ממונה על הגנת הפרטיות

הגורם בארגון שתפקידו לפעול להבטחת קיום הוראות החוק בטיפול במידע אישי; האחריות עצמה נשארת על בעל השליטה. במונח המקצועי DPO — Data Protection Officer. התפקיד כולל החזקת תמונת המידע בארגון, ליווי החלטות שיש להן היבט פרטיות, טיפול בפניות, הסדרת העברות לגורמים חיצוניים ותיעוד.

החוק מגדיר ארבע קבוצות. גופים ציבוריים (למעט גופי ביטחון) ומחזיקים במאגר של גוף ציבורי — בלי רף כמותי. בעל שליטה שמטרתו העיקרית היא איסוף מידע אישי לשם מסירתו לאחר כדרך עיסוק או בתמורה, לרבות דיוור ישיר, עם מידע על יותר מעשרת אלפים בני אדם. בעל שליטה או מחזיק שעיסוקיו העיקריים כרוכים בניטור שוטף ושיטתי של בני אדם בהיקף ניכר — והחוק מונה כאן במפורש גם ספק שירות טלפון נייד ומפעיל מנוע חיפוש. ובעל שליטה או מחזיק שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר — והחוק נוקב מפורשות בתאגיד בנקאי, מבטח, בית חולים כללי וקופת חולים. המבחן אינו גודל הארגון אלא סוג הגוף, אופי העיסוק וסוג המידע, והתחולה על ארגון ספציפי נבדקת לגופה.

אפשר, בכפוף לדרישות החוק: הידע והכישורים הנדרשים, היעדר ניגוד עניינים (לרבות בשל תפקיד נוסף) ודיווח ישיר למנהל הכללי. כדי שהמינוי יתפקד בפועל, מומלץ גם להקצות לו זמן מוגדר. בארגונים קטנים ובינוניים השילוב הזה אינו תמיד זמין, ולכן מינוי חיצוני נפוץ.

לא. החוק קובע דרישות כשירות ועצמאות, ומינוי פורמלי בלבד — בלי ידע מתאים, בלי זמן ובלי עצמאות — לא יענה עליהן.

החוק קובע שהממונה ידווח ישירות למנהל הכללי. גם הסיבה המעשית ברורה: רוב ההחלטות שיוצרות חשיפה מתקבלות בדרג הניהולי, והממונה צריך להיות מסוגל להעלות התנגדות לפני שההחלטה מיושמת — לא אחריה.

לא. האחריות לעמידה בהוראות החוק נשארת על בעל השליטה — הארגון והנהלתו. הממונה — פנימי או חיצוני — הוא הגורם שמחזיק את הנושא מקצועית ומייעץ, ולא מי שסופג את האחריות במקום ההנהלה.

מיפוי. ממונה שאינו יודע איזה מידע קיים בארגון ואצל מי הוא נמצא אינו יכול למלא את התפקיד, וכל שאר הפעילות תתבסס על הנחות. לכן סדר העבודה הנכון הוא מיפוי ואחר כך מינוי — או מינוי שהמשימה הראשונה שלו היא מיפוי.

לא. העמוד מציג סקירה כללית ואינו מהווה ייעוץ משפטי או חוות דעת. תחולת החובה על ארגון ספציפי והיקף התפקיד מחייבים בדיקה פרטנית.