ארגון בינוני ששואל את השאלה הזו כמעט תמיד מגיע אליה משאלה אחרת: מישהו, לקוח, מבטח, או הרשות, ביקש לדעת מי הממונה. התשובה אינה כן או לא גורף, אלא בחינה של ארבעה תנאים.
בשונה מסוגיות אחרות בתיקון 13, כאן יש עמדה עדכנית ומפורטת של הרשות: ב-14 ביולי 2026 פורסם גילוי דעת סופי בנושא. רוב מה שלמטה נשען עליו.
ארבעת התנאים
חוק מחייבהחובה קמה אם מתקיים אחד מהתנאים, לא כולם:
- גוף ציבורי. משרדי ממשלה, רשויות מקומיות וגופים המנויים בחוק, ובכלל זה קופות חולים, בתי חולים, אוניברסיטאות וארגוני עובדים.
- סחר במידע. גוף שמטרתו העיקרית היא איסוף מידע אישי לצורך מסירתו לאחרים כעיסוק או בתמורה, לרבות דיוור ישיר ולשכות אשראי, כשמדובר במידע על יותר מ-10,000 אנשים.
- ניטור שיטתי. בעל שליטה או מחזיק שפעילותו העיקרית כרוכה בניטור שוטף ושיטתי של אנשים בהיקף ניכר, מעקב אחר התנהגות, אחר מיקום, או יצירת פרופיל התנהגותי.
- מידע בעל רגישות מיוחדת. בעל שליטה או מחזיק שעיסוקו המרכזי כרוך בעיבוד מידע בעל רגישות מיוחדת בהיקף ניכר. גילוי הדעת מונה במפורש בנקים, חברות ביטוח, בתי חולים וקופות חולים.
עמדת הרשותל“היקף ניכר” אין סף מספרי קבוע. הרשות קובעת שהוא נבחן בשקלול של מספר קריטריונים ולא לפי מספר אחד. המשמעות המעשית: אי אפשר להסתמך על “יש לנו רק X לקוחות ולכן אנחנו פטורים”.
שני מקרי הגבול שחוזרים
ספק שמחזיק מידע עבור גוף ציבורי. החובה נבחנת לפי הפעילות של המחזיק עצמו, לא לפי זהות הלקוח. ספק שמעבד מידע רגיש בהיקף ניכר עשוי להיכנס לתנאי הרביעי גם אם הוא חברה פרטית קטנה. זו בדיקה שצריך לעשות לפני החתימה על ההתקשרות, לא אחריה.
ארגון שמנטר עובדים. ניטור עובדים אינו אוטומטית “ניטור שוטף ושיטתי בהיקף ניכר”. השאלה היא האם הניטור הוא חלק מהפעילות העיקרית של הארגון ומה היקפו. מערכת נוכחות אינה מה שהתנאי הזה נועד לתפוס; ניטור מתמשך של התנהגות או מיקום כן מצדיק בחינה.
המלצה מקצועיתבשני המקרים האלה כדאי לתעד את הבחינה עצמה, מה נבדק, על סמך מה, ומה הוחלט. גם אם המסקנה היא שאין חובה.
הבעיה של ניגוד העניינים
חוק מחייבסעיף 17ב3 קובע שהממונה לא ימלא תפקיד נוסף ולא יהיה כפוף לנושא משרה אם התפקיד או הכפיפות עלולים להעמידו בחשש לניגוד עניינים.
עמדת הרשותגילוי הדעת מפרט מה נחשב בעייתי: תפקידים בעלי סמכות או אחריות לקבוע מדיניות בעניין עיבוד המידע האישי, לרבות קביעת מטרות העיבוד או החלטות מהותיות על אופן העיבוד. הרשות מונה כדוגמאות לתפקידים בסיכון גבוה מנהל שיווק, סמנכ”ל כספים, סמנכ”ל טכנולוגיות ומנהל IT.
זו הנקודה שמפילה הכי הרבה ארגונים. המינוי האינטואיטיבי בארגון בינוני הוא מנהל ה-IT, הוא מכיר את המערכות, הוא כבר אחראי על אבטחת מידע, וזה נראה חיסכון. גילוי הדעת מסמן בדיוק את התפקיד הזה כחשוד לניגוד עניינים, מפני שהוא קובע בעצמו איך המידע מעובד ואז אמור לפקח על עצמו.
עמדת הרשותהאיסור חל באותה מידה על ממונה פנימי ועל ממונה חיצוני.
למי הממונה כפוף
עמדת הרשותגילוי הדעת קובע שהממונה ידווח ישירות למנכ”ל או לגורם הכפוף למנכ”ל במישרין. החוק אינו מכתיב באיזו יחידה בארגון הממונה יושב, אך מיקום שיוצר כפיפות לגורם בעל סמכות על עיבוד המידע מעורר את בעיית ניגוד העניינים.
מה נדרש מהממונה עצמו
עמדת הרשותהדרישה בחוק היא לידע ולכישורים הנדרשים למילוי התפקיד בצורה נאותה. גילוי הדעת מפרט שלושה תחומים: ידע מעמיק בדיני הגנת הפרטיות, ובכלל זה החוק, התקנות, הפסיקה והנחיות הרשות; הבנה של טכנולוגיה ואבטחת מידע ברמה שמאפשרת להעריך עמידה בדרישות, בלי שנדרשת הסמכה טכנית פורמלית; והיכרות עם הארגון עצמו ועם הסביבה הרגולטורית שבה הוא פועל.
לעניין הכשרה, גילוי הדעת מציין ניסיון מעשי משמעותי בתפקיד משפטי או רגולטורי בתחום הפרטיות יחד עם הכשרה פורמלית בהיקף של 40 שעות לפחות, אך אינו סוגר את הרשימה בפני הוכחת מומחיות בדרכים אחרות.
מה הממונה עושה בפועל
עמדת הרשותגילוי הדעת מפרט את התפקידים השוטפים. בקצרה:
- ייעוץ מקצועי שוטף בכל שלבי מחזור החיים של המידע, ולא רק בדיעבד.
- בניית תוכנית הדרכה לעובדים והשגחה על יישומה.
- בקרה שוטפת על העמידה בדרישות, ודיווח להנהלה הבכירה אחת לשנה לפחות.
- ודאות שקיימים נוהל אבטחת מידע ומסמך הגדרות מאגר, ותיאום מול ממונה אבטחת המידע אם קיים.
- טיפול בבקשות נושאי מידע, עיון, תיקון, מחיקה והסרה מדיוור, במסגרת המועדים הקבועים.
- שמש איש קשר מול הרשות, לרבות מעורבות בדיווח על אירוע אבטחה חמור.
שורה אחת מהרשימה הזו שווה תשומת לב מיוחדת: דיווח להנהלה הבכירה אחת לשנה לפחות. ארגון שמינה ממונה ולא מקבל ממנו דיווח שנתי מתועד לא באמת עומד בדרישה, יש לו שם על נייר.
פרסום פרטי הממונה
עמדת הרשותעל הארגון להנגיש את דרכי ההתקשרות עם הממונה באופן ברור, למשל באתר, במדיניות הפרטיות או בערוץ רלוונטי אחר. ארגון שחייב בהודעה לרשות נדרש למסור בה גם את זהות הממונה ואת פרטיו, ולהודיע על שינויים.
ומה אם הגענו למסקנה שאיננו חייבים
המלצה מקצועיתגילוי הדעת אינו עוסק בשאלה הזו ואינו קובע חובת תיעוד להחלטה שלא למנות. עם זאת, ההפרש המעשי בין ארגון שבדק והחליט לבין ארגון שלא בדק כלל מתגלה בדיוק ברגע שבו מגיעה פנייה מהרשות או שאלון מלקוח. מסמך קצר שמפרט אילו תנאים נבחנו, על סמך אילו נתונים, ומה הוסק, הוא מאמץ של שעה, והוא ההבדל בין תשובה לבין שתיקה.
עמדת הרשותגילוי הדעת ממליץ על מינוי ממונה בהתנדבות גם במקום שבו אין חובה חוקית.
ממונה חיצוני
עמדת הרשותהחוק מאפשר מינוי במתכונת של נותן שירותים חיצוני. גילוי הדעת מוסיף שלושה סייגים: המינוי חייב להיות של אדם מסוים ומזוהה בשם ולא של חברה כגוף; הממונה צריך להיות זמין ונגיש לארגון גם באופן פיזי ככל הנדרש; ואיסור ניגוד העניינים חל עליו במלואו. הרשות גם מציינת שעל פי רוב קיים יתרון בכך שהממונה יהיה עובד הארגון.
המלצה מקצועיתהמשמעות לארגון שבוחר במיקור חוץ אינה שהמסלול חסום, אלא שיש מה לבדוק בהתקשרות: מי האדם בשמו, מה זמינותו בפועל, ואיך מובטחת עצמאותו המקצועית מול ההנהלה. ממונה הגנת פרטיות כשירות ←
טעויות שחוזרות
- למנות את מנהל ה-IT. התפקיד שגילוי הדעת מסמן במפורש כבעייתי.
- להסתמך על מספר לקוחות או עובדים. אין סף מספרי ל“היקף ניכר”, ואף תנאי אינו מבוסס על מספר עובדים.
- למנות חברה ולא אדם. הרשות דורשת אדם מסוים ומזוהה בשם.
- למנות ולא לתפעל. בלי דיווח שנתי מתועד להנהלה, המינוי אינו ממלא את תפקידו.
- לא לפרסם את פרטי הקשר. דרישה מפורשת, ואחת הקלות ביותר לקיום.
- להסתמך על ארכה. מדיניות אי-האכיפה הזמנית פגה ב-31 באוקטובר 2025.
שאלות נפוצות
אנחנו חברה פרטית עם 40 עובדים. חייבים ממונה?
לא בהכרח. אף אחד מארבעת התנאים אינו מבוסס על מספר עובדים. הבדיקה היא מה העיסוק המרכזי של הארגון ואיזה מידע הוא מעבד. חברה בגודל הזה שעיסוקה המרכזי אינו עיבוד מידע רגיש או ניטור, בדרך כלל לא נכנסת לחובה, אבל הבחינה עצמה נדרשת ורצוי לתעד אותה.
מנהל ה-IT שלנו יכול לשמש כממונה?
גילוי הדעת של הרשות מונה מנהל IT בין התפקידים בסיכון גבוה לניגוד עניינים, מפני שהוא קובע בעצמו כיצד המידע מעובד ואז אמור לפקח על כך. זה אינו איסור גורף, אבל זו נקודת פתיחה בעייתית שדורשת נימוק ותיעוד.
האם ממונה חיצוני עומד בדרישות?
גילוי הדעת מתיר מינוי נותן שירותים חיצוני, ובלבד שמדובר באדם מסוים ומזוהה בשם ולא בחברה כגוף. הרשות גם מציינת שעל פי רוב קיים יתרון בממונה שהוא עובד הארגון, ושהממונה צריך להיות זמין ונגיש גם באופן פיזי ככל שנדרש.
כמה זמן לוקח למנות ממונה?
אין מועד קבוע בחוק. מדיניות אי-האכיפה הזמנית שפורסמה ב-2025 העניקה ארכה עד 31 באוקטובר 2025, והיא מיצתה את עצמה. גילוי הדעת מיולי 2026 מצהיר שבכוונת הרשות להשתמש בסמכויותיה.
צריך לפרסם את פרטי הממונה?
כן. הרשות דורשת שדרכי ההתקשרות עם הממונה יהיו נגישות וברורות, למשל באתר או במדיניות הפרטיות. ארגון שחייב גם בהודעה לרשות נדרש למסור בה את זהות הממונה ופרטיו, ולעדכן על שינויים.
מקורות
- גילוי דעת: מינוי ממונה על הגנת הפרטיות בארגון, 14.7.2026, הרשות להגנת הפרטיות
- מדריך מקצועי לתיקון 13, הרשות להגנת הפרטיות
- תיקון 13 לחוק הגנת הפרטיות, על מי חל ומה נדרש
- רמות אבטחה לפי תקנות אבטחת מידע
שיחת הערכה קצרה מספיקה בדרך כלל כדי לדעת אם נדרשת בחינה מלאה. לתיאום שיחת הערכה ←
העמוד מציג מידע מקצועי ואינו מהווה ייעוץ משפטי. תחולת חובת המינוי נבחנת לפי נסיבות הארגון, ובסוגיות בעלות השלכה משפטית מומלץ להיוועץ בעורך דין. עודכן: אוגוסט 2026.
רלוונטי להעמקה: עיצומים כספיים בתיקון 13 . מינוי ממונה גם כשאין חובה מזכה בהפחתה של 10% מסכום עיצום.