ברגע שארגון מבין שהוא חייב למנות ממונה על הגנת הפרטיות, השיחה הבאה בדרך כלל קצרה: "ה־CTO יעשה את זה", או "מנהל מערכות המידע שלנו ממילא מטפל באבטחה". אבל סעיף 17ב3 לחוק הגנת הפרטיות, וגילוי הדעת שפרסמה הרשות להגנת הפרטיות ב־14 ביולי 2026, הופכים את שתי התשובות האלה לבעייתיות יותר ממה שהן נשמעות.
מה הממונה חייב לדעת
סעיף 17ב3(א) דורש שהממונה יהיה אדם עם ידע מעמיק בדיני הגנת הפרטיות, הבנה מספקת בטכנולוגיה ובאבטחת מידע, והיכרות עם התחומים שבהם הארגון פועל. את שלושת הדברים האלה צריך למצוא באדם אחד. החוק לא דורש תעודה, תואר או מקצוע מסוים, אלא ידע, והרשות להגנת הפרטיות רשאית לבדוק אותו. אם מיניתם ממונה שאין לו את הידע והכישורים הנדרשים, זה אחד המחדלים הקשורים לממונה שבגללם הרשות להגנת הפרטיות יכולה לתת צו הפסקה (סעיף 23כה).
מבפנים או מבחוץ
סעיף 17ב3(ב) אומר במפורש שהממונה לא חייב להיות עובד של הארגון. גילוי הדעת של הרשות להגנת הפרטיות מוסיף שרק אדם יכול להתמנות, ולא חברה. עם זאת, ההתקשרות עצמה יכולה להיעשות דרך חברה שמעסיקה אותו.
ניגוד עניינים: הנקודה שבה מינויים נכשלים
סעיף 17ב3(ג) אוסר על הממונה למלא תפקיד נוסף, או להיות כפוף לנושא משרה, אם זה עלול להעמיד אותו בחשש לניגוד עניינים. גילוי הדעת מסביר מתי זה קורה: כשהאדם מחזיק בסמכות או באחריות לקבוע מדיניות לגבי עיבוד המידע האישי, או כשהוא כפוף למי שמחזיק בה. זה כולל את ההחלטה לאילו מטרות מעבדים את המידע, וגם החלטות מהותיות על השיטות והאמצעים לעבד אותו.
בפועל, גילוי הדעת מתייחס לכמה תפקידים מוכרים. אצל מנהל שיווק, מנהל לקוחות, מנהל כספים ו־CTO עשוי להתקיים ניגוד עניינים. אצל מנהל מערכות המידע הוא מתקיים ככלל, ולכן גם אצל מי שכפוף לו. לגבי CISO שימלא את שני התפקידים, גילוי הדעת אומר שהדבר "מעורר שאלות". הנוסח הסופי ריכך את העמדה שהופיעה בטיוטה, אבל עדיין דורש לבחון כל מקרה לגופו ולתעד את הנימוק. הוא גם מציין שה־CISO לא בהכרח יעמוד בדרישה לדווח ישירות למנכ״ל.
האיסור חל גם על ממונה שהוא עובד הארגון וגם על ממונה חיצוני שנותן לארגון שירות.
מה הארגון חייב לממונה
שתי חובות מוטלות על הארגון, ולא על הממונה. הראשונה היא לתת לממונה את התנאים והמשאבים שהתפקיד דורש, ולוודא שהוא מעורב כמו שצריך בכל נושא שקשור לדיני הגנת הפרטיות (סעיף 17ב2(ב)). השנייה נוגעת לקו הדיווח: הממונה צריך לדווח ישירות למנכ״ל, או לעובד שכפוף ישירות למנכ״ל (סעיף 17ב2(ג)). אם הארגון לא עומד באחת מהן, גם זה מחדל שעליו הרשות להגנת הפרטיות רשאית לתת צו הפסקה.
הסדר המעשי
- ודאו שהחובה למנות ממונה אכן חלה עליכם, ובגלל איזה מהמצבים שסעיף 17ב1(א) מונה.
- רשמו את המועמדים מתוך הארגון ובדקו כל אחד מהם מול כלל ניגוד העניינים שבסעיף 17ב3(ג) ומול רשימת התפקידים בגילוי הדעת. ברוב הארגונים, דווקא המועמדים הטבעיים הם אלה שנמצאים בניגוד עניינים.
- החליטו בין ממונה מתוך הארגון, שקו הדיווח שלו ישתנה, לבין ממונה חיצוני, ותעדו את ההחלטה בכתב.
- פרסמו את הדרכים ליצור קשר עם הממונה, באופן נגיש ופשוט (סעיף 17ב2(א)(4)).
מה המאמר הזה אינו
מידע כללי, לא ייעוץ משפטי. המאמר משקף את מה שסעיפים 17ב1–17ב3 ו־23כה לחוק הגנת הפרטיות קובעים על חובת המינוי, על הממונה ועל צווי הפסקה, ואת גילוי הדעת של הרשות להגנת הפרטיות מ־14 ביולי 2026, נכון ליום 27 בספטמבר 2026. השאלה אם יש ניגוד עניינים תלויה בעובדות של כל מקרה, ורשימת התפקידים היא הפרשנות של הרשות להגנת הפרטיות, ולא הלכה שנפסקה בבית משפט. קריאת המאמר אינה יוצרת יחסי עורך דין–לקוח.