DPO – Data Protection Officer – קצין אבטחת מידע

מהן החובות והתפקידים של ה-DPO?

תפקיד ה-DPO כולל כאמור חובה כללית להיות מעורב בכל ההליכים הנוגעים לאבטחת מידע אישי והגנת הפרטיות בארגון.

עם זאת, ה-GDPR מפרט שורה של תפקידים וחובות ספציפיות:

• אחראי לניטור הציות להוראות הדין הרלבנטי להגנת הפרטיות – ה-DPO אחראי לוודא כי הארגון מתנהל בצורה ההולמת את חובותיו לפי הוראות ה- GDPR וחוקי הגנת הפרטיות אחרים, לוודא כי העובדים מודעים וערים לחשיבות שיש להגנה על מידע אישי ולוודא כי החברה מתנהלת בהתאם לנהלי אבטחת המידע. ה-Data Protection Officer נדרש למעשה לבקרה ארגונית וניהול של הליכי ציות פנים ארגוניים, וכן להבנה מקצועית של תחומי הגנת הפרטיות ואבטחת מידע;
• ביצוע סקרי סיכון וביקורות אבטחת מידע והגנת הפרטיות – ה-DPO אחראי לביצוע סקרי סיכון (כשהדבר נדרש –DPIA) וכן בקרות וביקורות שוטפות שתכליתן לוודא שהחברה מתנהלת בהתאם להוראות הדין – תפקיד זה מחייב את ה-Data Protection Officer להכיר הן את מערכות החברה ומאגרי המידע שלה מהצד הטכני-מקצועי, והן להכיר את החובות החוקיות השונות מהפן המשפטי;
• לייעץ להנהלת החברה בכל הקשור להוראות החוק – ה-DPO צריך לייעץ להנהלת החברה, בכלת תחום ותחום, בנוגע לאופן הפעולה המבטיח ציות להוראות הדין. לצורך יש להכיר את החקיקה בתחום, ולעקוב אחר ההתפתחויות השונות, ההנחיות שמפרסמת הוועדה האירופאית להגנת מידע וההחלטות השונות של ביה"ד האירופאי בנושא;
• להיות איש הקשר של החברה מול הרשויות האירופאיות הרלבנטיות – ה-DPO מוגדר למעשה כאיש הקשר של החברה לרגולטורים האירופאים השונים, בתחום הגנת הפרטיות, ומחובתו לדווח להם בהתקיים תנאים מסוימים;
• לקחת בחשבון, לאורך כל פעילותו וביצוע תפקידיו, את הטיב, ההיקף, ההקשר והתכלית של עיבוד המידע בחברה – ה-DPO נדרש להבנה מסודרת של הארגון, של ההקשרים בהן מבוצעת פעילותו במידע אישי, ושל הסיכונים הייחודיים המתעוררים בכל הקשר.

בנוסף, ה-GDPR קובע שורה של תנאים בהם חייב לעמוד ה-Data Protection Officer הממונה על ידי החברה:

• על ה-DPO להיות כפוף ולדווח בצורה ישירה לדרג המנהל הבכיר ביותר של החברה;
• יש לתת ל-DPO את החופש לפעול בצורה המשרתת את תפקידו;
• ה-DPO חייב להיות מעורב בכל הנושאים הקשורים לאבטחת מידע והגנת הפרטיות בחברה;
• יש לספק ל-DPO משאבים וסמכויות הנדרשים לו לצורך ביצוע תפקידו בצורה נאותה;
• אין לפגוע באיזו מזכויותיו של ה-DPO או להטיל עליו סנקציות בשל העובדה שהוא מבצע תפקיד בקרה וביקורת;
• יש לוודא כי ל-DPO אין כל ניגוד עניינים בין תפקידו כ-DPO ובין תפקידיו האחרים בחברה.

לסיכום

כאשר חלה חובה למנות DPO, תפקיד זה כרוך בשורה רחבה של חובות המחייבת ידע מקצועי הן בתחום אבטחת המידע והמחשוב, הן בתחום הרגולציה הפנים ארגונית והן בתחום המשפטי. שילוב זה, יחד עם החובה להימנע מניגוד עניינים, יוצרת בעיה מסוימת באיוש התפקיד. וכך למשל, הועדה האירופאית הבהירה שמנמ"ר אינו יכול בעיקרון לכהן כ-DPO, כיוון שהוא מצוי בניגוד עניינים אינהרנטי – ה-DPO אמור לפקח על פעילות המנמ"ר.

בדומה לכך, במרבית הארגונים גם CISO לא יוכל לכהן במקביל כממונה אבטחת מידע. ועל כן, ארגונים רבים בוחרים להיעזר בספק חיצוני, המחזיק גם במומחיות הנדרשת, וגם אינו מצוי בניגוד עניינים, על מנת לאייש את תפקיד ה-DPO.

יובהר כי השימוש במידע המפורסם באתר, לרבות כל כתבה ו/או סקירה ו/או תיאור מקצועי, הינו באחריות המשתמש בלבד ובשום מקרה אינו מהווה תחליף לייעוץ מקצועי הנדרש לגופו של עניין.