ממונה הגנת הפרטיות (DPO, Data Protection Officer) הוא האדם שאחראי בארגון על כל מה שקשור למידע אישי: הוא מייעץ להנהלה, בודק שהארגון עומד בחוק הגנת הפרטיות ובתיקון 13, מדריך את העובדים, ומשמש איש הקשר מול הרשות להגנת הפרטיות ומול אנשים שפונים בנוגע למידע שלהם. הוא יכול להיות עובד בארגון או ממונה חיצוני.
מאז שתיקון 13 נכנס לתוקף, אני מקבל הרבה פניות שמתחילות ב"צריך למנות DPO, אבל מה הוא בעצם עושה?". זו שאלה חשובה, כי ממונה שהוא רק שם על נייר לא מגן על אף אחד.
אם אתם עוד לא יודעים אם הארגון שלכם חייב במינוי, תתחילו מהמאמר מי מחויב למנות DPO לפי תיקון 13. כאן אני מסביר מה התפקיד כולל.
מה עושה ממונה הגנת הפרטיות בפועל?
- ניתוח פערים. ממפה איזה מידע אישי הארגון אוסף, איפה הוא נשמר, מי ניגש אליו, ומה חסר כדי לעמוד בחוק ובתקנות אבטחת המידע.
- נהלים ומסמכים. מדיניות פרטיות לאתר, נוהל אבטחת מידע, נוהל לטיפול באירוע אבטחה, הגדרות מאגר.
- ספקים. בודק מי מקבל גישה למידע (שיווק, מערכות, שכר) ומוודא שיש מולם הסכם עיבוד מידע. על זה כתבתי במאמר על הסכם עיבוד מידע (DPA).
- הדרכות. מדריך עובדים ומנהלים, כי רוב אירועי הפרטיות מתחילים בטעות אנושית.
- בקרה שוטפת. בודק שוב כשמחליפים מערכת, מוסיפים ספק או משיקים שירות חדש.
- איש קשר. מול הרשות להגנת הפרטיות, ומול אנשים שמבקשים לעיין במידע שלהם או לתקן אותו. ובאירוע אבטחה, הוא זה ש"מחבר את הנקודות".
במילים אחרות, ה-DPO הוא לא עורך מסמכים. הוא מי שדואג שהפרטיות תהיה חלק מהעבודה היומיומית.
ממונה הגנת הפרטיות פנימי או חיצוני?
| DPO בתוך הארגון | DPO חיצוני | |
|---|---|---|
| עלות | משרה, שכר ותנאים | תשלום לפי היקף ולפי צורך |
| ניסיון | מכיר לעומק ארגון אחד | רואה ארגונים ותחומים רבים |
| זמינות | בשעות העבודה, בתוך הארגון | לפי הסכם, ובאירוע דחוף לפי מה שסוכם |
| אובייקטיביות | חלק מהתרבות הארגונית | נקודת מבט מבחוץ |
| מתאים ל | ארגונים גדולים עם הרבה מידע רגיש | עסקים קטנים ובינוניים, ארגונים בלי צוות משפטי |
חשוב לבדוק שאין ניגוד עניינים. ממונה שהוא גם מנהל ה-IT, ובודק את העבודה של עצמו, הוא לא פתרון טוב.
צריכים ממונה הגנת פרטיות?
השאירו פרטים ונבדוק יחד מה הארגון שלכם צריך, פנימי או חיצוני.
מה הסיכון בלי ממונה הגנת הפרטיות?
- אכיפה. תיקון 13 נתן לרשות להגנת הפרטיות סמכויות אכיפה רחבות יותר, כולל עיצומים כספיים.
- תביעות. חשיפה לתביעות, כולל תובענות ייצוגיות, כשמידע דולף או משמש שלא כדין.
- אמון. אירוע פרטיות פוגע במוניטין, ולקוחות זוכרים את זה הרבה אחרי שהכותרות נעלמות.
- חו"ל. ארגונים שעובדים מול אירופה כפופים גם ל-GDPR, שם הקנס יכול להגיע ל-20 מיליון אירו או 4% מהמחזור השנתי העולמי, הגבוה מביניהם.
ניהול פרטיות הוא ניהול סיכונים, כמו ניהול כספים או אבטחת מידע. מי שמחכה לאירוע הראשון כדי להתחיל, מתחיל באיחור.
שורה תחתונה
ממונה הגנת הפרטיות טוב לא עוצר את העסק. הוא מאפשר לו לעבוד עם מידע אישי בלי לחשוש. ב-WEB-A אני משמש DPO מוסמך לארגונים ולעסקים, ומלווה אותם מניתוח הפערים ועד הבקרה השוטפת. רוצים לבדוק מה הארגון שלכם צריך? כל הפרטים בעמוד שירותי DPO.
שאלות נפוצות על ממונה הגנת הפרטיות
מה ההבדל בין ממונה הגנת הפרטיות לממונה אבטחת מידע?
ממונה אבטחת מידע אחראי בעיקר על ההגנה הטכנית על המערכות. ממונה הגנת הפרטיות אחראי על השאלה אם המידע נאסף, נשמר ומשמש כדין. התפקידים משלימים זה את זה.
אפשר למנות DPO חיצוני?
כן. ארגונים רבים, במיוחד קטנים ובינוניים, ממנים ממונה חיצוני. העיקר שיהיו לו הידע, הזמינות והעצמאות שהתפקיד דורש.
מה הדבר הראשון שממונה הגנת הפרטיות עושה?
ניתוח פערים: מיפוי של המידע האישי בארגון, מי ניגש אליו ואיך הוא מאובטח, והשוואה לדרישות החוק. מזה נגזרת תוכנית העבודה.
האם ה-DPO אחראי אישית אם יש דליפת מידע?
האחריות לעמידה בחוק נשארת על הארגון ועל ההנהלה. ה-DPO מייעץ, בודק ומתריע, אבל הוא לא מחליף את האחריות של הארגון.
המידע במאמר זה נועד לידע כללי בלבד ואינו מהווה ייעוץ משפטי. בכל עניין או סוגיה משפטית יש להתייעץ עם עורך דין.
מומחה להנגשת אתרי אינטרנט וקצין הגנת פרטיות מוסמך (DPO). מעל 9 שנות ניסיון בליווי ארגונים לעמידה בתקנות הנגישות, ת"י 5568 ובחוק הגנת הפרטיות.
חושבים שהאתר שלכם חשוף?
אל תישארו עם התחושה. שלחו כתובת אתר ונחזור אליכם עם תמונת מצב ראשונית, בלי התחייבות.