משרד המשפטים: יש להגן על הפרטיות בארגונים מעבר למינימום הנדרש בחוק
הרשות להגנת הפרטיות מציבה שורה ארוכה של דרישות סף לתפקיד הממונה על הגנת הפרטיות בארגונים. מחייבת את הארגונים להתייחס בכובד ראש לחוות דעתו ולהעניק לו מידע נרחב
הגנת הפרטיות יעודו של ממונה הגנת הפרטיות בארגון הוא לא רק להבטיח את קיום הוראות החוק, אלא לפעול לקידום ושיפור ההגנה על הפרטיות ואבטחת המידע גם מעבר למינימום הקבוע בדין. כך אומרת הרשות להגנת הפרטיות במשרד המשפטים, בגילוי דעת סופי בנוגע לחובת מינוי זו. הרשות מדגישה, כי היא תשתמש בסמכויות האכיפה שלה כדי לוודא שהמינוי נעשה בהתאם לכל הקריטריונים הקבועים בחוק, וכי מדובר בבעל תפקיד המחזיק בידע מעמיק בהיבטים המשפטיים והרגולטוריים של דיני הגנת הפרטיות.
חובה המינוי היא חלק מתיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקפו באוגוסט אשתקד. היא חלה על שורה ארוכה של גופים וארגונים: גופים ציבוריים (משרדי ממשלה, רשויות מקומיות וגופים הממלאים תפקיד ציבורי על פי דין); ארגונים העוסקים בסחר במידע (Data Brokers) ומחזיקים מידע אישי על יותר מ-10,000 בני אדם; גופים המבצעים ניטור שוטף ושיטתי של בני אדם בהיקף ניכר, לרבות ספקי תקשורת, אפליקציות האוספות נתוני מיקום או נתוני בריאות, ואינטרנט של הדברים (IoT); גופים המחזיקים מידע בעל רגישות מיוחדת בהיקף ניכר (לרבות בנקים, חברות ביטוח, בתי חולים וקופות חולים).
ידע מעמיק בחוק וניסיון מעשי רב
לדברי הרשות, מינוי ממונה הגנת הפרטיות תורם משמעותית לשיפור הציות לחוק, ומחזק את תפיסת האחריותיות בניהול מידע אישי בארגון. המינוי גם תואם את האינטרסים העסקיים של הגוף עצמו, מאחר שהוא מסייע בבניית האמון בקרב לקוחות ואנשים שהמידע עליהם מוחזק בידיו, ותורם לחיזוק המוניטין שלו.
על פי החוק, הממונה הוא סמכות מקצועית ומייעץ להנהלה ולעובדים בכל הנוגע לדיני הגנת הפרטיות וקידום השמירה על הפרטיות בארגון. עליו להכין תוכניות הדרכה ובקרה על עמידה בהוראות החוק, לטפל בפניות ותלונות בנוגע לעיבוד המידע האישי בארגון, ולשמש כאיש קשר של הארגון מול הרשות להגנת הפרטיות.
הממונה נדרש להיות בעל ידע מעמיק בדיני הגנת הפרטיות, הבנה הולמת בטכנולוגיה ואבטחת מידע, והיכרות עם תחומי פעילותו של הארגון. גילוי הדעת מפרט בהרחבה מה כוללות דרישות הידע והכישורים הללו. הידע כולל את חוק הגנת הפרטיות; פסיקת בתי המשפט ובתי הדין לעבודה בסוגיות של הגנת פרטיות; התקנות וההוראות שפורסמו מכוח חוק הגנת הפרטיות; הפרשנות שניתנה להן על ידי הרשות להגנת הפרטיות בהנחיותיה ובשאר מסמכי המדיניות שפרסמה; חקיקה ורגולציה מגזרית בתחום הגנת המידע האישי הרלוונטיים לפעילות הארגון בו מכהן הממונה; וכללי המשפט החוקתי והמינהלי הנוגעים להגנה על הזכות לפרטיות, בארגונים הכפופים למשפט הציבורי.
בנוסף לכך, אומרת הרשות, נדרש "ניסיון מעשי משמעותי בעיסוק בהיבטים משפטיים או רגולטוריים בתחום הגנת הפרטיות (לרבות ניסיון קודם בתפקיד ממונה על הגנת הפרטיות או ליווי תחום הפרטיות בארגון בפן המשפטי). בנוסף, רצוי שיעבור גם הכשרה בסיסית לממוני הגנת פרטיות בטרם כניסתו לתפקיד". הוא גם "נדרש להפגין הבנה טכנולוגית ברמה שתאפשר לו לבצע באופן יעיל את תפקידו לאור המאפיינים הספציפיים של הארגון בו הוא מכהן, תחום עיסוקו, פעולות עיבוד המידע האישי שהארגון מבצע והטכנולוגיות המשמשות אותן, לרבות הכרת מחזור חיי המידע וזרימת המידע בארגון ומבנה של המערכות המנהלות והמאחסנות את המידע".
הממונה גם "נדרש להכיר את ייעודו של הארגון ותחומי העיסוק שלו; המבנה התאגידי; חלוקת תחומי האחריות ותהליכי העבודה הנהוגים בו, בדגש על תהליכי עיבוד מידע; המגזר או השוק במסגרתו הארגון פועל ועיקרי הרגולציה המגזרית (מעבר לרגולציית הפרטיות הייחודית למגזר); גופים אחרים איתם מקיים הארגון שיתוף פעולה עסקי או אחר; ומאפייני נושאי המידע עליהם הארגון אוסף ומעבד מידע, בדגש על אוכלוסיות מיוחדות".
מוטב שהממונה יהיה עובד הארגון
החוק קובע, כי הממונה ידווח ישירות למנכ"ל הארגון או לגורם הכפוף לו במישרין, וכי הארגון מחויב לספק לו את התנאים והמשאבים הדרושים למילוי תפקידו. הממונה לא ימלא תפקיד נוסף או יהיה כפוף לנושא משרה שעלולים להעמידו בחשש לניגוד עניינים. הרשות מבהירה, כי הארגון מחויב לשקול בכובד ראש את עמדותיו של הממונה, ולנהוג בחוות דעתו כמו בחוות דעת של גורם שיש חובת היוועצות עימו.
עוד מובהר, כי יש לאפשר לממונה גישה לכל המסמכים, המידע והמערכות הטכנולוגיות הנדרשים לו לצורך מילוי תפקידו, ליידע אותו מבעוד מועד על כל עניין שיש לו השלכה מהותית על הגנת המידע האישי בארגון, ולשתף אותו בדיונים ובתכתובות. על אף שהחוק מאפשר למנות ממונה הגנת פרטיות גם במיקור חוץ, הרשות מבהירה, כי על פי רוב קיים יתרון בכך שהממונה יהיה עובד הארגון המועסק במשרה מלאה כחלק אינטגרלי מהארגון, מתוך הנחה שמתכונת העסקה זו תאפשר לו היכרות מעמיקה ואינטימית עם הארגון ותחומי פעילותו, כמו גם זמינות ונגישות בלתי אמצעית לעובדים ולמנהלים.
