ועדת החוקה, חוק ומשפט, כנסת 20, פרוטוקול מספר 368, 2017-03-21 12:30

רויטל סויד: צהרים טובים וברוכים הבאים לישיבה נוספת של ועדת החוקה.

רויטל סויד: היום אנחנו נמצאים בישורת האחרונה של התקנת תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017.

רויטל סויד: אני מאוד מאוד מקווה שהיום נגיע לסיום התקנת התקנות ונוכל לעשות היסטוריה בהסדרת נושא אבטחת המידע במאגרי מידע גדולים, שמכילים הרבה מאוד פרטים אישיים שקשורים להגנת הפרט על כל אחד מאתנו.

רויטל סויד: ערבנו והקראנו סעיף סעיף וכל אחד אמר את ההשגות, ההערות וההארות שהיו לכל אחת מן התקנות.

רויטל סויד: היום נותרנו עם תקנה 20.

רויטל סויד: נעבור עליה, נשמע כמובן את הגורמים ואת הגופים - את משרד המשפטים, את רמו"ט ואת סייבר - ולאחר מכן נעבור להצבעות.

רויטל סויד: משרד המשפטים, ליאת, קראי את תקנה 20 והסבירי אותה.

מאיר שלום: "סמכויות הרשם 20.

מאיר שלום: (א) (1) הרשם רשאי, אם ראה כי קיימים טעמים שמצדיקים זאת, לפטור מאגר מסוים מחובות אבטחת מידע לפי תקנות אלה, או להחיל על מאגר מסוים חובות לפי תקנות אלה, כולן או חלקן, לפי נסיבות העניין, ובין היתר בהתחשב בגודל המאגר, סוג המידע שנמצא בו, היקף הפעילות של המאגר או מספר בעלי ההרשאות בו; (2) פטור מחובות או החלת חובות לפי פסקה (1) ייעשה בהודעה בכתב לבעל המאגר; בהודעה כאמור יקבע הרשם את המועד לתחילת הפטור או ההחלה, לפי העניין, ויכול שיקבע מועדים שונים לעניין תקנות שונות.

מאיר שלום: (ב) הרשם רשאי להורות כי מי שיעמוד בהוראות מסמך מנחה בעניין אבטחת מידע או בהנחיות של רשות מוסמכת בעניין אבטחת מידע החלות עליו, יראו אותו כמקיים הוראות תקנות אלה, כולן או חלקן, אם השתכנע כי עמידה בהוראות המסמך המנחה בעניין אבטחת מידע או בהנחיות הרשות המוסמכת, לפי העניין, באופן שהורה לפי תקנות אלה, מבטיחה את רמת האבטחה הקבועה בתקנות אלה לגבי אותו מאגר מידע; לעניין זה – 'רשות מוסמכת' - גוף ציבורי המוסמך על פי דין לתת הנחיות בעניין אבטחת מידע; 'מסמך מנחה בעניין אבטחת מידע' –תקן רשמי, תקן ישראלי או תקן בין-לאומי, כמשמעותם בחוק התקנים, התשי"ג-1953, או מסמך ייחוס, שהרשם אישר לעניין זה.

מאיר שלום: " תקנה (א): כמו שתיארנו כאן במהלך כל הדיונים, התקנות קובעות רמות שונות של אבטחה, הן חלות על סוגים שונים של מאגרים ונדרשת גמישות.

מאיר שלום: לפעמים יהיו מאגרים ספציפיים שרמת האבטחה שהם מצויים בה לפי התקנות לא הולמת את המאגר מפאת סוג הפעילות, היקף הפעילות, בעלי ההרשאות וכו', ויהיה מקום להחיל עליהם חובות מסוימות או לפטור מחובות מסוימות.

מאיר שלום: זו תכלית התקנה - לתת לרשם את הסמכות לעשות זאת.

רויטל סויד: אם בעל מאגר סבור שצריך להחיל עליו יותר או פחות, מה הפרוצדורה: איך הוא פונה?

רויטל סויד: למי הוא פונה?

רויטל סויד: מה החובה של הרשם להיפגש אתו או לשמוע אותו?

רויטל סויד: איך זה אמור להתנהל באופן טכני וגם במהות למי שיש טענות כאלה?

מאיר שלום: כמו כל סמכות אחרת, גם בעל המאגר יכול לפנות בעצמו וזו גם יכולה להיות יוזמה של הרשם.

מאיר שלום: למשל, יכול להיות שאגב פיקוח הוא נתקל במאגר מידע שרמת האבטחה בו לא הולמת את אותו מאגר.

מאיר שלום: כמו כל פעילות של רשות מנהלית, הרשות צריכה לבחון את הפניה לפי כל הכללים ולקבל החלטה מנומקת בהודעה בכתב לבעל המאגר.

מאיר שלום: תקנת משנה (א)(2) מדגישה את נושא ההודעה וגם את הקביעה של המועדים לתחילת כל תקנה ותקנה.

מאיר שלום: זה לגבי תקנה (א).

מאיר שלום: לגבי תקנה (ב), זה מתקשר לדיונים שהיו כאן בהקשרים שונים.

מאיר שלום: זו תקנה חדשנית - אני לא מכירה תקנות כאלה - שנועדה להקל על המפוקחים ולייצר ודאות.

מאיר שלום: כאשר יש כמה רגולטורים או מסמכים מנחים שתקפים לגבי אותו מאגר מידע או אותו ארגון, הרשם רשאי לקבוע שמי שעומד בהוראות של הרגולציה האחרת יראו אותו גם כעומד בהוראות התקנות כולן או חלקן.

רויטל סויד: זו תהיה החלטה בדיעבד, רק במידה שיפנו אליהם או רק במידה שיתגלה איזשהו ליקוי או רק במידה שלא יעמדו בתקנות?

רויטל סויד: איך זה אמור להגיע - - - ?

מאיר שלום: תיכף חברי מרמו"ט יפרטו.

מאיר שלום: מול הרגולטורים המרכזיים, כשיש תחומי חפיפה, רמות, במהלך כל השנים שתקינת התקנות הזאת מתקדמת וכמובן שגם לאחרונה, פועלת מול הרגולטורים על מנת להגיע להבנות והסכמות בעניין הזה.

מאיר שלום: אני מזכירה שתחילת התקנות היא שנה לאחר מועד אישורן.

מאיר שלום: זו פעולה נמשכת ומתקדמת.

רויטל סויד: נשמע את רמו"ט, נשמע את הסייבר – אם הם רוצים – את היועץ המשפטי אלעזר שטרן ואחר כך את חברי הכנסת, כדי שנקבל תמונה לפני שאנחנו דנים.

רויטל סויד: בבקשה.

<אלון בכר: באופן לא שגרתי, עוד לפני שהתקנות עברו, כבר קיימנו מגעים עם מי שחשבנו שהוא רלוונטי או שהוא פנה אלינו, וזה לא גוף אחד או שניים, זה יותר.

<אלון בכר: עם חלק מהגופים האלה, דווקא עם הגדולים שבהם, כבר הגענו להסכמות מלאות והבנה מלאה איך הדברים יתנהלו – ואני מדבר גם על גופי ביטחון וגם על גופים אחרים.

<אלון בכר: עם הגופים האחרים, האזרחיים יותר דווקא, אנחנו בשלבים מאוד מתקדמים, רמות הסכמות כמעט מלאות.

<אלון בכר: עוד אין נייר סופי חתום בחלק מהמקומות, אבל ההבנה לגבי מה צריך לעשות ואיך לעשות היא כבר כמעט שלמה.

<אלון בכר: אספר שהיום בבוקר קיימתי שיחה עם המפקחת על הבנקים כדי לוודא שאנחנו רואים עין בעין איך הדברים צריכים להתנהל, ואני יכול להגיד שאנחנו רואים עין בעין וגם קבענו להיפגש בעוד שבועות מספר כדי לוודא שהסגירה היא סופית, מוחלטת ומלאה.

<אלון בכר: במובן הזה, כל מי שחשבנו שיש לו ממשק אתנו – כי אנחנו פעילים בשטח בלי קשר לתקנות המעודכנות – פנינו אליו, וכל מי שפנה אלינו, קיימנו אתו דיונים וסגרנו או שאנחנו בשלב מתקדם.

<אלון בכר: אז במובן הזה, בהתחשב בזה שהתקנות יעברו היום – אני מאוד מקווה - ותחולתן בעוד שנה, אנחנו במוכנות מאוד מאוד גבוהה עוד המון זמן לפני שבכלל מתעורר איזשהו קושי.

רויטל סויד: אבל זה עם הגופים הגדולים.

רויטל סויד: אני מניחה שבעלי מאגרים ברמת אבטחה יותר נמוכה יתעוררו רק לאחר שהתקנות יעברו, גם בגלל חוסר מודעות וגם בגלל שרק אז תתעוררנה שאלות.

<אלון בכר: יכול להיות, אבל שנה של היערכות זו תקופה מאוד מאוד משמעותית, שמאפשרת לכל גורם להבין מה הוא רוצה.

<אלון בכר: אני חושב שכדאי להדגיש שרוב הדברים יהיו עם גורמים שמייצרים רגולציה שמשיקה, לא עם גורם שיש לו מאגר ספציפי בהכרח, כי גורם שיש לו מאגר ספציפי בהכרח, אני מניח שיתייעץ עם יועץ משפטי, יבין אם יש לו איזה פער ויסגור את הפער.

<אלון בכר: יש לו שנה לסגור את הפער, אם הוא חושב שיש פער, או שיש לו איזו סיבה שלא לסגור אותו.

<אלון בכר: אנחנו מדברים בעיקר על הגורמים שמוציאים הנחיות, שאלה הגורמים שבהם יש חשיבות ציבורית גדולה מאוד.

<אלון בכר: לא ניתן מצב שבו יהיו הנחיות סותרות או מצב שבו גורם מפוקח לא יודע מה הוא צריך לעשות.

<אלון בכר: זה לא יקרה; אנחנו דואגים שזה לא יקרה, ואנחנו דואגים מבעוד מועד שזה לא יקרה, עוד הרבה לפני שיתעורר חשש למשהו כזה.

רויטל סויד: אוקיי.

רויטל סויד: פרנקו, אתה רוצה להוסיף?

<רפאל פרנקו: כן.

<רפאל פרנקו: צהרים טובים.

<רפאל פרנקו: בתקופה האחרונה עשינו מאמצים, גם עם רמות, כדי להגיע להסכמות.

<רפאל פרנקו: אמנם עוד לא חתמנו על הסכם אבל אנחנו לגמרי בישורת האחרונה.

<רפאל פרנקו: התפיסה, כמו שאמרתי בפעם הקודמת, של תורת ההגנה הלאומית שרואה את כל מרחב הסייבר במדינת ישראל תהיה התורה שמכתיבה איך צריך להתנהג המשק הישראלי בהתגוננות שלו.

<רפאל פרנקו: ההתגוננות שלו מכילה בתוכה גם היבטים של פרטיות, אבל גם נושאים אחרים, כמו: תגובה, יכולת חקירה, יכולת מודיעין, יכולת סיכול, יכולות טכנולוגיות מתקדמות שמדינה צריכה לאפשר למשק על מנת שהיא תוכל להתמודד עם הנושאים שעומדים לפתחה.

<רפאל פרנקו: הדבר השני בהיבט של פרטיות, שבו אנחנו כבר מסוכמים, שבו באירוע פרטיות חמור, עם נקודות שאנחנו חושבים שיכולות להיות להן השקה לביטחון הלאומי, רמו"טיעדכנו אותנו, במידת הצורך.

<רפאל פרנקו: ככל שנבין שהאירוע הזה מתרחב להיבטים לאומים של חיי אדם, ביטחון כוחותינו, ביטחון פעילויות שמדינת ישראל עושה או נושאים כלכליים כבדים, אז רשות הסייבר תפעל להגנה, עם כל היכולות המבצעיות שלה, שכמובן לא אוכל לפרט פה.

<רפאל פרנקו: זה עיקר ההסכמה.

<רפאל פרנקו: אנחנו ממש בישורת האחרונה.

<רפאל פרנקו: לא הגענו לחתימה פיזית על מסמך, אבל אנחנו כמעט מסוכמים ברוב הדברים ואני מאמין שברוח הזאת נוכל להתקדם.

רויטל סויד: תודה.

רויטל סויד: חברת הכנסת יעל כהן-פארן, בבקשה.

יעל כהן-פארן: תודה רבה.

יעל כהן-פארן: קודם כול, אני מברכת על הדיון ואני מקווה שהתקנות, שהן מאוד חשובות, יאושרו וההדורים בין הצדדים השונים יוסדרו.

יעל כהן-פארן: יש לי שאלה לגבי סמכויות הרשם בסעיף 20.

יעל כהן-פארן: האם בסעיף שקראנו אין סמכויות נרחבות מדי, לטעמך?

יעל כהן-פארן: האם כבר ניתנה על כך הדעת?

רויטל סויד: לגבי איזה נקודות?

יעל כהן-פארן: לגבי הנקודה שהוא רשאי לפטור מאגר מסוים מחובות אבטחה לפי תקנות אלה.

יעל כהן-פארן: זה מאוד רחב.

יעל כהן-פארן: אנחנו סומכים על הגורמים האחראים ועל הרשם, אבל אולי פה יש מקום לפיקוח, של הוועדה או מישהו אחר.

יעל כהן-פארן: אני מעלה את זה כי בעיניי זו אחריות מאוד רחבה לפטור.

אלעזר שטרן: אני חושב שאם תשימי לב לתיקונים הניסוחיים שעשינו, נתנו את דעתנו על הדבר הזה וגם הוספנו שיש צורך בטעמים שמצדיקים זאת.

יעל כהן-פארן: אבל מי הגורם?

אלעזר שטרן: זאת אומרת, זה לא משהו כללי וגם יש פה הבניה של שיקול הדעת של הרשם, שהוא חייב להתחשב בגודל המאגר וסוג המאגר.

אלעזר שטרן: זאת אומרת, זה חייב להיות מאוד מותאם לנסיבות.

אלעזר שטרן: זו לא סמכות פרוצה לעשות מה שהוא רוצה, אלא יש פה הבניה גם במובן שחייבים להיות טעמים שמצדיקים את זה וגם במובן שזה חייב להיות מותאם, תפור על המאגר הספציפי לפי הנסיבות שלו והאופי של המאגר.

יעל כהן-פארן: ולמי הוא חייב את הדיווח?

יעל כהן-פארן: זאת השאלה, כי הכול יכול להיסגר בלי שקיפות ציבורית או עם שקיפות מאוד חלקית, רק למי שמאוד מאוד מתעניין, ואין פה שום חובת דיווח לאף גורם.

רויטל סויד: אולי באמת תתייחסו לזה?

רויטל סויד: איל, בבקשה.

<איל זנדברג: ראשית, שימי לב שהתקנה מתייחסת למאגר מסוים, לא לשינוי נורמטיבי.

<איל זנדברג: לרשם אין סמכות לשנות את הדין לגבי סוגי מאגרים באופן כללי, שזו אולי פעילות שהייתי יכול להבין את הרגישות הנובעת.

<איל זנדברג: מדובר על מאגר מסוים, שקשור לנסיבות שלו, ולכן פיקוח פרלמנטרי, כמו שהשתמע מדברייך, הוא מסוג הדברים שהוא לא קיים – אנחנו לא מפקחים על מאגר זה או אחר.

<איל זנדברג: זו נקודה אחת.

יעל כהן-פארן: אבל זה יכול להיות הרבה מאגרים מסוימים.

<איל זנדברג: מאגר מסוים הוא מאגר מסוים.

יעל כהן-פארן: מאגר של המשטרה, מאגר של הצבא, אני לא יודעת מה.

<איל זנדברג: אנחנו מתמקדים עכשיו בתקנה הזאת.

<איל זנדברג: אבל כל סמכות שניתנת לרשות מנהלית, בכלל זה גם הרשם אם נקודת המבט היא כפי שאת מציגה אותה - שמא אותו בעל הסמכות יעשה שימוש לרעה בסמכות ומי ידע - הרי בתחילת הדרך, בכלל כשרושמים מאגר וכשמפקחים, מי יתקע לידנו שרשם לא יחליט לפקח יותר על מאגר פלוני ולפקח פחות על מאגר אלמוני?

<איל זנדברג: אני, כמובן, לא חושב שזה נכון.

<איל זנדברג: אנחנו סומכים וגם ההיסטוריה מוכיחה את זה.

<איל זנדברג: אבל היא לא צריכה להוכיח את זה, יש פה רשות מנהלית שפועלת בצורה תקינה.

<איל זנדברג: אם הם יכולים לבחור כל יום על מי לפקח, על מי לא לפקח, על מי להטיל עיצומים כספיים כאלה ואחרים כשיגיע חוק או היום להטיל – השאלה הזאת חלה יומיום, היא לאו דווקא מתבררת בשאלה אם הוא הגיע למקום מסוים ודווקא באותם מאגרי המידע, כשנושא הגנת הפרטיות במאגרי מידע זה לחם חוקו, הוא יחליט להוריד את רמת האבטחה.

<איל זנדברג: נדמה לי שזה לא החשש, גם בראייה הרחבה, הכללית, של איך אנחנו מעניקים סמכויות לגופים מנהליים, גם בהקשר הספציפי של הרשם ומה שהוא הוכיח עד היום וגם מבחינת המטריה עצמה.

<איל זנדברג: אני לא רואה פה איזשהו חשש על מאגר מסוים.

<איל זנדברג: ניצול לרעה תמיד יכול להיות; אני לא חושב שמישהו בכלל מעלה על הדעת ניצול לרעה בכיוון הזה, בהקשר הזה, ולכן אני חושב שהתקנה ממש נותנת מענה לחשש שהצגת.

רויטל סויד: תודה.

רויטל סויד: חברת הכנסת יוליה מלינובסקי, בבקשה.

יוליה מלינובסקי: בהמשך למה שאמרה חברת הכנסת יעל כהן, אולי כדאי להכניס דיווח פעם בשנה לוועדת החוקה, חוק ומשפט על כמות המאגרים שנבדקו.

רויטל סויד: זאת אומרת, באופן כללי לגבי התקנות ולאו דווקא לגבי תקנה 20.

יוליה מלינובסקי: כן כן.

יוליה מלינובסקי: אני כל הזמן מכוונת לזה שהדברים יהיו שקופים.

יוליה מלינובסקי: למה שלא יהיה מצב, בגלל שזה נושא רגיש, נושא שמאוד חשוב - - -

רויטל סויד: יש בזה היגיון.

רויטל סויד: אני לא יודעת אם כל שנה, אבל יש בזה היגיון.

מאיר שלום: לפי חוק הגנת הפרטיות הרשם - - -

<אלון בכר: אנחנו מדווחים בכל אפריל לוועדת החוקה על כל פעולות הפיקוח שעשינו בשנה הקודמת.

<אלון בכר: זה יהיה חלק מהדיווח.

<אלון בכר: אנחנו מדווחים, על-פי דין, פעם בשנה לוועדת החוקה.

יוליה מלינובסקי: אז אפשר להוסיף פה גם את פעילות הרשם.

יוליה מלינובסקי: זה יהיה פשוט בתוך אותו דיווח.

<אלון בכר: אפשר להוסיף, אבל לדעתי לא צריך להוסיף כי הרי זו פעילות פיקוח והחוק מחייב אותנו לדווח לוועדת החוקה על פעילות הפיקוח שלנו.

רויטל סויד: זה אומר את רמות, לא את משרד המשפטים.

<אלון בכר: הדוח הוא של רשם מאגרי מידע, שמוגש לוועדת החוקה.

מאיר שלום: אפשר לקרוא, זה סעיף 10א לחוק הגנת הפרטיות: "לא יאוחר מה-1 באפריל בכל שנה תגיש המועצה להגנת הפרטיות לוועדת החוקה, חוק ומשפט של הכנסת דין וחשבון שיכין הרשם על פעולות האכיפה והפיקוח בשנה שקדמה להגשת הדוח, בצירוף הערותיה של המועצה".

יוליה מלינובסקי: יופי.

יוליה מלינובסקי: סעיף 20 ייכנס לדיווח הזה?

רויטל סויד: בוודאי.

יוליה מלינובסקי: עכשיו כמה שאלות פרקטיות, ברשותך.

יוליה מלינובסקי: פספסתי את הדיון הקודם אבל ניסיתי לעקוב אחרי מה שקורה בעניין הזה.

יוליה מלינובסקי: תסבירו לי, רשויות מקומיות, מה הרמה - - - ?

מאיר שלום: לפחות רמה בינונית, כי הם גוף ציבורי.

מאיר שלום: הסברנו בדיון הקודם בהסתכלות על התוספות שחידדנו את זה כי הבנו שהיתה הבנה בנושא הזה.

מאיר שלום: גוף ציבורי, נקטנו בעניינו נורמה מחמירה.

מאיר שלום: המינימום שמאגר מידע של גוף ציבורי יכול להיות הוא רמת אבטחה בינונית, ויכול להיות שהוא יהיה גם ברמת האבטחה הגבוהה, זה תלוי במאגר.

יוליה מלינובסקי: אבל מצד שני אתם אומרים שמאגר מידע הוא לפי מספר האנשים שנכנסים בו.

רויטל סויד: אבל עצם העובדה שהוא גוף ציבורי - - -

יוליה מלינובסקי: הבנתי.

<יהונתן קלינגר: זאת אומרת, יכול להיות שיבוא קיבוץ עם 20 חברים ויקבל פטור.

<יהונתן קלינגר: זה מה שהסעיף הזה מאפשר.

מאיר שלום: היא שאלה לגבי שלטון מקומי.

מאיר שלום: התשובה לחברת הכנסת היא ששלטון מקומי זה גוף ציבורי וזה לפחות - - -

יוליה מלינובסקי: אני ממשיכה.

יוליה מלינובסקי: בגלל ששלטון מקומי זה משהו מאוד גדול ורחב - 254 רשויות - האם אתם מתואמים, מבחינת הכללים, עם משרד הפנים?

<איל זנדברג: באיזה מובן?

יוליה מלינובסקי: מבחינת הסטנדרט, מבחינת הנורמות.

מאיר שלום: למיטב ידיעתי, משרד הפנים לא קבע שום נורמה בהיבט של אבטחת מידע, אבל התקנות האלה עברו את כל ההליכים, לרבות - - -

יוליה מלינובסקי: אנחנו לא רוצים להגיע למצב שכל רשות מקומית תעשה לפי רוחה, אז מה שתעשה תל-אביב זה לא מה שיעשה כפר קאסם.

יוליה מלינובסקי: בהתחשב בעניין שהשלטון מקומי נבנה מעיריות, מועצות אזוריות, ואחר כך יש הרבה חברות בת.

יוליה מלינובסקי: יש חברה בת בעירייה שמתעסקת עם חינוך בלתי פורמלי, שיש לה מאגר מידע ענק של ילדי העיר.

רויטל סויד: ממה את חוששת?

יוליה מלינובסקי: אני חוששת מהחלקיות של הדבר.

יוליה מלינובסקי: אם אנחנו כבר הולכים להליך הזה, שבעיניי הוא מצוין וחשוב, אני מציעה לכם לחשוב על השלטון המקומי, לשבת עם משרד הפנים ולבנות סטנדרט לשלטון המקומי, כי זה יקל אחר כך על הביצוע, בהתחשב בעניין ששלטון מקומי זה לא גוף אחד – זה לא רק עירייה - אלא זה מורכב מהרבה חברות עירוניות, שכביכול הן חברות בת, ולפעמים גם עמותה.

יוליה מלינובסקי: שכל המערך הזה ייכנס להגדרה של "ציבורי", כי חברת בת - - -

רויטל סויד: אם אני מבינה נכון, התיאור שחברת הכנסת מלינובסקי מעלה עכשיו נכנס תחת ההגדרה.

רויטל סויד: זאת אומרת, כל עירייה, גם השלוחות שלה, הן - - -

יוליה מלינובסקי: אני מציעה לכם לרשום בחוק "ציבורי או כפוף".

יוליה מלינובסקי: אז את פותרת את הקטע של חברות הבת.

רויטל סויד: הסיטואציה שהיא מדברת עליה לא נכנסת עכשיו בתקנות?

<גילי בסמן: אני לא חושבת שזה יהיה נכון לרדת לרזולוציה הזאת.

<גילי בסמן: גם לרשויות המקומיות החזקות ביותר יש מגוון של מאגרים, יש להן סוגים שונים של מאגרים, חלקם רגישים וחלקם פחות.

<גילי בסמן: אני חושבת ששנת ההיערכות תיתן גם למשרד הפנים וגם למרכז השלטון המקומי את הזמן לעצב את הסטנדרטים שהם רוצים, וכמובן שרמו"טתוכל לסייע להם.

מאיר שלום: התקנות מתלבשות על המונחים של החוק.

מאיר שלום: ככה זה.

יוליה מלינובסקי: למשל, כשמדברים על חינוך אנחנו כותבים שזה ליד השלטון המקומי או כל גוף שמנוהל על-ידי השלטון המקומי.

יוליה מלינובסקי: אני פשוט מכירה את השלטון המקומי מבפנים; עיריות תמיד מנסות להפריט מעצמן.

רויטל סויד: את מדברת על סיטואציה, ותקנו אותי אם אני טועה, שבה תת-המאגרים, גם רמת המידע שתהיה בהם, גם עליהם כשלעצמם יש חובות, בכלל בלי קשר לזה שהם חלק מהשלטון המקומי.

רויטל סויד: אולי הם ברמת אבטחה - - -

<ניר גרסון: זה חל על כל עמותה ועל כל חברה, לא רק על גופים ציבוריים.

רויטל סויד: בדיוק.

רויטל סויד: אולי זה לא יהיה ברמת אבטחה של הגוף הציבורי, אבל יש עליהם רמות אבטחה של - - -

יוליה מלינובסקי: אני בעדכם, אני לא נגד.

יוליה מלינובסקי: אני פשוט מבקשת שתבינו שבשלטון המקומי – בעיריות, בחברות עירוניות שמתעסקות עם החינוך, שגם רישום לגן הולך לשם - יש שם המון מידע על האזרח.

יוליה מלינובסקי: למשל, איגוד ערים למים ולביוב.

יוליה מלינובסקי: אני מציעה לכם, בהתארגנות של שנה שיש לכם עד הכניסה לתוקף של התקנות, להתייחס לזה בכובד ראש, לשבת עם משרד הפנים ולבנות סטנדרט לכל השלטון המקומי והמשתמע מכך, כדי שזה יהיה משהו אחיד וברור.

יוליה מלינובסקי: זו הצעתי.

רויטל סויד: יש פה את עורך דין יוסי אוחנה מהשלטון המקומי, אולי תוכל להתייחס לדברים.

<יוסי אוחנה: שלום, גברתי.

<יוסי אוחנה: ראשית, אני מצטרף להמלצה של חברת הכנסת, שיש מקום שהתקנות, בהתייחס לגופים ציבוריים שאינם רשויות מקומיות, ייעשו בתיאום עם הרשויות המקומיות ובוודאי עם משרד הפנים.

<יוסי אוחנה: בצדק אמרה חברת הכנסת שיש הבדלים ושונות בין הרשויות הגדולות והחזקות יותר לרשויות קטנות יותר, גם באמצעים הטכניים שהן יכולות להעמיד לצורכי הצפנה וגם במישור הכלכלי – אם רשות יכולה להשקיע כספים לעניין הזה.

<יוסי אוחנה: אצטרף להערה ששמעתי פה מאחד הדוברים: כרגע אנחנו לא רואים צורך לרדת לרזולוציה של תאגידים עירוניים או חברות עירוניות כי ממילא ההגדרה בתקנות היא רחבה.

<יוסי אוחנה: זאת אומרת, אם אותו גוף – חברה עירונית לצורך העניין - מוגדרת כבעלת מאגר בינוני או גבוה, החוק חל עליה ממילא.

<יוסי אוחנה: רשות בפני עצמה היא ממילא בתוך התקנות, כגוף ציבורי.

<יוסי אוחנה: אבל בהחלט יש מקום, לאור העלויות ולאור ההיבטים המקצועיים, שהשלטון המקומי ומשרד הפנים ביחד יתקנו את התקנות או הקריטריונים שיותר רלוונטיים לרשויות המקומיות, בשים לב לשוני שיש בין רשויות כאלה ואחרות כי זה בהחלט משמעותי.

יוליה מלינובסקי: זה מה שביקשתי.

אלעזר שטרן: חברת הכנסת מלינובסקי, אני רוצה להסב את תשומת ליבך לתקנה 15, שבין היתר, נועדה לתת מענה בדיוק לדבר שאת מדברת עליו.

אלעזר שטרן: תקנה 15, שדנו בה בדיון הקודם, מדברת בדיוק על מצב שבעל מאגר מתקשר או עובד עם גורם נוסף, מחזיק, ומה החובות שחלות עליו לקבוע בהסכם עם הגורם שהוא עובד אתו.

אלעזר שטרן: זאת אומרת, תקנה 15 נועדה לתת מענה בדיוק לדבר הזה.

יוליה מלינובסקי: אתן לך דוגמה.

יוליה מלינובסקי: יש חברה לאוטומציה שמספקת שירותים לכל השלטון המקומי, אז היא בעצם ספק שגם עליו יחולו אותן חובות.

יוליה מלינובסקי: שאלה נוספת, ברשותך: מוסכים.

יוליה מלינובסקי: אני מנסה להבין לאיזו רזולוציה זה ייכנס, כי מצד אחד זה לא מידע אישי, אבל מצד שני יש שם מידע אישי ויש שם מידע על הרכוש.

יוליה מלינובסקי: כל מוסך מחזיק מידע על לקוחותיו, אבל בנוסף יש מה שנקרא "מוסכים מורשים" שעובדים עם יבואני הרכב והם מחזיקים מידע על כל בעלי הרכב מאותה חברה.

יוליה מלינובסקי: למשל, אם יש לי רכב "טויוטה" ואני מטפלת בו במוסך מורשה בחולון או באילת – הם פותחים מחשב ורואים הכול, כי זו רשת.

יוליה מלינובסקי: איך אתם מתייחסים לרשתות, מועדוני לקוחות?

יוליה מלינובסקי: איך זה יעבוד?

יוליה מלינובסקי: אני מנסה להבין כי היו ויש משם דליפות כל הזמן.

<גילי בסמן: הסיפור של המוסכים מוכר.

<גילי בסמן: יש כאלה שמקפידים יותר, יש מקרים שנבדקו שהם - - -

יוליה מלינובסקי: יש מוסך פרטי ויש רשת.

<גילי בסמן: הבעלים של הרשת הוא בעל המאגר.

<גילי בסמן: הסוכנויות האלה מחזיקות לפעמים את המאגר כולו או חלק ממנו, וגם כן כפופות לתקנות האלה ויצטרכו להגביל את רשויות הגישה ולבדוק אם הם לא מחזיקים מידע עודף.

יוליה מלינובסקי: אכנס לעומק.

יוליה מלינובסקי: יש יומני רכב.

יוליה מלינובסקי: לצורך הדוגמה, "טויוטה", מוכרת ואחר כך לקוחות מטפלים ברשת המוסכים שלה.

יוליה מלינובסקי: מי אחראי על המאגר - יבואן הרכב שהוא מחזיק המאגר הראשי או אותו מוסך א', ב', ג'?

רויטל סויד: כל אחד על המאגר שלו.

<גילי בסמן: שניהם אחראים.

רויטל סויד: לכל אחד יש אחריות, כל אחד יש לו את המאגר שלו.

יוליה מלינובסקי: תקשיבו, זה הכול מניסיון.

יוליה מלינובסקי: למה שלא תהיה הגדרה של מחזיק ראשי ומחזיק משנה?

יוליה מלינובסקי: היתה על זה מחלוקת – מניסיון – כי אותן חברות גדולות של רכבים טוענות שהן לא מחזיקות שום דבר וזה לא מאגר.

<גילי בסמן: מחזיק הוא מחזיק, ולבעל מאגר יכולים להיות מחזיקים שונים, וההוראות חלות על כל המחזיקים.

<גילי בסמן: המונחים הם מהחוק והחוק מתייחס ל"מחזיק".

רויטל סויד: לכל אחד יש חובות עצמאיות משלו.

<גילי בסמן: ואין מחזיק שהוא שונה ממחזיק אחר.

<ניר גרסון: ובכל מקרה, התקנות חלות גם על בעל המאגר וגם על המחזיק.

<ניר גרסון: השאלה הזאת מעניינת אבל לא צריך להכריע פה, כי זה חל על שניהם בכל מקרה.

<גילי בסמן: והאחריות על כניסה לא מורשה היא גם על בעל המאגר וגם על המחזיק במקרים האלה.

<גילי בסמן: זה באמת חשוב שיבהירו את הדברים האלה וייקחו אותם לתשומת הלב, כי לפעמים זה תחום פרוץ.

מאיר שלום: חברת הכנסת מלינובסקי, בתקנה 19(א) החובות החלות על בעל מאגר מידע יחולו גם על מנהל המאגר, למעט החובות הקבועות בתקנות 2(15)(א) הן יחולו גם על מחזיק המאגר, בשינויים המחויבים ולפי העניין.

מאיר שלום: דרך אגב, כמו שהסברנו כאן, זו נגזרת של חוק הגנת הפרטיות שקובע את חובת אבטחת המידע.

יוליה מלינובסקי: אני מאוד שמחה שאתם מעלים את זה ואני מאוד שמחה להשתתף בדיון הזה, כי הדברים האלה הם לא מדע בדיוני, זה קורה כל יום.

רויטל סויד: תודה.

יוליה מלינובסקי: ושאלה אחרונה - - -

רויטל סויד: היתה אחרונה.

רויטל סויד: אחרונה אחרונה.

יוליה מלינובסקי: נושא הקנסות – לא הספקתי להיכנס לעומק, אבל אני לא רוצה שיהיה מצב שעדיף לו לשלם 5,000 שקל ושיעזבו אותו בשקט ולא יתעסק עם כל הסיפור הזה.

יוליה מלינובסקי: מה קורה עם זה עכשיו?

יוליה מלינובסקי: פשוט פספסתי את הישיבה הקודמת.

<גילי בסמן: את מדברת על העיצומים הכספיים, שזה תיקון חקיקה שאנחנו מחכים לו.

יוליה מלינובסקי: זה עוד לא כולל?

יוליה מלינובסקי: עד איזה סכום אתם רוצים להגיע?

<איל זנדברג: זה עוד לא התקנות שלפניכם.

יוליה מלינובסקי: זה פשוט מעניין אותי.

יוליה מלינובסקי: עד איזה סכום אתם רוצים להגיע?

יוליה מלינובסקי: אין עוד.

יוליה מלינובסקי: הבנתי.

יוליה מלינובסקי: אבל אתם מבינים שבלי זה, זה בלי שיניים.

יוליה מלינובסקי: זה צריך להיות סכום נאה, שירגישו.

יוליה מלינובסקי: למשל, על חוק המאבטחים עשיתי עיצומים כספיים של 20,000 שקל, אז זה מורגש.

יוליה מלינובסקי: צריכים לחשוב על הכיוון הזה.

רויטל סויד: תודה רבה, יוליה.

רויטל סויד: עורך דין יהונתן קליגר ואחר כך חברת הכנסת ברקו, אם תרצי להתייחס.

<יהונתן קלינגר: רציתי להגיד לגבי סעיף 20.

<יהונתן קלינגר: אני יודע שאהיה פה במיעוט, אבל אם היה אפשר להוסיף לא רק פטור ספציפי אלא פטורי סוג.

<יהונתן קלינגר: לצורך העניין, אם נתתם פטור לפסיכולוג א' מחובה מסוימת ויומיים אחרי זה בא גם פסיכולוג ב' וקיבל את אותו פטור כי הנחתם שאצל פסיכולוגים נכון שצריך לנהל מאגר מסוים, אבל יש איזשהו ויתור שאפשר לעשות בתקנות.

<יהונתן קלינגר: אם אפשר לפרסם את ההנחיה הזאת כוויתור כללי או פטור כללי, כדי שתהיה אכיפה שוויונית.

<יהונתן קלינגר: דבר שני, במסגרת הדיווחים, אני חושב ש-10(א), אבל אולי להוסיף שתדווחו על כמות הפטורים או דברים כאלה בדיווח, כי זה לא מופיע בחוק.

<יהונתן קלינגר: כתוב בכלליות על פעילויות הפיקוח.

<איל זנדברג: אתה מתייחס לעניין הפטורים לסוג.

<איל זנדברג: זו נקודה משמעותית מבחינת המדרג הנורמטיבי.

<איל זנדברג: אנחנו מתייחסים ברצינות למה שעושה הכנסת בחקיקה, למה שעושה שר, בהסכמת הכנסת, בתקנות ומה שעושה פקיד משרד פיקוח על תקנות.

<איל זנדברג: אם מדברים על שינויים של סוג, בעינינו זה כבר איזשהו שינוי של הנורמה, כי הנורמה קבעה – וראינו שהוועדה התחבטה והתלבטה איך להגדיר ומה לכלול.

<איל זנדברג: זו התלבטות שצריכים קובעי המדיניות לקבוע.

<איל זנדברג: מדובר בנסיבות מסוימות, קובעי המדיניות לא יכולים לעבור מאגר מאגר וזה בדיוק התפקיד של רשם מאגרי המידע.

<איל זנדברג: אם רשם מאגרי המידע יגיע למסקנה שהוא רואה תופעה שהוא שינה לצורך מסוים והוא מגלה שכל הסוג הזה הוא כזה, אז באמת ראוי לשנות את התקנות ולשנות את העיוותים.

<איל זנדברג: אנחנו לא חושבים ששינוי תקנות ושינוי הנורמה צריכים להיעשות על-ידי הפקיד המוסמך.

<איל זנדברג: במובן הזה דווקא - - - את הפיקוח.

<איל זנדברג: לגבי העניין השני, אודה שאנחנו מאוד שמחים להיות שקופים ולדווח, ולכן אני לא רואה צורך מיוחד לומר את זה דווקא כאן.

<יהונתן קלינגר: אני מעריך שאני אחד האנשים היחידים שקורא את הדיווחים השנתיים שלכם - - -

רויטל סויד: זה נראה לי סעיף שבמהות מחייב דיווח.

<יהונתן קלינגר: אני קורא, אני אוהב את הדיווחים.

<יהונתן קלינגר: אתם כותבים אותם טוב.

<יהונתן קלינגר: אני פשוט מפחד ממה יקרה בעוד עשר שנים, אם יהיו חילופים.

יוליה מלינובסקי: למה לא להכניס במפורש שזה חייב דיווח?

<אלון בכר: קודם כול, אנחנו מפרסמים דיווחים גם פעם בשנה – שזה הנייר הפורמלי – אבל אנחנו מפרסמים פעילות, דיווחים וגם הנחיות לאורך כל תקופת השנה ומנסים בשקיפות מלאה ככל שניתן כרגולטור בנושא מסוים.

<אלון בכר: אני רוצה להגיד שני דברים בעניין הזה.

<אלון בכר: אחד, רמו"טמדי פעם מפרסמת הנחיות שוק כלליות לגבי פרשנותה לאיך היא אוכפת את הדין.

<אלון בכר: ברור, וגם הצהרנו על זה בישיבות הקודמות, שבנושא של תקנות חדשות שמייצרות איזה סוג של בהירות אבל בתקופה הראשונה ברור שגם יהיו המון שאלות, התחייבנו לפרסם מדריך כללי שיסביר אותן בצורה עממית ופשוטה, וגם לפרסם, ככל שנראה שצריך, הבהרות, הנחיות, פירושים, כדי שיהיה מינימום של אי הבנה אפילו לפני שהתקנות ייכנסו לתוקף, בוודאי אחרי שייכנסו לתוקף, ונלמד על בעיות שיתעוררו או סוגיות של פרשנות.

<אלון בכר: לגבי הדיווח – מכיוון שכשנעשה פעילות אכיפה זה יהיה חלק מהדיווח שממילא אנחנו מגישים לוועדת החוקה פעם בשנה בכל חודש אפריל זה ממילא יהיה שם, אני מעריך שנפרט יותר דיווחים במסגרת הפעילות השוטפת של הדיווח, במסגרת אתר האינטרנט שלנו, דף הפייסבוק שלנו ומקומות אחרים שאנחנו מוצאים.

רויטל סויד: אלה נתונים שאתם מתכוונים לחשוף?

<אלון בכר: עכשיו אנחנו בתהליך של בניית אתר מתקדם, שיהיה הרבה יותר נגיש, הרבה יותר נוח, הרבה יותר שירותי במובן של הגעה למידע.

<אלון בכר: אבל כבר כיום, כשאנחנו עושים פיקוח אנחנו מעלים את הממצאים לאתר האינטרנט ברגע שהממצאים שלנו חלוטים.

<אלון בכר: אנחנו לא מחכים שישאלו אותנו ואנחנו לא מחכים לאיזה דיווח שנתי בהקשר הזה.

<אלון בכר: אנחנו ממילא שם, ונשמח להיות שם גם בהיבטים של התקנות האלה.

רויטל סויד: וכשתיתנו פטור חלקי, אלו דברים שתעלו אותם גם לאתר באופן שוטף?

<איל זנדברג: אני מניח שלא לגבי מאגר מסוים.

<גילי בסמן: גם לגבי מאגר מסוים, צריך להבין שהעיקר בתקנה הזאת הוא לא התפרקות המהותיות, אלא רק מהחובות הפרוצדורליות.

<גילי בסמן: מתי זה יקרה?

<גילי בסמן: זה יקרה כשמגיע מאגר מסוים – למשל, עלתה הדוגמה על-ידי בנק ישראל של מאגר נתוני אשראי שיש לו חקיקה ספציפית לאבטחת מידע.

<גילי בסמן: אז במקרה הזה אפשר יהיה להגיד ש-א', ב', וג' מתקיימים וכל מה שנדרש להוסיף לפי התקנות שלנו זה עוד שני דברים אחרים.

יוליה מלינובסקי: אבל למה שזה לא יפורסם?

<גילי בסמן: לכן אני חושבת שפטור למאגר מסוים, מסוג המאגרים שאנחנו כרגע חוזים שיבקשו את הפטור, יפורסם.

<גילי בסמן: כשנכיר ברגולציה מסוימת כמספקת – זה יפורסם כהנחיות שלנו, אלה לא יהיו דברים שייסגרו במחשכים.

<גילי בסמן: הדברים האלה יפורסמו.

<גילי בסמן: פלוס, יש את הדוח השנתי.

<גילי בסמן: אני לא רואה צורך להוסיף דרישה ספציפית.

יוליה מלינובסקי: למה אתם מתעקשים - - -?

רויטל סויד: סליחה, יוליה.

רויטל סויד: מערוץ הכנסת מבקשים שכל דובר יציג את עצמו.

<גילי בסמן: אני היועצת המשפטית של רמו"ט.

<גילי בסמן: שלא, חלילה, ישתמע שיש לנו התנגדות לפרסם את זה.

<גילי בסמן: אם יש צורך בדבר הזה - - -

ענת ברקו: אתם גם מקבלים תלונות מהציבור והצבעה על פרצות באבטחת המידע במאגר כזה או אחר?

ענת ברקו: משהו שמאפשר לכם גם להשתפר?

ענת ברקו: יש את האינטראקציה הזו עם הציבור?

<גילי בסמן: יש לנו אינטראקציה עם הציבור - - -

ענת ברקו: ועם אנשי מקצוע?

ענת ברקו: זאת אומרת, שאנחנו אומרים לכם.

ענת ברקו: קורה שאנשים נתקלים - - -

<גילי בסמן: וגם פעילות יזומה שלנו.

<גילי בסמן: בוודאי, כל המכלול.

<אלון בכר: אני ראש רמו"ט.

<אלון בכר: התשובה היא כן.

ענת ברקו: באיזה אופן?

<אלון בכר: בהרבה אופנים: גם בתלונות ישירות, גם בנושא של פניות ציבור, גם בקשר עם רשויות שלטון אחרות שמקבלות, לפעמים, מידע כזה ולא מטפלות בו אבל הן מעדכנות אותנו.

<אלון בכר: לפעמים אנחנו מקבלים עדכון יזום ולפעמים אנחנו מבקשים עדכונים תקופתיים מרשויות, כמו משטרה או גורמים אחרים.

<אלון בכר: גורמי המקצוע בתחום הזה יושבים ברמו"ט, אז כאשר אנחנו נתקלים בפניות שבהן אנחנו רוצים מומחה גדול מהמומחים שיושבים אצלנו, משהו ספציפי, כמובן שאנחנו עושים את השימוש בדבר הזה.

<אלון בכר: אבל המומחיות לנושא הזה היא ברמו"ט.

<אלון בכר: אנחנו חושפים את המידע, ככל שזה לא בזמן חקירה, אנחנו משתפים את הציבור בכל מה שאפשר לשתף את הציבור, ולא רק שהדבר הזה הולך להיות פחות אלא הדבר הזה הולך להתגבר.

<אלון בכר: רק השנה הקמנו מחלקת קשרי ציבור וממשל ברמו"ט שזה אחד מהתפקידים המרכזיים שלה – לחשוף יותר דברים לציבור ולתת לציבור יותר מידע ויותר שקיפות באקט יזום שלנו.

ענת ברקו: אני לא מדברת רק על המובן של השקיפות אלא אני מדברת על האינטראקציה המקצועית.

ענת ברקו: זה נכון שמבחינה מקצועית אתם יכולים להגיד: אנחנו הטובים ביותר, או שיש ארגונים אחרים שגם שם יש את הטובים ביותר.

ענת ברקו: אבל לפעמים אנחנו רואים האקרים או אנשים שיש להם איזושהי גישה והם מצביעים על פרצות בסידורי האבטחה והם יכולים להועיל בביקורת שלהם.

ענת ברקו: השאלה היא אם אתם בנויים לקבל את זה.

<אלון בכר: גם בנויים וגם מקבלים.

ענת ברקו: זה עובד ככה?

<אלון בכר: ודאי שכן.

רויטל סויד: עורך דין דן חי, בבקשה.

ענת ברקו: גברתי היושבת ראש, אני מבקשת התייחסות לשאלה הזאת גם מרשות הסייבר, אם אפשר.

רויטל סויד: בסדר גמור.

רויטל סויד: לאחר מכן.

<דן חי: אני נציג לשכת עורכי הדין, יושב-ראש הוועדה להגנת הפרטיות בלשכה.

<דן חי: רציתי להתייחס לכמה דברים שעלו פה.

<דן חי: השלטון המקומי הוא חלק מהגנת הפרטיות.

<דן חי: סעיף 8 קובע שגוף ציבורי צריך לרשום את מאגרי המידע שלו וסעיף 23 מפרט גם את השלטון המקומי בין הגופים.

<דן חי: לכן הם בתוך החוק.

רויטל סויד: תקשיבי לזה, יוליה.

רויטל סויד: אני חושבת שזה יעניין אותך.

<דן חי: אני חוזר ואומר: סעיף 8 קובע שגוף ציבורי צריך לרשום את מאגרי המידע שלו וסעיף 23 מפרט שגוף ציבורי זה לרבות השלטון המקומי – רשויות מקומיות.

<דן חי: זאת אומרת, הרשויות הן בתוך החוק, ואני יודע שיש פיקוח צמוד של רמו"ט על הרשויות.

<דן חי: יצא לי לייעץ לכמה רשויות, נתקלתי ברמו"ט מפקחת שם.

<דן חי: זאת אומרת, אנחנו לא נכנסים בחלל ריק כי יש חוק ויש תקנות ישנות.

<דן חי: הפיקוח קיים, לכן אני לא חושב שצריך התייחסות פרטנית.

<דן חי: זה צריך להיות אחיד לכולם, כמובן, אם יש צורך מוציאים הנחיות.

<דן חי: לגבי ההערה שהשמעת על סקטורים מסוים – ההנחיה הראשונה של רמו"ט, למשל, נגעה לסיטואציה של רופאים.

<דן חי: מה קורה כשמגיע לרופא בקופת חולים פציינט; האם הוא צריך לרשום מאגר נפרד או שזה חלק מהמאגר של קופת החולים?

<דן חי: זו שאלה מעניינת, זה קצת דומה לשאלה של המוסכים.

<דן חי: יצאה הנחיה של רמו"ט שהתייחסה לזה באופן פרטני.

<דן חי: זו ההנחיה הראשונה שהוציאה מאז שהיא קמה.

<דן חי: לכן, כעורך דין שחי את השטח בתחום הזה, אני חושב שרמו"ט פועלת בשקיפות, בשיתוף פעולה, מוציאה הנחיות מאוד פרטניות.

<דן חי: קודם כול טיוטות ואחר כך הנחיות.

<דן חי: אני יכול גם להגיד בשם לשכת עורכי הדין: הזמנו את רמו"ט אלינו ללשכה כי היה צורך של עורכי דין לשאול שאלות ולהבין דברים, והם הגיעו בהרכב מלא.

<דן חי: היתה ישיבה עם 120 איש בערך בחודש ספטמבר, ואני חושב שאם יהיה צורך הם ישמחו לבוא שוב.

יוליה מלינובסקי: יש את האינטראקציה.

<דן חי: יש את האינטראקציה.

<דן חי: לגבי הדיווח – הייתי חבר במועצה הציבורית להגנת הפרטיות, שהיא הגוף שאליו צריך להגיש את טיוטת הדוח.

<דן חי: הדוח מפורט, נשאלות שאלות, זה גוף שהוא גוף מייעץ לשר המשפטים, הגוף הזה יכול להעלות קושיות שחסרות לדעתו בדוח.

<דן חי: סעיף 10(א) הוא אמנם סעיף קטן, אבל יש בו הרבה תוכן.

<דן חי: הדרך של רמו"ט לדווח זה לא שהיא שולחת דוח לוועדת החוקה אלא היא צריכה לעבור את המסננת של המועצה הציבורית להגנת הפרטיות.

<דן חי: לכן אני חושב שחברי הכנסת, יכולה לנוח דעתם - - -

יוליה מלינובסקי: אני אף פעם לא יכולה לנוח.

<דן חי: כמובן, תמיד יש אנשים שיגידו שיש יותר מדי פיקוח או פחות מדי פיקוח, אבל העסק עובד.

<דן חי: אני חושב שמאז שהוקמה רמו"ט זכות הפרטיות חוזקה, ואני חושב שצריך להמשיך לחזק אותה.

רויטל סויד: תודה.

יוליה מלינובסקי: אני בעד, התייחסתי רק לצורך בהתאמות.

יוליה מלינובסקי: אבל היתה פה אמירה מעניינת, שאני מאוד רוצה לשמוע את התשובה, גברתי היושבת ראש.

רויטל סויד: יוליה, שניה.

רויטל סויד: פרנקו, תתייחס בבקשה לשאלה של חברת הכנסת ברקו.

<רפאל פרנקו: אני ראש אגף בכיר להכשרה ולהסדרת השוק ברשות להגנת הסייבר.

<רפאל פרנקו: גברתי, בהמשך למה שתיארת על תקיפות האקרים, אז כמובן שאתה מכירה את ה-CERT בבאר שבע, שזה גוף הגנה שהתכלית שלו היא בדיוק סיכול תקיפות מהסוג הזה, של האקרים והרבה מעבר.

<רפאל פרנקו: המרחב הזה, ככל שאנחנו מזהים בו תקיפה – ומבחינתנו לא משנה מי התוקף – על-פי פק"ל ההפעלה שלנו, נפעל.

<רפאל פרנקו: בצד השני, ככל שרמו"ט תפנה אלינו ותבקש סיוע מקצועי של צוות תגובה - - -

ענת ברקו: וזה קרה?

<רפאל פרנקו: עוד לא קרה.

<רפאל פרנקו: ככל שרמו"ט תפנה אלינו ותגיד שהיא צריכה סיוע או, לחילופין, ככל שהאירוע גדול מעולם הפרטיות ומגיע לממשק של מה שקראתי קודם ביטחון לאומי, מן הסתם נפעיל התערבות כדי לחסן את המשק או את אותו נפגע.

ענת ברקו: יש ביניכם איזושהי הסדרה?

ענת ברקו: נהלי עבודה?

ענת ברקו: קבעתם איך הדברים ייראו?

ענת ברקו: כי הרשות התחילה לפעול ממש לאחרונה.

מאיר שלום: בתחילת הדיון - - -

רויטל סויד: ליאת, תציגי את עצמך ותייחסי.

רויטל סויד: למרות שזה נאמר, תחזרי שוב.

מאיר שלום: אני מייעוץ וחקיקה במשרד המשפטים.

מאיר שלום: בתחילת הדיון, אגב תקנה 20(ב), התייחסנו להסדרה בין רמו"ט לרגולטורים האחרים, ובין היתר, רמו"ט וגם פרנקו התייחסו למגעים המתקדמים שמתקיימים בין רמו"ט לסייבר.

ענת ברקו: זה מגעים מתקדמים או שזה נכנס כמשהו מסודר?

<איל זנדברג: הוועדה כבר שמעה בנושא - - -

רויטל סויד: עוד אין.

רויטל סויד: הם בהידברות ביניהם, אבל הם מגיעים להסכמות.

ענת ברקו: זה משהו מאוד חיוני לעשות.

<אלון בכר: אני רוצה להבהיר את התמונה, לא היית בתחילת הדיון, חברת הכנסת ברקו.

<אלון בכר: העבודה המשותפת שלנו עם כל הגורמים שמשיקים אלינו היא בשוטף, היא לא קשורה לתקנות האלה, כולל רשות הסייבר שנמצאת בשלבי התארגנות והקמה ואנחנו בקשר אתה, כמו שאנחנו בקשר עם גורמים אחרים שהיו רלוונטיים בעבר וגם רלוונטיים כרגע.

<אלון בכר: מה שדווח בתחילת הישיבה זה שאנחנו גם מכינים נייר פורמלי של הבנות ספציפיות לנושא הזה בינינו, שנמצא רגע מהסיום המוצלח שלו.

ענת ברקו: ומתי הסיום המוצלח הזה יקרה?

<אלון בכר: אני לא יודע להגיד, אבל אם היה לנו עוד יום לפני הישיבה הזאת אז אולי זה היה גם לפני הישיבה.

<איל זנדברג: יש שנה היערכות.

רויטל סויד: יש להם שנה.

רויטל סויד: התחולה היא בעוד שנה.

<אלון בכר: זה ייקח הרבה פחות משנה; אני מעריך שימים.

רויטל סויד: בבקשה, פרנקו.

<רפאל פרנקו: אני רוצה להגיד משהו בהקשר של מוכנות הרשות.

<רפאל פרנקו: חשוב לי להגיד: אומרים שאנחנו מכינים את עצמנו, אבל הרשות להגנת הסייבר היא גוף מבצעי פועל.

<רפאל פרנקו: הוא לא מכין את עצמו, הוא מנהל כרגע מעל עשר חקירות, מתוכן ארבע לאומיות, באופן מבצעי.

<רפאל פרנקו: חשוב לי להגיד את זה.

<רפאל פרנקו: ככל שאנחנו נקבל פנייה שנבין שהיא ברמה הלאומית ודורשת צוות התערבות, רשות ההגנה תפעל.

<רפאל פרנקו: זה לא שנבנה את הכוח, אנחנו שם.

רויטל סויד: לפני שאני חוזרת לחברי הכנסת, יש פה עוד מישהו שרוצה להביע עמדה, דעה?

רויטל סויד: חברת הכנסת מלינובסקי העלית סיפור שנתקלת בו.

רויטל סויד: שאלת אותי ואמרתי לך שתציגי אותו, ותגידו איך אתם רואים את ההתייחסות שלכם לזה, גם בהתאם לתקנות.

יוליה מלינובסקי: תודה, גברתי.

יוליה מלינובסקי: בישיבה הראשונה עלה נושא של עמותה שהתעסקה באימוץ והנתונים שלה דלפו לרשת.

יוליה מלינובסקי: אתם זוכרים את זה?

יוליה מלינובסקי: תנו לי התייחסות לנושא הזה, כי לפי ההגדרה זה לא גוף ציבורי, מצד שני זה גוף שיכול להיות שהוא מאוד קטן, אבל מצד שלישי הוא מחזיק מידע מאוד רגיש.

יוליה מלינובסקי: תסבירו לי.

<גילי בסמן: הדיון בתקנה 20 הוא מאוד רלוונטי כי אלה בדיוק אותם מקרים של מאגרים שיכול להיות שלפי החובות של התקנות הם כפופים לחובות פחותות יותר, אבל לאור רגישות המידע ולאור הפעילות שלהם הרשם ימצא לנכון להחיל עליהם חובות מוגברות.

<גילי בסמן: זו, למשל, יכולה להיות דוגמה טובה.

מאיר שלום: לכן גם אמרתי, בהמשך לשאלתה של יושבת ראש הוועדה, שההפעלה של הסמכות לפי תקנה 20(א) היא לא רק בהמשך לפניות אלא גם יכולה להיות יזומה כתוצאה מתובנות ותוצרים של פיקוח.

אלעזר שטרן: בנוסף, צריך גם לזכור שבהקשר של מה שיש בתוספת השניה, הגדרה של איזה סוג של מידע, בחלק מהמקרים ממילא גוף כזה – תלוי בנסיבות, במספר העובדים וכו' - יכול להיות שבגלל טיב המידע שלו כבר יוגדר כמאגר ברמה בינונית.

מאיר שלום: נכון.

מאיר שלום: אבל גם אם לא, זה בדיוק הכלי וזה בדיוק הרעיון.

יוליה מלינובסקי: אתם מכירים את המקרה.

<אלון בכר: אנחנו מכירים את המקרה, טיפלנו בו.

<אלון בכר: המקרה הספציפי הזה היה חלק מהפעילות היזומה שרמו"ט עושה בניסיון לאתר מידע רגיש, אישי, שדולף לרשת ועומד בסכנה.

<אלון בכר: זה מקרה שבו, במסגרת הפעילות השוטפת שלנו לאיתור מידע כזה, איתרנו את המידע הזה, פנינו לגוף, סגרנו את הפרצה.

יוליה מלינובסקי: לפני מספר דקות אמרת שאתם עובדים בשיתוף פעולה עם המשטרה לגבי המאגרים שלהם?

<אלון בכר: אנחנו עובדים בשיתוף עם כל הגורמים.

יוליה מלינובסקי: כשישבנו בוועדות על הביומטריה ושאלתי את השאלה, נאמר לי שבכל ההיסטוריה של רמו"ט אף פעם אפילו לא בדקתם מאגר של המשטרה.

יוליה מלינובסקי: אז או שכן או שלא.

<אלון בכר: אני רוצה להגיד מה שאמרתי קודם.

<אלון בכר: זה היה מענה לשאלה איך אנחנו מקבלים מידע על אירועים - - -

יוליה מלינובסקי: אז אתה לא מקבל, כי המשטרה טוענת שהמאגר שלהם פועל לפי חוקים שלהם והם בכלל לא מחויבים בדיווח.

<אלון בכר: אני מבהיר מה שאמרתי קודם.

<אלון בכר: דיברנו על השאלה איך רמו"ט מקבלת דיווחים על אירוע, על דליפות או על דברים שהיא צריכה להפעיל בהם את הסמכות, ואמרנו שאחד מהגורמים שאנחנו עובדים אתם בשיתוף פעולה כדי לקבל מידע כזה היא משטרת ישראל.

יוליה מלינובסקי: אז מה לגבי המאגר של המשטרה עצמה?

יוליה מלינובסקי: כי יש להם מאגרים.

רויטל סויד: שניה, נשמע את התשובה.

יוליה מלינובסקי: אסביר לך.

יוליה מלינובסקי: שלחתי לך את הכתבה, אז אולי את תפרטי.

רויטל סויד: לא.

רויטל סויד: תסבירי את השאלה, וגילי תעני, בבקשה.

יוליה מלינובסקי: למשטרת ישראל יש מאגרים ענקיים של מידע על אזרחים.

יוליה מלינובסקי: אני מודעת לרגישות העניין, אבל אני עדיין מצפה מרמו"ט שיטילו איזשהו פיקוח על הנושא, עד כמה שאפשר, למרות שאני מבינה שמשטרת ישראל לא תשמח.

יוליה מלינובסקי: לפני מספר ימים פורסמה ב"מאקו" כתבה על שוטר, שמתוקף סמכותו יכול היה להיכנס למאגרי מידע של המשטרה.

יוליה מלינובסקי: נכנס למאגר, איתר שם בחורות חלשות, יצר אתן קשר.

יוליה מלינובסקי: כלומר השתמש בסמכות שלו שלא כדין, נכנס למאגרים של נוער במצוקה.

יוליה מלינובסקי: היתה שאלה אם הוא יועמד לדין.

יוליה מלינובסקי: זאת אומרת, בתוקף סמכותו הוא נכנס למאגרים רגישים.

רויטל סויד: ומה השאלה?

יוליה מלינובסקי: האם לרמו"ט במקרה הזה, שהתפרסם, יש בכלל מה להגיד ולהטיל סנקציות או פיקוח על משטרת ישראל?

רויטל סויד: אחדד את הנקודה שיוליה מעלה.

רויטל סויד: קודם כול, מה בדיוק מערך היחסים ביניכם לבין המשטרה, במובן של חובת דיווח ביניכם?

יוליה מלינובסקי: על המאגרים של המשטרה.

רויטל סויד: על המאגרים של המשטרה.

רויטל סויד: זה דבר אחד.

רויטל סויד: דבר שני, אם יש תקלה – כי בסוף אין פה זליגת מידע, יש פה שימוש פנימי - האם יש להם חובה לדווח על זה אליכם?

רויטל סויד: במידה שהם מדווחים – האם יש לכם את היכולת לפעול?

רויטל סויד: זה מה שיוליה שאלה.

רויטל סויד: ואני אוסיף שאלה: האם מקרה כזה בכלל מגיע אליכם?

רויטל סויד: האם נתקלתם בסיטואציה כזו והאם זה מסוג הדברים שרמו"ט עוסקים בהם?

<ניר גרסון: ראשית, חובת הדיווח תיכנס לתוקף בתקנות האלה.

<ניר גרסון: אין חובה פורמלית עכשיו.

<ניר גרסון: כמובן, גופים מדווחים לנו.

<ניר גרסון: החוק להגנת הפרטיות חל גם על מאגרים של המשטרה.

<ניר גרסון: יש למשטרה פטור חלקי בסעיף 19 לחוק רק לגבי דברים שהם במסגרת ביצוע תפקידה.

<ניר גרסון: כשמישהו מועל ומשתמש לצורך האישי – זה לא חל.

<ניר גרסון: בכל מקרה, אם נחזיר את הדיון לנושא הדיון שלפנינו – תקנות אבטחת מידע, אז חובת הדיווח תיכנס לתוקף.

<ניר גרסון: כחובה, היא חלה באופן כללי, ויהיו התאמות.

יוליה מלינובסקי: אתם בכלל נמצאים בדיאלוג עם משטרת ישראל עכשיו?

יוליה מלינובסקי: פעם בדקתם אותם?

<ניר גרסון: אנחנו נמצאים בכל מיני דיאלוגים, שאני לא יודע אם זה הפורום המתאים לפרט אותם.

יוליה מלינובסקי: אני פשוט מפנה את תשומת ליבכם.

יוליה מלינובסקי: תפנימו, ויכול להיות שעכשיו יהיו לכם יותר סמכויות.

יוליה מלינובסקי: כדאי מאוד, כי המשטרה, עם כל הכבוד, היא עדיין גוף ציבורי.

<ניר גרסון: על זה אין ויכוח.

רויטל סויד: נכון.

רויטל סויד: לצורך העניין, מי שלא לדיאלוג חלות עליו בדיוק כמו שהן, ואז החובה שלו היא חובה הרבה יותר גדולה.

רויטל סויד: דווקא הדיאלוג בא לעתים להפחית ולא להוסיף.

יוליה מלינובסקי: וגם אתם, רשות הסייבר, צריכים להיכנס לנושא שאם שוטר בתוקף סמכותו עושה דברים כאלו, משהו שם לא בסדר.

יוליה מלינובסקי: איך הוא הגיע לאותם מאגרים?

יוליה מלינובסקי: כדאי לחשוב על זה.

<דן חי: שאילתה לשר לביטחון הפנים.

רויטל סויד: יש עוד מישהו שרוצה להוסיף דבר מה?

רויטל סויד: אז אם אין אף אחד שרוצה להוסיף נוכל לעבור להצבעות.

מאיר שלום: יש הגדרות שלא קראנו את התיקונים שלהן.

אלעזר שטרן: רק תסבירי בקצרה.

אלעזר שטרן: זה שני תיקונים קטנים בניסוח של ההגדרה של "אירוע אבטחה חמור" ושל "התקן נייד".

מאיר שלום: בהגדרה של "אירוע אבטחה" יש צמצום של ההגדרה.

מאיר שלום: "במאגר מידע שחלה עליו רמת אבטחה גבוהה" אנחנו מבקשים להשמיט: "לרבות אירוע בו היתה כניסה למערכות המאגר באופן שמאפשר גישה למידע שבמאגר".

מאיר שלום: התיקון הזה הוא בעקבות עבודה של רמו"ט והיערכות גם מול רגולטורים אחרים שמקבלים דיווחים והבנה שהתוספת הזאת עלולה להתפרש באופן רחב מדי, שיטיל נטל כבד גם על המפוקחים וגם על רמו"ט.

מאיר שלום: אם אני לא טועה בישיבה האחרונה היתה גם אמירה מצד אחד המשתתפים בהקשר הזה.

מאיר שלום: התיקון השני הוא בהגדרת "התקן נייד".

מאיר שלום: בפסקה הראשונה, במקום מה שרשום כאן יהיה רשום: מחשב המיועד לשימוש נייד לרבות מחשב שהוא ציוד קצה רט"ן כהגדרתו בפקודת הטלגרף האלחוטי [נוסח חדש], תשל"ב-1972;" התיקון הזה נדרש בעקבות חידוד שקיבלנו ממשרד התקשורת.

מאיר שלום: הכוונה היא לא לרשת של הרדיו טלפון נייד אלא לסמרטפון, לציוד הקצה.

<קריאה: רשת סלולרית, בלשון העם.

רויטל סויד: אני שואלת שוב יש מישהו שרוצה להעיר, להאיר, להוסיף?

רויטל סויד: אז אנחנו עוברים להצבעה.

רויטל סויד: מי בעד אישור התקנות?

רויטל סויד: מי נגד?

רויטל סויד: בעד – פה אחד

רויטל סויד: <תקנות הגנת הפרטיות (אבטחת מידע), התשע"ו-2016, נתקבלו.

רויטל סויד: >

רויטל סויד: תודה, התקנות אושרו פה אחד.

רויטל סויד: בשעה טובה, שיהיה בהצלחה.

רויטל סויד: אני מקווה שיהיה עידן חדש באבטחת המידע, ואנחנו מחכים לדיווח ב-1 באפריל הבא.

מאיר שלום: אנחנו מודים מאוד להנהלת הוועדה, גם לייעוץ המשפטי וגם לך, כמובן.

רויטל סויד: תודה רבה.

רויטל סויד: הישיבה נעולה.