GiliGold/VAD_KnessetCorpus huggingface dataset:
גלעד בהט: ככל שהדברים הם כאלה, אז אנחנו דואגים מיוזמתנו שהם יובאו בפני גורמים שמפקחים עלינו – זאת אומרת, אנחנו לא מחכים למישהו שייזום, אנחנו יודעים להעביר את זה למשרד המשפטים, ליועץ המשפטי לממשלה, לפרקליטות כמובן ומה לעשות, זה מגיע לבתי המשפט כי במערכות שאנחנו משתמשים, כמו שאמרתי, אנחנו עושים בהן שימוש לצורך ראיות בבתי משפט ואנחנו מגישים את זה לבית המשפט בכפוף לתפיסה שכמובן אוסרת את גילוי השיטה והאמצעים שאנחנו נוקטים בהם, אבל לבית המשפט זה חשוף.
נירה לאמעי רכלבסקי: אבל לגבי "עין הנץ" אין נוהל למיטב הבנתי, לא?
נירה לאמעי רכלבסקי: לגבי "עין הנץ" יש נוהל?
גלעד בהט: כן, התשובה היא כן.
נירה לאמעי רכלבסקי: הבנתי שהייתה ביקורת שיפוטית על זה שאין נוהל.
גלעד בהט: יש פסק דין של בית משפט השלום – סגן נשיא בית משפט השלום לתעבורה שדיבר על-כך והדברים מוסדרים.
גלעד בהט: שוב, אני לא מתכוון לחשוף מה, מי אבל הדברים מוסדרים בצורה כתובה.
נירה לאמעי רכלבסקי: - - -
גלעד בהט: אני עונה, התשובה חיובית.
גלעד בהט: יש הסדרה כתובה, עדין לא בחוק, שכוללת את כל מה שאמרתי עכשיו – מה נאגר, מי נאגר, מי מורשה לבדוק, מה בודקים, איך מפקחים על זה?
עינב קאבלה: אתם כבר בתהליך חקיקה?
גלעד בהט: תלוי לגבי מה.
עינב קאבלה: לגבי "עין הנץ".
גלעד בהט: לגבי "עין הנץ" אנחנו בתהליך עם משרד המשפטים, כן.
גלעד בהט: אני לא עושה את החקיקה אלא משרד המשפטים.
גלעד בהט: אנחנו בתהליכים עם משרד המשפטים והתשובה היא כן.
גלעד בהט: אגב, התהליך נעשה עוד לפני שהופעלה המערכת, התהליך להסדרה שלה אבל המערכת עובדת.
גלעד בהט: יש הסדרה שלה במשרד המשפטים מול היועץ המשפטי לממשלה ויש גם תהליכים חקיקתיים שנעשים בתחום מול משרד המשפטים אבל לפני שהתחלנו לעבוד עם המערכת, כבר יש הסדרה מול משרד המשפטים והיועץ המשפטי לממשלה בעניין הזה.
גלעד בהט: לגבי מהי ההסדרה – אני לא יכול לפרט פה, ואני אמרתי ואגיד על זה רק משפט קטן: יש פה מעגל שצריך להבין אותו – חלק מההרתעה של משטרת ישראל זה שלא כל אחד יודע מה שאנחנו יכולים לבדוק ומה לא ואת מי אנחנו יכולים לבדוק - -
עינב קאבלה: אבל אם זה חסוי, איך אתה מציג את ההרתעה?
גלעד בהט: אז אני מסביר, זו בדיוק התשובה שלי: ככל שהדברים ידועים, יש סיכוי שחס וחלילה אם צריך לפגוע יותר פרטיות כי בסוף, גם אנחנו מאזנים את הזכות לפרטיות והיא לא נחלתם של ארגונים שרוצים פרטיות אלא גם החלטה של המשטרה ובסוף אני צריך לשמור גם על האזרחים, יותר על הקורבנות מאשר על העבריינים וזה ברור לכולם.
גלעד בהט: כאשר אדם מבצע עבירה פלילית, אני צריך לבדוק שהוא יועמד לדין אבל חשוב לי בדיוק באותה מידה ואפילו יותר לשמור על הקורבנות ועל הפרטיות שלהם, ולשמור על זה שאזרחים שמבצעים כל דבר שהוא חוקי, כמובן ייהנו מכל הזכויות שמגיעות להם ושתהיה להם הפרטיות שמגיעה להם ככל שהם לא מבצעים עבירה.
גלעד בהט: כשהם מבצעים עבירה, אני כמובן אנסה לגלות אותה.
גלעד בהט: ולכן אני אומר שבדברים האלה יש לנו אינטרס שפועל לכל הכיוונים – מצד אחד, לחקור עבירות ולגלות אותן אבל אנחנו צריכים לשמור על הפרטיות, ואני אומר את זה כי בסוף הדברים האלה באים לידי ביטוי בכל ההסדרה לגבי כל המערכות שאנחנו עובדים איתן.
גלעד בהט: שאלת לגבי ההרתעה – אז אמרתי שככל שחשודים או אנשים שמבצעים עבירות ידעו מה יכולות המשטרה עד לפרטי פרטים וידעו לתכנן את מעשיהם מראש, כך נצטרך יותר ויותר כלים כדי לדעת לחקור ולגלות עבירות.
גלעד בהט: ככל שמדיניות הרתעה מסוימת - -
עינב קאבלה: לא, הכוונה לא לפרטי-פרטים באופן שיסדוק את כל הרעיון אבל - -
גלעד בהט: ככל שאדם יודע שמקום מסוים מצולם או לא מצולם ושיש סיכוי שהוא יתגלה יותר או פחות במקום כזה או אחר לצורך ביצוע עבירה – יש בכך כדי לפגוע בהרתעה של המשטרה, ולכן אני לא יכול לדבר על מקומות שאנחנו עושים ולא אמצעים או יכולות.
גלעד בהט: אני לא יכול לדבר.
עינב קאבלה: רועי הציג במצגת שלו את הנושא של ערים בטוחות, של עיר ללא אלימות – הייתה שם התייחסות, למיטב זכרוני, לכך שזה עובר למשטרה, נכון?
רועי גולדשמידט: זה היה ביחס ל"עין הנץ", התכנית לביטחון במרחב הכפרי ואני לא זוכר את השם המדויק - -
עינב קאבלה: לא, היה גם עיר ללא אלימות.
רועי גולדשמידט: ביחס לעיר ללא אלימות היה שימוש במצלמות אבל לדעתי לא הופיע - - -
עינב קאבלה: אתה יודע להגיד לנו על עיר ללא אלימות משהו בהיבט של מה שאנחנו מדברים היום, בהיבט של להבין כמה אנחנו – אני מבינה מה שאתה אומר, אנחנו לא נגיד איפה אנחנו מצלמים ואיך אנחנו מצלמים ולא נחשוף את השיטות שלנו והכל, עדין אני מנסה להבין כאזרחית במדינה שרוצה לשמור על חוק כמו רוב האנשים במדינה, איך כל הדבר הזה, כל המערך הזה לא חושף אותנו, לא כי אנחנו עבריינים ואפילו לא חשודים אלא עוברי אורח תמימים, למצב שהפרטיות שלנו או הסיכון לזה שיצביעו עלינו בגלל זיהוי לא נכון בגלל טכנולוגיה שלא מספיק טובה – מהדברים שלך, שהיה כיף לשמוע אותם מצד אחד כי אתה דובר רהוט אבל אני לא מבינה עדין איך דעתנו יכולה להיות נוחה שהדברים מתנהלים בצורה שיש פיקוח ובקרה פנימית וחיצונית אמתית, כזו שבודקת שבאמת האמצעים מספיק טובים כדי שלא תהיה טעות בזיהוי, כדי שאם יש מאגרים של המון תמונות, שלא ייעשה בהם שימוש לרעה?
עינב קאבלה: כל הדבר הזה שדיברנו עליו כמעט שעתיים, אני לא מצליחה לצאת עם משהו ספציפי פרט לאמירות כלליות.
גלעד בהט: האמירות לא כלליות, האמירות מאוד מפורטות במובן הזה שהצגתי כאן גם את מנגנוני הפעולה שלנו, גם את התכליות, גם את מנגנוני הפיקוח והבקרה - -
עינב קאבלה: אף אחד לא אומר שהמשטרה עושה - - -
גלעד בהט: לא, אני אומר שבסוף, כשנעברה עבירה ויש ראיה במרחב הציבורי שיכולה לפענח את העבירה – המשטרה רוצה לעשות בה שימוש.
גלעד בהט: בחלק מהדברים, בחלק מהמערכות, היא צריכה אישורים כמו למשל פנייה לצו בית משפט כדי לקבל תמונות ממקומות כאלה ואחרים.
גלעד בהט: אם עכשיו יש משהו שצולם ואנחנו רוצים לקבל את הצילום – אנחנו נפנה לבית המשפט, נקבל צו, ובאמצעות זה נקבל את הצילום שיוכיח את העבירה.
עינב קאבלה: זו הדרך שבה אתם יכולים להשתמש בצילומים.
גלעד בהט: נכון, זו הדרך שאנחנו משתמשים בצילומים.
גלעד בהט: יש אפשרות גם לעשות שימוש בהשוואה למשל, מתוך מצלמה שקיבלנו את התמונות אחרי שהוצאנו צו ואנחנו רוצים להשוות למאגר של משטרת ישראל כדי לראות אם אנחנו יכולים לזהות חשוד כזה או אחר – אז אם קיבלנו בצו את התמונה ממצלמת האבטחה, אנחנו יכולים לנסות להשוות אותה, לדוגמה, למאגר התמונות של משטרת ישראל, במקרה שאין זיהוי כמובן.
עינב קאבלה: ואותו מאגר של משטרת ישראל, שוב, מבלי לומר את מה שאסור לומר וכולי – יש פה מספיק אנשים שידעו גם - -
גלעד בהט: הוא מאגר שמוסדר בחוק.
נירה לאמעי רכלבסקי: אבל למשל המאגר הביומטרי צריך תקנות כדי להשוות, והמשטרה עדין לא הגישה תקנות כאלה.
גלעד בהט: המדיניות למאגר ביומטרי היא של משרד הפנים, גברתי.
גלעד בהט: עורכת הדין מדברת על מאגר של משרד הפנים.
נירה לאמעי רכלבסקי: כן, כן.
גלעד בהט: ולכן המשטרה לא עושה בו שימוש כי אין הסדרה של זה.
גלעד בהט: כשתהיה הסדרה - -
נירה לאמעי רכלבסקי: לא, אבל אתה צריך להביא את התקנות.
נירה לאמעי רכלבסקי: אנחנו מחכים, הוועדה קיימת.
גלעד בהט: זה מצוין.
גלעד בהט: העובדה היא שמאחר ואין תקנות, אנחנו לא עושים בו שימוש.
גלעד בהט: זו העובדה.
גלעד בהט: אני מניח שברגע שיהיו, אני מניח שנעשה את זה.
עינב קאבלה: על אף רצוני להמשיך עוד קצת אני נאלצת לסיים כי יש מליאה עוד דקה מעכשיו, אז אני אצל את הדקה הזאת לסכם ובאמת להגיד שאני ממש מרגישה שיש צורך בעוד ישיבות המשך בנושא הזה.
עינב קאבלה: אמרתי את זה גם בעקבות הדיון על "שירביט" - - - אלא כתופעה, ואין ספק שגם הדיון הזה ממחיש את זה בצורה ברורה.
עינב קאבלה: אז אני אסכם ואומר בקצרה שבאמת, אין בכלל ספק שנדרשת הסדרה כוללת של כל הנושא הזה של זיהוי פנים וזיהויים אחרים כדי לא לפספס משהו במרחב הציבורי.
עינב קאבלה: זה באמת נושא שהוא גם ייחודי, הוא גם רגיש ואסור לפספס את הטיימינג הזה, שאני לא בטוחה שלא פספסנו אבל מספיק אנשים אמרו שזו העת הנכונה אז אני נסמכת על זה כדי לחדד שאסור שעוד פעם נמצא את עצמנו כמדינה, כאזרחים, כפרטים שחיים פה במדינה, בסוג של חשיפה לא טובה ומסוכנת.
עינב קאבלה: ברור שיש תועלות בטכנולוגיה, אני בין הראשונים שיאמרו את זה ואני בעד התועלות אבל בלי האיזונים הנכונים, בלי הבלמים הנכונים, הסכנה תהיה גדולה מדי.
עינב קאבלה: אז אני קוראת לכל מי שעוסק בדבר, בצד הממשלתי, בצד הלא-ממשלתי, לדאוג לזה, הרשויות השונות והגופים השונים וכמובן לאלה שכבר עוסקים בזה – לברך אותם שיתקדמו וימשיכו.
עינב קאבלה: לגבי משרד התחבורה – היות והשעה 13:00 ואנחנו מסיימים וטרם קיבלנו תשובה, אני מבקשת שתימסר לנו תשובה שאוכל לדווח עליה כבר בדיון הקרוב, שגם עוסק בנושא אחר אבל אני רוצה לדווח על התשובה שתימסר.
עינב קאבלה: אני מודה לכל מי שהיה אתנו בזום, לכל מי שהיה אתנו כאן ולצוות הוועדה, למחלקת המחקר והמידע של הכנסת, לנירה – תודה רבה לכולם.
עינב קאבלה: תודה רבה לאיילת, ושיהיה המשך יום טוב ובריא.
עינב קאבלה: בוקר טוב, אני מתכבדת לפתוח את ישיבת ועדת המדע והטכנולוגיה, היום יום שני, כ"א בכסלו תשפ"א, 7 בדצמבר 2020.
עינב קאבלה: על סדר היום: מתקפות סייבר – הגנה על פרטיות מידע בגופים אזרחיים.
עינב קאבלה: בשבוע שעבר דווח על אירוע של תקיפת סייבר בחברת הביטוח שירביט.
עינב קאבלה: האירוע כפי הנראה עדיין בעיצומו, גם בהתרחשות שלו בהווה וגם בעצם העובדה שהוא נמצא עדיין בחקירה של הגורמים הרגולטורים.
עינב קאבלה: מיד בסמוך לדיווחים על האירוע, החלטנו על כינוס ישיבת הוועדה היום לדיון בנושא מתקפות סייבר והגנה על פרטיות מידע.
עינב קאבלה: ראיתי חשיבות גדולה לקיים את הדיון כדיון דחוף מכיוון שהאירוע הנקודתי הזה מחייב להידרש לתחום של הגנת הפרטיות שלדעתי לא נמצא בקדמת סדר העדיפויות של המדינה ורשויותיה.
עינב קאבלה: ברור שאת האירוע הספציפי הזה, אנחנו לא מתיימרים וגם לא ננסה לפענח או להידרש לפרטיו – לא זו המטרה – תגיע העת בהמשך לעיסוק במקרה הספציפי הזה לפרטיו כאשר יהיו יותר ברורים וידועים.
עינב קאבלה: הוא בעצם נותן לנו את ההזדמנות ואת החובה להידרש לנושא הגדול יותר.
עינב קאבלה: השאלה שנוגעת למה היא רמת ההגנה הקיימת היום?
עינב קאבלה: על מידע אישי שמצוי בגופים אזרחיים שונים היא שאלה שהמציאות בכל פעם מחדש מסמנת לנו שהתשובה לא משביעת רצון.
עינב קאבלה: היום בדיון ישתתפו בין היתר, הרשות להגנת הפרטיות, מערך הסייבר, רשות שוק ההון והביטוח ורגולטורים נוספים.
עינב קאבלה: מרשות שוק ההון והביטוח נבקש לשמוע כרגולטור: האם נעשה מספיק כדי שחלילה לא יתרחשו מקרים דומים בעתיד, בעתיד הקרוב גם, בחברות ביטוח נוספות.
עינב קאבלה: וגם אם בכל זאת נדרש למקרה הנוכחי – כן לשאול מה לגבי אותם מבוטחים מודאגים של שירביט ומי נמצא בקשר איתם?
עינב קאבלה: כמובן שחברות ביטוח הם לא הגופים היחידים שמחזיקים מידע אישי או רגיש על תושבי ישראל.
עינב קאבלה: היום בדיון אבקש לשאול את הרגולטורים וגם את אלה המצויים ומתמחים בתחום שיהיו איתנו – עד כמה עלינו להיות מודאגים בקשר לפריצת הסייבר הבאה?
עינב קאבלה: מה הם הדברים החשובים שנדרש לעשות ברמת הרגולציה?
עינב קאבלה: מהם הדברים החשובים שמתפספסים ומייצרים סכנה להגנת הפרטיות?
עינב קאבלה: האם יש לחברות השונות שמחזיקות מידע אישי תוכנית פעולה לאירועים כגון אלו אם חלילה הם מתרחשים?
עינב קאבלה: ועוד שאלות שחברי הכנסת ואני נשאל ונבקש לדעת ולראות איך לוקחים את הדבר הזה צעד אחד קדימה, כדי פעולות ממשיות שייטיבו עם אופן ההגנה על הפרטיות בישראל.
עינב קאבלה: נתחיל עם הרגולטור, אלא אם כן חברי הכנסת רוצים כרגע להתייחס.
עינב קאבלה: אני מציעה שנתחיל עם הרגולטור של הזכות לפרטיות בישראל, מי שאמון על ההסדרה והפיקוח של החוק להגנת הפרטיות שזו הרשות להגנת הפרטיות.
עינב קאבלה: נמצא איתנו עורך דין עלי קלדרון, מנהל מחלקת האכיפה ברשות להגנת הפרטיות.
עינב קאבלה: אנחנו נבקש לשמוע באופן כללי ובאופן פרטני – מה אתם עושים בשוטף כדי למנוע מקרים כאלה?
עינב קאבלה: מה הפעולות שנעשות עם קרות אירוע כזה?
עלי קלדרון: תודה רבה, קודם כול תודה רבה לכל הנוכחים ולחברת הכנסת קאבלה, הרשות להגנת הפרטיות היא בעצם הרגולטור לענייני הגנת הפרטיות במדינת ישראל מכוח חוק הגנת הפרטיות ותקנותיו השונות.
עלי קלדרון: החוק הוא משנות ה-80', חוק שכולל הנחיות לכל מי שמחזיק או בעלים או מנהל מאגר מידע בישראל.
עלי קלדרון: זה כולל את כלל הגופים במשק – ממשלתיים, ציבוריים, פרטיים, קטנים וגדולים.
עלי קלדרון: היום בפועל אין חברה שלא מחזיקה מאגר מידע שכולל מידע רגיש כמעט בישראל, ולכן החוק חל עליה.
עלי קלדרון: החוק כולל הוראות והנחיות באשר לשימוש במידע, לעיבוד המידע, הבהרות של מידע, נושא של שימוש בניגוד למטרה ועוד.
עלי קלדרון: החוק גם מקנה לרשות סמכויות אכיפה, גם מנהליות וגם פליליות, שבמסגרתם מחלקת אכיפה ברשות בודקת ואוכפת את החוק, שזה כולל מקרים חמורים.
עלי קלדרון: מקרים שבהם יש אלמנט פלילי שבמסגרתו אנחנו בוחנים את הממצאים של אירוע, אנחנו קוראים לזה אירוע פרטיות, ובמידת הצורך מחליטים על הגשת כתב אישום עם עבירות שכוללות עד חמש שנות מאסר.
עלי קלדרון: אנחנו עושים את זה בשיתוף פעולה עם הפרקליטות.
עלי קלדרון: יש לנו גם סמכויות אכיפה מנהליות שבמסגרתן אנחנו יכולים לקבוע הפרות על הוראות החוק.
עלי קלדרון: אנחנו מבצעים תהליכים מנהליים שהם תהליכים יותר יעילים ומהירים.
עלי קלדרון: ושוב בוחנים את כל האספקטים של החוק והתקנות.
עלי קלדרון: ובמידת הצורך קובעים במסגרת הממצאים תהליך אכיפה מנהלי.
עלי קלדרון: אנחנו יכולים לקבוע הפרה של החוק.
עינב קאבלה: ואז מה המשמעות?
עלי קלדרון: הפרה של החוק – קודם כל יש לה את המשמעות כמובן שהגוף הזה הוא מפר חוק ויש לכך השלכות מבחינת היכולת של אנשים שנפגעו מאותה הפרה גם לתבוע את החברה באופן פרטי או לפעמים גם בתביעות ייצוגיות.
עלי קלדרון: מעבר לכך, אנחנו יכולים בהתאם לאיזה הפרות שבוצעו לקבוע קנסות.
עלי קלדרון: הקנסות בחוק מפורטות לפי הפרה, כל הפרה והקנס שמוגדר לה.
עינב קאבלה: ומה הגובה המקסימלי?
עלי קלדרון: מיד אגיע לזה.
עלי קלדרון: אנחנו מסוגלים להנחות את החברה במסגרת של תיקון הליקויים – אם אנחנו מוצאים שם ליקויים.
עלי קלדרון: יש לנו סמכויות שיוריות שכוללות לדוגמה במקרה של אירועי אבטחת מידע וכמו שנעשה במקרה הזה, להורות לחברה ליידע את נושאי המידע על הפגיעה בפרטיות שלהם כדי לצמצם את הנזק הזה.
עלי קלדרון: יש לנו את הסמכות להתלות או לבטל מאגר, והמשמעות של ביטול מאגר מידע עבור חברה פרטית היא ביטול היכולת שלה לתפקד.
עלי קלדרון: זה כמובן כלי שאנחנו משתמשים בו רק במקרים חמורים מאוד.
עינב קאבלה: כמה מקרים כאלה קרו?
עלי קלדרון: לא הרבה, אבל קרו.
עלי קלדרון: גם בנושאים של אבטחת מידע.
עינב קאבלה: בודדים?
עינב קאבלה: עשרות?
עלי קלדרון: מקרים בודדים של התלייה או הפרה.
עלי קלדרון: התלייה לפעמים קורית גם ברמה של רישום, יש מנגנון שלם של רישום מאגרי מידע שבמסגרתו אפשר להתלות את המאגר.
עלי קלדרון: במקרים של תהליכי אכיפה, ביטול או התלייה של מאגר המידע אלו מקרים יחסית חמורים מאוד ונדירים.
עלי קלדרון: החוק בסעיף 17 קובע את חובות אבטחת המידע של כל גוף שמחזיק מידע ומחייב אותו לעמוד בשלל הוראות שמפורטות בתקנות הגנת הפרטיות (אבטחת מידע) שכוללות שלל של חובות, מקביעה של ממונים ועד הגדרה של המאגרים ומיפוי.
עינב קאבלה: התקנות מ-2018.
עלי קלדרון: נכון, התקנות מ-2018.
עלי קלדרון: הן נכנסו לתוקף ב-2018.
עלי קלדרון: הן כוללות הנחיות לגבי נהלי אבטחה של הארגון והרבה מאוד – נקרא לזה יותר טכניקה – אבטחה פיזית, הסביבתית, ניהול כוח האדם, הרשאות לגישה תיעוד ועוד.
עינב קאבלה: ועל הפרה שלהם – יש לכם את הסמכות להטיל סנקציות?
עלי קלדרון: זה במסגרת החוק הנוכחי שקובע את הקנסות על סעיפים והפרות ספציפיות.
עלי קלדרון: על סעיף 17 עצמו אין קנס.
עלי קלדרון: לא ניתן להטיל קנס.
עינב קאבלה: זה העניין העיקרי שקשור לדיון.
עלי קלדרון: נכון.
עלי קלדרון: סעיף 17 לא כולל אפשרות להטיל קנסות.
עלי קלדרון: והיום גוף שאנו מוצאים אותו כמפר חוק, הסמכויות שלנו לא מאפשרות לנו לקבוע לו קנסות בגין אותה הפרה.
עלי קלדרון: כן אציין שהצעת תיקון לחוק הגנת הפרטיות – מה שנקראה הצעה 13 – שנועדה להרחיב את סמכויות האכיפה של הרשות עברה בקריאה ראשונה בכנסת ב-2018.
עלי קלדרון: זה גם תהליך ארוך שהתקיים כבר שנים עוד לפני זה, אבל היא עברה בקריאה ראשונה ב-2018.
עלי קלדרון: והדיונים לא הסתיימו בגלל התפזרותה של הכנסת, ואחר כך שנה וחצי הכנסת לא הייתה פעילה, אבל זמן קצר לאחר כינון הכנסת הנוכחית, ממש לפני מספר חודשים, היא הועברה לאישור ועדת שרים לחקיקה.
עלי קלדרון: ועדת שרים לחקיקה עדיין לא אישרה אותה.
עלי קלדרון: הצעת החוק הזו כוללת הרחבה של סמכויות האכיפה ובין היתר שינוי – במקום הטלת קנסות מנהליים שיש איזה מנגנון שהוא חלף פלילי, מנגנון אחר של עיצומים כספיים שכוללים גם עיצומים כספיים על סעיף 17, על נושא של הבטחת מידע.
עלי קלדרון: עיצומים כספיים שהסכומים שלהם הם משמעותיים הרבה יותר והם תלויים ברמת אבטחה של המאגר.
עלי קלדרון: אבל הם יכולים להגיע גם למאות אלפים ויותר מזה של שקלים במקרה של הפרת התקנות והחוק.
עלי קלדרון: זוהי הסביבה המשפטית.
עלי קלדרון: מעבר לכך הרשות פועלת גם במסגרת של תיקונים אחרים כדי לעדכן את החוק.
עלי קלדרון: גם במסגרת של החוק הנוכחי, בפועל הרשות מבצעת הרבה פעולות מניעתיות.
עלי קלדרון: הרשות מזה כמה שנים שינתה את המדיניות שלה והפכה להיות הרבה יותר יוזמת, גם מהבחינה האכפיתית.
עלי קלדרון: הרשות מקיימת תהליכים של – אנחנו קוראים לזה תהליכי סקר סיכונים בהם אנחנו בוחנים את כל המגזרים, התופעות, המגמות, הטכנולוגיות שמבחינתנו הם משמעותיות ושיש בהם סיכון משמעותי לפרטיות.
עלי קלדרון: אנחנו ממש מגדירים את סדר התיעדוף לפעילות יזומה שלנו.
עלי קלדרון: זה מוגדר גם בפעילות הכללית של המדיניות של הרשות, מבחינת המחקרים שאנחנו עושים, ההנחיות שאנחנו מוצאים, אבל זה גם מגיע גם לרמה שלנו למטה במדיניות האכיפה שבמסגרתה אנחנו קובעים את התחומים שבהם אנחנו רוצים להתרכז, כי אנחנו מרגישים שהתחומים האלה מסוכנים יותר לפרטיות של נושא המידע.
עלי קלדרון: זה יכול גם פונקציה של רגישות המידע וגם פונקציה של כמות המידע שמחזיק גוף – בשל כך הקמנו בתוך הרשות מערך שלם שנקרא מערך פיקוח הרוחב.
עלי קלדרון: המערך מבצע הליכים מכוח הסמכות המנהלית שלנו וכבר מ-2018 התחלנו בפועל אתן דוגמאות:
עלי קלדרון: ב-2019 ביצענו 233 פיקוחי רוחב במגזרים כמו מרפאות בריאות הנפש.
עלי קלדרון: זה המגזרים שבחרנו באותה שנה: בריאות הנפש; מכונים במעבדות רפואיות; מועדוני לקוחות גדולים; פלטפורמות לימודיות וחינוכיות לקטינים, שירותי אחסון ועיבוד מידע, זה היה בשנים 2018, 2019.
עלי קלדרון: ב-2020 עוד 244 פיקוחי רוחב על רשויות מקומיות, על בתי אבות; חברות סיעוד; סוכנויות ביטוח; על תאגידי גז וביוב, call centers, חברות שמסייעות במימוש זכויות רפואיות.
עלי קלדרון: השנה אנחנו יוצאים למהלך של כ-200 פיקוחי רוחב, הפעם על חברות קמעונאיות של מזון ודלק, חברות כוח אדם והשמה - -
עינב קאבלה: אני מציעה מתישהו להכניס חברות ביטוח אולי.
עלי קלדרון: - - וקרנות ביטוח וגמל ייעודיות למקצועות.
עלי קלדרון: וגם מרפאות כירורגיה וקוסמטיקה רפואית.
עלי קלדרון: זה הפן היוזם שלנו.
עינב קאבלה: ואז אתם בוחנים רק את הממד של מאגר המידע ואם הוא מנוהל כנדרש על פי חוק או שיש היבטים נוספים?
עלי קלדרון: בפועל אנחנו בוחנים מספר קטגוריות שונות שכוללות: העברות מידע, אבטחת המידע, האחריות התאגידית וכל האספקטים של חוק הגנת הפרטיות.
עלי קלדרון: בסיום כל הליך כזה אנחנו מפרסמים דוח מגזרי.
עלי קלדרון: הדוח המגזרי הזה כולל את עמידת הגופים בקריטריונים באופן אגרגטיבי, חזקות, חולשות במגזרים.
עלי קלדרון: אנחנו כמובן מעבירים את זה לרגולטורים של אותו מגזר.
עלי קלדרון: אנחנו מפרסמים את זה כדי שחברות אחרות באותו מגזר יבינו את הסיכונים העיקריים שלהם באותו מגזר.
עלי קלדרון: אנחנו מבצעים פיקוחי מעקב גם על גופים שבחנו ונתנו להם – זה עוד אחד מהדברים שאנחנו עושים, אנחנו נותנים הנחיות לתיקון ליקויים ספציפיים שניתנו בכל חברה וחברה שבחנו, אבל אנחנו עושים גם פיקוחי מעקב על החברות הללו וגם על חברות אחרות באותו מגזר שלא ביצענו את אותו הליך פיקוח כדי לראות האם באמת רמת ההגנה על הפרטיות השתנתה בעקבות אותו מערך.
עלי קלדרון: זה איזשהו תהליך תחקורי לבחינת ההשפעה שאנחנו מייצרים לאותו מערך של פיקוח רוחב.
עינב קאבלה: לגבי מה שבדקתם, עוד לפני הבדיקה החוזרת – מה הן התובנות?
עלי קלדרון: לכל מגזר ומגזר אנחנו מפרסמים דוחות.
עינב קאבלה: באופן כללי, אתה מתרשם שהנושא של הגנת הפרטיות - - -
עלי קלדרון: בדרך כלל מגזרים שיש בהם רגולטור המצב הוא יותר טוב כי יש להם הנחיות והם פועלים תחת הנחיה.
עלי קלדרון: יש מגזרים שבהם גילינו שיש סוגים שונים של גופים, לדוגמה, בתחום הרפואי, גופים גדולים שיחסית עובדים בצורה מאוד מסודרת וגופים קטנים שעובדים בצורה מאוד לא מסודרת, עם רמות סכנה לפרטיות גבוהות מאוד.
עלי קלדרון: אני יכול להגיד שבעקבות הדוחות שאנחנו מפרסמים וההנחיות לתיקון ליקויים אנחנו רואים שינוי משמעותי בשוק, גם מבחינת ההכנה של גופים שעוד לפני שאנחנו מגיעים אליהם, כבר מייצרים את התהליך הפנימי – שהוא במסגרת החובה של הרבה מאוד גופים, תלוי ברמת האבטחה שלהם.
עלי קלדרון: סקרי סיכונים שהם מבצעים, ניתוחים של סכנה לפרטיות ועוד מנגנונים שקיימים בחוק או שאנחנו ממליצים על שימוש בהם.
עלי קלדרון: אנחנו רואים בהחלט שיפור במגזרים, בוודאי במגזרים בהם היינו, אבל באופן כללי בכל המגזרים אנחנו מפרסמים את זה.
עלי קלדרון: אנחנו מפרסמים את השאלונים שלנו.
עלי קלדרון: נוצרה פעילות שלמה, שניונית של גופים שמסייעים לגופים כדי לעמוד בהנחיות, התקנות והחוק.
עלי קלדרון: זו הפעילות היזומה העיקרית שאנחנו מבצעים.
עלי קלדרון: מעבר לכך, יש גם את פעילות הפיקוח הרגילה שלנו שניזונה בעיקרה מתלונות, פניות ומידע שאנחנו מקבלים מהתקשורת ומגופים מסוימים.
עלי קלדרון: יש גם חובה במסגרת של תקנות הגנת הפרטיות ואבטחת מידע, יש חובה לכל גוף שאירע אצלו אירוע אבטחה חמור, דוגמת האירוע הספציפי הזה לדווח לרשות.
עלי קלדרון: זה מה שקרה במקרה הנדון, כאשר חברת שירביט דיווחה לנו על אירוע אבטחה.
עלי קלדרון: במסגרתו אנחנו פותחים, כמו שנעשה גם במקרה הזה, בהליך אכיפה.
עלי קלדרון: במסגרת ההליך אנחנו בוחנים הן את האירוע ואת ההתנהלות של החברה במסגרת האירוע והן את המצב של החברה עוד לפני כן – המוכנות שלה, ובסופו של דבר קובעים אם הממצאים מראים כך, אם נמצאות הפרות של החוק.
עלי קלדרון: זאת הפעילות שלנו במסגרת האכיפתית, שאכן יש בה מגבלות לאור לשון החוק והסמכויות.
עינב קאבלה: בהיעדר השיניים לנשוך.
עלי קלדרון: כן אציין שגופים שעוברים חוויה כפי שעברה חברת שירביט, יש להם שלל של נזקים גדולים.
עלי קלדרון: החל מהעלויות הרבות שכרוכות כרגע בטיפול באירוע ובהפעלה של כל המנגנונים כדי לתקן את הנזקים שנגרמו.
עלי קלדרון: יש את הפגיעה במוניטין שהיא מאוד משמעותית.
עלי קלדרון: וגם במסגרת הפגיעה במוניטין, אני מזכיר שכשאנחנו קובעים הפרה, יש לזה גם משמעותיות משפטיות.
עלי קלדרון: וכאמור, יש לנו הכלים להנחות את הגוף הן במהלך האירוע, לדוגמה, בנושא של דיווח לנושא המידע ועדכון שלהם.
עלי קלדרון: גם זה נעשה במקרה הנדון, כאשר הורנו לחברה לעדכן את נושאי המידע לגבי האירוע.
עינב קאבלה: הכוונה היא למבוטחים?
עלי קלדרון: המבוטחים, כן.
עלי קלדרון: ולבסוף במקרה הצורך, בחברה ש: או לא מצב אבטחת המידע במקרה הזה, אבל זה יכול להיות גם אירועים אחרים של פרטיות, במצב שבו היכולת לנהל את מעבר המידע, או להחזיק אותו או להיות בעלים שלו – לא יכול לספק אותנו, אנחנו פשוט לא מאשרים לה להחזיק את מאגר המידע.
עלי קלדרון: במקרה לדוגמה זה לא מאפשרים לה לחבר אותו למערכות המקוונות עד אשר נדע שבאמת האירוע עצמו נגמר, הובן באופן מלא ויודעים שחיבורים כאלה לא יגרמו להתקפה נוספת או להרחבת הדלף או לכל מיני דברים שקורים לפעמים במקרים האלה.
עלי קלדרון: כאמור, במקרים קיצוניים אנחנו מבטלים את הרישיון של אותה חברה ואפשר לומר סוגרים.
אנדרי קוז'ינוב: אפשר רק שאלת הבהרה: אתה אמרת כמה ביקורות ביצעתם, אבל בהינתן אלפי גופים במשק שמחזיקים מאגרים כאלה, החל מאמצעי התשלום ועד למידע רפואי, מבחינת האחוזים, לאיזה פלח אתם מגיעים באופן אקטיבי?
עלי קלדרון: הרשות להגנת הפרטיות היא גוף קטן יחסית.
עלי קלדרון: גוף שמונה כ- 45 עובדים והוא הרגולטור של כלל המשק.
עלי קלדרון: אבל אנחנו לא הרגולטור היחיד, יש לכל המגזרים המשמעותיים גם רגולטורים נוספים שגם להם יש הנחיות בתחום אבטחת המידע.
עלי קלדרון: אנחנו מגיעים לכל מי שאנחנו יכולים, כאמור אנחנו מתעדפים את זה על ידי אותו סקר סיכונים שדיברנו כדי שבמסגרת האכיפה היזומה נגיע לחלקים היותר חשובים.
עלי קלדרון: אם אתה שואל אותי על אחוזים, האחוזים הם קטנים, אין ספק, אבל בהחלט אנחנו משתדלים להגיע למקומות החשובים.
עלי קלדרון: אם לצורך העניין היינו ב-70 וכמה עיריות ורשויות מקומיות מתוך כ-270, אז כמובן שזה יחסית חלק קטן.
עלי קלדרון: מצד שני בחרנו את הרשויות הגדולות והמשמעותיות שבהם יש מאגרי מידע רגישים מאוד.
עלי קלדרון: היום צריך להבין שבעיריות ורשויות מקומיות מחזיקים במידע רגיש מאוד על התושבים.
עלי קלדרון: הוא כולל מידע כמו תיק התושב ועד הסביבה הרווחתית והחינוכית ואפילו עד מצלמות האבטחה שמצלמות אותנו ברחוב.
עלי קלדרון: הרצון שלי הוא מצד אחד להגיע לרשויות הגדולות ומצד שני לפעמים גם לבחון את החברות הקטנות שבהם אנחנו יודעים שסיכוני הפרטיות יותר גדולים בגלל חוסר תקציב או חוסר יכולת או מיומנות מקצועית להגן על המידע ולעשות בו שימוש בהתאם לחוק.
עינב קאבלה: אגב, הזכרת רשויות, מנקודת מבטך, מה מצב הגנת הפרטיות לפחות במה שאתם בדקתם?
עינב קאבלה: הם חלק מהמוזמנים אז אשאל אותם בעצמם, אבל אתה הרגולטור.
עלי קלדרון: אנחנו לא הרגולטור של הרשויות, אנחנו רגולטור בתחום הגנת הפרטיות.
עלי קלדרון: ובאספקט שלנו שבחנו, הממצאים היו קצת כמו שאמרתי קודם, אנחנו רואים שוני בין גופים גדולים ומסודרים לבין גופים קטנים ובדרך כלל חסרי תקציב, שמתמודדים עם הנחיות, גם ממשרד הפנים וגם איתנו במסגרת החקיקה.
עלי קלדרון: בסופו של דבר באים בטענות שאין להם תקציבים לבצע את כל מה שכתוב בתקנות או שאין להם את היכולת לעשות את זה.
עלי קלדרון: זה כמובן מבחינתנו לא מקל על החובה שלהם.
עלי קלדרון: גוף שלא יכול להחזיק מאגר מידע, שלא יכול לשמור עליו – מבחינתי לא צריך להחזיק אותו.
עלי קלדרון: חלק מהתובנות שאנחנו מסיקים מהדוחות המגזריים האלה הם גם תובנות שבעקבותיהם אנחנו מבצעים דיונים עם הרגולטורים הרלוונטיים.
עלי קלדרון: ובמקרה לדוגמה של רשויות מקומיות, יש לנו שיח גם בנושא זה עם משרד הפנים ורגולטורים אחרים שקשורים לעניין הזה.
עלי קלדרון: כמו כן, גם הוצאה של הנחיות וסיוע לגופים הללו גם במסגרות שונות.
עלי קלדרון: לדוגמה במסגרת של העיר החכמה – איך הופכים להיות עיר חכמה בלי לסכן את הפרטיות של נושאי המידע.
עלי קלדרון: איך לעשות תסקיר השפעה על פרטיות, שזה מנגנון מוקדם לשימוש במידע, לדוגמה לא צריך להחזיק במידע שהוא לא רלוונטי, אם פעם הגישה הייתה: בואו תנו לי את המידע וכבר נדע מה לעשות אותו.
עינב קאבלה: בעיה של מידע עודף.
עלי קלדרון: כן, בעיה של מידע עודף, בהחלט.
עלי קלדרון: את הפעולות האלה אנחנו מבצעים לא רק ברמה האכיפתית, אלא בהחלט גם ברמת ההנחיה, ברמת שיתופי הפעולה עם הרגולטורים האחרים, עם גופים ספציפיים.
עינב קאבלה: ההנחיות שלכם בעניין הזה מחייבות אותם?
עלי קלדרון: יש רמות שונות של הנחיות שאנחנו מוציאים.
עלי קלדרון: יש הנחיות שהם מבחינתנו הנחיות רשם, כלומר גילוי דעתו של הרשם זה מבחינתנו מחייב את השוק, ומי שלא עומד בהם מבחינתנו גם נקבעה לו הפרה.
עלי קלדרון: יכול להיות שהוא ירצה לקחת אותנו לבית משפט כדי להתווכח על הפרשנות שלנו, זו זכותו.
עלי קלדרון: יש גם הנחיות שהם ברמה יותר פחותה, הם יותר המלצות, הם יותר יידוע של מה כדאי לעשות במקרים כאלה ואחרים.
עינב קאבלה: כשאתם בוחרים את - - -
עלי קלדרון: בהחלט, אנחנו מפרסמים אותם ברמה שונה ואנחנו מגדירים כל אחד ואחד מהם.
עלי קלדרון: לחלק מההנחיות אנחנו עושים תהליכים שלRIA , כיוון שיש להם השפעה על המשק.
עינב קאבלה: את רוצה להתייחס, חברת הכנסת מרב מיכאלי, בבקשה.
מרב מיכאלי: צריך להגיד, ישראל שמחזיקה מעצמה אומת סטארט-אפ וראש הממשלה שלנו מתפאר במטה הסייבר שלה.
מרב מיכאלי: כמות יחסי הציבור שנעשתה על מטה הסייבר, שזה להבנתי ורק לא הבנתי אלא באמת כמו שמגדיר החוק, התפקיד שלו זה לתת כלים וקריטריונים לכל הגופים האזרחיים בדיוק בשביל למנוע את הדברים האלה.