ועדת החוקה, חוק ומשפט, כנסת 20, פרוטוקול מספר 314, 2017-01-10 10:00

רויטל סויד: בוקר טוב לכולם.

רויטל סויד: אנחנו פותחים את ישיבת ועדת חוקה בנושא שהוא גם תקדימי וגם חשוב לכולנו – תקנות הגנת הפרטיות (אבטחת מידע), התשע"ו-2016.

רויטל סויד: אין ספק שהתקנות הולכות לחולל מהפך ושינוי מאוד מהותיים בכל מה שקשור לאבטחת מידע, מאגרי מידע תוך רצון לשמור על זכויות הפרט ואת הזכות לפרטיות בכלל.

רויטל סויד: אנחנו נשמע קודם כול את רמו"ט, משרד המשפטים, את היועץ המשפטי לוועדה ואחר כך כל מי שירצה לומר דברים יוכל להירשם או שכבר נרשם.

רויטל סויד: חברי כנסת שייכנסו יוכלו גם הם להביע את עמדתם.

רויטל סויד: כשכולם יסיימו להביע את העמדה שהוא רוצה להשמיע אנחנו נעבור להקראת סעיפי התקנות בהנחה שנצליח כבר היום להגיע לזה.

רויטל סויד: הישיבה קבועה עד 12:00, ואם נראה שיש טעם נאריך אותה בחצי שעה נוספת.

רויטל סויד: שיהיה לנו בהצלחה.

רויטל סויד: בבקשה, איל.

<איל זנדברג: בוקר טוב.

<איל זנדברג: אני אפתח בדברים קצרים.

<איל זנדברג: ראשית אני רוצה להודות לוועדה וליושבת ראש הוועדה על כך שהוועדה לקחה על עצמה לטפל בתקנות.

<איל זנדברג: אלה תקנות ששרת המשפטים הניחה על שולחן הוועדה לפני חודשים רבים.

<איל זנדברג: אני מסתכל על חצי הכוס המלאה על כך שהוועדה הגיעה לטפל בנושא, ואני מקווה שנוכח החשיבות שלו נוכל לקבוע סדרה של דיונים כדי שהעניין יסתיים בהקדם אחרי קיום כל הדיונים והליבון הדרוש, אבל כדי שנגיע לקו הסיום מוקדם ככל האפשר.

<איל זנדברג: מדובר בסט של תקנות שהוא תוצר של עבודה ממושכת ומשמעותית שנעשתה במשרד המשפטים בשיתוף מלא של שתי יחידות במשרד: רשות משפט וטכנולוגיה בראשות רשם ההגנה החדש שיושב כאן לצדי ומחלקת ייעוץ וחקיקה.

<איל זנדברג: נמצאת כאן גם ליאת בן מאיר שליוותה את הנושא מטעמנו.

<איל זנדברג: כדי לא להכביד על הוועדה ולא להשמיע דברים בכפל ובשילוש, אלון יציג מיד בשם המשרד את עיקר הדברים.

<איל זנדברג: כמסגרת מאוד כללית אני רק אומר כמה משפטים.

<איל זנדברג: כפי שחברת הכנסת סויד מזכירה לי מידי פעם אני אשתדל לא לדבר כמשפטן, אבל אני לא מבטיח שלא אומר משהו על משפטים.

<איל זנדברג: אני לא אדבר כעורך דין בעצם, זאת ההערה.

רויטל סויד: אני עדיין עובדת על זה.

רויטל סויד: אחרי שנתיים אני עדיין מנסה לא לדבר כמשפטנית.

<איל זנדברג: בדיון שעוסק בהגנת הפרטיות רציתי לפתוח באמירה יפה שאין חולק על חשיבות הגנת הפרטיות.

<איל זנדברג: אבל נזכרתי בדיונים אחרים שנכחתי בהם גם בכנסת שבהם יש מי שאומר גם היום שבעולם שבו אנחנו חיים זה נאיבי לדבר על פרטיות.

<איל זנדברג: איש לא יכול לצפות שתהיה איזושהי פרטיות וסודיות ביחס למידע אודותיו.

<איל זנדברג: אף על פי שזה לא ליבת הדיון שלנו היום זאת אמירה שגויה ובעייתית.

<איל זנדברג: חשוב לשים אותה בצד ולהזכיר שהגנת הפרטיות דווקא בעולם שבו אנחנו חיים בעולם, בעולם של מהפכה דיגיטלית ואתגרים טכנולוגיים, חברתיים וכלכליים – כל מה שאנחנו רואים סביבנו כאזרחים – דווקא בתקופה הזאת ההגנה על הפרטיות היא חשובה, והיא אתגר משמעותי גם למחוקק.

<איל זנדברג: להגנת הפרטיות יש היבטים רבים.

<איל זנדברג: אנחנו עוסקים בהיבט אחד שלו.

<איל זנדברג: זאת הזדמנות לא רק להזכיר את החשיבות של הגנת הפרטיות, אלא גם את ההיבט המסוים התשתיתי של אבטחת מידע.

<איל זנדברג: הרבה פעמים בדיונים בכנסת מדברים על רשתות חברתיות ועל מעמדו של נושא המידע שהמידע אודותיו, אזרח כצרכן, כמי שמדבר בתוך הרשת ועם חבריו.

<איל זנדברג: אבטחת מידע היא רכיב שנראה לפעמים טכני, והוא יותר תשתיתי ובסיסי, אבל הוא לא פחות חשוב בתוך הדיון על הגנת המידע כי הוא בעצם שלב חיוני והכרחי כדי להבטיח בסופו של דבר את אותה זכות אדם שמעוגנת, כמובן, בחוק זכויות אדם וחירותו – הזכות לפרטיות.

<איל זנדברג: כך שהדיון אמנם עוסק בטכנולוגיה, ואם מישהו חושב שהוא טכני זה לא נכון.

<איל זנדברג: מטרתו להגן על זכות אדם, אבל נכון שבתווך יש הסדרה מאוד פרטנית שנגיע אליה במהלך הדיונים שיורדת לפרטים.

<איל זנדברג: אבל זאת המטרה והמסגרת של הדיון כולו.

<איל זנדברג: התקנות שלפני

<איל זנדברג: כן הן תוצר של תהליך ארוך וממושך.

<איל זנדברג: הקפדנו בהקשר הזה גם לשמוע את הציבור, ואנחנו מבינים שיש לזה השלכות והרבה מאוד שותפים מבית ומחוץ – הליך שהחל בשנת 2011-2010.

<איל זנדברג: הגענו לפה, ואני מקווה שנצלח גם את הדיונים כאן.

<איל זנדברג: התקנות עוסקות בכל ההיבטים של אבטחת מידע – גם אבטחה פיזית וגם לוגית, כלומר מערכות המחשב, וגם היבטים שהם קצת יותר חדשים ומשוכללים שמטפלים בעולם של הניהול – הכשרה, הרשאות, תיעוד – פעולות שהן מעבר לאבטחה שבמושג הרגיל אנשים מדמיינים מה כלול בתוכו.

<איל זנדברג: היו הרבה אתגרים בגיבוש של המסגרת.

<איל זנדברג: אתגר אחד שאני רוצה להדגיש בפתיח נוגע לכך שמאגרי מידע שאליהם מתייחסות התקנות נמצאים כמעט בכל מקום.

<איל זנדברג: אין אב טיפוס אחד מובהק של מי שהוא הבעלים או המחזיק – לא ניכנס כרגע להוראות המשפטיות – הוא מנהל של מאגר מידע.

<איל זנדברג: זה יכול להיות בנק או חברה שמגלגלת מיליארדים ומחזיקה הרבה מאוד מידע, וזה יכול להיות גם אדם פרטי או מסגרת יותר צנועה ולא מסחרית.

<איל זנדברג: מתוך הבנה שאבטחת מידע היא חשובה לגבי כל מאגרי המידע, אולי היא חשובה בצורה שונה או יש לה ביטויים שונים, האתגר המרכזי שלנו היה לתת מענה לדבר הזה, ולייצר תקנות שיתייחסו לשונות בין המאגרים השונים.

<איל זנדברג: לדעתי, עשינו את זה על-ידי הבחנה בין רמות אבטחה שונות ובין מאגרים שונים, לפי רמת הסיכון שהם מייצרים לפרטיות.

רויטל סויד: רמו"ט, שזה חלק ממשרד המשפטים, אתם מדברים בקול אחד?

<איל זנדברג: כן, לחלוטין.

<איל זנדברג: אין מחלוקות.

<איל זנדברג: זאת עבודה משותפת לגמרי.

<איל זנדברג: אני בטוח שאלון יידע להציג גם את רמו"ט וגם את העבודה וגם בחלוקה בינינו הוא יציג את הפרטים.

<איל זנדברג: כמובן, ברור שכשנגיע לתקנות אנחנו נשיב על כל שאלה.

<איל זנדברג: אני מנסה רק לתת מסגרת כללית לדיון.

רויטל סויד: תודה, איל.

רויטל סויד: אלון בכר, ראש הרשות למשפט, טכנולוגיה ומידע – רמו"ט – בבקשה.

<אלון בכר: תודה.

<אלון בכר: בוקר טוב.

<אלון בכר: כפי שאיל אמר התקנות האלה הן תולדה של שיח ציבורי וממשלתי מקיף וארוך שנים.

<אלון בכר: למעלה מחמש שנים השיח הזה כלל היוועצות, העברה להערות, פגישות ושיחות עם גופים מסחריים ועם משרדי ממשלה ובעלי עניין אחרים.

<אלון בכר: התקנות עברו הרבה התאמות, ונידונו הסוגיות המרכזיות שהתקנות האלה מעלות.

<אלון בכר: זה יום חשוב למדינה בכלל ולא רק לפרטיות כזכות חוקתית ספציפית.

<אלון בכר: הליך החקיקה פה מהווה דוגמה לדרך שבה עושים חקיקה משתפת.

<אלון בכר: אולי לקח יותר מדי זמן, אבל בסופו של דבר בתקנות בהיקף כזה ובמורכבות טכנולוגית כזאת הן היו משתפות ככל שניתן לשתף בתהליך חקיקה כזה.

<אלון בכר: באופן כללי התקנות האלה שואבות השראה וחופפות לתקני אבטחת מידע מקובלים בעולם.

<אלון בכר: אני אדבר בהמשך על הדברים שמתרחשים בישראל בהקשר הזה.

<אלון בכר: חשוב לי מאוד לומר גם בהיבט הכלכלי אבל גם בהיבט של מעמדה של ישראל בכלל בקרב אומות העולם, שמעבר שלהן והטמעה שלהן יקדמו את המעמד של ישראל בזירת הפרטיות הבין-לאומית.

<אלון בכר: אני גם אגיד כמה מילים על זירת הכלכלה הגלובלית משום שאנחנו חיים היום בעולם שיש בו גלובליות, דיגיטציה וכלכלה דיגיטלית.

<אלון בכר: אבטחת מידע אישי היא סוגיה מאוד מרכזית שנידונה בכל גוף בינלאומי משמעותי שעוסק בכלכלה.

<אלון בכר: אם אנחנו מדברים על פרטיות, בוודאי מי שעוסק בפרטיות.

<אלון בכר: חוק הגנת הפרטיות בנוסחו היום בעצם קובע הוראות ספורות וכלליות בתחום אבטחת המידע על מי שמנהל מידע אישי דיגיטלי.

<אלון בכר: אני רוצה לעשות סדר בבליל ובבלגן שיש כאשר אנשים צריכים להבין לפי הוראות ספורות וכלליות מה הם צריכים לעשות.

<אלון בכר: אנחנו לא מדברים פה על מעט גופים ומעט מידע, אלא מדברים על הרבה מאוד גופים שמנהלים מאות אלפי מאגרים על כל האזרחים בישראל.

<אלון בכר: הצורך לדעת איך לעשות את זה, ומה הרף המינימלי שאתה צריך לעמוד בו כשאתה מנהל את המידע הזה הוא צורך חיוני.

<אלון בכר: לטעמנו, ההבהרה של הדבר הזה חסרה כיום.

<אלון בכר: אנחנו נתקלים על בסיס יומיומי כשאנחנו עושים פיקוחים וחקירות בקרב גופים שמנהלים מידע אישי, ומגלים את שני הצדדים של מטבע אי הוודאות.

<אלון בכר: גופים מסוימים לוקים בחסר ועושים פחות מדי, ובעצם עוברים על החוק, וגופים אחרים עושים הרבה מדי לפעמים; מוציאים יותר מדי כסף, ועושים אבטחת יתר לעומת מה שהחוק מחייב אותם.

<אלון בכר: בהקשר הזה הוודאות הרגולטורית שנכונה לכל דבר נכונה מאוד גם בתחום מתפתח כזה שבעצם נוגע להרבה מאוד גופים, ולא רק לגופים מתמחים.

<אלון בכר: לטעמנו, התקנות האלה יסירו ספקות לגבי אמצעי האבטחה הבסיסיים למידע אישי ולשמירה על פרטיות של מידע.

<אלון בכר: במובן הזה אנחנו חושבים, כפי שאיל אמר, שאין פה יצירת רגולציה חדשה, אלא יותר הבהרה של רגולציה קיימת.

<אלון בכר: אנחנו לא תמימים לחשוב שזה לא ייצר פעילות בכלל המשק בקרב גופים שיגלו שלמרות שהחוק חייב את זה עוד קודם הם לא עמדו ברף המינימלי, ויצטרכו לעשות התאמות.

<אלון בכר: אנחנו גם מבינים את זה וגם נהיה מאוד רגישים לזה.

רויטל סויד: אתה אומר שאין רגולציה חדשה, אבל מצד שני אנחנו כן מטילים חובות חדשות.

רויטל סויד: במהות לא, אבל התקנות כן מטילות.

<אלון בכר: מעט מאוד.

<אלון בכר: אנחנו ניכנס לזה כשנגיע לתקנות, אבל התקנות מכילות מעט מאוד חובות חדשות, והן בעיקר מפרטות את החובות הקיימות בצורה יותר סדורה ובהירה עם הפרדה ומודולריות בין סוגי המידע והגופים הרלוונטיים שמחזיקים אותם.

<אלון בכר: חשוב לי להדגיש את זה כי אני מבין שזה משהו שיכול להטריד וזה בסדר שזה מטריד שההטמעה של הדבר, האכיפה של הדבר מכל בחינה שהיא – גם כי אנחנו מבינים שזה נכון, וגם מכיוון שאנחנו צריכים להיערך לאכיפה, להטמעה ולהסברה של שינוי כזה שייעשו בצורה מאוד מדודה וזהירה, ויינתן זמן למשק להתאים את עצמו.

<אלון בכר: אף אחד פה לא רץ לעשות שום דבר במהירות.

<אלון בכר: מה שכן חשוב זה שהתקנות יעברו במהירות.

<אלון בכר: אם יש משהו שכל אנשי אבטחת המידע, אנשי הפרטיות ובכלל אנשי הטכנולוגיה בישראל שאיתם נדבר, יגידו שהמצב של ישראל בהקשר הזה הוא לא מצב טוב.

<אלון בכר: זה צריך לקבל קפיצת מדרגה, והוא מטופל בכמה רמות.

<אלון בכר: אנחנו מדברים פה על רמת המידע האישי.

<אלון בכר: יש פה עוד רבדים של מידע שמטופלים על-ידי גופים אחרים.

<אלון בכר: אני גם אתייחס לזה עוד כמה דקות.

<אלון בכר: לגבי האינטרס הציבורי אני אומר רק בכמה מילים קצרות – העידן שבו אנחנו חיים, עידן המידע, עידן הדיגיטציה, עידן שבו המידע האישי שלנו הוא חלק ממערך של big data שבו עושים שימושים גופים שונים בכל רחבי העולם מחייב את כולנו ואת מי שמנהלים את המידע שלנו לעשות את זה באחריות תוך שמירה על הפרטיות שלנו ועל השימושים הראויים והנכונים.

<אלון בכר: במובן הזה אנחנו נמצאים בזמן האמת.

<אלון בכר: בזמן הזה – פרסום של נורמה כללית והטמעה מסודרת שלה הוא משהו שהפך להיות לא מאוחר מדי.

<אלון בכר: אנחנו כבר ברגע הנכון מאוד כדי שהדברים האלה יוטמעו משום שהעולם כבר שם, והעולם הולך למקומות יותר מפותחים בעניין הזה, ואנחנו רוצים להימנות עם העולם המתקדם בעניין הזה, ולא להישאר אחורה.

<אלון בכר: חשוב לי להדגיש אינטרס כלכלי לאומי בהקשר הזה בהעברה והטמעה של התקנות האלה ודברים נוספים שהממשלה עושה במקביל.

<אלון בכר: בכלכלה הכלכלית הגלובלית וכמי שיושבים ב-OECD ובמקומות אחרים שבהם הדברים נדונים אגב אבטחת מידע ופרטיות הנושא של אמון צרכנים ברשת ואמון צרכנים במידע שהם נותנים שנעשה בו שימוש ראוי ונכון, והוא נשמר בצורה תקינה זה אבן יסוד לכלכלה העולמית המתקדמת והמתפתחת, וזה דבר שנדונים בגופים הכלכליים הבינלאומיים המפותחים והמשמעותיים ביותר.

<אלון בכר: בהקשר הזה הצרכנים גם מוטרדים בכל הרמות גם בארץ וגם בעולם משימוש עודף במידע שהם נותנים; גם מוטרדים מהשאלה מה יקרה עם המידע שהם נותנים, מי עושה בו שימוש, ולאן הוא הולך; וגם הגופים הבינלאומיים שקובעים את הרגולציות לדבר הזה שמים על זה דגש מאוד גדול.

<אלון בכר: במובן הזה מעבר של התקנות האלה ישים את ישראל, לפחות בהיבט הפרטיות, במקום טוב בקרב המדינות המפותחות, בקרב מדינות OECD.

<אלון בכר: את זה אנחנו לא יכולים להגיד כרגע כאשר השימושים והיישומים של אבטחת המידע האישי נתונים לפרשנות מאוד רחבה, ובהרבה מאוד מקרים אנחנו מגלים שהם לוקים בחסר.

<אלון בכר: העלאת רמת אבטחת המידע הפרטי במשק ויצירת סטנדרט שיהיה נהיר לכולם הוא גם חיוני לשיפור התועלת הכלכלית והחברתית וישפרו גם את המעמד הבינוני שלנו.

<אלון בכר: חשוב שנזכור את זה.

<אלון בכר: לגבי התקנות עצמן והמבנה שלהן – המתכונת המודולרית שלהן, בניסוחן הבאנו בחשבון את העובדה שיש מידע אישי מכל מיני סוגים שמוחזק על-ידי כל מיני גופים.

<אלון בכר: כל סוג מידע וכל סוג של גוף ושימושים בו מייצר סיכון אחר, רגישות אחרת; יש אלמנט של גודל, יש אלמנט של סוג המידע, יש אלמנט של שימושים במידע.

<אלון בכר: במובן הזה נקבעו שלוש דרגות לאבטחת המידע, לפי אופי המאגר, תוך התחשבות מרבית ככל שיכולנו אחרי כל הדיונים לחשוב אחריה בעוסקים יחידים ובעוסקים קטנים כי אנחנו מבינים שהפוטנציאל המשמעותי לקושי ביישום הוא על עסקים קטנים וגורמים שההוצאה של אבטחת המידע ברמה וברף המינימלי עדיין יהיו לא פשוטים בשבילם.

<אלון בכר: במובן הזה עשינו ניסיון להביא למצב שבו ככל שמדובר בגוף קטן שגם האמצעים שלו מוגבלים וגם הסיכון מהמידע שהוא מנהל הוא יחסית לא גדול, כך תחול עליו חובה יחסית פחותה.

<אלון בכר: אנחנו מבינים את הרגישות – זה לא נסתר מעינינו.

<אלון בכר: היה ניסיון מאוד משמעותי להגיע לניסוח ולפילוח כזה שיאפשרו את ההקלות האלה.

<אלון בכר: דבר נוסף שחשוב לציין, ויש בו היבטים משפטיים וכלכליים זה הנושא של הניטרליות הטכנולוגית.

<אלון בכר: התקנות האלה מבוססות על עיקרון של ניטרליות טכנולוגית.

<אלון בכר: לא ניתנה בתקנות העדפה לטכנולוגיה כזאת או אחרת מכל מיני סיבות.

<אלון בכר: הסיבה הראשונה היא שההתפתחויות בתחומים האלה הן כל כך מואצות וכל כך בלתי צפויות, שהניסיון לקבוע סוג של טכנולוגיה כזאת או אחרת או רשימת טכנולוגיות יהיו טעות.

<אלון בכר: התקנות האלה אמורות להישאר אתנו שנים רבות, ולא נהיה זקוקים לחזרה לכנסת בעוד שנה או שנתיים כדי לבקש לעשות תיקונים.

<אלון בכר: הדבר השני שהוא חשוב לא פחות, ובמובנים מסוימים אמור לתת סוג של קריאת הרגעה למה שצפוי בשנים הקרובות בהקשר הזה, הוא שברגע שאין העדפה לסוג טכנולוגיה אחת אנחנו לא פוגעים בתחרות במשק, אלא פותחים את זה לשימושים של כל גוף טכנולוגי שכבר עושה שימוש בטכנולוגיות כאלה או מפתח טכנולוגיות כאלה.

<אלון בכר: אנחנו מעריכים שמכיוון שההטמעה של זה שתהיה מתונה, אבל תתחיל בחודשים הקרובים, תייצר גם שוק חדש ותחרות גדולה שאנחנו מקווים שגם יוביל להוזלה של עלויות.

<אלון בכר: הרי אנחנו יודעים שבתחומים שבהם יש מעט אנשים שמבינים במשהו ומוכרים את המוצר, המוצר הזה הוא יקר ולא נגיש, וברגע שמתפתחת תחרות ונכנסים גופים נוספים שמפתחים ככה זה יותר נגיש, ועם הזמן גם הופך להיות יותר זול.

רויטל סויד: יש לכם מצגת שאתם רוצים להראות?

רויטל סויד: לא צריך, אוקיי.

<אלון בכר: זה קורה תוך כדי שאני מדבר.

<אלון בכר: אני לא נכנס לרמת התקנות.

<אלון בכר: אפרופו ההיערכות, ההטמעה וההנגשה של התקנות האלה – אף על פי שאמרנו בהתחלה התקנות משקפות סטנדרט שכבר קיים, וגם אומץ בפועל על-ידי לא מעט גופים.

<אלון בכר: אנחנו נאפשר וניתן זמן היערכות להטמעת התקנות בצורה מסודרת על-ידי גופים שלא אימצו את הסטנדרט הזה או סטנדרטים דומים.

<אלון בכר: האכיפה שרמו"ט תבצע בהקשר הזה תתבצע בהדרגתיות - -

רויטל סויד: מה זה הדרגתית?

<אלון בכר: זה אומר שבשלב הראשון עושים הסברה והנגשה ודואגים שהנושא יחלחל ויגיע, ורק בשלב מאוחר יותר נעסוק באכיפה של ההוראות ובווידוא שהוראות החוק מקוימות בהקשר הזה.

<אלון בכר: אנחנו נבין שהמשק צריך זמן להסתגל לשינויים האלה, ובוודאי גופים שקודם לא הטמיעו את הדברים או לא הבינו אותם עד תום, וצריכים לעשות את זה.

<אלון בכר: אנחנו יודעים שתהליכים כאלה לוקחים קצת זמן, הם לא קורים מהיום להיום.

<אלון בכר: במובן הזה – לא שהיום אנחנו לא עושים את זה אבל אחרי שזה יפורסם, יוטמע ויונגש לא רק היישום יהיה מודולרי והתקנות מודולריות, אלא גם האכיפה תהיה הדרגתית.

זאב בנימין בגין: אתה יכול לתחום בזמן את תהליך ההנגשה ההדרגתי?

<אלון בכר: אני לא יודע אם אני יכול להגיד את זה בצורה סכמטית - -

זאב בנימין בגין: לא, באופן רופף.

זאב בנימין בגין: חודשים?

זאב בנימין בגין: שנים?

זאב בנימין בגין: עשור?

<אלון בכר: חודשים בוודאי.

<אלון בכר: יש פה שני דברים – קודם כול התקנות ייכנסו לתחולה לא באופן מידי גם כך.

<אלון בכר: אז יש ההיבט הראשוני מתי התקנות בכלל נכנסות לתוקף.

<אלון בכר: זאת הרמה הראשונה, וזה חשוב, כי ברגע שהן מפורסמות אבל לא בתוקף כבר יש לשוק הזמן להתחיל להיערך.

<אלון בכר: הטמעה של התקנות האלה אחרי שהן כבר בתוקף היא תהליך שלוקח חודשים.

<אלון בכר: לכן הזמן שבו הן ייכנסו לתוקף והזמן שבו האכיפה תיכנס להילוך משמעותי – מדברים על חודשים כאן וחודשים כאן, ולכן אנחנו מדברים על תקופת זמן שתספיק ליישום הדברים בצורה סבירה בלי מהירות יתר או לחץ.

<אלון בכר: במובן הזה אכיפה של אבטחת מידע אישי מתקיימת כל הזמן גם בימים אלה וגם ברגעים אלה על-ידי אנשי האכיפה של רמו"ט.

<אלון בכר: גם במובן הזה כל מקרה לגופו ייבדק.

<אלון בכר: כשיהיה אירוע מאוד קשה או מידע רגיש שתהיה אתו בעיה, בוודאי שנאכוף את זה גם אחרי שהתקנות יעברו.

<אלון בכר: אבל בכל מקרה שאנחנו לא מדברים על משהו קיצוני שממילא נאכף גם היום בצורה משמעותית, אנחנו נעשה את זה בצורה מאוד מתונה.

<אלון בכר: עוד דבר שאנחנו רוצים להדגיש הוא כפול.

<אלון בכר: אחד זה נושא של ההנגשה לאנשים שהם לא עורכי דין ולא אנשי אבטחת מידע.

<אלון בכר: בימים אלה אנחנו בעיצומה של עבודה על כתיבת מדריך למשתמש שיהיה בעברית, ויסביר בדיוק מה כתוב בתקנות.

<אלון בכר: מכיוון שהתקנות פונות גם לאנשי מקצוע - -

רויטל סויד: תחכו עם ההדפסה, לפחות עד שנסיים את הדיונים.

<אלון בכר: אנחנו לא מדפיסים, אנחנו כותבים.

<אלון בכר: זה גם עוזר לנו להבין טוב יותר את מה שכתוב שם.

<אלון בכר: אחרי שהתקנות יעברו ואחרי שהנוסח יושלם אנחנו נפיץ כמה שיותר מהר אחר כך מדריך בצורה מאוד פשוטה כדי שכל אדם יוכל לקרוא, להבין ולקבל רצף שבו יישאלו שאלות, ויהיו מין "כן" ו"לא" מאוד פשוטים כדי שהאדם הפשוט שהוא לא איש אבטחת מידע ולא עורך דין יידע מהר מאוד להבין לאיזו קטגוריה הוא נופל, ומה הוא צריך לעשות כדי לשמור על החוק ועל המידע האישי שהוא מנהל.

זאב בנימין בגין: זה יהיה באותיות יותר גדולות, נכון?

<אלון בכר: זה יהיה יותר גדול.

זאב בנימין בגין: מה מספר הארגונים שהאנשים בארגונים צריכים לקרוא ולהבין?

זאב בנימין בגין: אני רוצה להבין סדרי גודל – מאות, אלפים, רבבות?

<אלון בכר: רבבות.

<אלון בכר: גופים שמנהלים מידע אישי, יש רבבות לפחות.

רויטל סויד: סיימת, אלון?

אורי מקלב: - - - בעניין הזה?

אורי מקלב: "עובדים בשיתוף פעולה" זה דבר מאוד רחב.

<אלון בכר: קודם כול אני מצהיר את זה לפרוטוקול.

<אלון בכר: התקנות מאפשרות להכיר בתקנים ובחקיקה מקבילה.

<אלון בכר: במובן הזה כבר התחלנו לעשות שימוש בדיונים שקדמו להגשת התקנות לכנסת - -

רויטל סויד: לחקיקה קיימת.

<אלון בכר: כן, לרגולציה קיימת.

<אלון בכר: התקנות מאפשרות להכיר ברגולציה קיימת שעומדת בסטנדרט כדי שלא יהיו כפילויות, לא יהיו סתירות ולא יהיו אי בהירויות שייצרו משהו חדש.

רויטל סויד: אני אשמח שאחרי אלעזר גם חברי הכנסת ידברו ואז גם תוכל לענות כי זה מעלה עניין.

<איל זנדברג: חבר הכנסת סויד, אם אפשר רק להשלים משפט ששכחתי.

<איל זנדברג: שכחתי להזכיר את יושבת ראש המועצה הציבורית להגנת הפרטיות שנמצאת כאן, גברת אורית פודמסקי.

<איל זנדברג: המועצה הזאת היא גם גוף שפועל תחת שרת המשפטים, והוא רלוונטי בהיבט הזה.

רויטל סויד: תצטרפי אלינו לשולחן, אורית.

רויטל סויד: אלעזר, בבקשה.

רויטל סויד: אחר כך חברי הכנסת.

הלשכה המשפטית: אני אגיד כמה נקודות כלליות שראוי שישרטטו את מתווה הדיון.

הלשכה המשפטית: קודם כול אין חולק על החשיבות של התקנות ושל הצורך באבטחת מידע וגם על הצורך בהסדרה מעודכנת יותר של הנושא.

הלשכה המשפטית: כיום ההסדרה שלו אינה מעודכנת למצב הנוכחי.

הלשכה המשפטית: עם זאת צריך לקחת בחשבון כמה נקודות.

הלשכה המשפטית: התקנות האלה מעוררות שאלות מכל מיני היבטים הן בהקשר להיקף של הרגולציה והן בהקשר של העומק של הרגולציה.

הלשכה המשפטית: מעל כל הנקודות שאני אגיד בקצרה עכשיו אנחנו צריכים לזכור כל הזמן שההגדרה למאגר מידע היא מאוד רחבה כיום לפי החוק.

הלשכה המשפטית: לכן אנחנו צריכים להסתכל על התקנות האלה במנעד מאוד רחב בין המאגרים הכי גדולים, כבדים ורגישים עד למאגרים של האזרח הקטן, המשתמש, בעל המקצוע הקטן.

הלשכה המשפטית: כל מאגר הוא רגיש, אבל יש פה מנעד מאוד רחב.

הלשכה המשפטית: כשנעבור על כל תקנה אנחנו צריכים לראות מול העיניים את המנעד הרחב הזה.

הלשכה המשפטית: התקנות עושות דיפרנציאציה בין סוגים שונים של מאגרים, ובכל זאת כדאי שזה יהיה במודעות.

הלשכה המשפטית: אני אתן בקצרה כמה סוגיות.

הלשכה המשפטית: קודם כול היחס בין הרגולציה הזאת לבין רגולציות אחרות שיש בהקשרים אחרים של אבטחת מידע וגם בתוך הרגולציה הזאת - -

רויטל סויד: אדוני, אם תוכל להחליף אותי רגע.

הלשכה המשפטית: - - הנושא הזה של הרבדים השונים, של הסוגים השונים של המאגרים – מה בדיוק התמהיל של ההיבטים שצריך לעשות כדי להבחין בין סוגי המאגרים השונים, מה היחס בין סטנדרט האבטחה שהתקנות האלה מבקשות להנחיל לעומת סטנדרט האבטחה המקובל בעולם ומקובל בשוק כיום; מה המשמעויות הכלכליות של התקנות האלה הן בהתחשב בעובדה שלחלק מהגופים כבר היום יש הוצאות על אבטחת מידע וכן נוכח העובדה שכבר היום יש בכל מקרה חובה לאבטחת מידע.

הלשכה המשפטית: היבט מאוד חשוב לתת עליו את הדעת זה ההיבט היישומי של התקנות האלה.

הלשכה המשפטית: הוא יישומי בשני מובנים: עד כמה באמת גורמים, ובמיוחד הגורמים הקטנים והבינוניים, יהיו מסוגלים ליישם את התקנות האלה; ובעיקר יישומי במובן עד כמה הציבור יידע על החובות שלו.

הלשכה המשפטית: מכיוון שהמנעד מהם מאגרי המידע הוא מנעד כל כך רחב, כמובן, חשוב שהוועדה תאשר תקנות שמצד אחד יוצרות את הסטנדרט המיטבי לאבטחת המידע ומצד שני לא יוצרות מצב שבו אנשים – בגלל חוסר מודעות, בגלל חוסר אפשרות, בגלל עלויות כלכליות – בגלל היבטים כאלה ואחרים הופכים בעצם למפרים של התקנות שלא בכוונה.

הלשכה המשפטית: זאת אומרת לא מתוך רצון להפר, אלא בגלל חוסר מודעות.

הלשכה המשפטית: הם לא יודעים בכלל שמה שיש להם זה מאגר מידע, והם לא מבינים מה החובות שלהם.

הלשכה המשפטית: נקודה שחשוב לי להבהיר – ופה אני אציג את הדברים בצורה קצת שונה מאלון.

הלשכה המשפטית: בעיני, כשיש חובה כללית בחקיקה – וקיימת חובה כללית של אבטחת מידע כבר היום – לבוא ולחוקק תקנות בהיקף כזה ובעומק כזה – קשה לי לראות בזה רק הבהרה של המצב הקיים או עשיית סדר.

הלשכה המשפטית: קיימת חובה לאבטחת מידע כללית ועקרונית.

הלשכה המשפטית: יש גם היום בתקנות הקיימות שהן לא כל כך מעודכנות חובות מסוימים שהן מחילות, ואנחנו צריכים להתייחס לזה במלוא הרצינות הראויה לא רק כסוג של הבהרה של מצב קיים.

הלשכה המשפטית: זה באופן כללי.

הלשכה המשפטית: כשניכנס לתקנות נתייחס בצורה יותר נקודתית.

זאב בנימין בגין: תודה, אלעזר.

זאב בנימין בגין: חבר הכנסת סעדי, בבקשה.

אוסאמה סעדי: רציתי להגיד פעם אחת "גברתי היושבת-ראש" לרויטל, אבל היא יצאה אז היא הפסידה.

זאב בנימין בגין: אני אמסור לה.

אוסאמה סעדי: זה רשום בפרוטוקול, זה בסדר.

אוסאמה סעדי: אדוני היושב-ראש, חברי חברי הכנסת, מדובר בנושא חשוב מאוד.

אוסאמה סעדי: אני קראתי את התקנות בעיון, ועכשיו אני יודע – אמרת "איזו עבודה מעלפת", ועכשיו אני יודע מי עומד מאחורי זה אז אני לא מתפלא אחרי היכרות של יותר משלושים שנה.

אוסאמה סעדי: אין ספק בחשיבות הנושא במיוחד שחוק ההגנה על פרטיות הוא אחד החוקים החשובים.

אוסאמה סעדי: כל הזמן יש פרצות בחוק הזה, ויש ניסיונות לצמצם את החוק הזה, ולפגוע בפרטיות של אנשים.

אוסאמה סעדי: לכן חשוב מאוד שהתקנות האלה יחליפו את התקנות הישנות.

אוסאמה סעדי: אבל אני סבור שבחלק מהתקנות מדובר בעקרונות שהיה ראוי להכניס לחקיקה הראשית ולא להסתפק בתקנות.

אוסאמה סעדי: כל עקרון האבטחה וממונה על אבטחה וביקורת מערכתית או משפטית – עקרונות כאלה הייתי מכניס לחוק, ואז התקנות רק מפרטות איך לעשות את הנהלים האלה, איך ממנים את הממונה, מה הדרישות מהמונה, מה הכישורים של הממונה.

אוסאמה סעדי: אבל עקרונות כאלה, בוודאי, המקום שלהם היה בתוך החוק עצמו.

אוסאמה סעדי: על אף ההתקדמות הטכנולוגית והאבטחה ראינו גם מקרים בעולם שפרטים ומידע אישי דלפו ואפילו מסמכים סודיים ביותר דלפו.

אוסאמה סעדי: אני לא רוצה להזכיר את המילה "ויקיליקס" שעשרות אלפי מסמכים גם של אנשים וגם דפי חשבון של אנשים, מספרי ויזה – הכול דולף היום.

אוסאמה סעדי: אז על מה אנחנו מדברים?

אוסאמה סעדי: לכן חשוב מאוד שברגע שנתחיל בתקנות עצמן יש לי הרבה תיקונים והצעות לשיפור.

אוסאמה סעדי: אבל הכיוון הכללי הוא שאנחנו מברכים על העבודה הזאת, על התקנות החדשות.

אוסאמה סעדי: הכיוון הוא חשוב – לעגן את כל העניין של הגנה על הפרטיות בתקנות ולהתאימן לקדמה ולחידושים בטכנולוגיה המודרנית.

אוסאמה סעדי: תודה, אדוני היושב-ראש.

זאב בנימין בגין: תודה רבה, אוסאמה.

זאב בנימין בגין: חבר הכנסת מקלב, בבקשה.

אורי מקלב: האמת היא שאתה צריך לדבר, לפי הסדר.

זאב בנימין בגין: לא, אני לא יכול להשתמש לרעה בסמכותי זאת.

זאב בנימין בגין: אני אשמח להשתמש לרעה בסמכויות אחרות, אבל אין לי סמכויות אחרות.

אורי מקלב: תודה, אדוני היושב-ראש.

אורי מקלב: אני לא הייתי בתחילת הדיון ויכול להיות שפספסתי משהו.

אורי מקלב: הנושא הזה של ההסדרה מעסיק אותנו ומטריד אותנו מאוד.

אורי מקלב: אני בכובע של יושב-ראש ועדת המדע והטכנולוגיה.

אורי מקלב: אנחנו מודעים לכך וחלק - - - של הסייבר.

אורי מקלב: אבל אין ספק שממילא זה גם נושא של מאגרי מידע.

אורי מקלב: הוא מטריד אותנו, ואנחנו נתקלים בו בהרבה צמתים.

אורי מקלב: אני בטוח שעכשיו כשאנחנו מביאים תקנות זה באמת דבר בעתו ובזמנו.

לשלושה חלקים: החלק השני הוא העברת המידע עוד לפני שאני אומר "סייבר".

לשלושה חלקים: מי שיש לו מאגר מידע – איזה שימושים הוא עושה בו.

לשלושה חלקים: גם אם הוא יכול להוכיח שהוא מנהל את המאגר שלו נכון אני לא יודע איך הוא יכול להעביר את המידע או אפילו לסחור אתו.

לשלושה חלקים: זה חלק חשוב.

לשלושה חלקים: החלק השלישי זה הגנת המידע שגם אם הוא מתנהל אחרת שמישהו מבחוץ לא יתנהל אתו.

לשלושה חלקים: לכן נשאלת כאן השאלה לגבי ההסדרה בין הרשות להגנת הסייבר בהתאמה שיש לכם.

לשלושה חלקים: שלושת הדברים האלה: מאגר המידע, העברת המידע והגנת המידע הם שלושת הנדבכים המרכזיים שהם חשובים וצריכים לקבל מענה.

לשלושה חלקים: על כולם צריך להיות הפיקוח.

לשלושה חלקים: כל תקנה שאנחנו נעשה – אם לא תהיה לנו אכיפה ולא פיקוח בעניין הזה אנחנו לא תהיה לזה כמעט משמעות כיוון ששם המשחק בעניין הזה הוא פיקוח מתוחכם.

לשלושה חלקים: חבר הכנסת בגין שאל בכמה מדובר.

לשלושה חלקים: לא נוכל לעשות את זה אם לא נעשה את הפיקוח על זה בצורה מתוחכמת שתהיה גם גורם הרתעה וגם כדי שנוכל לראות שהכול פועל.

לשלושה חלקים: אני מקבל מה שאמר היועץ המשפטי שחוסר מודעות זה נושא מאוד גדול, וצריך לעבוד יחד עם הסברה מודרנית כחלק מהטכנולוגיה החדישה.

לשלושה חלקים: תודה, אדוני.

זאב בנימין בגין: תודה.

זאב בנימין בגין: חברת הכנסת מלינובסקי, בבקשה.

יוליה מלינובסקי: תודה רבה, כבוד היושב-ראש, חברי חברי הכנסת.

יוליה מלינובסקי: הרשות למשפט, טכנולוגיה ומידע קיימת תחת משרד המשפטים.

יוליה מלינובסקי: לפי הבנתי ולפי בדיקתי – ואני מסתייגת, אולי אני טועה – הרשות הזאת חסרת שיניים גם היום.

יוליה מלינובסקי: גם היום הסמכויות הן לא סמכויות, האכיפה היא לא אכיפה.

יוליה מלינובסקי: נחשפתי לסיפור מצחיק שאחד החוקרים של הרשות פנה לבנק בשאלה כלשהי, ואחרי חמש דקות הוא קיבל סמס שהציעו לו בו הלוואה.

יוליה מלינובסקי: זאת אומרת הטלפון שלו נכנס ישר למאגר של הבנק.

יוליה מלינובסקי: זה לא סיפור דמיוני.

יוליה מלינובסקי: זאת אומרת הבעיה היא הרבה יותר עמוקה ממה שאנחנו נחשפים לה פה.

יוליה מלינובסקי: התקנות האלה מתגלגלות, לפי הבנתי וידיעתי, כבר חמש שנים.

יוליה מלינובסקי: כבר חמש שנים הרשות לא מצליחה להעביר את התקנות האלה, וזאת פעם ראשונה שזה בא על שולחן הכנסת.

יוליה מלינובסקי: זה לא טוב.

יוליה מלינובסקי: זה סימן מאוד מדאיג.

יוליה מלינובסקי: למה רק עכשיו?

יוליה מלינובסקי: חמש שנים זה כבר בעבודה ואיכשהו מתגלגל.

זאב בנימין בגין: אבל יש תקנות.

יוליה מלינובסקי: לא, אבל כבר חמש שנים הם רצו להתקדם עם זה וזה לא הלך להם.

יוליה מלינובסקי: לפי מה ששמעתי, שרי המשפטים לדורותיהם לא היו מעוניינים בזה כל כך.

יוליה מלינובסקי: עכשיו שרת המשפטים איילת שקד סוף-סוף מתעניינת בנושא הזה, אז כנראה זאת הסיבה שזה על שולחננו.

יוליה מלינובסקי: אני חוזרת ואומרת שעד שהרשות הזאת תהיה כפי שהיא היום בחוסר סמכויות, בחוסר כוח אדם ובחוסר יכולת להתנהל אז אף תקנה לא תעזור כי צריך לאכוף אותן, והם כרגע לא יכולים.

יוליה מלינובסקי: לעצם התקנות – התקנות נבנו בדירוג גבוה, בינוני ונמוך.

יוליה מלינובסקי: מה שקשור לממשלה ולמגזר הציבורי צריך להיות בהגנה הכי גבוהה; מערכות גדולות זה בינוני; ועסקים קטנים זה ההגנה הקטנה שאפשר לעשות אותה - - - או - - - אני לא מסכימה עם החלוקה הזאת.

יוליה מלינובסקי: למשל, יש עמותות שמתעסקות עם אימוץ.

יוליה מלינובסקי: היה מקרה שדלפו לרשת אלף חמש מאות תיקים על אימוץ ילדים, וזה כביכול עמותה.

יוליה מלינובסקי: אז כביכול לפי ההגדרה הזאת זה ילך לפי הגנה נמוכה.

יוליה מלינובסקי: אבל זה מידע סופר-רגיש.

יוליה מלינובסקי: יהיה נכון לעשות את זה ברמת הרגישות כי יכול להיות שיש גוף קטן, אבל המידע שהוא מחזיק הוא רגיש מאוד עד ששם צריך סופר הגנה.

יוליה מלינובסקי: אז אני כבר חולקת על הבנייה של התקנות האלה.

יוליה מלינובסקי: צריך לשנות את זה.

יוליה מלינובסקי: אני יודעת שיש התנגדות מאוד חריפה של הבנקים ומערכות פיננסיות.

יוליה מלינובסקי: הם טוענים שהם יושבים תחת רגולציה של בנק ישראל, והם לא צריכים שום רגולציה אחרת.

יוליה מלינובסקי: גם על זה אני חולקת.

יוליה מלינובסקי: בנקים יודעים על המידע שלהם, אבל מה עם הלקוחות?

יוליה מלינובסקי: אני לא אספר פה חדשות – רק לפני שנתיים היה סיפור עם לאומי כארד שהמידע של המאגר דלף, אחר כך ניסו לסחוט את החברה.

יוליה מלינובסקי: לכן אני סבורה ובטוחה שזה צריך לחול על כל המשק בדגש על מערכות פיננסיות כי זה מידע סופר רגיש.

יוליה מלינובסקי: מה שחשוב לנו בחיים זה ילדים וכסף.

יוליה מלינובסקי: בגדול זה שני דברים שמאוד נוגעים בנו, וזה מידע שאנחנו לא רוצים שילך לשום מקום.

יוליה מלינובסקי: עוד שאלה ששאלתי את עצמי היא איך להתייחס למגזר מוניציפלי.

יוליה מלינובסקי: כי גם בעיריות ובמגזר המוניציפלי נמצא הרבה מידע.

יוליה מלינובסקי: האם זה ציבורי שזה בדירוג גבוה או זה עיריות?

יוליה מלינובסקי: מי יכול לענות לי על זה לפי הדירוג הזה?

יוליה מלינובסקי: אלה שאלות שעולות לי תוך כדי דיון.

יוליה מלינובסקי: אז שוב אני אומרת, לא ללכת לפי גודל.

יוליה מלינובסקי: יכול להיות שגם וגם.

יוליה מלינובסקי: אבל עם סייג לרגישות ששם זה יהיה משהו נקודתי-ספציפי.

יוליה מלינובסקי: אפרופו דיון מאגרי מידע וכמובן לחזק את הרשות – כפי שזה היום שום תקנה לא תעזור.

יוליה מלינובסקי: לגבי מאגרי מידע – אנחנו רואים את הקלות הבלתי נסבלת שבה זה דולף אפרופו מאגר ביומטרי שזאת בעיה בפני עצמה.

יוליה מלינובסקי: תודה רבה לך.

יוליה מלינובסקי: אני מאוד שמחה שזה כבר קורה, אבל אני לא חושבת שזה יקרה מאוד מהר כי שמעתי שחשבתם שהיום כבר יהיו הצבעות.

יוליה מלינובסקי: זה רחוק משם.

<איל זנדברג: לא באמת חשבנו.

הלשכה המשפטית: חברת הכנסת מלינובסקי, רק תשובה קצרה לשאלתך.

הלשכה המשפטית: רשות מקומית היא גוף ציבורי, לפי ההגדרה שבסעיף 23 לחוק.

אורי מקלב: אבל עמותה שמתעסקת באימוץ?

הלשכה המשפטית: אני לא מכיר אותה עד הסוף, אבל אם יש לה תפקיד סטטוטורי, והיא מוכרת על פי דין זה משהו אחד.

יוליה מלינובסקי: לא, לא.

יוליה מלינובסקי: אתה הבנת את הבעייתיות?

הלשכה המשפטית: רשות מקומית, לפי ההגדרה בסעיף 23, היא גוף ציבורי.

אורי מקלב: לא.

אורי מקלב: היא מדברת על עמותה.

יוליה מלינובסקי: רשות מקומית - -

אורי מקלב: היא שאלה גם על עמותה.

הלשכה המשפטית: זה תלוי בטיב העמותה.

הלשכה המשפטית: אם זאת עמותה שיש לה הכרה סטטוטורית, והיא ממלאת תפקיד סטטוטורי לפי דין היא תיחשב גוף ציבורי.

הלשכה המשפטית: אם לא זה גוף פרטי.

יוליה מלינובסקי: יש גם עמותות פרטיות שמתעסקות באימוץ.

יוליה מלינובסקי: אתה יודע את זה.

הלשכה המשפטית: בסדר גמור.

הלשכה המשפטית: זאת ההגדרה של גוף ציבורי בסעיף 23.

אורי מקלב: גם אין לה רישום גדול.

אורי מקלב: הרישומים שלה מאוד קטנים אבל מאוד רגישים.

יוליה מלינובסקי: תודה רבה.

זאב בנימין בגין: את רואה, חברת הכנסת מלינובסקי, שהדברים לוקחים זמן, אבל הם קורים.

זאב בנימין בגין: בהקשר זה כדי לנסוך אופטימיות אני מבקש להזכיר שההחלטה על מימוש רכבת חשמלית בירושלים נפלה ב-1907 בעירייה העותומנית של ירושלים.

זאב בנימין בגין: חלפו רק מאה שנים – ויש לנו רכבת, והיא אפילו מצוינת.

זאב בנימין בגין: אז מה זה חמש שנים?

זאב בנימין בגין: גם אם יתמהמה בוא יבוא.

זאב בנימין בגין: זה בכל זאת נותן לנו פרספקטיבה.

יוליה מלינובסקי: אתה אומר, חצי הכוס המלאה.

זאב בנימין בגין: אנחנו מתקדמים.

זאב בנימין בגין: הבעיה היא שהקצב של ההתפתחות, על פי חוק מוּר, הוא שקשה לנו להשיג את ההתפתחות של מזעור השבבים והעוצמה שלהם.

זאב בנימין בגין: אני אוסיף שאלות – אנחנו רואים כאן שילוב של הגדרה של מידת החומרה, מידת החשיבות או הרגישות של המאגר לבין בתוספת השנייה הגדרה של הגודל.

זאב בנימין בגין: ייתכן שחלק מהדיון הוא בשתי התוספות הן הגדרות הגודל והן הגדרות הרגישות.

זאב בנימין בגין: אם כי לגבי אימוץ, לדעתי, בתוספת השנייה 3(א) – מידע על צנעת חייו האישיים – זה כבר מכניס אותנו לבינונית.

זאב בנימין בגין: אבל יכול להיות שאפשר אף על פי שאנחנו לא רוצים לסבך מדי את הטבלאות ולהכניס הגדרות משנה.

זאב בנימין בגין: ודאי שאנחנו רואים שההגדרה בתוספת השנייה - -

הלשכה המשפטית: אם תשים לב במסמך שהנחתי על שולחן הוועדה, באמת אחת הסוגיות המרכזיות לדיון היא בין היתר שאלת הריבוד של סוגי המאגרים השונים, ומה בדיוק התמהיל בין ההיבטים השונים של סוג המידע, היקף הגורמים שעליהם - - - המערכת.

הלשכה המשפטית: יש פה תמהיל מסוים שהתקנות יצרו, שכדאי להסתכל עליו.

זאב בנימין בגין: לכן אני אומר, אנחנו עובדים בשיטה העשרונית, ולכן המספר של מאה אלף הוא הכי עגול שאפשר היה להגיע אליו, אבל לו עבדנו על בסיס 2 היינו מקבלים, כנראה, מספר אחר.

זאב בנימין בגין: אני רוצה לשאול שאלה שהיא מעבר לאלגברה.

זאב בנימין בגין: שאלנו שאלה כזאת בחוק השקיפות של העמותות.

זאב בנימין בגין: מציבים כלל, אבל אז כדאי לשאול במידה שאפשר לקבל תשובה, מי עומד מאחורי האלגברה; מי הם הארגונים שיש להם מאגר מידע שיש בו מידע על אודות מאה אלף אנשים ומעלה.

זאב בנימין בגין: אני מדבר על הגדולים, ולא על עשרות אלפי הארגונים הקטנים.

זאב בנימין בגין: על מי אנחנו מדברים?

זאב בנימין בגין: מידע רפואי – אנחנו מכירים כך וכך קופות חולים.

זאב בנימין בגין: אני יכול לנחש כולן בתוכו, אבל מי עוד?

זאב בנימין בגין: בתי חולים פרטיים, ארגונים אחרים – מי נשאר ברשת כשאני מפעיל את הנפה הזאת.

זאב בנימין בגין: אז אם אפשר לקבל יותר - -

אורי מקלב: "יד שרה", למשל.

זאב בנימין בגין: "יד שרה".

זאב בנימין בגין: מאה אחוז.

אורי מקלב: דוגמה לארגון - - -

זאב בנימין בגין: מצוין.

<איל זנדברג: זה בראש - - -

זאב בנימין בגין: אבל יהיה לנו מושג ממשי.

זאב בנימין בגין: זה אלגברה, מספרים כלליים.

זאב בנימין בגין: אז אולי אחד החברים יוכל לומר, רגע, כשאני רואה את הדבר הזה, אז יש לי עוד ארגון כמו "יד שרה" שייתכן שלא חשבנו עליו או נוהגים בו לחומרה, ולא כהלכה.

זאב בנימין בגין: אז אם אפשר לקבל על כך תשובה.

זאב בנימין בגין: לדעתי, אלון, לא קיבלתי תשובה לשאלה על מספר המאגרים הקטנים הביתיים.

זאב בנימין בגין: יכול להיות שאתם לא יודעים, אבל ההערכה צריכה להיות על מה מדובר כי זה נוגע ליכולת להנגיש את התקנות, ושנית לשאול את אותה שאלה, האם המאגרים האלה אכן חשובים.

זאב בנימין בגין: יכול להיות בעל חנות לצורכי חשמל שיש לו עשרת אלפים ואחד קליינטים – אני לא יודע להעריך אם הוא קרוב לפשיטת רגל או לא – אבל אני הייתי רוצה משהו יותר ממשי.

זאב בנימין בגין: רפי פרנקו מהרשות להגנת סייבר, בבקשה.

הלשכה המשפטית: אני רק אחדד את השאלה של חבר הכנסת בגין: האם אתם גם יודעים לומר כהשערה, לפחות, כמה מתוך המאגרים רשומים, כמה לא רשומים, כמה מתחת לרדאר שלכם, כמה אתם כן מכירים ולא רשומים.

הלשכה המשפטית: זאת אומרת האם יש לכם קנה מידה להעריך?

רויטל סויד: להעריך מי שלא נכנס?

הלשכה המשפטית: להעריך בכלל.

זאב בנימין בגין: להעריך בכלל כדי שנדע את היקף התופעה.

זאב בנימין בגין: מר פרנקו, הרשות להגנת הסייבר, בבקשה.

זאב בנימין בגין: אנא, האר את עינינו.

<רפאל פרנקו: בוקר טוב, גברתי היושבת-ראש, חברי הכנסת, הרשות הלאומית להגנת סייבר הוקמה השנה באפריל, ומי שקצת מכיר את הרשות, אז השלד הראשוני שלה הוקם וה-CERT כבר פועל בבאר-שבע.

<רפאל פרנקו: אנחנו כבר מקימים את המגזרים בממשל הישראלי, אותם מגזרים שינחו את היחידות המגזריות ודרכם, כמובן, לארגונים.

<רפאל פרנקו: למעשה, השלמנו את ההקמה.

<רפאל פרנקו: בתוך זה אנחנו כבר אחרי טיוטה ראשונה של תורת ההגנה הלאומית.

<רפאל פרנקו: תורת ההגנה הלאומית מסתכלת מרמת הממשל דרך תשתיות קריטיות – בנקים, פרטיות ועד האדם ברחוב ובביתו.

<רפאל פרנקו: כלומר היא מסתכלת על כל המכלול הזה.

<רפאל פרנקו: אלון אמר בהתחלה שאנחנו מדברים, והתורה שלנו מתכתבת עם התקנות, אבל חשוב לומר שהתורה רואה את כל המדינה מקצה לקצה.

<רפאל פרנקו: בהקשר הזה היא נתמכת, כמובן, באגף ה-CERT, האגף המודיעין ואגפי ההכוונה.

<רפאל פרנקו: מי שמחברי הכנסת לא ביקר עדיין ב-CERT הלאומי בבאר-שבע, כמובן מוזמן.

<רפאל פרנקו: הוא כבר עובד ופעיל ואפילו מבצעי.

<רפאל פרנקו: הוא חלק מתורת ההגנה הלאומית.

<רפאל פרנקו: לכן מבחינתנו התקנות מתואמות אתנו, והן גם לא סותרות את תורת ההגנה הלאומית.

<רפאל פרנקו: תורת ההגנה הלאומית אפילו יורדת לרמת ההנחיות, איך נכון להנחות את המשק הישראלי מארגון קטן לארגון בינוני וגדול.

<רפאל פרנקו: אחד העקרונות הוא שהארגון יכול להבין איפה הוא נמצא על רצף החשיבות שלו, הקריטריות שלו והתלות שלו במערכות סייבר.

<רפאל פרנקו: כלומר בנינו תהליך שלם שבו הארגון יכול להוביל את עצמו להערכה עצמית ולהבין עד כמה הוא חשוף לפעילות סייבר, ועד כמה הוא צריך להשקיע ואיפה הוא צריך להשקיע.

<רפאל פרנקו: מעין "מפת חום" בשפה שלנו ברמה המקצועית.

זאב בנימין בגין: זאת המלצה.

זאב בנימין בגין: כאן מדובר על תקנות.

זאב בנימין בגין: אם אני מבין נכון, אתה מדבר על המלצה.

זאב בנימין בגין: אתה מדבר על עצם המיפוי.

זאב בנימין בגין: אבל מדבריך לא מובן שמדובר בחיוב.

זאב בנימין בגין: החיוב אמור להגיע בתקנות.

<רפאל פרנקו: כשאנחנו מסתכלים על עולם הסייבר בתוכו יש תשתיות קריטיות, היבט כלכלי, חיי אדם, שירות חיוני לציבור, פרטיות וכולי.

<רפאל פרנקו: מתוך החלטת ממשלה כשהקמנו את הרשות ובתוכה תורת הסייבר הלאומית יש גם פרק הפרטיות שרואה עצמו ומתכתב עם התקנות האלה.

<רפאל פרנקו: הנושאים לא סותרים זה את זה, שזה מה שחשוב לי לומר היום.

רויטל סויד: התקנות האלה נעשו בשיתוף פעולה איתכם ומקובלות עליכם בכול?

<רפאל פרנקו: חיובי.

רויטל סויד: עוד משהו?

אורי מקלב: הפעילות שלכם גם מול גופים פרטיים מסחריים?

<רפאל פרנקו: חיובי.

אורי מקלב: אבל במעורבות קלה מאוד.

<רפאל פרנקו: ברמת המגזר.

<רפאל פרנקו: אם נסתכל על מגזר האנרגיה שמנחה תחנות כוח פרטיות הוא יונק את עצמו מתורת ההגנה הלאומית עד לרמת תחנת הכוח הפרטית.

אורי מקלב: אבל אנחנו לא מדברים על רמת מסחר כמו בנקים שהם איברים חיוניים.

אורי מקלב: אנחנו מדברים על רמה של רשתות שיווק או מועדוני חברים.

<רפאל פרנקו: חיובי.

<רפאל פרנקו: על מפת חום הם מן הסתם יקבלו הרבה פחות - -

יוליה מלינובסקי: אני לא מבינה - - -

רויטל סויד: הוא עונה לאורי.

<רפאל פרנקו: כשאנחנו מסתכלים על ארגון קטן כמו שאמרת אנחנו קודם כול נותנים לו את הכלים לעשות הערכה עצמית איפה הוא נמצא על עולמות התוכן שלו, ולפי זה הוא יראה איפה הוא נופל במפת חום, ויקבל הנחיות מפורטות כדי לעזור לעצמו לשפר את המוכנות שלו נגד התקפות סייבר.

<רפאל פרנקו: כמובן, פרטיות זה אחד המנעדים שאנחנו מטפלים בהם בתוך כל מה שאמרתי.

זאב בנימין בגין: בעניין הדרכה והנגשה ברורה חלוקת העבודה – מי מדריך, מי מנגיש, מי אחראי.

זאב בנימין בגין: יכול להיות שכפילות היא טובה מבחינת redundancy, אבל יכול להיות גם שזה יהיה שימוש לא יעיל במשאבים.

זאב בנימין בגין: אז ברור מי עושה מה.

רויטל סויד: זה לא ברור שזה אתם?

רויטל סויד: רמו"ט?

<אלון בכר: בתקנות הגנת הפרטיות זה ברור שזה רמו"ט.

רויטל סויד: אתם מגבים זה את זה אבל הרגולציה היא שלכם.

אורי מקלב: גברתי היושבת-ראש, אני מציע להציף את הנושא כי כמו שאני מכיר מערכות ציבוריות וממשלתיות כאן הם מראים שהכול בסדר, אבל בפנים אנחנו מגלים שיש כל מיני חילוקי דעות.

אורי מקלב: חשוב שאנחנו נחשוף את הדברים האלה בלי שאני יודע.

<אלון בכר: אני לא רוצה להרוס את התדמית השלילית של הממשלה אבל גם בחדרי חדרים אנחנו מתואמים ורואים עין בעין.

רויטל סויד: וזה אמר לך חבר קואליציה.

אורי מקלב: גם כשהייתי באופוזיציה זה היה.

אורי מקלב: זה עובר - -

יוליה מלינובסקי: - - -

רויטל סויד: רק רגע, יוליה.

רויטל סויד: רפי, אתה רוצה להשלים את הדברים שלך?

<רפאל פרנקו: אנחנו מתואמים, וחשוב לי לומר שבהקשר הזה איך נוציא את זה החוצה ככל שניתן – כי אין רק פרטיות בסייבר, יש גם פרטיות מחוץ לסייבר.

<רפאל פרנקו: ככל שזה פרטיות בסייבר אנחנו נוביל את העולם הזה בתיאום מסודר.

<רפאל פרנקו: ככל שהפרטיות היא לא בסייבר, כמובן, שם אין לנו אמירה.

<רפאל פרנקו: חשוב להגיד שלא כל הפרטיות נמצאת בעולם הסייבר אף על פי שהוא חלק גדול.

אורי מקלב: מה צריך לעשות זה באמת לא ה-say שלהם.

זאב בנימין בגין: הוא מדבר על הדרכה.

רויטל סויד: יוליה, רצית לשאול שאלה לפני שנעבור לאורית.

יוליה מלינובסקי: אתה אמרת שעסק או גוף כזה או אחר יכול לפנות אליכם.

<רפאל פרנקו: נכון, כבר היום.

יוליה מלינובסקי: זה בתשלום?

<רפאל פרנקו: לא.

יוליה מלינובסקי: כבוד היושבת-ראש, כשלא היית פה דיברנו על עמותת אימוץ.

יוליה מלינובסקי: במקרה כזה העמותה פונה, ואתם נותנים הנחיות או המלצות, ואז לפי ההמלצות שלכם אתם יודעים להגיד באיזו רמה אני נמצאת?

יוליה מלינובסקי: איך זה עובד ביחד טכנית?

<איל זנדברג: - - - לפי התקנות עצמן.

<איל זנדברג: התקנות מגדירות מה הקריטריון - -

יוליה מלינובסקי: האם ההנחיות שלו יחייבו את רמת - -

<איל זנדברג: ההנחיה היא לא שיוך לאיזו קטגוריה, אלא מה הפעולות הדרושות.

רויטל סויד: הנחיה על היישום.

<איל זנדברג: היישום.

<איל זנדברג: השאלה, מאגר מסוים להיכן הוא נופל היא שאלה, שלדעתנו, מפורטת בתקנות עצמן.

רויטל סויד: מכיוון שעלתה גם מחבר הכנסת מקלב וגם מחברת הכנסת מלינובסקי תחושה לא נוחה במקום הזה, ההנחיות תהיינה הנחיות משותפות גם של רמו"ט וגם שלכם?

רויטל סויד: והרגולציה תהיה רק של רמו"ט?

<אלון בכר: אני אנסה להבהיר ולעשות סדר.

<אלון בכר: אנחנו מדברים היום על תקנות הגנת הפרטיות שעוסקות באבטחת מידע אישי.

<אלון בכר: זאת שכבה אחת של מידע מעוד הרבה שכבות של מידע ומערכות דיגיטליות שלא קשורות רק למידע שהרשות הלאומית להגנה מגנה עליהן ותטפל בהן.

<אלון בכר: מה שחשוב לשים על השולחן כרגע זה העובדה שאנחנו בחנו האם תורת ההגנה שנכתבת ותקנות הגנת הפרטיות (אבטחת מידע) – האם יש ביניהן סתירה?

<אלון בכר: האם אנחנו אומרים פה משהו שהם אחר כך יגידו אחרת או האם הם ינחו משהו שיסתור את התקנות שלנו?

<אלון בכר: התשובה היא לא.

<אלון בכר: אין כזה דבר.

<אלון בכר: מי יפעיל את התקנות הללו?

<אלון בכר: רמו"ט.

<אלון בכר: זה תקנות לפי חוק הגנת הפרטיות, הן עוסקות בפרטיות, והרשות להגנת הפרטיות תאכוף אותן.

<אלון בכר: האם יהיו שיתופי פעולה?

<אלון בכר: בוודאי.

<אלון בכר: יש כבר עכשיו, ואני מניח שיהיו יותר ויותר.

<אלון בכר: לכולם ברור שכשמישהו מקבל מעטפת הגנת סייבר אז כל המערכת שלו מוגנת יותר.

<אלון בכר: פה יש הדגשים שקשורים למידע אישי ולמה שקורה עם מידע אישי.

<אלון בכר: זה רק חלק מתוך המערכות שבהן מדובר.

<אלון בכר: נגיד ככה – רמו"ט לא מספיק גדולה כדי לעשות דברים שמישהו אחר יעשה, ואף אחד מאתנו לא ירצה לעשות דברים לא בכפילות ולא בסתירה.

<אלון בכר: בסתירה אנחנו מוודאים שאין; בכפילות, בוודאי, נוודא שגם לא יהיה.

<אלון בכר: ההנגשה של הדבר הזה, ההסברה של זה, האחריות לכך שהציבור והגורמים הרלוונטיים יבינו מה כתוב, ויידעו מה צריך לעשות הן אחריות שלנו.

<אלון בכר: אנחנו צריכים גם לאכוף את זה וליישם את זה אחר כך.

<אלון בכר: האם אנחנו נעבוד בשיתוף פעולה, והאם נעשה שימוש במכפילי הכוח בזה שיש עוד גוף שעוסק בתחומים משיקים ויימצא בגופים?

<אלון בכר: התשובה היא כן.

<אלון בכר: אנחנו יושבים ביחד, אנחנו נפגשים על בסיס קבוע - -

אורי מקלב: אתם תשאבו את המידע המקצועי מהם.

<אלון בכר: אבל זה לא רק הם.

רויטל סויד: מה זאת אומרת?

רויטל סויד: המידע המקצועי יהיה שם?

רויטל סויד: לא.

יוליה מלינובסקי: כן.

<אלון בכר: לא.

<אלון בכר: ממש לא.

אורי מקלב: אבל הם הגוף המקצועי - - - במעלה הראשונה במדינה.

<אלון בכר: זה שני דברים שונים.

רויטל סויד: אני לא יודעת מה פספסתי פה, אבל נוצרה כאן אי בהירות.

רויטל סויד: אז תחדדו.

<אלון בכר: הרי יש עוד גופים שעוסקים ומעבירים הנחיות לגופים.

<אלון בכר: גם משרד הבריאות מעביר הנחיות לבתי חולים.

אורי מקלב: אבל הוא נבחר כרשות להגנת הסייבר שהוא הגוף המקצועי שמוביל הכול ומרכז הכול - -

יוליה מלינובסקי: אולי תחזור לחדד את הנושא.

אורי מקלב: את המידע המקצועי אתה שואב ממנו או לך יש המידע המקצועי המקסימלי?

אורי מקלב: הרי הגנה על מידע זה משהו מקצועי.

רויטל סויד: אלון, תענו.

רויטל סויד: אצל מי נמצא המידע?

<אלון בכר: אנחנו ממוקצעים בזה כבר כעת.

<אלון בכר: לא חיכינו לתקנות.

אורי מקלב: אם אתה דורש רק מהגוף שאתה מכריע עליו שצריך לעשות הגנה על המידע, ואתה לא מנחה אותו ולא מפקח עליו בעניין הזה זה דבר אחד.

אורי מקלב: אתה צריך לעשות את ההגה המקסימלית על המידע.

אורי מקלב: אתה אוגר מידע, ואתה צריך גם לומר איך אתה משתמש בו, איך אתה צריך לדעת לא להעביר אותו הלאה, וגם איך להגן עליו מפני זרים או אחרים שייכנסו אליו, בין גופים מסחריים ובין גופים אחרים.

אורי מקלב: מי שיודע לקחת את הכלים המקצועיים – כי בסך הכול לגוף קטן אין.

אורי מקלב: המדינה יודעת היום שהיא צריכה לתת מעטפת כללית על כולם – על דברים חיוניים יותר וחיוניים פחות.

אורי מקלב: מי שנמצא פה יש לו חשש שהוא נמצא במלחמה בעניין הזה, ויכול להיפגע.

אורי מקלב: לכן הגוף המקצועי הוא מנחה ופועל.

אורי מקלב: אז אם בחלק הזה אתם מפנים אליהם זאת אפשרות אחת.

אורי מקלב: אתה חייב להגן על המידע בצורה מקסימלית - -

יוליה מלינובסקי: תקבל שם ייעוץ ועל סמך זה נקבע.

אורי מקלב: - - אתה יכול ללכת לרשות ולקבל ייעוץ פרטי כדי לעשות את זה; או שיש לך גם הנחיות מקצועיות.

אורי מקלב: אתה שואב את המקצועיות וגם מפקח על זה בסוף.

אורי מקלב: הרי מי יעשה את הפיקוח?

<אלון בכר: אנחנו.

<אלון בכר: אם הדאגה היא לקואורדינציה בין גופי הממשלה אז דווקא בין שני הגופים האלה לא צריכה להיות דאגה.

<אלון בכר: אנחנו מתואמים.

יוליה מלינובסקי: זה היום.

יוליה מלינובסקי: מחר לך תדע מה יהיה.

<אלון בכר: אבל זה נכון לכל דבר בכל עניין.

<אלון בכר: אני רק רוצה לעשות סדר כדי שנדבר באותה שפה.

<אלון בכר: רמו"ט קיימת למעלה מעשר שנים, ועוסקת באבטחת מידע אישי ואבטחת מידע פרטי בכל תקופת פעילותה.

<אלון בכר: היא עושה את זה על בסיס יומיומי, ולא חיכתה לתקנות לעשות את זה.

<אלון בכר: יש לה הידע, יש לה האנשים, יש לה הסמכויות, ויש לה המפקחים.

<אלון בכר: היא לא תפסיק לעשות את זה, היא רק תעשה את זה יותר בהמשך.

<אלון בכר: הידע קיים, הסמכויות קיימות, הפעילות קיימת.

<אלון בכר: עכשיו אתה שואל שאלה אחרת – יש עוד גופים שעוסקים בכל מיני דברים.

<אלון בכר: אז נעזוב רגע את הרשות לסייבר כי זה פתאום מבלבל בגלל המינוחים ולא בגלל המהות.

<אלון בכר: יש עוד גופים שמנחים גורמים לעשות כל מיני דברים, וגם שם אנחנו עובדים בתיאום איתם.

<אלון בכר: כך הממשלה עובדת.

<אלון בכר: ככה זה כשיש רגולציה מגזרית – יש רגולציה על מערכת בריאות, יש רגולציה על מערכת פיננסית, יש רגולציה על הרבה מאוד מערכות, ויש רגולציה ממשלתית פנימית על משרדי הממשלה.

<אלון בכר: אנחנו כגוף שאמור לאכוף משהו מסוים ספציפי עם מומחיות ואחריות שלנו מתואמים בעניין הזה עם הגופים האחרים שעושים רגולציה מגזרית.

זאב בנימין בגין: יש ועדת מנהלים שמתכנסת?

רויטל סויד: הרשם הוא שלהם.

רויטל סויד: כשנעבור על החוק נראה את הדברים האלה.

<אלון בכר: אין ועדת מנהלים.

<אלון בכר: בכל הפעלה של כל סמכות רגולטורית של מישהו אתה אומר, איך זה מתואם?

<אלון בכר: אתה מתאם.

<אלון בכר: התקנות שבהן אנחנו דנים כרגע נידונו עם כל הגורמים הרלוונטיים.

<אלון בכר: בצורה מאוד מעמיקה הובהר שמה שכתוב בהן תואם את הרגולציה האחרת, ואיפה שצריך לעשות רגולציה הם יעשו.

אורי מקלב: - - - הרשות להגנת סייבר או לא?

רויטל סויד: מי אחראי עליכם?

רויטל סויד: מי אחראי על המידע שיש אצלכם?

<אלון בכר: אנחנו רשות של משרד המשפטים.

<אלון בכר: שרת המשפטים אחראית עלינו.

אורי מקלב: אבל הרשות להגנת הסייבר לא אחראית היום על כל משרדי הממשלה?

<אלון בכר: באיזה מובן אחראית?

אורי מקלב: היא הגוף המנחה היום.

<אלון בכר: היא מנחה את הגנת הסייבר של כל המדינה.

רויטל סויד: אוקיי, הנקודה הזאת מוצתה.

<אלון בכר: אני מקווה שהצלחתי להבהיר.

רויטל סויד: לא כל כך.

רויטל סויד: אבל נחזור לזה עוד בהמשך.

אורי מקלב: בהמשך נחדד את זה.

זאב בנימין בגין: אתה השתדלת, הבעיה היא כאן.

זאב בנימין בגין: אתה עשית כמיטב יכולתך.

זאב בנימין בגין: הבעיה היא אצלנו.

רויטל סויד: אורית פודמסקי, המועצה להגנת הפרטיות, בבקשה.

<אורית פודמסקי: שלום לכולם.

<אורית פודמסקי: אני אציג בקצרה את המועצה בפני הוועדה הזאת בהרכב הנוכחי.

<אורית פודמסקי: פה אנחנו נמצאים לראשונה.

<אורית פודמסקי: היינו כבר אצל חבר הכנסת מקלב בוועדת המדע בשני עניינים לאחרונה.

<אורית פודמסקי: המועצה הציבורית ממונה על-ידי שר המשפטים, אבל היא מועצה עצמאית.

<אורית פודמסקי: היא לא כפופה ואין לה סמכויות מוגבלות.

<אורית פודמסקי: ככלל היא מועצה מייעצת גם לשרת המשפטים וגם לכנסת בהקשרים של החקיקה שנוגעים בנושא הפרטיות.

<אורית פודמסקי: בוועדה הזאת יש חברים גם מתחום האקדמיה וגם מהעולם הפרטי בתחום המשפט ובתחומים טכנולוגיים.

<אורית פודמסקי: אנחנו משתדלים להתייחס ככל הניתן לכמה שיותר נושאים שיש להם ממשקים עם הגנת הפרטיות.

<אורית פודמסקי: היום להרבה דברי חקיקה יש קשרים של הגנת הפרטיות.

<אורית פודמסקי: אנחנו נמצאים פה כדי לתמוך באופן מאוד נחרץ בצורך המידי בהתקנת תקנות האלה.

<אורית פודמסקי: הן שוכבות על המדף הרבה זמן.

<אורית פודמסקי: ברור שאולי יש עוד ניואנסים שצריך לטפל בהם.

<אורית פודמסקי: אבל ככלל אנחנו נמצאים בדיוק בסיטואציה של האויב של הטוב מאוד הוא המצוין, שבע שנים.

<אורית פודמסקי: העולם הזה מתקדם בקצב מאוד מהיר.

<אורית פודמסקי: אנחנו חשופים כל הזמן, והחשיפה שלנו הולכת וגדלה ככל שאנחנו לא מתאימים את עצמנו.

רויטל סויד: את החשיבות אנחנו מבינים, וגם את העובדה שהגיעה העת שהתקנות יותקנו.

רויטל סויד: אולי תגידי מה הניואנסים שאת חושבת שצריך לשים עליהם דגש כדי שנוכל לדעת לאן להתכוונן.

<אורית פודמסקי: באופן ארגוני אנחנו תומכים בתקנות כמו שהן.

<אורית פודמסקי: נמצא אתי פה חברי מהמועצה עורך דין דן אור-חוף.

<אורית פודמסקי: הוא אולי יתייחס ספציפית לנקודות.

<אורית פודמסקי: העיקרון שבאנו להמחיש פה הוא הצורך שלנו לתמוך בתקנות ועכשיו.

רויטל סויד: בבקשה, עורך דין אור-חוף.

רויטל סויד: אם תוכל לומר לנו בקצרה מה הנקודות שאתם חושבים שאנחנו צריכים לשים עליהן את הדגש בוועדה.

יוליה מלינובסקי: לפחות הם לא מסכימים.

יוליה מלינובסקי: זה מה שמעניין.

יוליה מלינובסקי: אתם מסכימים, זה מצוין.

<אורית פודמסקי: זה לא טריוויאלי.

<אורית פודמסקי: בגלל העצמאות שלנו יש דברי חקיקה שאנחנו ממש לא מסכימים עליהן.

<דן אור-חוף: כשאנחנו מתנגדים לדברים שהם עושים אנחנו יודעים לומר להם את זה וגם למשרד המשפטים.

<דן אור-חוף: תודה על הדיון הזה.

<דן אור-חוף: בקצרה אני אומר רק כדי לדעת איפה אנחנו עומדים – סעיף 13 לתקנות הקיימות מדבר על הצורך ב"בירור מידע של סרטים ותקליטונים לקלידת נתונים שנקלטו במערכת" – ציטוט מתוך התקנות.

<דן אור-חוף: אלה התקנות שאמורות נכון להיום להכווין התנהגות של השוק המודרני בישראל ב-2017.

<דן אור-חוף: זה המצב שאנחנו חיים אתו.

<דן אור-חוף: אני בא מתוך השוק הפרטי, ואני עובד עם השוק הפרטי, ואני יודע עד כמה המצב הרגולטורי היום איננו מסוגל להכווין באמת התנהגות.

<דן אור-חוף: אנחנו חייבים ליישר קו עם העולם ועם הוראות שיידעו להכווין התנהגות בצורה נכונה.

רויטל סויד: מה אתה מציע?

<דן אור-חוף: הוראות כדוגמת הצורך בהצפנה, הוראות שנוגעות לדיווח על אירועי אבטחה לרגולטור כדי שיהיה שיתוף מידע ושאפשר יהיה לדעת על התקיימות של אירועים מהסוג הזה – דברים שלא קורים כאן בארץ.

<דן אור-חוף: אלה דברים שנמצאים היום בתקנות.

<דן אור-חוף: אנחנו בהחלט מביעים את התמיכה שלנו בתקנות.

<דן אור-חוף: אנחנו חושבים שבשלב הזה של הדיון יש שתי נקודות שצריך לשים עליהן את הדגש ברמה העקרונית: א', צריכה להיות תקופת התאקלמות לתקנות הללו, במיוחד לעסקים הקטינים והבינוניים.

<דן אור-חוף: העסקים הגדולים, את רובם ככולן של ההוראות הם עושים ממילא - -

רויטל סויד: מה אתם מציעים?

<דן אור-חוף: תקופה של לפחות חצי שנה של התאקלמות.

רויטל סויד: והנקודה השנייה?

<דן אור-חוף: הנושא השני שבוודאי צריך לעשות, ואולי הוא לא מצא ביטוי בתקנות זה לבטל את ההוראות של התקנות הקיימות בנושא של אבטחת מידע כדי שלא יהיה כפל של הוראות באותו נושא.

רויטל סויד: תודה רבה.

רויטל סויד: עורך דין ליאב שפירא, נציג לשכת עורכי הדין, בבקשה.

<ליאב שפירא: אני שותף במשרד דן חי.

<ליאב שפירא: אנחנו מייצגים את ועדת הגנת הפרטיות בלשכת עורכי הדין.

<ליאב שפירא: אני לא אחזור על הרבה דברים שנאמרו פה, אלא רק על שלושה עניינים עיקריים שאני רוצה להדגיש: קודם כול התקנות מאוד מבורכות וראויות, ואנחנו כמובן תומכים בהן.

<ליאב שפירא: עניין שאני רוצה להדגיש, ועורך דין בכר גם הזכיר קודם – התקנות לא קובעות מענה שלא קיים כבר בחוק.

<ליאב שפירא: זה הסדרים מקיפים ומשלימים חובות שנקבעו זה מכבר בנוגע למאגרי מידע והחשיבות הגוברת לאבטחתן.

<ליאב שפירא: זה לעומת האופן שהיה מעט עמום במה שקיים היום, וזה שני סעיפים מאוד לקוניים.

<ליאב שפירא: אנחנו אכן חושבים שראוי מאוד לצקת יותר תוכן בחלק מהתקנות כי חלקן מאוד כלליות.

<ליאב שפירא: למשל, פירוט ההכשרה הנדרשת לאבטחת מידע, קורסים מסוימים שצריך לעבור, הכשרה אקדמית מסוימת; גיבוי מידע – צריכות להיות דרישות הרבה יותר ספציפיות.

<ליאב שפירא: למשל, מקום הגיבוי, אופן הגיבוי וכל מיני עניינים נוספים שזה לא השלב לדון בהם, אני מניח.

<ליאב שפירא: עניין אחרון שכדאי להדגיש – לדעתי, התקנות נותנות הרבה יותר כלים בידי הרגולטור שזה רמו"ט, ומאפשר לה למלא את התפקיד שלה באופן הרבה יותר יעיל בסופו של דבר כדי להגן על הפרטיות של כולנו.

רויטל סויד: תודה רבה.

רויטל סויד: איציק כוכב, מנהל הגנת הפרטיות, שירותי בריאות כללית, בבקשה.

<איציק כוכב: תודה רבה, גברתי וחברי הכנסת, גם מפאת שיער השיבה שלי ושל שוקי פרייס שנמצא פה אנחנו אנשי העשייה בשטח.

<איציק כוכב: אנחנו עוסקים בנושא כארבעה עשורים.

<איציק כוכב: אני האיש המבצע את אבטחת המידע.

<איציק כוכב: כידוע לכם, שירותי בריאות כללית, מבטחת 4.4 מיליון תושבי מדינת ישראל וגם נותנת שירותים בבתי החולים שלה לקופות אחרות.

<איציק כוכב: לכן יש אצלי הרבה מאוד מידע של בני אדם.

<איציק כוכב: אישית אני חושב שהפרטיות זאת קליפת הגנה משמעותית ביותר בהישרדותו של האדם.

<איציק כוכב: חייבים להפנים את העניין הזה כי אנחנו נמצאים בתקופה מאוד פרובלמטית; אנחנו נמצאים בתקופה שבעידן האינטרנט האגרסיבי כל כך הפרטיות שלנו כמעט נעלמת.

<איציק כוכב: בכניסה של האינטרנט של הדברים לחיינו המצב הרבה יותר קשה.

<איציק כוכב: לכן, לדעתי, יש מקום להדק את החוקים ואת התקנות ולעדכן אותם בהתאם לאיומים ברציפות, אפילו פעם בשנה או בשנתיים עד כדי התאמתם לתקנות אירופיות – GTPR.

<איציק כוכב: אנחנו צריכים להיות, לדעתי, במקום אחר.

<איציק כוכב: המצב של פרטיות האדם במדינת ישראל הוא קשה, לעניות דעתי.

<איציק כוכב: בסולם מ-1 עד 10 אנחנו אולי ב-5, אני לא בטוח.

<איציק כוכב: אני גם מפנה את תשומת לבכם ששירותי בריאות כללית היא הגורם היחיד שחרת על דגלו שאבטחת המידע תהיה קודם כול מנקודת מבט של פרטיות, ולכן אני היחיד במשק שנקרא "הממונה על הגנת הפרטיות והסייבר".

רויטל סויד: יש לי שאלה לאור הניסיון שיש לכם והמידע הרגיש שאתם מחזיקים בשירותי בריאות כללית.

רויטל סויד: כשאתה רואה את התקנות האלה עכשיו, ואתה קורא אותן לאור ארבעים שנות ניסיון אצלכם – אני באמת לא יודעת למי יש עוד מידע רגיש על אדם חוץ מבנקים ושירותי ביטחון – אתם חושבים שהתקנות האלה באמת מספקות?

רויטל סויד: יש דברים נוספים שאתם חושבים שאתם עושים היום או שצריך פחות או יותר?

<איציק כוכב: אנחנו משתדלים להיצמד לכל דרישות החוק ותקנות והוראות משרד הבריאות.

<איציק כוכב: אנחנו משקיעים בזה הרבה מאוד מאמץ.

<איציק כוכב: אבל, לשאלתך, התקנות האלה הן במקום, אבל אני אומר ברשותך שהן מאוחר מדי.

<איציק כוכב: הן היו צריכות להיות הרבה יותר מוקדם כאן.

<איציק כוכב: בחלק מהדברים צריך להדק אותן.

<איציק כוכב: אני אגיד לחלק מהאנשים שדיברו כאן מה זה מידע רגיש לעומת מידע כמותי שצריכים לדעת שרופא עצמאי פרטי גניקולוג, שיש לו שלוש מאות מטופלות, יש אצלו מידע רגיש ביותר שצריך לקבל תשומת לב עם הצפנה.

<איציק כוכב: צריך להתייחס אליו בכובד ראש, ולא להתייחס למידע כמותי, אלא לרגישות המידע.

אורי מקלב: - - - מידע מוגן גם אם לא - - -

<איציק כוכב: בוודאי.

<איציק כוכב: אני אגיד על זה משהו.

<איציק כוכב: התעשייה דוחפת חזק מאוד להעביר הרבה מידע לשירותי ענן, ביניהם שירותי ענן בינלאומיים.

<איציק כוכב: בכל מה שקשור למידע רגיש של תושבי מדינת ישראל אסור לנו להיות שם.

<איציק כוכב: ברגע שהמידע הזה ייצא לענן יהיה לנו מאוד קשה לעשות אבטחת מידע, וצריך להתייחס לזה.

רויטל סויד: אתה נגד?

<איציק כוכב: אני נגד מידע רפואי מזוהה בשירותי ענן.

<איציק כוכב: לדעתי, זאת בעיה.

<איציק כוכב: דבר נוסף שאני רוצה להגיד, גברתי, ארגונים או אפילו התקנות או רשות הסייבר שעושה עבודה יוצאת מגדר הרגיל, צריכה לחשוב על אפשרות שמידע רגיש שנחליט עליו שהוא רגיש לא יהיה מידע שמחובר לאינטרנט.

<איציק כוכב: אני מגדיר אותו כרשת אדומה.

<איציק כוכב: אנחנו צריכים להגיד את זה בקול רם כי היום הכול מחובר לסייבר; גם ציוד ומכשור רפואי מחובר לסייבר, גם דפיברילטור שנמצא בתוך קוצב לב מחובר לסייבר – הרבה מאוד מידע מחובר לסייבר, וצריך להתחיל להפריד אותו.

<איציק כוכב: למה חשובות התקנות?

<איציק כוכב: מנהלים במשק, קשה להם להקצות תקציבים לאבטחת מידע ובעיקר בגלל היעדר הבנה של הנושא, וגם הם אומרים לעצמם – לי זה לא יקרה.

זאב בנימין בגין: נכון.

<איציק כוכב: אני חושב שהתקנות האלה יחייבו את המנהלים להקצות משאבים לאבטחת מידע.

<איציק כוכב: אבטחת מידע והגנת מידע הם חלק אינטגרלי מכל תהליך שיש בו מידע של בני אדם.

<איציק כוכב: תודה רבה.

אורי מקלב: האם אתה מדווחים לציבור על ניסיונות של פריצות או פריצות שהתממשו במערכות שלכם?

<איציק כוכב: אני בדעה שבתחום הגנת הפרטיות הכול צריך להיות שקוף.

<איציק כוכב: לכן אם יש פריצה או קורית תקלה אנחנו מדווחים אותה ישירות לרמו"ט ולמשרד הבריאות.

אורי מקלב: האם אתם מדווחים לציבור?

<איציק כוכב: מכיוון שלא הייתה פריצה למאגר המידע שלי אז לא דיווחתי עדיין לציבור כלום.

זאב בנימין בגין: לא שאתה יודע, זאת אומרת.

יוליה מלינובסקי: כבוד היושבת-ראש, אני רוצה שישימו לב שהתפקיד של האדון - -

אורי מקלב: קופת חולים כללית.

אורי מקלב: הוא לא משרד הבריאות.

רויטל סויד: ממונה על הגנת הפרטיות.

יוליה מלינובסקי: והסייבר.

יוליה מלינובסקי: הדיון הקודם שהיה על הוויכוח הקודם זה בדיוק התשובה.

יוליה מלינובסקי: הגנת הפרטיות היום לא יכולה להיות בלי סייבר.

יוליה מלינובסקי: זאת הגדרה מצוינת.

<איציק כוכב: בעיניים שלי כאיש ביצוע, רמו"ט בעיני קובעים כיצד להגן על הפרטיות, ורשות הסייבר ומדע הסייבר אומרים למדינה איך לעשות את זה.

<איציק כוכב: כי זה לא פשוט, זה מורכב מרבדים שלמים של עשייה – חינוך וטכנולוגיה ומה יותר חשוב ומה פחות חשוב.

<איציק כוכב: לכן, לדעתי, הם צריכים לעבוד בסינרגיה מלאה.

רויטל סויד: תודה רבה, איציק.

רויטל סויד: עורכת הדין טליה אגמון ממשרד הבריאות.

רויטל סויד: אחר כך עורך הדין יהונתן קלינגר מהתנועה לזכויות דיגיטליות.

<טליה אגמון: תודה רבה.

<טליה אגמון: אני אקצר, כי אני לא רוצה לחזור יותר מדי על דברים שנאמרו.

<טליה אגמון: משרד הבריאות העביר הערות לטיוטות הראשונות של התקנות.

<טליה אגמון: חלקן התקבלו, וחלקן לדעתנו לא התקבלו שלא בצדק.

<טליה אגמון: אחת מהן היא הסוגיה של החלוקה של רמות האבטחה.

<טליה אגמון: ברור בוודאי שכל מערכת הבריאות מחזיקה מידע רגיש, והמידע במערכת הבריאות הוא במינימום רגיש, אבל התקנות האלה לא מייצרות מדרג פנימי בתוך המידע הרגיש שלדעתנו, הוא רלוונטי.

<טליה אגמון: זאת אומרת החיתוך הוא לפי מספר האנשים שעליהם המידע או מספר הניגשים למידע ולא מידת הרגישות של המידע.

<טליה אגמון: אנחנו מבחינים בתוך מערכת הבריאות בין מידע רפואי שגרתי שהוא, בלי ספק, רגיש לבין מידע עוד יותר רגיש כמו מידע על הפסקות היריון, מידע על גנטיקה, מידע על פסיכיאטריה – דברים מסוימים שנחשבים רגישים יותר בעיני הציבור.

<טליה אגמון: אנחנו לא רואים את המדרג הפנימי הזה בתוך התקנות האלה, וזה חבל.

<טליה אגמון: זה מתקשר למה שאמר מר כוכב בעניין הצורך להקדיש משאבים להגנה נוספת.

<טליה אגמון: אז אם יש דרישות של תקנות שהן דרישות מינימום, לדעתנו, בסיטואציה הזאת הם יהפכו להיות גם המקסימום.

<טליה אגמון: זאת אומרת יהיה מאוד קשה לדרוש להוסיף עליהם על דברים שאנחנו כמערכת בריאות חושבים שהם יותר רגישים אם זה לא מתחייב מכוח התקנות.

<טליה אגמון: לכן אנחנו חושבים שצריכה להיות חשיבה נוספת על המדרג ועל ההיררכיה של רמת ההגנה.

זאב בנימין בגין: יש לכם הצעה?

<טליה אגמון: יש לנו עמדה בנושא הזה.

<טליה אגמון: העברנו אותה.

<טליה אגמון: יש לנו התייחסות - -

רויטל סויד: תאמרי אותה בקצרה.

<איל זנדברג: חבר הכנסת מקלב יכול להיות מרוצה.

<איל זנדברג: הנה, הממשלה לא מדברת בקול אחד.

<איל זנדברג: אף על פי שהיא אמרה אז הנה, החזון - -

<טליה אגמון: אנחנו חושבים שהחלוקה בין נמוכה, בינונית, גבוהה – בתוך מה שהוכנס לגבוהה יש מקום לעשות הפרדה.

<טליה אגמון: יש מידע רפואי על הרבה מאוד אנשים בדרגה המינימלית של הפרטיות: זימון תורים למרפאה - -

זאב בנימין בגין: לא, סליחה, זה לא בגבוהה.

זאב בנימין בגין: לפי הבנתי, המעבר בין הבינוני לגבוהה הוא המעבר הכמותי.

<טליה אגמון: נכון.

זאב בנימין בגין: אבל השאלה של המדרג האיכותי היא בדרגה בינונית.

<טליה אגמון: הבסיס הוא למשל שהמידע הוא רפואי.

<טליה אגמון: אז אם הוא על מאה אלף איש או שיש יותר ממאה אנשים שיכולים לגשת למידע הוא הופך להיות ברמת אבטחה גבוהה.

<טליה אגמון: אבל יש מידע רפואי שהוא - -

<גילי בסמן ריינגולד: זה לא רמת אבטחה, זה - - - יש עוד חובות שחלות על הרמה הגבוהה.

<גילי בסמן ריינגולד: האבטחה לא שונה בין הרמה הבינונית לרמה הגבוהה.

<טליה אגמון: ברור.

רויטל סויד: ואם כבר אתם מאבטחים את המאגר על המידע הרפואי מה זה משנה כבר זימון תורים?

רויטל סויד: זה כבר ממילא אותה אבטחה לכל המאגר.

<איציק כוכב: המאגר הוא לא אחד, גברתי.

רויטל סויד: לא אחד?

<איציק כוכב: לא.

<טליה אגמון: זה לא מנוהל כאחד.

<איציק כוכב: אוי ואבוי אם הוא היה אחד.

<טליה אגמון: אבל יש גם סוגים של מידע שנמצאים במערכת הבריאות שאני לא בטוחה שהם צריכים להיות ברמת האבטחה המקסימלית שיש בתקנות האלה.

<טליה אגמון: יש הבדל בין מידע על הפסקות היריון, למשל, לבין מידע על זימון תורים למרפאה או לטיפת חלב.

<טליה אגמון: לשים את כל הדברים האלה בסל אחד נראה לי טעות.

<טליה אגמון: צריך לעשות רזולוציה פנימית בנושא הזה.

זאב בנימין בגין: אז את אומרת ב'1, ב'2 או ב'3.

<טליה אגמון: יכול להיות.

זאב בנימין בגין: לפחות ב'1 או ב'2 כש-ב' עומד במקום בינוני.

<איציק כוכב: אני גם אזכיר לאדוני שבצבא יש "סודי ביותר", יש "סודי ביותר" סגול, אדום, שחור.

זאב בנימין בגין: משם אני שואל את זה.

רויטל סויד: זה לא מה שניסיתם לעשות בארבע הרמות האלה?

<איל זנדברג: זאת הערה פרטנית כשנגיע לסעיף שמדבר על זה.

אורי מקלב: גברתי היושבת-ראש - - - שנמצא במאגר גדול וברמה הגבוהה.

אורי מקלב: הרמה הגבוהה צריכה להיות מקסימלית.

אורי מקלב: בתוך הרמה הגבוהה, אבל לא לרדת.

זאב בנימין בגין: אני לא יורד.

זאב בנימין בגין: להפך, אני עולה.

רויטל סויד: טליה, אני מציעה שאת ההערה הזאת - -

<טליה אגמון: אני אומר אותה שוב כשנגיע לסעיף המתאים.

רויטל סויד: בדיוק.

רויטל סויד: כשנגיע לסעיף הרלוונטי ונצטרך לבחון את ההגדרה של כל מאגר.

רויטל סויד: אז ננסה להעביר את הקו במקום המדויק.

אורי מקלב: גם תוצאות של ביקורת של מעבדות צריכות להיות ברמת הגנה גבוהה.

<טליה אגמון: על זה אין ספק.

אורי מקלב: זה נכון שהאמצעים שאתם עושים בתוכו זאת הרמה המינימלית שדורשים מכם.

אורי מקלב: נכון שבגוף כזה כמו משרד הבריאות וקופות חולים שיש מידע רגיש, שם צריכה להיות רמת אבטחה יותר גבוהה בתוך המעטפת הגבוהה.

אורי מקלב: זה צריך להיות מהדרין מן המהדרין.

<טליה אגמון: החשש שלי הוא שברגע שמגדירים בתקנות רמה מסוימת היא תהפוך להיות לא המינימום, אלא המקסימום, ולדעתי זה לא נכון.

<טליה אגמון: דבר נוסף הוא מידת היכולת של התקנות לאפשר גמישות והתפתחות הטכנולוגיה בלי שנבוא לתיקון תקנות כל שנה, אלא שהתקנות ייתנו מסגרת, ואפשר יהיה לקדם את הטכנולוגיה בצורות אחרות.

רויטל סויד: תודה רבה, טליה.

רויטל סויד: עורך דין יהונתן קלינגר, התנועה לזכויות דיגיטליות; לאחר מכן מיכל לב שבתאי מ"לאומי כארד".

<יהונתן קלינגר: בוקר טוב, תודה רבה.

<יהונתן קלינגר: אני רוצה להתחיל בהתייחסות לפיל בחדר.

<יהונתן קלינגר: בשנת 2009 מדינת ישראל קיבלה הכרה של הלימות מבחינת הגנת הפרטיות מהאיחוד האירופי.

<יהונתן קלינגר: זה הפך אותנו למקום הרבה יותר טוב לעשות עסקים גם עם אירופה וגם עם שאר העולם, וזאת בזכות הרבה עבודה קשה של רמו"ט.

<יהונתן קלינגר: בזכות העבודה הזאת הכלכלה הישראלית צמחה, והרבה מאוד דברים טובים קרו.

<יהונתן קלינגר: אבל מאז ועד היום גם הדין באירופה השתנה והחמיר, והחוק האירופי הפך להיות יותר נוקשה ויותר קשוח לגבי הגנת הפרטיות.

<יהונתן קלינגר: גם התקבלה הדירקטיבה האירופית להגנה על הפרטיות, וישראל נשארה מאחור.

<יהונתן קלינגר: אם אנחנו לא נתאים את עצמנו בתקנות האלה – ויכול להיות שבעוד שיפורי חקיקה – לדין האירופי; ואם לא נאמץ תקנות חמורות, לדוגמה בדיווח על אירועי אבטחת מידע לא רק במאגרים ברמה הגבוהה, אלא לכל המאגרים; אם לא נגביל גישות למאגרים; אם לא נעשה יותר מאמצים כדי לשמור על הפרטיות אז הרבה מאוד מהתעשייה בישראל, הרבה מאוד מהסטארט-אפים, הרבה מאוד מחברות ההייטק לא יוכלו לעבד מידע של אזרחים אירופים, ואנחנו נאבד את ה-adequacy .

<יהונתן קלינגר: במצב כזה ייגרם לישראל ולכלכלה הישראלית נזק שאי אפשר אפילו להתחיל לדמיין אותו.

<יהונתן קלינגר: אחד הדברים הכי חשובים תקנות האלה זה לשמור על adequacy ולהחמיר כמה שאפשר כדי לעשות את זה.

<יהונתן קלינגר: אם אנחנו מייצרים רגולציה מחמירה פה הרבה דברים יכולים לקרות.

<יהונתן קלינגר: הדבר הראשון שיקרה הוא שאנשים שלא צריכים לשמור מידע לא ישמרו.

<יהונתן קלינגר: גניקולוג שמנהל מאגר מידע רגיש יכול גם להעביר את הניהול של המידע למערכת חיצונית מאובטחת יותר, שמורה יותר, טובה יותר שמתמחה בניהול של מאגרי מידע ולהוציא את הסיכונים האלה החוצה ממנו.

<יהונתן קלינגר: כלומר להגיד, שיש אלפי עסקים קטנים שמחזיקים מאגרי מידע ולא כדאי להטיל עליהם רגולציה, זה להגיד, אוקיי, יש הרבה מאוד אנשים שיש חקיקה שלא בהכרח תואמת את מה שהם עושים.

<יהונתן קלינגר: אפשר לייצר את הטכנולוגיות שיביאו את אותם אנשים לחקיקה.

<יהונתן קלינגר: נכון, זה ידרוש הוראות מעבר קצת יותר ארוכות מאשר חודש, חודשיים, שלושה או חצי שנה.

<יהונתן קלינגר: אם תראו מה שקורה עם נגישות אתרים – אני לא רוצה להיות שם – שההוראות נמשכות כבר ארבע שנים, אבל אנחנו כן יכולים לייצר את התעשייה הזאת.

<יהונתן קלינגר: זה גם יעזור לתעשיית אבטחת המידע והגנת הפרטיות בישראל שיהיו גופים שמתמחים בכך.

<יהונתן קלינגר: לכן אנחנו, כמובן, תומכים בתקנות, רוצים אותן, ורוצים להחמיר.

<יהונתן קלינגר: אנחנו נדבר כשניכנס לתקנות הספציפיות לנושא הזה.

<יהונתן קלינגר: תודה.

רויטל סויד: תודה.

רויטל סויד: מיכל לב שבתאי מ"לאומי כארד".

רויטל סויד: עמרי נחום אתך?

רויטל סויד: אחד מכם ידבר.

<מיכל לב שבתאי: כן.

<מיכל לב שבתאי: רועי הוא ממונה אבטחת מידע וסייבר ב"לאומי כארד".

<מיכל לב שבתאי: אני רק אגיב לדברים של חברת הכנסת מלינובסקי שלא נמצאת כאן כרגע, כי היה נשמע שדווקא בגוף כמו "לאומי כארד" וגופים פיננסיים שמעבדים מידע רגיש, ודווקא כגוף שחווה אירוע לא פשוט לפני שנתיים היה נשמע מהדברים שמנסים לחמוק מחובות אבטחת מידע.

<מיכל לב שבתאי: כמובן, זאת לא הכוונה.

<מיכל לב שבתאי: "לאומי כארד" וגופים אחרים משקיעים משאבים עצומים באבטחת מידע, ובעקבות האירוע שהיה השקיעו משאבים נוספים כדי לתקן כדי שאירוע כזה לא יחזור על עצמו.

<מיכל לב שבתאי: אז היה חשוב רק להתחיל עם זה.

<מיכל לב שבתאי: הכוונה הייתה שאם יש רגולציה שמנהל ומקיים, ואותו גוף עומד באותם תנאים רגולטוריים אין צורך לחזור על החובות שהן מתוקף התקנות, גם כדי שתהיה כפילות וגם מכיוון שאנחנו ניתן מענה.

<מיכל לב שבתאי: כמו שלימדו אותי בצבא – יש מפקד אחד, אז יש רגולטור אחד שימנע את הסתירה.

<מיכל לב שבתאי: מה שהזכירו כאן אני מאוד תומכת בו, והוא נוגע להבחנה איזה סוג מידע.

<מיכל לב שבתאי: מה שכיום יש בהוראות של "לאומי כארד" זאת גישה מבוססת סיכון, והיא צריכה, לדעתי, לחול גם בתקנות.

<מיכל לב שבתאי: כלומר אין דין של מידע על פרטי כרטיס אשראי בעולם שלנו או פירוט עסקאות בכרטיס אשראי כדין טלפון או שם של בן אדם, לא לעניין ההצפנה כאשר שולחים מייל ללקוח, לא לעניין הסקרים, המבדקים והבקרות שיש בו.

<מיכל לב שבתאי: אז אני מאוד מתחברת למה שעלה כאן.

<מיכל לב שבתאי: עוד דבר – לדעתי, חשוב שהתקנות האלה יחולו גם על עוד עסקים.

<מיכל לב שבתאי: אפשר לקחת אותן ולהשתמש בהן כדי לקדם תקנים שחברות כרטיסי האשראי מנסות לקדם כבר הרבה מאוד שנים, דוגמת תקן PCI שעוזר לבתי עסק לאבטח את פרטי כרטיס האשראי שאותם בתי עסק עצמם מחזיקים.

<מיכל לב שבתאי: אם תהיה התייחסות מפורשת לתקן הזה אז יותר בתי עסק יהיו נכונים להשקיע את המשאבים כדי להטמיע את התקן שיעזור להגנת הפרטיות, והם לא משאבים מבוטלים.

<מיכל לב שבתאי: עוד דבר שהזכירו כאן זה שירותי הענן שמצד אחד מהווים סיכון מוגבר יותר ומצד שני אי אפשר כיום לא להיות בעולם הזה.

רויטל סויד: אתם שומרים את הנתונים שלכם בשירותי ענן?

<מיכל לב שבתאי: תלוי איזה מידע.

<מיכל לב שבתאי: בנק ישראל הוציא הנחיות בעניין הזה.

<מיכל לב שבתאי: יש מערכות שאי אפשר להעביר אותן, ומידע שאי אפשר בהגדרה לשמור אותו על ענן.

<מיכל לב שבתאי: אנחנו גם עושים גישה מבוססת סיכון איזה נתונים אפשר להעביר לשם.

<מיכל לב שבתאי: אבל אם נראה את התקנות כלשונן אז אותו גוף שיש לו שירותי ענן ייחשב מחזיק וידרוש מגוף כמו "אמאזון" או גוף אחר גדול להחיל על עצמו את ההוראות האלה, יהיה מאוד קשה עד כדי בלתי אפשרי.

<מיכל לב שבתאי: זה מניסיון שלנו מול אותם גופים.

<מיכל לב שבתאי: מניסיון באיחוד האירופי קבעו מראש לאיזה גופים אפשר להעביר את המידע.

<מיכל לב שבתאי: זה אפשר לקחת ולעשות גם כאן, בין היתר דרך התקנות שכבר היום חלות לעניין הוצאת מידע מחוץ לישראל.

<מיכל לב שבתאי: זה משהו שאפשר יהיה להסדיר כאן.

אורי מקלב: אני רוצה להעיר על מה שהיא אומרת.

אורי מקלב: אני לא בטוח שיש דבר כזה מידע פחות רגיש.

אורי מקלב: אני אתן לך דוגמה: גם רשומה של גוף מסחרי – חנות או בית מסחר – שמחזיק רק מאגר של כרטיסי האשראי של העסקאות שנעשו אתו, וזה ודאי שהוא מחזיק את זה – דהיינו אני בא היום עם כרטיס האשראי שלי, הוא מחזיר אחורנית מה שקניתי לפני שנתיים כדי לבדוק אם קניתי אצלו.

אורי מקלב: אין לו שום בעיה לעשות את הביררו הזה.

אורי מקלב: זה מידע.

אורי מקלב: יכול להיות שברגע שיש לו כרטיס אשראי הוא לא יודע מי אני.

אורי מקלב: אבל היום כשיש אפשרות של הצלבות במידע אחר, שלמישהו אחר יש רשימה של שמות של אותם מחזיקי כרטיס אשראי, וההצלבה נעשית היום בצורה מאוד קלה, בקלות הוא לוקח נתון מפה ונתון משם, והוא יודע היום לחבר את זה בצורה הכי מהירה, ויש לו המידע הכי רגיש שיכול להיות.

אורי מקלב: אז המידע הופך לרגיש.

אורי מקלב: כשאתם אומרים שהמידע הוא לא רגיש או פחות רגיש - -

רויטל סויד: מה שאומר חבר הכנסת מקלב זה שכל מידע יכול להיות רגיש בשילוב של מספר נתונים יחד.

אורי מקלב: בשיתוף פעולה עם עוד נתון אתה מקבל את כל המידע.

רויטל סויד: יש לכם עמדה לגבי שמירה בענן?

<אלון בכר: אין לנו עדיין עמדה כתובה רשמית ומעודכנת, אבל אנחנו עוסקים בזה.

<אלון בכר: בהנחיות שהוצאנו בדברים של מיקור חוץ ונושאים מהסוג הזה יש התייחסות לזה.

<אלון בכר: אנחנו עובדים על עדכונים של הדברים כדי שזה יתאים להקשר הזה.

<אלון בכר: בהקשר של מה שנאמר על-ידי נציגי "לאומי כארד" אני רוצה לומר שהייתי פחות סקפטי ממך לגבי ההתאמות של החברות הבינלאומיות הגלובליות לדרישות הלאומיות והמדינתיות.

<אלון בכר: אנחנו עומדים בקשר עם גורמים כאלה בדיוק - -

<מיכל לב שבתאי: אנחנו נשמח.

<אלון בכר: - - ואפשר להיות יותר אופטימיים לגבי התאימות שלהם לדין הישראלי כשהם פועלים בישראל.

רויטל סויד: מר פרנקו, אתה רוצה להתייחס?

<רפאל פרנקו: כן, גברתי היושבת-ראש.

<רפאל פרנקו: ראשית יש מדיניות ענן למדינת ישראל.

רויטל סויד: שמה היא אומרת?

<אלון בכר: לממשלת ישראל.

<רפאל פרנקו: לממשלת ישראל כבר יש מדיניות מה יכול לעלות לענן ומה לא, ומי יכול לספק בכלל שירותי ענן ומה רמת האבטחה, השרידות שהוא יכול להפעיל.

<רפאל פרנקו: בנוסף למדיניות יש ועדה שמאשרת בקשה-בקשה בממשל הישראלי באשר להעלאה לענן.

רויטל סויד: של כל גוף או רק של משרדי הממשלה?

<רפאל פרנקו: כרגע של כל משרדי הממשלה פלוס התשתיות הקריטיות של מדינת ישראל, שקרויים בעגה גופי טמ"ק – עשרים וחמש תשתיות שהוגדרו כתשתית קריטית לאומית.

<רפאל פרנקו: הנתח הזה בענן מכוסה.

<רפאל פרנקו: כבר בתורת ההגנה הלאומית יש פרק מפורט איפה נכון ואפשר להעלות לענן, ואיפה מומלץ מאוד שלא להעלות לענן.

<רפאל פרנקו: אנחנו לגמרי בתהליך הזה.

<רפאל פרנקו: חשוב להגיד מילה למי שפחות מכיר.

<רפאל פרנקו: הסיבה שגופים רוצים להעלות לענן זה צמצום עלויות תפעול דרמטי.

<רפאל פרנקו: מאידך יש מספר גופים חזקים מאוד בעולם שמסוגלים לתת שירותי אבטחה לא רעים בכלל.

<רפאל פרנקו: לכן באיזון הזה רשות הסייבר מנתחת אותו ומפעילה עליו את ניהול הסיכונים הנכון.

רויטל סויד: תודה.

רויטל סויד: דן אור-חוף, בבקשה.

רויטל סויד: אבל במשפט כי אני רוצה לעבור לשוקי פרייס ממכון התקנים.

<דן אור-חוף: מילה אחת קצרה על שירותי ענן.

<דן אור-חוף: מהידע והניסיון שלי בשוק הפרטי דווקא ברוב המכריע של המקרים שירותי מבוססי ענן גם בינלאומיים, רמת האבטחה שהם מציעים היא לאין שיעור הרבה יותר גבוהה ממה שחברות וארגונים פה בארץ יודעים לאבטח בעצמם.

רויטל סויד: חשוב.

רויטל סויד: תודה.

רויטל סויד: שוקי פרייס, מכון התקנים ואחר כך עורכת הדין שירלי אבנר מבנק ישראל.

<יהושע פרייס: אני בא מעולם התקנים והתקינה.

<יהושע פרייס: אני בעיקר רוצה לדבר על הניסיון שנוצר לי בעיקר כשגוף כמו משרד הבריאות מחליט שכל מערכת הבריאות הציבורית אמורה לעמוד במערכת הגנה שמתאימה למידע רפואי אישי, שאין ספק שזה אחד הנושאים הרגישים ביותר, לפחות עבור הפרטיות.

<יהושע פרייס: מנכ"ל משרד הבריאות הנחה שכל הגופים שמתעסקים עם מידע רפואי אישי יצטרכו לעמוד בשני תקנים: ISO 27001 שהוא תקן כללי לאבטחת מידע שנותן שיטה מסודרת, עקבית מאוד ושיטתית איך צריך להגן על המידע.

<יהושע פרייס: דבר שני – האינטרפרטציה שמתאימה לעולם הבריאות – ISO27799.

<יהושע פרייס: מאחר שאני סוקר את המערכת הזאת – ועד היום סקרתי את כל מערכת הבריאות, זאת אומרת את כל קופות החולים, את כל בתי החולים, כולל בתי החולים הממשלתיים ובתי החולים של שירותי בריאות כללית והפרטיים, עכשיו אנחנו נכנסים גם לגופים הגדולים שנותנים שירות או עם הספקים הגדולים של מערכת הבריאות.

<יהושע פרייס: אתם לא מתארים לעצמכם איזה מהפך נעשה בשנים האחרונות בנושא של הגנה על המידע בתוך המערכות האלה.

<יהושע פרייס: אם אני יושב היום אחרי כארבע שנים עם מנהלים של ארגונים, לא של מערכות מידע, ואני שואל אותם איך הם מרגישים לגבי הצורך ברמת ההגנה שהמערכות האלה עומדות בה, הם אומרים בפירוש שהם מרגישים היום הרבה יותר בטוחים כי הם יודעים שיש שיטה מסודרת שעובדת לפי מדיניות שהארגון קבע שיודע להגן על נכסי המידע שלו, לטפל בנכסי המידע שלו, כפי שזה צריך, לעשות סקרי סיכונים ולטפל בסיכונים, לפי שיטה מסודרת; ושיש גוף חיצוני אובייקטיבי ומקצועי שבודק אותם אחת לשנה כדי לוודא לא רק שהם עומדים בדרישות של התקן, אלא שמערכות הגנה על המידע שלהם הולכות ומשתפרות.

<יהושע פרייס: לכן מה שאני רוצה להציע זה קודם כול את הדוגמה הזאת של מערכת הבריאות, ולהכליל בתוך התקן את הדרישה שמי שרוצה לעשות נכון הגנה על מידע יואיל להפנים את הדרישות של תקן 27001 ISO ושיהיה מישהו חיצוני שגם ינחה אותו ואחר כך גם יבדוק אותו שהוא באמת עשה את מה שהוא צריך לעשות.

<יהושע פרייס: לכן אם דיברו קודם איך אנחנו מפקחים על הנושא הזה – ויש לנו כאן עשרות אלפי ארגונים שנצטרך לפקח עליהם – רק בצורה הזאת שיש גם תקן שנותן את העקרונות מה לעשות וגם העקרונות איך לבדוק זה ייתן את המענה לאותה דרישה של פיקוח.

רויטל סויד: תודה רבה.

רויטל סויד: עורכת דין שירלי אבנר מבנק ישראל.

<שירלי אבנר: תודה רבה.

<שירלי אבנר: אני קצת פורמליסטית, וקשה לי עם זה שנאמרים לפרוטוקול דברים לא מדויקים.

<שירלי אבנר: חבל לי שחברת הכנסת שהדברים מכוונים אליה לא נמצאת כאן.

<שירלי אבנר: אבל אני רוצה להציג את הפעילות של בנק ישראל בתחום.

<שירלי אבנר: ככל שיהיה צורך בכך אני אשמח לדבר עם כל אחד ואחד ולהמשיך ולהציג ולהרחיב את הפעילות בנושא.

<שירלי אבנר: להגיד שהמערכת הבנקאית לא רואה את עצמה כפופה לתקנות אבטחת מידע או הגנת הפרטיות או לא רואה חשיבות בדברים האלה זה חוסר ידע.

<שירלי אבנר: אלה הדברים שמאוד חשובים לנו בבנק ישראל וגם למערכת הבנקאית בגלל רגישות המידע שמוחזק על-ידי הבנקים ועל-ידי המערכת הבנקאית.

<שירלי אבנר: תעיד על כך קודם כול הקמת יחידה לטיפול בסייבר לאבטחת מידע בתאגידים בנקיים בבנק ישראל.

<שירלי אבנר: זאת הייתה פריצת דרך מבחינה בינלאומית.

<שירלי אבנר: אנחנו היינו הבנק המרכזי הראשון שהקים יחידה כזאת ב-2012.

<שירלי אבנר: יש לנו שורה של הוראות לניהול בנקאי תקין שהן ברמה של תקנות של חקיקת משנה שחלות על הבנקים על ההיבטים של המשכיות עסקית, של הגנת הסייבר, של אבטחת מידע, של הגנה על פרטיות.

<שירלי אבנר: אנחנו עושים ביקורות על המערכת הבנקאית; אנחנו עושים פיקוח שוטף; אנחנו דורשים מהם לעמוד בסטנדרט בינלאומי.

<שירלי אבנר: בהוראות שלנו יש הוראה בנוגע למחשוב משנת 2015 שמתייחסת לנושא הזה ודורשת מהתאגידים הבנקאיים לעבוד באותה רמת אבטחת מידע והגנה כנהוג בדירקטיבה האירופית.

<שירלי אבנר: אנחנו נשמח להציג את הדברים ביתר הרחבה.

<שירלי אבנר: אבל שוב – להעמיד דברים על דיוקם: המערכת הבנקאית כפופה לשורה של הנחיות, לרגולציה מאוד הדוקה של בנק ישראל בנושא.

<שירלי אבנר: ככל שיש שאלות אנחנו נשמח לענות עליהן.

רויטל סויד: תודה רבה.

<שירלי אבנר: רק עוד נקודה אחת, ברשותך.

<שירלי אבנר: שכחתי לציין שבעקבות הערות שהתקבלו מהמועצה ומרמו"ט מתקיים אצלנו גם הליך של מינוי ממונה על הגנת הפרטיות בבנק ישראל, שכמובן, יתכלל את כל הנושאים האלה.

<שירלי אבנר: אבל גם היום הנושא נמצא בראש סדר העדיפויות של בנק ישראל.

<שירלי אבנר: גם ללא ממונה על הגנת הפרטיות אנחנו רואים בנושאים האלה חשיבות רבה.

רויטל סויד: תודה.

רויטל סויד: הילי זליבנסקי מעיריית תל-אביב, בבקשה.

רויטל סויד: אם יש מישהו שנמצא פה ורוצה לומר דברים, בבקשה להירשם אצל אסף.

<הילי זליבנסקי: שלום.

<הילי זליבנסקי: התקנות האלה המוצעות הן ראויות.

<הילי זליבנסקי: אבל התחום המוניציפלי, לצערי – ואני מייצג כרגע את עיריית תל-אביב, אבל כל מי שמסייע רואה צורך לסייע לעיריות ולגופים מוניציפליים אחרים - - - את מצבן.

<הילי זליבנסקי: התקנות האלה לא מכירות את המצב, לפחות בתחום המוניציפלי.

<הילי זליבנסקי: אנחנו סוג של גוף שאין לו באמת רגולציה.

<הילי זליבנסקי: אין הסדרה בתחום ברמה לא של מחשוב ולא של אבטחת מידע בפועל.

זאב בנימין בגין: בתקנות נקבע גוף ציבורי, ואתם גוף ציבורי לעניין זה, לפחות.

זאב בנימין בגין: אני חושב שבכלל, אבל לפחות לעניין זה.

<הילי זליבנסקי: אני מסכים לחלוטין.

<הילי זליבנסקי: העניין הוא שהעיריות פוגשות את האזרח במגוון של ערוצים.

<הילי זליבנסקי: המידע הרגיש בנושא חינוך, בנושא שירותים חברתיים ובנושא סיוע כזה ואחר הוא מידע שכשמסתכלים על התמונה הכללית לא של מאגר מידע ספציפי, אלא של כלל מאגרי המידע מגלים שגופים מוניציפליים מחזיקים בסופו של דבר במידע רב; ואם מסתכלים ספציפית על כל מאגר אז אולי זה יהיה בינוני-גבוה, ואם מסתכלים על הכללי אז רואים שלרשות מוניציפלית – ואני מייצג את עיריית תל-אביב אז אני יודע להגן על עצמנו כי ברמת IT אנחנו גוף גדול של כארבע מאות איש.

<הילי זליבנסקי: אבל אם אני מסתכל על עיריות אחרות שאני מסייע להן או לרשויות מקומיות – יש שם שני אנשי מחשוב, ולהטיל עליהם כאלה תקנות בלי להבין את המשמעויות של זמן ביצוע ועלות הביצוע התקנות האלה קצת חוטאות.

<הילי זליבנסקי: צריך לתת לזה מענה בצורה כזאת או אחרת.

רויטל סויד: תחדד במה?

<הילי זליבנסקי: בזמן שצריך כדי ליישם את התקנות.

<הילי זליבנסקי: אני לא צולל למטה, אבל יש מקומות שאני לא רואה איך גופים שאנחנו מסייעים להם, כולל אותנו עצמנו, נצליח לעמוד בתקנות האלה; העלויות שהתקנות דורשות מאתנו מבחינת היישום הכספי נאמדות במיליונים.

<הילי זליבנסקי: אני לא אומר את זה לצאת ידי חובה, אלא אני מסתכל על הדברים האלה.

<הילי זליבנסקי: אני עובד עם רמו"ט בצורה צמודה.

<הילי זליבנסקי: לעיריית תל-אביב יש כמה עשרות מאגרים, וצריך להסתכל על התמונה הגדולה ולא על הפרטים.

<הילי זליבנסקי: לפעמים אנחנו מאבדים את עצמנו כשאנחנו מסתכלים על העצים ולא על כל היער.

רויטל סויד: אתה אומר שהיישום של התקנות יעלה לעיריית תל-אביב מיליונים?

<הילי זליבנסקי: כן.

<הילי זליבנסקי: ברמת הביצוע כשאני לוקח את התקנות לאורך השנים, ואני אומר, איך אני בונה תכנית יישום, ואני נמצא בתכנית היישום – כשאני מסתכל כמה עולה וכמה אני משקיע על הדבר הזה – זה עלויות של מיליונים.

<קריאה: ובלי התקנות לא היית עושה את ההשקעות האלה?

זאב בנימין בגין: זה כבר כשיש לך ארבע מאות איש.

זאב בנימין בגין: כי אם יש עירייה שיש לה שניים, הם יצטרכו חמישה עשר, לא ארבע מאות - -

<הילי זליבנסקי: עיריית תל-אביב מונה כמה אלפי עובדים.

<הילי זליבנסקי: ארבע מאות איש הם ב-IT, ויחידת אבטחת מידע מונה כחמישה עשר איש.

<הילי זליבנסקי: אנחנו גוף ייחודי שאנחנו עוברים ועובדים גם עם משרדי הממשלה וגם עם גופים נוספים כדי לעשות את זה, ואנחנו מכירים את התחום.

זאב בנימין בגין: מאיפה זה בא?

רויטל סויד: באיזה מאגר אתם נמצאים?

<הילי זליבנסקי: כגוף ציבורי אוטומטית אני נמצא בבינוני או בגבוה.

<הילי זליבנסקי: בגלל מספר התושבים הרוב זה גבוה.

<הילי זליבנסקי: יש גם אנשים שלא גרים בתל-אביב.

<הילי זליבנסקי: מי שלמשל מקבל דוח חנייה לא גר בתל-אביב, הוא נרשם באיזשהו מאגר.

<הילי זליבנסקי: אני מסתכל על התמונה הגדולה – התקנות פה בעייתיות.

זאב בנימין בגין: אם אתה יכול לומר באופן כללי מהו סעיף ההוצאה העיקרי שאתה חושב שיושת עליך כשכבר יש לך חמישה עשר עובדים בתחום.

<איל זנדברג: זה לא קיים כיום, אבל זה חשוב.

זאב בנימין בגין: כל העובדים אצלך.

זאב בנימין בגין: הם מקבלים שכר.

<הילי זליבנסקי: אז אני אגיד.

<הילי זליבנסקי: סקרי הסיכונים ונבדקי - - - שנדרשים לכל מאגר ספציפי כזה או אחר- -

<ניר גרסון: לא - - -

רויטל סויד: תן לו להשלים.

רויטל סויד: תוכל אחר כך לענות לו.

<הילי זליבנסקי: ככה אני מבין את היישום.

<הילי זליבנסקי: אני מאוד שמח, דרך אגב, כי הבנתי בדיון הוועדה שהולך להיות ספר שיסביר את זה להדיוטות, ואני רק שלושים שנה בתחום.

<הילי זליבנסקי: אז, כנראה, אני עדיין - - -

זאב בנימין בגין: הספר הזה יסביר, אבל לא יתקצב.

<הילי זליבנסקי: אין בעיה - - -

זאב בנימין בגין: תן לנו מושג על מה אנחנו מדברים.

מאיר שלום: אבל היום אתה לא עושה סקרי סיכונים ומבדקי חדירה?

<הילי זליבנסקי: בוודאי שאני עושה.

מאיר שלום: באותה תדירות או בתדירות גבוהה יותר אפילו?

<הילי זליבנסקי: לא בתדירות גבוהה יותר.

<הילי זליבנסקי: שוב, אנחנו צוללים לתקנות – שמונה עשר חודש זה חלק מהדברים.

<הילי זליבנסקי: רק להתניע סקר סיכונים ולעשות אותו בצורה נכונה זה עניין של כחצי שנה פלוס.

<הילי זליבנסקי: אנחנו נמצאים כרגע בסקר סיכונים מאוד גדול.

מאיר שלום: אתה מתייחס להוצאה הגבוהה של סקר סיכונים.

מאיר שלום: כפי ששמת לב ארגון שיש לו כמה מאגרי מידע באותה רמת אבטחה יכול לעשות את סקר הסיכונים לגבי כולם.

מאיר שלום: אז בהקשר הזה אתה אומר שההוצאה הנוספת להוצאה שיש לך היום במסגרת סקרי סיכונים נאמדת במיליונים?

<הילי זליבנסקי: היום אני לא מחויב לסקר סיכונים בצורה רגולטורית.

<הילי זליבנסקי: אני עושה את זה - -

<ניר גרסון: אבל אתה עושה אותו.

<ניר גרסון: אתה עושה אותו, ולא תגיע למיליונים.

<הילי זליבנסקי: אני עושה את זה לעצמי במקומות שאני צריך.

<ניר גרסון: בסדר גמור.

<הילי זליבנסקי: עם כל הכבוד, יש לעיריית תל-אביב כמה מאות מערכות מידע.

<הילי זליבנסקי: אם עכשיו אני צריך לפרט את זה אני אקח את הדוגמה הספציפית של עיריית תל-אביב.

<הילי זליבנסקי: בעבר היה לעיריית תל-אביב כמאה מאגרים רשומים.

<הילי זליבנסקי: צמצמנו את הכמות הזאת, ואיחדנו אותם והגענו לרמה של כמה עשרות, והמטרה היא להגיע לעשרים בערך.

<הילי זליבנסקי: זאת עיריית תל-אביב שעובדת מסודר עם מטה מסודר שיודע לעשות את זה.

רויטל סויד: בכל זאת יהיו לכם עלויות של מיליונים.

רויטל סויד: יש לכם נתונים על העלויות?

רויטל סויד: אפילו בחלוקה לרמות של המאגרים – עלויות שיוטלו על בעלים או מחזיקי המאגרים?

<גילי בסמן ריינגולד: יש לנו נתונים.

<גילי בסמן ריינגולד: העלויות, כמובן, מאוד משתנות משום שהטווח מאוד גדול.

<גילי בסמן ריינגולד: לא עיריית תל-אביב כרשות מקומית ולא העסק הקטן שקודם הזכיר חבר הכנסת כמו גוף פיננסי גדול.

<גילי בסמן ריינגולד: סקרי סיכונים ומבדקי חדירה יכולים לנוע מכמה אלפי שקלים עד מאות אלפי שקלים לגוף גדול.

<גילי בסמן ריינגולד: אבל הגופים הגדולים ממילא נוקטים את האמצעים האלה היום.

<גילי בסמן ריינגולד: לכן בהקשר הזה התקנות לא מוסיפות חובות.

<גילי בסמן ריינגולד: הן אולי מחדדות את התדירות שצריך לעשות את זה, ואפשר שכשצוללים לתקנות לדבר על התדירות.

<גילי בסמן ריינגולד: נשמח לשמוע הערות שעוד לא שמענו עד היום.

<גילי בסמן ריינגולד: אנחנו הבנו שהזמנים הם סבירים.

<גילי בסמן ריינגולד: הם גם חופפים למה שרגולציה אחרת מכתיבה, אבל ההוצאה הכספית, לפי מה שאנחנו מבינים, בטח על גוף כמו עיריית תל-אביב ההוצאה הנוספת היא לא כזאת משמעותית, לפי התקנות.

רויטל סויד: זאת אומרת שהעלויות כמו שאתם מחשבים את זה יהיו רק ברמה של מאות אלפי שקלים.

<גילי בסמן ריינגולד: מאות אלפי שקלים לגוף שקלים לגוף גדול, עשרות אלפי שקלים לגוף יותר קטן, אלפי שקלים לגופים בינוניים-קטנים.

<גילי בסמן ריינגולד: זה כמובן, תלוי במאגר שיש.

<אלון בכר: אני רוצה לומר עוד משפט בהקשר הזה כי זה עלה קודם ואולי לא קיבל תשומת לב מספקת.

<אלון בכר: גופים גדולים, גופים בינוניים וגופים שעוסקים במידע משמעותי ורגיש כבר היום עושים את זה.

<אלון בכר: אז כאן התוספת לא קיימת או שולית לפעמים.

<אלון בכר: מה שחשוב לזכור, וזה עלה קודם בדיון, זה שנכון שיש נטייה בקרב מנהלים של ארגונים לא לתת לאורך שנים תשומת לב מספקת לנושא אבטחת המידע בארגון.

<אלון בכר: זה הגיע גם לאזור של הממשלה, אז לא בכדי גם ממשלת ישראל העבירה החלטת ממשלה לפני כשנה, שאומרת שתקציבIT לא יכול להיות רק לדברים של נחמדות ותדמית, אלא ש-8% מתקציב ה-IT של ארגוני הממשלה חייב ללכת לאזור של אבטחת מידע כהוראה מנדטורית.

<אלון בכר: מדוע?

<אלון בכר: כי הנטייה בהרבה מאוד מקומות וארגונים הייתה לא להקצות את המשאבים שחשוב מאוד לקדיש ב-IT לנושא אבטחת המידע.

<אלון בכר: אז במובן הזה, נכון – הגופים יצטרכו לעבור התאמות, אבל ההתאמות האלה נדרשות כבר הרבה מאוד שנים; ההתאמות האלה קיימות בכל ארגון בינלאומי שמכבד את עצמו.

<אלון בכר: במובן הזה נכון שהתקנות יכוונו את זה למקום הנכון, והם יעשו הרבה מאוד פעמים שיפטינג של תקצוב.

<אלון בכר: הן לא בהכרח יעלו את התקציב של IT, אלא ידאגו שחלק משמעותי מספיק ממנו יופנה לאבטחת מידע שהוא חלק מאוד מהותי.

<אלון בכר: במובן הזה אני חושב שכולם צריכים קצת יותר להירגע.

<אלון בכר: לא הייתי דואג לגופים הגדולים שממילא תקציב ה-IT שלהם מאוד גדול, והם רק צריכים לעשות אותו מחולק נכון ולנהל את זה בצורה חכמה.

<אלון בכר: במקומות שבהם אתה גוף קטן ותקציב ה-IT שלך הוא קטן יש פתרונות בשוק, ואני מניח שגם יהיו יותר בקבלת השירותים האלה ממקומות שיעשו את זה חיצונית, יעשו את זה באמצעות גוף מתמחה, יעשו את זה באמצעות גופים תחרותיים שייתנו שירותים כאלה.

<אלון בכר: אני לא אומר שזה הולך להיות קל, אני רק אומר שהשוק יתאים את עצמו ברגע שהסטנדרט הזה יהיה ברור ונהיר, ויהיו פתרונות.

<אלון בכר: הפתרונות האלה הם לא ברמה שימוטטו גופים.

<אלון בכר: זה ברור לנו לחלוטין.

רויטל סויד: תודה.

רויטל סויד: איציק, בבקשה.

<איציק כוכב: ברשותך, אני רוצה להזכיר את הדברים שאמרתי.

<איציק כוכב: לנו בעולם הבריאות אנחנו מחויבים, לפי הנחיות משרד הבריאות, לתקן ISO לאבטחת מידע.

<איציק כוכב: עצם העובדה שאני מחויב זה יצר שאני צריך לנהל סיכונים וצריך לעשות בדיקות חדירה.

<איציק כוכב: הפעילות הזאת אצלנו כבר עשר שנים.

<איציק כוכב: עשר שנים אנחנו חיים באותה אטמוספירה.

<איציק כוכב: למשל, מכל מה שעולה בתקנות אני אומר באחריות שאצלנו בארגוני הבריאות העלות היא לא קריטית.

<איציק כוכב: בשנה אני משקיע כמיליון שקלים וחצי על בדיקות חדירה, בדיקות חוסן וסקרי סיכונים.

<איציק כוכב: זה לא הרבה כסף במושגים של ארגון גדול כל כך, והוא נעשה באופן טבעי רק מכורח התקן ISO שאנחנו נמצאים בו.

<איציק כוכב: לכן לדעתי, התקנות האלה יבהירו למנהל שהוא צריך להשקיע את אותם 8% שאלון אומר.

<איציק כוכב: חלק אינטגרלי מתהליך זה 8% להגנת מידע.

<איציק כוכב: ואז זה יהיה טבעי.

<יהושע פרייס: אני רוצה להוסיף עוד משהו.

<יהושע פרייס: אחד הדברים שהתקן מחייב זה לקטלג את רשימת נכסי המידע של הארגון.

<יהושע פרייס: בתשובה של השאלה הזאת, מה המשמעות של הקטלוג?

<יהושע פרייס: זה לדעת איזה מידע יש לנו, איפה הוא נמצא, מה הקריטיות שלו, מה רמת הזמינות שנדרשת ממנו – כל מיני פרמטרים נוספים.

<יהושע פרייס: מכאן אנחנו מגיעים לדבר נוסף – על פי רמת הקריטיות שנדרשת להגנה על המידע אנחנו גם צריכים לעשות סקרי סיכונים.

<יהושע פרייס: כמובן, אנחנו מתחילים בהתחלה עם אותם נכסים שהם קריטיים יותר.

<יהושע פרייס: עזוב מידע שנוגע ללוגיסטיקה וכל מיני דברים כאלה.

<יהושע פרייס: קח את המידע האישי, ותתחיל לטפל בו קודם כול.

<יהושע פרייס: אתה רואה פתאום ש-40%-30% מכלל העבודה שהיית צריך לעשות צריכה להיות מושקעות קודם כול בדברים הרגישים יותר.

<יהושע פרייס: אחר כך כשירחיב תעשה את הדברים האחרים.

<יהושע פרייס: כלומר יש כאן שיטה אם אתה מאמץ את התקן.

<יהושע פרייס: השיטה הזאת מלמדת אותך איך לעשות את הדברים בהדרגה.

<יהושע פרייס: לא להשקיע בבת אחת ולא להיבהל ולא לבוא למנהלים עם תקציב ענק שהם יגידו שהם לא מקבלים את זה.

<יהושע פרייס: להתחיל בהתחלה עם דברים שנוגעים קודם כול לנכסי המידע הראשון.

<יהושע פרייס: תעשה אותם, תבדוק אותם, תטפל בסיכונים שלהם ואחר כך תרחיב.

<הילי זליבנסקי: אני רוצה להגיד עוד משהו.

רויטל סויד: תענה בקצרה ואחר כך גילי.

<הילי זליבנסקי: עיריית תל-אביב עושה פעילות של אבטחת מידע, ואנחנו עושים סקרי סיכונים.

<הילי זליבנסקי: זה לא נפל עלינו כרעם ביום בהיר.

<הילי זליבנסקי: עם זאת צריכים להבין את ההבדל בין ביצוע סקר סיכונים לאבטחת מידע לבין טיפול בתובנות ובתוצרים של סקר הסיכונים.

<הילי זליבנסקי: אם בסקר הסיכונים עולה שצריך לעשות כמה דברים, הפעילות היא לא לשלם כמה עשרות או מאות אלפי שקלים לגוף שיבצע את זה כי הוא חייב להיות גוף חיצוני, אלא לשנות סדרי עולם של מערכות שקיימות לפעמים ארבעים שנה, ולהטיל עליהן דברים שבעבר לא היו.

<הילי זליבנסקי: אם המחוקק יקבע שצריך שגם מוניציפליים יהיו גם תחת הגדרה של 8% מסכום ה-IT באבטחת מידע אז אני בעד.

<הילי זליבנסקי: אבל בין זה לבין הביצוע בפועל – ושוב, לא נסתכל על עיריית תל-אביב, אלא על כל שאר הגופים.

רויטל סויד: תודה.

רויטל סויד: עורכת הדין גילי בסמן ריינגולד.

רויטל סויד: אחר כך אם ניר ירצה להתייחס וגם פרנקו אז גם כן ואחר כך נעבור להקראה.

רויטל סויד: בבקשה.

<גילי בסמן ריינגולד: שמענו פה קצוות בין מי שאומר שאנחנו צריכים להחמיר יותר לבין מי שאומר שאנחנו צריכים להקל.

<גילי בסמן ריינגולד: זה בדיוק הראיה הטובה ביותר לכך שחסר הסטנדרט שאנחנו מסתכלים עליו, וזה בדיוק מה שהתקנות האלה מנסות לעשות – ליצור סטנדרט ולאזן בין מי שחושב שאסור בכלל להיות על הרשת לבין ההבנה של המציאות שאי אפשר לא להתחבר לרשתות.

<גילי בסמן ריינגולד: זה בדיוק מה שאנחנו מנסים לעשות כרגולטור שגם מחובר לשטח וגם מכיר בחשיבות של האבטחה.

<גילי בסמן ריינגולד: חשוב לי להדגיש שני דברים שקיימים בתקנות.

<גילי בסמן ריינגולד: הרי כל אחד מביא לפה את המקרה הפרטי הכואב שלו.

<גילי בסמן ריינגולד: יש אפשרות לרשם להכיר בתקנים של אחרים, לפתור רגולציות מקבילות, לקבוע מה בדיוק הדלתא שצריך להוסיף; וגם הצד ההפוך שהוזכר קודם – אם יש גוף שרמת האבטחה לגביו היא יחסית נמוכה, לפי דעתו של הרשם, וצריך לקבוע רמה גבוהה יותר – גם זה קיים בגדר הסמכות, וזה בדיוק מה שהתקנות מנסות לעשות – לקבוע את הסטנדרט ובכל אותם מקרים קיצוניים אפשר ויש דרך לטפל בהם.

רויטל סויד: ניר, אתה רצית להתייחס?

<ניר גרסון: לא.

<ניר גרסון: רק רציתי להזכיר לגבי סקר סיכונים שמדובר בחובה שתחול רק על המאגרים הגדולים והרגישים שממילא כמו ששמענו, עושים אותם.

<ניר גרסון: לכן על הגדולים לא תהיה תוספת כי ממילא עושים, ועל הקטנים החובה הזאת לא חלה.

רויטל סויד: תודה.

רויטל סויד: רפי פרנקו, בבקשה.

רויטל סויד: אחר כך נעבור להקראת החוק.

<רפאל פרנקו: גברתי היושבת-ראש, ראשית חשוב להגיד שגם המוניציפלים נהנים וייהנו מתורת ההגנה.

<רפאל פרנקו: כלומר בתוך האירוע הזה תורת ההגנה הלאומית שמדינת ישראל שמה לנגד עיניה מתכתבת עם תקנים כמו ISO ועם תקנים נוספים.

<רפאל פרנקו: חשוב לומר שאנחנו אולי אפילו המדינה הראשונה שמסתכלת מהאדם ברחוב דרך המוניציפלים, דרך התשתיות הקריטיות של מדינת ישראל ועד הממשל ועד בכלל.

<רפאל פרנקו: בהקשר הזה גם המוניציפלים יידעו מהר מאוד למצוא את עצמם בתוך התורה הזאת, וייעשה להם סדר, בעיקר לאלה שהם יותר קטנים או משקיעים פחות מעיריית תל-אביב שהיא גדולה, ואני מכיר אותה מתפקידיה הקודמים.

<רפאל פרנקו: בהקשר של הפרטיות וההוצאה הפרטית – החלטת הממשלה שאנחנו הובלנו של 8% מתקציב IT לאבטחת המידע נבעה מתהליך עמוק שעשינו וראינו מה קורה בעולמות מקבילים לנו.

<רפאל פרנקו: חשוב לומר שלא בכל מקום המצאנו את הגלגל.

<רפאל פרנקו: אבל בתוך 8% האלה חשוב לציין שמכוסה ומגולם כל עולם הסייבר.

<רפאל פרנקו: אנשים שומעים 8%, ואולי עשויים להיבהל – זה 8% למרחב ההגנה בסייבר בתוך תקציב IT; לא פרטיות או כלכלי או ביטחוני.

<רפאל פרנקו: לכן כשאנחנו מסתכלים על הרבדים האלה ההוצאה לפרטיות תהיה נמוכה יותר.

<רפאל פרנקו: בסופו של דבר אם מסתכלים מקצה לקצה העלות מידתית, בטח בעולם שהופך להיות יותר ויותר מקוון.

רויטל סויד: תודה.

רויטל סויד: אנחנו נעבור להקראת התקנות.

רויטל סויד: בבקשה, אלעזר.

הלשכה המשפטית: אני רוצה להציע הצעה לסדר.

הלשכה המשפטית: התקנות בשלב של ההגדרות מאוד שלובות בהוראות המעשיות שיש בתקנות.

הלשכה המשפטית: - - - לדון בהגדרות בנפרד מהתקנה עצמה.

הלשכה המשפטית: אני מציע שננסה לעשות פינג-פונג, ולא נקרא כל תקנה יחד עם ההגדרה שלה, אבל נתעמק בהגדרות, ונראה אותן על רקע הנפקות המעשית שלהן בהמשך.

תקנות הגנת הפרטיות (אבטחת מידע), התשע"ו- 2016 בתוקף סמכותי לפי סעיף 36 לחוק הגנת הפרטיות, התשמ"א-1981 (להלן - החוק), ובאישור ועדת חוקה חוק ומשפט של הכנסת, אני מתקינה תקנות אלה:

הלשכה המשפטית: יש פה כמה רבדים.

הלשכה המשפטית: אנחנו לא ניכנס פה כי זה יבוא מההגדרות הבאות, מה זה בכלל מאגר שחלה עליו רמת אבטחה גבוהה או בינונית.

הלשכה המשפטית: אנחנו נראה בהמשך, בייחוד במה שיש בהמשך בתוספות לתקנות.

הלשכה המשפטית: לא נתמקד כרגע בתקנה 11, אבל חשוב להזכיר שהנפקות של ההגדרות מהו אירוע אבטחה חמור הוא לעניין תקנה 11 – מה בדיוק צריך לעשות בעל מאגר כאשר לו אירוע אבטחה חמור.

הלשכה המשפטית: בהקשר הזה רציתי להעלות שאלה לגבי ההגדרות השונות של אירוע אבטחה חמור.

הלשכה המשפטית: מכיוון שהנפקות של אירוע אבטחה הוא דיווח לרשם, לרמו"ט, מדוע כאשר מדובר על מאגרי מידע ברמת אבטחה בינונית, שאם ניזכר האבחנה בין הרמה הבינונית לגבוהה היא לא בטיב המידע, אלא בהיקף נושאי המידע, מספר האנשים שלגביהם המידע או בהיקף מורשי הגישה.

הלשכה המשפטית: מדוע יש ההבחנה המוצעת בין רמות האבטחה השונות?

הלשכה המשפטית: כי בסך הכול אם הנפקות היא של דיווח, מדוע לא ידווחו שמדובר במידע רגיש?

הלשכה המשפטית: גם במאגרים ברמת אבטחה בינונית מדובר על מידע רגיש של מידע רפואי, מידע גנטי, מידע ביומטרי.

הלשכה המשפטית: מדוע שלא גם בדברים האלה ידווחו לרשם גם כאשר השימוש במידע שבמאגר הוא לא היה שימוש מהותי, אלא רק בחלק מהמאגר?

רויטל סויד: תרצו להתייחס?

מאיר שלום: כן.

מאיר שלום: אני ליאת בן מאיר ממשרד המשפטים.

מאיר שלום: גם בהיבט הזה אנחנו ערכנו איזון שמשקף את מידת הסיכון מהאירוע.

מאיר שלום: יש פה נטל גם על בעלי המאגרים, ואנחנו גם לא רוצים שתהיה הצפה באופן שלא תאפשר להתמקד בדיווחים הנכונים והמתאימים.

מאיר שלום: השקלול של מידת הנזק כשמדובר ברמת אבטחה גבוהה בשים לב להיקף מורשים או להיקף נושאי המידע הוא, כמובן, יותר גבוה.

מאיר שלום: לכן במאגר מידע שחלה עליו רמת אבטחה גבוהה הכנסנו גם אירוע שבו הייתה כניסה למערכות המאגר באופן שמאפשר גישה למידע במאגר גם אם לא ידוע אם הייתה גישה בפועל כי לא תמיד יש בהכרח דרך לדעת מה מידת החשיפה של הגורם הבלתי מורשה למידע שמצוי במאגר.

רויטל סויד: יהונתן, בבקשה.

<יהונתן קלינגר: מכיוון שזה נוגע לתקנה 11 ולנושא ה-bridge notification – ושוב, אני מנסה להיצמד לסטנדרט האירופי – אז קודם כול צריך לשאול אם לא יכולים להתקיים אירועים חמורים במאגרים שהם לא בינוניים.

<יהונתן קלינגר: לדוגמה במאגר שמכיל הרבה מאוד מידע שלכשעצמו הוא לא רגיש, אבל דליפה שלו שיכולה להיות מוצלבת עם מאגר אחר יכולה לייצר מידע רגיש.

<יהונתן קלינגר: כשנגיע לסעיף 11 נדבר גם על ה-notification – אם זה חייב להיות רק לרשם וכדומה.

<יהונתן קלינגר: אבל אולי צריך להגדיר את זה כך שסטנדרט בינוני וגבוה יכיל עוד רשימה של מקרים שגם אם לא נמצאת בבינוני או בגבוה תהיה חייב לדווח גם לרשם ויכול להיות שגם לנשאי המידע.

מאיר שלום: אני אשמח להתייחס להערה.

מאיר שלום: יש כאן חזרה להערה הכללית לגבי החלוקה לרמות אבטחה.

מאיר שלום: אנחנו ניסינו ליצור כאן מטריצה שקשורה להיקף נושא המידע, היקף מורשים, מידת רגישות המידע ואופיו של הגוף.

מאיר שלום: אנחנו נשמח לשמוע הערות.

מאיר שלום: זה בחלק הכללי של חלוקה לרמות אבטחה.

מאיר שלום: לצד זה מכיוון שהתקנות הן כלליות ונועדו לאפשר התייחסות למכלול המאגרים קבועה בתקנה 20א סמכות לרשם לפתור או להחיל מאגר מסוים בתקופה זאת או אחרת, ולדעתי, בכך יש גם מענה אפשרי להערה של עורך הדין קלינגר.

רויטל סויד: אלעזר, מה אתה בעצם אומר?

רויטל סויד: אתה אומר שבין מאגר מידע ברמת אבטחה גבוהה לרמת אבטחה בינונית לא צריך להיות הבדל בשני מובנים: לגבי הכניסה - -

הלשכה המשפטית: אני שואל.

רויטל סויד: אתה מעלה גם לעניין הכניסה?

הלשכה המשפטית: לא יודע אם לעניין הכניסה, אבל מכיוון שהנפקות היא של דיווח אז שאלתי למה באירוע במאגר ברמת אבטחה בינונית צריך שייעשה שימוש בחלק מהותי של המאגר כדי שידרוש דיווח?

הלשכה המשפטית: הרי אם מדובר על מאגרים שבסך הכול ההיקף שלהם הוא פחות – כי אין מאה אלף אנשים – אבל מדובר על מידע ברמת רגישות גבוהה, אז מדוע רק אם נעשה שימוש בחלק מהותי של המאגר יהיה דיווח ולא אם נעשה שימוש בחלק לא מהותי?

הלשכה המשפטית: זאת השאלה.

<ניר גרסון: הסיכון מושפע מההיקף, וזה שאלה של איזון.

<ניר גרסון: בהוראות דומות בעולם יש תמיד חשש מהצפה.

<ניר גרסון: זה דבר שליאת הזכירה קודם.

<ניר גרסון: אם נקבע כהוראה כללית - -

רויטל סויד: הצפה של פניות אליכם?

<ניר גרסון: של דיווחים.

<ניר גרסון: אם נקבע את זה כהוראה כללית ולא במסגרת סעיף השסתום הספציפי שמאפשר לנו לברור אז גם מאגרים ברמה הבינונית שזאת קבוצה הרבה יותר נרחבת תציף אותנו בדיווחים על כל חשש של גישה גם לרשומה אחת במאגר בדרגה בינונית.

רויטל סויד: אז נניח שגם אם לא מכניסים את רכיב הכניסה, אבל שזה לא יהיה שימוש רק בחלק מהותי מן המאגר, אלא יהיה שימוש במידע מן המאגר.

<ניר גרסון: גם אז אם זה שימוש אפילו ברשומה אחת מדובר בהצפה.

<ניר גרסון: וזה לא סוף פסוק.

<ניר גרסון: הרי במאגרים בעלי רגישות או ייחוד שנחליט שצריך לגביהם בכל זאת דיווח יש לנו כלי שאותו הזכרנו קודם.

<ניר גרסון: אבל אם נקבע את זה כהוראה כללית הפירוש יהיה הטלת נטל גדול על הציבור וגם הצפה שלנו במידע.

<ניר גרסון: הרי העולם לא מושלם, ואם יציפו אותנו בדיווחים גם על מאגרים בינוניים או קטנים לא נוכל להתמודד עם זה ולא נוכל לברור את המוץ מהתבן.

<ניר גרסון: זה איזון בשאלות שמעסיקות בסעיפים דומים רגולטורים בכל העולם.

מאיר שלום: בנוסף – אנחנו אמנם לא נכנסים עכשיו לגופה של תקנה 11, אבל תקנה 11 קובעת חובות נוספות

מאיר שלום: על בעל מאגר במקרה שאירע אירוע אבטחה גם אם הוא לא עולה כדי אירוע אבטחה חמור.

מאיר שלום: זה רק לעניין הדיווח לרשם.

<גילי בסמן ריינגולד: ומעבר לדיווח, כמובן, האירוע אמור להיות מטופל.

<גילי בסמן ריינגולד: אנחנו מדברים פה רק על הדיווח, זה לא שהאירוע לא מטופל ולא קיימות חובות של אותו בעל עסק כלפי לקוחותיו מחוץ לתקנות האלה.

רויטל סויד: איך את יודעת שהאירוע מטופל, ואיך את יודעת שבעל העסק ממלא את חובותיו כלפי הלקוחות?

<גילי בסמן ריינגולד: זה חלק מהחובה.

<גילי בסמן ריינגולד: חובת האבטחה, הטיפול והדיון בהנהלה הן חובות שקיימות אצלו.

רויטל סויד: אבל אם הוא לא מדווח אליכם - -

<יהונתן קלינגר: הוא גם לא מדווח למי שהמידע עליו מאוחסן, וזה מה שמדאיג.

<יהונתן קלינגר: הוא מדווח רק אם אתם מורים לו לדווח.

רויטל סויד: בדיוק.

<גילי בסמן ריינגולד: לזה נחכה לתקנה 11 כי זה כבר לא הדיון של ההגדרה.

<גילי בסמן ריינגולד: הרי היינו חייבים לעשות איזושהי חלוקה, ותמיד כשעושים חלוקה פורמלית יש מי שנופל בין הקצוות.

<גילי בסמן ריינגולד: בשביל זה יש תקנה 20 עם הסמכות של הרשם לקבוע מה בכל זאת יכול למרות שהוא לא בגדר התקנה.

רויטל סויד: עוד הערות?

רויטל סויד: נמשיך.

רויטל סויד: אנחנו מקריאים.

רויטל סויד: מי שיש לו הערות לסעיפים מוזמן.

<גילי בסמן ריינגולד: חומר מחשב מופנה להגדרה שקבועה - - -

<איציק כוכב: אוקיי.

<איציק כוכב: אז אין לי הערה.

<רפאל פרנקו: שאלה מקצועית למשפטנים.

<רפאל פרנקו: כל עולם הביגוד הלביש, כמו נעליים, שעונים וכולי, נכנס בהתקנים ניידים?

רויטל סויד: לא הבנתי את השאלה.

<רפאל פרנקו: הרי אנחנו בעולם של מה שקוראים לו עכשיו "ביגוד לביש": שעונים, סמאטרפונים, נעליים.

<רפאל פרנקו: האם כל הדבר הזה - -

<טליה אגמון: ביגוד הוא בדרך כלל לביש.

<טליה אגמון: ציוד לא.

<רפאל פרנקו: ציוד ומחשוב לביש.

<רפאל פרנקו: זה נקרא "ביגוד לביש".

<רפאל פרנקו: אני שואל האם זה נופל תחת התקנים של החסנים ניידים?

מאיר שלום: אם הוא מצע שמשמש לאחסון מחשב התשובה חיובית.

<ניר גרסון: אבל לפעמים לא תהיה לזה רלוונטיות.

<ניר גרסון: אם אתה יכול לחבר את זה ליציאת USB אז יש לזה חשיבות.

<איל זנדברג: - - -

<איציק כוכב: למשל המקרר הביתי שיהיה מחובר לאינטרנט, ובין היתר יש לו מצלמה שהוא רואה אותי, האם הוא נכנס לקטגוריה הזאת?

<ניר גרסון: כן, אבל יכול להיות שאין לה רלוונטיות לתקנות.

<איציק כוכב: הבנתי.

<איל זנדברג: את ההגדרות יש לקרוא רק בתוך החקיקה עצמה ולא כעומדות בפני עצמן כי אז ההקשר מנותק.

<איל זנדברג: ההגדרות משרתות הוראה אופרטיבית בהמשך.

<איל זנדברג: אז שווה לקרוא אותן תמיד בתוך אותה תקנה, כי אחרת מתפתח דיון שיכול להיות שהוא עקר לעניין התקנות האלה.

רויטל סויד: אז אתה מציע שעכשיו כשהכרנו את ההתקן נקרא את תקנה 12 במקביל?

רויטל סויד: או שנגיע לתקנה 12 ונחזור חזרה להגדרות?

<איל זנדברג: נחזור להגדרות.

הלשכה המשפטית: זאת הגדרה שיש הרבה מה לדון בה.

הלשכה המשפטית: בניסיון לרבד את התקנות ולהתייחס באופן דיפרנציאלי לסוגים שונים של מאגרים היה צורך לתת מענה לגורמים – שוב, בגלל שההגדרה של מאגר מידע היא כל כך רחבה רבים האנשים הפרטיים שבמחשבם האישי והפרטי מחזיקים מאגר מידע, לפעמים אפילו בלי לדעת שמה שהם מחזיקים זה מאגר מידע.

הלשכה המשפטית: לכן כשהתקנות מכילות הוראות אופרטיביות על מאגרים שמנוהלים בידי יחיד הוועדה צריכה לתת את הדעת על מספר היבטים: א', העלויות; זאת אומרת מה אנחנו מצפים שיהיה באותם מקרים של אנשים בודדים, של עסקים קטנים שמי שיש שם זה אדם אחד או שניים.

הלשכה המשפטית: איזה נורמות נכון ומוצדק להחיל עליהם וגם מה יהיה ישים; שלא נמצא את עצמנו במצב שהוועדה קובעת סטנדרט שמבחינה קונספטואלית הוא הגיוני ונשמע מוצדק, אבל אם נפרוט לפרוטות את המקרים של אנשים שנמצאים בקצה זה פשוט לא יקרה, אנשים לא יעשו את זה.

הלשכה המשפטית: לכן צריך לחשוב גם על ההגדרה.

הלשכה המשפטית: אני רוצה לומר שלא הייתה קודם הגדרה מדויקת לזה לפני כן וגם בסיג ושיח שהיה עם אנשי ייעוץ וחקיקה ועם רמו"ט היא בהחלט הורחבה לעומת המצב המקורי.

הלשכה המשפטית: בכל זאת צריך לתת על זה את הדעת.

הלשכה המשפטית: זה ברור שכל הגדרה שלא נקבע בכל ארבעת הרבדים של המאגרים השונים, ניתן יהיה לתת דוגמות לכאן ולכאן.

הלשכה המשפטית: ברור שאפשר למצוא מאגר יחיד שמנוהל רק על ידי יחיד שהוא מאגר סופר-רגיש עם מידע רב ורגיש; מצד שני אפשר גם תמיד לתת דוגמאות הפוכות.

הלשכה המשפטית: אני לא אומר שיש פה תשובה אחת ברורה וחד משמעית, אבל צריך לתת את הדעת גם על ההגדרה והאם יש מקום להרחיב אותה, גם מה בסופו של דבר חל על ההגדרה הזאת – שנראה בהמשך התקנות – אלו חובות יחולו על בעל מאגר יחיד; ועד כמה הדברים האלה ייושמו.

הלשכה המשפטית: זאת אומרת יש צפי סביר שאנשים מהשורה יבינו מה הם צריכים לעשות ויישמו את זה.

רויטל סויד: כשאתם אומרים "תאגיד בבעלות יחיד", אתם מתכוונים לבעלי מניות?

רויטל סויד: מה זה תאגיד בבעלות יחיד?

<גילי בסמן ריינגולד: חברות יחיד זה מאוד פופולרי היום.

<גילי בסמן ריינגולד: לדעתי, זה נובע משיקולים של מס או ביטוח לאומי.

<גילי בסמן ריינגולד: הרעיון היה לתת מענה כשראינו בעינינו את היחיד שרצינו להקל עליו.

<גילי בסמן ריינגולד: זאת אומרת להיות מודעים למה שקורה בשוק, ולתת גם פתרון לאותן חברות "אני".

<גילי בסמן ריינגולד: זה מקובל אצל עורכי דין, אצל רופאים שרשומים כחברה.

רויטל סויד: זה עניין של בעלי מניות?

<גילי בסמן ריינגולד: זאת חברת יחיד.

מאיר שלום: הרעיון היה שזאת רמת היסוד לפני הרמה הבסיסית – מאגר המנוהל בידי יחיד.

מאיר שלום: יש לו גרעין מאוד בסיסי של חובות שצמודות לו.

מאיר שלום: אפשר אולי לפרט אותן אף על פי שזה יהיה מוזר כי לא דיברנו על התקנות המהותיות.

מאיר שלום: אבל ייחדנו את אותו בסיס רק ליחיד אמתי – לא משנה אם הוא התאגד בתאגיד.

מאיר שלום: זה אדם יחיד שגם נורמטיבית וגם מעשית הוא היחיד - -

רויטל סויד: מזכירתו זה הוא לצורך העניין?

<ניר גרסון: הכוונה הייתה למישהו בלי מזכירה.

מאיר שלום: הכוונה הייתה רק יחיד.

רויטל סויד: איפה היום יש דבר כזה?

מאיר שלום: התשובה היא שיש.

מאיר שלום: אבל אני רוצה לציין בהמשך לדברים של אלעזר – יש המון יחידים שעובדים מהבית - -

הלשכה המשפטית: אני רוצה להוסיף עוד משהו.

הלשכה המשפטית: חשוב להבין שההגדרות האלה מאוד חשובות כי בין הרמה התחתונה של אותו מאגר יחיד לבין הרמה הבאה אחריה של רמת אבטחה בסיסית יש קפיצה איכותית בהיקף החובות שחלות.

הלשכה המשפטית: בעיני זה לא רק עניין כמותי של עוד חובה כזאת או אחרת, כי ההתייחסות לאותו גורם יחיד היא בדרישות הרבה יותר מינוריות.

הלשכה המשפטית: לקפיצה הזאת יש משמעות, ולכן צריך לשקול את האיזון בין היקף ההגדרה מיהו אותו גורם יחיד להיקף החובות עליו לבין הקפיצה למדרגה הבאה בתור.

<גילי בסמן ריינגולד: אולי כדאי לתת דוגמות כדי שזה יהיה ממשי.

<גילי בסמן ריינגולד: המורה לפסנתר שמגיעים לה תלמידים, ויש לה רשימה של התלמידים והגילאים שלהם וההתקדמות והציונים שלהם – היא מנהלת מאגר, ואנחנו כמובן לא רוצים להחיל עליה את כל התקנות - -

הלשכה המשפטית: אולי גם פרטים על אמצעי התשלום של ההורים שלהם.

<גילי בסמן ריינגולד: כנראה, לא, אבל יכול להיות.

<גילי בסמן ריינגולד: אולי אפילו גם קשרי משפחה כי גם כל האחים במשפחה לומדים אצלה.

<גילי בסמן ריינגולד: ברור שלא הייתה כוונה להכניס אותה לעלויות, לסקרי סיכונים ולהחיל עליה את כל התקנות.

<גילי בסמן ריינגולד: הרעיון היה להחיל על אותה שכבה משהו מצומצם.

<גילי בסמן ריינגולד: בדיונים עלו כל מיני דוגמות: יועצת הנקה שמנהלת את סקרי - - - שלה מהבית.

<איציק כוכב: פסיכולוגית שמטפלת באופן בודד במטופל.

<גילי בסמן ריינגולד: נכון.

<גילי בסמן ריינגולד: גם פסיכולוג שמטפל באופן בודד.

<גילי בסמן ריינגולד: פה זה גם המקרה שאנחנו מדברים על מידע שהוא קצת יותר רגיש.

<איציק כוכב: זאת סוגיה חשובה שצריך לדון בה.

<איציק כוכב: רגישות המידע אצל הבודד יכולה להיות קריטית, ולכן צריך להתייחס לזה.

<איציק כוכב: אגב, אני מבית שמאי בהקשר הזה, ואני אומר שאם יש עכשיו פסיכולוגית שיש לה עסק, והיא מטפלת במידע כל כך רגיש חלק מעלויות העסק זה אבטחת מידע רצינית על המידע.

<איציק כוכב: הלוא המידע של המטופל נמצא על מחשב שמחובר לאינטרנט ולא מאובטח ב-95% כי היא לא יודעת איך לאבטח אותו.

<איציק כוכב: אנחנו צריכים להתייחס לזה.

רויטל סויד: איפה יש הלימה בין תאגיד של יחיד או מאגר יחיד לבין מאגר כזה שיש בו מידע סופר רגיש?

מאיר שלום: אנחנו ניסינו ליצור איזון ולא להטיל נטל גדול מדי על אותם יחידים.

מאיר שלום: בעקבות דיוני ההכנה עם הלשכה המשפטית עשינו את השינוי גם בהקשר של תאגיד בבעלות יחיד.

מאיר שלום: אנחנו שומעים את הדברים שאומרת הוועדה לשני הכיוונים: גם בהיבט של נטל על יחידים שיש להם מזכיר או מזכירה וגם בכיוון השני של בעלי רישיונות שאולי יש להם חובות סודיות פרטניות.

מאיר שלום: אנחנו נעשה בזה - - - ונשוב לוועדה בעניין הזה.

<ניר גרסון: רק כדי להניח את החששות שעולם.

<ניר גרסון: לגבי יחיד שיש לו מידע מאוד רגיש, רק לסבר את אוזני הוועדה – לצד רגישות המידע יש הוראות בתקנות שיש להן חשיבות בעיקר בהקשר של כמה אנשים, של ארגון.

<ניר גרסון: לכן לפעמים יש הוראות פחות רלוונטיות לעוסק יחיד, ויש הוראות שמאוד רלוונטיות לו.

רויטל סויד: תחזרי על המשפט האחרון שלך, ליאת.

מאיר שלום: אמרתי שאחרי שהסברנו את האיזון אנחנו שומעים את הדברים שנאמרים בוועדה לשני הכיוונים – גם בהקשר הצורך בהרחבה נוספת בהקשר של יחיד שיש לו מזכיר או מזכירה וגם לכיוון הצד השני של בעל הרישיונות.

מאיר שלום: אנחנו נעשה חשיבה נוספת, ונשוב לוועדה בעניין הזה.

<יהונתן קלינגר: אני רוצה להחמיר בדבר אחד ובדבר אחר להקל.

<יהונתן קלינגר: אני אתחיל בהקלה.

<יהונתן קלינגר: בהגדרה כאן אנשים שעושים שימוש בשירותי ענן למיניהם או כשיש מחזיק שהוא אחר כהגדרה שלו בחוק, למשל תכנת הנהלת החשבונות שלי שהיא בענן אז אני לא אכנס להגדרה של מאגר המנוהל בידי יחיד, לצערי, וזה חבל כי תכנת הנהלת החשבונות שלי כנראה מאובטחת יותר מאשר אם אני אחזיק קובץ אקסל אצלי על המחשב כי המאגר כבר לא מצוי ברשותי בלבד.

<יהונתן קלינגר: ניר, אתה מבין אותי, נכון?

<קריאה: כן.

מאיר שלום: אתה מתכוון ליחיד לגמרי, אבל שיש לו מחזיק.

<ניר גרסון: אז יש כאילו לעוד מישהו גישה.

רויטל סויד: לצורך העניין המחזיק פה הוא הענן.

<יהונתן קלינגר: לא, זאת חברת הנהלת החשבונות שלי שלה יש גם מאגר רשום, ויש לה בתיאוריה גישה לתכנת הנהלת החשבונות שלי, אבל הם לא ניגשים בגלל נהלי האבטחה שלהם.

<יהונתן קלינגר: אבל גם אני מאגר מידע וגם הם – כל אחד מאתנו לחוד.

<יהונתן קלינגר: לחומרה אולי צריך להחריג פה לדוגמה, למעט אם המאגר הזה, על פי דין, יוגדר כמאגר ברמה הגבוהה.

<יהונתן קלינגר: נניח אם יש מנתח פלסטי שקנה אוסף של מאה אלף לידים של אנשים שמתעניינים בניתוח כלשהו.

<יהונתן קלינגר: במצב כזה גם אם הוא עובד לבד וגם אם אין לו מזכירה או אסיסטנטית, ולאף אחד אחר אין גישה, אולי במקרה כזה צריך להגדיר שהסעיף הזה לא יחול עליו.

רויטל סויד: בגלל הרגישות של המידע.

<יהונתן קלינגר: כן.

<יהונתן קלינגר: אם יש לו מאגר מאוד רגיש.

<יהונתן קלינגר: אני אתן דוגמה בלי להעליב אף אחד מחברי הכנסת – חבר כנסת שיש לו רשימת מתפקדים, והוא משתמש ברשימת המתפקדים הזאת אז כשרשימת המתפקדים נמצאת אך ורק בידי המפלגה היא מאגר מידע רגיש.

<יהונתן קלינגר: היא מאגר שהרמה הגבוהה צריכה לחול עליו.

<יהונתן קלינגר: לעומת זאת כשחבר הכנסת מקבל קובץ אקסל לקראת הפריימריז, ואחר כך מתחיל לשלוח לכל מיני אנשים הודעות ולא מאפשר להם להסיר, אז אם רק לו יש גישה למידע הזה זה נכנס כמאגר בבעלות יחיד, ואולי צריך להחריג את זה גם כן.

רויטל סויד: אני פה לא עונה.

<יהונתן קלינגר: אני נתתי את חברי הכנסת כדוגמה, אבל יש עוד דוגמות דומות.

הלשכה המשפטית: עורך דין קלינגר, אני מסב את תשומת לבך לסיפא של ההגדרה שבה יש החרגה - -

רויטל סויד: דיוור ישיר.

<יהונתן קלינגר: שירותי דיוור זה לא דיוור.

הלשכה המשפטית: נכון.

הלשכה המשפטית: אני רק מסב את תשומת לבך שיכול להיות שבחלק מהמקרים האלה זה ייכנס לשירותי דיוור ישיר.

<יהונתן קלינגר: רופא ששולח סמסים לאנשים ואומר להם, שהוא ראה שהם מתעניינים בניתוח כלשהו, והוא מציע להם לעשות את הניתוח במחיר מוזל יותר כי הוא קנה מאגר של מאה אלף אנשים, לא צריך להיכנס למאגר המנוהל בידי יחיד.

הלשכה המשפטית: בהחלט ראוי לחשוב על הדברים האלה.

מאיר שלום: בהחלט תהיה חשיבה נוספת, ונחזור לוועדה.

הלשכה המשפטית: יש פה בעצם הגדרה שיורית – מה שלא זה ולא זה ולא זה.

הלשכה המשפטית: מבחינת סדר הדיון אפשר לעבור על התוספות ולנסות להחליט.

הלשכה המשפטית: יש בזה גם טעם בניגוד למה שאיל אמר על תקנות אחרות כי התוספות פה הן ממש חלק מההגדרה, וזה ילווה אותנו לאורך כל התקנות.

<איל זנדברג: אולי אחרי שהוועדה תלמד מה המשמעות של החובות ותעבור לתקנות אז יהיה יותר קל להגיד מה מתייחס למה.

<איל זנדברג: החלוקה של התוספת עצמה, אין לה מהות אלא שהיא משקפת את כובד הנטל.

<איל זנדברג: כובד הנטל נלמד מגוף התקנות, אבל זה אומר - -

הלשכה המשפטית: אפשר כך ואפשר כך.

רויטל סויד: אולי כדאי לעבור כדי להבין.

<איל זנדברג: כשהוועדה תחוש מה אנחנו מבקשים.

הלשכה המשפטית: אם הם מבקשים ככה אז בסדר.

רויטל סויד: אוקיי.

הלשכה המשפטית: זאת הגדרה שייעשה בה שימוש בתוספת לגבי הגדרה של מאגר ברמת אבטחה בינונית.

רויטל סויד: התקנות האלה יחולו על המאגר הביומטרי או שיש לו כללים ייחודיים לו?

<יהונתן קלינגר: גם וגם.

מאיר שלום: הן חלות עליו - - -

<אלון בכר: רק שם הוא הרבה מעבר למינימום שהתקנות האלה קובעות.

מאיר שלום: המאגר הביומטרי הוא כמובן באבטחה הגבוהה.

הלשכה המשפטית: זה כן מעורר שאלה שהעליתי בתחילת דברי של מצבים שבהם יש הסדרות ייחודיות ספציפיות לסוגים שונים של מאגרי מידע.

הלשכה המשפטית: באמת צריך לתת את הדעת על היחס בין אותן הסדרות לבין ההסדרה הכללית הזאת.

<טליה אגמון: שיהיה ברור על מה אנחנו מדברים – האם זה אומר שכל צילום, גם צילום פנים וגם צילום רנטגן הוא מידע ביומטרי, לפי ההגדרה פה?

רויטל סויד: שאלה טובה, טליה.

רויטל סויד: נכון.

<ניר גרסון: אולי כדאי לדון על זה בהקשר הפונקציונלי של זה שזה בתוספות.

<ניר גרסון: התוספת מפרטת סוגים שונים - -

<טליה אגמון: כמו שההגדרה כתובה כרגע התשובה תהיה כן.

<גילי בסמן ריינגולד: אבל יש הבדל, לפי התוספת, בין תמונות פנים של העובדים שאת מנהלת על כרטיסי עובד שזה רמה אחרת לגמרי לבין תמונות של צילומי רנטגן.

<גילי בסמן ריינגולד: יש דיפרנציאציה בדרישות.

רויטל סויד: לא הבנתי.

<גילי בסמן ריינגולד: יהיה יותר נכון לדון בזה בהקשר של התוספת שקובעת מה חל על איזה מידע ביומטרי.

<גילי בסמן ריינגולד: כי מידע ביומטרי הוא רחב.

<גילי בסמן ריינגולד: יש כל מיני סוגים של צילומים, כמו שטליה הזכירה, שנכנסים בגדר - - - וחלות עליהם דרישות שונות.

רויטל סויד: אז אולי באמת נעבור בכל זאת לתוספת כדי לראות את זה?

<איל זנדברג: ההנחה היא שמידע ביומטרי הוא רגיש, ולכן הוא כלול ברמת רגישות ברשימה של המידע הרגיש.

<איל זנדברג: מה בדיוק נתפס בגדר מידע ביומטרי באותו הקשר זה ניואנסים.

<איל זנדברג: אנחנו חושבים שזה מכסה היטב דברים.

<איל זנדברג: אז אפשר לראות שם שלמשל תמונות פנים בהקשר של עובדים שזה פחות רגיש, החרגנו.

<איל זנדברג: זה בנוי בתוך התוספת.

<איל זנדברג: אבל לקראת התוספת נראה בהשוואה.

<איל זנדברג: זה לא מידע ביומטרי.

<איל זנדברג: מידע ביומטרי הוא רגיש אבל כללנו אותו עם מידע רפואי, מידע גנטי.

<איל זנדברג: נדע מה המשפחה של סוגי המידע הרגיש שחשבנו לכלול בתוספת מסוימת, ואז אפשר לשאול האם צילומי רנטגן הוא במשפחה הזאת או לא.

<איל זנדברג: ההקשר פה מלמד על ההכרעה שאתם רוצים להכריע.

רויטל סויד: זה גם מחדד שוב את ההקראה שצריך לתת עליה את הדעת לפני כן.

רויטל סויד: טליה, התשובה היא – תתאזרי בסבלנות.

רויטל סויד: זאת התשובה.

<איציק כוכב: לא.

<איציק כוכב: אם אנחנו אחראים על זמינות אז אנחנו גם אחראים על זמינות.

הלשכה המשפטית: זאת שאלה טכנית להבנת ההגדרה.

<ניר גרסון: אנחנו לא רוצים להכביד סתם על הציבור.

<ניר גרסון: יכול להיות שיש דבר כזה.

<ניר גרסון: לא עלה בדעתנו משהו כזה, אבל אם יש אז לא יחולו עליו חלק מההוראות של התקנות.

מאיר שלום: הרעיון הוא שאנחנו מתמקדים בכל מה שיש לו חשיבות בהיבטי אבטחת מידע.

מאיר שלום: השאלה אם בפועל יש דברים שאין להם משמעות אבטחתית היא שאלה מקצועית וגם יכולה להשתנות.

<טליה אגמון: מערכת החשמל של העסק שלי

<קריאה: מערכת ניהול ציי הרכב.

<קריאה: זה משפיע?

<קריאה: היא מערכת של החברה, אבל היא לא במאגר.

<ניר גרסון: היא משמשת את המאגר?

<קריאה: היא לא.

<ניר גרסון: אז אין לה חשיבות.

מאיר שלום: אז לא תיכנס להגדרה.

<איציק כוכב: אני מבקש להעיר הערה.

<איציק כוכב: נגעת במילה "ממונה על אבטחת מידע".

<איציק כוכב: אני סבור שאנחנו צריכים להיות היום במקום אחר.

<איציק כוכב: היום כולנו מדברים במושגים של סייבר והגנת סייבר.

<איציק כוכב: לכן המילה הנכונה, לדעתי, צריכה להיות "ממונה על הגנת מידע" או "ממונה על הגנת הסייבר" גם מכיוון שיש חוק הגנת הפרטיות שלפיו אני עובד, גם כי מטה הסייבר נקרא "מטה להגנת הסייבר", "הרשות להגנת הסייבר"; ואני עצמי הובלתי מהלך בישראל שאנחנו עוסקים ב"הגנת מידע" שהוא מילה כוללת לטיפול בכל סוגי המידע ולא רק במערכות מידע.

<איציק כוכב: אבטחת מידע זה מימוש של הגנת המידע בטכנולוגיה.

רויטל סויד: מעבר למינוח מה המשמעות?

הלשכה המשפטית: אנחנו משתמשים באותו מינוח.

הלשכה המשפטית: מכיוון שאנחנו במסגרת של תקנות וחקיקת משנה אנחנו לא יכולים לסטות מהמינוחים ומההגדרות שיש בחקיקה הראשית.

<איציק כוכב: הבנתי.

הלשכה המשפטית: כיום בחקיקה הראשית זה המינוח.

<איציק כוכב: יש מקום לחשוב על זה.

הלשכה המשפטית: המקום להערה שלך הוא במידה שיהיה תיקון לחקיקה.

<יהונתן קלינגר: בחוק הוא מוגדר "הממונה".

<יהונתן קלינגר: לא "ממונה על אבטחה".

<יהונתן קלינגר: זה הכותרת של הסעיף, אבל זה "להלן: הממונה".

הלשכה המשפטית: לכן כתוב פה "כמשמעותו" ולא "כהגדרתו" כי אין שם הגדרה.

<יהונתן קלינגר: אבל משמעותו של הממונה על אבטחה זה לא נכון כי בחוק זה "הממונה" ולא "הממונה על אבטחה".

רויטל סויד: איציק, אני לא הבנתי את הניואנס.

רויטל סויד: מעבר למינוחים במה זה שונה במהות?

<איציק כוכב: אנחנו עובדים במתאם מול כל גורמי המדינה שמתעסקים בהגנת הסייבר.

<איציק כוכב: אז אצלי בארגון מיד שאלו, מי מתעסק בסייבר, ולכן שינו את השם שלי ל"ממונה על הגנת הפרטיות והגנת הסייבר".

<איציק כוכב: אנחנו עובדים ברשות הסייבר, הכול מתנהל בעולם של סייבר.

<איציק כוכב: עולם המחקר באקדמיה זה הגנת סייבר.

<איציק כוכב: לכן יש מקום להתאים.

<איציק כוכב: אבל עמיתי צודקים כאן

<איציק כוכב: שיכול להיות שצריך לעשות את זה בחקיקה ולא בתקנה.

<איציק כוכב: על זה אין לי ויכוח.

<איציק כוכב: אבל שווה לפתוח את זה לדיון.

<איציק כוכב: הממונה על אבטחת המידע, לדעתי, היום נקרא "הממונה על הגנת הסייבר".

<קריאה: אבל סייבר זה לא רק אבטחת מידע.

<איציק כוכב: סייבר זה לא רק אבטחת מידע.

מאיר שלום: מצד שני פרטיות והגנת מידע ומאגרי מידע זה לא רק סייבר.

מאיר שלום: בעבר הייתה הצעת חוק ממשלתית שהונחה על שולחנה של ועדת החוקה, והיא כללה גם שינוי של המינוח ל"אחראי על הגנת מידע" במקום "ממונה אבטחה".

<איציק כוכב: ומה עם זה?

מאיר שלום: כרגע היא - -

<איציק כוכב: ממתינה.

מאיר שלום: לא - -

<איציק כוכב: לימדו אותי להגיד במשרדי ממשלה, זה ממתין.

<איל זנדברג: זה לא ממתין.

<איל זנדברג: זה המתין על שולחן הכנסת כשש שנים.

רויטל סויד: תודה.

רויטל סויד: בבקשה, גברתי.

<רחל יעקובי: אני מהפיקוח על הבנקים.

<רחל יעקובי: ישבתי בשקט ושמעתי את כל המוזמנים.

<רחל יעקובי: שירלי הגיבה גם בשמי.

<רחל יעקובי: אני חייבת להגיד רק דבר אחד.

<רחל יעקובי: מי שלא יודע הגנת סייבר זה לא רק אבטחת מידע.

<רחל יעקובי: העולם עבר מעולם אבטחת המידע לעולם הגנת הסייבר.

<רחל יעקובי: ודאי שהיא מתייחסת לעולם אבטחת המידע; ודאי שהיא מתייחסת להגנה על המידע, אבל לא רק.

<רחל יעקובי: אם תרצו פעם, אתן לכם הרצאה על הנושא הזה.

<רחל יעקובי: זה עולם הרבה יותר רחב, כמעט עולם אין סופי שארגון צריך להגן מפני האיומים שלו.

<רחל יעקובי: זה לא רק בתחום אבטחת המידע.

<רחל יעקובי: תודה.

רויטל סויד: תודה.

<רפאל פרנקו: אני מסכים שמעולם האבטחה עברנו לעולם ההגנה כדי לחדד.

<רפאל פרנקו: עולם ההגנה הוא גדול יותר מעולם האבטחה.

<רפאל פרנקו: כלומר אם בעולם האבטחה מדובר על טכנולוגיה או על אמצעים אז עולם ההגנה מדבר על תגובה ראשונית ועל מחקר, על התאוששות, על התכוננות ועל מודיעין.

<רפאל פרנקו: זאת אומרת הוא מכיל הרבה מאוד רכיבים.

<רפאל פרנקו: השאלה היא האם הסוגיה היא לשנות.

<רפאל פרנקו: יש כאן שאלה יותר משפטית.

<רפאל פרנקו: האם מקצועית המושג מעודכן?

<רפאל פרנקו: התשובה היא לא.

רויטל סויד: השאלה אם אנחנו לא יכולים, לאור ההערה של יהונתן - -

הלשכה המשפטית: אני מצטער, עם כל הכבוד – עורך דין קלינגר לא נמצא – אבל מהחוק עולה בוודאות שזה המונח המתאים.

הלשכה המשפטית: מדובר על אדם שבעל הכשרה מתאימה שיהיה ממונה על אבטחת מידע.

הלשכה המשפטית: זה המונחים של החוק, ואני לא חושב שבמסגרת התקנות אנחנו יכולים לשנות את זה.

הלשכה המשפטית: ככל שיתוקן החוק - -

<איל זנדברג: זה עניין של נוסח החוק.

<איל זנדברג: בחוק אנחנו משתמשים במינוח.

<איל זנדברג: ההערה היא לא של מהות, אלא הפניה בשימוש של המינוח – אם זה ממונה אבטחה.

<איל זנדברג: אנחנו מסתכלים על סעיף 17ב ופועלים לפיו.

רויטל סויד: אבל אם אנחנו עושים תקנות שהן בהחלט צופות פני עתיד בעולם שמשתנה תדיר ובמהירות אז יכול להיות שזה שווה.

רויטל סויד: אני מבינה שבמהות זה לא משפיע, אבל במסר שעובר גם לציבור וגם בכלל, כשאתה נמצא בהגדרה מצומצמת, גם אם במהות, זה לא משנה שום דבר.

רויטל סויד: אבל ההגדרה מצומצמת.

רויטל סויד: אז יושבים בבנק ישראל ובשירותי הבריאות הכללית ואומרים, הם באבטחת מידע, לא בסייבר.

<איל זנדברג: עולם הסייבר הוא לא מכוח חוק הגנת הפרטיות.

<איל זנדברג: חוק הגנת הפרטיות מקנה סמכויות לשרת המשפטים להתקין תקנות.

<איל זנדברג: לכן היא לא מוסמכת לעסוק בעולם הסייבר.

<איציק כוכב: אבל כשיבוא לפה חוק הסייבר לדיון ידונו במקצועות הסייבר.

<איציק כוכב: כל מקצועות הסייבר זה "מומחה הגנת סייבר", "טכנאי הגנת סייבר", "מנהל הגנת סייבר".

<איציק כוכב: כדאי שתהיה הלימה, זאת דעתי.

<אלון בכר: אנחנו מבינים שכשהוא יבוא יהיו התאמות.

רויטל סויד: איציק, קיבלת את התשובה.

רויטל סויד: זה לא בסמכות.

רויטל סויד: אנחנו עוברים האלה.

<אלון בכר: כשנגיע עם תיקונים לחוק הגנת הפרטיות ולא לתקנות הגנת הפרטיות נבקש, בין היתר, לשנות כל מיני הגדרות שיש בחוק הוותיק הזה.

<אלון בכר: אין לנו באמת ויכוח שחלק מההגדרות לא מתאימות, כולל במינוחים.

רויטל סויד: שוקי, בבקשה.

<יהושע פרייס: בעניין ממונה ההגנה על המידע או הממונה על אבטחת מידע – מה שחסר לי כאן

<יהושע פרייס: בתקנה זה שאותו ממונה יצטרך לקבל את הכישורים המתאימים.

<יהושע פרייס: לא יכול להיות מצב שיטילו על מישהו תפקיד בלי שיהיו לו הכישורים או הידע המתאימים.

מאיר שלום: זה במסגרת תקנה 3.

רויטל סויד: זה נעשה כשנגיע לתקנה עצמה.

רויטל סויד: אלעזר, בבקשה.

הלשכה המשפטית: מכיוון שההגדרה של עובד פה היא מנותקת מהגדרת יחסי עובד מעביד על-פי דיני העבודה המקובלים, אלא זאת הגדרה פונקציונלית של גישה למידע; ומכיוון שמדובר פה גם על העסקה בעקיפין ולא רק העסקה במישרין, המטרה של הסיפא היא להבהיר שכאשר המאגר מנוהל לא על-ידי בעל המאגר, אלא בעצם על-ידי מחזיק, העובדים של המחזיק הם העובדים של המחזיק, והעובדים של בעל המאגר הם עובדים של בעל המאגר, והם לא מתערבבים זה עם זה.

הלשכה המשפטית: העובדים של המחזיק לא נחשבים לעניין החובות.

הלשכה המשפטית: אנחנו נראה שיש כמה וכמה חובות לגבי עובדים.

הלשכה המשפטית: הם לא ייחשבו כעובדים של בעל המאגר.

<טליה אגמון: אני שמחה שהבהרת מה שהבהרת, רק שזה לא מה שכתוב כאן בדיוק.

<טליה אגמון: אם אתם רוצים אולי להוסיף בסוף אחרי "יחיד המועסק על-ידי מחזיק מאגר מידע לא ייחשב כעובד של בעל אותו מאגר" את המילים: "אם המחזיק והבעלים הם לא אותו אחד".

<טליה אגמון: זה עניין של ניסוח.

<ניר גרסון: "מחזיק" – הכוונה לא לשונית, אלא כמשמעותו בהגדרה בחוק הגנת הפרטיות.

<ניר גרסון: למחזיק יש הגדרה בחוק.

<ניר גרסון: זה לא מי שמחזיק, אלא מי שמבצע - - -

הלשכה המשפטית: בהגדרה לפי חוק הפרשנות המונחים מקבלים את המשמעות שלהם לפי המונחים בחוק.

<טליה אגמון: ברור.

<טליה אגמון: השאלה אם זה ברור תמיד שמחזיק הוא לא הבעלים.

מאיר שלום: המחזיק הוא לא הבעלים.

רויטל סויד: סיימנו את סעיף ההגדרות.

הלשכה המשפטית: אנחנו נצטרך לחזור אליו בכמה וכמה הקשרים.

רויטל סויד: כן.

רויטל סויד: תודה רבה לכולם.

רויטל סויד: הישיבה נעולה.