בחודשים האחרונים נושא הגנת הפרטיות הפך מאתגר מקצועי של מחלקות ה-IT והמשפטים, לאחריות ישירה של הנהלות ודירקטוריונים. הסיבה לכך היא תיקון 13 לחוק הגנת הפרטיות והבהרות שפרסמה הרשות להגנת הפרטיות, המגדירים באילו מקרים ארגונים מחויבים למנות ממונה הגנת פרטיות (DPO – Data Protection Officer).
עבור ארגונים רבים זו אינה רק דרישה רגולטורית חדשה, אלא שינוי תפיסתי של ממש. פרטיות כבר אינה עוסקת רק בשמירה על מידע אישי, אלא בניהול סיכונים, בממשל תאגידי, באמון לקוחות ובהמשכיות העסקית של הארגון.
השאלה שכמעט כל הנהלה צריכה לשאול היום היא לא האם פרטיות חשובה, אלא האם הארגון כבר מחויב במינוי DPO והאם הוא ערוך לכך?
מהו DPO ולמה התפקיד הפך לכל כך משמעותי?
ממונה הגנת פרטיות (DPO) הוא בעל התפקיד האחראי להוביל את תחום הפרטיות בארגון ולוודא שכל פעילות הקשורה למידע אישי מתבצעת בהתאם לדרישות החוק והרגולציה. תפקידו כולל ליווי ההנהלה, גיבוש מדיניות פרטיות, בחינת סיכונים, הטמעת נהלים וליווי אירועי אבטחת מידע בעלי השלכות על פרטיות.
בניגוד למה שנהוג לחשוב, DPO אינו רק יועץ משפטי ואינו רק מומחה טכנולוגי. הוא מהווה גורם מקצועי עצמאי המחבר בין ההנהלה, מחלקות ה־IT, מערכות המידע, משאבי האנוש, השיווק והייעוץ המשפטי, ומסייע לארגון לנהל מידע אישי בצורה בטוחה, תקינה ואחראית.
מה השתנה בעקבות תיקון 13?
תיקון 13 לחוק הגנת הפרטיות מחזק באופן משמעותי את האחריות המוטלת על ארגונים בכל הנוגע לניהול מידע אישי. לצד הרחבת סמכויות האכיפה של הרשות להגנת הפרטיות, התיקון מגדיר מקרים שבהם קיימת חובה למנות ממונה הגנת פרטיות.
בין היתר, החובה עשויה לחול על ארגונים שמעבדים מידע אישי בהיקף משמעותי, מידע רפואי, פיננסי או ביומטרי, מבצעים ניטור שוטף של אנשים או פועלים במגזר הציבורי. בנוסף, ממונה הפרטיות נדרש לפעול בעצמאות מקצועית ולדווח ישירות להנהלה הבכירה, כדי להבטיח קבלת החלטות עניינית וללא ניגודי עניינים.
DPO הוא לא רק רגולציה, אלא כלי לניהול סיכונים
ארגונים רבים עדיין רואים במינוי DPO "עוד דרישה משפטית". בפועל, מדובר באחד מתפקידי ניהול הסיכונים החשובים ביותר בארגון.
דליפת מידע אישי, שימוש לא תקין במידע או אי עמידה בדרישות החוק עלולים לגרום לקנסות, תביעות, פגיעה במוניטין ואובדן אמון מצד לקוחות, עובדים ושותפים עסקיים. ממונה הגנת פרטיות מסייע לצמצם את הסיכונים הללו באמצעות ניהול שוטף של תחום הפרטיות, עוד לפני שמתרחש אירוע.
למה יותר ארגונים בוחרים ב-DPO as a Service?
לא כל ארגון זקוק לממונה פרטיות במשרה מלאה, אך כמעט כל ארגון זקוק למומחיות בתחום. לכן יותר ויותר חברות בוחרות במודל DPO as a Service – שירות המאפשר לקבל ליווי מקצועי, עצמאי ועדכני, בהתאם לצרכי הארגון.
השירות כולל מיפוי פערים רגולטוריים, גיבוש מדיניות ונהלים, ליווי הנהלה, ביצוע סקרי פרטיות, הדרכות עובדים, ניהול אירועי פרטיות וקשר שוטף מול הרשות להגנת הפרטיות. כך הארגון נהנה ממומחיות רחבה, ללא העלויות הכרוכות בגיוס בעל תפקיד ייעודי.
ב-Elements אנו מספקים שירות DPO as a Service המלווה את הארגון משלב בחינת תחולת החובות הרגולטוריות, דרך בניית ממשל פרטיות ותהליכי עבודה, ועד לליווי שוטף של ההנהלה, הכשרת עובדים וניהול אירועי פרטיות. השירות מבוסס על שילוב בין רגולציה, ניהול סיכונים, אבטחת מידע והמשכיות עסקית' מתוך תפיסה שפרטיות היא חלק בלתי נפרד מהחוסן הארגוני.
איך יודעים האם הארגון מחויב במינוי DPO?
ארגונים רבים כלל אינם מודעים לכך שתיקון 13 עשוי לחול גם עליהם. אם הארגון שלכם מעבד מידע אישי בהיקף משמעותי, מחזיק מידע רפואי, פיננסי או ביומטרי, מבצע ניטור של עובדים או לקוחות, או פועל במגזר הציבורי – ייתכן שכבר קיימת חובה למנות ממונה הגנת פרטיות.
לסיכום
תיקון 13 מסמן שינוי משמעותי באופן שבו ארגונים בישראל נדרשים להתייחס לפרטיות. עבור רבים, מינוי DPO כבר אינו המלצה אלא חובה רגולטורית. אך מעבר לעמידה בדרישות החוק, מדובר בהזדמנות לבנות ממשל פרטיות נכון, לחזק את אמון הלקוחות ולהפחית סיכונים עסקיים.
Elements מלווה חברות, ארגונים וגופים ציבוריים במתן שירותי DPO as a Service, החל ממיפוי הדרישות הרגולטוריות ועד להטמעת מערך פרטיות מלא בארגון. השירות משלב ניסיון מעשי בתחומי הגנת הפרטיות, ניהול סיכונים, סייבר והמשכיות עסקית, ומאפשר לארגונים לעמוד בדרישות החוק בצורה מקצועית, יעילה ומותאמת לצורכיהם.
אם אינכם בטוחים האם הארגון שלכם מחויב במינוי DPO או כיצד להיערך לדרישות החדשות, מומלץ לבצע בחינה מקצועית כבר עכשיו, לפני שהרגולציה תהפוך לאירוע עסקי.
