפקיד מצריך ידע משפטי מעמיק בדיני פרטיות, GDPR המקומי וההנחיות הרלוונטיות, כולל פסקי דין ומגמות רגולטוריות
בנוסף, ה־DPO צריך ניסיון בפרקטיקה מעשית, דוגמאות מוכחות לליווי תהליכי פרטיות, הסמכות, הכשרות וידע טכנולוגי בסיסי
עצמאות ומניעת ניגודי עניינים של DPO
לפי גילוי הדעת, ה‑DPO חייב להיות עצמאי בארגוני, שלא יפוטר או יושפע בשל ביצוע תפקידו,
וידווח ישירות למנכ״ל או מנהל בכיר
אסור לשלב אותו בתפקידים ניהוליים אחרים (כמו CISO, מנכ״ל, יועץ שיווק או CISO) כדי למנוע קונפליקט
הרשות אף הדגישה שניגוד עניינים חמורים עלול להביא לעיצומים רגולטוריים, כפי שקרה באיחוד האירופי
אינטראקציה בין DPO לממונה אבטחת מידע (CISO)
בישראל, לפני תיקון 13 כבר היו חובות למינוי ממונה אבטחת מידע (CISO), בעיקר בגופים שרשומים כמאגרי מידע ומערכות פיננסיות
עם תיקון 13, יש גופים שיידרשו למינוי שניהם: DPO ו‑CISO, כאשר לכל אחד תפקיד שונה וברור.
CISO מתמקד באבטחת מערכות המידע, טכנולוגיה, הגנה מפני סייבר וגישה למידע.
DPO אחראי לתכנוני פרטיות, ציות רגולטורי ויחסים עם נושאי המידע והרגולטורים.
מינוי DPO פנימי או חיצוני?
החוק מאפשר מינוי פנים-ארגוני או חיצוני (outsourcing), בהתאם ליכולות ולצרכים
במקרים בהם אין התאמה פנימית (כגון ברשויות המקומיות), מינוי חיצוני הוא פתרון מוצלח, אך גם הוא חייב להבטיח
עצמאות ואי-ניגוד עניינים.
סיכום הדברים בנושא חובת מינוי DPO
| נושא | מסקנה |
| תחולה | חובה חובה מוצהרת החל מ־14.8.2025 לגופים ציבוריים, סוחרי מידע, מבצעים ניטור או מעבדים מידע רגיש |
| תפקיד | ייעוץ, בקרת ציות, נוהלים והכשרות, טיפול בזכויות נושאים ואיש קשר רגולטורי |
| דרישות | ניסיון משפטי ומעשי, ידע טכנולוגי בסיסי, ידע ארגוני |
| עצמאות | דיווח למנכ״ל, אין שילוב בתפקידים אחרים |
| מיקור חוץ | מותאם למקומות שאין דמות פנימית מתאימה, יחד עם תנאים לניגוד עניינים |
לארגונים שאינם מחויבים כעת לחובת DPO קיימת אפשרות למינוי וולונטרי, פעולה מומלצת שמעידה על מחויבות פרטיות
ומגבירה אמון ציבורי ועסקי
שאלות ותשובות בנושא מינוי DPO
כיצד נבדלת חובת מינוי DPO בישראל מהדרישה המקבילה ב־GDPR האירופי?
ב־GDPR החובה למנות DPO חלה גם על גופים פרטיים בגין ניטור נרחב או עיבוד מידע רגיש, בעוד שבישראל
החובה בשלב זה מתמקדת בגופים ציבוריים, סוחרי מידע, וארגונים עם נפח משמעותי של עיבוד רגיש או ניטור שיטתי.
ההבדל המרכזי הוא בכך שבישראל היקף התחולה מצומצם יותר, אך גילוי הדעת מרחיב אותו באופן יישומי.
כיצד ניתן למנוע ניגוד עניינים במינוי DPO בארגון קטן שבו אדם אחד ממלא מספר תפקידים?
במקרים בהם אין אפשרות להפרדה תפקודית פנימית, ניתן למנות DPO חיצוני, בתנאי שיש לו עצמאות מקצועית מלאה
ואין לו תלות כלכלית או ניהולית בגוף המעבד את המידע.
אסור ש־DPO יהיה אחראי על תפעול, שיווק, אבטחת מידע או מערכות.
כל אלה עלולים להעמיד אותו במצב של שיפוט עצמי ולפגוע באובייקטיביות.
האם ניתן למנות DPO שמשרת כמה גופים במקביל (מינוי חיצוני משותף)?
כן, בהתאם לגילוי הדעת של הרשות, ניתן למנות DPO משותף לכמה ארגונים, למשל באיגוד, קבוצת חברות או מועצות
מקומיות סמוכות כל עוד מובטחת חלוקת קשב מספקת, ניהול נאות של ניגודי עניינים, ולכל גוף יש נגישות מלאה אליו.
חובה להסדיר זאת גם בהסכם וגם ברישום לרשות.
האם חובת מינוי DPO כוללת גם אחריות פלילית או נזיקית אישית?
לא. ה־DPO פועל מטעמו של הארגון ואינו נושא באחריות פלילית או נזיקית אישית למעשים שאינם בתחום אחריותו הישירה.
עם זאת, הוא עשוי להישא באחריות משמעתית אם מדובר בעובד ציבור, או באחריות מקצועית אם התרשל בייעוץ מהותי.
האחריות העיקרית לציות מוטלת על הארגון.
מה ההשלכות של אי־מינוי DPO בגוף שבו קיימת חובה?
אי־מינוי מהווה הפרה של הוראות החוק ועשוי להוביל להפעלת סמכויות אכיפה של הרשות כולל עיצומים כספיים, צו מינהלי,
ואף פרסום פומבי של ההפרה (“שיימינג רגולטורי”).
בגופים ציבוריים, זו אף יכולה להיחשב ככשל בניהול תקין שיש לדווח עליו בביקורת פנים.
האם מינוי DPO מגן על הארגון מבחינה רגולטורית במקרה של דליפת מידע?
המינוי כשלעצמו אינו מהווה הגנה בפני אחריות, אך הוא כן מהווה אינדיקציה לרצינות ולציות מצופה.
DPO פעיל עשוי לתרום להכנת נהלים מונעי דליפה, לניהול סיכונים ולתגובה נאותה לאירוע אבטחת מידע,
דבר שיכול להפחית את חומרת הסנקציות ואף להוות שיקול מקל באכיפה.
