בקצרה: הממונה על הגנת הפרטיות (DPO) הוא מוקד הידע והבקרה של הארגון בתחום הפרטיות. תפקידיו כוללים ייעוץ להנהלה, הכנת תכנית הדרכה ופיקוח עליה, הכנת תכנית בקרה שוטפת ודיווח על ממצאיה, וידוא קיום נוהל אבטחת מידע ומסמך הגדרות מאגר, וידוא טיפול בבקשות עיון ותיקון, ושמירה על קשר עם הרשות להגנת הפרטיות. הממונה מדווח ישירות למנכ״ל או לגורם הכפוף לו ישירות.
אחרי שארגון מגיע למסקנה שעליו למנות ממונה על הגנת הפרטיות, השאלה הבאה היא מה בדיוק הממונה עושה. תיקון 13 לחוק הגנת הפרטיות הגדיר את התפקיד, את מעמדו בארגון ואת החובות של הארגון כלפיו. הבנה נכונה של התפקיד חשובה גם לבחירת המועמד המתאים, גם להגדרת היקף המשרה וגם להצלחת המינוי בפועל.
ששת התפקידים המרכזיים
1. ייעוץ להנהלה ומוקד ידע
הממונה מייעץ להנהלה ולבעלי התפקידים בארגון בכל הנוגע לדיני הפרטיות: השקת מוצר חדש, הכנסת מערכת מידע, התקשרות עם ספק, קמפיין שיווקי שמבוסס על נתוני לקוחות או שינוי במדיניות שמירת המידע. הוא הכתובת הפנימית לשאלות, ומשמש מוקד ידע שמתעדכן בשינויי חקיקה, בהנחיות הרשות ובפסיקה.
2. תכנית הדרכה
הממונה מכין תכנית הדרכה לעובדים ומפקח על ביצועה. ההדרכה צריכה להיות מותאמת לתפקידים: עובדי שירות לקוחות צריכים לדעת איך לזהות בקשת עיון, אנשי שיווק צריכים להכיר את כללי הדיוור והיידוע, ואנשי פיתוח צריכים להכיר עקרונות של פרטיות כבר בשלב התכנון.
3. תכנית בקרה שוטפת
הממונה מכין תכנית בקרה לבדיקת העמידה בחוק ובתקנות, מוודא שהיא מבוצעת ומדווח להנהלה על הממצאים. בקרה יכולה לכלול בדיקת הרשאות, סקירת הסכמים עם ספקים, בדיקת נוסחי יידוע באתר ובטפסים, ובדיקה של מחיקת מידע ישן.
4. נוהל אבטחה ומסמך הגדרות מאגר
הממונה מוודא שקיים נוהל אבטחת מידע ומסמך הגדרות מאגר כנדרש בתקנות אבטחת המידע. הוא אינו בהכרח כותב אותם בעצמו, אבל אחראי לוודא שהם קיימים, עדכניים ותואמים לפעילות.
5. זכויות נושאי המידע
הממונה מוודא שהארגון מטפל כראוי בפניות של אנשים שהמידע עליהם מוחזק, כולל בקשות עיון ותיקון. זה כולל נוהל, זמני תגובה, אימות זהות ותיעוד.
6. איש קשר מול הרשות
הממונה משמש איש הקשר של הארגון מול הרשות להגנת הפרטיות, למשל בבירור מנהלי, בפנייה של הרשות או בדיווח על אירוע.
מעמד הממונה בארגון
כדי שהממונה יוכל למלא את תפקידו, החוק והנחיות הרשות קובעים כמה עקרונות:
- כפיפות ישירה — הממונה מדווח ישירות למנכ״ל או לגורם שכפוף ישירות למנכ״ל.
- משאבים — הארגון חייב לספק לממונה את התנאים והמשאבים הדרושים, ולוודא שהוא מעורב כראוי בנושאים שבתחום אחריותו.
- היעדר ניגוד עניינים — הממונה לא ימלא תפקיד נוסף שעלול ליצור חשש לניגוד עניינים, ולא יהיה כפוף למי שעלול ליצור חשש כזה. לפי הרשות, תפקידים בכירים כמו מנהל שיווק, מנהל לקוחות, מנהל כספים, מנהל מערכות מידע או CTO עלולים ליצור ניגוד כזה.
ההסבר המקצועי: הממונה אינו "מבצע" את הציות לבדו. האחריות לעמידה בחוק נשארת של הארגון כבעל השליטה. הממונה מייעץ, מפקח, מתריע ומדווח, וההנהלה צריכה לספק לו את התנאים והמשאבים ולוודא שהוא מעורב בהחלטות הרלוונטיות.
היחס בין הממונה לממונה אבטחת המידע
בארגונים רבים יש גם ממונה על אבטחת מידע, שלו אחריות אישית לאבטחת המידע לפי החוק. שני התפקידים משיקים, אבל שונים. ממונה האבטחה שואל "האם המידע מוגן?", והממונה על הגנת הפרטיות שואל גם "האם מותר לנו לעבד את המידע הזה, למטרה הזו, בדרך הזו?". הרשות ממליצה ברוב המקרים להפריד בין התפקידים, בגלל פערי הידע הנדרשים, החשש לניגוד עניינים והאחריות האישית של ממונה האבטחה. שני הממונים צריכים לעבוד בשיתוף פעולה הדוק.
יום עבודה של ממונה: דוגמאות
| מצב בארגון | מה הממונה עושה |
|---|---|
| מחלקת השיווק רוצה להשתמש ברשימת לקוחות לקמפיין חדש | בודק שהשימוש תואם למטרת המאגר וליידוע שניתן |
| הארגון בוחר מערכת CRM חדשה בענן | מוודא בדיקת ספק, הסכם עיבוד והגדרת הרשאות |
| לקוח מבקש לראות את המידע שנשמר עליו | מוודא שהבקשה מטופלת לפי הנוהל ובזמן |
| עובד שלח בטעות קובץ לקוחות לנמען חיצוני | מעורב בבירור, בהערכת הסיכון ובשאלת הדיווח |
| פרסום הנחיה חדשה של הרשות | מעדכן את ההנהלה ואת הנהלים הרלוונטיים |
מה הממונה לא עושה?
הממונה אינו מחליף את ההנהלה בקבלת ההחלטות העסקיות, ואינו נושא באחריות לכל הפרה שמתרחשת בארגון. הוא גם אינו אמור להיות מי שמחליט על מטרות העיבוד, כי זה יוצר ניגוד עניינים עם תפקידו כמבקר. ארגון שממנה ממונה רק "על הנייר", בלי משאבים ובלי מעורבות, לא מקבל את התועלת שהחוק התכוון אליה, ועלול להתקשות להראות לרשות שהוא עומד בחובות.
כמה זמן התפקיד דורש?
היקף המשרה תלוי בגודל הארגון, בכמות המידע ובסוגו, ובמורכבות הפעילות. בבית חולים או בחברת ביטוח מדובר בתפקיד מלא ולעיתים בצוות. בארגון בינוני עם פעילות ממוקדת, לעיתים מספיקה משרה חלקית או ממונה במיקור חוץ. ההשוואה בין המודלים מופיעה במאמר DPO פנימי או במיקור חוץ, והכישורים הנדרשים מפורטים בדרישות ההכשרה והכישורים לממונה.
פרטיות כבר בשלב התכנון
אחד התפקידים החשובים של הממונה, גם אם אינו כתוב במילים האלה, הוא להיכנס לתהליכים מוקדם. הרבה יותר זול לתכנן מערכת שאוספת רק את המידע הנדרש, מגדירה הרשאות נכונות ומוחקת מידע אוטומטית, מאשר לתקן מערכת שכבר פועלת. ממונה טוב יושב בישיבות האפיון של מוצרים ומערכות חדשים, שואל אילו נתונים באמת נחוצים, לאיזו מטרה ולמשך כמה זמן, ומציע חלופות שפוגעות פחות בפרטיות. כך הוא הופך מגורם שמעכב פרויקטים לשותף שמונע בעיות לפני שהן נוצרות.
הדוח להנהלה
במסגרת תכנית הבקרה הממונה מדווח להנהלה על הממצאים. דוח טוב אינו רשימת ליקויים בלבד, אלא תמונת מצב שעוזרת להנהלה לקבל החלטות. הוא כולל בדרך כלל:
- מיפוי עדכני של המאגרים ושל סוגי המידע הרגיש.
- ממצאי הבקרות שבוצעו והפערים שהתגלו.
- סטטוס התיקונים מהדוח הקודם.
- נתונים על בקשות עיון ותיקון ועל אירועי אבטחה.
- שינויים בחקיקה ובהנחיות הרשות והשפעתם על הארגון.
- המלצות ותעדוף לתקופה הבאה, כולל משאבים נדרשים.
דיווח סדיר כזה גם מתעד את מאמצי הארגון לעמוד בחוק, ויכול לסייע אם יתעורר בירור מול הרשות.
איך מודדים שהממונה מצליח?
כמה מדדים פשוטים: אחוז העובדים שעברו הדרכה, מספר הפרויקטים שהממונה היה מעורב בהם מראש, זמן הטיפול הממוצע בבקשות עיון, מספר הספקים שנבדקו ונחתם איתם הסכם עיבוד, וירידה במספר האירועים שנגרמו מטעות אנוש.
שאלות נפוצות
מה עושה ממונה על הגנת הפרטיות?
הוא מייעץ להנהלה, מכין ומפקח על תכנית הדרכה, מכין תכנית בקרה ומדווח על ממצאיה, מוודא קיום נוהל אבטחת מידע ומסמך הגדרות מאגר, מוודא טיפול בבקשות עיון ותיקון, ומשמש איש קשר מול הרשות להגנת הפרטיות.
למי מדווח הממונה על הגנת הפרטיות?
ישירות למנכ״ל או לגורם שכפוף ישירות למנכ״ל.
האם הממונה אחראי אישית להפרות בארגון?
האחריות לעמידה בחוק מוטלת על הארגון כבעל השליטה. מי שנושא באחריות אישית לפי החוק הוא ממונה אבטחת המידע, לגבי אבטחת המידע.
האם מנהל מערכות מידע יכול לשמש ממונה?
הרשות מציינת שתפקידים כמו מנהל מערכות מידע או CTO עלולים ליצור ניגוד עניינים, ולכן ברוב המקרים לא כדאי לאחד ביניהם.
המידע במאמר הוא כללי ומבוסס על נוסח חוק הגנת הפרטיות, התשמ״א-1981, כפי שתוקן בתיקון מס׳ 13. הוא אינו מהווה ייעוץ משפטי, ובכל מקרה פרטני כדאי להתייעץ עם עורך דין המתמחה בדיני פרטיות.
