שירותים
ממונה הגנת פרטיות במיקור חוץ
מילוי תפקיד הממונה על הגנת הפרטיות (DPO) מחוץ לארגון שלכם. חוק הגנת הפרטיות מאפשר שהממונה יהיה מי שאינו עובד הארגון. עורך דין מהמשרד ממלא אצלכם את התפקיד: עונה לשאלות, מדריך את העובדים, מפקח על העמידה בדין ומדווח להנהלה, בלי שתצטרכו לגייס לכך עובד.
מתי חובה למנות ממונה
חוק הגנת הפרטיות מחייב למנות ממונה בארבעה מצבים. אם אחד מהם מתאר את העסק שלכם, החובה חלה.
| # | השאלה | למה היא מכריעה |
|---|---|---|
| 1 | אתם מחזיקים מאגר מידע של גוף ציבורי? | החובה חלה בכל היקף. גופים ציבוריים הם, למשל, משרדי ממשלה, רשויות מקומיות, קופות חולים ובתי חולים ציבוריים. |
| 2 | אתם אוספים מידע כדי למסור אותו לאחרים, כעיסוק או בתמורה — כולל שירותי דיוור ישיר? | החובה חלה כשזו המטרה העיקרית, ובמאגר יש מידע על יותר מ‑10,000 בני אדם. |
| 3 | ניטור שוטף ושיטתי של בני אדם הוא חלק מהעיסוק העיקרי שלכם? | החובה חלה כשהניטור נעשה בהיקף ניכר — מבחן שאין לו סף מספרי. |
| 4 | עיבוד מידע בעל רגישות מיוחדת הוא חלק מהעיסוק העיקרי שלכם? | החובה חלה כשהעיבוד נעשה בהיקף ניכר. מידע רגיש על העובדים שלכם בלבד אינו מספיק. |
מה הממונה עושה
הממונה ממלא את החובות שהחוק מטיל על התפקיד, ומדווח להנהלה על מה שנעשה.
- זמינות לשאלות שוטפות, וסבב הדרכה שנתי מתועד
- תוכנית בקרה כתובה, ודוח תקופתי להנהלה
- נוהל אבטחת המידע ומסמך הגדרות המאגר קיימים, מעודכנים ומאושרים בפרוטוקול
- ערוץ פנייה ייעודי מפורסם, ותיעוד טיפול בפניות
- נקודת קשר אחת מול הרשות להגנת הפרטיות
- בחינה מחודשת של חובת המינוי ושל רמת האבטחה כשהעסק משתנה: גדילה, מוצר חדש או סוג מידע חדש
החלק שלכם: לספק לממונה את התנאים והמשאבים לתפקיד ולוודא שהוא מעורב כראוי בכל נושא הנוגע לדיני הגנת הפרטיות, ולקבוע שהוא ידווח ישירות למנהל הכללי או לעובד הכפוף לו ישירות.
ניגוד עניינים
חוק הגנת הפרטיות אוסר על הממונה למלא תפקיד נוסף שעלול להעמידו בחשש לניגוד עניינים. לפי גילוי הדעת של הרשות להגנת הפרטיות, ניגוד עניינים מתקיים ככלל לגבי מנהל מערכות המידע שלכם והכפופים לו, ועשוי להתקיים בתפקידים כמו מנהל שיווק, מנהל לקוחות, מנהל כספים ו־CTO.
איך זה מתנהל
התפקיד מתחיל בהיכרות עם הארגון שלכם, ונמשך כליווי שוטף.
- שיחת התאמה
- בירור ראשוני של הצורך, היקף התפקיד וסדר העדיפויות.
- מכתב היקף
- היקף התפקיד, לוח זמנים ותנאי ההתקשרות, בכתב, לפני תחילת העבודה.
- היכרות
- לימוד המאגרים, המערכות והמסמכים הקיימים, ושיחות עם הגורמים הרלוונטיים אצלכם.
- תוכנית בקרה
- תוכנית בקרה כתובה, ולוח זמנים להדרכות ולדיווח להנהלה.
- ליווי שוטף
- זמינות לשאלות, בקרה לפי התוכנית, ודיווח תקופתי להנהלה.
- 1. שיחת התאמה
- 2. מכתב היקף
- 3. היכרות
- 4. תוכנית בקרה
- 5. ליווי שוטף
שאלות שנשאלות
האם הממונה יכול להיות מישהו מחוץ לחברה?
כן. חוק הגנת הפרטיות מאפשר ממונה שאינו עובד שלכם. לפי גילוי הדעת של הרשות להגנת הפרטיות, רק יחיד יכול להתמנות, אף שההתקשרות יכולה להיעשות באמצעות חברה שבה הוא מועסק.
האם ה־CTO, ה־CISO או מנהל מערכות המידע שלנו יכולים להיות הממונה?
לא כאשר התפקיד עלול להעמיד את הממונה בחשש לניגוד עניינים. לפי גילוי הדעת של הרשות להגנת הפרטיות, אצל מנהל מערכות המידע (והכפופים לו) ניגוד עניינים מתקיים ככלל, אצל ה־CTO הוא עשוי להתקיים, ותפקיד כפול של CISO דורש בחינה פרטנית מנומקת ומתועדת.