בקצרה: חובת מינוי ממונה על הגנת הפרטיות חלה על גופים ציבוריים, על סוחרי מידע עם יותר מ-10,000 איש, ועל גופים שעיסוקם כולל ניטור או עיבוד מידע רגיש בהיקף ניכר. אבל לא כל אחד יכול למלא את התפקיד: הממונה לא ימלא תפקיד נוסף שעלול ליצור חשש לניגוד עניינים, ולא יהיה כפוף למי שעלול ליצור חשש כזה. לפי הרשות, מנהל שיווק, מנהל לקוחות, מנהל כספים, מנהל מערכות מידע ו-CTO הם דוגמאות לתפקידים שאינם מתאימים, וברוב המקרים גם לא ממונה אבטחת המידע.
רוב הדיון הציבורי על הממונה על הגנת הפרטיות מתמקד בשאלה מי חייב למנות אותו. אבל השאלה השנייה — מי יכול לכהן בתפקיד — חשובה לא פחות. ארגון שממנה אדם לא מתאים עלול לגלות שהמינוי אינו עומד בדרישות החוק, ושבפועל אין לו ממונה אפקטיבי. המאמר מסכם את שני הצדדים: חובת המינוי, ומגבלות הכשירות וניגוד העניינים.
חלק א׳: מי חייב למנות
לפי סעיף 17ב1(א) לחוק הגנת הפרטיות, החובה חלה על:
- גוף ציבורי כבעל שליטה, או מחזיק שמעבד מידע עבורו. גוף ביטחוני מוחרג ופועל לפי הסדר נפרד.
- סוחר מידע — בעל שליטה שמטרתו העיקרית איסוף מידע למסירה לאחרים כעיסוק או בתמורה, כולל דיוור ישיר, במאגר של יותר מ-10,000 איש.
- ניטור — בעל שליטה או מחזיק שעיסוקו כולל ניטור שוטף ושיטתי של בני אדם בהיקף ניכר.
- מידע רגיש — בעל שליטה או מחזיק שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר.
בנקים, חברות ביטוח, בתי חולים וקופות חולים מחויבים במפורש. לבדיקה מפורטת ראו שאלון לבדיקה עצמית.
חלק ב׳: מי יכול לכהן
החוק קובע שני תנאים מרכזיים לממונה: כשירות מקצועית והיעדר ניגוד עניינים.
כשירות מקצועית
לפי סעיף 17ב3(א), הממונה צריך ידע וכישורים שנדרשים למילוי התפקיד בצורה נאותה, בהתאם לאופי העיבוד, להיקפו ולמטרותיו. בפועל: ידע מעמיק בדיני הגנת הפרטיות בישראל, הבנה טכנולוגית ואבטחתית מספקת, והיכרות עם פעילות הארגון. מי שאין לו את הרכיבים האלה, או שאינו יכול לרכוש אותם בזמן סביר, אינו מתאים לתפקיד.
היעדר ניגוד עניינים
הממונה לא ימלא תפקיד נוסף שעלול ליצור חשש לניגוד עניינים במילוי תפקידו, ולא יהיה כפוף למי שעלול ליצור חשש כזה. הרעיון פשוט: תפקידו של הממונה הוא לייעץ, לבקר ולהתריע. אם הוא גם זה שמחליט על אופן השימוש במידע, או כפוף למי שמחליט, הוא יתקשה להעיר על ההחלטות האלה.
תפקידים שאינם מתאימים
| תפקיד | למה עלול להיווצר ניגוד עניינים |
|---|---|
| מנהל שיווק | אחראי על קמפיינים שמבוססים על נתוני לקוחות, ויש לו אינטרס להרחיב את השימוש במידע |
| מנהל לקוחות או שירות | קובע איך נאסף ומנוהל מידע על לקוחות |
| מנהל כספים | אחראי על תקציבים, ולעיתים על החלטות שמשפיעות על השקעה באבטחה |
| מנהל מערכות מידע | קובע את אמצעי העיבוד ואת המערכות שבהן נשמר המידע |
| CTO ומנהל פיתוח | מחליט על ארכיטקטורה ועל איסוף נתונים במוצר |
| ממונה אבטחת המידע | פערי ידע, אחריות אישית לאבטחה וחשש לניגוד עניינים; הרשות ממליצה ברוב המקרים להפריד |
הרשימה אינה סגורה. כל תפקיד בכיר שקובע את מטרות העיבוד או את אמצעיו עלול ליצור ניגוד עניינים, וגם תפקידים פחות בכירים עשויים להיות בעייתיים בנסיבות מסוימות.
ההסבר המקצועי: המבחן לניגוד עניינים הוא מהותי ולא פורמלי. השאלה אינה מה התואר של העובד, אלא אם הוא קובע את מטרות העיבוד ואת אמצעיו, או שיש לו אינטרס אישי או מקצועי בתוצאה. ממונה שנדרש לבקר החלטות שהוא עצמו קיבל אינו יכול לבקר באופן אפקטיבי.
ומה לגבי מנכ״ל או בעלים?
המנכ״ל או בעל השליטה בעסק הם, מטבע הדברים, מי שקובעים את מטרות העיבוד. הממונה אמור לדווח להם ולייעץ להם, ולכן אין זה סביר שהם ימלאו בעצמם את התפקיד. בעסק קטן שבו אין בעלי תפקידים נוספים, הפתרון המעשי הוא לרוב ממונה במיקור חוץ.
תפקידים שעשויים להתאים
- יועץ משפטי פנימי — כשאינו מעורב בקבלת ההחלטות העסקיות לגבי עיבוד המידע, ויש לו ידע בדיני פרטיות.
- מנהל ציות או סיכונים — תפקידים שעוסקים מטבעם בבקרה, בתנאי שההחלטות על עיבוד המידע אינן בידיהם.
- ממונה ייעודי — עובד שתפקידו העיקרי הוא הגנת הפרטיות.
- ממונה במיקור חוץ — מותר לפי החוק, אם כי הרשות מעדיפה ככלל עובד פנימי.
גם בתפקידים האלה כדאי לבדוק את הנסיבות הספציפיות: למי העובד כפוף, באילו החלטות הוא משתתף, ואם יש לו אינטרס בתוצאה.
כפיפות ומעמד
גם ממונה כשיר ונקי מניגוד עניינים לא יוכל לתפקד בלי מעמד מתאים. הוא צריך לדווח ישירות למנכ״ל או לגורם הכפוף לו ישירות, ולא להיות כפוף למי שעלול ליצור חשש לניגוד עניינים, כמו מנהל השיווק או מנהל מערכות המידע. הארגון חייב לספק לו את התנאים והמשאבים, ולוודא שהוא מעורב כראוי בנושאים שבתחום אחריותו.
איך בודקים מועמד?
- למפות את כל התפקידים שהמועמד ממלא היום ויימשיך למלא.
- לבדוק אם באחד מהם הוא קובע את מטרות העיבוד או את אמצעיו.
- לבדוק למי הוא כפוף, והאם הממונה עליו מקבל החלטות כאלה.
- לבדוק אם יש לו אינטרס אישי או מקצועי בתוצאות, למשל יעדי מכירות.
- לבחון את הכשירות המקצועית מול אופי העיבוד בארגון.
- לתעד את הבדיקה ואת המסקנה, ולחזור עליה כשתפקידו משתנה.
להרחבה על הכישורים הנדרשים ראו דרישות ההכשרה והכישורים.
מה קורה כשניגוד עניינים מתגלה אחרי המינוי?
תפקידים בארגון משתנים. ממונה שמונה כשהיה יועץ משפטי עשוי לקבל אחריות על תחום עסקי, או ארגון עשוי לעבור שינוי מבני שבו הממונה הופך לכפוף למנהל מערכות המידע. במצבים כאלה צריך לבחון מחדש את המינוי. האפשרויות הן להחזיר את המצב לקדמותו, להעביר את התפקיד הנוסף לאדם אחר, לשנות את הכפיפות, או למנות ממונה חדש. במקרים נקודתיים, כשניגוד העניינים נוגע לנושא מסוים בלבד, אפשר לקבוע שהממונה לא יטפל באותו נושא ושגורם אחר, פנימי או חיצוני, ייתן בו חוות דעת. חשוב לתעד את ההחלטה.
הממונה בקבוצת חברות
בקבוצה עם כמה חברות בנות, עולה השאלה אם אפשר למנות ממונה אחד לכולן. מבחינה מעשית זה נפוץ, בתנאי שהממונה זמין לכל החברות, מכיר את הפעילות של כל אחת מהן, ויש לו את המשאבים לכך. גם כאן צריך לבדוק ניגוד עניינים: ממונה שממלא תפקיד ניהולי באחת החברות עלול להיות בניגוד עניינים כשהוא מייעץ לחברה אחרת בקבוצה שמקבלת ממנה מידע.
הממונה מול הרשות
הממונה משמש איש הקשר של הארגון מול הרשות להגנת הפרטיות. ממונה שנמצא בניגוד עניינים עלול לעורר שאלות דווקא ברגע הרגיש של בירור מול הרגולטור, ולכן בחירה נכונה מראש היא גם הגנה על הארגון.
שאלות נפוצות
מי לא יכול לכהן כממונה על הגנת הפרטיות?
מי שממלא תפקיד שעלול ליצור חשש לניגוד עניינים, או שכפוף למי שעלול ליצור חשש כזה. לפי הרשות, דוגמאות הן מנהל שיווק, מנהל לקוחות, מנהל כספים, מנהל מערכות מידע ו-CTO.
האם ממונה אבטחת המידע יכול לשמש גם DPO?
הרשות ממליצה ברוב המקרים להפריד בין התפקידים, בגלל פערי הידע, החשש לניגוד עניינים והאחריות האישית של ממונה האבטחה.
האם היועץ המשפטי של החברה יכול להיות הממונה?
ייתכן, כשאינו מעורב בהחלטות העסקיות לגבי עיבוד המידע ויש לו ידע בדיני פרטיות. יש לבדוק את הנסיבות הספציפיות.
מה עושה עסק קטן שאין בו מועמד מתאים?
הפתרון המעשי הוא לרוב ממונה במיקור חוץ, שהחוק מאפשר.
המידע במאמר הוא כללי ומבוסס על נוסח חוק הגנת הפרטיות, התשמ״א-1981, כפי שתוקן בתיקון מס׳ 13. הוא אינו מהווה ייעוץ משפטי, ובכל מקרה פרטני כדאי להתייעץ עם עורך דין המתמחה בדיני פרטיות.
