מי חייב למנות ממונה על הגנת הפרטיות, בקצרה?
החובה נכנסה לתוקף עם תיקון 13, ב 14 באוגוסט 2025, וחלה על ארבע קבוצות: גופים ציבוריים, סוחרי מידע, מי שעיסוקו העיקרי כרוך בניטור שוטף ושיטתי של אנשים בהיקף ניכר, ומי שעיסוקו העיקרי כולל עיבוד מידע רגיש בהיקף ניכר. בנקים, חברות ביטוח, בתי חולים וקופות חולים נקובים בחוק במפורש.
ב 14 ביולי 2026 פרסמה הרשות להגנת הפרטיות גילוי דעת שמסביר איך היא מפרשת את החובה. לפי גילוי הדעת, לרוב העסקים הקטנים השאלה מסתכמת בשני מבחנים: האם עיבוד המידע הוא חלק מהעיסוק העיקרי, והאם הוא בהיקף ניכר.
אילו ארגונים נמצאים ברשימה?
| קבוצה | מתי החובה חלה |
|---|---|
| גופים ציבוריים | חלה. וגם על ספק חיצוני שמעבד מידע עבור גוף ציבורי |
| סוחרי מידע | מאגר שמטרתו העיקרית מסירת מידע לאחרים כעיסוק או בתמורה, כולל שירותי דיוור ישיר, עם מידע על יותר מ 10,000 איש |
| ניטור שיטתי של אנשים | כשהעיסוק העיקרי כרוך בניטור שוטף ושיטתי, בהיקף ניכר |
| עיבוד מידע בעל רגישות מיוחדת | כשהעיסוק העיקרי כולל עיבוד כזה, בהיקף ניכר |
| בנקים, חברות ביטוח, בתי חולים, קופות חולים | נקובים בחוק במפורש |
מה זה "עיסוק עיקרי"?
לפי גילוי הדעת, עיבוד מידע הוא חלק מהעיסוק העיקרי כשהוא רכיב מרכזי במטרות העסקיות, או חלק מובנה מפעילות הליבה. הרשות נותנת דוגמה: עיבוד מידע רפואי על מטופלים נכלל בעיסוק העיקרי של מוסדות רפואיים.
מנגד, מידע רגיש שנאסף רק לצורכי עזר, כמו העסקת עובדים, לא מקים לבד את החובה.
מה זה "היקף ניכר"?
כאן אין מספר אחד. הרשות כותבת שאין סף כמותי, ושוקלת כמה גורמים, בין השאר:
- מספר האנשים שהמידע עליהם מעובד, ושיעורם באוכלוסייה מסוימת.
- כמות המידע ומגוון סוגי המידע.
- משך העיבוד, התדירות שלו ומשך שמירת המידע.
- התחום הגאוגרפי של הפעילות.
השיקולים לא חייבים להתקיים יחד. גם כשמספר האנשים לא גדול, הכף עלולה לנטות ל"היקף ניכר" אם מתקיים שיקול אחר.
מה זה אומר לעסק קטן?
- מרפאות וקליניקות. עיבוד מידע רפואי הוא חלק מהעיסוק העיקרי. נשארת השאלה של היקף ניכר, ועליה אין תשובה במספר. במקרה של ספק, הרשות מציינת שאפשר לפנות אליה בשאלה.
- ספקי תוכנה ושירות שמעבדים מידע עבור לקוחות. אצל ספק כזה סופרים את כל האנשים אצל כל הלקוחות יחד. הרשות נותנת דוגמה: ספק שמעבד מידע רגיש עבור 1,000 מאגרים, עם 100 אנשים בכל אחד, נחשב כמי שמעבד מידע רגיש בהיקף ניכר. וספק שמעבד מידע עבור גוף ציבורי חייב במינוי בכל מקרה.
- אתרים ואפליקציות שעוקבים אחרי משתמשים. הרשות מציינת שניטור שיטתי רלוונטי במיוחד למעקב אחרי פעילות משתמשים ולבניית פרופילים, למשל לפרסום ממוקד.
- גם בלי חובה, הרשות ממליצה לשקול מינוי ממונה.
איך מינוי ממונה משפיע על עיצום?
ארגון שחייב במינוי בגלל ניטור שיטתי או עיבוד מידע רגיש, ומינה ממונה בפועל, עשוי לקבל הפחתה של 10% בעיצום על הפרות אחרות. ההפחתה ניתנת לבקשת המפר, וסך כל ההפחתות מוגבל ל 70%. עיצומים כספיים: מה מפחית
ממונה במקום חובות אבטחה?
לא. החובה למנות ממונה היא חובה נוספת, ולא תחליף. תקנות אבטחת המידע חלות על המאגר בכל מקרה, לפי רמת האבטחה שלו. איזו רמה חלה עליכם
שאלות נפוצות
לכל השאלותיש לי מרפאה קטנה. חלה עליי חובה למנות ממונה?
לפי גילוי הדעת, עיבוד מידע רפואי על מטופלים הוא חלק מהעיסוק העיקרי של מוסד רפואי. השאלה הפתוחה היא אם העיבוד בהיקף ניכר, ואין לה סף מספרי. במקרה של ספק אפשר לפנות לרשות.
יש לי עובדים, ואני שומר עליהם מידע רפואי. זה מחייב ממונה?
לבד, לא. לפי גילוי הדעת, עיבוד מידע רגיש לצורכי עזר כמו העסקת עובדים לא מקים את החובה.
ממונה על הגנת הפרטיות זה אותו דבר כמו ממונה על אבטחת מידע?
לא. הרשות מתארת שני תפקידים שונים, עם דרישות ידע שונות.
מינוי ממונה פוטר מדיווח על אירוע אבטחה?
לא. חובת הדיווח על אירוע אבטחה חמור נקבעת בתקנות אבטחת המידע, לפי רמת האבטחה של המאגר.
שיחת בדיקה
בדיקת ביטוח סייבר לעסק
החוק קובע מה חובה לעשות אחרי דליפה. ביטוח סייבר יכול לעזור בעלויות שמסביב, בהתאם לפוליסה.
שם, טלפון וסוג עסק. בלי מייל ובלי מסמכים.
- 01משאירים שם, טלפון וסוג עסק
- 02חוזרים אליכם לשיחה בטלפון
- 03עוברים על הפוליסה, המידע והגיבויים
תודה, נחזור אליכם בהקדם.
אם יש לכם פוליסת עסק, שווה שדף פרטי הביטוח יהיה בהישג יד בזמן השיחה.
מקורות
- הרשות להגנת הפרטיות, גילוי דעת: מינוי ממונה על הגנת הפרטיות בארגון לפי דרישות תיקון 13, 14.7.2026, סעיפים 9 עד 9.14, 25, 28: gov.il (קישור למקור). נבדק 8.10.2026.
- הרשות להגנת הפרטיות, עיקרי תיקון 13, עמ' 8 ו 22: gov.il (קישור למקור). נבדק 8.10.2026.
- תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז 2017: gov.il (קישור למקור). נבדק 8.10.2026.
מידע כללי, לא חוות דעת משפטית.