האם הארגון
צריך DPO?
ארבע קבוצות שאלות מסייעות לזהות אם קיימת אינדיקציה לחובת מינוי. זו בדיקה ראשונית בלבד, משום שמונחים כמו "עיקר הפעילות" ו"היקף ניכר" דורשים בחינה של העובדות.
גוף ציבורי: האם הארגון הוא בעל שליטה במאגר שהוא גוף ציבורי כהגדרתו בסעיף 23, או מחזיק במאגר שלו? סעיף 17ב1(א)(1) מחריג גוף ביטחוני כהגדרתו בסעיף 23כ.
מסירת מידע לאחרים: האם מדובר בבעל שליטה במאגר שמטרתו העיקרית איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה, לרבות שירותי דיוור ישיר, ובמאגר מידע על יותר מ-10,000 בני אדם? הסף שייך לקטגוריה זו, לא לכל ארגון.
ניטור שוטף ושיטתי: האם עיסוקיו העיקריים של בעל השליטה או המחזיק כוללים או כרוכים בעיבוד שמחייב, בשל טיבו, היקפו או מטרתו, ניטור שוטף ושיטתי של בני אדם בהיקף ניכר? למשל מעקב שיטתי אחר התנהגות, מיקום או פעולות.
מידע בעל רגישות מיוחדת: האם עיסוקו העיקרי של בעל השליטה או המחזיק כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר? בודקים את סוג המידע ואת היקף העיבוד יחד, לא רק אם קיים פרט רגיש כלשהו.
מה פירוש "היקף ניכר"?
סעיף 17ב1(ב) מונה שיקולים ובהם מספר נושאי המידע, שיעורם באוכלוסייה מסוימת, היקף המידע ומגוונו, משך ותדירות העיבוד ומשך שמירת המידע והתחום הגאוגרפי. אין להמציא סף אחיד של עובדים או לקוחות לקטגוריות הניטור והמידע הרגיש.
לדוגמה, עצם השימוש במערכת תמיכה אינו קובע לבדו חובת מינוי. לעומת זאת, מוצר שעיקר פעילותו מעקב שיטתי אחר מיקום אנשים דורש בדיקה לפי קטגוריית הניטור. התוצאה תלויה במאפייני העיבוד בפועל.
קיבלתם "לא" בכל ארבע השאלות?
אין פירוש הדבר שהארגון פטור מדיני פרטיות. ייתכן שאין חובת DPO אך עדיין חלות חובות ביחס למאגרי מידע, אבטחה, ספקים, שקיפות, זכויות נושאי מידע והעברות מידע.
האם חברה קטנה צריכה DPO? ←שאלות נפוצות
האם כל חברה חייבת DPO?
לא. החובה חלה על קטגוריות של גופים ופעילויות שנקבעו בחוק.
האם מספר העובדים קובע?
לא כשלעצמו. יש לבחון את מאפייני עיבוד המידע והפעילות.
האם אפשר DPO חיצוני?
כן, בכפוף למתכונת שמאפשרת לבצע את התפקיד כנדרש.