מינוי ממונה הגנת פרטיות בארגון אינו מותרות, אלא הכרח ממשי עבור ארגונים המעבדים מידע אישי בהיקפים
משמעותיים או כחלק מליבת הפעילות שלהם.
בישראל, חוק הגנת הפרטיות ותקנות רשות ההגנה על הפרטיות מכתיבים במפורש את התנאים למינוי זה,
ובנוסף מדגישים את החשיבות המעשית שבשילובו במבנה הארגוני.
מעבר לעמידה בחוק, הממונה משמש כמוביל תרבות פרטיות, משפר תהליכים פנים-ארגוניים, וחוסך לארגון סיכונים כלכליים
ומשפטיים כבדים.
ארגונים רבים מתחילים כיום לראות בערך המוסף שקטן תפקיד זה לא רק מבחינה רגולטורית, אלא גם כאמצעי לחיזוק
האמון מול לקוחות ושותפים עסקיים.
המסגרת החוקית של מינוי ממונה הגנת פרטיות
חוק הגנת הפרטיות, התשמ”א-1981
החוק קובע את זכויות הפרט וחובות המאגרים ומעבדי המידע. סעיף 24א ללשון החוק (כפי שעודכן בחקיקה משנת 2018)
קובע את ההליכים לבחינת השבת פרטיות וכולל סמכויות של רשות הגנת הפרטיות, ובראשן דרישה למינוי ממונה במקרים מסוימים.
תקנות למינוי ממונה הגנת הפרטיות
במסגרת סמכות רשות ההגנה על הפרטיות (הרשות), פורסמו תקנות המפרטות מתי ארגון נדרש למנות ממונה, מהן דרישות הכשירות שלו,
ומהם חובות הדיווח והקשר עם הרשות. תקנות אלה נועדו להבטיח עמידה קפדנית בפרקטיקות הגנת המידע ובהוראות החוק.
קריטריונים למינוי ממונה הגנת פרטיות לפי ההנחיות של רשות הגנת הפרטיות, מינויים מתבקשים במקרים הבאים:
עיבוד מאגרי “רגישים” בהיקף משמעותי:
מידע רפואי, ביומטרי, גנטי, או נתונים פיננסיים.
כשחברה מנהלת מאגרי לקוחות הכוללים קטגוריות אלה, למשל בתי חולים, מכוני בריאות פרטיים, קופות חולים, חברות ביטוח.
עיבוד המהווה ליבת הפעילות:
כאשר הפעילות העסקית המרכזית של הארגון נסובה סביב עיבוד מידע אישי.
לדוגמה: בנקים, חברות אשראי, ספקי שירותי אינטרנט, חברות תשלומים מקוונות.
היקף עיבוד גדול:
עיבוד מידע אישי של עשרות אלפי לקוחות או עובדים.
במקרים כאלה, גם אם המידע אינו רגיש במיוחד, נדרש ממונה כדי לפקח על עמידה בהוראות זכות הידע, זכות לתיקון וזכות להישכח.
דרישות רגולטוריות ספציפיות:
חברות הפועלות תחת פיקוח גופים רגולטוריים מחמירים (למשל בנק ישראל, המפקח על הביטוח) לרוב מחויבות למינוי ממונה
, אף אם הקריטריונים הכמותיים אינם עומדים בסף המינימלי.
תפקידו ותחומי אחריותו של ממונה הגנת פרטיות
מינוי ממונה הגנת פרטיות אינו עניין טקסי. עליו למלא תפקיד מקצועי, אוביקטיבי ועצמאי בארגון, ובמסגרתו:
בדיקת עמידה בחוק: ניתוח נהלים וטיפול באי-עמידה, לקראת תיקון ממוקד במערך טכנולוגי או ארגוני.
הגשה לדיווחים וחוות דעת: ייעוץ למנכ”ל ולדירקטוריון לגבי סיכוני פרטיות, כולל הסקמת “הערכת השפעה על פרטיות” (DPIA) בפרויקטים חדשים.
פיקוח פנימי והדרכה: הכשרת עובדים בנושאי פרטיות, עריכת סדנאות ומעקב על נהלים שוטפים של איסוף, אחסון, שיתוף והסרה של מידע.
ניהול אירועי פרצה: זיהוי, טיפול ומניעה של תקלות דליפה או פריצה למערכות, ותיאום דיווחים לרשות הממונה בתוך 72 שעות.
נקודת קשר לרשות: תקשורת שוטפת עם רשות הגנת הפרטיות בכל הנוגע להנחיות חדשות, בירורים ומשימות ביקורת חיצונית.
סעיפים רלוונטיים בחוזרי רשות ההגנה על הפרטיות
הרשות מפרסמת באופן תקופתי “חוזרי מנכ״ל” ו**“המלצות פרקטיות”** הכוללות:
מסמכי הגדרות מאגר (data mapping).
עקרונות עיצוב מובנה של פרטיות (“Privacy by Design”).
טפסי DPIA ודגשים להערכות סיכונים.
מינוי ממונה כולל תפקיד מטה-ניהולי להטמעת דרישות אלה בכל פרויקט פיתוח, טיוב נתונים או שיווק.
דגשים למגזרים ספציפיים
מגזר בריאות: מסגרות רפואיות וגופים משלמים (קופות חולים, בתי חולים).
מגזר פיננסי וביטוחי: בנקים, חברות אשראי, חברות ביטוח, קרנות פנסיה.
תחום התקשורת: ספקי שירותי אינטרנט, תקשורת סלולרית, פלטפורמות תשלומים דיגיטליים.
סחר אלקטרוני ושיווק דיגיטלי: חברות עם מאגר לקוחות נרחב, מערכות CRM, פלטפורמות אימייל ושיווק מבוסס פרופיל.
מגזר ציבורי ורשויות מקומיות: רשויות מוניציפליות, משרדי ממשלה, אוניברסיטאות המנהלות מאגרי סטודנטים ועובדים.
יתרונות מינוי ממונה הגנת פרטיות גם מעבר לחובת החוק
שיפור תדמית ואמון: עבודה מול לקוחות ורגולטורים מגלמת יתרון תחרותי.
הקטנת חשיפה לסיכונים: מניעת קנסות והליכים משפטיים בסכומים גבוהים.
ייעול תהליכים פנימיים: ריכוז ובקרה על ענייני פרטיות מגבירה תחושת שליטה ומביאה לחיסכון במשאבים.
קריטריונים לבחירת ממונה הגנת פרטיות
ניסיון והכשרה: תעודות מקצועיות בתחום GDPR/ISO 27701, הכרות עם מערכות מידע.
עצמאות תפקידית: הדיווח הישיר לדירקטוריון או לדרג הגבוה בארגון.
משאבים נלווים: גישה למומחי IT, אבטחת מידע ומשפטנים.
הכרות עם הענף: הבנה של צרכי המגזר ותהליכי עבודה הספציפיים.
