האם אתם בכלל חייבים ממונה הגנת פרטיות?
סעיף 17ב1 מונה ארבע קטגוריות: גופים ציבוריים; גופים שעיסוקם המרכזי הוא איסוף מידע לצורך מסירתו לאחרים, מעל 10,000 אנשים; מי שפעילותו כרוכה בניטור שוטף ושיטתי של אנשים בהיקף ניכר; ומי שעיסוקו המרכזי כרוך בעיבוד מידע בעל רגישות מיוחדת בהיקף ניכר. ל”היקף ניכר” אין סף מספרי קבוע. ארבעת התנאים במלואם ← רשימת החייבים רחבה מכפי שנדמה, קופות גמל, מוסדות בריאות וחינוך, חברות עם מאגרי לקוחות גדולים ועוד. וגם מי שפטור צריך להוכיח שבדק: חוות דעת כתובה היא ההגנה שלכם בביקורת. לא בטוחים? זו בדיוק הבדיקה הראשונה שאנחנו עושים, ומתעדים.
מה כולל השירות?
- בדיקת חובת מינוי מתועדת, חוות דעת כתובה להצגה לרשות, גם אם התשובה שלילית
- כהונה כממונה הגנת הפרטיות של הארגון, בהתאם לגילוי הדעת של הרשות להגנת הפרטיות
- תוכנית ציות שנתית, מיפוי מאגרים, נהלים, הדרכות עובדים מתועדות וביקורות תקופתיות
- נוהל דיווח אירוע + תרגול הנהלה, הלקח מהקנס הראשון: 256,000 ₪ על איחור בדיווח בלבד
- דיווח רבעוני להנהלה ולדירקטוריון, מגן אישית על נושאי המשרה, שגם עליהם תיקון 13 מטיל אחריות
- ייצוג מול הרשות להגנת הפרטיות, בפניות, בביקורות ובאירועים
איך זה עובד? שלושה שלבים
1 · שיחת הערכה (ללא עלות): בודקים יחד אם חלה עליכם חובת מינוי ומה מצב הפערים. 2 · סקר פערים ותוכנית: מיפוי מאגרים ומסמכים, דוח מנהלים ותוכנית עבודה מתועדפת. 3 · כהונה שוטפת: הממונה שלכם לכל דבר, זמין לשאלות, מדווח להנהלה, ועומד מולכם באחריות אישית.
למה ממונה במיקור חוץ, ולמה SEC-IT?
ממונה פנימי במשרה מלאה עולה מאות אלפי שקלים בשנה, וממונה שהוא “גם מנהל ה-IT” נמצא בניגוד עניינים מובנה שהרשות עצמה הזהירה ממנו. מיקור חוץ נותן לכם מומחיות בכירה, עצמאות אמיתית ועלות צפויה. וב-SEC-IT יש יתרון נוסף: רקע מבצעי עמוק ב-IT, הממונה שלכם לא רק יודע מה החוק דורש, אלא איך זה מיושם בפועל בתשתיות שלכם.
מה זה DPO ומה התפקיד עושה בפועל
ממונה הגנת פרטיות, בלועזית Data Protection Officer, הוא בעל תפקיד שאחראי לכך שהארגון עומד בחוק הגנת הפרטיות ובתקנות שמכוחו. הוא לא מנהל את מערכות המחשוב ולא אחראי על כלי ההגנה. התפקיד שלו הוא לדעת איזה מידע אישי הארגון אוסף, על סמך איזו הרשאה, מי ניגש אליו, מה נעשה איתו, ולוודא שכל זה מתועד ועומד בדין.
בפועל הממונה הוא גם כתובת. הוא מי שנושא המידע פונה אליו כשהוא רוצה לעיין במידע שלו או לתקן אותו, והוא מי שמדבר מול הרשות להגנת הפרטיות כשיש פנייה, בירור או אירוע שדורש דיווח.
ממונה במיקור חוץ מול מינוי פנימי
החוק מאפשר למנות ממונה חיצוני, ולרוב הארגונים הבינוניים בישראל זו האפשרות המעשית. זה החיתוך:
| ממונה פנימי | ממונה במיקור חוץ | |
|---|---|---|
| עלות | משרה, מלאה או חלקית | לפי היקף מוגדר מראש |
| מומחיות | תלויה באדם שנמצא בארגון | ניסיון מצטבר מארגונים רבים |
| ניגוד עניינים | סיכון גבוה כשהתפקיד מוצמד למנהל IT או לכספים | נמוך, כי אין תפקיד נוסף בארגון |
| זמינות | יומיומית | לפי הסדר מוגדר, כולל מענה לאירועים |
| המשכיות | נפגעת בעזיבה | נשמרת |
השאלה אם ארגון מסוים חייב במינוי היא שאלה משפטית שתלויה בנתונים שלו. אפשר לקרוא על ארבע הקטגוריות שחייבות במינוי בעמוד מי חייב למנות ממונה הגנת פרטיות, וכדאי ללבן את המקרה הספציפי מול עורך דין.
ניגוד עניינים: מי לא יכול לשמש ממונה
זו הנקודה שהכי הרבה ארגונים מפספסים. גילוי הדעת של הרשות להגנת הפרטיות בנושא מינוי ממונה קובע שהממונה לא יכול למלא תפקיד שמעמיד אותו בניגוד עניינים מול תפקידו כממונה. בפועל זה פוסל את הצירופים הנפוצים ביותר: מנהל מערכות המידע שגם ממונה על הפרטיות, היועץ המשפטי שמייעץ לארגון בעסקאות שבהן המידע הוא הנכס, או מנהל השיווק שאחראי על בסיס הנתונים שהוא עצמו אמור לפקח עליו.
ארגון שמינה ממונה בצורה כזו נמצא במצב גרוע מארגון שלא מינה כלל, כי הוא יצר מראית עין של עמידה בדרישה בלי שהפיקוח באמת קיים.
מה קורה בשלושת החודשים הראשונים
מינוי שנשאר על הנייר לא שווה כלום. אלה השלבים שמתרחשים בפועל בתחילת ליווי:
- חודש ראשון: מיפוי מאגרי המידע, זיהוי המידע האישי והרגיש, בדיקה אילו ספקים מקבלים מידע ומכוח מה.
- חודש שני: סגירת הפערים הדחופים, בדרך כלל הרשאות עודפות, הסכמים חסרים מול ספקים ומדיניות פרטיות שלא משקפת את המציאות.
- חודש שלישי: נהלים כתובים, נוהל טיפול בפניות נושאי מידע, נוהל דיווח על אירוע, והדרכה קצרה לבעלי התפקידים הרלוונטיים.
מכאן ואילך העבודה הופכת שוטפת: מענה לפניות, בדיקת התקשרויות חדשות עם ספקים, עדכון כשהרגולציה זזה, ודיווח תקופתי להנהלה.
שאלות נפוצות
כמה עולה ממונה הגנת פרטיות כשירות?
העלות נגזרת מגודל הארגון, מרגישות המידע ומהיקף המאגרים, ותמיד נמוכה משמעותית ממשרה מלאה ומעלות של אי-עמידה: הקנס הראשון לפי תיקון 13 היה 256,000 ₪, על איחור בדיווח בלבד. בשיחת ההערכה תקבלו הצעה מסודרת לפי הצורך האמיתי שלכם.
האם מותר בכלל למנות ממונה חיצוני?
כן, בתנאים. גילוי הדעת של הרשות מיולי 2026 מתיר מינוי נותן שירותים חיצוני, ובלבד שמדובר באדם מסוים ומזוהה בשם ולא בחברה כגוף, שהוא זמין ונגיש לארגון גם באופן פיזי ככל הנדרש, ושאין ניגוד עניינים. הרשות מציינת שעל פי רוב קיים יתרון בממונה שהוא עובד הארגון, ולכן חשוב שהמבנה יבטיח בפועל גישה להנהלה, עצמאות מקצועית ומשאבים, בדיוק כפי שהשירות שלנו בנוי.
מה קורה אם לא נמנה ממונה למרות שאנחנו חייבים?
אי-מינוי הוא הפרה ישירה של החוק שחושפת את הארגון לעיצומים כספיים, והדירקטוריון לנושאי אחריות אישית. מעבר לקנס, בביקורת של הרשות, היעדר ממונה הוא הדגל האדום הראשון שמזמין בדיקה מעמיקה של הכל.
מה ההבדל בין ממונה הגנת פרטיות לממונה אבטחת מידע?
ממונה הגנת פרטיות אחראי על עמידה בחוק הגנת הפרטיות: איזה מידע נאסף, על סמך מה, ומי ניגש אליו. ממונה אבטחת מידע אחראי על ההגנה הטכנית על המידע. בארגונים רבים אלה שני תפקידים נפרדים, ולעיתים החוק או התקנות דורשים את שניהם.
כמה זמן לוקח למנות ממונה הגנת פרטיות?
המינוי עצמו הוא החלטה ארגונית שאפשר לקבל מיד. מה שלוקח זמן הוא להביא את הארגון למצב שבו לממונה יש על מה לפקח: מיפוי מאגרים, הסדרת הרשאות ונהלים. בארגון בינוני מדובר בדרך כלל בשלושה חודשים לשלב ההקמה.
מה זה DPO כשירות?
הסדר שבו ממונה חיצוני מכהן בתפקיד עבור הארגון בהיקף מוגדר, במקום העסקה של עובד ייעודי. השירות כולל את חובות התפקיד: פיקוח, מענה לפניות נושאי מידע, קשר מול הרשות להגנת הפרטיות, ודיווח להנהלה.
אנחנו ארגון קטן, זה רלוונטי אלינו?
ייתכן שחובת המינוי לא חלה עליכם, אבל חובות המיפוי, האבטחה והדיווח חלות על כל מי שמחזיק מידע אישי. בדיקת חובת מינוי מתועדת עולה מעט, ונותנת לכם ודאות והגנה בביקורת.
רוצים להעמיק? קראו את מדריך השאלות והתשובות המלא על תיקון 13 או הורידו את צ’קליסט 21 הבדיקות למנכ”ל.
בדקו אם אתם חייבים ממונה, ב-20 דקות, ללא עלות
שיחת הערכה עם עידן צברי. תצאו עם תשובה ברורה, גם אם תחליטו להמשיך לבד.
לתיאום שיחת הערכה