התיקון החדש בחוק מחזק את סמכויות רשות הגנת הפרטיות ומטיל חובות חדשות על בעלי מאגרי מידע - החל מהחמרת דרישות אבטחת המידע, דרך חובת דיווח על אירועי אבטחה, ועד הצורך במינוי בעלי תפקיד ייעודיים לניהול ההיבטים הרגולטוריים. התיקון נועד להבטיח רמה גבוהה יותר של הגנה על המידע האישי של כולנו, אך במקביל מייצר לארגונים מציאות רגולטורית מורכבת יותר שדורשת היערכות מקיפה.
חובת מינוי קצין הגנת הפרטיות
על פי דרישות החוק, ארגונים המחזיקים במידע אישי של לקוחותיהם, יידרשו למנות קצין הגנת פרטיות, (Data Protection Officer או בקיצור DPO), שתפקידו לנהל את תחום הפרטיות ולשמש כאיש הקשר הישיר של הארגון מול הרשות להגנת הפרטיות.
"תפקיד זה, שמוכר לנו כבר שנים מהרגולציה האירופית (GDPR), נועד להיות גורם עצמאי ומקצועי בתוך הארגון שמפקח על עמידה בחוק, מייעץ בהיבטי פרטיות ואבטחת מידע, ומתווך בין הארגון לבין רשות הגנת הפרטיות", מסבירה אולגה גנקין, מנכ"לית אשנב מערכות מידע מקבוצת Aman. "תפקידו כולל מיפוי וסיווג מאגרי מידע רגישים, בניית נהלים לשמירה על פרטיות עובדים ולקוחות, ליווי פרויקטים טכנולוגיים ועסקיים כדי לוודא התאמה לחוק, טיפול באירועי אבטחת מידע ודיווח לרגולטור במקרה של דליפה, והדרכת עובדים והעלאת מודעות פנימית לנושא פרטיות".
חשוב לציין שחובת המינוי לא חלה על עסקים קטנים המחזיקים רשימה מצומצמת של לקוחות, אלא מתמקדת בארגונים בעלי מאגרי מידע מהותיים, כמו למשל מאגרי מידע החייבים ברישום לפי סעיף 8 לחוק, כלומר מאגרים עם מידע רגיש, מאגרים המכילים מעל 100,000 רשומות וכדומה. החוק הרחיב וחידד את סמכויות הפיקוח והאכיפה של הרשות להגנת הפרטיות, ואי עמידה בכללים עלול לגרור קנסות של מאות ואלפי שקלים, בהתאם לסוג ההפרה והיקפה, לאנשי הנהלה ולנושאי משרה בכירים.
לדברי גנקין, המשמעות היא שיותר ויותר חברות יצטרכו להטמיע פונקציה חדשה שלא הייתה קיימת בעבר, ולהתמודד עם אחריות משפטית ותפעולית נוספת.
היזהרו מניגוד אינטרסים
אמיר פורקוש, סמנכ"ל טכנולוגיות, בינת תקשורת ומחשבים, מציין כי רבים נוטים לבלבל בין תפקיד ממונה הגנת פרטיות (DPO) ובין תפקיד מנהל אבטחת מידע (CISO). לדבריו, "ההבדל המהותי בין שני התפקידים הוא במיקוד: תפקיד ה-CISO אחראי על ההגנה הטכנולוגית - חומות אש, ניטור סייבר, מניעת פריצות, כלומר מתמקד בהגנה טכנולוגית, בעוד ה-DPO, אחראי על ההיבט המשפטי-תפעולי - מה מותר ומה אסור לעשות עם המידע, איך לאסוף, לשמור ולהשתמש בו בהתאם לחוק".
על פי דרישות החוק, כמי שאמון על עמידת הארגון בהוראות החוק ובהנחיות הרגולטור, DPO חייב לפעול באופן עצמאי ולא להיות נתון ללחץ מצד מנהלים. ברוב הארגונים הוא ידווח ישירות למנכ"ל או לדירקטוריון, בדומה למבקר פנים.
גנקין מדגישה כי תפקיד ה-DPO לא יכול להתמזג עם תפקיד ה-CISO בארגון. "בעוד ה-CISO אחראי בפועל על ניהול ואבטחת מערכות המידע, ה-DPO הוא הגורם הביקורתי שמפקח, מוודא עמידה בדרישות החוק, ומתריע על כשלים אפשריים. שילוב התפקידים יוצר ניגוד עניינים מהותי: מי שאחראי על ההגנה בפועל לא יכול להיות גם זה שאמור לבקר את עבודתו. לכן, נדרש כי ה-DPO יהיה פונקציה עצמאית, שתשמור על אובייקטיביות ותייצג נאמנה את עקרונות ההגנה על הפרטיות מול ההנהלה והרשויות".
פורקוש מוסיף כי "מצד אחד, DPO צריך להיות אמיץ מספיק כדי לומר להנהלה 'זה קו אדום שאין לחצות', מצד שני, הוא חייב להכיר ולהבין את צרכי העסק ולאפשר חדשנות, תוך שמירה על כללי המשחק. בסופו של דבר, ארגון שלא ישמור על פרטיות הלקוחות שלו יאבד את אמון הציבור, שהוא המטבע החשוב ביותר בעולם הדיגיטלי. במובן הזה, ה-DPO לא רק מגן על מידע בארגון, אלא גם מגן על המוניטין של הארגון, ועל הקשר שלו עם הלקוחות."
מי מתאים לתפקיד DPO
ממונה הגנת פרטיות חייב לשלב בין עולמות שונים: משפט, טכנולוגיה ועסקים. לא מדובר בעוד תפקיד טכני, אלא בפונקציה אסטרטגית. פורקוש מציין את התכונות העיקריות שיהפכו אתכם למועמדים פוטנציאליים לתפקיד:
- בעלי רקע משפטי או רגולטורי כמו עורכי דין, יועצים משפטיים ואנשי ציות (compliance officers), שמכירים את העבודה מול חוקים ותקנות.
- בעלי ניסיון באבטחת מידע או בניהול סיכונים, שמבינים את המשמעות הטכנולוגית של זרימת נתונים, מערכות מידע ופרויקטים דיגיטליים.
- אנשים בעלי חשיבה מערכתית וראייה עסקית, וזאת משום שפרטיות כבר אינה נתפסת רק כדרישה חוקית, אלא כנכס עסקי שמחזק את אמון הלקוחות.
- אנשים בעלי יכולות תקשורת גבוהות ועמידה איתנה מול הנהלה בכירה, שכן חלק מהתפקיד הוא לשכנע, להתריע ואף לבקר את מקבלי ההחלטות בארגון. למעשה, ההנחיות קובעות כי ה-DPO חייב להיות עצמאי מבחינה תפקודית, לא להיות נתון ללחצים, ולדווח ישירות למנכ"ל או לדירקטוריון. לפיכך, נדרשים גם ניסיון ומיומנויות בעבודה לצד דרגי מפתח בארגון.
פורקוש מסכם כי "תפקידו של ה-DPO הוא להיות שומר הסף של הפרטיות בארגון. מי שמחזיק בו, חייב להבין גם את השפה המשפטית וגם את השפה הטכנולוגית, ולדעת לגשר ביניהן. לא מדובר בתפקיד קוסמטי או סמלי, אלא בפונקציה שבאמת מייצרת ערך לארגון".
קריירה עם שליחות
עבור מי שמחפש את הצעד הבא, תפקיד ממונה הגנת פרטיות הוא הזדמנות נדירה להשתלב בעולם שנמצא בצמיחה מהירה, לשבת בשולחן מקבלי ההחלטות ולבנות קריירה עם שליחות. מדובר בתפקיד עם אחריות אישית ומשמעותית מול הרשות להגנת הפרטיות, ולא רק "תפקיד אסטרטגי", וזאת משום שבעולם של היום, פרטיות כבר אינה עניין שולי או "עוד דרישת רגולציה", אלא תחום ליבה שיכול להכריע את עתידו העסקי של כל ארגון.