בקצרה: כדי לדעת אם הארגון שלכם מחויב במינוי ממונה על הגנת הפרטיות (DPO), עברו על חמש שאלות: האם אתם גוף ציבורי או מעבדים מידע עבור גוף ציבורי; האם המטרה העיקרית של מאגר שלכם היא מסירת מידע לאחרים, עם יותר מ-10,000 איש; האם העיסוק שלכם כולל ניטור שוטף ושיטתי של בני אדם בהיקף ניכר; האם העיסוק העיקרי שלכם כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר; והאם אתם בנק, חברת ביטוח, בית חולים או קופת חולים. תשובה חיובית לאחת מהן מחייבת מינוי.
מאז כניסת תיקון 13 לחוק הגנת הפרטיות לתוקף באוגוסט 2025, ארגונים רבים מנסים להבין אם החובה למנות ממונה על הגנת הפרטיות חלה עליהם. התשובה אינה תלויה בגודל הארגון או במחזור שלו, אלא בסוג הפעילות ובסוג המידע. השאלון שלפניכם מבוסס על סעיף 17ב1 לחוק, ועוזר לבצע בדיקה ראשונית מסודרת. הוא אינו מחליף בדיקה משפטית, אבל מאפשר להגיע אליה עם התשובות הנכונות.
לפני שמתחילים: שלושה מושגים
- בעל שליטה — הארגון שקובע את מטרות העיבוד של המידע.
- מחזיק — גורם חיצוני שמעבד מידע עבור בעל השליטה, למשל ספק ענן או חברת שירות.
- מידע בעל רגישות מיוחדת — בין היתר מידע רפואי, גנטי, ביומטרי, עבר פלילי, דעות פוליטיות ואמונות דתיות, צנעת חיי המשפחה ונטייה מינית, הערכת אישיות, נתוני שכר ופעילות פיננסית, ומידע שחלה עליו חובת סודיות לפי דין.
שאלה 1: האם אתם גוף ציבורי, או מעבדים מידע עבור גוף ציבורי?
גוף ציבורי כולל משרדי ממשלה, רשויות מקומיות, גופים שממלאים תפקיד ציבורי לפי דין וגופים שנכללו בצו שקובע גופים ציבוריים, כמו קופות חולים, בתי חולים ומוסדות להשכלה גבוהה. אם אתם ספק שמעבד מידע אישי עבור גוף כזה — למשל מפעילים מוקד עבור עירייה או מערכת מידע עבור משרד ממשלתי — גם אתם עשויים להיות חייבים.
אם כן: חובת מינוי. גוף ביטחוני מוחרג ומחויב בהסדר נפרד.
ההסבר המקצועי: כדאי לענות על השאלון לא רק לגבי הארגון כבעל שליטה, אלא גם לגבי השירותים שהוא נותן לאחרים. בקבוצות הגוף הציבורי, הניטור והמידע הרגיש, החובה חלה גם על מחזיק. ספק טכנולוגיה עשוי לגלות שהוא חייב במינוי בגלל המידע של הלקוחות שלו, ולא בגלל המידע שלו עצמו.
שאלה 2: האם המטרה העיקרית של מאגר שלכם היא מסירת מידע לאחרים?
בדקו אם יש לכם מאגר שמטרתו העיקרית איסוף מידע כדי למסור אותו לאחרים כעיסוק או בתמורה, כולל שירותי דיוור ישיר לצדדים שלישיים, ואם יש בו מידע על יותר מ-10,000 בני אדם. שיווק ישיר ללקוחות שלכם עצמכם אינו נכנס לקבוצה הזו.
אם כן: חובת מינוי, וגם חובת רישום המאגר.
שאלה 3: האם העיסוק שלכם כולל ניטור שוטף ושיטתי של בני אדם בהיקף ניכר?
סמנו אם אחד מהבאים מתאר אתכם:
- אתם עוקבים אחרי מיקום של משתמשים, עובדים או רכבים באופן רציף.
- אתם בונים פרופילים התנהגותיים על סמך גלישה, רכישות או שימוש באפליקציה.
- אתם מפעילים מערכות מצלמות או זיהוי בהיקף גדול כחלק מהשירות.
- אתם מנתחים נתוני שימוש באופן שוטף לצורך התאמה אישית או פרסום.
אם אחד מהם נכון, בדקו את ההיקף: על כמה אנשים, באיזו תדירות ולאורך כמה זמן. החוק לא קובע מספר, והבדיקה נעשית לפי מכלול הנתונים.
אם כן, ובהיקף ניכר: חובת מינוי.
שאלה 4: האם העיסוק העיקרי שלכם כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר?
השאלה כאן אינה אם יש לכם מידע רגיש — כמעט לכל ארגון יש נתוני שכר של עובדים — אלא אם עיבוד המידע הזה הוא חלק מרכזי מהשירות שאתם מספקים. דוגמאות: מרפאות ומכונים רפואיים, מעבדות, חברות ביטוח, גופים פיננסיים, חברות השמה שמבצעות מבחני אישיות, חברות שמנהלות מערכות מידע רפואי או פיננסי עבור אחרים, ומשרדים שמחזיקים מידע חסוי על לקוחות רבים.
אם כן, ובהיקף ניכר: חובת מינוי.
שאלה 5: האם אתם בנק, חברת ביטוח, בית חולים או קופת חולים?
הגופים האלה מחויבים במפורש בחוק, ואינם צריכים לבחון את השאלות האחרות.
אם כן: חובת מינוי.
איך לקרוא את התוצאה
| תוצאה | המשמעות | מה עושים |
|---|---|---|
| "כן" ברור לפחות בשאלה אחת | חלה חובת מינוי | למנות ממונה, להגדיר כפיפות ומשאבים, ולמסור את פרטיו לרשות כשנדרשת הודעה |
| תשובה גבולית בשאלות 3 או 4 | תלוי בהיקף ובאופי הפעילות | לבצע בדיקה משפטית מתועדת, ולשקול מינוי מרצון |
| "לא" בכל השאלות | אין חובת מינוי | לתעד את הבדיקה, ולעמוד ביתר חובות החוק |
גם אם אין חובה — מה עדיין חל עליכם?
גם ארגון שאינו חייב במינוי חייב לעמוד בכל יתר הוראות החוק: חובת היידוע, הגבלת מטרה, תקנות אבטחת המידע, זכות העיון והתיקון, ופיקוח על ספקים. חשוב גם לבדוק את החובה הנפרדת למנות ממונה על אבטחת מידע, שחלה בין היתר על גופים ציבוריים, בנקים, חברות ביטוח וחברות דירוג אשראי, ועל מי שמחזיק חמישה מאגרים ומעלה שחייבים ברישום או בהודעה לרשות.
מינוי מרצון יכול להיות החלטה עסקית נבונה: הוא משפר את רמת הציות, עונה על דרישות של לקוחות עסקיים ושותפים בחו״ל, ומזכה בהפחתה של 10% בעיצום אם יוטל בגין הפרה אחרת.
תיעוד הבדיקה
מומלץ לשמור מסמך קצר שמפרט את השאלות, את התשובות, את הנתונים שעליהם התבססו (מספר נושאי מידע, סוגי מידע, היקף ניטור) ואת המסקנה, עם תאריך ושם הגורם שביצע את הבדיקה. כדאי לחזור על הבדיקה לפחות פעם בשנה, ובכל שינוי מהותי בפעילות. לניתוח מעמיק של כל קבוצה ראו חובת מינוי DPO לפי תיקון 13, ולאחר ההחלטה — DPO פנימי או במיקור חוץ.
שלוש דוגמאות מהשטח
רשת מרפאות שיניים
הרשת מטפלת בעשרות אלפי מטופלים ומחזיקה תיקים רפואיים, צילומים ונתוני תשלום. עיבוד מידע רפואי הוא לב השירות שלה, וההיקף משמעותי. סביר שהתשובה לשאלה 4 חיובית, והרשת חייבת במינוי.
חברת תוכנה לניהול משמרות
החברה מספקת מערכת שבה מעסיקים מנהלים נוכחות, מיקום כניסה ויציאה ושעות עבודה של עשרות אלפי עובדים. היא מחזיק שמעבד מידע עבור לקוחותיה, והמערכת כוללת מעקב שוטף אחרי נוכחות ומיקום. כאן צריך לבחון היטב את שאלה 3, ולעיתים גם את שאלה 1 אם חלק מהלקוחות הם גופים ציבוריים.
משרד אדריכלים עם 15 עובדים
המשרד מחזיק פרטי קשר של לקוחות, תוכניות ומידע על עובדיו. אין לו ניטור, אין עיבוד מידע רגיש כעיסוק עיקרי, והוא אינו גוף ציבורי. סביר שאין חובת מינוי, אבל כל יתר חובות החוק חלות עליו.
שאלות נפוצות
איך יודעים אם הארגון חייב למנות DPO?
בודקים אם הארגון גוף ציבורי או מחזיק שלו, סוחר מידע עם יותר מ-10,000 איש, גוף שעיסוקו כולל ניטור שוטף ושיטתי בהיקף ניכר, גוף שעיסוקו העיקרי כולל עיבוד מידע רגיש בהיקף ניכר, או בנק, חברת ביטוח, בית חולים או קופת חולים.
האם החובה תלויה במספר העובדים בארגון?
לא. החובה נקבעת לפי סוג הפעילות וסוג המידע, ולא לפי מספר העובדים או גובה המחזור.
מה עושים כשהתשובה לא ברורה?
מבצעים בדיקה משפטית מתועדת ובוחנים את היקף הפעילות. ארגונים רבים בוחרים במקרים כאלה במינוי מרצון.
האם כדאי לתעד בדיקה שהגיעה למסקנה שאין חובה?
כן. תיעוד כזה מראה שהארגון בחן את החובה ברצינות, והוא שימושי בבדיקות חוזרות ומול הרשות.
המידע במאמר הוא כללי ומבוסס על נוסח חוק הגנת הפרטיות, התשמ״א-1981, כפי שתוקן בתיקון מס׳ 13. הוא אינו מהווה ייעוץ משפטי, ובכל מקרה פרטני כדאי להתייעץ עם עורך דין המתמחה בדיני פרטיות.
