שאלה אחת ששמענו אלפי פעמים
”האם אנחנו חייבים למנות DPO?”
זו השאלה הנפוצה ביותר שמגיעה לכל יועץ פרטיות ישראלי מאז שתיקון 13 לחוק הגנת הפרטיות, התשמ"א-1981, נכנס לתוקף ב-14 באוגוסט 2025. ורוב הזמן, זו גם השאלה הלא נכונה.
השאלה הנכונה היא אחרת לגמרי.
מה אומר החוק: ארבעה מסלולים לחובה
סעיף 17ב1(א) לחוק קובע חובת מינוי ממונה הגנת הפרטיות (DPO) לארבע קטגוריות של ארגונים.
הקטגוריה הראשונה ברורה: גופים ציבוריים. משרדי ממשלה, רשויות מקומיות, תאגידים סטטוטוריים. אם אתה גוף ציבורי ועדיין לא מינית ממונה, אתה לא באזור אפור. אתה מפר.
הקטגוריה השנייה: סוחרי מידע. מי שמטרתו העיקרית היא איסוף מידע אישי לשם מסירתו לאחרים, כדרך עיסוק או בתמורה, לרבות שירותי דיוור ישיר, ובלבד שהמידע הוא על יותר מ-10,000 בני אדם. הסף חשוב: מתווך מידע שמאגריו אינם חוצים את הרף אינו חייב במינוי מכוח הקטגוריה הזאת (אם כי שאר חובות החוק חלות עליו כרגיל).
הקטגוריה השלישית: ניטור שוטף ושיטתי כעיסוק עיקרי. ארגונים שעצם פעילותם העסקית כרוכה במעקב או ניטור התנהגות של אנשים בהיקף ניכר: ספקי תקשורת, מנועי חיפוש, רשתות חברתיות, חברות AdTech ופלטפורמות שעוסקות בפרופיילינג. המבחן הוא העיסוק העיקרי של הארגון, לא עצם קיומו של ניטור פנימי כלשהו: מעסיק רגיל שמנטר שימוש במחשבי החברה אינו נכנס לקטגוריה רק בשל כך.
הקטגוריה הרביעית: עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר, כעיסוק עיקרי. מידע רפואי, ביומטרי, גנטי, פיננסי מפורט ועוד, ב'היקף ניכר' שנבחן לפי מכלול הנסיבות, מבחן רב-גורמי ללא סף מספרי קבוע. החוק נוקב בדוגמאות מפורשות: בנקים, חברות ביטוח, בתי חולים וקופות חולים.
מי כשיר לתפקיד: גילוי הדעת שמציב רף
ביולי 2026 פרסמה הרשות להגנת הפרטיות את גילוי הדעת הסופי בנושא מינוי ממונה (15.7.2026), אחרי טיוטה שעמדה להערות הציבור מיולי 2025. הרף ברור: ה-DPO חייב להיות אדם טבעי. לא תאגיד, לא פירמת עורכי דין כישות. אדם.
הכישורים שנדרשים: ידע משפטי בדיני הפרטיות הישראליים, הבנה טכנולוגית שמאפשרת לנהל שיח עם מחלקות IT ואבטחה, והיכרות עם תחום הפעילות של הארגון. לא מספיק שמישהו ”ראה GDPR”. נדרשת מומחיות אמיתית, אם כי החוק אינו קובע חובת הסמכה או רישוי פורמלי.
ועוד משהו, שגילוי הדעת מדגיש במפורש: כפל תפקידים מותר רק בהיעדר ניגוד עניינים, וככלל ה-DPO לא ישמש בו זמנית מנהל שיווק, מנהל קשרי לקוחות, מנהל כספים, מנהל מערכות מידע או מנהל טכנולוגיות (CTO). לא בגלל בירוקרטיה. בגלל ניגוד עניינים. ה-DPO צריך לבקר תהליכים עסקיים. אם הוא גם אחראי על ביצועם, הביקורת הופכת לפיקציה.
שאלת המיליון: ומה אם לא חייבים
כאן חוזרת השאלה הלא נכונה. ארגונים שואלים ”האם אנחנו חייבים?” כשצריך לשאול ”מה אנחנו מסתכנים?”
גם ארגון שאינו חייב בחוק למנות ממונה עדיין חייב לנהל נכון את הפרטיות של הלקוחות, העובדים והספקים שלו. החוק לא פוטר ממחויבויות ציות. הוא רק לא מחייב תפקיד ספציפי לנהל אותן.
אגב, הניסיון בשוק מלמד שארגונים עם ממונה מקצועי פעיל מגיעים ערוכים יותר לאירועי אבטחה ולביקורות. לא בגלל שה-DPO הוא קמע. בגלל שנוכחות של מישהו שתפקידו לשאול שאלות לא נוחות משנה תהליכים.
DPO חיצוני: הפתרון שלא תמיד מוסבר נכון
החוק מאפשר מינוי DPO חיצוני, וגילוי הדעת מאשר זאת במפורש. זו לא ”גרסת הבאדג׳ט”. זה מנגנון לגיטימי שגם ארגונים גדולים משתמשים בו.
תנאי ברזל: מעמדו של ממונה חיצוני זהה לזה של ממונה פנימי. דיווח ישיר למנכ"ל או לנושא משרה בכיר הכפוף לו במישרין (סעיף 17ב2(ג)), משאבים מספקים, והיעדר ניגוד עניינים. אם ה-DPO החיצוני מדווח לאחד המנהלים שאת פעולותיהם הוא אמור לבקר, זה לא DPO. זה יועץ ששינה שם.
שירות DPO-as-a-Service, כפי שמציעות חברות מתמחות בתחום, יכול לספק מינוי רשמי, ניטור שוטף, ביקורת תקופתית וליווי בעת אירוע אבטחה. עבור עסקים קטנים ובינוניים שלא מצדיקים משרה מלאה, זה לרוב הפתרון הכלכלי והמקצועי גם יחד.
השאלה שכדאי לשאול
לא ”האם אנחנו חייבים למנות DPO?”
אלא: ”מי בארגון שלנו אחראי שהדברים יהיו בסדר, ועד כמה הוא עצמאי מספיק לומר לשאר שהם לא?”
אם אין תשובה טובה לשאלה הזאת, המינוי כבר לא שאלה של חובה חוקית. הוא שאלה של שיקול דעת.