מה זה DPO (ממונה הגנת הפרטיות)? מי חייב למנות ומה קורה אם לא

DPO, או בעברית ממונה על הגנת הפרטיות (מהמונח באנגלית Data Protection Officer), הוא בעל תפקיד בארגון שמסייע לו לוודא שהמידע האישי שהוא אוסף ומעבד, למשל על לקוחות, עובדים או ספקים, מנוהל בהתאם לדיני הגנת הפרטיות. מאז אוגוסט 2025, חלק מהארגונים בישראל מחויבים לראשונה למנות ממונה כזה. זו אחת החובות המרכזיות שהוסיף תיקון 13 לחוק. אם יש לכם עסק, אתם עומדים/ות בראש ארגון, או נותנות שירות לגוף שמעבד מידע של הרבה אנשים, שווה לבדוק אם החובה הזו חלה עליכן.

בסוף המאמר תדעו לענות על שלוש שאלות: האם אתם בין הגופים שחייבים במינוי, מה הממונה אמור לעשות בפועל, ומה העיצומים הכספיים הקונקרטיים שאתם מסתכנים בהם אם לא פועלים. הרשות להגנת הפרטיות פרסמה גילוי דעת רשמי בנושא מינוי ממונה (יולי 2026), והפוסט מבוסס גם עליו.

מה זה DPO ומתי הפך לחובה בישראל?

ממונה על הגנת הפרטיות (DPO) הוא בעל תפקיד שדואג לכך שהארגון פועל לפי חוק הגנת הפרטיות, ועוזר לו לעמוד בחובותיו – אבל האחריות המשפטית בפועל נשארת אצל הארגון עצמו, לא עוברת אל הממונה. בישראל, החובה למנות ממונה כזה נקבעה בתיקון 13 לחוק הגנת הפרטיות (תשפ"ד-2024), שנכנס לתוקף ב-14 באוגוסט 2025.

לפני התיקון, לא הייתה בחוק הישראלי חובה מפורשת למנות ממונה פרטיות ארגוני. תיקון 13 יצר לראשונה מחויבות מוגדרת – הן לגופים ציבוריים והן למגזר הפרטי שפעילותו כרוכה בסיכון גבוה יותר לפרטיות של אנשים.

חשוב להבהיר כבר עכשיו: לא כל עסק חייב. החובה תלויה בסוג הגוף ובאופי הפעילות שלו. עבור עסק קטן רגיל שמנהל מידע בסיסי על לקוחותיו, החובה בדרך כלל לא תחול – אבל גודל העסק לבדו אינו מכריע, במיוחד אם אתם ספק שמחזיק מידע עבור אחרים, או מפעילים שירות שמבוסס על ניטור או על מידע בעל רגישות מיוחדת.

מי חייב למנות ממונה על הגנת הפרטיות?

החוק מגדיר ארבע קטגוריות של גופים החייבים במינוי:

1. גופים ציבוריים

ככלל, גוף ציבורי כהגדרתו בחוק, וכן מחזיק (ספק חיצוני שמעבד מידע בשבילו) במאגר מידע של גוף ציבורי, חייבים במינוי ממונה על הגנת הפרטיות. הכוונה היא למשרדי ממשלה, רשויות מקומיות, אוניברסיטאות ומוסדות להשכלה גבוהה, קופות חולים, ארגוני עובדים, ועוד גופים הנכללים בצו הגנת הפרטיות (קביעת גופים ציבוריים), תשמ"ו-1986.

גופים ביטחוניים (צבא, שב"כ, משטרה ועוד) – אליהם נקבע הסדר ייעודי נפרד של "מפקח פרטיות פנימי".

2. ארגונים העוסקים בסחר במידע

אם מטרתו העיקרית של מאגר המידע היא איסוף מידע אישי לשם מסירתו לאחרים כדרך עיסוק או בתמורה – לרבות מתן שירותי דיוור ישיר – ויש במאגר מידע אישי על יותר מ-10,000 בני אדם, בעל השליטה במאגר (הארגון שקובע למה נועד המידע ואיך משתמשים בו) חייב במינוי. שימו לב: התנאי מתייחס למטרת המאגר, לא בהכרח למטרת העסק כולו.

שני התנאים חייבים להתקיים יחד. מאגר הכולל מידע על 8,000 בני אדם בלבד לא עובר, כשלעצמו, את הסף המספרי של הקטגוריה הזו – אבל זה לא אומר בהכרח שאין חובה. כדאי לבדוק אם היא חלה מכוח אחת הקטגוריות האחרות, ואם פיצול הפעילות למספר מאגרים משקף פעילויות נפרדות באמת, ולא ניסיון מלאכותי לרדת מתחת לסף.

3. ארגונים שמנטרים אנשים בשיטתיות ובהיקף ניכר

גוף שניטור שוטף ושיטתי של בני אדם – מעקב אחר התנהגות, מיקום או פעולות – הוא חלק מרכזי מהפעילות שלו, בהיקף ניכר, חייב במינוי. זה נכון גם אם הניטור עצמו הוא לא מה שהגוף מוכר ללקוחות, כל עוד הוא חלק מהותי מאיך שהוא פועל בפועל. בלשון החוק: מדובר בגוף שעיסוקיו העיקריים כוללים פעולות עיבוד מידע, או כרוכים בהן, כאשר טיבן, היקפן או מטרתן מחייבות ניטור כזה. החוק מציין במפורש כדוגמאות: חברת סלולר וספק שירות חיפוש מקוון. גם פלטפורמות פרסום דיגיטלי ושירותים טכנולוגיים מבוססי-מעקב עשויים להיכלל בקטגוריה – אבל לא אוטומטית, רק כשהניטור הוא חלק מרכזי מהעיסוק שלהם ונעשה בהיקף ניכר.

עסק קטן שמשתמש ב-Google Analytics בלבד – ככל הנראה אינו נמנה על הקטגוריה הזו. מי שמפעיל כחלק מעיסוקיו העיקריים מערכת מעקב מסחרית על קהל גדול – עשוי בהחלט להיכלל בקטגוריה, אך זה עדיין מבחן מהותי שבודק גם שיטתיות והיקף, לא רק גודל הקהל.

4. ארגונים שמעבדים מידע בעל רגישות מיוחדת בהיקף ניכר

גוף שעיבוד מידע בעל רגישות מיוחדת הוא חלק מרכזי מהפעילות שלו, בהיקף ניכר, חייב במינוי – גם אם עיבוד המידע הוא לא המוצר או השירות שהגוף מוכר בפועל, אלא רק מרכיב הכרחי בדרך שבה הוא פועל. בלשון החוק: מדובר בגוף שעיסוקיו העיקריים כוללים עיבוד כזה, או כרוכים בו. מידע בעל רגישות מיוחדת כולל, בין היתר: מידע רפואי, מידע פיננסי ונתוני שכר, מידע ביומטרי, מידע גנטי, מידע פלילי, ומידע על עמדות פוליטיות ואמונות דתיות.

החוק מציין כדוגמאות מרכזיות בקטגוריה זו: תאגידים בנקאיים, מבטחים, בתי חולים כלליים וקופות חולים.

גם הספק החיצוני עשוי להיות חייב – ודווקא כאן יש חידוש חשוב

פרט חשוב שרוב הארגונים מתעלמים ממנו: בקטגוריות 3 ו-4, החובה חלה לא רק על בעל השליטה במאגר המידע (הארגון עצמו), אלא גם על "מחזיק" – כלומר ספק חיצוני שמעבד את המידע מטעמו.

זו נקודה שחשוב שתכירו במיוחד אם אתן ספק – למשל חברת SaaS שמנתחת מידע רפואי בשביל כמה קליניקות, או ספקית תוכנה שעובדת עם כמה גופים ציבוריים במקביל. גם אם ההתקשרות הבודדת שלכן נראית שולית, סך הפעילות שלכן מול כל הלקוחות יכול להכניס אתכן לחובה.

אם אתם עסק קטן שנותן שירות לגוף גדול יותר ונוגע במידע שלו – הנהלת חשבונות, תמיכת IT, מוקד שירות – שווה גם להכיר את מה חייבים לעשות לפי תקנות אבטחת המידע, שם הרחבתי על מתי ספק כזה נחשב "מחזיק" ואילו חובות חלות עליו בכל מקרה, גם אם הוא לא חייב במינוי DPO.

מה הממונה עושה בפועל?

גילוי הדעת של הרשות מסביר שהתפקיד של הממונה הוא לוודא שהארגון עומד בדרישות החוק, ולקדם הגנה על הפרטיות גם מעבר למינימום הנדרש – מה שהרשות מכנה "תרבות פרטיות". בפועל, זה מתפרק לכמה תחומי אחריות עיקריים:

סמכות מקצועית וייעוץ להנהלה – ה-DPO הוא מוקד הידע בארגון בנושאי פרטיות, ומייעץ להנהלה בסוגיות הנוגעות לעיבוד מידע.

הכנת תכנית הדרכה ופיקוח על ביצועה – הממונה אחראי להדריך עובדים ולפקח על ביצוע ההדרכה. בארגונים רבים נכון להפוך זאת לתכנית שנתית או תקופתית, כחלק מתכנית הציות הכוללת.

תכנית בקרה שוטפת – ה-DPO מכין ומפעיל מנגנון לבקרה שוטפת על עמידה בהוראות החוק, מדווח להנהלה על ממצאים ומציע תיקונים.

מעקב אחרי אבטחת המידע – הממונה לא מחליף את ממונה אבטחת המידע, ולא אחראי במקומו – אבל צריך לוודא שקיימים מסמך הגדרות מאגר, נהלי אבטחת מידע, ותהליכי עבודה שהתקנות דורשות, ולהתריע אם יש פערים.

טיפול בפניות נושאי מידע – הממונה משמש כתובת מרכזית לפניות בנושאי עיון, תיקון מידע ושאלות על זכויות לפי החוק, ומוודא שהן מטופלות כנדרש.

איש קשר עם הרשות להגנת הפרטיות – פרטי הקשר של ה-DPO חייבים להיות גלויים לציבור, והרשות יכולה לפנות אליו ישירות.

חשוב לדעת: לפי גילוי הדעת, החוק אינו מטיל על הממונה אחריות אישית בגין הפרות של הארגון. זה תפקיד של בקרה, ייעוץ והטמעה – לא תפקיד שמעמיד את הממונה "באש" כשמשהו משתבש.

דרכי ההתקשרות עם הממונה צריכות להיות נגישות לציבור – מדיניות הפרטיות של הארגון היא מקום טבעי ונוח לפרסם אותן, אבל אפשר גם עמוד ייעודי או ערוץ פניות ציבור ברור. רוצים לבדוק אם המדיניות הקיימת שלכם כבר מציינת את זה? אפשר להריץ עליה בדיקה חינמית ב-Privacy Score – כלי שפיתחתי, שנותן ציון ורשימת ממצאים תוך כמה דקות, בלי הרשמה. הכלי יכול לבדוק אם פרטי ההתקשרות מופיעים במדיניות עצמה, אך אינו מחליף בדיקה של חובת המינוי עצמה ושל אופן יישומה בארגון.

מי יכול להיות DPO – ומי לא?

כישורים נדרשים

לפי גילוי הדעת, הממונה נדרש ל:

• ידע מעמיק בדיני הגנת הפרטיות הישראליים – החוק, הפסיקה, התקנות, הנחיות הרשות, ורגולציה מגזרית רלוונטית לתחום הפעילות של הארגון. חקיקה זרה כמו ה-GDPR (תקנת הגנת הפרטיות של האיחוד האירופי) אינה חלק מהדרישה עצמה, אבל היכרות איתה רצויה בארגונים עם פעילות בינלאומית משמעותית.
• הבנה הולמת בטכנולוגיה ואבטחת מידע – ברמה שמאפשרת ביצוע התפקיד בפועל, בלי צורך בתואר אקדמי בתחום.
• היכרות עם תחומי פעילות הארגון – כי הגנת פרטיות תלויה בהבנת ההקשר העסקי.

הרשות מדגישה שהידע הזה נרכש בדרך כלל מניסיון מעשי משמעותי, ורצוי שילווה בהכשרה בסיסית – והמומחיות צריכה להיות ניתנת להוכחה, לא רק הצהרה.

ניגוד עניינים: מבחן מהותי, לא רשימה סגורה

הממונה לא יכול לכהן בתפקיד נוסף שמעמיד אותו בחשש לניגוד עניינים – הוא לא רשאי למלא תפקיד שכולל סמכות לקבוע מדיניות עיבוד מידע, ואף לא להיות כפוף למי שממלא תפקיד כזה. גילוי הדעת מציין תפקידים בכירים שבהם ניגוד עניינים עלול להתקיים לעיתים קרובות: מנהל שיווק, מנהל כספים (CFO), ו-CTO. שני חידודים מהנוסח הסופי שכדאי לדעת:

• ביחס למנהל מערכות המידע – הרשות קובעת שניגוד עניינים מתקיים ככלל, וזה חל גם על עובדים שכפופים לו.
• ביחס לכפל תפקידים עם ממונה אבטחת מידע (CISO) – העמדה רוככה מעט לעומת הטיוטה. במקום קביעה גורפת שהתפקידים לא מתאימים, הנוסח הסופי אומר שהכפל "מעורר שאלות" ומחייב בחינה פרטנית מצד הארגון, עם נימוק מבוסס ותיעוד. כלומר: אפשר לשקול את זה, אבל לא בלי בדיקה רצינית – וכדאי לעשות אותה עם ליווי מקצועי.

ממונה שמשמש במקביל גם כיועץ משפטי של הארגון נדרש לאמצעי הפרדה ברורים בין הכובעים – למשל חתימה נפרדת ותיבת דוא"ל ייעודית לתפקיד ה-DPO.

הממונה צריך לדווח ישירות למנכ"ל, או לגורם הכפוף במישרין למנכ"ל – ועל הארגון לספק לו את התנאים והמשאבים הנדרשים לתפקיד, כולל תקציב, צוות וגישה למידע.

DPO פנימי לעומת חיצוני

החוק מאפשר להעסיק את הממונה כעובד פנימי או כנותן שירותים חיצוני – אבל בכל מקרה, רק אדם ספציפי (לא חברה) יכול להתמנות לתפקיד עצמו, גם אם הוא נעזר בצוות מסייע, ואפילו אם ההתקשרות מתבצעת דרך חברה שהוא מועסק בה. גילוי הדעת הסופי גם ריכך כאן את הניסוח לעומת הטיוטה: במקום לקבוע שהעסקה פנימית היא "אופטימלית", הוא מסתפק בכך ש"על פי רוב קיים יתרון" להעסקת עובד במשרה מלאה, מתוך הנחה שכך מתאפשרת היכרות מעמיקה יותר עם הארגון.

מהניסיון שלי, בעסקים קטנים ובינוניים ליווי חיצוני הוא הפתרון הפרקטי והנפוץ יותר – כל עוד הממונה באמת זמין ומעורב בפועל, ולא רק "שם על נייר".

DPO ≠ ממונה אבטחת מידע

זהו אחד הבלבולים הנפוצים ביותר. ממונה הגנת פרטיות וממונה אבטחת מידע (CISO) הם שני תפקידים שונים – עם דרישות ידע, מיומנות ואחריות שונות. ממונה אבטחת מידע לא בהכרח עומד בדרישת ה"ידע המעמיק בדיני הגנת הפרטיות" שהחוק דורש. כפי שציינתי למעלה, איחוד שני התפקידים לא נפסל אוטומטית – אבל הוא דורש בדיקה פרטנית, נימוק ותיעוד, ולא כדאי להחליט עליו בלי ליווי משפטי או מקצועי.

מה קורה אם לא ממנים?

אי-מינוי ממונה הגנת פרטיות כשיש חובה לכך מהווה הפרה של חוק הגנת הפרטיות, שמולה הרשות להגנת הפרטיות רשאית להטיל עיצום כספי.

נוסחת העיצום: העיצום מחושב לפי מספר בני האדם שמידע עליהם מצוי במאגר – 2 ₪ לכל אדם, או 4 ₪ אם המאגר כולל מידע בעל רגישות מיוחדת. כאשר התוצאה יוצאת נמוכה מ-20,000 ₪ (או מ-40,000 ₪ במאגר עם מידע בעל רגישות מיוחדת), ראש הרשות יכול לקבוע שהעיצום יעמוד על הסכומים האלה – זו סמכות שלו, לא מינימום אוטומטי בכל מקרה.

אי-מינוי עצמו הוא הפרה מנהלית שבגינה ניתן להטיל עיצום כספי, כפי שתיארתי למעלה. לצד זה, תיקון 13 נתן לרשות כלי אכיפה נוספים ביחס להפרות שונות של החוק – אבל אלה אינם תוצאה אוטומטית של כל מקרה של אי-מינוי כשלעצמו.

יתרון למי שכן ממנה: ארגון שחייב במינוי מכוח קטגוריית הניטור השיטתי (3) או קטגוריית המידע בעל הרגישות המיוחדת (4), ומינה בפועל ממונה לפני שנמסרה לו הודעה על כוונת חיוב – זכאי, בכפוף לתנאים הקבועים בדין, להפחתה של 10% מעיצום כספי שיוטל עליו בגין הפרות אחרות של החוק. מינוי הממונה הוא לא רק חובה – במקרים מסוימים הוא גם גורם מפחית סנקציה.

הרשות אף ממליצה לשקול מינוי ממונה וולונטרי גם בארגונים שלא חייבים בכך על פי דין – בעיקר גופים "דו-מהותיים" (גופים פרטיים שממלאים תפקידים ציבוריים) – מכיוון שהמינוי משפר ציות ומחזק את אמון הלקוחות, גם כשאין חובה פורמלית.

לסיכום

תיקון 13 הכניס לחוק הישראלי חובת מינוי ממונה הגנת פרטיות (DPO) – אך לא לכולם. אם אתם גוף ציבורי, עוסקים בסחר מידע, מנטרים אנשים בהיקף ניכר, או מעבדים (או מחזיקים עבור אחרים) מידע בעל רגישות מיוחדת בהיקף ניכר – אתם בין הגופים שהחוק מחייב. אם אתם ספקי שירות לגופים כאלה – בדקו את זה גם מהזווית של ההיקף המצטבר, לא רק מול לקוח בודד.

ה-DPO אינו עוד בעל תפקיד בירוקרטי. הוא הגורם שפועל להבטיח שהארגון עומד בדרישות החוק, שהעובדים יודעים את הכללים, ושפניות של אנשים מטופלות – ודרכי ההתקשרות איתו צריכות להיות נגישות לציבור, בדרך כלל דרך מדיניות הפרטיות של הארגון.