ממונה הגנת פרטיות: מתי חייבים למנות ומה הוא עושה בפועל

איך בודקים אם יש חובה למנות ממונה

חובת המינוי נגזרת מהדין שחל עליכם. תיקון 13 לחוק הגנת הפרטיות קבע קטגוריות של גופים שנדרשים למנות ממונה הגנת פרטיות, ו-GDPR קובע מבחנים משלו לארגונים שהוא חל עליהם. נוסח הקטגוריות והפרשנות שלהן הם עניין משפטי, ולכן את המסקנה הסופית כדאי לבדוק מול עורך דין. מה שאפשר לעשות כבר עכשיו הוא להכין תשובות לשאלות הבאות:

1. האם הארגון הוא גוף ציבורי, או פועל מטעם גוף ציבורי?
2. האם עיקר הפעילות העסקית כרוך באיסוף, ניתוח או העברה של מידע אישי?
3. האם אתם מחזיקים מידע רגיש (למשל מידע רפואי, ביומטרי או פיננסי), ובאיזה היקף?
4. האם אתם עוקבים אחרי התנהגות של אנשים באופן שיטתי, למשל באתר, באפליקציה או במצלמות?
5. האם יש בין הנתונים מידע על תושבי האיחוד האירופי?
6. האם אתם מוסרים מידע אישי לאחרים, או מקבלים אותו מגורמים אחרים, כחלק מהמודל העסקי?

התשובות האלה הן חומר גלם לשיחה עם עורך דין, לא תחליף לה. ארגון שאין עליו חובה רשאי למנות ממונה בכל זאת. זו החלטה עסקית, וכדאי לברר מראש איזו אחריות ואילו ציפיות המינוי יוצר.

מה ממונה עושה בפועל

בתיאור משרה זה נשמע מופשט. בפועל, העבודה של ממונה מורכבת ממספר פעולות שחוזרות על עצמן:

• מיפוי: איזה מידע אישי יש בארגון, איפה הוא נשמר, מי ניגש אליו ולאיזו מטרה.
• ייעוץ לפני שמשיקים: כשצוות המוצר מתכנן תכונה חדשה שאוספת מידע, הממונה שואל מה נאסף, למה, ומה הסיכון לאנשים.
• ספקים: סקירה של הסכמי עיבוד מידע ושל מה הספקים עושים עם המידע שלכם.
• בקשות של אנשים: עיון, תיקון או מחיקה של מידע. הממונה מוודא שיש תהליך ושמישהו מוביל אותו.
• אירוע אבטחה: סיוע בהחלטה אם המקרה נוגע למידע אישי, ומה נדרש בדיווח ובהודעה לנפגעים. את הפרטים המשפטיים כדאי לבדוק מול עורך דין.
• הדרכה ותרבות: הסברים קצרים לעובדים, ובמיוחד לאלה שמטפלים במידע של לקוחות ועובדים.
• דיווח להנהלה: תמונת מצב קבועה, כולל מה לא הושלם.

כדאי לדעת גם מה ממונה אינו עושה. הוא אינו מחליף את מנהל אבטחת המידע, אינו מתפעל את המערכות, ואינו נושא במקום הארגון באחריות לציות. ההחלטות נשארות בידי ההנהלה, והממונה מייעץ, מפקח ומתעד.

עצמאות וניגוד עניינים

כדי שממונה יוכל לבצע את תפקידו, יש לאפשר לו להעריך דברים בחופשיות ולהגיע להנהלה. אדם שגם קובע את מטרות העיבוד או מנהל את מערכות המידע עלול למצוא את עצמו מפקח על עצמו. לכן במינוי פנימי כדאי לשאול איזה תפקיד נוסף יש לממונה, ובמינוי חיצוני כדאי לשאול אם יש לממונה אינטרס כלכלי בהחלטות שהוא אמור לבחון, למשל קבלת תמורה מספקים שהוא ממליץ עליהם.

הדרישות המדויקות לעצמאות ולהיעדר ניגוד עניינים נקבעות בדין. כדאי לבדוק מול עורך דין איך הן חלות עליכם.

פנימי, חיצוני או משולב

אין תשובה אחת נכונה. ההבדלים העיקריים:

• ממונה פנימי: מכיר את הארגון לעומק ונגיש יום-יום. החיסרון: קשה למצוא אדם עם רקע מתאים, ויש סיכון לניגוד עניינים אם הוא מחזיק תפקיד נוסף.
• ממונה חיצוני: גמישות בהיקף ובעלות, ונקודת מבט חיצונית. החיסרון: צריך להקצות לו גישה ולוודא שהוא זמין ברגעים שחשובים.
• משולב: איש קשר פנימי שמתאם, וממונה חיצוני שמוביל את המקצועיות. מתאים לארגון שרוצה גם הכרות פנימית וגם ידע חיצוני.

שאלות לשאול לפני שבוחרים ממונה חיצוני

• מה בדיוק כלול בהיקף ההתקשרות, וכמה שעות בחודש?
• מי מחליף את הממונה בחופשה או במחלה?
• מה זמן התגובה כשמתרחש אירוע?
• האם הממונה מקבל תמורה כלשהי מספקים שהוא ממליץ עליהם או בוחן עבורכם?
• איפה נשמרים המסמכים שהוא יוצר, ומה קורה להם כשההתקשרות מסתיימת?
• מה לא כלול? למשל ייצוג משפטי בהליך, או יישום טכני של בקרות.
• האם הממונה יכול להציג לכם תמונת מצב קבועה בכתב?

שאלות כאלה כדאי לשאול כל נותן שירות, כולל אותנו. תשובה ברורה ובכתב היא סימן טוב. תשובה מתחמקת היא מידע בפני עצמו.

מה כדאי להכין לפני פגישה ראשונה

• רשימה גסה של המערכות שמחזיקות מידע אישי (CRM, משאבי אנוש, אתר, אפליקציה, ספקי ענן).
• שמות הספקים שמקבלים מידע אישי מכם.
• מדיניות פרטיות קיימת ותנאי שימוש, אם יש.
• תיעוד אירועי אבטחה קודמים, אם היו.
• מי אצלכם היום מטפל בפניות של לקוחות בנושא מידע.

אין צורך שהחומר יהיה מושלם. מטרת הפגישה הראשונה היא להבין איפה אתם עומדים ומה סדר העדיפויות.

דוגמה לחודש רגיל של ממונה

כדי להמחיש, הנה תרחיש כללי ולא מקרה אמיתי. בחברת שירותים בינונית, צוות המוצר מתכנן כלי חדש שמנתח התנהגות משתמשים. הממונה מקבל תיאור קצר של הרעיון, שואל איזה מידע ייאסף ולאיזו מטרה, בודק אם המטרה נאמרה למשתמשים, ומציע לצמצם את מה שנאסף. במקביל מגיעה פנייה של לקוח שמבקש למחוק את המידע שלו, והממונה מוודא שהבקשה נרשמה, שמישהו אחראי עליה ושהמענה ייצא בזמן. בסוף החודש הוא מכין להנהלה דף אחד: מה טופל, מה פתוח, ומה דורש החלטה.

הדוגמה מראה שרוב העבודה היא שוטפת ופחות דרמטית משנדמה. הערך של הממונה נמדד בכך שדברים מתועדים, שאלות נשאלות בזמן, ואין הפתעות כשמישהו מבחוץ שואל.

בלבולים נפוצים

• ממונה אינו עורך דין של החברה. גם אם הוא עורך דין, תפקידו כממונה שונה מייצוג משפטי, ובמקרים מסוימים אף מתנגש בו.
• ממונה אינו מנהל אבטחת מידע. השניים עובדים יחד: הממונה שואל אם ראוי לאסוף ולשמור מידע, ומנהל האבטחה דואג שהמידע המוחזק מוגן.
• מינוי ממונה אינו מוחק חובות אחרות. הארגון נשאר אחראי למה שהוא עושה עם מידע אישי.
• ממונה אינו פתרון חד-פעמי. מי שממנה ממונה ולא נותן לו מידע, זמן וגישה להנהלה, מקבל תפקיד על הנייר.

מתי כדאי להתחיל לחשוב על זה

אם אתם עומדים להשיק מוצר שאוסף מידע חדש, להתחיל לעבוד עם ספק גדול, לגייס לקוחות באירופה, או לעבור סבב השקעה, כדאי לשאול את שאלת הממונה לפני האירוע ולא אחריו. שיחה אחת עם עורך דין ומומחה פרטיות יכולה להבהיר אם יש חובה, ומה סוג הליווי המתאים. ההחלטה לא חייבת להיות סופית: אפשר להתחיל במינוי מוגבל בזמן ולבחון אחרי כמה חודשים אם הוא מועיל.

שאלות נפוצות