مسؤول حماية الخصوصية (DPO): من يجب عليه التعيين، وماذا يفعل المسؤول

صفحة الخدمة: محامٍ للتجارة الرقمية والذكاء الاصطناعي: شروط الموقع، والخصوصية، والتسويق المباشر.

من يجب عليه تعيين مسؤول حماية الخصوصية؟

منذ 14.8.2025، تُلزم المادة 17ب1 من قانون حماية الخصوصية أربع فئات بتعيين مسؤول حماية الخصوصية. الفئتان الأوليان معرَّفتان بوضوح: الهيئة العامة، والمتحكّم في قاعدة بيانات غرضها الرئيسي تسليم المعلومات لآخرين، وتضم أكثر من 10,000 شخص. أما الفئتان الأخيرتان فمتوقفتان على «العمل الرئيسي» وعلى «النطاق الكبير»، ولذلك تقع فيهما معظم حالات الشك.

«المعلومات ذات الحساسية الخاصة» معرَّفة في القانون بقائمة مغلقة، تتضمن معلومات عن الصحة، ومعلومات وراثية، ومُعرِّفًا بيومتريًا، وماضيًا جنائيًا، وميولًا جنسية، وآراء ومعتقدات، وبيانات الموقع والتنقّل (بالشروط الواردة في القانون)، وبيانات الأجر والنشاط المالي. ووفق موقف السلطة، فإن «العمل الرئيسي» معناه معالجة تشكّل مركّبًا مركزيًا في الأغراض الرئيسية للمنظمة، ولذلك فإن معالجة معلومات حساسة لغرض تشغيل العاملين فقط لا تستلزم التعيين وفق الفقرة (4). وحتى عندئذٍ تسري على هذه المعلومات سائر أحكام القانون، مثل الإبلاغ إلى السلطة عن قاعدة بيانات كبيرة تتضمن معلومات حساسة.

«النطاق الكبير»: لماذا لا يوجد رقم، وكيف يُفحص

القانون لا يحدد رقمًا. بل يعدّد اعتبارات: عدد الأشخاص الذين تُعالَج المعلومات عنهم، ونسبتهم في فئة سكانية معيّنة، ونطاق المعلومات وكميتها وتنوّع أنواعها، ومدة المعالجة وتكرارها، ومدة الحفظ والنطاق الجغرافي (المادة 17ب1(ب)). وفي بيان الرأي الصادر في 14.7.2026 أوضحت السلطة أنه لا يوجد حدّ كمّي قاطع، وأن الاعتبارات ليست تراكمية، وأنه قد توجد اعتبارات إضافية. ووفق السلطة، فإن العدد الكبير من الأشخاص يكفي وحده؛ وحتى عندما لا يكون العدد كبيرًا، يمكن لاعتبار آخر أن يرجّح الكفّة.

نقطة تفاجئ مزوّدي الخدمات: لدى الحائز، يُفحص النطاق بشكل تراكمي، على امتداد جميع قواعد البيانات لجميع زبائنه. ومثال السلطة: حائز يعالج معلومات حساسة لصالح 1,000 قاعدة بيانات، وفي كل منها معلومات عن 100 شخص فقط، يعالج معلومات حساسة بنطاق كبير. وهكذا فإن مزوّد برمجيات لإدارة العيادات، مثلًا، يجب أن يفحص المجموع الكلي، حتى عندما يكون كل زبون من زبائنه صغيرًا.

مثال افتراضي: شركة تشغّل تطبيق لياقة بدنية يجمع الموقع وبيانات النبض لـ40,000 مستخدم، وهذا هو جوهر خدمتها. والسلطة تعدّد تطبيقات الموقع والأجهزة القابلة للارتداء التي تتتبّع البيانات الصحية كأمثلة على المراقبة المستمرة والمنهجية. وبيانات النبض معلومات عن الحالة الصحية للشخص، ولذلك فهي معلومات ذات حساسية خاصة؛ أما بيانات الموقع فلا تدخل في التعريف إلا بالشروط الواردة في الفقرة (9) منه، مثلًا عندما تدلّ على الحالة الصحية أو على المعتقدات. ومسألة ما إذا كان النطاق «كبيرًا» تُفحص وفق جميع الاعتبارات، لا وفق العدد فقط. وفي حالة الشك، تشير السلطة إلى أنه يمكن التوجّه إليها بسؤال محدد.

ماذا يفعل المسؤول، ولمن يخضع

يعمل المسؤول على أن تلتزم المنظمة بالقانون، ومهامه محددة في المادة 17ب2: أن يكون مرجعًا مهنيًا وأن يقدّم المشورة للإدارة وللعاملين؛ وأن يُعدّ برنامج تدريب ويشرف عليه؛ وأن يُعدّ برنامج رقابة ويبلّغ الإدارة عن الخلل؛ وأن يتحقق من وجود إجراء لأمن المعلومات ووثيقة تعريفات لقاعدة البيانات؛ وأن يتحقق من معالجة توجّهات الأشخاص الذين توجد معلومات عنهم في قاعدة البيانات، بما في ذلك طلبات الاطّلاع والتصحيح؛ وأن يكون جهة الاتصال مع السلطة. وتُنشر طرق التواصل مع المسؤول للجمهور بشكل متاح وبسيط. والمنظمة ملزمة بأن توفّر للمسؤول الظروف والموارد اللازمة، وأن تُشركه في كل مسألة من مسائل قوانين حماية الخصوصية. ويرفع المسؤول تقاريره مباشرةً إلى المدير العام، أو إلى عامل يخضع مباشرةً للمدير العام.

المسؤول الخارجي، وتضارب المصالح، ومسؤول أمن المعلومات

يمكن أن يكون المسؤول شخصًا ليس من عاملي المنظمة (المادة 17ب3(ب)). ووفق السلطة، لا يجوز أن يُعيَّن إلا شخص (فرد)، حتى عندما يتم التعاقد عبر شركة يعمل فيها؛ ولا يوجد اشتراط صريح بأن يكون مواطنًا في إسرائيل أو مقيمًا فيها، لكن يجب أن يكون متاحًا أيضًا حضوريًا في المنظمة بالقدر اللازم.

لا يجوز أن يشغل المسؤول منصبًا إضافيًا، ولا أن يخضع لصاحب منصب، إذا كان ذلك قد يضعه في خطر تضارب المصالح (المادة 17ب3(ج)). ووفق السلطة، لا يمكن للمسؤول أن يشغل منصبًا يحدد أغراض المعالجة أو يقرّر وسائلها؛ وكثيرًا ما يقوم تضارب المصالح لدى مدير التسويق، ومدير الزبائن، والمدير المالي، والمدير التكنولوجي الرئيسي، وعادةً لدى مدير أنظمة المعلومات. والجمع بين منصب المسؤول ومنصب مسؤول أمن المعلومات أو المدير الرئيسي لأمن المعلومات ليس محظورًا في القانون، لكنه وفق السلطة يستلزم فحصًا فرديًا ومعلَّلًا وموثَّقًا.

المؤهلات: معرفة معمّقة بقوانين حماية الخصوصية، وفهم ملائم للتكنولوجيا ولأمن المعلومات، ومعرفة بمجالات نشاط المنظمة (المادة 17ب3(أ)). ووفق السلطة، تُكتسب المعرفة المعمّقة بالقانون الإسرائيلي عادةً بخبرة عملية كبيرة؛ والدورة التدريبية التي لا تقل عن 40 ساعة من قِبل السلطة أو تحت رعايتها مستحبة، لكنها ليست إلزامية ولا تكفي وحدها. والإلمام بـGDPR ليس بديلًا عن المعرفة بالقانون الإسرائيلي.

مسؤول أمن المعلومات: واجب منفصل

إلى جانب مسؤول حماية الخصوصية، هناك واجب أقدم: تعيين مسؤول أمن المعلومات (المادة 17ب). وهو يسري على المتحكّم في خمس قواعد بيانات ملزمة بالتسجيل أو بالإبلاغ إلى السلطة أو على حائزها، وعلى الهيئة العامة، وعلى البنك، وشركة التأمين، وشركة تصنيف الائتمان أو تقييمه. والمنصبان مختلفان: أحدهما مسؤول عن أمن المعلومات، والآخر عن الالتزام بالقانون كله.

ماذا يحدث إذا لم يُعيَّن مسؤول

حدّد القانون عقوبة مالية على عدم تعيين مسؤول للهيئة العامة ولتاجر المعلومات فقط، أي للفئتين 1 و2 (المادة 23كو(د)(1)(ج)). وفي سنة 2026 تبلغ العقوبة 2.05 ش.ج. عن كل شخص توجد معلومات عنه في قاعدة البيانات، و4.09 ش.ج. عندما تكون المعلومات ذات حساسية خاصة؛ وإذا كان المبلغ أقل من 20,470 ش.ج. (أو 40,940 ش.ج. في المعلومات الحساسة)، يجوز لرئيس السلطة أن يفرض هذا المبلغ. مثلًا، هيئة عامة في قاعدة بياناتها معلومات حساسة عن 100,000 شخص ولم تعيّن مسؤولًا: 100,000 × 4.09 ش.ج. = 409,000 ش.ج. وفق مبالغ سنة 2026 (وبالمبالغ الأساسية الواردة في القانون، 400,000 ش.ج.، كما في مثال السلطة).

للفئتين 3 و4 لم يحدّد القانون عقوبة مباشرة على عدم التعيين. بدلًا من ذلك، فإن الجهة الملزمة بالتعيين فقط بسبب الفقرتين (3) أو (4)، والتي عيّنت مسؤولًا قبل أن تتلقى إشعارًا بنيّة فرض العقوبة، تستحق تخفيضًا بنسبة 10% من عقوبة على مخالفة أخرى. وقد أعلنت السلطة أنها تنوي استخدام صلاحياتها للتأكد من أن التعيين يستوفي جميع متطلبات القانون، بما في ذلك المعرفة المعمّقة المطلوبة. جميع المبالغ والتخفيضات: العقوبة المالية وفق التعديل رقم 13: المبالغ لسنة 2026.

أسئلة شائعة

هل يجب على المصلحة التجارية الصغيرة تعيين مسؤول حماية الخصوصية؟

حجم المصلحة التجارية ليس هو الاختبار. فالمصلحة ملزمة إذا كانت هيئة عامة، أو تاجر معلومات لديه أكثر من 10,000 شخص، أو إذا كان عملها الرئيسي مرتبطًا بمراقبة منهجية لأشخاص أو بمعالجة معلومات حساسة بنطاق كبير (المادة 17ب1). أما المتجر أو المكتب الذي يدير قائمة زبائن لأغراض العمل، دون مراقبة منهجية ودون معالجة معلومات حساسة كعمل رئيسي، فلا يدخل في هذه الفئات بسبب القائمة وحدها.

هل يمكن تعيين مسؤول خارجي؟

نعم. يمكن أن يكون المسؤول شخصًا ليس من عاملي المنظمة (المادة 17ب3(ب)). ووفق السلطة، يجب أن يكون شخصًا محددًا، حتى لو تم التعاقد عبر شركة، ومتاحًا أيضًا حضوريًا بالقدر اللازم.

هل يمكن أن يكون مسؤول أمن المعلومات هو أيضًا مسؤول حماية الخصوصية؟

القانون لا يحظر ذلك صراحةً. ووفق السلطة، يستلزم الجمع فحصًا فرديًا وموثَّقًا، لأسباب منها أن مسؤول أمن المعلومات ليس بالضرورة صاحب معرفة معمّقة بقوانين الخصوصية، وأن المسؤول يجب أن يرفع تقاريره مباشرةً إلى المدير العام.

ما الغرامة على عدم تعيين مسؤول؟

حُدِّدت عقوبة مالية للهيئة العامة ولتاجر المعلومات فقط: في سنة 2026، 2.05 ش.ج. عن كل شخص في قاعدة البيانات (4.09 ش.ج. في المعلومات الحساسة)؛ وإذا كان المبلغ أقل من 20,470 ش.ج. (40,940 ش.ج. في المعلومات الحساسة)، يجوز لرئيس السلطة أن يفرض هذا المبلغ. أما الجهات الملزمة بسبب المراقبة أو المعلومات الحساسة فلم تُحدَّد لها عقوبة مباشرة على عدم التعيين؛ والتعيين يمنحها تخفيضًا بنسبة 10% من عقوبات أخرى.

هل يجب أن يجتاز المسؤول دورة تدريبية؟

يشترط القانون معرفة معمّقة بقوانين حماية الخصوصية، وفهمًا للتكنولوجيا ولأمن المعلومات، ومعرفة بالمنظمة. ووفق السلطة، فإن الدورة التدريبية التي لا تقل عن 40 ساعة من قِبلها أو تحت رعايتها مستحبة، لكنها ليست إلزامية ولا تكفي من دون خبرة أو تعليم إضافيين.

نحن مزوِّد برمجيات سحابية يعالج المعلومات لصالح زبائن. هل يسري الواجب علينا أيضًا؟

ربما. فالمزوِّد الذي يعالج معلومات لصالح آخرين هو «حائز»، والواجب وفق الفقرتين (3) و(4) يسري على الحائز أيضًا. ووفق السلطة، يُفحص النطاق لدى الحائز بشكل تراكمي على جميع قواعد البيانات لجميع زبائنه. والمزوِّد الذي يعالج معلومات لصالح هيئة عامة ملزم بالتعيين وفق الفقرة (1).

منذ متى يسري هذا الواجب؟

منذ 14.8.2025، مع جميع أحكام التعديل رقم 13. ونُشر بيان الرأي النهائي للسلطة بشأن التعيين في 14.7.2026.