מינוי DPO חיצוני — ממונה הגנת פרטיות

מאז שתיקון 13 נכנס לתוקף ב-14 באוגוסט 2025, מינוי ממונה הגנת פרטיות (DPO) הוא חובה אכיפה לארגונים רבים — לא המלצה. אבל סביב התפקיד יש הרבה ערפל: מה הממונה עושה בפועל אחרי כתב המינוי? האם עדיף עובד פנימי או גורם חיצוני? ולמה הרשות מקפידה כל כך על אי-תלות? בעמוד הזה נענה על השאלות האלה כמו שאנחנו עונים ללקוחות — בגובה העיניים, מתוך העבודה השוטפת.

רגע, אנחנו בכלל חייבים ממונה?

חובת המינוי חלה, בין היתר, על גופים ציבוריים, על ארגונים שמעבדים מידע בעל רגישות מיוחדת בהיקף משמעותי — כמו מידע בריאותי או פיננסי על 10,000 נושאי מידע ומעלה — ועל בעלי מאגרים גדולים בסדר גודל של 100,000 רשומות ומעלה. המבחנים המדויקים תלויים באופי הפעילות, ופירטנו אותם במאמר מי חייב למנות ממונה לפי תיקון 13. וגם מי שלא חייב — לרוב מגלה שממונה במיקור חוץ הוא הדרך הזולה ביותר להחזיק את תחום הפרטיות מנוהל באמת.

מה הממונה עושה בחודש טיפוסי

ממונה הגנת פרטיות הוא פונקציה, לא תואר. כך נראית העבודה השוטפת אצל לקוח טיפוסי שלנו:

• סקירת שינויים לפני שהם עולים לאוויר — מערכת חדשה, קמפיין שאוסף לידים, טופס חדש באתר: הממונה בודק מטרה, בסיס איסוף והצטלבות עם המדיניות הקיימת
• טיפול בפניות נושאי מידע — בקשות עיון, תיקון ומחיקה, כולל מעקב שהמענה עומד במועדים
• בדיקת ספק חדש וסגירת DPA לפני שהוא מקבל גישה למידע
• עדכון תיעוד המאגרים בעקבות שינויים במערכות ובתהליכים
• הדרכה ממוקדת לעובדים שנוגעים במידע אישי — שיווק, שירות, HR
• דיווח תמציתי להנהלה: סטטוס, סיכונים פתוחים והחלטות שנדרשות

ובחודש שבו קורה אירוע — חשד לדליפה, מייל שנשלח לרשימה הלא נכונה, ספק שנפרץ — הממונה מוביל את ההחלטה הקריטית: האם האירוע חייב בדיווח לרשות ״ללא דיחוי״, מה מיידעים לנושאי המידע, ואיך מתעדים את שיקול הדעת.

פנימי או חיצוני — השיקול האמיתי ל-SMB

עבור ארגון קטן או בינוני, השאלה היא לא ״מי יותר טוב״ אלא ״מה ריאלי״: משרת ממונה פנימית מלאה כמעט אף פעם לא מוצדקת בהיקף הפעילות, ומינוי ״על הנייר״ לעובד עמוס הוא הגרוע משני העולמות — הארגון גם משלם באחריות וגם לא מקבל את הפונקציה. ממונה חיצוני בהיקף חודשי מוגדר נותן את אותה כשירות מקצועית בעלות של חלק קטן ממשרה, עם גיבוי של צוות שלם מאחוריו.

אי-תלות ומניעת ניגוד עניינים

הכלל הפשוט: הממונה לא יכול לפקח על עצמו. מינוי של מנהל ה-IT, סמנכ״ל התפעול או מנהל השיווק — מי שקובע בעצמו את מטרות העיבוד או מנהל את המערכות — יוצר ניגוד עניינים מובנה, והמינוי עלול להיפסל בדיוק ברגע שצריך אותו. הממונה נדרש לעצמאות מקצועית, לנגישות ישירה להנהלה ולמשאבים לביצוע התפקיד. ממונה חיצוני פותר את שלושת התנאים במכה אחת — אין לו אינטרס תפעולי בארגון, והוא מדווח להנהלה בלבד.

מה קורה בביקורת של הרשות להגנת הפרטיות

כשמגיעה פנייה מהרשות — דרישת מסמכים, בירור בעקבות תלונה או ביקורת פיקוח יזומה — הממונה הוא הכתובת. הוא מרכז את מה שהרשות מבקשת לראות: תיעוד מאגרים עדכני, מדיניות בתוקף, הסכמי DPA חתומים, נוהל פרצה ותיעוד תרגולים והדרכות. הוא מנסח את המענה בשפה שהרגולטור מצפה לה, ומוודא שההנהלה יודעת בדיוק מה נמסר. ההבדל בין ארגון עם ממונה פעיל ותיק ראיות חי לבין ארגון שמתחיל לאסוף מסמכים אחרי שהפנייה הגיעה — הוא לא פעם ההבדל בין הערה לעיצום.

השורה התחתונה: ממונה הגנת פרטיות טוב הוא לא עוד שם במסמך אלא מנגנון עבודה חודשי — כזה שמונע בעיות לפני שהן קורות, ועומד מאחורי הארגון כשהרגולטור מתקשר.