עדכוני לקוחות ופרסומים

בסמוך לכניסת תיקון 13 לחוק הגנת הפרטיות לתוקף (להלן: "החוק" ו"תיקון 13"), פרסמה הרשות להגנת הפרטיות טיוטת גילוי דעת בעניין מינוי ממונה על הגנת הפרטיות ("הממונה"). הציבור מוזמן להעביר הערות עד 23.9.2025.

הרשות מבהירה כי הפרשנות המובאת בטיוטה תשמש אותה בהפעלת סמכויות אכיפה, לרבות בהטלת עיצומים כספיים, אך תתחשב בכך שמדובר בטיוטה להערות הציבור.

טרם נסקור את גילוי הדעת, נציג בתמצית את העדכונים המרכזיים שמביא תיקון 13 לחוק, המחייבים היערכות מתאימה:

• הרחבת סמכויות הפיקוח והאכיפה של הרשות להגנת הפרטיות כולל הטלת עיצומים כספיים משמעותיים, שעלולים להגיע למאות אלפי שקלים ובנסיבות קיצוניות למיליוני ₪.
• פיצויים לדוגמה עד 10,000 ₪ לכל הפרה ("אפקט חוק הספאם").
• הרחבת חובות היידוע בעת איסוף מידע (תוצאות אי-הסכמה למסירת מידע, פרטי בעל השליטה, זכויות עיון ותיקון, האם קיימת חובה חוקית למסירה).
• צמצום משמעותי של חובת רישום מאגרי מידע וחובת הודעה חלף רישום.
• עבירות פליליות חדשות כגון עיבוד מידע ללא הרשאה והטעיה מכוונת של נושא מידע.
• חובת מינוי ממונה הגנת פרטיות (DPO).

מהם עיקרי גילוי הדעת של הרשות בעניין מינוי ממונה על הגנת הפרטיות?

1. מיהם הגופים החייבים במינוי ממונה? תיקון 13 קובע שהגופים הבאים חייבים במינוי ממונה:
   • גופים ציבוריים - חובת המינוי חלה הן על בעל שליטה במאגר מידע והן על כל מחזיק במאגר מידע של גוף ציבורי המעבד מידע עבורו. הערה: הרשות ממליצה לשקול בכובד ראש מינוי ממונה בארגונים דו-מהותיים, הכפופים לחלק מעקרונות המשפט הציבורי, גם אם אינם מחויבים לכך על-פי החוק.
   • גופים העוסקים בסחר במידע.
   • גופים שעיסוקם העיקרי כולל עיבוד מידע המחייב ניטור שיטתי של אנשים - קטגוריה זו רלוונטית במיוחד לגופים המתחקים אחר פעילות משתמשים או המייצרים פרופילים של תכונות, התנהגויות או העדפות. לדוגמה: אפליקציות האוספות נתוני מיקום או בריאות; כלי רכב ומכשירים חכמים המחוברים לאינטרנט; מאגרי צילומים.
   • גופים שעיסוקם העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר- בהקשר זה, החוק משתמש במונחי שסתום, אותם מבקשת הרשות להבהיר:
     • "עיסוק עיקרי" – כאשר עיבוד מידע אישי הוא רכיב מרכזי בהגשמת המטרות העסקיות או הארגוניות, או חלק אינהרנטי מפעילות הליבה של הארגון. לדוגמה: עיבוד מידע רפואי על מטופלים נכלל בעיסוקם העיקרי של מוסדות רפואיים, אף שהעיסוק העיקרי של בית חולים הוא להעניק טיפול רפואי. דוגמה זו מחדדת את הפרשנות המרחיבה שמאמצת הרשות, אך אינה מספקת ודאות ביחס למרבית הארגונים במשק, שלגביהם קשה יותר לקבוע האם עיבוד מידע מהווה חלק מפעילות הליבה.
     • "היקף ניכר" - החוק אינו קובע סף כמותי חד-ערכי אלא מפרט קריטריונים שיש לשקול בבחינת עניין זה, לרבות: היקף המידע, כמות המידע, מגוון סוגי המידע, ועוד. לא מדובר ברשימה סגורה של קריטריונים והם אינם צריכים להתקיים באופן מצטבר. חשוב לציין: למרבה הצער, גם בגילוי הדעת אין קביעת סף כמותי חד-משמעי להגדרת "היקף ניכר", והרשות מותירה את ההכרעה למבחן נסיבות פרטני. כתוצאה מכך, ארגונים רבים נותרים ללא ודאות באשר לחובתם למנות ממונה.
2. הידע והכישורים הנדרשים מהממונה הרשות מדגישה כישורים נדרשים נוספים מהממונה, מעבר לאלו שנקבעו בחוק (הכוללים ידע מעמיק בדיני פרטיות, הבנה בטכנולוגיה ואבטחת מידע והיכרות עם תחומי פעילות הארגון), ובהם: הכרה בערך ההגנה על הפרטיות, כישורים בין-אישיים וניהוליים, יכולת הובלת תהליכים, עבודה בצוות, כושר שכנוע ושליטה בשפה המקובלת בארגון. ניסיון נדרש: נדרש ניסיון מעשי משמעותי בדיני הגנת הפרטיות, בהיקף שייקבע על-פי מאפייני הארגון. בכל מקרה, הרשות ממליצה על השתתפות בהשתלמות תעודה בהיקף של 40 שעות לפחות.
3. תפקידי הממונה הרשות מעניקה פרשנות רחבה לתפקידי הממונה, הכוללים: קידום ההגנה על הפרטיות, הפנמת "תרבות פרטיות" בארגון, הטמעת עקרונות פרטיות בתהליכי העבודה, מילוי תפקיד במערך משילות המידע ותיאום תהליכי ציות. פעולות ספציפיות שעל הממונה לבצע: ייעוץ פרואקטיבי למחלקות וגורמים שונים בארגון, הדרכה, בקרה שוטפת על העמידה בהוראות החוק ומעורבות בהכנת נוהל אבטחת מידע ומסמך הגדרות מאגר.
4. מתכונת העסקה של הממונה
   • אף שהחוק מתיר העסקת ממונה חיצוני, המצב האופטימלי הוא שהממונה יהיה עובד הארגון.
   • היקף המשרה ומתכונת ההעסקה ייקבעו בהתאם לנסיבות ומאפייני הארגון.
   • רק יחיד (אדם) יכול להתמנות לממונה, אף כי ההתקשרות יכולה להתבצע באמצעות חברה בה הוא מועסק.
5. מעמד ומשאבים הארגון נדרש לספק לממונה את התנאים והמשאבים הדרושים למילוי תפקידו באופן אפקטיבי, לרבות היקף משרה ושכר הולמים, צוות מסייע במידת הצורך, תקציב מתאים, השתלמויות מקצועיות, גישה למסמכים ולמערכות מידע ושיתוף בדיונים רלוונטיים.
6. איסור ניגוד עניינים בגילוי הדעת ישנה התייחסות מפורטת יותר ביחס לאיסור הקבוע בחוק על הממונה למלא תפקיד שיעמידו בחשש לניגוד עניינים:
   • תפקידים בכירים שמטבעם מקיימים ניגוד עניינים : מנהל שיווק, לקוחות, כספים או מערכות מידע. לא מדובר ברשימה סגורה והדבר תלוי במבנה הניהולי ומאפייני הארגון.
   • שילוב עם תפקיד ממונה אבטחת מידע (CISO): קיים קושי לשלב את תפקיד הממונה עם תפקיד CISO , במיוחד בארגונים גדולים.

סיכום

טיוטת גילוי הדעת מהווה צעד חשוב בהסדרת תחום הגנת הפרטיות בישראל ומספקת כלים מעשיים לארגונים להיערכות נאותה. עם זאת, יש להכיר במגבלותיה, בפרט בהיעדר הבהרה מספקת לגבי הארגונים החייבים במינוי ממונה.

משרדנו מתכוון להגיש הערות מפורטות לטיוטת גילוי הדעת בתוך המועד שנקבע (עד ליום 23.9.2025). אנו מזמינים אתכם לפנות אלינו עם הערות או תובנות רלוונטיות שתבקשו לכלול בהתייחסותנו המקצועית.

אנו ממליצים לעקוב אחר ההתפתחויות, להיערך בהתאם, ולפנות לייעוץ מקצועי בכל שאלה.

לנוחותכם, קישור לטיוטת גילוי הדעת המלאה.

צוות הפרטיות של משרד מיתר עומד לרשותכם בכל שאלה או הבהרה.