1. גילוי הדעת הסופי: למה הוא חשוב עכשיו?

בשבוע שעבר פרסמה הרשות להגנת הפרטיות גילוי דעת סופי בעניין מינוי ממונה על הגנת הפרטיות (DPO) בארגונים, בהמשך לטיוטה שפורסמה ביולי 2025.

גילוי הדעת אינו משנה את החוק ואינו יכול ליצור כשלעצמו חובת מינוי חדשה, אך הרשות מבהירה כי הפרשנות שבו תשמש אותה בפיקוח ובאכיפה. המשמעות היא שגם ארגונים שסברו עד כה כי אינם חייבים במינוי DPO  – כולל ספקי שירות, ארגוני SaaS או שירותי ענן, מפעילי אתרים ואפליקציות ועוד – נדרשים כעת לכל הפחות לבחינה פרטנית, מנומקת ומתועדת של החלטתם המושכלת בעניין.

המסמך מתפרסם כשנה לאחר כניסתו לתוקף של תיקון 13 לחוק – ומסמן את המעבר הרשמי משלב ההיערכות לשלב האכיפה המעשי. שאלת המינוי כבר אינה נושא תיאורטי, אלא החלטת ציות מעשית שכל ארגון צריך לקבל בצורה מושכלת.

2.     מה חדש בגילוי הדעת הסופי?

גילוי הדעת הסופי אינו משנה את החוק, אבל הוא בהחלט משנה את כללי המשחק ואת נקודת המוצא המעשית. המסר המרכזי של הרשות ברור: לא עוד מינויים "על הנייר", ולא עוד הסתמכות נוחה על עמימות החוק בלי לבצע בחינה קונקרטית בארגון, לפי מאפייניו וסיכוני הגנת הפרטיות שהוא מציע עם פעילותו.

ה-DPO מוצג כפונקציה עצמאית ובעלת משקל בתוך הארגון, והדגש עובר לשאלות של ניגוד עניינים, משאבים, עצמאות, מבנה המינוי ותיעוד מסודר של תהליך קבלת ההחלטה – גם כאשר המסקנה היא שאין חובת מינוי (ולמה).

3.     מה באמת כולל התפקיד של ממונה על הגנת הפרטיות?

ה-DPO הוא פונקציה מהותית ואקטיבית בממשל הפרטיות הארגוני – לא מינוי פורמלי בלבד. תפקידו  להוביל ולפקח על תחום הפרטיות בארגון, והוא משקף את עקרון האחריותיות" (Accountability), לפיו הארגון נדרש לא רק לציית לדין אלא גם להוכיח זאת.

ואולם, גילוי הדעת הסופי מבהיר כי ה-DPO הוא גורם ייעוצי, מפקח ומבקר – ולא הגורם שמקבל מטעם הארגון את החלטות העיבוד. בהתאם, הוא אינו נושא באחריות אישית לציות הארגון לדין, ואף אינו מחויב אישית לדווח לרשות על הפרות או על אירועי אבטחה, אף שעליו להיות מעורב בטיפול בהם ובדיווחים הנדרשים.

4.     מי חייב למנות DPO – ומי צריך לבחון את עצמו מחדש?  

חובת המינוי חלה על ארגונים העונים על הקריטריונים הקבועים בסעיף 17ב1(א) לחוק הגנת הפרטיות, ובהם גופים ציבוריים (ומחזיקים מטעמם), גופים העוסקים בסחר במידע, גופים שעיסוקם העיקרי כולל "ניטור שוטף ושיטתי", וגופים שעיסוקם העיקרי כולל "עיבוד בהיקף ניכר" של מידע בעל רגישות מיוחדת.

עיקרי גילוי הדעת והשלכותיו המעשיות:

• חובת המינוי אצל "מחזיק" (ספקי ענן, SaaS או מיקור חוץ) – זהו אחד החידושים המעשיים המרכזיים בנוסח הסופי. הרשות קובעת כי בחינת חובת המינוי אצל "מחזיק" תיעשה במצטבר ביחס לכלל הלקוחות, ולא ביחס לכל לקוח בנפרד. לכן, גם מחזיק שמטפל עבור כל לקוח במאגר קטן יחסית עשוי להיחשב כמי שמעבד מידע "בהיקף ניכר" אם הוא עושה זאת עבור לקוחות רבים.
• הרחבת המונח "עיסוק עיקרי" – גילוי הדעת מאמץ פרשנות מרחיבה שלפיה די בכך שעיבוד מידע הוא רכיב מרכזי או אינהרנטי בפעילות הליבה, גם אם אינו חיוני לה. פרשנות זו מטשטשת את ההבחנה בין עיסוק עיקרי לפעילות נלווית, ועלולה להרחיב את חובת המינוי גם לארגונים שעיבוד מידע אינו חלק טבעי מעיסוקם. לכן מתעורר ספק אם הרחבה כזו, שלכאורה חורגת מלשון החוק, יכולה להיקבע בגילוי דעת פרשני-רגולטורי.
• "ניטור שוטף ושיטתי" – גם בנוסח הסופי נותר קושי פרשני משמעותי. הדוגמאות שמביאה הרשות, בעיקר ביחס לאתרים, אפליקציות וכלי אנליטיקה, עשויות להיקרא באופן רחב מאוד, עד כדי רושם שכמעט כל אתר או אפליקציה מחייבים מינוי DPO. בהתאם, גם ארגונים המשתמשים בכלי אנליזה בסיסיים נדרשים לכאורה לבחון בזהירות את תחולת חובת המינוי לפי פרשנות מרחיבה זו.
• הצורך בבחינה פרטנית – חרף הערות הציבור, הרשות בחרה שלא לקבוע ספים כמותיים שהיו יכולים לסייע ביישום מונחים עמומים כמו "היקף ניכר", ודווקא בנוסח הסופי אף הורחב היקף התחולה, על פניו מעבר ללשון החוק המחייבת.

5.     מודל ההעסקה: האם ה-  DPOחייב להיות עובד פנימי?

בניגוד לטון הנחרץ בטיוטה הקודמת, הנוסח הסופי מציג יתרון אפשרי – ולא עדיפות משפטית – למינוי DPO פנימי, ובפרט במשרה מלאה. עם זאת, החוק מתיר במידה שווה גם מינוי חיצוני, שלעתים אף מציע יתרונות של עצמאות, מומחיות וראייה רוחבית. לכן, ההכרעה צריכה להיעשות לפי מאפייני הארגון, מורכבותו והיקף העיבוד שלו, ולא מתוך הנחה שמינוי פנימי עדיף.

6.     זהותו של ה- DPO במקרה של מיקור חוץ

גילוי הדעת מדגיש כי רק יחיד – כלומר אדם טבעי – יכול להתמנות כממונה על הגנת הפרטיות. הבהרה זו נועדה לתת מענה לארגונים המתקשרים עם חברה חיצונית או תאגיד לקבלת שירותי DPO ולהדגיש כי המינוי עצמו חייב להיות שמי של אדם ספציפי שמחזיק בכישורים הנדרשים.

7.     האם ה-DPO יכול לשמש גם בתפקיד נוסף בארגון?

ארגונים רבים נוטים להטיל את תפקיד ה-DPO על בעלי תפקידים קיימים. גילוי הדעת הסופי אינו פוסל כל כפל תפקידים, אך מציב לכך מגבלות, תנאים ודרישת בחינה פרטנית ותיעוד:

• שילוב ה-DPO במחלקה המשפטית:

על פי גילוי הדעת, הרשות מאפשרת לשלב את ה-DPO במחלקה המשפטית, אך כאשר התפקיד מוטל על היועץ המשפטי הפנימי (GC) נדרשת הפרדה ארגונית ודיגיטלית ברורה בין הכובעים, למשל באמצעות חתימה נפרדת ותיבת דוא"ל ייעודית. בכך מבהירה הרשות שכפל תפקידים אינו יכול להישאר פורמלי בלבד, אלא מחייב בחינה פרטנית והסדרה קונקרטית בארגון.

• כפל תפקידים של CISO ו-DPO:

הרשות מבהירה כי החוק אינו אוסר על ממונה אבטחת מידע (CISO) לשמש גם כ-DPO, אך קובעת שמינוי כזה מחייב בחינה פרטנית, הנמקה ותיעוד בכתב. אף שהנוסח הסופי מרכך את הטענה לניגוד עניינים מובנה, הוא עדיין מציב קושי מעשי, בעיקר מבחינת משאבים, זמן, מומחיות בדיני פרטיות והיכולת למלא כל אחד מהתפקידים באופן עצמאי ואפקטיבי.

8.     סוגיות של ניגוד עניינים: דרישת סף מהותית במינוי DPO

החובה למנוע ניגוד עניינים היא דרישת סף מהותית העומדת בפני עצמה. היא מחייבת את הארגון לבצע בחינה אקטיבית של מבנה הכפיפויות והתפקידים בארגון, ללא קשר לשאלה אם בעל התפקיד נכלל ברשימת הדוגמאות שהרשות מפרטת. במילים אחרות, הרשימה אינה סגורה – והיא רק נקודת מוצא לבחינה רחבה יותר.

הנוסח הסופי מחדד כי תפקידים כמו מנהל שיווק, מנהל לקוחות, מנהל כספים ו-CTO מעוררים לעיתים קרובות חשש לניגוד עניינים, משום שהם עשויים להיות מעורבים בקביעת מטרות העיבוד או באמצעיו. בנוסף, הרשות קובעת באופן קטגורי כי מנהל מערכות מידע (CIO/IT) והכפופים לו אינם יכולים לשמש כ-DPO, בשל קיומו של ניגוד עניינים מובנה. קביעה זו פוסלת פרקטיקה נפוצה בארגונים רבים ומחייבת היערכות מחדש ושינוי במינוי הקיים.

צעדים מומלצים לביצוע

לאור פרסום גילוי הדעת הסופי, מומלץ לארגונים:

• לבצע בחינה מחודשת של חובת מינוי DPO, ובפרט לאור הפרשנות שניתנה למונחים "מחזיק", "עיסוק עיקרי", "היקף ניכר" ו"ניטור שוטף ושיטתי".
• לתעד את תהליך קבלת ההחלטה, גם כאשר המסקנה היא שאין חובת מינוי, וזאת לנוכח עמדת הרשות שלפיה הפרשנות בגילוי הדעת תשמש אותה במסגרת הפיקוח והאכיפה. עצם קיומה של בחינה מנומקת ומתועדת עשוי להיות חשוב לא פחות מהמסקנה עצמה.
• ככל שקיימת חובת מינוי, להסדיר את מעמד ה-DPO בארגון, לרבות תחומי אחריות, משאבים, קו דיווח ישיר ומעורבות בתהליכים רלוונטיים.
• לבחון את מודל ההעסקה ואת זהות הממונה, לרבות האפשרות למינוי פנימי או חיצוני, ולוודא כי המינוי הוא פרסונלי – של אדם טבעי, ספציפי ובעל הכישורים הנדרשים וכי ההכרעה בעניין נתמכת בבחינה מהותית ומתועדת.
• במקרים של כפל תפקידים או חשש לניגוד עניינים, לבצע בחינה משפטית פרטנית ולתעד את ההחלטה ואת ההסדרים שנקבעו להבטחת עצמאות ה-DPO, ובפרט כאשר מדובר בשילוב עם תפקידים כמו GC או CISO, או בממשק עם פונקציות IT/CIO, לנוכח המגבלות והקשיים שהודגשו בגילוי הדעת.
• לעדכן את נהלי העבודה והבקרה בארגון, כך שתובטח מעורבות אפקטיבית של ה-DPO בנושאים מרכזיים, ובהם אירועי אבטחת מידע, פניות נושאי מידע, דיווחים נדרשים לרשות ותהליכים המשפיעים על פרטיות.

הבחירה אם למנות DPO אינה יכולה להישען עוד על בחינה פורמלית בלבד. ארגונים נדרשים לשוב ולבחון את שאלת המינוי של DPO על בסיס בחינה משפטית פרטנית, מהותית ומתועדת, המותאמת למאפייני הפעילות ולסיכוני הפרטיות של הארגון. לפי הצורך, ובפרט כאשר מדובר במקרים מורכבים או גבוליים, ראוי להצטייד גם בחוות דעת משפטית מחזקת שתתמוך בהחלטה שהתקבלה.

****

ד”ר אבישי קליין הוא שותף וראש מחלקת פרטיות, סייבר ובינה מלאכותית במשרד.

עו"ד ליאב שפירא הוא שותף במחלקת פרטיות, סייבר ובינה מלאכותית במשרד.

עו"ד מאשה יודשקין היא עורכת דין במחלקת פרטיות, סייבר ובינה מלאכותית במשרד.

מחלקת פרטיות, סייבר ובינה מלאכותית  במשרדנו עומדת לרשותכם ותשמח לסייע וללוות אתכם בהבנת המשמעויות של גילוי הדעת והסיכונים הנובעים מדרישות הרשות, בבחינת השפעתם על פעילותכם ובהיערכות הארגונית הנדרשת לצורך עמידה בסטנדרטים שהוצגו במסמך.