ממונה הגנת פרטיות
שהארגון שלך חייב, בלי כאב ראש.

החובה חלה על גופים ציבוריים, על סוחרי מידע ובעלי מאגרי דיוור מעל 10,000 אנשים, על ארגונים שפעילותם העיקרית כרוכה בניטור שיטתי ורחב היקף של אנשים, ועל מי שמעבד מידע בעל רגישות מיוחדת בהיקף משמעותי. גם ארגונים שאינם חייבים בוחרים למנות ממונה כדי לצמצם חשיפה לעיצומים ולחזק אמון מול לקוחות.

לא. החובה נכנסה לתוקף ב-14 באוגוסט 2025. הרשות להגנת הפרטיות הפעילה שיקול דעת באכיפה בתקופת היערכות ראשונית, שהסתיימה ב-31 באוקטובר 2025. גילוי הדעת הסופי בנוגע לחובת המינוי פורסם ב-26 ביולי 2026, ואכיפת חובת מינוי הממונה הוגדרה כיעד אכיפה.

העיצום על אי מינוי הוא 2 ₪ לכל אדם שיש עליו מידע במאגר, ו-4 ₪ אם יש במאגר מידע בעל רגישות מיוחדת, עם רצפה של 20,000 ₪ ו-40,000 ₪ בהתאמה. הדוגמה שהרשות עצמה נותנת במדריך שלה: גוף ציבורי שלא מינה ממונה ומחזיק מידע רגיש על 100,000 איש חשוף ל-400,000 ₪. בכיוון ההפוך יש הפחתה של 10% למי שמינה בפועל, ובלבד שאינו גוף ציבורי או עוסק בסחר במידע.

כן, וזה מפורשות מותר. הדרישה הנוקשה היחידה היא שהמינוי נוקב בשם של אדם טבעי מסוים, כך שהתקשרות עם חברת שירותים בלי לנקוב בשם האדם אינה מספקת. בנוסף חובה להעמיד לרשותו זמן, משאבים וגישה למידע במידה מספקת.

הממונה חייב לפעול בעצמאות וללא ניגוד עניינים, ואינו יכול לשמש במקביל בתפקיד שקובע את מטרות העיבוד. הרשות מציינת במפורש שמנהל שיווק, מנהל הצלחת לקוחות, סמנכ״ל כספים, מנהל מערכות מידע ו-CTO אינם מתיישבים עם התפקיד. שילוב עם CISO אינו אסור מראש אך מחייב ניתוח ניגוד עניינים מתועד, ובפועל ל-CISO לרוב חסרה המומחיות המשפטית שהתפקיד דורש. יועץ משפטי פנימי או חיצוני אפשרי כשאין ניגוד.

ישירות למנכ״ל, או לנושא משרה בכיר שכפוף למנכ״ל. ממונה שקבור בתוך מערך ה-IT או השיווק נכשל במבחן העצמאות, גם אם האדם עצמו מוכשר מאוד.

כנראה שלא, וזה בדיוק המקום שתופס ארגונים לא מוכנים. אצל מעבד ששומר על מספר בעלי מאגרים, החשיפה למידע בעל רגישות מיוחדת נבחנת במצטבר על פני כלל הלקוחות, ולא בנפרד לכל לקוח. מעבד שמחזיק אלף מאגרים של מאה אנשים כל אחד נבחן כמאה אלף, גם אם אף התקשרות בודדת לא הייתה מקימה את החובה.

ברוב המקרים לא, וזו אחת הטעויות הנפוצות ביותר בחומר שעדיין מסתובב ברשת. תיקון 13 ביטל את חובת הרישום הכללית והשאיר אותה רק לשני סוגי מאגרים: מאגר שעיקר עיסוקו מסירת מידע אישי לאחרים ומחזיק מידע על יותר מ-10,000 אנשים, ומאגר של גוף ציבורי. במקומה נכנסה חובת הודעה לרשות: מי שמחזיק מידע בעל רגישות מיוחדת על יותר מ-100,000 אנשים ואינו חייב ברישום, צריך להודיע לרשות בתוך 30 יום. שימו לב לקשר בין השניים: מי שחייב ברישום חייב גם במינוי ממונה.

לא, והרשות דחתה במכוון ספים כמותיים נוקשים. הבחינה היא של מכלול הנסיבות: מספר האנשים שמידע עליהם מעובד, היקף המידע, סוגיו ורגישותו, ומשך פעולות העיבוד ותדירותן. גם ארגון שמעבד היקפים מוגבלים עשוי להיכנס לחובה לפי ההקשר.

ייתכן מאוד. החוק מגיע גם לגופים זרים שמעבדים מידע אישי של תושבי ישראל, ומשרד מקומי אינו מה שמפעיל אותו. חשוב מכך, היכרות עם מסגרות פרטיות זרות אינה תחליף לבקיאות מעשית בדין הישראלי, והרשות מציינת זאת במפורש ביחס לקבוצות רב-לאומיות שמבקשות למנות ממונה זר שיכסה ישות ישראלית. נדרשת גם זמינות פיזית בישראל במידת הצורך.

בקיאות מעשית ומעמיקה בדין הפרטיות הישראלי, שנצברה מניסיון משפטי או רגולטורי ממשי, לצד מודעות לאבטחת מידע והבנה עסקית. השלמת קורס הסמכה היא המלצה ברורה אך אינה מספיקה לבדה, והרשות הצהירה שתשתמש בסמכויות האכיפה שלה כדי לוודא שממונים אכן מחזיקים במומחיות הנדרשת. אני בעל הסמכת ממונה הגנת פרטיות מטעם אוניברסיטת בר-אילן, החטיבה לתוכניות ייעודיות, שהושלמה ביולי 2026. התעודה עצמה מוצגת למטה, כי הצהרה שאפשר לבדוק שווה יותר מהצהרה שאפשר רק להאמין לה.

העלות נגזרת מהיקף המאגרים, מרגישות המידע וממורכבות הארגון. המבנה הנפוץ הוא פרויקט התנעה חד פעמי שכולל את הסקר ואת מסמכי היסוד, ולצידו ריטיינר חודשי לליווי השוטף. פירטתי בעמוד נפרד את חמשת המשתנים שמזיזים את המחיר בפועל, ואת ההשוואה בין מינוי עובד קיים לבין ממונה חיצוני. אשמח לתת הצעת מחיר אחרי שיחת אפיון קצרה, ללא עלות.

אני גם בונה מערכות דיגיטליות מקצה לקצה, ולכן אני לא רק כותב מדיניות אלא יודע ליישם פרטיות מובנית בעיצוב ברמת מסד הנתונים, ההרשאות והקוד. כשהרשות שואלת איך בקשת מחיקה מבוצעת בפועל, התשובה היא שאילתה ולא פסקה. שירות הממונה יכול לעמוד בפני עצמו, או להשתלב בבניית מערכת חדשה כך שהיא נולדת תואמת רגולציה.