שירות DPO חיצוני
ממונה על הגנת הפרטיות לעסקים ולארגונים
אם הארגון שלכם חייב למנות ממונה על הגנת הפרטיות (DPO) לפי תיקון 13, אני יכול למלא את התפקיד מבחוץ: מינוי רשמי, עבודה שוטפת מול ההנהלה והצוות, ופתרונות שמיושמים בפועל באתר ובמערכות. ואם מתברר שאתם לא חייבים, אגיד לכם את זה בפשטות.
בוגר קורס ממוני הגנת הפרטיות (DPO) באוניברסיטת תל אביב, בחסות הרשות להגנת הפרטיות
בקצרה: מה צריך לדעת על שירות DPO
- מה זה DPO: ממונה על הגנת הפרטיות הוא האדם שמלווה ומפקח על האופן שבו הארגון אוסף, שומר ומשתמש במידע אישי, ומשמש איש הקשר מול הרשות להגנת הפרטיות.
- מי חייב: מאז כניסת תיקון 13 לתוקף באוגוסט 2025, חלק מהארגונים חייבים למנות DPO. החובה תלויה בסוג הארגון ובאופי הפעילות שלו, לא רק בגודל שלו.
- DPO חיצוני: במקום לגייס עובד, ממנים איש מקצוע מחוץ לארגון שממלא את התפקיד בהיקף שמתאים לכם. זה מה שנקרא DPO as a Service.
- מה כלול: מינוי ופרסום פרטי הממונה, מיפוי מאגרי מידע, סקר פערים, נהלים, טיפול בפניות, ליווי מול הרשות ויישום טכני.
- כמה עולה: העלות נגזרת מהערכת שעות לפי המורכבות של הארגון. תעריף שעת עבודה: 250 ₪ + מע"מ.
- מי הממונה: בוגר קורס ממוני הגנת הפרטיות באוניברסיטת תל אביב, בחסות הרשות להגנת הפרטיות, עם רקע של פיתוח וייעוץ טכנולוגי.
מה זה DPO חיצוני?
ממונה על הגנת הפרטיות (באנגלית: Data Protection Officer, או DPO) הוא תפקיד שתיקון 13 לחוק הגנת הפרטיות הכניס לחוק הישראלי. הממונה מייעץ להנהלה, בודק שהעבודה עם מידע אישי מתנהלת לפי החוק, מטפל בפניות של אנשים שהמידע שלהם נשמר בארגון, ומשמש איש הקשר מול הרשות להגנת הפרטיות.
DPO חיצוני הוא אותו תפקיד בדיוק, במיקור חוץ. במקום לגייס עובד ייעודי, הארגון ממנה איש מקצוע מבחוץ שעובד מולו באופן שוטף. בשוק המודל הזה נקרא גם DPO as a Service. אפשר למנות ממונה מתוך הארגון או מחוצה לו, ובשני המקרים צריך לוודא שאין ניגוד עניינים ושיש לממונה את הזמן, הידע והגישה כדי לבצע את התפקיד.
חשוב להבחין: DPO הוא לא עורך הדין של הארגון ולא ממונה אבטחת המידע (CISO). עורך הדין מייצג את הארגון, ממונה אבטחת המידע אחראי על ההגנה הטכנית על המערכות, והממונה על הגנת הפרטיות מוודא שהשימוש במידע עצמו הוגן, מוגבל למטרה וחוקי. במדריך המלא על DPO הרחבתי על ההבדלים ועל הכישורים הנדרשים.
מי חייב למנות DPO לפי תיקון 13?
החובה למנות ממונה על הגנת הפרטיות לא חלה על כל עסק. היא חלה על ארבעה סוגים של ארגונים, לפי סוג הארגון ואופי הפעילות העיקרית שלו:
גופים ציבוריים
משרדי ממשלה, רשויות מקומיות וגופים ציבוריים אחרים כפי שהם מוגדרים בחוק.
ארגונים שעוסקים בסחר במידע
ארגונים שעיקר הפעילות שלהם הוא איסוף מידע אישי כדי למסור אותו לאחרים, כמו מתווכי מידע (Data Brokers).
ניטור שיטתי בהיקף ניכר
ארגונים שהפעילות העיקרית שלהם כוללת מעקב שיטתי אחרי אנשים בהיקף ניכר, למשל מעקב התנהגות או מיקום.
מידע בעל רגישות מיוחדת בהיקף ניכר
ארגונים שהפעילות העיקרית שלהם כוללת עיבוד מידע בעל רגישות מיוחדת, כמו מידע רפואי, ביומטרי או גנטי, בהיקף ניכר.
"היקף ניכר" לא מוגדר במספר אחד. הרשות להגנת הפרטיות פרסמה גילוי דעת שמסביר איך לבחון אותו, ופירטתי אותו במדריך: מי חייב למנות ממונה על הגנת הפרטיות. שימו לב שגם ספק שמעבד מידע עבור ארגון אחר עשוי להיות חייב במינוי.
לא בטוחים שאתם חייבים? רוב העסקים הקטנים לא חייבים למנות DPO, אבל הם כן חייבים לעמוד בשאר הדרישות של תיקון 13: מדיניות פרטיות, אבטחת מידע, טיפול בפניות ועוד. בשבילם בניתי ליווי פרטיות לעסקים קטנים, בלי מינוי של ממונה.
מה כלול בשירות DPO חיצוני?
השירות מכסה את כל מה שהממונה אחראי עליו לפי החוק, ועוד דבר אחד שלרוב חסר: יישום בפועל.
מינוי רשמי ופרסום פרטי הממונה
כתב מינוי, הגדרת סמכויות ודרכי קשר, ועדכון פרטי הממונה במדיניות הפרטיות ובאתר.
מיפוי מאגרי מידע
איזה מידע אישי נאסף, איפה הוא נשמר, מי ניגש אליו ולכמה זמן הוא נשמר.
סקר פערים מול תיקון 13
בדיקה מול חוק הגנת הפרטיות ותקנות אבטחת מידע, ורשימת פערים מסודרת לפי סדר עדיפויות.
מסמכים ונהלים
מסמך הגדרות מאגר, נוהל טיפול בפניות ונוהל לאירוע אבטחה, מותאמים לאופן שבו אתם עובדים בפועל.
טיפול בפניות של נושאי מידע
מענה מסודר לבקשות עיון ותיקון של לקוחות, עובדים ופונים אחרים.
ליווי מול הרשות ובאירועי אבטחה
נקודת קשר אחת מול הרשות להגנת הפרטיות, וליווי בהערכה ובדיווח כשקורה אירוע.
בקרת ספקים
בדיקה של ספקים ומערכות שמעבדים מידע עבורכם, ושל ההסכמים שמגדירים מה מותר להם לעשות בו.
הדרכה לעובדים ולהנהלה
הדרכה קצרה ומעשית: מה מותר, מה אסור, ומה עושים כשמשהו משתבש.
יישום טכני באתר ובמערכות
כאן אני שונה: אני גם מתקן בפועל. טפסים, עוגיות ומעקב, הרשאות, אוטומציות ושמירת נתונים בוורדפרס, ווקומרס ומערכות אחרות.
למה DPO שהוא גם מפתח?
רוב שירותי ה-DPO מגיעים מעולם המשפט או מעולם אבטחת המידע. אני מגיע מעולם הפיתוח, ובפועל זה אומר שלושה דברים:
החוק פוגש את הקוד
אני לא רק כותב שצריך לצמצם איסוף מידע. אני יודע איזה שדה בטופס להוריד, ואיך לעשות את זה בלי לשבור את האתר.
בשפה של בעלי עסקים
בלי להפחיד ובלי ז'רגון. אתם מקבלים רשימת צעדים ברורה לפי סדר עדיפויות, לא חוות דעת של עשרות עמודים.
אדם אחד, אחריות אחת
אני עובד לבד, לא סוכנות. מי שממונה אצלכם הוא מי שעונה לטלפון, ולכן אני מלווה מספר מוגבל של ארגונים במקביל.
וכשעולה שאלה משפטית מורכבת, אני ממליץ לשלב עורך דין שמתמחה בהגנת הפרטיות. זה חלק מעבודה נכונה, לא חולשה.
כמה עולה שירות DPO חיצוני?
אין כאן חבילה קבועה, וזה מכוון. לכל ארגון מורכבות אחרת: כמה מאגרי מידע יש, כמה רגיש המידע, כמה פניות מגיעות וכמה מערכות וספקים מעורבים. לכן העלות נגזרת מהערכת שעות שמותאמת לארגון שלכם, ולא ממחיר אחיד שמתאים לכולם.
הקמה ומינוי
מיפוי, סקר פערים, מסמכים ומינוי רשמי. אחרי שיחת האבחון תקבלו הערכת שעות כתובה לשלב הזה, לפני שמתחילים.
לפי הערכת שעות מראש
ליווי שוטף כ-DPO
זמינות שוטפת, טיפול בפניות, בקרה תקופתית ועדכון לשינויי רגולציה. מתומחר לפי השעות שנדרשות בפועל, עם דיווח שקוף.
לפי שעות בפועל
תעריף שעת עבודה: 250 ₪ + מע"מ. אחרי שיחת האבחון תקבלו הערכת שעות כתובה, כדי שתדעו מראש למה לצפות, בלי סעיפים נסתרים.
איך זה עובד: שלושה שלבים
שיחת אבחון
30 דקות, בלי התחייבות. נבין מה אתם עושים עם מידע אישי והאם אתם חייבים במינוי.
מינוי ומיפוי
מיפוי מאגרים, סקר פערים, מסמכי מינוי ותוכנית עבודה לפי סדר עדיפויות.
ליווי שוטף
פגישות קבועות, טיפול בפניות, עדכון לשינויי רגולציה ודוח תקופתי להנהלה.
למי השירות מתאים, ולמי פחות?
מתאים לכם אם
- אתם ארגון קטן או בינוני שחייב במינוי, ולא צריך ממונה במשרה מלאה.
- המידע האישי שלכם עובר בעיקר דרך אתר, טפסים, CRM ואוטומציות.
- אתן עמותה, קליניקה או חברת טכנולוגיה קטנה שמעבדת מידע בעל רגישות מיוחדת.
- חשוב לכם שהפערים יתוקנו בפועל, ולא רק יתועדו.
פחות מתאים אם
- אתם ארגון גדול שצריך צוות משפטי וטכני מלא סביב השעון.
- אתם מחפשים מענה למכרז ציבורי גדול שדורש צוות מורחב.
- אתם מחפשים חותמת בלי לשנות שום דבר בפועל.
- אתם לא חייבים במינוי. במקרה כזה עדיף המסלול לעסקים שלא חייבים במינוי, שזול וממוקד יותר.
מי הממונה?
אני שגיא, מפתח ויועץ טכנולוגי עם יותר מ-15 שנות ניסיון, ומלווה עסקים וארגונים בהטמעה של תיקון 13 בתהליכי העבודה שלהם. סיימתי את קורס ממוני הגנת הפרטיות (DPO) בפקולטה למשפטים באוניברסיטת תל אביב, שהתקיים בחסות הרשות להגנת הפרטיות (2025), ואת קורס ממונה הגנת פרטיות ואבטחת מידע של ג'ון ברייס (2026).
פיתחתי את Privacy Score, כלי חינמי שבודק מדיניות פרטיות לפי החוק הישראלי ומחזיר ציון ונקודות לשיפור. הכלי מזהה את הפערים הבולטים, אבל הוא לא מחליף בדיקה מקצועית. בימים אלה אני גם מפתח את Privacy Pilot, תוסף וורדפרס שהופך דרישות פרטיות לפעולות מעשיות באתר: תיעוד הסכמות, גרסאות של מדיניות הפרטיות, שמירת נתונים ובקרות פרטיות. הוא עדיין לא זמין, אבל אפשר להצטרף לרשימת ההמתנה. עוד עליי ועל הדרך שבה אני עובד.
שאלות נפוצות על שירות DPO
מה זה DPO?
ממונה על הגנת הפרטיות, באנגלית Data Protection Officer או DPO, הוא האדם שמלווה ומפקח על הטיפול במידע אישי בארגון, מייעץ להנהלה ומשמש איש הקשר מול הרשות להגנת הפרטיות. בישראל התפקיד הוסדר בתיקון 13 לחוק הגנת הפרטיות.
מה ההבדל בין DPO חיצוני ל-DPO פנימי?
DPO פנימי הוא עובד של הארגון. DPO חיצוני הוא איש מקצוע מבחוץ שממונה לתפקיד בהיקף שמתאים לארגון. בארגונים קטנים ובינוניים מינוי חיצוני הוא בדרך כלל הפתרון המעשי, כי אין צורך במשרה מלאה. בשני המקרים צריך לוודא שאין ניגוד עניינים.
כמה עולה שירות DPO חיצוני?
אין חבילה קבועה, כי לכל ארגון מורכבות אחרת. העלות נגזרת מהערכת שעות לפי מספר המאגרים, רגישות המידע והיקף הפעילות. תעריף שעת עבודה אצלי הוא 250 ₪ + מע"מ, ואחרי שיחת אבחון תקבלו הערכת שעות כתובה.
האם ה-DPO חייב להיות עורך דין?
לא. החוק לא דורש שהממונה יהיה עורך דין. נדרש ידע בדיני הגנת הפרטיות, הבנה בטכנולוגיה ובאבטחת מידע, והיכרות עם פעילות הארגון. כשעולה שאלה משפטית מורכבת, נכון לשלב עורך דין שמתמחה בהגנת הפרטיות.
מה ההבדל בין DPO לבין CISO, ממונה אבטחת המידע?
ממונה אבטחת המידע אחראי על ההגנה הטכנית של המערכות מפני פריצה ודליפה. ה-DPO אחראי על השאלה אם בכלל מותר לאסוף ולהשתמש במידע, לאיזו מטרה ולכמה זמן. התפקידים משלימים זה את זה, ובחלק מהארגונים נדרשים שניהם.
אני לא חייב במינוי DPO. אתה עדיין יכול לעזור?
כן, וזה המצב של רוב העסקים הקטנים. גם בלי חובת מינוי צריך לעמוד בדרישות של תיקון 13, ובשביל זה יש ליווי פרטיות לעסקים: מיפוי, מסמכים והתאמה של האתר והמערכות, בלי מינוי רשמי.
כמה זמן לוקח להתחיל?
את שיחת האבחון אפשר לקבוע בדרך כלל תוך כמה ימים. המינוי והמיפוי הראשוני נמשכים כמה שבועות, לפי מספר המאגרים והמערכות.
רוצים לדעת אם אתם חייבים DPO, ומה זה אומר אצלכם?
שיחת אבחון קצרה, בלי התחייבות. בסופה תדעו אם אתם חייבים במינוי ומה הצעדים הבאים.
בואו נדבר