הרשות להגנת הפרטיות פרסמה את הנוסח הסופי של גילוי הדעת בנושא מינוי ממונה על הגנת הפרטיות בארגון, בהתאם לתיקון 13 לחוק הגנת הפרטיות. המסמך נועד להבהיר אילו ארגונים חייבים במינוי, מהם הכישורים הנדרשים מהממונה, ומהם מעמדו ותפקידיו בתוך הארגון. החובה חלה בעיקר על גופים שעובדים עם מידע אישי בהיקף משמעותי או באופן שיוצר סיכון מוגבר לפרטיות, ובהם גופים ציבוריים וספקים המטפלים עבורם במידע, חברות שעיסוקן כולל מסירת מידע לאחרים, ארגונים שעוקבים באופן שיטתי אחר פעילותם של אנשים וגופים שמעבדים כמויות גדולות של מידע רגיש, כגון מידע רפואי, פיננסי או ביומטרי.
הרשות מדגישה כי לא בכל מקרה קיים סף מספרי ברור לקביעת תחולת החובה. השאלה אם ארגון נדרש למנות ממונה תיבחן לפי מכלול הנתונים, ובהם מספר האנשים שהמידע נוגע להם ושיעורם באוכלוסייה מסוימת, סוגי המידע ורגישותו, משך השימוש בו, תדירות העיבוד והיקף הפעילות.
לפי גילוי הדעת, הממונה נדרש לידע מעמיק בדיני הגנת הפרטיות בישראל, לצד הבנה בטכנולוגיה ובאבטחת מידע והיכרות ממשית עם פעילות הארגון. אין חובה שיהיה איש טכנולוגיה, אך עליו להבין כיצד מידע נאסף, נשמר, מועבר ונמחק, ולהיות מסוגל לזהות סיכונים וללוות תהליכים ומערכות חדשות.
תפקידו של הממונה אינו מסתכם במתן ייעוץ משפטי. עליו לשמש מוקד מקצועי עבור ההנהלה והעובדים, להיות מעורב בהחלטות הנוגעות למידע אישי, לקדם הדרכות ובקרות, לסייע בטיפול בבקשות של אנשים למימוש זכויותיהם ולשמש איש הקשר של הארגון מול הרשות להגנת הפרטיות. האחריות לעמידה בחוק נותרת בידי הארגון, אך הארגון נדרש לשתף את הממונה בהחלטות מהותיות, להעמיד לרשותו גישה למידע ולמערכות, לספק לו את הזמן והמשאבים הדרושים ולהבטיח דיווח באמצעות צינור ישיר להנהלה הבכירה.
גילוי הדעת מאפשר למנות ממונה מתוך הארגון או להסתייע בממונה חיצוני. ניתן גם לשלב את התפקיד עם תפקידים נוספים, לרבות ייעוץ משפטי או אבטחת מידע, ובלבד שלא נוצר חשש לניגוד עניינים ושאין בשילוב כדי לפגוע ביכולתו של הממונה למלא את תפקידו באופן עצמאי ואפקטיבי. החלטה על כפל תפקידים מחייבת בחינה פרטנית של הכישורים, עומס העבודה, המשאבים ומבנה הדיווח, וכן הנמקה ותיעוד של ההחלטה.
הנוסח הסופי כולל גם כמה שינויים ביחס לטיוטה שפורסמה בשנת 2025. בין היתר, הובהר כי ספק המעבד מידע עבור לקוחות רבים, ובכך נחשב למחזיק במאגרי מידע, צריך לבחון את היקף פעילותו במצטבר, ולא בנפרד ביחס לכל לקוח. מנגד, הרשות אימצה עמדה גמישה יותר ביחס לשילוב בין תפקיד הממונה לבין תפקיד ממונה אבטחת המידע, והעבירה את הדגש מבחינה עקרונית של עצם השילוב לבחינה פרטנית של נסיבות הארגון, הכשירות, המשאבים ומבנה הדיווח.
בסופו של דבר, גילוי הדעת מבהיר כי מינוי פורמלי לבדו אינו מספיק. ארגונים נדרשים להבטיח שהממונה מחזיק בידע המתאים, מעורב בפועל בתהליכי קבלת ההחלטות ונהנה ממעמד, גישה ומשאבים המאפשרים לו למלא את תפקידו באופן אפקטיבי.
