בקצרה: סעיף 17ב3(א) לחוק הגנת הפרטיות קובע שהממונה על הגנת הפרטיות צריך ידע וכישורים הנדרשים למילוי התפקיד בצורה נאותה, בהתאם לאופי העיבוד, להיקפו ולמטרותיו. בפועל נדרשים ידע מעמיק בדיני הגנת הפרטיות בישראל, הבנה טכנולוגית ואבטחתית מספקת, והיכרות עם תחומי הפעילות של הארגון. החוק אינו מחייב תואר או הסמכה מסוימים, אבל הכשרה מקצועית כמו CIPP/E או קורסים ייעודיים מחזקת את הכשירות.
אחת השאלות הנפוצות של ארגונים שחייבים במינוי ממונה על הגנת הפרטיות היא מה צריך לדעת מי שממלא את התפקיד. האם חייבים עורך דין? האם צריך הסמכה בינלאומית? ומה לגבי ידע טכנולוגי? תיקון 13 לחוק הגנת הפרטיות לא קבע רשימת תארים או תעודות, אלא עיקרון כללי: הממונה צריך את הידע והכישורים שנדרשים כדי למלא את התפקיד בצורה נאותה בארגון הספציפי. במאמר נפרק את העיקרון הזה לדרישות מעשיות.
מה החוק קובע?
לפי סעיף 17ב3(א), הממונה צריך "ידע וכישורים הנדרשים למילוי התפקיד בצורה נאותה". היקף הידע נקבע לפי אופי העיבוד שהארגון מבצע, היקפו ומטרותיו. הרשות להגנת הפרטיות פירטה שלושה רכיבים מרכזיים:
- ידע מעמיק בדיני הגנת הפרטיות בישראל.
- הבנה טכנולוגית ואבטחתית מספקת.
- היכרות עם תחומי הפעילות של הארגון ומטרותיו.
רכיב 1: ידע משפטי
הממונה צריך להכיר לעומק את חוק הגנת הפרטיות, התשמ״א-1981, על כל פרקיו, ובמיוחד את הפרק על מאגרי מידע ואת השינויים של תיקון 13. מעבר לחוק עצמו, נדרשת היכרות עם:
- תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017, כולל רמות האבטחה והחובות לפי כל רמה.
- התקנות בנושא מידע שהועבר לישראל מהאזור הכלכלי האירופי.
- התקנות בנושא העברת מידע אל מחוץ לגבולות המדינה.
- גילויי הדעת וההנחיות של הרשות להגנת הפרטיות.
- חקיקה מגזרית שרלוונטית לארגון, למשל בתחום הבריאות, הבנקאות, האשראי או העבודה.
- פסיקה מרכזית, במיוחד בתחום פרטיות העובדים והתביעות הייצוגיות.
ארגונים שפועלים גם מחוץ לישראל צריכים ממונה שמכיר את ה-GDPR, ולעיתים גם את דיני הפרטיות בארצות הברית.
רכיב 2: הבנה טכנולוגית ואבטחתית
הממונה אינו חייב להיות מהנדס תוכנה או מומחה סייבר, אבל הוא צריך להבין איך מידע זורם בארגון. זה כולל הבנה של מערכות מידע, שירותי ענן, ניהול הרשאות, הצפנה, גיבויים, לוגים, ניטור, וממשקים בין מערכות. בלי הבנה כזו הממונה לא יוכל להעריך סיכונים, לקרוא מסמך הגדרות מאגר, לבדוק ספק או לשוחח באופן מקצועי עם ממונה אבטחת המידע ועם צוותי הפיתוח.
ההסבר המקצועי: רמת הידע הנדרשת אינה אחידה לכל הארגונים. החוק קושר אותה לאופי העיבוד, להיקפו ולמטרותיו. ממונה בבית חולים או בחברת ביטוח צריך מומחיות עמוקה במידע רפואי או פיננסי ובמערכות מורכבות, ואילו בארגון עם פעילות פשוטה יותר הדרישה מתונה יותר.
רכיב 3: היכרות עם הארגון
ממונה שמכיר את החוק ואת הטכנולוגיה אבל לא מכיר את הארגון יתקשה לתת ייעוץ מעשי. הוא צריך להבין את המוצרים והשירותים, את סוגי הלקוחות, את תהליכי העבודה, את הספקים המרכזיים ואת האסטרטגיה העסקית. בממונה פנימי ההיכרות נבנית מטבע הדברים; בממונה במיקור חוץ צריך להשקיע בכך בתחילת ההתקשרות ובאופן שוטף.
כישורים רכים שלא כתובים בחוק
| כישור | למה הוא חשוב |
|---|---|
| תקשורת | להסביר דרישות משפטיות להנהלה ולעובדים בשפה פשוטה |
| עצמאות ואומץ מקצועי | להתריע על הפרות גם כשזה לא נוח להנהלה |
| חשיבה עסקית | להציע פתרונות שמאפשרים לעסק להתקדם, לא רק להגיד "לא" |
| ניהול פרויקטים | לקדם תוכנית ציות עם מחלקות רבות ומשאבים מוגבלים |
| יושרה ודיסקרטיות | הממונה נחשף למידע רגיש ולתקלות פנימיות |
האם חייבים עורך דין?
לא. החוק אינו מחייב שהממונה יהיה עורך דין, והוא גם אינו פוסל בעלי רקע אחר. בפועל, ממונים מגיעים מרקע משפטי, מרקע של אבטחת מידע ומערכות מידע, מרקע של ציות ורגולציה ומרקע של ניהול סיכונים. המפתח הוא השילוב: ממונה מרקע משפטי צריך להשלים ידע טכנולוגי, וממונה מרקע טכנולוגי צריך להשלים ידע משפטי מעמיק. בארגונים גדולים ניתן לבנות צוות שמשלב את שני הסוגים.
הסמכות והכשרות מקצועיות
החוק אינו מכיר בהסמכה מסוימת כתנאי, אבל הסמכות מקצועיות הן דרך טובה להוכיח ידע ולבנות אותו באופן שיטתי:
- CIPP/E של הארגון הבינלאומי IAPP — הסמכה בדיני הפרטיות האירופיים וה-GDPR, מוכרת בעולם.
- CIPP/US — הסמכה בדיני הפרטיות בארצות הברית.
- CIPM — ניהול תוכנית פרטיות בארגון.
- CIPT — פרטיות בטכנולוגיה ובפיתוח מוצרים.
- קורסים ותוכניות הכשרה בישראל שמתמקדים בחוק הישראלי ובתיקון 13.
מכיוון שההסמכות הבינלאומיות אינן מכסות את החוק הישראלי, ממונה בישראל צריך להשלים ידע מקומי בכל מקרה.
התעדכנות שוטפת
תחום הפרטיות משתנה מהר: הנחיות חדשות של הרשות, פסיקה, טכנולוגיות חדשות כמו בינה מלאכותית, ושינויים בחקיקה בעולם. ממונה צריך זמן ותקציב להשתלמויות, לקריאה מקצועית ולהשתתפות בכנסים. הארגון חייב לספק לממונה את התנאים והמשאבים הנדרשים, וזה כולל גם את ההתעדכנות המקצועית.
לתפקידים שהממונה ממלא ראו תפקידי הממונה על הגנת הפרטיות, ולמגבלות על מי יכול לכהן — מי חייב למנות ומי לא יכול לכהן.
איך בוחנים מועמד לתפקיד?
ראיון לתפקיד ממונה צריך לבדוק את שלושת הרכיבים, ולא רק קורות חיים. כמה שאלות שכדאי לשאול:
- מה ההבדל בין בעל שליטה למחזיק, ואיך זה משפיע על הסכם עם ספק ענן?
- אילו סוגי מידע נחשבים לבעלי רגישות מיוחדת, ואילו מהם קיימים לדעתך בארגון שלנו?
- מחלקת השיווק רוצה להשתמש בנתוני רכישה כדי לבנות פרופילים ללקוחות. מה תבדוק?
- עובד דיווח שמחשב נייד עם קבצי לקוחות נגנב. מה הצעדים הראשונים?
- איך תבנה תכנית בקרה שנתית לארגון בגודל שלנו?
- איך אתה מתעדכן בהנחיות הרשות ובפסיקה?
כדאי גם לבקש דוגמה למסמך שהמועמד כתב, כמו נוהל או חוות דעת, ולבדוק אם הוא מסביר נושא מורכב בשפה ברורה.
תוכנית קליטה לממונה חדש
גם ממונה מנוסה צריך זמן כדי להכיר את הארגון. תוכנית קליטה טובה כוללת פגישות עם ההנהלה ועם מנהלי המחלקות, סקירה של המאגרים ושל מסמכי האבטחה הקיימים, היכרות עם הספקים המרכזיים, וקביעת יעדים לרבעון הראשון. כך הממונה מתחיל לעבוד על בסיס תמונת מצב מלאה, ולא לפי הנחות.
הכשרה לעובדים — לא רק לממונה
הממונה אחראי להכין תכנית הדרכה לעובדים ולפקח עליה. גם הכשרת הממונה עצמו צריכה לכלול כלים להדרכה: איך מסבירים פרטיות לעובדי שירות, למפתחים ולמנהלים, ואיך מודדים שההדרכה הצליחה.
שאלות נפוצות
מה הכישורים הנדרשים לממונה על הגנת הפרטיות?
ידע מעמיק בדיני הגנת הפרטיות בישראל, הבנה טכנולוגית ואבטחתית מספקת, והיכרות עם תחומי הפעילות של הארגון. היקף הידע נקבע לפי אופי העיבוד, היקפו ומטרותיו.
האם הממונה חייב להיות עורך דין?
לא. החוק אינו מחייב רקע משפטי פורמלי, אבל הממונה חייב ידע מעמיק בדיני הפרטיות.
האם הסמכת CIPP/E חובה?
לא. היא הסמכה בינלאומית מוכרת ב-GDPR שמחזקת את הכשירות, אבל אינה מכסה את החוק הישראלי ואינה תנאי בחוק.
האם הארגון צריך לממן הכשרה לממונה?
החוק מחייב את הארגון לספק לממונה את התנאים והמשאבים הנדרשים למילוי תפקידו, וזה כולל באופן טבעי התעדכנות מקצועית.
המידע במאמר הוא כללי ומבוסס על נוסח חוק הגנת הפרטיות, התשמ״א-1981, כפי שתוקן בתיקון מס׳ 13. הוא אינו מהווה ייעוץ משפטי, ובכל מקרה פרטני כדאי להתייעץ עם עורך דין המתמחה בדיני פרטיות.
