ממונה הגנת פרטיות
שהארגון שלך חייב, בלי כאב ראש.

החובה חלה על גופים ציבוריים, על סוחרי מידע ובעלי מאגרי דיוור מעל 10,000 אנשים, על ארגונים שפעילותם העיקרית כרוכה בניטור שיטתי ורחב היקף של אנשים, ועל מי שמעבד מידע בעל רגישות מיוחדת בהיקף משמעותי. גם ארגונים שאינם חייבים בוחרים למנות ממונה כדי לצמצם חשיפה לעיצומים ולחזק אמון מול לקוחות.

לא. החובה נכנסה לתוקף ב-14 באוגוסט 2025. הרשות להגנת הפרטיות הפעילה שיקול דעת באכיפה בתקופת היערכות ראשונית, שהסתיימה ב-31 באוקטובר 2025. גילוי הדעת הסופי בנוגע לחובת המינוי פורסם ב-26 ביולי 2026, ואכיפת חובת מינוי הממונה הוגדרה כיעד אכיפה.

העיצום על אי מינוי הוא 2 ₪ לכל אדם שיש עליו מידע במאגר, ו-4 ₪ אם יש במאגר מידע בעל רגישות מיוחדת, עם רצפה של 20,000 ₪ ו-40,000 ₪ בהתאמה. הדוגמה שהרשות עצמה נותנת במדריך שלה: גוף ציבורי שלא מינה ממונה ומחזיק מידע רגיש על 100,000 איש חשוף ל-400,000 ₪. בכיוון ההפוך יש הפחתה של 10% למי שמינה בפועל, ובלבד שאינו גוף ציבורי או עוסק בסחר במידע.

כן, וזה מפורשות מותר. הדרישה הנוקשה היחידה היא שהמינוי נוקב בשם של אדם טבעי מסוים, כך שהתקשרות עם חברת שירותים בלי לנקוב בשם האדם אינה מספקת. בנוסף חובה להעמיד לרשותו זמן, משאבים וגישה למידע במידה מספקת.

הממונה חייב לפעול בעצמאות וללא ניגוד עניינים, ואינו יכול לשמש במקביל בתפקיד שקובע את מטרות העיבוד. הרשות מציינת במפורש שמנהל שיווק, מנהל הצלחת לקוחות, סמנכ״ל כספים, מנהל מערכות מידע ו-CTO אינם מתיישבים עם התפקיד. שילוב עם CISO אינו אסור מראש אך מחייב ניתוח ניגוד עניינים מתועד, ובפועל ל-CISO לרוב חסרה המומחיות המשפטית שהתפקיד דורש. יועץ משפטי פנימי או חיצוני אפשרי כשאין ניגוד.

ישירות למנכ״ל, או לנושא משרה בכיר שכפוף למנכ״ל. ממונה שקבור בתוך מערך ה-IT או השיווק נכשל במבחן העצמאות, גם אם האדם עצמו מוכשר מאוד.

כנראה שלא, וזה בדיוק המקום שתופס ארגונים לא מוכנים. אצל מעבד ששומר על מספר בעלי מאגרים, החשיפה למידע בעל רגישות מיוחדת נבחנת במצטבר על פני כלל הלקוחות, ולא בנפרד לכל לקוח. מעבד שמחזיק אלף מאגרים של מאה אנשים כל אחד נבחן כמאה אלף, גם אם אף התקשרות בודדת לא הייתה מקימה את החובה.

ברוב המקרים לא, וזו אחת הטעויות הנפוצות ביותר בחומר שעדיין מסתובב ברשת. תיקון 13 ביטל את חובת הרישום הכללית והשאיר אותה רק לשני סוגי מאגרים: מאגר שעיקר עיסוקו מסירת מידע אישי לאחרים ומחזיק מידע על יותר מ-10,000 אנשים, ומאגר של גוף ציבורי. במקומה נכנסה חובת הודעה לרשות: מי שמחזיק מידע בעל רגישות מיוחדת על יותר מ-100,000 אנשים ואינו חייב ברישום, צריך להודיע לרשות בתוך 30 יום. שימו לב לקשר בין השניים: מי שחייב ברישום חייב גם במינוי ממונה.

לא, והרשות דחתה במכוון ספים כמותיים נוקשים. הבחינה היא של מכלול הנסיבות: מספר האנשים שמידע עליהם מעובד, היקף המידע, סוגיו ורגישותו, ומשך פעולות העיבוד ותדירותן. גם ארגון שמעבד היקפים מוגבלים עשוי להיכנס לחובה לפי ההקשר.

ייתכן מאוד. החוק מגיע גם לגופים זרים שמעבדים מידע אישי של תושבי ישראל, ומשרד מקומי אינו מה שמפעיל אותו. חשוב מכך, היכרות עם מסגרות פרטיות זרות אינה תחליף לבקיאות מעשית בדין הישראלי, והרשות מציינת זאת במפורש ביחס לקבוצות רב-לאומיות שמבקשות למנות ממונה זר שיכסה ישות ישראלית. נדרשת גם זמינות פיזית בישראל במידת הצורך.

בקיאות מעשית ומעמיקה בדין הפרטיות הישראלי, שנצברה מניסיון משפטי או רגולטורי ממשי, לצד מודעות לאבטחת מידע והבנה עסקית. השלמת קורס הסמכה היא המלצה ברורה אך אינה מספיקה לבדה, והרשות הצהירה שתשתמש בסמכויות האכיפה שלה כדי לוודא שממונים אכן מחזיקים במומחיות הנדרשת. אני בעל הסמכת ממונה הגנת פרטיות מטעם אוניברסיטת בר-אילן, החטיבה לתוכניות ייעודיות, שהושלמה ביולי 2026. התעודה עצמה מוצגת למטה, כי הצהרה שאפשר לבדוק שווה יותר מהצהרה שאפשר רק להאמין לה.

העלות נגזרת ממספר המאגרים, מרגישות המידע, ממספר הספקים ומכך שמדובר בגוף ציבורי או בחברה פרטית. אני עובד בהסכם שנתי אחד שמכסה את שלושת השלבים, ונותן מחיר סגור אחרי שיחת אפיון קצרה ולפני שמישהו מתחייב, כי מחיר שנקבע בלי לראות את המאגרים הוא ניחוש. פירטתי בעמוד נפרד את חמשת המשתנים שמזיזים את המחיר בפועל, ואת ההשוואה בין מינוי עובד קיים לבין ממונה חיצוני.

הריטיינר מכסה את העבודה השוטפת בהיקף שמוגדר בהסכם. מה שחורג ממנו, כמו טיפול באירוע אבטחה חמור, מיפוי של מאגר גדול חדש שנוסף באמצע השנה או בניית מערכת, מתומחר בנפרד ומראש, ולא מתגלה בחשבונית. ההגדרה הזאת נעשית בכתב לפני החתימה, כדי ששני הצדדים יודעים מה הם קונים.

אני גם בונה מערכות דיגיטליות מקצה לקצה, ולכן אני יכול לבדוק את מסד הנתונים, ההרשאות ותהליך המחיקה שלכם ולא רק את המסמכים. כשהרשות שואלת איך בקשת מחיקה מבוצעת בפועל, התשובה היא שאילתה ולא פסקה. יש לזה גבול שכדאי להכיר: ממונה שבנה את המערכת שהוא מפקח עליה בודק את עבודת עצמו, ולכן אם אני גם בונה לארגון, אני לא לוקח את שני התפקידים בלי ניתוח ניגוד עניינים מתועד.