ממונה הגנת פרטיות
שהארגון שלך חייב, בלי כאב ראש.

החובה חלה על גופים ציבוריים, על סוחרי מידע ובעלי מאגרי דיוור מעל 10,000 אנשים, על ארגונים שפעילותם העיקרית כרוכה בניטור שיטתי ורחב היקף של אנשים, ועל מי שמעבד מידע בעל רגישות מיוחדת בהיקף משמעותי. גם ארגונים שאינם חייבים בוחרים למנות ממונה כדי לצמצם חשיפה לעיצומים ולחזק אמון מול לקוחות.

לא. החובה נכנסה לתוקף ב-14 באוגוסט 2025. הרשות להגנת הפרטיות הפעילה שיקול דעת באכיפה בתקופת היערכות ראשונית, שהסתיימה ב-31 באוקטובר 2025. ההנחיה הסופית בנוגע לחובת המינוי פורסמה ב-15 ביולי 2026, ואכיפת חובת מינוי הממונה הוגדרה כיעד אכיפה.

לרשות יש סמכויות חקירה רחבות בהרבה מבעבר, והיא מוסמכת להטיל עיצומים כספיים שנגזרים מגודל הארגון ומחומרת ההפרה, ומגיעים למיליוני שקלים במקרים חמורים. יש גם תמריץ בכיוון ההפוך: ארגון שמינה ממונה זכאי להפחתה של 10% מהעיצום הכספי שיוטל עליו בגין הפרות.

כן, וזה מפורשות מותר. הדרישה הנוקשה היחידה היא שהמינוי נוקב בשם של אדם טבעי מסוים, כך שהתקשרות עם חברת שירותים בלי לנקוב בשם האדם אינה מספקת. בנוסף חובה להעמיד לרשותו זמן, משאבים וגישה למידע במידה מספקת.

הממונה חייב לפעול בעצמאות וללא ניגוד עניינים, ואינו יכול לשמש במקביל בתפקיד שקובע את מטרות העיבוד. הרשות מציינת במפורש שמנהל שיווק, מנהל הצלחת לקוחות, סמנכ״ל כספים, מנהל מערכות מידע ו-CTO אינם מתיישבים עם התפקיד. שילוב עם CISO אינו אסור מראש אך מחייב ניתוח ניגוד עניינים מתועד, ובפועל ל-CISO לרוב חסרה המומחיות המשפטית שהתפקיד דורש. יועץ משפטי פנימי או חיצוני אפשרי כשאין ניגוד.

ישירות למנכ״ל, או לנושא משרה בכיר שכפוף למנכ״ל. ממונה שקבור בתוך מערך ה-IT או השיווק נכשל במבחן העצמאות, גם אם האדם עצמו מוכשר מאוד.

כנראה שלא, וזה בדיוק המקום שתופס ארגונים לא מוכנים. אצל מעבד ששומר על מספר בעלי מאגרים, החשיפה למידע בעל רגישות מיוחדת נבחנת במצטבר על פני כלל הלקוחות, ולא בנפרד לכל לקוח. מעבד שמחזיק אלף מאגרים של מאה אנשים כל אחד נבחן כמאה אלף, גם אם אף התקשרות בודדת לא הייתה מקימה את החובה.

ברוב המקרים לא, וזו אחת הטעויות הנפוצות ביותר בחומר שעדיין מסתובב ברשת. תיקון 13 ביטל את חובת הרישום הכללית והשאיר אותה רק לשני סוגי מאגרים: מאגר שעיקר עיסוקו מסירת מידע אישי לאחרים ומחזיק מידע על יותר מ-10,000 אנשים, ומאגר של גוף ציבורי. במקומה נכנסה חובת הודעה לרשות: מי שמחזיק מידע בעל רגישות מיוחדת על יותר מ-100,000 אנשים ואינו חייב ברישום, צריך להודיע לרשות בתוך 30 יום. שימו לב לקשר בין השניים: מי שחייב ברישום חייב גם במינוי ממונה.

לא, והרשות דחתה במכוון ספים כמותיים נוקשים. הבחינה היא של מכלול הנסיבות: מספר האנשים שמידע עליהם מעובד, היקף המידע, סוגיו ורגישותו, ומשך פעולות העיבוד ותדירותן. גם ארגון שמעבד היקפים מוגבלים עשוי להיכנס לחובה לפי ההקשר.

ייתכן מאוד. החוק מגיע גם לגופים זרים שמעבדים מידע אישי של תושבי ישראל, ומשרד מקומי אינו מה שמפעיל אותו. חשוב מכך, היכרות עם מסגרות פרטיות זרות אינה תחליף לבקיאות מעשית בדין הישראלי, והרשות מציינת זאת במפורש ביחס לקבוצות רב-לאומיות שמבקשות למנות ממונה זר שיכסה ישות ישראלית. נדרשת גם זמינות פיזית בישראל במידת הצורך.

בקיאות מעשית ומעמיקה בדין הפרטיות הישראלי, שנצברה מניסיון משפטי או רגולטורי ממשי, לצד מודעות לאבטחת מידע והבנה עסקית. השלמת קורס הסמכה היא המלצה ברורה אך אינה מספיקה לבדה, והרשות הצהירה שתשתמש בסמכויות האכיפה שלה כדי לוודא שממונים אכן מחזיקים במומחיות הנדרשת. אני בעל הסמכת ממונה הגנת פרטיות מטעם אוניברסיטת בר-אילן.

העלות נגזרת מהיקף המאגרים, מרגישות המידע וממורכבות הארגון. המבנה הנפוץ הוא פרויקט התנעה חד פעמי שכולל את הסקר ואת מסמכי היסוד, ולצידו ריטיינר חודשי לליווי השוטף. אשמח לתת הצעת מחיר אחרי שיחת אפיון קצרה, ללא עלות.

אני גם בונה מערכות דיגיטליות מקצה לקצה, ולכן אני לא רק כותב מדיניות אלא יודע ליישם פרטיות מובנית בעיצוב ברמת מסד הנתונים, ההרשאות והקוד. כשהרשות שואלת איך בקשת מחיקה מבוצעת בפועל, התשובה היא שאילתה ולא פסקה. שירות הממונה יכול לעמוד בפני עצמו, או להשתלב בבניית מערכת חדשה כך שהיא נולדת תואמת רגולציה.