בקצרה: החוק מאפשר למנות ממונה על הגנת הפרטיות שהוא עובד הארגון או ממונה חיצוני במיקור חוץ, והרשות להגנת הפרטיות מעדיפה ככלל עובד פנימי. ממונה פנימי מכיר את הארגון לעומק וזמין תמיד; ממונה במיקור חוץ מביא מומחיות משפטית וטכנולוגית רחבה ועלות גמישה. בכל מודל הממונה צריך לדווח למנכ״ל או לגורם הכפוף לו ישירות, להיות נקי מניגוד עניינים ולקבל את המשאבים הנדרשים.
אחרי שארגון מבין שעליו למנות ממונה על הגנת הפרטיות, ההחלטה המעשית הראשונה היא מי ימלא את התפקיד: עובד מתוך הארגון, עובד חדש שיגויס לתפקיד, או ממונה חיצוני שמספק שירות במיקור חוץ. החוק מאפשר את שתי האפשרויות, אבל לכל אחת יתרונות, חסרונות והשלכות שונות. במאמר הזה נשווה בין המודלים ונציע דרך לבחור.
מה החוק והרשות אומרים?
תיקון 13 לחוק הגנת הפרטיות לא מחייב שהממונה יהיה עובד הארגון. לפי עמדת הרשות להגנת הפרטיות, מותר להעסיק ממונה במיקור חוץ, אבל רצוי שהממונה יהיה עובד. בכל מקרה חלים אותם עקרונות: הממונה צריך ידע וכישורים מתאימים, כפיפות ישירה למנכ״ל או לגורם הכפוף לו ישירות, היעדר ניגוד עניינים, ומשאבים ותנאים שיאפשרו לו למלא את תפקידו.
השוואה בין המודלים
| פרמטר | ממונה פנימי | ממונה במיקור חוץ |
|---|---|---|
| היכרות עם הארגון | עמוקה ושוטפת | נבנית לאורך זמן, תלויה בהיקף ההתקשרות |
| זמינות | מלאה, נמצא בשטח | לפי ההסכם, לרוב שעות או ימים קבועים |
| מומחיות | תלויה באדם אחד | לרוב צוות עם ידע משפטי, טכנולוגי ורגולטורי |
| ניסיון רוחבי | ניסיון בארגון אחד | ניסיון ממקרים רבים בארגונים שונים |
| עלות | שכר ועלויות מעסיק קבועות | תשלום לפי היקף, גמיש |
| עצמאות | עלול להיות מושפע מלחצים פנימיים | עצמאות גבוהה יותר מטבע ההתקשרות |
| רציפות | תלויה בעובד אחד; עזיבה יוצרת פער | רציפות דרך הספק גם כשמחליפים איש צוות |
| עמדת הרשות | המודל המועדף | מותר |
מתי ממונה פנימי מתאים יותר?
- ארגונים גדולים עם היקף עיבוד רחב, כמו בתי חולים, בנקים, חברות ביטוח וגופים ציבוריים גדולים, שבהם יש עבודה לתפקיד מלא ולעיתים לצוות.
- ארגונים עם פעילות דינמית שבה מוצרים ומערכות חדשים עולים כל הזמן, ונדרשת מעורבות יומיומית בתהליכי פיתוח.
- ארגונים שיש בהם מועמד מתאים — בעל ידע בדיני פרטיות והבנה טכנולוגית — שאינו ממלא תפקיד שיוצר ניגוד עניינים.
שימו לב: מינוי עובד קיים מחייב לבדוק את תפקידו הנוכחי. לפי הרשות, תפקידים כמו מנהל שיווק, מנהל לקוחות, מנהל כספים, מנהל מערכות מידע או CTO עלולים ליצור ניגוד עניינים.
ההסבר המקצועי: ממונה במיקור חוץ אינו "שירות מרחוק" שמגיע רק כשיש בעיה. כדי שהמודל יעבוד, צריך להגדיר בהסכם היקף שעות, ימי נוכחות, השתתפות בישיבות הנהלה ובאפיון פרויקטים, ואיש קשר פנימי שמרכז את המידע עבור הממונה. בלי זה, הממונה לא יכיר את הארגון מספיק כדי למלא את תפקידו.
מתי מיקור חוץ מתאים יותר?
- ארגונים בינוניים שחייבים במינוי, אבל היקף העבודה אינו מצדיק משרה מלאה.
- ארגונים בלי מועמד פנימי מתאים, או שכל המועמדים הפוטנציאליים נמצאים בניגוד עניינים.
- ארגונים בשלב הקמה של תוכנית הציות, שצריכים ידע מקצועי רחב כדי לבנות את התשתית.
- ארגונים שפועלים בכמה מדינות ונדרש להם ידע גם בדיני הפרטיות האירופיים או האמריקאיים.
מודל משולב
ארגונים רבים בוחרים בדרך ביניים: ממונה חיצוני שנושא בתפקיד הרשמי, לצד רכז פרטיות פנימי שמכיר את הארגון, מרכז מידע, מקבל פניות ומלווה את העבודה השוטפת. אפשרות אחרת היא ממונה פנימי שנעזר ביועץ חיצוני בשאלות משפטיות מורכבות או בהיערכות לאירוע אבטחה. המודל המשולב מאפשר ליהנות מהיתרונות של שני העולמות, בתנאי שמוגדר בבירור מי הממונה בפועל ומה האחריות של כל גורם.
מה חייב להופיע בהסכם עם ממונה חיצוני?
- הגדרת התפקיד והחובות, בהתאם לחוק ולהנחיות הרשות.
- היקף השעות, ימי הנוכחות וזמני התגובה, כולל במצב חירום.
- כפיפות ישירה למנכ״ל או לגורם הכפוף לו ישירות, וגישה להנהלה.
- גישה למידע, למערכות ולבעלי התפקידים הרלוונטיים.
- סודיות, אבטחת מידע ושמירת מסמכים.
- הצהרה על היעדר ניגוד עניינים, ומנגנון לטיפול בניגוד שמתעורר.
- דיווח תקופתי ודוח בקרה שנתי.
- הוראות לסיום ההתקשרות והעברת ידע לממונה הבא.
איך מחליטים?
כדאי לשאול ארבע שאלות: כמה עבודה יש בפועל לממונה בשבוע; האם יש בארגון מועמד מתאים בלי ניגוד עניינים; עד כמה הפעילות משתנה ודורשת מעורבות יומיומית; ומה התקציב. ארגון גדול עם פעילות דינמית יעדיף בדרך כלל ממונה פנימי, ולעיתים עם ליווי חיצוני. ארגון בינוני עם פעילות יציבה ימצא לרוב את מיקור החוץ יעיל יותר. בכל מקרה, החשוב הוא שהממונה יהיה מעורב באמת, ולא רק שם ברשימה. לכישורים הנדרשים מהממונה ראו דרישות ההכשרה והכישורים לתפקיד.
שאלת העלות: מה באמת משווים?
השוואת עלויות בין המודלים צריכה לכלול יותר מהשכר או מהתעריף. בממונה פנימי יש לחשב שכר ועלויות מעסיק, הכשרה מקצועית ועדכון שוטף, כלים וחומרים, וזמן חפיפה כשהעובד עוזב. בממונה חיצוני יש לחשב את התשלום החודשי, שעות נוספות בפרויקטים או באירועים, ואת הזמן שעובדים פנימיים משקיעים בריכוז מידע עבורו. מצד שני, צריך לשקול גם את העלות של טעות: ממונה בלי ניסיון מספיק עלול לפספס פערים שיתגלו רק בבירור מול הרשות או בתביעה. לכן השאלה הנכונה אינה "מה זול יותר", אלא איזה מודל מספק את רמת המומחיות והמעורבות שהארגון צריך במחיר סביר.
טעויות נפוצות בבחירת מודל
למנות עובד קיים "כי הוא מבין במחשבים"
הבנה טכנולוגית היא רק חלק מהדרישות. הממונה צריך גם ידע מעמיק בדיני הפרטיות, ולעיתים עובד מערכות מידע נמצא בניגוד עניינים מובנה.
לבחור ספק חיצוני רק לפי מחיר
ממונה במיקור חוץ עם היקף שעות מזערי לא יכיר את הארגון ולא יוכל לייעץ בזמן אמת. כדאי לבדוק ניסיון בתחום הפעילות, זמינות, ומי בדיוק יהיה הממונה.
לא להגדיר איש קשר פנימי
בלי גורם פנימי שמרכז מידע, מעביר פניות ומקדם משימות, גם הממונה הטוב ביותר יתקשה לעבוד.
להשאיר את המינוי בלי סמכויות
בכל מודל, ממונה שאין לו גישה להנהלה, למידע ולתהליכים אינו ממלא את התפקיד שהחוק קבע.
מעבר בין המודלים
ההחלטה אינה חייבת להיות סופית. ארגונים רבים מתחילים עם ממונה במיקור חוץ שבונה את התשתית — מיפוי, נהלים, הדרכות ותוכנית בקרה — ובשלב מאוחר יותר, כשהפעילות גדלה, מגייסים ממונה פנימי ומשאירים את הספק החיצוני כגורם מייעץ. המעבר ההפוך קורה כשממונה פנימי עוזב ואין לו מחליף מתאים. בשני המקרים חשוב לתכנן חפיפה מסודרת, להעביר את כל המסמכים והתיעוד, ולעדכן את הרשות בפרטי הממונה החדש כשהדבר נדרש. רציפות בתפקיד היא חלק מהציות.
שאלות נפוצות
האם מותר למנות ממונה על הגנת הפרטיות במיקור חוץ?
כן. החוק מאפשר זאת, אם כי לפי עמדת הרשות להגנת הפרטיות רצוי שהממונה יהיה עובד הארגון.
מה היתרון של DPO במיקור חוץ?
מומחיות רחבה, ניסיון ממקרים רבים, עצמאות גבוהה ועלות גמישה שמתאימה לארגונים שאינם צריכים משרה מלאה.
האם ממונה חיצוני צריך לדווח למנכ״ל?
כן. גם ממונה במיקור חוץ צריך לדווח ישירות למנכ״ל או לגורם הכפוף לו ישירות, ולקבל גישה להנהלה ולמידע.
האם אפשר לשלב בין ממונה חיצוני לרכז פנימי?
כן. מודל משולב נפוץ ויעיל, כל עוד מוגדר בבירור מי הממונה בפועל ומה תפקידו של כל גורם.
המידע במאמר הוא כללי ומבוסס על נוסח חוק הגנת הפרטיות, התשמ״א-1981, כפי שתוקן בתיקון מס׳ 13. הוא אינו מהווה ייעוץ משפטי, ובכל מקרה פרטני כדאי להתייעץ עם עורך דין המתמחה בדיני פרטיות.
