האם העסק שלכם חייב למנות ממונה על הגנת הפרטיות?
התשובה תלויה במידע, לא בגודל.
תיקון 13 לחוק הגנת הפרטיות הוסיף לראשונה חובת מינוי ממונה על הגנת הפרטיות (DPO) - אבל לא לכל עסק. החובה חלה על ארבע קטגוריות בלבד, ומספר העובדים או המחזור אינם המבחן. סטארטאפ בן עשרה עובדים יכול להיות חייב, וחברה גדולה יכולה להיות פטורה. כך בודקים איפה אתם עומדים.
ארבע הקטגוריות שחייבות למנות ממונה
החוק (סעיפים 17ב1-17ב2) מטיל חובת מינוי על: בעל שליטה במאגר שהוא גוף ציבורי כהגדרתו בסעיף 23, או מחזיק במאגר כזה, למעט גוף ביטחוני כהגדרתו בחוק; בעל מאגר שמטרתו העיקרית היא איסוף מידע אישי כדי למסור אותו לאחרים כדרך עיסוק או בתמורה, ובמאגר מידע על יותר מ-10,000 בני אדם - למשל עסק שמוכר רשימות לדיוור של אחרים; בעל שליטה או מחזיק שעיסוקו העיקרי כרוך בעיבוד מידע המחייב ניטור שוטף ושיטתי של בני אדם בהיקף ניכר, לרבות מעקב אחר התנהגות, מיקום או פעולות; ובעל שליטה או מחזיק שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר - החוק מציין בין השאר בנק, מבטח, בית חולים כללי וקופת חולים.
בבדיקת "היקף ניכר" סעיף 17ב1(ב) דורש להתחשב, בין השאר, במספר נושאי המידע ובשיעורם באוכלוסייה מסוימת, בטווח סוגי המידע ובכמותו, במשך ובתדירות העיבוד, במשך השמירה ובתחום הגאוגרפי. שימו לב גם למילים "עיסוקו העיקרי": חברה שיש לה הרבה מידע, אבל ליבת העסק שלה אינה ניטור אנשים או עיבוד מידע רגיש במיוחד, לא נכנסת לקטגוריות רק בגלל היקף המידע. כדאי לתעד את הבדיקה, ולא להסתפק במספר העובדים.
דוגמה: שני עסקים קטנים, שתי תשובות שונות
סטודיו לעיצוב עם 6 עובדים, אתר ורשימת תפוצה: אינו גוף ציבורי, אינו סוחר מידע, עיסוקו העיקרי אינו ניטור שיטתי ואינו עיבוד מידע רגיש במיוחד - אין חובת מינוי. לעומתו, אפליקציית בריאות עם 12 עובדים שמעבדת נתוני מדדים רפואיים של מאות אלפי משתמשים: גם אם אין לה היום הכנסות, עיסוקה העיקרי כרוך בעיבוד מידע בעל רגישות מיוחדת בהיקף ניכר - וייתכן מאוד שחלה עליה חובת המינוי. אותו מבחן חל גם על פלטפורמת פרסום שמנטרת התנהגות גולשים באופן שיטתי כעיסוקה העיקרי: מספר העובדים לא ישנה את התוצאה.
מי יכול לכהן כממונה - ומה התנאים?
הממונה יכול להיות עובד הארגון או גורם חיצוני. לפי סעיף 17ב3 נדרשים ידע מעמיק בדיני הגנת הפרטיות, הבנה הולמת בטכנולוגיה ובאבטחת מידע והיכרות עם פעילות הארגון ומטרותיו, בהתאמה לאופי העיבוד, נסיבותיו, היקפו ומטרותיו. לפי סעיף 17ב2, הדיווח יהיה ישירות למנכ"ל או לעובד הכפוף אליו ישירות. הארגון חייב לספק תנאים ומשאבים למילוי התפקיד ולערב את הממונה כראוי בנושאי פרטיות. אסור לממונה למלא תפקיד נוסף או להיות כפוף לנושא משרה אם הדבר עלול ליצור חשש לניגוד עניינים. לכן בודקים את סמכויותיו בפועל ואת מבנה הכפיפות, ולא פוסלים או מאשרים אדם לפי תואר התפקיד בלבד.
נראה שאתם נכנסים לאחת הקטגוריות? שלחו כמה פרטים על הארגון, הפעילות והמידע שאתם מעבדים - ונבדוק את חובת המינוי.
בדיקת חובת DPOפנייה ישירה לעו״ד עמית מלדסימה הממונה אמור לעשות בפועל?
סעיף 17ב2 מונה תפקידים מעשיים: לייעץ להנהלה ולעובדים, להכין תוכנית הדרכה ולפקח על ביצועה; להכין תוכנית לבקרה שוטפת, לוודא ביצוע, לדווח על ממצאים ולהציע תיקונים; לוודא קיומם של נוהל אבטחת מידע ומסמך הגדרות מאגר שיובאו לאישור ההנהלה; לוודא טיפול בפניות נושאי מידע ולפרסם דרכי התקשרות נגישות; ולשמש איש קשר מול הרשות. גילוי הדעת הסופי של הרשות מ-26 ביולי 2026 מפרט את תחולת החובה והכישורים הנדרשים.
כמה זה עולה כשחייבים ולא ממנים?
חובת המינוי אינה המלצה, אך מסלול האכיפה אינו זהה בכל הקטגוריות. בנוסח תיקון 13, סעיף 23כו(ד)(1)(ג) קובע עיצום ישיר על אי-מינוי בגופים שבקטגוריות 1 ו-2: סכומי בסיס של 2 שקלים לאדם, או 4 שקלים במידע בעל רגישות מיוחדת; סעיף 23כו(ד)(3) מאפשר להעמיד סכום נמוך על 20,000 או 40,000 שקלים, בהתאמה. ההבחנה אינה תלויה במספר של 100,000 אנשים. בקטגוריות 3 ו-4, סעיף 23כה(ד)(5) מסדיר הוראה להפסקת ההפרה; סעיף 23כו(ד)(1)(ז) מאפשר בצו להרחיב את העיצום על אי-ציות להוראת הרשות גם לקטגוריות אלה. לכן אין להציג את הנוסחה כקנס אוטומטי לכל ארגון שחייב במינוי. הסכומים בחוק הם סכומי בסיס הכפופים למנגנון עדכון, ויש לבדוק את המסלול והסכום העדכני במקרה קונקרטי. תקנות ההתראה המינהלית מאפשרות התראה רק בנסיבות המוגדרות בהן, לא פטור כללי להפרה ראשונה.
אין חובה? זה לא סוף הסיפור
היעדר חובת מינוי אינו מבטל אף חובה אחרת: שקיפות והודעות בעת איסוף מידע, אבטחת מידע לפי תקנות 2017, הסכמי עיבוד מול ספקים, זכויות עיון ותיקון והעברות מידע לחו"ל חלות כרגיל. הרשות ממליצה לכל ארגון המעבד מידע אישי בהיקף משמעותי למנות ממונה גם מרצון, כפרקטיקה נכונה - ולקוחות אנטרפרייז רבים מצפים לכך בבדיקות הנאותות שלהם.
צ'ק-ליסט: בדיקה ראשונית של חובת מינוי
- האם אתם בעל שליטה שהוא גוף ציבורי או מחזיקים מאגר כאמור, ואינכם גוף ביטחוני המוחרג בחוק?
- האם מטרתו העיקרית של המאגר היא איסוף מידע כדי למסור אותו לאחרים כדרך עיסוק או בתמורה, ויש בו מידע על יותר מ-10,000 בני אדם?
- האם ליבת הפעילות כרוכה בניטור שוטף ושיטתי של אנשים - התנהגות, מיקום, פעולות - בהיקף ניכר?
- האם עיקר העיסוק כולל עיבוד מידע בעל רגישות מיוחדת (בריאות, ביומטרי, פיננסי ועוד) בהיקף ניכר?
- אם עניתם כן על אחת מהן: תכננו מינוי - כשירות, דיווח למנכ"ל או לעובד הכפוף אליו ישירות, הימנעות מניגוד עניינים.
- תעדו את הבדיקה ואת המסקנה, גם אם יצא "לא חייבים".
- אם הממונה חיצוני: ודאו שההסכם מכסה את תנאי החוק ולא רק שעות ייעוץ.
- קבעו נקודת בדיקה חוזרת - פעילות חדשה או צמיחה יכולות לשנות את התשובה.
רוצים לעבור על הצ'ק-ליסט מול הפעילות שלכם? שיחה קצרה מספיקה כדי לדעת איפה אתם עומדים.
בדיקת חובת DPOפנייה ישירה לעו״ד עמית מלדסישאלות נפוצות
האם כל עסק חייב למנות ממונה על הגנת הפרטיות?
לא. החובה חלה על ארבע קטגוריות בלבד: בעלי שליטה במאגר שהם גופים ציבוריים או מחזיקים במאגר כאמור, למעט גוף ביטחוני; בעלי מאגר שמטרתו העיקרית מסירת מידע לאחרים כדרך עיסוק או בתמורה עם מידע על יותר מ-10,000 בני אדם; בעלי שליטה או מחזיקים שעיסוקם העיקרי כרוך בניטור שוטף ושיטתי של אנשים בהיקף ניכר; ובעלי שליטה או מחזיקים שעיסוקם העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר. שאר העסקים פטורים מהחובה, אך יתר חובות החוק חלות עליהם כרגיל.
האם הממונה חייב להיות עובד של הארגון?
לא. החוק מתיר במפורש מינוי של גורם שאינו עובד הארגון. התנאים המהותיים זהים: ידע מעמיק בדיני פרטיות, הבנה הולמת בטכנולוגיה ובאבטחת מידע והיכרות עם פעילות הארגון ומטרותיו, בהתאמה לעיבוד; דיווח ישיר למנכ"ל או לעובד הכפוף אליו ישירות; והיעדר תפקיד או כפיפות העלולים ליצור חשש לניגוד עניינים.
מה הקנס על אי-מינוי ממונה כשקיימת חובה?
אין נוסחת קנס אחת לכל החייבים. סעיף 23כו(ד) בנוסח תיקון 13 מתייחס לאי-מינוי בקטגוריות 1 ו-2, בסכומי בסיס של 2 או 4 שקלים לאדם לפי רגישות המידע, ובסכומי מינימום אפשריים של 20,000 או 40,000 שקלים בהתאמה. קטגוריות 3 ו-4 כפופות למסלול הוראה להפסקת הפרה, והחוק מאפשר בצו הרחבת העיצום על אי-ציות להוראה. יש לבדוק מסלול אכיפה וסכומים מעודכנים לפני חישוב.
שמענו שהאכיפה נדחתה - עדיין אפשר לחכות?
הרשות דחתה את אכיפת חובת המינוי עד 31 באוקטובר 2025, והמועד חלף. ב-26 ביולי 2026 פורסם גילוי הדעת הסופי של הרשות בנושא, ולא נכון להסתמך על הדחייה הישנה. מי שנכנס לאחת הקטגוריות צריך להסדיר את המינוי, לא לחכות לאכיפה.
מה ההבדל בין ממונה פרטיות לממונה אבטחת מידע?
חובת מינוי ממונה אבטחת מידע נקבעת בסעיף 17ב לחוק, ותקנות אבטחת המידע מ-2017 מסדירות היבטים של עבודתו, הממוקד באבטחת המאגרים עצמם. ממונה הגנת הפרטיות בתיקון 13 הוא תפקיד רחב יותר: פיקוח על קיום החוק כולו - שקיפות, הרשאות, זכויות נושאי מידע, עבודה מול ספקים והכשרת עובדים. אדם אחד יכול למלא את שני התפקידים, בתנאי שאין ניגוד עניינים ושיש לו את הכישורים לשניהם.
אין לנו חובה - שווה למנות ממילא?
הרשות ממליצה על מינוי וולונטרי כפרקטיקה נכונה לארגונים שמעבדים מידע בהיקף משמעותי. מעבר לכך, לקוחות עסקיים רבים - בעיקר אנטרפרייז - מצפים לראות אחראי פרטיות מוגדר בשאלוני ספקים ובבדיקות נאותות. מינוי מסודר, גם מרצון, הוא נכס מסחרי ולא רק עמידה ברגולציה.
מקורות לקריאה ולעיון:
· חוק הגנת הפרטיות (תיקון מס' 13), התשפ"ד-2024, ספר החוקים 3287 - חובת מינוי ממונה ותנאי הכהונה (סעיפים 17ב1-17ב3) ושיעורי העיצומים הכספיים (סעיף 23כו): https://fs.knesset.gov.il/25/law/25_lsr_4810658.pdf
· הרשות להגנת הפרטיות - מדיניות אי-אכיפה זמנית ביחס לחובת מינוי ממונה (עד 31.10.2025): http://www.gov.il/he/pages/enforcement25
· הרשות להגנת הפרטיות - גילוי דעת סופי בנושא מינוי ממונה על הגנת הפרטיות בארגון, 26.7.2026 (עודכן 13.10.2026): http://www.gov.il/he/pages/amendment-13-26-07-26
· הרשות להגנת הפרטיות - תקנות הגנת הפרטיות (התראה מינהלית), התשפ"ו-2026 (בתוקף מ-16.4.2026): http://www.gov.il/he/pages/2026_regulations