ממונה על הגנת הפרטיות: מי חייב למנות, ומה התפקיד דורש בפועל
עודכן לאחרונה: . עמוד קריאה. המידע בעמוד כללי ואינו ייעוץ משפטי.
מה התפקיד, בשורה אחת
הממונה על הגנת הפרטיות פועל להבטחת קיום הוראות חוק הגנת הפרטיות בארגון ולקידום השמירה על הפרטיות ואבטחת המידע במאגרים. הוא מייעץ להנהלה ומדריך את העובדים, מכין תוכנית בקרה שוטפת ומוודא את ביצועה, מוודא קיומם של נוהל אבטחת מידע ומסמך הגדרות המאגר, מוודא טיפול בפניות של נושאי מידע, ומשמש איש הקשר של הארגון מול הרשות להגנת הפרטיות. כל אלה קבועים בסעיף 17ב2(א) לחוק.
RTBFIL נוגעת בחלק אחד מהעבודה הזאת: היא מספקת לממונה ממצאים ותיעוד לגבי מידע אישי בתיבות הדואר ובאתרי SharePoint של Microsoft 365. היא אינה ממנה ממונה ואינה קובעת אם חובת המינוי חלה.
סימון בעמוד: חובה חובה רגולטורית, דרישה שמקורה בחוק או בתקנות · מומלץ פעולה מקצועית מומלצת · RTBFIL יכולת RTBFIL, פעולה שהתוכנה מבצעת · ארגון / ייעוץ באחריות הארגון או ייעוץ משפטי.
מי חייב למנות ממונה על הגנת הפרטיות?
סעיף 17ב1(א) לחוק הגנת הפרטיות מונה ארבעה מקרים. הטבלה מציגה אותם בתמצית. ההכרעה אם ארגון מסוים נופל לאחת הפסקאות היא בדיקה פרטנית, ואת תחולתה יש לבחון מול גילוי הדעת העדכני של הרשות להגנת הפרטיות.
| הפסקה | על מי היא חלה | מה נקוב בחוק עצמו |
|---|---|---|
| 17ב1(א)(1) | בעל שליטה במאגר מידע שהוא גוף ציבורי כהגדרתו בסעיף 23, או מחזיק במאגר כזה | למעט גוף ביטחוני כהגדרתו בסעיף 23כ. החובה חלה גם על מחזיק במאגר של גוף ציבורי, כלומר על ספק שמעבד מידע עבורו. |
| 17ב1(א)(2) | בעל שליטה במאגר שמטרתו העיקרית איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה, ובמאגר מידע על יותר מ-10,000 בני אדם | לרבות שירותי דיוור ישיר. זו הפסקה היחידה שבה נקוב סף מספרי. |
| 17ב1(א)(3) | בעל שליטה או מחזיק שעיסוקיו העיקריים כוללים פעולות עיבוד מידע, או כרוכים בהן, אשר נוכח טיבן, היקפן או מטרתן מחייבות ניטור שוטף ושיטתי של בני אדם בהיקף ניכר | ובכלל זה מעקב או התחקות שיטתית אחר התנהגותו, מיקומו או פעולותיו של אדם. נקובים בחוק: ספק מורשה של שירות רדיו טלפון נייד, וספק שירות חיפוש מקוון. |
| 17ב1(א)(4) | בעל שליטה או מחזיק שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר | נקובים בחוק: תאגיד בנקאי, מבטח, בית חולים כללי וקופת חולים. |
מה נחשב היקף ניכר
לפסקאות (3) ו-(4) אין סף מספרי. סעיף 17ב1(ב) מונה את השיקולים שלפיהם נבחן ההיקף:
- מספר בני האדם שמידע מעובד לגביהם
- שיעורם באוכלוסייה מסוימת
- היקף המידע וכמותו
- טווח סוגי המידע המעובד
- משך פעולות העיבוד ותדירותן
- משך שמירת המידע
- התחום הגאוגרפי של פעולות העיבוד
שניים מתוך השבעה, משך שמירת המידע וטווח סוגי המידע, נוגעים ישירות למה שהצטבר בארגון לאורך שנים ולא נבדק מעולם. ארגון שאינו יודע מה מחזיקות תיבות הדואר שלו אינו יודע להעריך את שניהם.
מה הממונה עושה: חמש החובות שבסעיף 17ב2(א)
- סמכות מקצועית ומוקד ידע. ייעוץ להנהלת הגוף ולעובדיו, הכנת תוכנית הדרכה ופיקוח על ביצועה. חובה 17ב2(א)(1) ארגון / ייעוץ
- תוכנית לבקרה שוטפת על העמידה בהוראות החוק לגבי מאגרי המידע, ווידוא ביצועה, דיווח להנהלה על הממצאים והצעות לתיקון ליקויים. חובה 17ב2(א)(2) RTBFIL ממצאים ותיעוד לתיבות הדואר ול-SharePoint ארגון / ייעוץ התוכנית עצמה ושאר המאגרים
- ווידוא קיומם של נוהל אבטחת מידע ומסמך הגדרות המאגר, שעריכתם נדרשת לפי התקנות לפי סעיפים 17(ב) ו-36, והבאתם לאישור ההנהלה. חובה 17ב2(א)(3) ארגון / ייעוץ
- ווידוא טיפול בפניות של נושאי מידע לגבי עיבוד המידע או מימוש זכויותיהם, ובכלל זה בקשות עיון ותיקון. דרכי ההתקשרות עם הממונה מתפרסמות לציבור באופן נגיש ופשוט. חובה 17ב2(א)(4) ארגון / ייעוץ
- איש קשר של הארגון מול הרשות להגנת הפרטיות. חובה 17ב2(א)(5) ארגון / ייעוץ
מעמד, משאבים וכפיפות
משאבים. סעיף 17ב2(ב) מחייב את בעל השליטה או המחזיק לספק לממונה את התנאים והמשאבים הדרושים למילוי נאות של תפקידו, ולוודא שהוא מעורב כראוי בכל נושא הנוגע לדיני הגנת הפרטיות. זו חובה של הארגון, לא של הממונה.
כפיפות. סעיף 17ב2(ג) קובע דיווח ישיר למנהל הכללי, או לעובד שכפוף ישירות למנהל הכללי.
כישורים. סעיף 17ב3(א) דורש ידע וכישורים הנדרשים למילוי התפקיד בצורה נאותה, ובכלל זה ידע מעמיק בדיני הגנת הפרטיות, הבנה הולמת בטכנולוגיה ואבטחת מידע, והיכרות עם תחומי פעילותו של הגוף ומטרותיו, והכול בשים לב לאופי עיבוד המידע, לנסיבותיו, להיקפו ולמטרותיו.
ממונה חיצוני. סעיף 17ב3(ב) מתיר במפורש שהממונה יהיה מי שאינו עובד הגוף.
ניגוד עניינים. סעיף 17ב3(ג) אוסר על הממונה למלא תפקיד נוסף, ואוסר כפיפות לנושא משרה בגוף או בגוף אחר, אם התפקיד או הכפיפות עלולים להעמידו בחשש לניגוד עניינים במילוי תפקידיו לפי החוק. זו המגבלה שמכריעה בארגונים קטנים, שבהם מנהל ה-IT או היועץ המשפטי הפנימי הם המועמדים הטבעיים.
ממונה על הגנת הפרטיות מול ממונה על אבטחת מידע
שני תפקידים נפרדים בחוק, שתי חובות מינוי נפרדות, ולעיתים שני אנשים.
| הבחנה | ממונה על אבטחת מידע | ממונה על הגנת הפרטיות |
|---|---|---|
| הסעיף | 17ב | 17ב1 עד 17ב3 |
| על מי חלה חובת המינוי | מחזיק בחמישה מאגרים או יותר החייבים ברישום, או בחמישה מאגרים של בעלי שליטה שונים; גוף ציבורי; בנק, חברת ביטוח, וחברה העוסקת בדירוג או בהערכה של אשראי | ארבע הפסקאות שבסעיף 17ב1(א), בטבלה למעלה |
| תחום האחריות | אבטחת המידע במאגרים המוחזקים ברשות הגוף | הבטחת קיום הוראות החוק כולו, וקידום השמירה על הפרטיות ואבטחת המידע |
מה מתוך העבודה השוטפת אפשר לבצע בכלים, ומה לא
מתוך חמש החובות, אחת היא עבודה חוזרת שנשענת על נתונים: תוכנית הבקרה השוטפת שבסעיף 17ב2(א)(2). היא מחייבת את הממונה לדעת מה קורה בפועל במאגרים ולדווח להנהלה על ממצאים. בצידה עומדת תקנה 2(ג) לתקנות אבטחת מידע, המחייבת לבחון אחת לשנה אם המידע שבמאגר אינו רב מן הנדרש למטרותיו, ותקנה 19(ב), המחייבת לתעד באופן סביר את ביצוע הבחינה.
במערכות מסודרות אפשר לשלוף דוח ולדעת מה יש. בתיבות הדואר של Exchange Online ובאתרי SharePoint אין דוח כזה: אין שדות, אין בעלים לפריט, ואין דרך לשאול אם יש תעודת זהות בתוך קובץ מצורף מ-2019. Microsoft 365 כולל יכולות חיפוש, סיווג ו-eDiscovery. RTBFIL מיועדת לספק תהליך ייעודי לאיתור מידע אישי, סקירת הקשר, החלטה אנושית מתועדת, טיפול מבוקר ויומן ביקורת, במקורות הנתמכים על ידי המוצר.
ארבע החובות האחרות, ההדרכה, נוהל אבטחת המידע ומסמך הגדרות המאגר, הטיפול בפניות נושאי מידע, והקשר מול הרשות, אינן עבודה של תוכנה. הן עבודה של הממונה ושל יועציו.
להרחבה על מה שהתוכנה עושה: RTBFIL לאיתור ולסקירה של מידע אישי ב-Microsoft 365 וב-SharePoint. לסדר העבודה המלא של ההיערכות: מדריך היערכות לתיקון 13. לחובת הרישום ולחובת ההודעה שהחליפה אותה: רישום מאגר מידע אחרי תיקון 13.
שאלות נפוצות
מי חייב למנות ממונה על הגנת הפרטיות?
סעיף 17ב1(א) לחוק הגנת הפרטיות מונה ארבעה מקרים: גוף ציבורי כהגדרתו בסעיף 23, או מחזיק במאגר שלו, למעט גוף ביטחוני; בעל שליטה במאגר שמטרתו העיקרית איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה, ובמאגר מידע על יותר מ-10,000 בני אדם; גוף שעיסוקיו העיקריים כרוכים בעיבוד המחייב ניטור שוטף ושיטתי של בני אדם בהיקף ניכר; וגוף שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר. השאלה אם מקרה מסוים נופל לאחת הפסקאות היא בדיקה פרטנית, ויש לבחון אותה מול גילוי הדעת העדכני של הרשות להגנת הפרטיות ובייעוץ משפטי לפי הצורך.
מה זה היקף ניכר לעניין חובת המינוי?
החוק אינו קובע סף מספרי. סעיף 17ב1(ב) מונה שיקולים: מספר בני האדם שמידע מעובד לגביהם, שיעורם באוכלוסייה מסוימת, היקף המידע וכמותו, טווח סוגי המידע המעובד, משך פעולות העיבוד ותדירותן, משך שמירת המידע, והתחום הגאוגרפי של פעולות העיבוד. המשקל של כל שיקול נקבע בנסיבות המקרה.
האם הממונה על הגנת הפרטיות חייב להיות עובד של הארגון?
לא. סעיף 17ב3(ב) קובע במפורש שהממונה יכול שיהיה מי שאינו עובד הגוף שבו ימלא את תפקידו.
למי כפוף הממונה על הגנת הפרטיות?
סעיף 17ב2(ג) קובע שהממונה ידווח ישירות למנהל הכללי, או לעובד שכפוף ישירות למנהל הכללי. בנוסף, סעיף 17ב3(ג) אוסר על הממונה למלא תפקיד נוסף ואוסר כפיפות לנושא משרה, אם התפקיד או הכפיפות עלולים להעמידו בחשש לניגוד עניינים במילוי תפקידיו לפי החוק.
מה ההבדל בין ממונה על הגנת הפרטיות לממונה על אבטחת מידע?
אלה שני תפקידים נפרדים בחוק. ממונה על אבטחת מידע לפי סעיף 17ב אחראי לאבטחת המידע במאגרים, וחובת המינוי שלו חלה על גופים אחרים, בהם מחזיק בחמישה מאגרים או יותר החייבים ברישום, גוף ציבורי, בנק, חברת ביטוח וחברה העוסקת בדירוג או בהערכה של אשראי. ממונה על הגנת הפרטיות לפי סעיף 17ב1 פועל להבטחת קיום הוראות החוק כולו ולקידום השמירה על הפרטיות. ארגון יכול להיות חייב בשניהם, באחד מהם או באף אחד.
האם מינוי ממונה משפיע על גובה עיצום כספי?
בפרט 2(4) לתוספת החמישית לחוק נקבעה הפחתה של 10% מסכום העיצום הכספי למפר שחב במינוי ממונה לפי סעיף 17ב1(א)(3) ו-(4) בלבד, ומינה ממונה טרם מסירת ההודעה על כוונת חיוב. ההפחתה היא אחת מכמה עילות הפחתה, והיא כפופה לתנאים ולמגבלות הקבועים באותה תוספת.
האם RTBFIL ממנה ממונה או קובעת אם החובה חלה?
לא. RTBFIL היא תוכנה לאיתור מידע אישי בתיבות הדואר ובאתרי SharePoint של Microsoft 365, לסקירת ההקשר, להחלטה אנושית מתועדת וליומן ביקורת. היא אינה ממנה ממונה, אינה קובעת את תחולת חובת המינוי ואינה מספקת ייעוץ משפטי.
מקורות
- חוק הגנת הפרטיות, התשמ"א-1981, נוסח מלא: סעיפים 17ב, 17ב1, 17ב2, 17ב3, סעיף 23לא והתוספת החמישית.
- גילוי הדעת של הרשות להגנת הפרטיות בעניין מינוי ממונה, לבחינת תחולת החובה.
- שאלות ותשובות של הרשות להגנת הפרטיות על תיקון 13.
למידע משפטי מחייב ועדכני יש לעיין בנוסח החוק והתקנות, בפרסומי הרשות להגנת הפרטיות ובייעוץ משפטי לפי הצורך.