מה זה ממונה הגנת פרטיות (DPO), מה תפקידו ומתי ארגון נדרש בכזה

המאמר הוא מידע כללי בלבד ואינו ייעוץ משפטי. PhishingU מספקת הדרכת מודעות, תרגילי פישינג וסריקה חינמית של הדומיין, ואינה מספקת ייעוץ משפטי או שירותי ממונה הגנת פרטיות.

ממונה הגנת פרטיות במילים פשוטות

כל ארגון שמחזיק מידע על אנשים, כמו לקוחות, עובדים או מטופלים, נדרש להחליט איך משתמשים בו, מי רואה אותו, ואיך שומרים עליו. ממונה על הגנת הפרטיות (בשפה המקצועית נקרא לעיתים DPO, ראשי תיבות של Data Protection Officer) הוא בעל תפקיד בארגון שמכוון, בודק ומייעץ בנושא הזה. הוא אינו תחליף למנכ"ל, ל-IT או לעורך הדין, אלא נקודת מבט ייעודית.

מה בדרך כלל עושה ממונה

התפקיד המדויק תלוי בארגון, ובדין החל עליו. באופן כללי, תחומי אחריות אופייניים הם:

• מיפוי: להבין אילו נתונים אישיים יש בארגון, איפה הם נשמרים ולמה.
• ייעוץ להנהלה: על סיכונים, נהלים והחלטות שנוגעות לשימוש בנתונים.
• פיקוח על יישום: לבדוק שנהלים אכן מתקיימים.
• טיפול באירועים: לרכז את הטיפול בפרצה או חשיפה, יחד עם עורך דין ו-IT. ראו מה עושים בשעות הראשונות.
• פניות של אנשים: מי שמבקש לעיין במידע עליו או לתקן אותו.
• הדרכה: לוודא שעובדים יודעים מה מצופה מהם. ראו הדרכת עובדים בהגנת הפרטיות.

מתי ארגון נדרש בממונה

זו השאלה שכולם שואלים, והיא שאלה משפטית. מה שאפשר לומר בזהירות הוא שתיקון 13 לחוק הגנת הפרטיות שינה, בין השאר, את ההסדרים סביב ממונים על הגנת הפרטיות ואבטחת מידע, ושהחובה עשויה להיות תלויה בסוג הארגון, בהיקף המידע ובאופי השימוש בו. אילו קריטריונים חלים עליכם, מתי, ומה היקף האחריות, כדאי לבדוק מול עורך דין מה חל עליכם. מאמר זה אינו קובע זאת, ואין בו ציון של סעיפים, ספים או קנסות.

גם ארגון שלא נדרש רשמית בממונה, עשוי להחליט למנות אחד או להגדיר אחראי לנושא, פשוט כי זה מסדר את העבודה.

מה הממונה צריך כדי לעבוד

ממונה לא יכול לבצע את תפקידו בלי מידע, גישה ותמיכה מההנהלה. בפועל כדאי להבטיח לו:

1. גישה להנהלה, כדי שהמלצות יגיעו למקבלי ההחלטות.
2. שיתוף פעולה של ה-IT, כדי לדעת איפה נמצא המידע ומה ההגנות. ראו ממונה חיצוני או פנימי.
3. זמן ותקציב לביצוע המשימות.
4. מנגנון דיווח על אירועים ופניות.

איפה נכנסים המייל וההדרכה

שני תחומים שחוזרים כמעט בכל ארגון:

• המייל: מידע אישי נשלח ומתקבל דרכו. כדאי לוודא אימות דו-שלבי ולהגדיר SPF, DKIM ו-DMARC כדי להקשות על התחזות לדומיין.
• ההדרכה: עובדים שיודעים מה מצופה מהם מקטינים את הסיכוי לטעות.

אלה אמצעים נפוצים, ואינם מחליפים בדיקה מקיפה של מה שנדרש מהארגון.

מה אפשר להכין עוד לפני שמתייעצים

כדי שהשיחה עם עורך הדין תהיה יעילה, הכינו מראש:

• סוגי המידע האישי שיש לכם, ואם יש ביניהם מידע רגיש. ראו מאגר מידע ומידע רגיש.
• בערך על כמה אנשים.
• אילו ספקים מטפלים במידע.
• מה נהלי האבטחה הקיימים.
• אם היו אירועים בעבר.

מה PhishingU עושה ומה לא

PhishingU מספקת הדרכת מודעות, תרגיל פישינג וסריקה חינמית של הדומיין (בדיקת DMARC, SPF ו-DKIM). היא אינה מספקת ייעוץ משפטי או שירותי ממונה. תעודת השתתפות בהדרכה היא ראיה להדרכה שבוצעה, המסייעת לעמידה בחלק מהדרישות, ואינה אישור עמידה מלאה.

ממונה הגנת פרטיות וממונה אבטחת מידע: לא אותו תפקיד

לעיתים מבלבלים בין שני תפקידים קרובים. ממונה הגנת פרטיות עוסק בעיקר בשאלה איך משתמשים במידע אישי, למה, ומה הזכויות של האנשים שהמידע עליהם. ממונה אבטחת מידע (CISO ודומיו) עוסק בעיקר בהגנה הטכנית והארגונית על המערכות והמידע. בארגונים שונים התפקידים מוגדרים אחרת, ולעיתים מאוחדים, ולכן כדאי להגדיר בכתב מי אחראי על מה. אם התפקידים משולבים באדם אחד, כדאי לשאול עורך דין אם יש בכך בעיה.

סימנים שהגיע הזמן להסדיר את הנושא

גם בלי להכריע אם יש חובת מינוי, יש מצבים שבהם כדאי לקבוע אחראי:

• הארגון אוסף או מחזיק מידע רגיש, למשל על בריאות או על מצב כלכלי.
• הרבה עובדים נוגעים במידע אישי במהלך היום.
• מעבירים מידע לספקים, כמו מערכת ענן או חברת שירות.
• לקוח גדול שואל בשאלון אבטחה מי אחראי על הגנת הפרטיות.
• היה בעבר אירוע, אפילו קטן.
• אנשים פונים ומבקשים לעיין במידע עליהם או למחוק אותו, ואין מי שיודע מה לענות.

כל אחד מהסימנים האלה הוא סיבה טובה לשיחה, ראשית עם עורך דין ואחר כך עם מי שיקבל את התפקיד.