אנחנו רוצים לעדכן על שתי התפתחויות מעניינות בעקבות מסמכים שהרשות להגנת הפרטיות פרסמה לאחרונה. הראשון הוא טיוטה בנושא שימוש באמצעים לאימות גיל במרחב המקוון, והשני הוא נוסח סופי למסמך שעוסק ב-DPO, ובו קביעות שארגונים בהם ה DPO ממלא גם תפקיד משפטי חייבים לשים לב אליהן, ושלא הופיעו במסמך המקורי.

DPO

לאחר המתנה של כמעט שנה, הרשות להגנת הפרטיות פרסמה את הנוסח הסופי של טיוטת גילוי הדעת (שפורסמה ביום 23.7.25) בדבר מינוי ממונה על הגנת הפרטיות בארגון. הנוסח הסופי כולל כמה הבהרות והרחבות חשובות לעומת הטיוטה.

בעדכון לקוחות זה בחרנו להתמקד במצב הנפוץ בו ממונה הגנת הפרטיות ממלא גם תפקיד של ייעוץ משפטי בארגון. לאור הדרישות הנרחבות לכך שהממונה יהיה בעל ידע מעמיק בדיני הגנת הפרטיות הישראליים, הנתמך בניסיון משמעותי בעיסוק בהיבטים משפטיים או רגולטוריים בתחום, אך טבעי שבארגונים רבים ימונה לתפקיד מי שעיסוקו בייעוץ משפטי בתחום זה.

קשיים העלולים לעלות מכפילות כזו נרמזו כבר בטיוטה ("לא בהכרח תאפשר להפיק מהממונה את התועלת המיטבית"), אך הנוסח הסופי מרחיב את ההתייחסות באופן משמעותי, ומבהיר כי על ממונה שהוא גם יועץ משפטי "לנקוט באמצעים ארגוניים ואחרים אשר באמצעותם ניתן יהיה להבחין בבירור בין פעילותו כממונה על הגנת הפרטיות, ובין פעילותו כיועץ משפטי". אחת הדוגמאות לאמצעים כאלה היא שהממונה יקפיד לחתום כממונה (ולא כיועץ משפטי) כאשר הוא פועל כממונה. דוגמא אחרת שמציעה הרשות היא להפריד בין תיבות הדואר האלקטרוני לתפקידים השונים – תיבה לפעילות כממונה, ותיבה אחת לפעילות כיועץ משפטי. אמצעים דומים (ונוקשים מהם) נדרשו גם בהחלטות רגולטוריות באירופה.

קושי נוסף, שנזכר עוד בטיוטה וכדאי לשים לב אליו, הוא ש"חוות הדעת שניתנו על-ידי הממונה במסגרת תפקידו בארגון עשויות להתבקש במסגרת פעילות הרשות להגנת הפרטיות". משפט זה עשוי ללמד כי ארגון שיסרב למסור את חוות הדעת של ממונה הגנת הפרטיות בטענה שהן מוגנות בחיסיון עו"ד-לקוח, מחמת היות הממונה גם יועץ משפטי, עלול לעורר טענה מצד הרשות כי לא מונה בפועל ממונה על הגנת הפרטיות, אלא יועץ משפטי לפרטיות בלבד. בהינתן שעל-פי גילוי הדעת, ממונה הגנת הפרטיות צריך לשאוף לכך שהארגון יצמצם את הפגיעה בפרטיות גם כאשר היא מותרת בדין, לחוות הדעת של הממונה יכולה להיות משמעות רבה.

בנוסח הסופי נוספה הבהרה שחשובה להבנת ההבדל בין ממונה על הגנת הפרטיות ליועץ משפטי בתחום הפרטיות, והיא שהציפייה של הרשות לפיה ה-DPO יפעל לשיפור ההגנה על הפרטיות גם מעבר לקבוע בדין, איננה מיועדת להטיל על הארגון עצמו חובות נוספות, מעבר לאלו שהארגון חייב בהן מכוח דין.

עוד נעיר שהרשות מפנה להנחיית CNIL לפיה DPO שהוא עו"ד חיצוני של הארגון שמייצג אותו בבתי משפט בנושאי הגנת הפרטיות, נמצא במצב מובהק של ניגוד עניינים. לא מן הנמנע שהרציונל נכון גם לייעוץ משפטי פנימי.

גם ביחס לאפשרות למנות לתפקיד הממונה על הגנת הפרטיות את ה CISO, ניכר שינוי בין הטיוטה לבין הנוסח הסופי. בעוד שבטיוטה האפשרות למינוי כפול כזה הוצגה כבעייתית מאוד, ואף כמעט בלתי אפשרית, בנוסח הסופי הרשות מאמצת גישה מעט גמישה יותר: היא אינה שוללת את המינוי, אך מדגישה כי מדובר במינוי המעלה שאלות ממשיות של התאמה, עצמאות, היכולת למלא את שני התפקידים במקביל מבחינת עומס עבודה ושדרת דיווח, ולכן מינוי כזה יחייב בחינה פרטנית.

להשלמת התמונה נציין כי ביחס לבעלי תפקידים בכירים הקובעים מדיניות או מקבלים החלטות מהותיות לגבי עיבוד מידע אישי, כגון מנהל השיווק, הרשות עדיין מזהירה מפני חשש לניגוד עניינים. ביחס למנהל מערכות מידע, הרשות אף מציינת כי ניגוד העניינים מתקיים, גם ביחס לגורמים הכפופים לו. מאחר שבארגונים רבים ה-CISO כפוף למנהל מערכות המידע או פועל בצמוד אליו, בחינת המינוי מחייבת זהירות מיוחדת.

לכן, ארגונים השוקלים למנות ממונה על הגנת הפרטיות מתוך פונקציות משפטיות, טכנולוגיות או אבטחת מידע צריכים לבחון לא רק את הכישורים המקצועיים של המועמד, אלא גם את מיקומו הארגוני, היקף סמכויותיו, ויכולתו להפעיל שיקול דעת עצמאי ביחס להחלטות ארגוניות הנוגעות לעיבוד מידע אישי.

לאור האמור, אנחנו ממליצים ללקוחותינו אשר שוקלים לשלב בין תפקיד הממונה על הגנת הפרטיות לבין תפקיד משפטי, טכנולוגי או תפקיד אבטחת מידע, לבחון את הנושא בזהירות לאור מסמך הרשות.

אימות גיל

ביום 11.6.2026 פרסמה הרשות להגנת הפרטיות טיוטה להערות הציבור בנושא "הגנת פרטיות בשימוש באמצעים לאימות גיל (Age Assurance) במרחב המקוון" (להלן: "הטיוטה"). הטיוטה ממפה מתודות לאימות גיל, מדרגת אותן לפי פוטנציאל הפגיעה בפרטיות, ומפרטת את עמדת הרשות ביחס לחובות הנלוות לשימוש בהן.

רוב האמור בטיוטה מבוסס על פרשנותה המרחיבה והמוכרת של הרשות לחוק הגנת הפרטיות, ובהמשך לעמדותיה הקודמות.  נפנה לשני נושאים מתוך הטיוטה.

ראשית, הטיוטה מבהירה כי תקנה 2(ג) לתקנות אבטחת מידע מחייבת פעולה אקטיבית לצמצום מידע, "לרבות באמצעות מחיקתו" (בעוד שנוסח התקנה עצמו עוסק רק בבדיקה אם יש בארגון מידע עודף).

שנית, הטיוטה ממשיכה בהכרה שהגנות לפי סעיף 18 לחוק יכולות להיות חלופה לקבלת הסכמה, שהופיעה במסמכים שונים של הרשות לאחרונה. הרשות חוזרת על החובה לעמוד בדרישת המידתיות (להשתמש באמצעים לאימות גיל שפגיעתם בפרטיות המשתמשים היא הפחותה ביותר האפשרית בנסיבות העניין) כתנאי לתחולת ההגנות, ועל הצורך להצביע על הסיבות והאינטרסים הלגיטימיים המצדיקים, לגישתם, את הפגיעה בפרטיות המשתמשים ללא הסכמה.

במבט רחב יותר, שני המסמכים משקפים את המשך המגמה של הרשות להציב בפני ארגונים ציפיות יישומיות מפורטות יותר בתחומי מידתיות, אחריותיות, תיעוד שיקול הדעת וממשל פרטיות פנים-ארגוני. בהתאם, מומלץ לבחון מראש את אופן יישום העמדות במסמכים אלה, ובפרט את ההשלכות על תהליכי עבודה, התקשרויות עם ספקים, מינוי ממונה הגנת פרטיות ותיעוד החלטות הנוגעות לעיבוד מידע אישי.

נשמח לסייע בבחינה כאמור וכמובן להשיב לשאלות בנושא.

אייל שגיא, שיר שושני-כץ וצוות מחלקת משפט וטכנולוגיה

האמור במסמך זה הוא מידע כללי בלבד ואינו מהווה חוות דעת משפטית או ייעוץ משפטי, ואין לעשות בו כל שימוש אחר.