ממונה על הגנת הפרטיות (DPO): מי חייב למנות, ומה הממונה עושה

עמוד השירות: עורך דין מסחר דיגיטלי ו-AI: תקנון, פרטיות ודיוור.

מי חייב למנות ממונה על הגנת הפרטיות?

מאז 14.8.2025, סעיף 17ב1 לחוק הגנת הפרטיות מחייב ארבע קבוצות למנות ממונה על הגנת הפרטיות. שתי הראשונות מוגדרות בבירור: גוף ציבורי, ובעל שליטה במאגר שמטרתו העיקרית מסירת מידע לאחרים, עם יותר מ-10,000 איש. שתי האחרונות תלויות ב״עיסוק עיקרי״ וב״היקף ניכר״, ולכן בהן נופלות רוב שאלות הספק.

״מידע בעל רגישות מיוחדת״ מוגדר בחוק ברשימה סגורה, ובה מידע על בריאות, מידע גנטי, מזהה ביומטרי, עבר פלילי, נטייה מינית, דעות ואמונות, נתוני מיקום ותעבורה (בתנאים שבחוק), ונתוני שכר ופעילות פיננסית. לפי עמדת הרשות, ״עיסוק עיקרי״ פירושו עיבוד שהוא רכיב מרכזי במטרות העיקריות של הארגון, ולכן עיבוד מידע רגיש רק לצורך העסקת עובדים אינו מחייב מינוי לפי פסקה (4). גם אז חלות על המידע הזה שאר הוראות החוק, למשל ההודעה לרשות על מאגר גדול עם מידע רגיש.

״היקף ניכר״: למה אין מספר, ואיך בודקים

החוק אינו קובע מספר. הוא מונה שיקולים: מספר האנשים שהמידע עליהם מעובד, שיעורם באוכלוסייה מסוימת, היקף המידע, כמותו ומגוון סוגיו, משך העיבוד ותדירותו, משך השמירה והתחום הגאוגרפי (סעיף 17ב1(ב)). בגילוי הדעת מ-14.7.2026 הבהירה הרשות שאין סף כמותי חד-ערכי, שהשיקולים אינם מצטברים, ושייתכנו שיקולים נוספים. לפי הרשות, מספר גדול של אנשים מספיק לבדו; וגם כשהמספר אינו גדול, שיקול אחר יכול להטות את הכף.

נקודה שמפתיעה ספקי שירות: אצל מחזיק, ההיקף נבחן במצטבר, על פני כל המאגרים של כל הלקוחות שלו. הדוגמה של הרשות: מחזיק שמעבד מידע רגיש עבור 1,000 מאגרים, ובכל אחד מידע על 100 איש בלבד, מעבד מידע רגיש בהיקף ניכר. כך ספק תוכנה לניהול מרפאות, למשל, צריך לבדוק את הסך הכולל, גם כשכל לקוח שלו קטן.

דוגמה היפותטית: חברה מפעילה אפליקציית כושר שאוספת מיקום ונתוני דופק של 40,000 משתמשים, וזה עיקר השירות שלה. הרשות מונה אפליקציות מיקום ומכשירים לבישים שעוקבים אחרי נתוני בריאות כדוגמאות לניטור שוטף ושיטתי. נתוני דופק הם מידע על מצב בריאותו של אדם, ולכן מידע בעל רגישות מיוחדת; נתוני מיקום נכללים בהגדרה רק בתנאים שבפסקה (9) שלה, למשל כשהם מלמדים על מצב בריאות או על אמונות. השאלה אם ההיקף ״ניכר״ נבחנת לפי כל השיקולים, ולא לפי המספר בלבד. במקרה של ספק, הרשות מציינת שאפשר לפנות אליה בשאלה ספציפית.

מה הממונה עושה, ולמי הוא כפוף

הממונה פועל כדי שהארגון יקיים את החוק, ותפקידיו קבועים בסעיף 17ב2: לשמש סמכות מקצועית ולייעץ להנהלה ולעובדים; להכין תוכנית הדרכה ולפקח עליה; להכין תוכנית בקרה ולדווח להנהלה על ליקויים; לוודא שיש נוהל אבטחת מידע ומסמך הגדרות מאגר; לוודא טיפול בפניות של אנשים שהמידע עליהם במאגר, כולל בקשות עיון ותיקון; ולשמש איש הקשר מול הרשות. דרכי ההתקשרות עם הממונה מתפרסמות לציבור באופן נגיש ופשוט. הארגון חייב לתת לממונה את התנאים והמשאבים הדרושים ולשתף אותו בכל נושא של דיני הגנת הפרטיות. הממונה מדווח ישירות למנהל הכללי, או לעובד שכפוף ישירות למנהל הכללי.

ממונה חיצוני, ניגוד עניינים, וממונה אבטחת המידע

הממונה יכול להיות מי שאינו עובד הארגון (סעיף 17ב3(ב)). לפי הרשות, רק אדם (יחיד) יכול להתמנות, גם כשההתקשרות נעשית דרך חברה שבה הוא מועסק; אין דרישה מפורשת שיהיה אזרח או תושב ישראל, אבל הוא צריך להיות זמין גם פיזית בארגון ככל הנדרש.

הממונה לא ימלא תפקיד נוסף, ולא יהיה כפוף לנושא משרה, אם הדבר עלול להעמיד אותו בחשש לניגוד עניינים (סעיף 17ב3(ג)). לפי הרשות, הממונה אינו יכול לשאת בתפקיד שקובע את מטרות העיבוד או מחליט על אמצעיו; ניגוד עניינים מתקיים פעמים רבות אצל מנהל שיווק, מנהל לקוחות, מנהל כספים ומנהל הטכנולוגיות הראשי, ובדרך כלל אצל מנהל מערכות המידע. צירוף תפקיד הממונה לתפקיד ממונה אבטחת המידע או מנהל אבטחת המידע הראשי אינו אסור בחוק, אבל לפי הרשות הוא מחייב בחינה פרטנית, מנומקת ומתועדת.

הכישורים: ידע מעמיק בדיני הגנת הפרטיות, הבנה הולמת בטכנולוגיה ובאבטחת מידע, והיכרות עם תחומי הפעילות של הארגון (סעיף 17ב3(א)). לפי הרשות, ידע מעמיק בדין הישראלי נרכש בדרך כלל בניסיון מעשי משמעותי; השתלמות של 40 שעות לפחות מטעם הרשות או בחסותה רצויה, אבל אינה חובה ואינה מספיקה לבדה. היכרות עם ה-GDPR אינה תחליף לידע בדין הישראלי.

ממונה על אבטחת מידע: חובה נפרדת

לצד הממונה על הגנת הפרטיות קיימת חובה ותיקה יותר: מינוי ממונה על אבטחת מידע (סעיף 17ב). היא חלה על בעל שליטה או מחזיק בחמישה מאגרים החייבים ברישום או בהודעה לרשות, על גוף ציבורי, ועל בנק, חברת ביטוח וחברה לדירוג או הערכת אשראי. שני התפקידים שונים: האחד אחראי לאבטחה, השני לקיום החוק כולו.

מה קורה אם לא ממנים

החוק קבע עיצום כספי על אי-מינוי ממונה רק לגוף ציבורי ולסוחר מידע, כלומר לקבוצות 1 ו-2 (סעיף 23כו(ד)(1)(ג)). בשנת 2026 העיצום הוא 2.05 ₪ לכל אדם שמידע עליו במאגר, ו-4.09 ₪ כשהמידע בעל רגישות מיוחדת; אם הסכום נמוך מ-20,470 ₪ (או 40,940 ₪ במידע רגיש), ראש הרשות רשאי להטיל את הסכום הזה. למשל, גוף ציבורי שבמאגר שלו מידע רגיש על 100,000 איש ולא מינה ממונה: 100,000 × 4.09 ₪ = 409,000 ₪ לפי הסכומים לשנת 2026 (בסכומי הבסיס שבחוק, 400,000 ₪, כמו בדוגמת הרשות).

לקבוצות 3 ו-4 החוק לא קבע עיצום ישיר על אי-מינוי. במקום זאת, גוף שחייב במינוי רק בגלל פסקאות (3) או (4), ומינה ממונה לפני שקיבל הודעה על כוונת חיוב, זכאי ל-10% הפחתה מעיצום על הפרה אחרת. הרשות הודיעה שבכוונתה להשתמש בסמכויותיה כדי לוודא שהמינוי עומד בכל דרישות החוק, כולל הידע המעמיק הנדרש. כל הסכומים וההפחתות: עיצום כספי לפי תיקון 13: הסכומים לשנת 2026.

שאלות נפוצות

עסק קטן חייב למנות ממונה על הגנת הפרטיות?

גודל העסק אינו המבחן. עסק חייב אם הוא גוף ציבורי, סוחר מידע עם יותר מ-10,000 איש, או שעיסוקו העיקרי כרוך בניטור שיטתי של אנשים או בעיבוד מידע רגיש בהיקף ניכר (סעיף 17ב1). חנות או משרד שמנהלים רשימת לקוחות לצורך העבודה, בלי ניטור שיטתי ובלי עיבוד מידע רגיש כעיסוק עיקרי, אינם נכנסים לקבוצות האלה רק בשל הרשימה.

אפשר למנות ממונה חיצוני?

כן. הממונה יכול להיות מי שאינו עובד הארגון (סעיף 17ב3(ב)). לפי הרשות, הוא צריך להיות אדם מסוים, גם אם ההתקשרות דרך חברה, וזמין גם פיזית ככל הנדרש.

ממונה אבטחת המידע יכול להיות גם הממונה על הגנת הפרטיות?

החוק אינו אוסר זאת במפורש. לפי הרשות, הצירוף מחייב בחינה פרטנית ומתועדת, בין השאר כי ממונה אבטחה אינו בהכרח בעל ידע מעמיק בדיני הפרטיות וכי הממונה צריך לדווח ישירות למנהל הכללי.

מה הקנס על אי-מינוי ממונה?

עיצום כספי נקבע רק לגוף ציבורי ולסוחר מידע: בשנת 2026, 2.05 ₪ לכל אדם במאגר (4.09 ₪ במידע רגיש); אם הסכום נמוך מ-20,470 ₪ (40,940 ₪ במידע רגיש), ראש הרשות רשאי להטיל את הסכום הזה. לגופים שחייבים בגלל ניטור או מידע רגיש לא נקבע עיצום ישיר על אי-מינוי; מינוי מזכה אותם ב-10% הפחתה מעיצומים אחרים.

הממונה צריך לעבור קורס?

החוק דורש ידע מעמיק בדיני הגנת הפרטיות, הבנה בטכנולוגיה ובאבטחת מידע, והיכרות עם הארגון. לפי הרשות, השתלמות של 40 שעות לפחות מטעמה או בחסותה רצויה, אבל אינה חובה ואינה מספיקה בלי ניסיון או השכלה נוספים.

אנחנו ספק תוכנה בענן שמעבד מידע עבור לקוחות. גם אנחנו חייבים?

ייתכן. ספק שמעבד מידע עבור אחרים הוא ״מחזיק״, והחובה לפי פסקאות (3) ו-(4) חלה גם על מחזיק. לפי הרשות, ההיקף אצל מחזיק נבחן במצטבר על כל המאגרים של כל לקוחותיו. ספק שמעבד מידע עבור גוף ציבורי חייב במינוי לפי פסקה (1).

ממתי החובה בתוקף?

מ-14.8.2025, יחד עם כל הוראות תיקון 13. גילוי הדעת הסופי של הרשות על המינוי פורסם ב-14.7.2026.