ביום 5 באוגוסט 2024 אישרה הכנסת את תיקון מס' 13 לחוק הגנת הפרטיות, התשמ"א-1981, והוא נכנס לתוקף ביום 14 באוגוסט 2025. התיקון הוסיף לחוק את סעיפים 17ב1 עד 17ב3, שקובעים מי חייב למנות ממונה על הגנת הפרטיות (Data Protection Officer, DPO), מה תפקידיו ומה נדרש ממנו. ביום 14 ביולי 2026 פרסמה הרשות להגנת הפרטיות גילוי דעת על מינוי הממונה, שמפרש את ההוראות האלה. על תפקיד הממונה כשהארגון משתמש בכלי בינה מלאכותית ראו הממונה על הגנת הפרטיות ושימוש בבינה מלאכותית בארגון.

תפקיד הממונה הוא לפעול להבטחת קיום החוק והתקנות, ולקידום ההגנה על הפרטיות ואבטחת המידע במאגרי המידע של הגוף. הוא אינו מחליף את ממונה אבטחת המידע, שחובת מינויו קיימת בחוק מלפני התיקון.

סעיף 17ב1(א) לחוק מונה ארבע קבוצות:

לפי סעיף 17ב1(ב), כדי לקבוע אם עיבוד נעשה "בהיקף ניכר" בוחנים את מספר בני האדם שמידע עליהם מעובד, את שיעורם באוכלוסייה, את כמות המידע ומגוון סוגיו, את משך העיבוד ותדירותו, את משך שמירת המידע ואת התחום הגאוגרפי של העיבוד. לפי גילוי הדעת אין סף כמותי. אצל מחזיק שמעבד מידע עבור לקוחות רבים, ההיקף נבחן במצטבר על כל הלקוחות. הדוגמה בגילוי הדעת היא מחזיק שמעבד מידע עבור 1,000 מאגרים, ובכל אחד מהם מידע בעל רגישות מיוחדת על 100 בני אדם בלבד. ניטור שיטתי רלוונטי במיוחד למעקב אחר פעילות משתמשים וליצירת פרופיל לצורך פרסום ממוקד, התאמה אישית של תוכן, דירוג אשראי, חיתום ביטוחי ואיתור הונאות.

"מידע בעל רגישות מיוחדת" הוגדר מחדש בתיקון 13. בין היתר הוא כולל מידע על בריאות, מידע גנטי, מזהה ביומטרי, עבר פלילי, דעות פוליטיות ואמונות דתיות, הערכת אישיות, נתוני שכר ופעילות פיננסית, ומידע שחלה עליו חובת סודיות לפי דין. לכן גם גופים שאינם בנק או מבטח, למשל מרפאות פרטיות, חברות שכר ומכוני אבחון, צריכים לבחון אם הם בקבוצה (4).

סעיף 17ב2 מפרט את תפקידי הממונה:

• לשמש סמכות מקצועית ומוקד ידע, ולייעץ להנהלת הגוף בתחום הגנת הפרטיות.
• להכין תוכנית הדרכה בתחום הגנת הפרטיות ולפקח על ביצועה.
• להכין תוכנית לבקרה שוטפת על העמידה בחוק ובתקנות, לוודא את ביצועה, לדווח להנהלה על הממצאים ולהציע תיקון ליקויים.
• לוודא שקיימים נוהל אבטחת מידע ומסמך הגדרות מאגר לפי תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, ושהם הובאו לאישור ההנהלה.
• לוודא טיפול בפניות של נושאי מידע בעניין עיבוד מידע עליהם ומימוש זכויותיהם, ובהן בקשות עיון ותיקון.
• לשמש איש הקשר מול הרשות להגנת הפרטיות. דרכי ההתקשרות עם הממונה מתפרסמות לציבור.

לפי גילוי הדעת, הממונה צריך להיות מעורב גם בהחלטות על רכישת מערכות מידע חדשות ועל שדרוגן, ומומלץ שיקדם עריכת תסקיר השפעה על הפרטיות. הארגון אינו חייב לאמץ את עמדת הממונה, והממונה אינו נושא באחריות אישית לאי ציות של הארגון.

לפי סעיף 17ב3 הממונה יהיה בעל הידע והכישורים הנדרשים למילוי תפקידו, בשים לב לאופי עיבוד המידע בגוף, לנסיבותיו, להיקפו ולמטרותיו. החוק מפרט שלושה תחומים: ידע מעמיק בדיני הגנת הפרטיות, הבנה הולמת בטכנולוגיה ובאבטחת מידע, והיכרות עם תחומי הפעילות של הגוף ועם מטרותיו.

הממונה מדווח ישירות למנהל הכללי או למי שכפוף לו במישרין. הגוף נדרש לספק לו את התנאים והמשאבים הדרושים לתפקיד ולוודא שהוא מעורב בכל נושא הנוגע להגנת הפרטיות. הממונה לא ימלא תפקיד נוסף שעלול להעמידו בניגוד עניינים, ולא יהיה כפוף למי שעלול להעמידו במצב כזה. בתפקידים בכירים כמו מנהל שיווק, מנהל כספים, מנהל מערכות מידע או מנהל טכנולוגיות קיים בדרך כלל חשש לניגוד עניינים.

החוק מאפשר למנות ממונה חיצוני, כנותן שירותים. ממונה חיצוני שמשרת כמה גופים כפוף לאותה דרישה: אסור שיהיה כפוף בגוף אחר למי שעלול להעמידו בניגוד עניינים.

ממונה אבטחת מידע ממונה לפי סעיף 17ב לחוק. אחרי תיקון 13 החובה למנותו חלה על גוף ציבורי; על בנק, חברת ביטוח וחברה שעוסקת בדירוג או בהערכת אשראי; ועל מי שמחזיק או שולט בחמישה מאגרים שחייבים ברישום או בהודעה לרשות. ממונה אבטחת המידע נושא באחריות לאבטחה; לממונה הגנת הפרטיות לא הוטלה אחריות דומה.

החוק אינו אוסר במפורש שאותו אדם ימלא את שני התפקידים. דרישות הידע המשפטי, הדיווח למנהל הכללי ואיסור ניגוד העניינים מקשים על כך, במיוחד בגוף גדול.

תיקון 13 הסמיך את הרשות להגנת הפרטיות להטיל עיצומים כספיים. לגבי הממונה:

לדוגמה, גוף ציבורי שלא מינה ממונה, ובמאגר שלו מידע בעל רגישות מיוחדת על 100,000 בני אדם, חשוף לעיצום של 400,000 ש"ח. כשמי שחייב במינוי מינה ממונה בפועל, ואינו גוף ציבורי או סוחר מידע, הרשות רשאית לבקשתו להפחית 10% מעיצום שיוטל עליו בשל הפרה אחרת.

סעיף 37 לתקנת הגנת המידע האירופית (GDPR) מחייב מינוי ממונה ברשות ציבורית, בגוף שפעילות הליבה שלו היא ניטור שיטתי ושוטף של אנשים בהיקף גדול, ובגוף שפעילות הליבה שלו עיבוד בהיקף גדול של קטגוריות מיוחדות של מידע או מידע על הרשעות פליליות. הקבוצות (1), (3) ו־(4) בחוק הישראלי בנויות לפי אותו מבנה. קבוצת סוחרי המידע ייחודית לחוק הישראלי. חברה ישראלית שחל עליה גם ה־GDPR בוחנת את חובת המינוי לפי כל אחד מהדינים בנפרד.