מעשה בממונה אבטחת מידע: מתי מינוי וולונטרי מפעיל חובות חוקיות

סעיף 17ב(א) לחוק הגנת הפרטיות קובע מיהם הגופים החייבים במינוי ממונה על אבטחת מידע: מחזיק בחמישה מאגרי מידע החייבים ברישום, גוף ציבורי, בנק, חברת ביטוח וחברה העוסקת בדירוג או בהערכה של אשראי.

מה קורה כשממנים ממונה בלי חובה?

תקנה 3 לתקנות אבטחת מידע קובעת במפורש שבכל מקרה שבו מונה ממונה אבטחת מידע בפועל, גם אם לא חלה חובה למנותו, חלות חובות מסוימות הקבועות בתקנות. לשון התקנה: "חלה חובה למנות ממונה על אבטחת מידע, או מונה ממונה על אבטחת מידע במאגר המידע, יחולו הוראות אלה...".

למרות שתמיד אפשר (אולי) להתווכח על הגדרת מינוי וולונטרי, יש מקרים שבהם מרחב התמרון לא כל כך קיים.

דוגמה: גופים מוסדיים

חוזר ניהול סיכוני סייבר בגופים מוסדיים של רשות שוק ההון קובע כי "גוף מוסדי ימנה מנהל הגנת סייבר בעל מומחיות וניסיון מוכחים בתפקיד ניהולי, בתחום הגנת הסייבר".

במקרה שבו מונה בפועל "מנהל הגנת סייבר" בגוף הכפוף לחוזר זה, יש לראות בכך מצב של מינוי בפועל של ממונה אבטחת מידע במאגר, באופן שמפעיל את תקנה 3 לתקנות הגנת הפרטיות. זאת למרות שחוזר רשות שוק ההון אינו מחייב (ולא יכול לחייב) מינוי ממונה אבטחת מידע כמשמעותו בחוק הגנת הפרטיות.

זו דוגמה טובה לתשומת הלב המיוחדת שחייבים לתת לדינמיקה הארגונית, ולקיום מסגרת בקרה אפקטיבית על כלל הרגולציות בארגון.

האמור אינו מהווה ייעוץ משפטי.