ועדת המדע והטכנולוגיה, כנסת 20, פרוטוקול מספר 132, 2017-07-18 12:30

אורי מקלב: אני מתכבד לפתוח את ועדת המדע והטכנולוגיה, היום יום שלישי, כ"ד בתמוז תשע"ז ה-18.7.2017.

אורי מקלב: על סדר היום שלנו הנושא הוא צעדים למניעת שימוש לרעה במאגרי מידע והצגת פעילות משרדי הממשלה וגופים ציבוריים בנושא הזה.

אורי מקלב: ממש כמה מילות פתיחה בעניין, אנחנו לא מעט פעמים, אני רוצה להגיד הרבה פעמים, אנחנו נוגעים בנושא הזה של שמירת מידע וזליגת מידע והגנה על הפרטיות, אבל זה במסגרת נושאים שאנחנו דנים.

אורי מקלב: אנחנו נדון מהביומטרי ואנחנו שואלים מה קורה עם המידע ובדיונים אחרים, גם לממשל זמין והצגה של משרדים שונים – אנחנו תמיד שואלים וגם נוגעים בעניין הזה.

אורי מקלב: לפי דעתי זו גם לא הישיבה היחידה שאנחנו נעשה, אנחנו רוצים לייחד ישיבה מיוחדת בנושאים האלה של שמירת מידע והגנת הפרטיות ואנחנו הרי יודעים כולנו שמידע רב ומידע אפילו עצום – ישנם בתוך הגופים הממשלתיים, במשרדים הממשלתיים ולא רק שאוגרים מידע גדול, אלא יש גם העברות של מידע בין רשויות שונות, בין גופים שונים, גם אם זה בטחוניים ומשטרתיים וודאי גם אם זה רשויות, מיסים וכדומה, אבל גם מערכות הבריאות ועוד מערכות כאלה ואחרות, רווחה, רווחה, חינוך, יש לא מעט מידע שעובר בין משרדים.

אורי מקלב: גם בהנחה שזה על פי דין, אבל תכף ניגע בזה.

אורי מקלב: אני יודע שאנחנו בתוך הדברים ואני רק רוצה להעמיד את הדברים, אנחנו יודעים במה אנחנו עסוקים ובמה אנחנו יודעים שיש דברים בגדול, אנחנו יודעים שיש נושא של שמירת מידע – הגנה על הפרטיות שזה הבסיס לדברים, אנחנו מחוקקים חוקקים לא רק על כל מאגרי המידע, גם גופים פרטיים מה הם צריכים לעשות היום עם מאגרי מידע.

אורי מקלב: אבל אנחנו אמונים על מניעת זליגת מידע, זה לא בכוונה וזליגת מידע יכולה לקרות ואנחנו אמונים על זה, זה אחד הדברים שגם נמצאים תחת אחריותנו ובפעילות שלנו.

אורי מקלב: אנחנו יודעים שאנחנו צריכים למנוע גניבה, פריצה, פרצות בתוך מאגרי המידע וכמובן הסייבר הוא נושא נוסף, בנפרד, שמעסיק אותנו הרבה, אבל יש גם באופן המעשי שימוש במסחר במידע לצרכים מסחריים, צרכים כלכליים, אנחנו בכנסת דנים בזה הרבה ורק שבוע שעבר היתה לזה הצעה דחופה לשימוש של חברות או מתן מידע על חולים סיעודיים לגופים פרטיים – חולים שאמורים להשתחרר, נושא ששבוע שעבר העלה חבר הכנסת שמולי והצטרפנו אליו בנושא הזה.

אורי מקלב: כמובן שאנחנו לא מדברים על פעילות פלילית וכו', אבל אנחנו יודעים שאחד הדברים שצריכים להנחות אותנו הם שגם מי שמורשה יצטרך לדעת לטפל ולהכנס ולהשתמש רק במה שהוא מורשה ולא במשהו אחר.

אורי מקלב: גם מי שנמצא במערכת והוא מורשה להיכנס למערכת, זה עדיין לא אומר שהוא יכול לעשות ככל העולה על דעתו בעניין הזה.

אורי מקלב: צריך להיות לזה כללים ואנחנו שואלים האם יש כללים, האם באמת הכל לפי הכללים ועובדים לפי הכללים, האם הכללים מספקים, האם הם מותאמים למה שקורה היום ולהתפתחויות שיש והדבר שהכי חשוב לנו, האם מישהו באמת עוקב ומישהו אוכף ומישהו מפקח על שמירת הכללים, שזה דבר חשוב מאד.

אורי מקלב: אני רוצה לגעת בזה וגם חברת הכנסת זנדברג האירה את עיננו וביקשה לקיים דיון מיוחד ואני לא דיברתי איתה מלבד המכתב המפורט שנתת, אבל אני גם מתוך המכתב הזה, אבל באופן כללי את דיברת על איזה חקירה ברשות המיסים שאני לא מכיר אותה, אבל גם אם נשמע את הפרטים ומה היה, שזה היה בנציבות ולא משהו של המשטרה, אני מניחה, אני גם שואל ואני גם יודע מהמידע שיש לי.

אורי מקלב: השאלה היא, עובד שמורשה והוא יש לו תחת סמכותו עובד, האם בלהט העשייה ובלהט הרצון לא חורגים מהסמכות הזאת.

אורי מקלב: דהיינו, גם כדי להגיע למידע, ניקח לדוגמה עם רשות המיסים, בלהט שרוצים להגיע לחקר האמת, לחקירה, למה שקורה, אז אנחנו במתוך מידע שקיים שאנחנו בעצם לא מורשים ללכת, לדעת, לנסות ולמשוך מידע ממערכת הבריאות כדי לגלות עניין כלכלי אחר או עניין של מיסוי בנושא אחר – האם הוא יכול עם מי מישהו שהה בבית מלון מתוך זה הוא ידע שאולי החבר שלו, דברים שהם אסורים, ממש לא מורשים והאם אנשים לא עושים את זה והאם עושים שימוש במידע שיש, אדם רוצה להשתמש במידע לצורך חקירה, לצורך בירור דברים, זה יכול להיות גופי רווחהו זה יכול להגיע עד משרד הכלכלה שרוצה לבדוק זכאויות לביטוח לאומי, זכאויות במעונות, משרד החינוך וגני ילדים – רק בשביל לברר, רק כדי לדעת בתפקיד, האם המידע שניתן – אני לא רוצה להרחיב ואני באמת יכול להביא עשרות מקרים.

אורי מקלב: אנחנו עושים שימוש במידע שיש, שהוא כל כך נגיש לנו היום על דברים לא מוסמכים.

אורי מקלב: האם יש כללים, האם הכללים האלה מספיק ברורים ומספיק מותאמים והאם מישהו מפקח – אני יודע שאני לא מצפה ממשרדי הממשלה להגיד שעובד שהוא לא מוסמך נכנס למשהו שהוא לא אמור, יש לנו בקרה.

אורי מקלב: אני מניח ואני רוצה לשמוע ולדעת שזה נמצא בכל המשרדים וזה נעשה נכון ויש על זה ביקורת פתע וסיכומים ודוחות שניתנים בעניין הזה ולמי ניתנים הדוחות והאם הדוחות האלה שקופים, אז אני מדברת ואני חושב שעל זה מדברת גם חברת הכנסת זנדברג, על דברים שלא על פניו, הם נראים שהכל נעשה בסדר כי יש לו סמכות חקירה ויש לו סמכות ברור או סמכות לפקח, אבל כדי להגיע לזה משתמשים במידע שבמקים מסוימים אין להם את הסמכות, גם אם המידע מונח בפניו ויש לו בגלל מקרים אחרים אפשרות וסמכות והרשאה להיכנס ולהשתמש בהם.

אורי מקלב: גם בתוך ההרשאות יש כללים ודינים ולא בכל מקרה ומי מפקח על אדם שעובד לבד, שרוצה להגיע למטרה, מי מפקח שהדברים נעשים כדין ולא פוגע ומגיע למידע לא באופן ראוי ולא באופן חוקי.

אורי מקלב: כל מה שהחוק לא מאפשר, גם אם יש מטרה נכונה ומוצדקת, זה עדיין לא מצדיק את המעשה.

אורי מקלב: אלה הדברים שאני ביקשתי להגיד בדברי הפתיחה וביקשנו מעורך דין לימור שמרלינג מרשות משפט הטכנולוגיה ומידע במשרד המשפטים מצגת, הם נותנים את עשרת הדברות או הכללים בעניין הזה ואחרי זה המשרדים האחרים, אבל לפני זה, בבקשה חברת הכנסת זנדברג.

תמר זנדברג: תודה רבה, אז באמת תודה רבה אדוני היושב ראש על ההיענות ותודה לצוות הוועדה – אני באמת חייבת להגיד שזו ועדה שעלי, באופן אישי, מאד מאד חביבה בגלל הנושאים שעוסקת בהם וגם בגלל שעובדת בצורה מקצועית ותמיד נענית לבקשות ועושה את הדברים.

תמר זנדברג: אז באמת הטריגר לדיון הזה הוא מקרה שהוא לידיעתי באופן חצי מקרי, למיטב זכרוני לפני כשנה, מקרה ברשות המיסים ואני חייבת לומר שזה המקום לשבח את רשות המיסים שערכה את הבדיקה הזו ובכלל גילתה את הדברים, כי חלק מהסיבה שביקשתי דיון כללי, זה שזה מבחינתנו איזה שהוא קצה של קרחון שאנחנו לא יודעים מה קורה מתחתיו בעוד רשויות מדינה שמנהלות מידע על אזרחים.

תמר זנדברג: זה הרי טבען של רשויות מדינה, שמוחזק מידע על אזרחים, זה היום יום של העבודה, החל ממרשם אוכלוסין, דרך מיסים ועד צה"ל ועד עוד הרבה מאד גופים ואני כרגע עוד לא מדברת על רשם המאגרים, משרד המשפטים, שגם שם רשומים עוד מאגרים – שלא תגידו גרוע יותר או פחות – שמוחזקים על ידי גופים פרטיים שגם להם יש כללים בהתנהלות ואנחנו רואים פעם אחרי פעם שהמאגרים האלה נמכרים באופן לא חוקי ונעשה בהם שימוש שמפר את הפרטיות.

תמר זנדברג: בגופי הממשלה יש מידע רב מאד, רגיש מאד, על אזרחים, במקרה של רשות המיסים באמת שביצעה בדיקה, למיטב ידיעתי נמצאו למעלה מ-50 עובדים שביצעו שאילתות – מה שאתה קראת – לא מורשות או שהעובד מורשה לכניסה, אבל זה לא היה מה שהוא אמור לעשות.

תמר זנדברג: אגב, חלק מהעובדים בכירים, לפי מה שפורסם, שהשתמשו בזה לצרכים – נגיד במקרה היחסית, לא יודעת להגיד חמור או לא חמור, אבל יחסית לא פלילי או לצרכים פרטיים, אבל מאיפה לנו לדעת שבישראל, זו מדינה קטנה, אחד חבר של זה ורוצה לברר על השכן שלו או חס וחלילה בשביל לסחוט אותו או בשביל לקבל איזו שהיא טובת הנאה או לא חשוב אם זה לצד החיובי או השלילי של זה- - -

אורי מקלב: גם לצורך קידום החקירה, קידום הבירור, גם אם לצורך הדבר שהוא אמור אבל במקרה הזה הבירור הוא פגיעה בפרטיות או לא משנה, הוא לא מורשה לזה.

אורי מקלב: הוא לא יכול לגשת למאגר מידע שנמצא לפעמים בשביל צרכים אחרים תחת רשותו, נניח מאגר - - - לבריאות, שיש לו גישה, אבל הוא רצה לעניין הזה, לא פרטי, רק לטובת העניין, אבל אם הוא לא מורשה אז הוא לא מורשה.

תמר זנדברג: נכון, מה שאתה מוסיף ובצדק שהכללים נועדו כדי לפעמים לשים איזה שהוא סייג גם אפילו, כדי שבאמת אדם יוכל לגשת או עובד מורשה יוכל לגשת רק לדברים שהוא צריך במסגרת עבודתו וגם לא אמור להשתמש בזה לדברים אחרים.

תמר זנדברג: אבל תראה, במקרה שנחשף, היה מדובר לפעמים בעובדים בכירים, זאת אומרת עובדים שאתה כן מצפה שעל מנת שתהיה להם איזו שהיא תמונה כוללת ושיקול דעת רחב ועובדים ותיקים במערכת, כלומר אלה לא עובדים שהיו אמורים להיות מוגבלים למשהו מאד מסוים וחרגו ממנו, אלא יש כאן תופעה שאני חושבת שהיא מאפיינת והתייחסת לזה בפתיח – שהוועדה פה ושם נגעה בדברים שקשורים לפרטיות ולבטיחות מידע, כמובן אולי הדוגמה הכי מובהקת זה המאגר הביומטרי, שזה החשש המרכזי שלנו שבאמת, כמו שקרה למרשם האוכלוסין או דברים אחרים, גם תהיינה דליפות וגם יהיה שימוש מורשה שהוא בעצם לא מורשה, אבל שוב, יש לנו מאגרי מידע בהמון המון רשויות.

תמר זנדברג: אני לא יודעת אם אני אגלה סוד גלוי שמי ששרת בצבא – תמיד היה נהוג, סליחה, אבל להתקמבן על איזה חבר באכ"א שיכול להיכנס ולשלוף דברים מהתיקים האישיים והיינו מגלים ככה דברים על חברים.

תמר זנדברג: אני כבר הרבה שנים אחרי השירות הצבאי, אבל בשנים הראשונות אחרי השחרור זה היה דבר מאד מקובל, אוקיי?

תמר זנדברג: אני חושבת שיש כאן תרבות ארגונית שהיא זו שצריכה להוביל וזה שוב, לא רק רשות המיסים למרות שגם, כדאי, אני חושבת שאם ניקח את המקרה של רשות המיסים כמקרה בוחן אז כדאי גם לשבח שנעשתה הבדיקה וכו', אבל גם לשאול מה נעשה, איזה דין משמעתי או דין אחר או האם מקרים היו שהיו צריכים להתברר גם במקומות אחרים ודבר שני, איזה עוד רשויות מדינה יש שמחזיקות בידיהם מאגרי מידע, מה הנהלים שם, מי מורשה, איך מפקחים על זה, מי הגורם המפקח, מה נעשה אם יש חריגות, איך כל הדבר הזה מתנהל – כי אנחנו הולכים באמת בעידן של מידע מאד מאד רחב ונרחב, המידע הזה יכול להיות: א.

תמר זנדברג: שווה המון המון כסף לגופים מסחריים, ב.

תמר זנדברג: כמובן כשמדובר ברשויות מדינה יכול לשמש לדברים פליליים ואולי גם בטחוניים ומסוכנים כאלה ואחרים ו-ג.

תמר זנדברג: נושא הפרטיות של האזרחים הולך ותופס מקום, כתחום בפני עצמו שאנחנו צריכים להגן עליו כשמה שמנחה אותנו זה פרטיות, זה לא רק עבור מי שיש לו מה להסתיר אלא זו קודם כל זכות יסוד של כל אחד מאתנו להגן על המידע שלנו, כולל כזה שאנחנו נותנים באופן וולונטרי או לשימוש מסוים ולא לשימוש אחר וכו' וככל שהתחום הזה מתפתח, אז האחריות מוטלת על כל מי שמאגר מידע נמצא בידיו ואנחנו המקום שבאמת אמור לפקח על הדברים האלה ולכן באמת הצעתי, שנעשה איזה שהוא דיון שיישר קו ואולי זה יהיה באמת בסיס לדיונים נוספים.

אורי מקלב: אין ספק, תודה רבה שוב על הפניה ועל היוזמה ועל ההיענות שלכם בתיאום הזמן כי ראינו שזה נשא חשוב.

אורי מקלב: אם נשאל השואל מה אתם אומרים, הרי רק לפני חודש היתה ועדה משותפת של ועדת המדע והטכנולוגיה וועדת הכנסת שדנה באבטחת מאגרי מידע ממשלתיים ואופן השימוש בהם, אבל אני רוצה לציין שהעובדה שאנחנו יושבים היום שלא כוועדה משותפת, צריך להגיד שהוועדה הזו היתה ועדה שהוקמה כוועדה משותפת לצורך בירור שימוש של מפלגות, כפי שקרה במפלגה אחת שנקנסה גם בעקבות שימוש במידע ורישומים של ניצולי שואה ועוד דברים כאלה, אבל אנחנו חשבנו שבהחלט יכולה להיות בעיה בין נניח שר במשרד לבין העובדים שלו, שבמסגרת העבודה שלו מקבל רשימות והן נגישות, אבל אחרי זה הזליגה של המידע הזה לשימושים מפלגתיים – רק לפני כמה ימים היו כותרות איך הגיעו הפרטים של - - - ממפלגת כולנו, במקרה הזה, על חשבון נטו משפחה ונקודות, אם זה נכון או לא נכון הכותרת היא בומבסטית.

תמר זנדברג: אני הגשתי על זה שאילתה דחופה והיא תענה מחר במליאה ואנחנו נדע.

אורי מקלב: מחר, אז אם היה כאן שימוש או לא היה כאן שימוש, אבל הנושאים האלה זה היבט אחד שגם צריך לסגור אותו בתוך המשרדים, גם בדברים המותרים איך משתמשים.

אורי מקלב: אנחנו באמת רוצים להתמקד בנושאים שאמרנו, שבסופו של דבר אי אפשר להסכים שגם שימוש שהיה מורשה אצל מורשה, אבל לא היה לו את כל ההרשאה, שמותר לו במקרה אחד להשתמש ודווקא בעלי תפקידים בכירים, שיש להם אפשרות הרבה יותר להשתמש במגוון שימושים והם גם פחות מבוקרים מטבע הדברים.

אורי מקלב: אני מניח שיש ביקורת על עובדים יותר זוטרים, דווקא הבכירים ודווקא אלה שמורשים בהרשאות הרחבות יותר ולוקחים את המידע הזה שבמקרה אחד מותר להם אבל במקרה אחר לא מותר או שאפילו באותו מקרה לצורך העניין הזה מותר ולצורך עניין אחר לא מותר.

אורי מקלב: הניצול שלא כדין, אני חושב שזה חלק מהדברים שאנחנו רוצים לשים עליהם את דגש והחלק הכי חשוב, למשרדים, אנחנו רוצים לראות לא רק מה עשו, כמה פיקוח, כמה דוחות היו, מה המקרים שהיו, כדי שנדע ללמוד מהענין הזה איפה, באיזה סדרי גודל ומה באמת נעשה.

תמר זנדברג: נכון ורק עוד הערה אחת לגבי מה שציינת עם המקרה של מאגר ניצולי השואה, אני חושבת שזה מקרה שדווקא כביכול היה קנס, אבל אנחנו גם צריכים לתת את הדעת שיחסית לרווח הפוליטי שהיה – הקנס הזה הוא בטל, כאילו אפשר לדעת כמה שילמו על כל קול, סליחה, בבחירות מתוך ניצולי השואה.

אורי מקלב: או כמה עולה להגיע.

תמר זנדברג: בדיוק.

אורי מקלב: אני רק אצטט חבר כנסת אחד שאמר – בתוך הפרוטוקול שיש פה – שבמקרה זה נהגו בסלחנות יתר והדבר מוביל לכך שגורם ההרתעה מפני שימוש אסור במאגרי מידע כלל לא קיים ולהיפך, הקנס הנמוך אף מדרבן את דבריו, קלות הגישה למאגר מפתיעה ועל כן החסם אמור להיות מרתיע ביותר.

אורי מקלב: את זה אמר חבר כנסת שיושב כאן.

תמר זנדברג: כן, אני חושבת שגם לזה אנחנו צריכים לתת את הדעת כדי לא להפוך את הקנסות לקניית קולות, פשוט כך, בחסות החוק.

אורי מקלב: זה נושא מסוים של מפלגות שיש להם גם גישה וזה גם יכול להשתלב בתוך הדיון, בסופו של דבר הוקמה וועדה מיוחדת לצורך העניין הזה, זה היה לפני חודש.

אורי מקלב: אנחנו זה ועדה שנדון בזה באופן רציף וזה תחת המחויבות שלנו, החובה שלנו וגם תחת הסמכות שלנו.

אורי מקלב: בבקשה, לימור שמרלינג.

<לימור שמרלינג מגזניק: תודה.

<לימור שמרלינג מגזניק: עורכת דין לימור שמרלינג מגזניק, מנהלת מחלקת קשרי ציבור וממשל ברשות למשפט, טכנולוגיה ומידע.

<לימור שמרלינג מגזניק: אנחנו הרשות שאחראית על אכיפה ורגולציה מכח חוק הגנת הפרטיות, החוק שקובע בעצם את המותר ואת האסור ואת מפרט ההתנהגות שצריך להיות למימוש הגנה על זכות היסוד לפרטיות.

<לימור שמרלינג מגזניק: אני אתמקד באמת במה קובע החוק לגבי גופים ציבוריים משום שהחוק חל על כלל המשק הישראלי, גם על המגזר הפרטי וגם על המגזר הציבורי וכמה דברים שגוף ציבורי חייב לעשות – זה כל ארגון חייב לעשות – הוא קודם כל לדעת איזה מאגרי מידע הוא מחזיק ועל מה הוא אחראי, כי לכל ארגון יש אחריות להגן על המידע האישי שהוא מנהל וזה ברור וזה קבוע בחוק.

<לימור שמרלינג מגזניק: שימוש במידע אישי על ידי עובדים שלא למטרת העבודה שלהם, זאת אומרת שלא לטובת המשימה הציבורית של אותו גוף ציבורי, הוא אחד מההפרות החמורות יותר בחוק הגנת הפרטיות, היא גם עבירה פלילית חמורה ויש עליה גם סנקציות של קנסות, אבל גם בהחלט אכיפה של ענישה פלילית.

<לימור שמרלינג מגזניק: כל ארגון, אחרי שהוא יודע בעצם איזה נכסי מידע יש לו ועל מה הוא אחראי, צריך למנות גם מנהל לכל אחד ממאגרי המידע שהוא זה שאחראי לממש את חובות הגוף, הוא אחראי למנות ממונה על אבטחת מידע – כל גוף ציבורי חייב במינוי ממונה על אבטחת מידע.

<לימור שמרלינג מגזניק: אסור לגוף ציבורי לפרסם את המידע שהוא אוסף, המידע של האזרחים.

<לימור שמרלינג מגזניק: מותר להשתמש במידע הזה רק לטובת מתן השירות לאזרחים, יש כן, כמו שציין יושב הראש, אפשרות להעביר מידע בין גופים ציבוריים אחרי תהליך בקרה מאד משמעותי, כדי לאפשר את העבודה הממשלתית החלקה ואת שיתוף המידע, אבל זה כמובן בא אחרי הכלל של איסור פרסום של מידע ציבורי.

<לימור שמרלינג מגזניק: עוד דבר שחשוב לדעת הוא שבמאי האחרון, הכנסת הזו אישרה יוזמה של הממשלה ושל שרת המשפטים ואושרו תקנות אבטחת מידע חדשות, תחת חוק הגנת הפרטיות, מתוך המוטיבציה של הגנת הפרטיות ובתקנות האלה כבר יש חובות הרבה יותר מפורטות ומעודכנות, מה צריך לעשות כל ארגון שמנהל מידע אישי, אבל כמובן גם הגופים הציבוריים והגופים הציבוריים נחשבים מראש, בברירת המחדל בתקנות, כגופים שמנהלים מידע ברמת סיכון לפחות בינונית ואפילו גבוהה ומבחינת החובות שחלות על גוף ציבורי, אתם יכולים לראות שחלקן, כמה וכמה מהן ממוקדות בנושא הזה של בקרה על פעילות של עובדים.

<לימור שמרלינג מגזניק: זאת אומרת, לכל ארגון צריך להיות נוהל הגנת מידע – נוהל כתוב, שיפרט מה מותר, מה אסור, איך עובדים ומה עושים כדי שכל עובד בארגון יוכל לדעת מה מצופה ממנו ומה הוא צריך לעשות ומה אסור לו לעשות.

<לימור שמרלינג מגזניק: הארגון צריך להעביר הדרכות לעובדים – זאת אומרת שכל משרד ממשלתי או גוף ציבורי צריך להדריך את העובדים שלו, כדי שהם ידעו מה מותר ומה אסור, כדי שאי אפשר אחר כך להגיד: לא ידעתי.

<לימור שמרלינג מגזניק: צריכה להיות פעילות של זיהוי ואימות גישות למידע – ככה שנוכל להוציא, באמצעות מערכות המיחשוב, רשומות ולדעת לרשומה הזו ניגש עכשיו העובד הזה ואפשר יהיה לבצע בעצם את הבקרה הארגונית ולשאול – האם הוא היה רשאי לגשת למידע או לא רשאי לגשת למידע.

<לימור שמרלינג מגזניק: חלק מהניטור והתיעוד הזה גם מאפשר לראות אם פתאום יש איזו שהיא פעילות חריגה, אם למשל עובד ברשות מסוימת רואים שהוא מוציא פתאום כמות מאד גדולה של מידע שהיא לא פרופורציונלית למה שהוא צריך לצורך העבודה שלו, אז אפשר לעלות על זה.

<לימור שמרלינג מגזניק: הגורמים במשרד שאחראיים על אבטחת המידע יכולים לזהות את זה ולפעול ולטפל בזה.

<לימור שמרלינג מגזניק: יש גם חובה לעשות בדיקות מהימנות לעובדים – זה במיוחד חשוב במקומות בהם יש עובדים בכירים או עובדים עם הרשאות גישה מאד רחבות למידע, אבל בכלל, כל העובדים שיש להם נגישות למידע, יצטרכו לפי התקנות לעבור בדיקות מהימנות.

<לימור שמרלינג מגזניק: יש חובה לעשות סקרי סיכונים, פעם ב-18 חודש לפחות – הסקר הזה, חלק מהסיכונים שהוא עשוי להעלות זה למשל: יש לנו פה עמדות מחשב שיש בהן גישה רחבה מידי למידע לעובדים שלא צריכים את המידע הזה, בואו נצמצם, בואו נסגור, בואו נקשיח את עמדות הקצה וככה נמנע שימושים לרעה או לפחות את חלקם.

<לימור שמרלינג מגזניק: עוד דבר חדש וחשוב בתקנות הוא שיש חובה לדווח על אירועים של גישות לא מורשות למידע אלינו – לרשם ההגנה על המידע שברמות, כדי שאנחנו נוכל במקרים המתאימים לממש את סמכויות האכיפה שלנו, ולנקוט בהליכי אכיפה מנהליים או פליליים, מה שמתאים במקרה.

<לימור שמרלינג מגזניק: החובה הזאת נכנסת לתוקף במאי 2018 ולכן כרגע, אנחנו מעת לעת מקבלים ידיעות כאלה מגופים ציבוריים או בדרכים אחרות, אבל אין חובה כוללת על כלל המשק לדווח, היא מתחילה במאי 2018 ואז יהיו לנו הכלים לאכיפה.

אורי מקלב: כולל משרדים ממשלתיים?

<לימור שמרלינג מגזניק: כולל גם משרדים ממשלתיים, כן.

אורי מקלב: בכל תחום של שימוש, גם אם זה רק עילה פנימית, לא פלילית, גם לא תחת הסמכות.

<לימור שמרלינג מגזניק: גם אם זה לא פלילי, עדיין זה יכול להיות במסגרת הפעילות המנהלית שלנו של הפיקוח, אם יש אירוע אבטחה בגוף ציבורי – אירוע אבטחה מוגדר בתקנות, אירוע שבו יש גישות לא מורשות למידע או הוצאה גדולה של מידע שהיא לא מורשית - יהיה חייב בדיווח אלינו לרשות.

תמר זנדברג: זה הכל טוב ויפה, אבל מה קורה עם זה בפועל, כי אחד הדברים שאנחנו יודעים זה שיש- - -

אורי מקלב: זה בעתיד.

תמר זנדברג: לא, זה בעתיד, אבל מה שאמרת קודם זה כבר קיים.

<לימור שמרלינג מגזניק: אני אגיד מה קיים היום.

תמר זנדברג: יש דוח שאתם כותבים שאמור להיות מונח על שולחן ועדת החוקה, אם אני לא טועה, כל שנה.

<לימור שמרלינג מגזניק: - - - התכניות החדשות.

<לימור שמרלינג מגזניק: יש דוח רשם מאגרי מידע שמוגש לוועדת חוקה כל שנה על פעילות הפיקוח והאכיפה ובכלל, על כל הפעילות שלנו.

תמר זנדברג: השנה לא הוגש.

<לימור שמרלינג מגזניק: עדיין לא.

תמר זנדברג: גם שנה קודמת, האחרון זה 2015?

<לימור שמרלינג מגזניק: הוגש, לא, 2016.

<לימור שמרלינג מגזניק: סליחה, 2015 הוגש ב-2016 ועכשיו בקרוב אנחנו מגישים את הדוח של 2016.

אורי מקלב: מי אחראי על הפיקוח?

אורי מקלב: המנהל הכללי או שזה אותו ממונה שיש לנו על מאגרי מידע?

<לימור שמרלינג מגזניק: זה גם וגם, משום שזה באמת עניין של תרבות ארגונית וההיקפים הם עצומים.

<לימור שמרלינג מגזניק: כמות הגופים הציבוריים ובכלל, כמות הארגונים במשק שמנהלים מידע אישי היא עצומה, זה ברור שהעבודה קודם כל צריכה להיות הטמעה של הכללים ושל העקרונות של מערכות הניטור והזיהוי בתוך הארגונים עצמם.

<לימור שמרלינג מגזניק: הרבה מהעבודה שאנחנו עושים – ותהיה גם בשנה הקרובה בעקבות התקנות – היא הטמעה והדרכה כדי שגופים יפעלו בהתאם לתקנות.

<לימור שמרלינג מגזניק: העבודה הזו לא יכולה להתבצע רק על ידי זה שנאכוף את ההפרות, אלא היא צריכה להתבצע בצורה סיסטמתית לאורך כל הזמן.

אורי מקלב: רק לפני שאת עוברת לשקף האחרון, בדיקת מהימנות לעובדים, כולל קיימים.

אורי מקלב: את זה הבנו, אבל באיזה רמות, יש לזה הגבלה?

אורי מקלב: אנחנו היום – הצעת חוק שמתקיימת בכנסת, היום גם במשטרה, לבכירים ביותר כולל ניצבים, בדיקות כאלה ואחרות, אנחנו מבינים שהיום זה הדרך, האלה היא כשאתם אומרים לעובדים – זה גם מנהלים או שרק עובדים?

<לימור שמרלינג מגזניק: גם מנהלים הם עובדים, הקביעה איזה סוג של בדיקה צריכה להיעשות היא תלוית מקרה.

<לימור שמרלינג מגזניק: זה תלוי בסוג המידע בארגון והרגישות שלו, זה תלוי במה העובד מורשה לעשות ובדיקות המהימנות צריכות להיות מותאמות, אבל הן חלות על כלל העובדים בארגון.

<לימור שמרלינג מגזניק: כלומר כלל העובדים שיש להם נגישות למידע, שהוא מידע אישי, שצריך להגן עליו.

<לימור שמרלינג מגזניק: אם יש עובד שהפעילות שלו היא אחרת- - -

אורי מקלב: מי קובע את הכללים?

<לימור שמרלינג מגזניק: אין לזה כללים מפורטים בתקנות, זה משתנה מארגון לארגון.

אורי מקלב: אנחנו ישבנו לפי החוק הביומטרי וגם תמר היתה אתנו ביחד, שמה לעובדים שאחראיים על המאגר הביומטרי יש בדיקת מהימנות, בדיקה ברף הגבוה ומפעם לפעם ועוד סדרת בדיקות ששם נמצא דברים ביטחוניים מסווגים מאד, אבל אנחנו מדברים בשוטף, לאו דווקא בנושא הביומטרי שהוא תחת הפוקוס, אנחנו מדברים על עוד מאגרי מידע גדולים – מי קובע באיזו רמה, מה החשש, איזה מנהלים?

<לימור שמרלינג מגזניק: אני חושבת שיש כאן עוד כמה אנשי מקצוע בתחום הזה שאחראיים על הנושא בממשלה, אז אנחנו ניתן להם גם להמשיך.

<לימור שמרלינג מגזניק: אני רק אגיד שבשנה האחרונה הקמנו, אצלנו ברמות, פורום הגנה על פרטיות במגזר הציבורי, חברים בו כבר למעלה מ-130 עובדי מגזר ציבורי, גם משפטנים וגם אנשי מערכות מידע שבהתכנסויות שלו ובתקשורת המקוונת שלו אנחנו מדריכים, מסבירים, מעבירים הנחיות, מעבירים מסמכי הכוונה – כדי שהגופים הציבוריים ילמדו יותר על הגנת הפרטיות, ידעו יותר טוב איך ליישם את החובות של חוק הגנת הפרטיות, יכירו את תקנות אבטחת מידע בצורה יותר מעמיקה.

<לימור שמרלינג מגזניק: אנחנו חושבים שזאת הדרך הראשונה שצריך לנקוט בה, עוד לפני שמדברים על אכיפה.

<לימור שמרלינג מגזניק: אכיפה מתאימה למקרים חמורים, אבל בפירוש צריך קודם כל ליידע אנשים.

<לימור שמרלינג מגזניק: אני גם חושבת שהעובדה שארגונים, כמו שצוין כאן, בודקים את עצמם, מאתרים עובדים שפעלו שלא כדין, מממשים דין משמעתי או ארגוני או דין משמעתי באמצעות נציבות שירות המדינה, זה חלק מהמערך הכולל של הטמעה של הכללים האלה בארגונים.

אורי מקלב: טוב, תודה רבה.

אורי מקלב: גדעון קונפינו מרשות התקשוב הממשלתי, בבקשה.

<גדעון קונפינו: שלום אדוני היושב ראש וחברי הכנסת, שמי גדעון קונפינו, אני מנהל היחידה להגנת הסייבר בממשלה ברשות התקשוב הממשלתי.

<גדעון קונפינו: אני קצת ארחיב על מה שלימור אמרה לפני, התהליכים בממשלה הם תהליכים ארוכי טווח, אבל הגענו לכל משרדי הממשלה כדי להטמיע אותם.

<גדעון קונפינו: כלומר, כל משרדי הממשלה- - -

אורי מקלב: היחידה להגנת הסייבר היא לא רק חיצונית, היא גם בשימושים פנימיים?

<גדעון קונפינו: נכון.

אורי מקלב: לא, לא מחשש של זליגת מידע, זאת אומרת אתם גם אמונים על הנחיות, כגוף מנחה גם על שימושים בתוך המשרדים, בלי חשש שזה יזלוג, שמישהו יכנס מבחוץ – אלא עובד שמורשה, מתי הוא מורשה ומתי הוא לא מורשה, במסגרת העבודה ולא מחשש שיצא החוצה, בסמכות שלו, לא מעבר לזה?

<גדעון קונפינו: אתה מדייק, אדוני יושב הראש, הגנת הסייבר היא בעצם הרחבה של תחום אבטחת המידע.

<גדעון קונפינו: אבטחת המידע מדברת על שכבות הגנה והגנת הסייבר רואה את זה בצורה קצת יותר רחבה.

<גדעון קונפינו: היא גם מסתכלת על מודיעין בתחום הזה, מסתכלת גם על מערכות שהן לא מערכות מידע, אבל כשאנחנו מדברים על הגנת הסייבר אנחנו מסתכלים על תחום אבטחת המידע גם בתוך הארגון וגם מחוץ לארגון.

<גדעון קונפינו: אם אנחנו מדברים על האמצעים שצריכים להעשות ומשרדי הממשלה – עוד מעט אני ארחיב קצת – הם לא מקשה אחת, הממשלה היא כמו חברת אחזקות שיש בה משרדים ברמה גבוהה של הגנה, בגלל שהם צריכים את זה ומשרדים שהם קצת פחות.

<גדעון קונפינו: יש שתי רמות להסתכל ברמת אבטחת המידע, קודם כל בפריבנשן- מניעה, כלומר מניעה להגעה למידע והחלק השני הוא בעצם הדיטקשן – הגילוי, הגילוי של שימוש לא נאות.

<גדעון קונפינו: מה שעלה כאן בשאילתה זה על אנשים שיש להם הרשאות והם עושים שימוש לא נאות בהרשאות שניתנו להם.

<גדעון קונפינו: כתוצאה מזה, גם הקמנו תשתיות מרכזיות שהן בהתהוות, למשל משרד האוצר כבר מחובר לניטור מרכזי של אירועי אבטחת מידע כדי שנוכל לראות את האירועים כשהם קורים ולהתריע בפני האנשים הרלוונטיים בארגון.

<גדעון קונפינו: הכוונה שלנו יהא לחבר בצורה הדרגתית את כל משרדי הממשלה למערכות טכנולוגיות כאלה ובנוסף לזה, עשינו תשתית ארגונית ככה שיש ממונה על התחום – הבאנו את זה לישיבת מנכ"ל, כלומר יש ועדת היגוי בכל משרד שדנה בתחום הסייבר ואבטחת המידע- - -

אורי מקלב: יש תקנים יעודיים לאבטחת מידע, אנחנו רוצים להתמקד עכשיו, סליחה, בישיבה הזו יותר לשימושים פנימיים, האם יש כללים גם בנושא הזה?

אורי מקלב: איך מגדירים סמכות, מה צריכה להיות הסמכות ושהיא לא גולשת, איך בודקים את הדברים, איך מפקחים על הדברים האלה, איך יודעים שמישהו גולש?

אורי מקלב: האם יש לכם הנחיה כוללת, קביעת כללים?

<גדעון קונפינו: כל גוף מגדיר לעובדים שלו את הרשאות הגישה לפי צורך העבודה שלהם.

<גדעון קונפינו: עכשיו, הבעיה היא באמת באנשים שצרכי העבודה שלהם מאפשרים להם גישה רחבה- - -

אורי מקלב: הגוף עצמו קובע?

<גדעון קונפינו: הגוף עצמו, המנהל העסקי בגוף קובע איזה אנשים צריכים לגשת למידע.

אורי מקלב: איזה אנשים ומה המידע שצריך.

<גדעון קונפינו: לשם העבודה.

אורי מקלב: זאת אומרת יכול להיות שהייתי בא להתווכח אתו או גוף מקצועי – תשמע, למה אתה מאפשר כל כך הרבה, בשביל מה לצורך העבודה הוא צריך גם זה וגם זה?

אורי מקלב: אם ירצה משהו באופן חורג שיקבל אישור ממך, אין מי שעושה את זה – כל מנהל קובע לעצמו את השפה שלו ואת האזור שלו לפי חשיבה שלו.

<גדעון קונפינו: קודם כל ההרשאות ניתנות על ידי המנהל.

<גדעון קונפינו: הבקרה נעשית על ידי סקר סיכונים שנעשה על ידי גוף אבטחת מידע בארגון, ויכול לבדוק תוך כדי תהליך הסקר אם יש הרשאות עודפות או שימוש לא נאות או הליכים כאלה.

אורי מקלב: עושים את זה?

<גדעון קונפינו: כן, משרדי ממשלה עושים סקרי סיכונים.

אורי מקלב: מי יענה על זה, אתה?

<גדעון קונפינו: יש משרדי ממשלה שלא רק שעושים סקרי סיכונים, אלא גם עומדים בתקן של מכון התקנים הישראלי בנושא אבטחת המידע, כלומר גם גוף חיצוני, חוץ ממשלתי, בודק אותם כדי לוודא שהתהליכים מתקיימים.

אורי מקלב: אחרי זה נשמע על רשות המיסים, זה בא מתוך בקרה פנימית?

<גדעון קונפינו: שם זה בקרה פנימית.

אורי מקלב: תכף נגיע לזה.

<גדעון קונפינו: ברשות הגבייה והאכיפה למשל הם עומדים בתקן של מכון התקנים, רשות התקשוב- - -

אורי מקלב: גדעון, תכף נשוב אליך, אבל אני רוצה לתת לפרנקו ואחרי זה עוד כדי שיהיה זמן ואולי בסוף נוציא סיכום.

אורי מקלב: בבקשה.

<רפאל פרנקו: רפאל פרנקו, ראש אגף בכיר להסדרה והכשרת המשק, הרשות הלאומית להגנת הסייבר, צהרים טובים.

<רפאל פרנקו: כשאנחנו מסתכלים על ארגון ואנחנו סוקרים את כל הסיכונים שבו, החל מבחוץ וכלה מבפנים ואנחנו רוגע רוצים, היום ספציפית, להתמקד בעובד שיכול לעשות נזק, אז הוא כמובן יכול לעשות נזק לפרטיות, אבל הוא יכול לעשות עוד המון סוגי נזק, החל מריגול, המשך במידע שהוא מידע לא פרטי – מידע על תכניות עסקיות, ציבוריות וכו' וכו' וכו'.

<רפאל פרנקו: אז אנחנו מזהים כמה סוגים של הגנות, רגע לפני זה אני יכול להגיד שרק פרסמנו לפני כשבועיים את תורת ההגנה בסייבר לארגון, אני הבאתי את המסמך ואפשר להעבר לחברת הכנסת וליושב הראש, לעניין ולהבין עד כמה הוא באמת יורד לרזולוציה של כללי "עשה".

תמר זנדברג: זה לרשות ציבורית?

<רפאל פרנקו: זה ממשלתית, כן, יחידות סמך וכל השאר כמובן וולונטרי.

<רפאל פרנקו: אנחנו מסתכלים ורואים כבר כמה חובות שקיימים למספר ארגונים, עוד רגע לפני תורת ההגנה הארגונית.

<רפאל פרנקו: אז קודם כל, כל ארגון במדינת ישראל ודגש על ממשלת ישראל שהוא תמ"ק – תשתית מדינה קריטית – חייב לעבור גם רמת מהימנות לעובדים שלו.

תמר זנדברג: מה זו תשתית מדינה קריטית?

<רפאל פרנקו: תשתית מדינה קריטית זה תמ"ק, תשתית שבלעדיה המדינה לצורך העניין לא תשרוד.

<רפאל פרנקו: חברת חשמל, מים, גז טבעי.

<קריאה: אנרגיה, גז.

<רפאל פרנקו: עד משרדי ממשלה שהשירות החיוני שלהם הוא חיוני לציבור, למשל גביית מיסים שאחרי זה גם יגעו בנושא הזה, מן הסתם חשוב, רשות האוכלוסין- - -

תמר זנדברג: זאת אומרת זו השדרה המרכזית של- - -

<רפאל פרנקו: שדרה כבדה, רשות האוכלוסין למשל שדיברנו עליה קודם.

<רפאל פרנקו: זה חשוב כי הגופים האלה, מן הסתם, אוצרים מידע מתוקף תפקידם כנותני שירות, אפשר לומר לכל אזרח במדינת ישראל.

<רפאל פרנקו: לכל השאר היום, אלה שלא מחזיקים מידע מסווג או שהוא אינו ארגון תמ"ק, עידן לא ניתן להחיל עליו סינון בטחוני על פי הוראות נציבות שירות המדינה.

<רפאל פרנקו: לכן אנחנו בוחרים, בהקשר הזה, טכנולוגיה ואנחנו בוחרים בכמה מאגרי אבטחה.

<רפאל פרנקו: הדבר הראשון, ברשותכם, זה משאבי אנוש, כל עובד שנקלט לארגון היום בשירות המדינה חייב לעשות שני תהליכים.

<רפאל פרנקו: אחד, מעבר לזה שהוא חותם על כל נושא של שמירת סודיות, גם התפקיד שלו מחויב להיות בעל הערכה עד כמה הוא רגיש וחשוף למידע.

<רפאל פרנקו: כלומר, אם אני בתפקיד רגיש כבר מחילים עלי כללים שהם כללים נוספים.

אורי מקלב: יש מידע שהוא לא מסווג?

<רפאל פרנקו: כן.

אורי מקלב: השאלה אם אתם- - -

<רפאל פרנקו: בטח.

אורי מקלב: יש מידע שנמצא- - -

<רפאל פרנקו: בטח, רוב המידע הממשלתי הוא לא מסווג.

אורי מקלב: אני לא מדבר עכשיו על השירות של המידע הזה, אני לא מדבר על מידע שנותנים לציבור, אני מדבר אתך על מידע שיש על הציבור.

<רפאל פרנקו: רוב המידע הממשלתי בשירות המדינה הוא לא מסווג, אדוני.

אורי מקלב: שאני אבין, המידע שיש בביטוח לאומי, לדוגמה- - -

<רפאל פרנקו: הוא רגיש.

אורי מקלב: אולי מבחינתך הוא לא- - -

<גדעון קונפינו: לא, הוא לא מסווג בטחונית, אני אעזור לפרנקו.

אורי מקלב: רשימת ניצולי שואה, הוא אולי לא מסווג בטחונית ומבחינתך זה אולי לא חומר שידלוף למישהו ויעשו בזה דבר, אבל יכול להיות מידע שהוא מידע שאנחנו מאד רוצים להגן עליו.

<קריאה: כן, בוודאי זה מידע רגיש לפי חוק הגנת הפרטיות וזה גם יכול להיות מידע חסוי, לפי הסיווג האזרחי הממשלתי.

<קריאה: פרנקו מדבר על הסיווג הביטחוני.

אורי מקלב: רשימת ההורים ששולחים למשפחתונים, אני רוצה להגיד לך דוגמה של נושא, קשה לי עכשיו, אני מבין שרישיון נהיגה זה גם, אבל מאגרים שהם גם פרטיים, אבל גם יכולים להיות להם שימושים, השאלה אם אתם אצלכם גם מסתכלים על הדבר הזה.

<רפאל פרנקו: וודאי, אמרתי, אנחנו מתואמים עם רמות באמת בצורה טובה וגם החוברת שהעברתי מתואמת בצורה טובה ומעלה עם שאר הגופים.

אורי מקלב: אבל אני שואל אותך, תגיד שזה לא דברים בטחוניים, למה אתה צריך את זה?

אורי מקלב: יש קצת סתירה בעיני בין מה שאמר גדעון לבין מה שאתה אומר, להרגשתי.

אורי מקלב: גדעון אומר: לי יש הכל, גם הנחיה על דברים, כל הפרטיות אני מגדיר הכל ולא מתעסק רק בהגנה על הסייבר, הכל צריך להיות.

אורי מקלב: אתה בא ואומר, מחשש, שלך יש חשיבה, היעד שלך, אלו דברים שהם לא צריכים לדלוף, אבל יכול להיות שמבחינתך דברים שהם מידע או נניח הרי שרשימה של הורים שנמצאים במשפחתונים וצהרונים.

אורי מקלב: אתה לא רוצה שהמידע הזה יזלוג החוצה – אז לזה אתה עושה הגנה, אבל בתוך המשרד יכולים 200 איש לגעת במידע.

<רפאל פרנקו: אני רשמתי לי, הבנתי לאן אדוני מכוון.

אורי מקלב: מי יענה לי על מרכבה?

<רפאל פרנקו: אני אענה לך על מרכבה, זו תשתית קריטית.

אורי מקלב: אחר כך תענה על הכל, מרכבה אני חושב שזה אחד ממאגרי המידע שיש שהם הרבה דברים, היא מכילה בתוכה המון המון מידע.

אורי מקלב: אם אתה שואל אותי, עובד ממשלתי שאני מכיר מכיוון שיש לו גישה לדבר הזה והוא, בשיחה כשאני שאלתי אותו בעניין הזה בגלל שזה תחום שאני מתעסק אתו, אתה יודע כמה עובדים וכל מה יש להם גישה מרכבה – כשהוא צריך להכין משהו יש לו כבר כבר גישה גדולה מאד בכל המשרד והרבה מעבר לזה בגלל שהוא ממונה על משהו, הוא צריך להכין, יש לו חשבוניות, אבל מכאן הוא קיבל גישה ואף אחד לא מגביל אותו, ככה ההרגשה בכל אופן.

<רפאל פרנקו: אני בכוונה, כיוון ששאלת ואני מבין לאן אתה מכוון ראשית אני אגיד ככה, גדעון והרשות מתואמים, אגב, גדעון זה גוף מונחה על ידי הרשות ולכן אנחנו מתואמים באופן מלא.

<רפאל פרנקו: אני רוצה לגעת ברשותך בכמה מעגלים וככל שתאשר לי ותאפשר לי אני אצלול פנימה.

<רפאל פרנקו: אחד זה כל נושאי משאבי האנוש – אמרתי, קליטת עובד.

<רפאל פרנקו: השני זה שיהוי, איך אתה מזהה גישה להוצאה של מידע רגיש, למשל סתם לדוגמה, האם עובד שיש לו הרשאה, אם הוא מדפיס 50 עותקים אם מקבל התראה.

<רפאל פרנקו: למה?

<רפאל פרנקו: כי 50 עותקים זה לא משהו בפעולה הסבירה שלו.

<רפאל פרנקו: אני ממשיך הלאה, האם יש יש לו גישה כפולה מאובטחת, כך שמישהו אחר לא יכול, אם הוא עזב רגע את החדר, להתחבר לו לעמדה.

<רפאל פרנקו: זאת אומרת לא מספיק רק סיסמה אלא הוא צריך למשל גם תג.

<רפאל פרנקו: האם למשל יש לי הפרדה בין תחומים – למשל, אני עובד משאבי אנוש, למרות שיש לי גישה ואתה עובד בתפעול, אנחנו נפריד את ההרשאות שלנו.

<רפאל פרנקו: גם בהנחיות, אנחנו נותנים את ההרשאות המצומצמות ביותר לצורך העיסוק של העובד.

<רפאל פרנקו: אנחנו מנטרים את המשתמש, למשל מחוץ לשעות העבודה.

<רפאל פרנקו: אם אדוני פתאום רוצה להתחבר ב-7, 8 בערב – למה?

<רפאל פרנקו: כלומר, קודם כל אנחנו מנסים לייצר דרך המערכות את המדפס הקבוע הארגוני ואחרי זה התשתיתי של אותו תפקיד.

<רפאל פרנקו: כמובן שכל הנושא של תיעוד וניטור, באזורים שבהם – יוכלו לעמוד על זה אחרי זה גופים ממשלתיים אחרים – שבו יש גם חשש לכל הנושא של הונאה, יש גם גופים במשק הישראלי, בממשלה, שהטמיעו מערכות למניעת הונאה.

<רפאל פרנקו: כלומר, הם מזהים חריגות מדפוסים שהגדיר להם מנהל הגנת הסייבר, יוכל לגעת בזה אחרי זה אורן מרשות המיסים, סך הכל הפעולה שהם עשו זו בדיוק הפעולה המצופה.

<רפאל פרנקו: כשקופץ משהו, אתה תופס, כי טבע האדם מתקשה לשנות, אבל בוודאי באמצעות מערכים טכנולוגיים וההוכחה שמעגלי ההגנה האלה שתארתי, במקרה דנן, היו פעילים.

אורי מקלב: אורן, אתה רוצה להרחיב?

<אורן בן שבת: כשנגיע אלי, אין בעיה.

אורי מקלב: הוא אחריך.

<רפאל פרנקו: מעולה.

<רפאל פרנקו: בהמשך כמובן ביקורות, גם ביקורות חיצוניות של הרשות- - -

אורי מקלב: אוקיי, אתה רגוע?

<רפאל פרנקו: אני אף פעם לא רגוע, משלמים לי כדי לא להיות רגוע.

אורי מקלב: אני חוזר ואומר, אני רוצה לשמוע את התשובה שבעצם אין מידע היום שאתם חושבים שהוא לא צריך להיות מוגן.

<רפאל פרנקו: אני אומר ככה- - -

אורי מקלב: חוץ ממידע שהוא באמת לציבור, במקורו.

אורי מקלב: מידע שצריך כמו זמני קבלת קהל, מסמכים, טפסים, אנחנו רוצים שיהיה כמה שיותר, אבל מידע שהוא מאגר מידע אישי, פרטי, גם לפעמים מחקרים כאלה או אחרים- - -

<רפאל פרנקו: אני אומר בזהירות הראויה, גם רמות וגם הרשות הניחו תשתית מקצועית שניתן בעטיה להגן על האדם שרוצה לייצר הונאה או להדליף מידע.

<רפאל פרנקו: זה תהליך, תהליך של הממשלה, יותר ויותר ארגונים ויותר ויותר יחידות רוכשות את הטכנולוגיות.

<רפאל פרנקו: בגופים עתירי מידע כבר יש את הטכנולוגיות.

אורי מקלב: אוקיי, אני חושב שאחרי שניתן לגופים אחרים לדבר יכול להיות שנרצה לחזור אליך, נציג רשות המיסים לא רשום לי שם ותפקיד.

<אורן בן שבת: צהרים טובים, אורן בן שבת, מנהל אגף בכיר – חירום, ביטחון, מידע וסייבר ברשות המיסים.

אורי מקלב: אתה רוצה גם להתייחס למה שחברת הכנסת זנדברג העלתה?

אורי מקלב: אתה מכיר את המקרה שזה אולי המחולל של הדיון שלנו?

<אורן בן שבת: כן, אני מכיר היטב בתור מי שהיה בין צוות החוקרים באירוע הזה.

<אורן בן שבת: אני אתחיל בזה שבאופן כללי נושא השמירה על המידע ברשות המיסים מורכב מכמה רבדים, הראשון הוא המשפטי – כל המסגרת החוקית של העשייה בתחום הזה, החל מחוק הגנת הפרטיות וחוק המחשבים וחוקי המיסים השונים שמטילים חובת סודיות על הרשות בשימוש במידע, תקנות שונות וכמובן התקשיר ומתחת לכל זה יש נהלי עבודה שנובעים מתוך מדיניות ארגונית, מדיניות אבטחת המידע של רשות המיסים וכל הדברים האלה מוטמעים דרך סדרה שלמה של כלים – ניגע לפחות בחלק מהם.

<אורן בן שבת: רובד נוסף הוא רובד טכנולוגי, הרובד השלישי הוא רובד נהלי והאחרון הוא אכיפתי, שכשקורה אירוע – איך הוא מטופל.

<אורן בן שבת: באופן ספציפי, האירוע שחברת הכנסת זנדברג תארה בפתיחה, הוא אירוע שהתחיל בבקרה פנימית של רשות המיסים- - -

תמר זנדברג: שגרתית או בגלל מידע שהיה לכם?

<אורן בן שבת: לא בגלל מידע, כחלק מתכניות העבודה.

תמר זנדברג: כלומר שגרתי.

<אורן בן שבת: כן, זה חלק משגרת העבודה, יש סדרה שלמה של בקרות ואני אוכל גם להרחיב קצת יותר, איך אנחנו עושים את הדברים.

<אורן בן שבת: אני ארצה להתייחס לכמה שאלות ששאלתם בפתיחה- - -

אורי מקלב: בבקשה, חשוב לנו מאד.

<אורן בן שבת: האם יש כללים בנושא?

<אורן בן שבת: קודם כל יש כללים, סקרתי ממש בקצרה את המסגרת החוקית של העבודה והפעילות בתחום הזה ואנחנו מפרסמים את כל נהלי אבטחת המידע וכללי השימוש במאגרים לכל העובדים ברשות.

<אורן בן שבת: הפרסום מתבצע גם בתוך השימוש במערכות המידע, כל עובד שמזדהה מחדש לתוך מערכת המידע התפעולית רואה מול עיניו מסך אזהרה – שאם תרצו יש לנו פה דוגמה איך הוא נראה – שמזהיר אותו שהשימוש במידע חייב להתבצע לפי החוק, בהתאם לכללים ואם לא הוא צפוי לסנקציות וכן הלאה.

אורי מקלב: מה היה שנדבר עליו, רק שנבין את התהליך או מה קרה.

אורי מקלב: היה שימוש של עובדים במידע שלצורך העבודה או למשהו חיצוני?

<אורן בן שבת: הבקרה העלתה אכן כמות, מבחינתנו, לא קטנה של עובדים שנכנסו בתוך המסגרת המותרת להם לצורך העבודה, לישויות וביצעו את אותן שאילתות על ישויות שאסור היה להם לבצע.

<אורן בן שבת: צריך לומר שבאותה עת טרם הטמענו מערכת מובנית טכנולוגית, כמו שפרנקו הזכיר- - -

אורי מקלב: לא לצורך חיצוני, אלא לצורך קידום העבודה שלהם.

<אורן בן שבת: אנחנו היינו בתהליך הטמעה של מערכת ניטור ובקרה שבתקופת הבקרה עוד לא פעלה.

<אורן בן שבת: לפחות לא פעלה כמו שצריך עדיין והבקרה העלתה שאכן היו פעולות שאנחנו אוסרים לבצע, כי מעצם ההגדרה וכל עובד עובר הדרכה גם כתובה וגם פרונטלית, לפחות אחת לשנה, כל עובד בארגון עובר את זה וגם מודגש, בין היתר, שהשימוש במאגרי המידע נועד לביצוע העבודה בלבד.

<אורן בן שבת: במקרה הזה גילינו שבאמת היתה אוכלוסייה שלא עשתה את הדברים האלה כמו שצריך והם כולם נחקרו וננקטו נגדם הליכים משמעתיים.

אורי מקלב: אני שואל, אני באמת לא בקיא בכללים, אבל נניח לדוגמה לצורך חקירה של מישהו בעבירת מס ברשות המיסים אתה רוצה להגיע למידע או להשלמת החקירה או בכלל כדי להגיע לנקודת החקירה שאתה רוצה להגיע – אתה רוצה לדעת על החברים של הנחקר כי אולי זה ייתן לך פתח לפתוח את החקירה שאתה רוצה.

אורי מקלב: אתה לא יכול לעשות את זה כי אין לך סמכות, כשאתה חוקר אותו אתה לא יכול לחקור את החברים שלו, אני סתם מניח הנחה – אם היא נכונה או לא זה לא משנה, רק לשם הדוגמה, כאילו מקרה שזה לא אותו אדם אלא אתה הולך למשהו אחר.

אורי מקלב: זה הוא יודע שאסור לו? העובד יודע?

אורי מקלב: כשהוא היום עושה את זה הוא עשוי לעמוד תחת הביקורת בגילוי שלך שהוא עשה את הדברים, הוא עלול להשאל למה עשית את זה?

אורי מקלב: איך עשית את זה?

אורי מקלב: לצורך מה עשית את זה?

אורי מקלב: באיזו סמכות עשית את זה?

<אורן בן שבת: באותו אירוע- - -

אורי מקלב: אתה יכול להביא דוגמה אחרת.

תמר זנדברג: וגם, אם אני יכולה להוסיף שאלה, בעצם כל עובד, זוטר כבכיר, חשוף כל המידע בכל תיק?

<אורן בן שבת: לא לא, ממש לא.

אורי מקלב: זה מה שאמרו קודם – שלא.

תמר זנדברג: לא, פשוט- - -

<אורן בן שבת: אני מסביר איך.

אורי מקלב: הוא אומר שאם למשל בגבול המידע שמותר לו, שחשוף לו- - -

תמר זנדברג: אז איך הוא יכול להשתמש בו, אבל עדיין אולי צריך לעשות איזו שהיא דיפרנציאציה אחרת.

אורי מקלב: גם הוא וגם רפאל דיברו על כך שאנחנו עושים רבדים של מידע.

תמר זנדברג: אבל מה הרבדים האלה?

תמר זנדברג: אולי הם לא מפולחים נכון?

אורי מקלב: כל מנהל במשרד שלו הוא קובע, אם יש מנהל שאומר- - -

תמר זנדברג: כן, אולי צריך רמות אחרות?

<אורן בן שבת: יש ברשות המיסים שיטת עבודה לפיה בעל תפקיד מקבל את אותן הרשאות אליהן הוא נדרש במסגרת התפקיד שלו.

<אורן בן שבת: הדבר הזה מוגדר בשיתוף פעולה בין היחידות המקצועיות שמכירות את מאגרי המידע ויודעות מה הערך המקצועי ומה נדרש, לבין תחום אבטחת המידע שלמעשה מנחה בתוך הארגון את הנושא הזה.

<אורן בן שבת: זה גם עובר ביקורת משפטית בתוך הארגון ובסופו של דבר, מה שאנחנו מאפשרים לעובד לגשת מגובה בצורה טכנולוגית.

<אורן בן שבת: כלומר לי, לצורך העניין, יש סדרה של שאילתות שמותר לי לבצע ומה שלא מותר לי – אני לא יכול לגשת, השאילתות פשוט חסומות.

<קריאה: מאיזו שנה זה ככה?

<אורן בן שבת: זה מאז ומתמיד.

תמר זנדברג: למשל, אתה יכול לתת לנו איזו דוגמה, עובד בדרגה של חוקר ברשות המיסים, שאמור לחקור תיקים של איזה חקירת מס.

תמר זנדברג: איזה מידע בהרשאה הנמוכה, הסטנדרטית נקרא לזה, הוא חשוף אליו?

<אורן בן שבת: אני לא רוצה להטעות פה את הנוכחים, אז אני לא רוצה להתייחס באופן ספציפי, אבל אפשר לבדוק את זה.

<אורן בן שבת: אנחנו יכולים להביא את הנתונים האלה, אבל אני אומר שוב שמדובר בתהליך עבודה שבסופו- - -

אורי מקלב: כולנו יודעים שלהרבה הרבה מידע.

תמר זנדברג: כן.

אורי מקלב: הוא כמעט יכול- - -

תמר זנדברג: נשאל את זה אחרת, בין העובד הזוטר לעובד הבכיר – מה פערי המידע, מה הם הדברים הרגישים שרק עובד בכיר – ודרך אגב, מהחקירה שלכם עלה שגם עובדים בכירים מאד היו שם.

<אורן בן שבת: היו כמה בודדים.

תמר זנדברג: השימוש לרעה הוא אקרוס דה בורד, אבל אני שואלת נניח, בכל זאת ככל שעולים שהיררכיה אנחנו רוצים לחשוב שהועבד מפעיל שיקול דעת ויש לו יותר סמכויות ויותר אחריות וזה בסדר.

תמר זנדברג: מה הפער במידע בין העובד הסטנדרטי לעובד הבכיר?

תמר זנדברג: למה העובד הבכיר יוכל לגשת, לאיזה מידע רגיש שהעובד הזוטר לא?

תמר זנדברג: למשל, לא אחד לאחד.

תמר זנדברג: דוגמאות.

<אורן בן שבת: שוב, קשה לי באמת לתת כרגע דוגמאות קונקרטיות כי לשאלה הזו לא נערכתי מראש, אבל חשוב לי לציין שהאירוע שאנחנו מדברים עליו, אותו אירוע חקירה, לא נגע כלל למקרים האלה, אלא דובר בעובדים שלנו שביצעו שאילתות על רקע אישי, כלומר לעזור לקרוב משפחה, להגיש איזה דוח או דברים בסגנון הזה.

<אורן בן שבת: אנחנו אוסרים את הפעולות האלה וגם חשוב לומר שלא עלתה בשום חקירה אינדיקציה שמישהו מהעובדים האלה סחר במידע או עשה משהו כזה, אלא זה היה ממש- - -

אורי מקלב: אלה דברים שמובן מאליו, זה קיים בהרבה ארגונים- - -

תמר זנדברג: לא, עולה כאן שאלה, אם המידע מוגבל רק לרובד, אז בעצם למה, סתם לדוגמה עובד שיש לו 100 תיקים למה הוא לא מקבל בעצם הרשאה רק ל-100 תיקים האלה?

תמר זנדברג: למה הוא יכול לקבל את אותו מידע, כולל תיקים של עצמו, הרי הוא לא חוקר את עצמו.

<אורן בן שבת: זה לא מדוייק- - -

תמר זנדברג: למה בכלל יש גישה לעובד לתיקים של עצמו ושל בני משפחתו אם הוא לא חוקר, זה לא בהגדרת התפקיד שלו עכשיו לחקרו את בני המשפחה שלו?

<אורן בן שבת: קודם כל עובד לא יכול לחקור את בני המשפחה שלו.

תמר זנדברג: בדיוק, אז למה הוא יכול לגשת למידע לגבי בני המשפחה שלו?

אורי מקלב: אני אתן לך דוגמה לא מרשות המיסים, אני מכיר מקרה שהיה ואני חושב שזה טופל טוב במקרה, במשטרת התנועה.

אורי מקלב: עובד במשטרת התנועה רצה באופן טבעי לעזור, אבא שלו רצה לברר על דוח תנועה – ברור שיתכן והיה מקבל את אותו מידע אם זה לא היה אבא שלו, זה לא מידע סודי.

אורי מקלב: העובד נכנס ועובד רשאי להיכנס- - -

תמר זנדברג: זו השאלה, למה העובד רשאי?

אורי מקלב: הוא רשאי להיכנס לכל דוחות התנועה.

תמר זנדברג: זו השאלה, למה?

אורי מקלב: כי הוא פועל בכל דוחות התנועה, יתכן וצריך היום- - -

תמר זנדברג: אבל חקירה של רשות המיסים- - -

אורי מקלב: העובד הזה באמת פוטר רק בגלל שהוא עשה משהו שלא היה עבירה, אבל לקח מידע שלא היה תחת סמכות.

תמר זנדברג: אז יכול להיות שבפני עיוור לא תשים מכשול ולא צריך לאפשר.

אורי מקלב: יכול להיות, אני חושב שאת צודקת, צריך יותר ויותר בגלל שהיום יש כל כך הרבה מידע והקלות והנגישות צריך לשים יותר חסמים.

אורי מקלב: אני רוצה להספיק לתת לאנשים אחרים, אם אתה רוצה להשלים בעניין הזה, אבל מה שעולה מדבריך זה שלא היה לצורך פלילי, זה היה מידע פנימי שלצורך אישי וברירו, גם אם לפי חוק הוא לא עשה עבירה בזה שהוא הוציא את השומה או משהו, לא מידע סודי שהיה מאיזו חקירה שהייתה אמורה להתבצע.

אורי מקלב: אדם הוציא מסמך שיתכן ובעל המסמך היה מבקש ומקבל את זה, אבל התפקיד שלך הוא לא פניות ציבור- - -

<אורן בן שבת: נכון ואנחנו עדיין התייחסנו בחומרה.

אורי מקלב: אני עדיין לא שמעתי ממך ודווקא אני שואל אותך מרשות המיסים שזו רשות שבאמת יש לה הרבה מידע והאופן שיש לה להגיע למידע לצורך הבירורים שלה, וודאי לפקידים בכירים ברשות, האם היו מקרים שמישהו פעל ללא סמכות?

אורי מקלב: שאם זו היתה הלבנת הון אז מותר היה לו להגיע למידע הזה, אבל אם החקירה היא לא על הלבנת הון – אז הוא לא יכול להגיע, אבל הוא בכל מקרה רצה משהו שהוא לא יכול לקבל, זו לא עבירה אבל הוא רצה להגיע בלהט הבירור.

<אורן בן שבת: אנחנו בכל מקרה ראינו את המקרים האלה בחומרה והתייחסנו אליהם בחומרה ובתיאום עם נציבות שירות המדינה חקרנו חקירות משמעתיות את העובדים האלה, כמו שגם ציינתם בזימון של הדיון – כנגד עשרות עובדים הוגשה קובלנה בבית הדין למשמעת והורשעו.

<אורן בן שבת: למעשה כל העובדים שהוגשה נגדם קובלנה הורשעו בבית הדין למשמעת, כך שגם אם הם לא – כמו שאדוני מתאר – עברו על החוק בצורה בוטה וברורה וגסה, אלא עשו משהו שאותו קרוב משפחה או חבר וכו' יכול היה לקבל בדרך אחרת – אנחנו לא ראינו את הדברים בצורה מקילה, אלא להיפך, השקענו את כל המאמצים בעניין הזה.

<אורן בן שבת: ואני צריך עוד לומר שאנחנו כן, כדי למנוע, כמו שאמרתם – להסיר מכשול מפני עיוור – אנחנו בתהליך של הטמעת מערכת שתחסום את הגישה הזו, לא לאפשר לעובדים בכלל להגיע למצב שהם יכולים לבצע.

תמר זנדברג: למה היא תחסום את הגישה?

<אורן בן שבת: לאותן ישויות שאסור להם באופן מובנה, לפי הכללים, לבצע שאילתות.

<אורן בן שבת: לדוגמה, אני לא אוכל, טכנית, לבצע שאילתה על אשתי.

תמר זנדברג: על אשתך.

<אורן בן שבת: לצורך ההמחשה, כן, יש רשימה שלמה של כללים.

תמר זנדברג: כלומר, יהיה מותר לך על כולם מלבד אשתך?

תמר זנדברג: למה שלא יהיה הפוך, למה שלא תותר לעובד גישה- - -

<אורן בן שבת: זה המצב, אגב, שוב אני אומר- - -

תמר זנדברג: לא, תותר לו גישה לתיקים שהוא חוקר ולאף אחד תיק אחר לא.

אורי מקלב: היום התפקיד שלו, בשנה הקרובה הוא חוקר את בעלי המוניות, נניח.

אורי מקלב: היום הוא צריך להגיש את הרשימה, בגלל שהטכנולוגיה מתקדמת אז היום הגישה שלו תהיה לבעלי המוניות, למה הוא צריך גישה לכל בעלי העסקים גישה בשלב הזה?

<אורן בן שבת: לרשות המיסים יש סמכויות אכיפה שנועדו לגבות מיסי אמת, להגיע לחקר האמת בתחומי המס השונים.

<אורן בן שבת: ברור לכל שאם אנחנו בדוגמה הזאת, נפתח לאותו חוקר שעובד על ענף המוניות רק שאילתות שקשורות בענף המוניות, מחר בבוקר לא יהיה אף אחד שעוסק בתחום המוניות וכולם יעברו לתחומים אחרים, כי אם לא מדווחים כלום בענף המוניות אז לא נוכל להגיע אליהם בכלים אכיפתיים.

תמר זנדברג: לא הבנתי.

תמר זנדברג: או שלא הבנת את השאלה, או שהתשובה לא ברורה.

תמר זנדברג: התשובה היתה מוזרה.

אורי מקלב: נניח יש קבוצה יחידה שנתנו לה למשך הפרויקט שלה, לחצי השנה הקרובה איזה פרויקט של מסעדות או בתי מלון.

אורי מקלב: בתי מלון זה התפקיד שלהם, בשלב הזה הם צריכים את הגישה לבתי המלון, למה הם צריכים גישה לכל בעלי העסקים, לכל מה שיש, למה המידע צריך להיות רחב אפילו באופן זמני?

אורי מקלב: היום הטכנולוגיה מאפשרת מענה קל מאד להגביל גישה, יש הגדרה – הוא עכשיו אחרי על תחום והוא חוקר את הדבר הזה ויש לו גישה למה שצריך, למה באותה הזדמנות אנחנו נותנים לו גישה שהוא ב-10 השנים הקרובות לא יהיה לו צורך בכל המידע שיש לו גישה אליו והוא מיותר לו בעבודה, במסגרת התפקיד שלו, באפשרות וההיתכנות שיהיה לו בכמה שנים הקרובות.

אורי מקלב: יש לך תשובה על זה?

<אורן בן שבת: כן, ההגבלה המוצעת שעולה כאן כדוגמה, עלולה להביא לפגיעה חמורה מאד ביכולת של הרשות לתפקד.

<אורן בן שבת: עברייני המיסים- - -

אורי מקלב: מה שיש פגיעה אנחנו לא מדברים כשיש פגיעה, אבל המנהל צריך להחליט.

אורי מקלב: אם יש פגיעה צריך לתת לו, אבל אנחנו מדברים על דברים שאין פגיעה, יש רובד של פקידי שומה, פקידי מס, שיש להם - - -, אבל יש 100 באותו מחוז ולא כולם מתעסקים עם אותו דבר ולמה כל המידע שקיים ברמה שלו צריך לעניין את כולם?

אורי מקלב: הוא עכשיו אחראי על כך והוא צריך לקבל את המידע שיש לו, אבל זה בעצם אני לא מחכה לתשובה ממך, אני הייתי רוצה בסופו של דבר בסיכום לשמוע את זה, זו בעצם הנחיה כללית שצריכה להיות לאו דווקא ברשות המיסים.

אורי מקלב: רשות המיסים היא כמובן גוף מיוחד, אבל הרשות להגנת הון נמצאת אצלכם ברשות המיסים?

<אורן בן שבת: לא, זו רשות עצמאית.

אורי מקלב: אתם נמצאים פה, אז תכף נגיע.

אורי מקלב: רשות האוכלוסין וההגירה, ממש בקצרה, אני רוצה התייחסויות של גופים אחרים, כן.

<עידו תלמי: שמי עידו תלמי, אני מנהל אבטחת המידע וממונה על הגנת הפרטיות ברשות האוכלוסין.

<עידו תלמי: רשות האוכלוסין, כמו שנאמר על ידי הקולגות שלי מקודם, מבצעת את הפעילות להגנת הפרטיות גם במעגלי אבטחה.

<עידו תלמי: אני לא אחזור על מה שנאמר, אבל אנחנו עומדים גם באותם מעגלי אבטחה.

<עידו תלמי: מה חשוב לומר, לחברי הוועדה, הוא שתמיד קיים דיסוננס בין הרצון של הגוף הממשלתי לאפשר עבודה ושירות לאזרח, לבין הרצון לשמור על הפרטיות והדיסוננס המובנה הזה יוצר הרבה מאד דילמות במערכות המידע ובאפשור המידע למידע.

<עידו תלמי: אם להתייחס לנקודה הספציפית של הדיון, על איך מונעים גישה למידע לעובדים שלא זקוקים לזה במסגרת התפקיד או שכן זקוקים במסגרת התפקיד ומועלים בתפקידם, אז אנחנו בשנים האחרונות מבצעים פעילות ענפה בתחום ההרשאות, הגישה של עובדי הרשות למידע.

<עידו תלמי: אנחנו בתהליך של הפיכת כל אבן במערכות המידע שיש לנו, בעיקר במרשם האוכלוסין, וחיפוש אחר הרשאות מיותרות שיש לעובדים ונטרול ההרשאות האלה.

<עידו תלמי: אנחנו מבצעים, כמו שנאמר פה, גם הרבה מאד פעילות בתחום המודעות והאכיפה.

<עידו תלמי: מאז 2013 לערך עובדים שביצעו שליפות של מידע שהן בניגוד לכללים ולהנחיות שניתנים להם מועמדים לדין משמעותי- - -

אורי מקלב: היו אצלכם מקרים שהפיקוח והבקרה גילתה?

אורי מקלב: עמדו לדין?

<עידו תלמי: כן אדוני.

אורי מקלב: מה?

<עידו תלמי: מאז שאני בתפקיד, מאז שנת 2013 הובאו לפני – אני מבצע את החקירה בעניין הזה – סביבות עשרה או 12 עובדים, מחוץ לעובדים שהועברו ישירות למשטרה או לנציבות שירות מדינה –היו גם כאלה, עובדים שעשו סחר במידע – והמשטרה חקרה.

<עידו תלמי: במסגרת הזאת, אצלי בין שניים או שלושה עובדים, הועמדו לדין תוך הרשות וננזפו או קיבלו הערות משמעתיות ועובדת אחת גם הורחקה מהארגון, זאת אומרת עברה למשרד אחר.

אורי מקלב: הכל היה לשימוש חיצוני?

<עידו תלמי: רובם ככולם זה לשימוש פרטי לקרובי משפחה, תלונות של אזרחים שפנו- - -

אורי מקלב: יש אצלכם מדרג בהרשאות?

<עידו תלמי: סליחה?

אורי מקלב: ברשות האוכלוסין, יש מדרג בין העובדים- - -

<עידו תלמי: כן, יש פרופיל.

אורי מקלב: או שזה כשמותר – מותר הכל.

<עידו תלמי: לא, יש פרופילים, זה מה שאמרתי לפני כמה דקות, אנחנו בעיצומו של תהליך טיוב הפרופילים האלה.

<עידו תלמי: לכל עובד יש פרופיל, כשעובד מגיע היום לארגון, עובד חדש, הוא מקבל פרופיל של התפקיד שמתאים לו ובמידה והוא צריך מידע נוסף מעבר לתפקידו, יש פניה של המנהל שלו לקבלת מידע נוסף.

אורי מקלב: תודה, אני הייתי שואל יותר ומרחיב, זה באמת מעניין, רשות האוכלוסין אינה דומה לרשות המיסים, אני מניח שרשות המיסים היא גוף חוקר יותר ושמה צריך פעילות אחרת- - -

<עידו תלמי: אנחנו עוסקים ב-8 מיליון אזרחים.

אורי מקלב: נכון, 8 מיליון וגם מידע שאנשים מאד רוצים אותו, זה מאגר מידע מאד מבוקש, פנימי וחיצוני ושם וודאי לסייבר יש הרבה מה להגיד, אבל גם בשימוש הפרטי לצרכים מסחררים וכאלה, בפילוחים אם יש לכם ועוד דברים שיתכן שיש, זה לא רק המידע עצמו זה גם יכול להיות פילוחים ואנשים רוצים להגיע, מסיבות כאלה ואחרות ולא חסרות סיבות למה רוצים להגיע ולא דומה רשות המיסים לרשות האוכלוסין, כמו שמבחינתי לא דומה למשרד לביטוח לאומי, שאני גם רוצה לשמוע מהם.

<עידו תלמי: אם אפשר, רק עוד משפט?

אורי מקלב: אני חייב לתת לעוד, השעון לא עומד מלכת.

<עידו תלמי: משפט קצר.

אורי מקלב: ננסה אותך.

<עידו תלמי: אני חושב מאד שבדיון הבא, אנחנו צריכים לדון לא רק במשרדי הממשלה, אנחנו כרשות מעבירים הרבה מאד מידע לכל הרשויות, מעל 400 גופים במשק, לחלקם הרבה מאד מידע- - -

אורי מקלב: אפילו רשויות מקומיות ודברים כאלה.

<עידו תלמי: כולם.

<עידו תלמי: אדוני כולם, רשויות מקומיות, משרדי ממשלה, מרכזים פיננסיים, בנקים, חברות ביטוח – אנחנו מעבירים מידע על פי חוק.

אורי מקלב: המוסד לביטוח לאומי מעביר לרשויות מקומיות מידע בשביל הארנונה, אם הוא עובד או לא עובד.

<עידו תלמי: נכון.

תמר זנדברג: נכון, רגע, אני קצת קפץ לי באוזן בנקים וחברות ביטוח, איזה מידע?

תמר זנדברג: יש הבדל בין גוף ציבורי, אפילו שיהיה ביטוח לאומי או רשות מקומית, למרות שיכול להיות לצורך גבייה וגם מעקלים חשבונות בנק וזה רע מאד – בכל זאת, לבין בנק או חברות ביטוח שזה גורם מסחרי.

<עידו תלמי: אני אפרט, יש- - -

אורי מקלב: דוגמה שבנק מקבל מידע.

<עידו תלמי: כשאתה פותח היום חשבון בנק, הבנק מחויב על פי חוק לבצע שאילתת אימות לגביך, זאת אומרת שהוא לוקח את תעודת הזהות שלך, מכניס אותה למערכת שלו ומבצע אימות האם האדם שמולו הוא באמת האדם בתעודה.

<עידו תלמי: השאילתה הזאת מגיעה לרשות האוכלוסין, כי אנחנו המאגר.

תמר זנדברג: אוקיי, אבל מה אתה מחזיר לו?

<עידו תלמי: אימות.

תמר זנדברג: כן או לא.

<עידו תלמי: כן.

תמר זנדברג: אתה לא מחזיר לו מידע נוסף ממך.

<עידו תלמי: זה לגבי הבנקים, זה דיון- - -

אורי מקלב: רק אימות של שם או גם אימות של כתובת?

<עידו תלמי: יש גם סוגי אימות כתובות, בין היתר.

תמר זנדברג: יש הבדל בין אימות לבין בקשת מידע.

אורי מקלב: בסדר, אבל אימות מידע זה מידע.

תמר זנדברג: אם הכתובת לא נכונה – אתה מתקן לו את הכתובת?

<עידו תלמי: לא, מה פתאום.

תמר זנדברג: אז זהו.

<עידו תלמי: רגע- - -

אורי מקלב: אבל אימות מידע זה מידע.

תמר זנדברג: כן, אבל יש מידע שאתה מעביר מרצונך מרשות האוכלוסין לגורם מסחרי, פרטי?

<עידו תלמי: יש לנו שתי שיטות מרכזיות – הראשונות זה שאילתות למול אותם גופים, השנייה זה באצווה, קבצים גדולים של מידע על פי חוק, לדוגמה לרשויות מקומיות.

תמר זנדברג: זה לא גורם מסחרי.

תמר זנדברג: יש מידע שאתם מעבירים באופן אקטיבי שהוא לא אימות כן או לא לגורם מסחרי פרטי?

<עידו תלמי: לא, הכל נעשה על פי חוק.

תמר זנדברג: לא אמרתי שזה לא על פי חוק, סתם עניין אותי אם יש- - -

<עידו תלמי: אנחנו פועלים לפי חוק.

תמר זנדברג: לחברות ביטוח זה יכול להיות מאד יקר ערך עבורן מידע מרשות האוכלוסין.

אורי מקלב: אם הייתי נערך נכון יכול להיות שלא הייתי מזמין את כל המשרדים, כיוון שהייתי משרד ובאמת מנתח אותו, פורסים אותו לפרוסות- - -

<עידו תלמי: אז אני רק אשלים את המשפט- - -

אורי מקלב: אבל אמרתי מראש, זה לא הדיון האחרון אלא דיון ראשון, אבל לקחתי דוגמאות כדי שנוכל מזה ללמוד לדברים אחרים ולהכין את עצמנו.

<עידו תלמי: מה שרציתי לומר זה שאני חושב שחייבים לקיים דיון בנושא של מאגרי העל ולשמחתי הרבה יש שיתוף פעולה בין רשות הסייבר, לרמות, אלינו בטיפול באותם גופים שמחזיקים היום הרבה מאד מידע והם מחוץ לממשלה.

אורי מקלב: תודה.

אורי מקלב: המוסד לביטוח לאומי.

אורי מקלב: בבקשה, שם ותפקיד.

<בובי פנדריך: קוראים לי בובי פנדריך ואני מנהל אבטחת המידע של המוסד לביטוח לאומי.

אורי מקלב: בבקשה, מה אתה יכול להגיד לנו בנושאים שדיברנו?

<בובי פנדריך: במוסד לביטוח לאומי יש מידע על כלל אוכלוסיית מדינת ישראל, מרחם ועד קבר, החל מגמלה לשמירת הריון וכלה במענק פטירה, לא עלינו, וכל מה שבאמצע.

אורי מקלב: כל מי שעובד במדינת ישראל וכל מי שלא עובד, מי שחי.

<בובי פנדריך: כל מי שחי במדינת ישראל, כן.

אורי מקלב: אני תכף אגיע, בעקבות מה שאתה אומר, יש לי שאלה כללית, אני אשאל את זה בסוף.

אורי מקלב: אז אנחנו מדברים על שני נושאים, אבל נניח, אני דווקא רוצה במקרה שלך גם כן, שימוש של העובדים, בעיקרון במסגרת של הצרכים הפנימיים, כמה דברים ורבדים וכמה נושאים יש לכם בתוך הביטוח הלאומי.

אורי מקלב: האם זה מסווג?

אורי מקלב: איך העובדים מקבלים, מה הם מקבלים מההרשאות, האם כל אחד מקבל את כל המידע?

אורי מקלב: ואם יש לו גישה למי שנולד והאם מי שמתעסק עם נושא אחר – אנשים עם נכות, הוא גם נחשף לגמלאות של קצבת זקנה או במקרה הזה של ניצולי שואה ועוד דברים.

<בובי פנדריך: תראה, ברמת הנוסחה ההרשאה לגשת למידע במוסד לביטוח לאומי, היא במידור על בסיס הצורך לדעת.

<בובי פנדריך: כלומר, עובד אמור להחשף למידע שנדרש לו לצורך מילוי תפקידו.

תמר זנדברג: על כל האזרחים?

<בובי פנדריך: על כלל המידע הקיים במוסד לביטוח לאומי.

<בובי פנדריך: שמעתי ברגישות את השאלות ואני אענה לך, אני אתן לך דוגמה – עובדי הלוגיסטיקה, מה שלא יהיה לא נדרשים להגיע ולהחשף למידע של רשות האוכלוסין שקיים אצלנו, קיים אצלנו עותק של זה כי זה נדרש לנו לצורך מילוי תפקידנו.

<בובי פנדריך: מי שעוסק בנושא תשלום גמלאות עובר קודם כל הסמכה ארוכה מאד, למעלה משנה, והוא נקרא פקיד תביעות מוסמך.

<בובי פנדריך: אם אין לו הסמכה בנושא מסוים, הוא לא יחשף למידע הזה בכלל.

אורי מקלב: השאלה אם הוא נחשף למידע של קצבאות ילדים.

תמר זנדברג: בדיוק.

אורי מקלב: או קצבת נכות, תבוא ותגיד לי, אני צריך לדעת, הרי מי שיש לו גמלאות אבל הוא לא יכול לקבל כפל, אז יש דברים שנדרשים, אבל האם אתם עושים עבודת מטה מורחבת כדי להגדיר את הדברים וגם אם יש חלק שצריכים, אז לא כולם צריכים.

אורי מקלב: מהרגע הראשון אמרתי שהמידע של ביטוח הלאומי הוא באמת גדול ומיוחד ואישי ופרטי וכולי.

<בובי פנדריך: במוסד לביטוח לאומי יש ועדה- - -

תמר זנדברג: זו שאלה נכונה, נגיד יש גמלת דמי לידה.

תמר זנדברג: פקידה של רואה את זה- - -

אורי מקלב: נכון, אבל קצבת לידה יחד עם קצבת זקנה, יש קשר גם בדבר הזה.

תמר זנדברג: מי שחופף אז יפתח, אבל אם לא?

אורי מקלב: יש קשר, אבל לא כל מי שמתעסק עם קצבה- - -

תמר זנדברג: אם זו רק קצבת זקנה והוא לא נכה?

אורי מקלב: כן, אבל אני אומר שיש בחלק הישור, בהתחלה אולי צריך גישה, אבל אחרי זה יתכן וזה מיותר, מי שמתעסק בשוטף יתכן והוא כבר לא צריך.

אורי מקלב: בהתחלה הוא צריך לדעת אם הוא מקבל גם קצבת נכות וגם קצבה אחרת – אולי יש חוק שאומר שאתה לא יכול לקבל כפל קצבאות, בסדר.

אורי מקלב: נניח שאנחנו רוצים גם לשנות את הדבר הזה ולכן אני מודע לזה, אבל בסדר, אבל זה אומר שאם בתחילת הדרך בקצבת הזקנה הוא היה צריך לדעת מה קצבת הנכות שלו או מה שהיה לו פעם, היום, לאורך שנים ארוכות, יהיה לו את הצורך בגישה גם לכל הקצבאות נכות שיש לכלל האוכלוסייה וכולי וכולי.

<בובי פנדריך: תראה, גם כאשר יש גישה למידע, אז השאלה למה.

<בובי פנדריך: האם ציון העובדה שאלמוני מקבל קצבת נכות היא רחבה או לא רחבה.

<בובי פנדריך: כלומר, האם הוא מקבל קצבת נכות או עכשיו אני יורד לפרטי הלקות שבגינה הוא מקבל את הקצבה וממתי וכו' וכו' וכו'.

<בובי פנדריך: בזקנה הוא בדרך כלל צריך לבחור בין גמלת זקנה לבין קצבת נכות ואז יהיה אזכור שיש לו קצבת נכות, כדי שפקיד התביעות שמטפל בתביעה לקצבת זקנה או בהחלטה אם הגורם זכאי או לא זכאי, ידע שיש עוד משהו שהוא צריך או להפנות לתשומת לב מישהו אחר או לטפל בזה בעצמו.

אורי מקלב: יש לך עוד משהו?

<בובי פנדריך: עוד משפט אחד, במוסד לביטוח לאומי- - -

אורי מקלב: אני לא מרגיש שקיבלנו, אבל בסדר.

תמר זנדברג: המידע מוגבל ללשכה גיאוגרפית?

<בובי פנדריך: חלק מהמידע כן, זה תלוי, זו שאלה טובה כי בחלק מהמקרים בעת פיתוח המוצר או בעת פיתוח התוכנה הרלוונטית נקבע שזה יהיה – למשל בנושא הגבייה זה מוגבל לפי סניפים, זאת אומרת כל סניף מטפל באוכלוסייה שסביבו ולכאורה אין גישה לסניף אחר.

תמר זנדברג: לכאורה?

<בובי פנדריך: לכאורה מכיוון ש- - -

תמר זנדברג: ובפועל?

<בובי פנדריך: בפועל, שוב, אני לא יכול להגיד את זה- - -

אורי מקלב: אנחנו נרצה לשמוע, התשובות לא יהיו נכונות.

אורי מקלב: אנחנו הצפנו ואני חושב שאנחנו צריכים לחדד ולהגיע ליותר פרטים, אני רוצה ממרכז השלטון המקומי, אני רוצה שגם גופים אחרים יתייחסו.

תמר זנדברג: רגע, ביטוח לאומי, יש לכם קול סנטר שזה לא עובדי ביטוח לאומי אלא עובדי קבלן, מיקור חוץ, איזה גישה יש להם?

תמר זנדברג: זה נושא בפני עצמו.

אורי מקלב: בפני עצמו, מיקור חוץ.

<בובי פנדריך: אני רק רוצה- - -

אורי מקלב: זה עוד נושא.

<בובי פנדריך: משפט אחד לפני הנושא של המוקד הטלפוני, במוסד לביטוח לאומי יש לנו ועדה שנקראת: ועדה לאבטחת מידע, שכל שינוי בכל הרשאה וכל נושא של מי חשוף למה נדון בוועדה הזו והיא היא ועדת ההיגוי העליונה שמחליטה.

אורי מקלב: לא הבנתי על כל עובד או כל מחלקה?

<בובי פנדריך: לא, כל תפקיד, זה לא כל עובד.

<בובי פנדריך: עובד שמקושר לתפקיד, עצם הקישור לתפקיד מקנה לו הרגשות.

אורי מקלב: ואתם מגדירים מה יש לו ומה אין לו.

<בובי פנדריך: בדיוק, בנוסף יש לנו תוכנה שמקליט את הפעילות של כל המשתמשים כל הזמן וכל הפעילות הזו ניתנת לניתוח בכל עת.

אורי מקלב: אני גם רוצה לתת לגופים אחרים שאולי הם יאירו את עינינו בעניין הזה ואז נדע גם מה לשאול, בכל אופן השלטון המקומי – זה לא גוף ממשלתי, מי הנציג של השלטון המקומי?

אורי מקלב: הוזמן פה.

אורי מקלב: אני מבין שאין את הבקרה הזאת כי השלטון המקומי הוא כבר גופים פרטיים, שם זה נראה לי עולם ומלואו.

<קריאה: רשויות מקומיות הן תחת- - -

אורי מקלב: גם בנושא הזה או רק בנושא של הגנה- - -

תמר זנדברג: כן, כי יש להם פקודת מיסים וגבייה- - -

<קריאה: וגם חוק הגנת הפרטיות.

אורי מקלב: ברור, אבל הם אחראים על עצמם?

<קריאה: לא לא לא, משרד הפנים - - - את זה.

אורי מקלב: יש כאן גם משרד ביטחון פנים, במשרד לביטחון פנים אני יודע שהעסק עובד הרבה יותר מסודר, אני לא יכול לתת לכל המשרדים, רציתי לתת למשרד התחבורה, כולם חשובים, יונתן.

<יהונתן קלינגר: לא ביקשתי את זכות הדיבור, אבל אני אשמח לדבר.

אורי מקלב: לא, אני רוצה שאתה תדבר.

<יהונתן קלינגר: אז יהונתן קלינגר.

אורי מקלב: המידע שיש לך על המשרדים הממשלתיים לנו אין.

<יהונתן קלינגר: אני אגיד שלפני כמה חודשים היינו כאן בדיונים על תקנות אבטחת המידע.

<קריאה: תציג את עצמך.

<יהונתן קלינגר: יהונתן קלינגר, התנועה לזכויות דיגיטליות, יועץ משפטי.

<יהונתן קלינגר: היינו פה בדיונים על תקנות אבטחת מידע, תקנות נהדרות שהם הרשות למשפט וטכנולוגיה דיברה על כך שבמסגרת סקר הסיכונים ובמסגרת הבדיקות צריך לעשות הגבלת גישה, שעובדים יהיו מוגבלים רק למידע אליו הם צריכים לגשת ולא יכול להיות שעובד בביטוח לאומי שמטפל בסניף בקרית שמונה יוכל לגשת למידע על אנשים שגרים ברחובות ולא יכול להיות, לדעתי- - -

<בובי פנדריך: איך אתה יודע את זה, סליחה?

<בובי פנדריך: אתה מניח פה הנחות שהן לא בהכרח- - -

<יהונתן קלינגר: לא, אני אומר שזה לא יכול להיות, שהטיפול צריך להיות ברמת הקונפיגורציה, לא ברמת הנהלים, אלא ברמת המערכות הטכנולוגיות ומערכות של בקרת גישה עוזרות לתפוס, עוזרות למנוע, אבל עדיין אחת העברות היותר פופולריות בשרות המדינה, אני חושב שהיא רק שניה להתחמקות מנוכחות או דיווח לא נכון על נוכחות, היא שליפת מידע שלא כדין או שימוש לרעה במידע.

<יהונתן קלינגר: זה מתחיל ממישהו שצריך טובה לבן דוד ובקצה של הסקלה רואים אנשים שמוכרים מידע לארגוני פשע.

<יהונתן קלינגר: כשהמדינה מחזיקה כל כך הרבה מידע, ההגבלות חייבות להיות ברמה הטכנולוגית, אנחנו מעצמת סייבר, יש לנו את הפתרונות הטכנולוגיים בשוק, המדינה יודעת ליישם אותם, יש לנו רשות סייבר טובה, יש לנו פה אנשים טובים והתפיסה הזאת שסומכים על העובדים היא טובה ויפה עד שנתפסים.

<יהונתן קלינגר: לשמוע על 12 אנשים ברשות האוכלוסין שנתפסו ועברו ונענשו ולשמוע שאחת עברה לעבוד במקום אחר ואחרים קיבלו נזיפות – אלה עבירות פליליות, שליפת מידע שלא כדין ושימוש בו, אלה עבירות שאנשים אמורים ללכת עליהן לכלא ולא עבירות שאמורות להיות מטופלות רק במישור המשמעתי.

אורי מקלב: אבל יש דברים שהם לא בתחום הפלילי, אלא אולי בתחום הסמכות וזה לא במסגרת התפקיד, נניח אפילו מידע שהוא על דוח תנועה, אבל אתה פקיד כאן והנוהל, זה מה שמצפים ממך ואלה גם ההוראות שקיבלת, אתה לא יכול לטפל במשהו שהוא לא במסגרת התפקיד כי תלך- - -

<יהונתן קלינגר: עובד שהיה לוקח הביתה, לצורך העניין, ציוד מהמשרד, משתמש בו ומחזיר, אני חושב שהטיפול פה צריך להיות חמור בדיוק באותה מידה.

אורי מקלב: אני מסכים עם מה שאתה אומר, היום הטכנולוגיה היא מתקדמת ואפשר לתת מענה.

אורי מקלב: אם היינו מדברים שצריך לזה השקעה – אבל יש היום דברים שאפשר לעשות, את הרבדים האלה, חלוקה.

אורי מקלב: משפט לסיכום, רגע, יש איזה גוף פרטי שלא נתתי לו זכות מלבד משרדי הממשלה?

אורי מקלב: משפט ונסכם את הדברים.

<רפאל פרנקו: ראשית אני במהלך הדיון הנחתי בפניך אדוני וגברתי גם איזה מסמך- - -

אורי מקלב: מסמך?

אורי מקלב: ספר.

<רפאל פרנקו: לא, מעבר לזה, עשיתי עוד- - -

אורי מקלב: את זה לא ראיתי עוד, אני עסוק בניהול הישיבה.

<רפאל פרנקו: עוד מסמך על מאפייני הבקרות- - -

אורי מקלב: מה אני עושה בפגרה אני כבר יודע.

<רפאל פרנקו: כדי למנוע, גם היבטים טכנולוגיים וגם נושאים, אני חושב ששתי בשורות שחשוב להכיר אותן, כי הן באמת הנושאים שעורך דין קלינגר דיבר עליו – אחד זו מדיניות מאגרי על, שאושרה, זו מדיניות משותפת לרשות, לרמות, ל- - -, מתוך הבנה שיש מאגרים גדולים שנדרשים להתיחסות אחרת, כי פוטנציאל הנזק שעלול להגרם משם הוא גבוה מאד.

<רפאל פרנקו: הדבר השני הוא פרויקט טכנולוגי שאנחנו בעיצומו, רשות התקשוב ומערך הסייבר, שדרה מאובטחת.

<קריאה: שדרת המידע.

<רפאל פרנקו: זה מה שאמרתי.

<רפאל פרנקו: הפרויקט הזה, יש לו שתי תכליות, את זה לצמצם עודף מידע כי כולם צריכים להעביר לכולם כדי למלא את יעודם, הדבר השני הוא נושא שרות לאזרח.

<רפאל פרנקו: כלומר, זה פרויקט שמשרת שתי מטרות, אחת – הנגשת מידע בין משרדים בצורה מהירה, שתיים – צמצום עודף המידע בצורה דרסטית, שדרת המידע הממשלתית וזה פרויקט בעיצומו.

<רפאל פרנקו: פרויקט אחד של מדיניות, אחד של טכנולוגיה, שניהם אמורים לצמצם בסדרי גודל את האירוע הזה שתארנו עכשיו.

אורי מקלב: תודה.

אורי מקלב: לימור, במשפט?

<לימור שמרלינג מגזניק: כן, רק משפט אחד, בהמשך באמת לנושא של ניהול הרשאות גישה, אז בתקנות החדשות – תקנות הגנת הפרטיות, אבטחת מידע, תקנה 8 מדברת בדיוק על זה והכלל שהיא קובעת הוא שבעל מאגר מידע יקבע הרשאות גישה של בעלי הרשאות למאגר המידע ולמערכות בהתאם להגדרות התפקיד והרשאות הגישה לכל תפקיד תהיינה במידה הנדרשת לביצוע התפקיד בלבד.

<לימור שמרלינג מגזניק: זה אחד מתוך מכלול הכללים שכל משרדי הממשלה והגופים הציבוריים צריכים לעבוד היום כדי שבמאי 18 הם יעמדו בכל הכללים שקבועים בתקנות האלה.

<לימור שמרלינג מגזניק: אני יודע שיש משרדים שכבר סיפרו לי שהקימו ועדות היגוי משותפות לגורמים במשרד כדי להתחיל לבדוק שהם עומדים בתקנות ואני מאמינה שזה יקדם אותנו.

אורי מקלב: זה תם ולא נשלם, את רוצה להגיד משהו?

תמר זנדברג: רק משפט, התייחסת בתחילת הדברים למקרה של יש עתיד ולא הגענו לזה, אבל אם אפשר התייחסות במילה מלשכת רשות האוכלוסין או מרמות, הרי הדיון הזה התחיל- - -

אורי מקלב: המידע הזה אני חושב שהגיע מהאוצר.

תמר זנדברג: לא, שניה, אני מדברת על נושא קלות העונש.

תמר זנדברג: היה את המקרה באמת של רשות המיסים, לא הגענו לזה עוד בדיון הזה ונמשיך הזה, אבל אתם קובעים קריטריונים ברמה הכללית של מה קורה לעובד שעמד לדין משמעתי והורשע ויש 50 דוגמאות כאלה, חלקם עם מאות ועשרות שאילתות פרטיות ומקבל עונש כל שהוא או אפילו מפוטר מפוטרת מהתפקיד, יש איזה מגלה על העובד או העובדת הזו בשירות הציבורי למשרות אחרות?

תמר זנדברג: היא יכולה עכשיו ללכת לעבוד בביטוח הלאומי ושם לקבל הרשאות?

תמר זנדברג: זה דבר שנתתם עליו את הדעת?

תמר זנדברג: יש לזה התייחסות איפה שהוא בתקנות?

<לימור שמרלינג מגזניק: כמה דברים, אחד לגבי נושא של יש עתיד.

<לימור שמרלינג מגזניק: א, כדי שיהיה ברור- - -

תמר זנדברג: לא, זה לא העניין, אמרתי בנושא של קלות העונש.

<לימור שמרלינג מגזניק: כן, קלות העונש נקבעת בחקיקה.

<לימור שמרלינג מגזניק: זאת אומרת הביקורת על גובה הקנסות שהוטלו, אני מבינה אותה ואני רק יכולה לומר שאנחנו כרשות מבצעת מקבלים את ההסמכה שלנו מהכנסת ויכולים להטיל את מה שהוטל עלינו- - -

תמר זנדברג: לא, עובד שהורשע ונניח עובדת שפוטרה או הוחלט לסיים את העסקתו, האם יש הגבלה על עבודתו במשרד ממשלתי אחר במידע רגיש?

<לימור שמרלינג מגזניק: בתקשיר יש כללים שנוגעים בעובדים שהפרו את הדין המשמעתי, זו שאלה אני חושבת שמתאימה יותר לנציבות שירות המדינה מבחינת הכללים שלה, אני חושבת שלפי התקנות, בבדיקת מהימנות עובדים שצריכה להתבצע עכשיו לכל עובד, היה מצופה שמידע כזה יצוף ויכלה בפרט שאנחנו מדברים על מערכות מידע שיודעות לזהות את הדברים האלה ומבחינת קלות העונש, אז אני יכולה רק להגיד שיש הצעת חוק, תיקון 12 לחוק הגנת הפרטיות, סמכויות האכיפה שלנו שאני מקווה ואשמח שתקודם בכנסת ובעקבותיה נוכל גם באמת להחמיר את האכיפה.

תמר זנדברג: בקיצור, מעבר לבדיקת המהימנות הכללית זה משהו שאתם צריכים גם להתייחס אליו בהנחיות, מה קורה במצב שבו עובד – זה שווה ערך לקלון בעצם, יש כאן איזו הפרת אמון.

אורי מקלב: צריך להגדיר.

תמר זנדברג: כן, להגדיר, להגיד מה קורה במצב כזה מעבר לעונש וקנס וכולי.

אורי מקלב: זה חלק מהדברים שאני רוצה לסכם, האם המידע על העובדים אני תכף אדבר על זה.

אורי מקלב: יש נושא אחד שבכלל לא נגענו בו ונשאיר אותו לדיון הבא, זה הנושא של השלכת והשמדת המידע.

אורי מקלב: כמה זמן צריך את המידע לאגור, יש מידע שאולי צריך להגדיר שלא צריכים.

אורי מקלב: אני קרוב ל-40 שנות נישואים עדיין מרגיש בכל חופש, אם זו חופשת חנוכה או פסח או החגים, חופש גדול – שמונחים על השולחן שלי, בשביל מה אתה צריך את זה עוד?

אורי מקלב: מה צריך לשמור, אפשר להשליך את זה?

אורי מקלב: אפשר לזרוק את זה?

אורי מקלב: אבל צריך לשמור את זה אולי נצטרך, אבל אף פעם לא קרה שהשתמשת בדברים שהיו, שנייר ששמרת.

אורי מקלב: אז עכשיו, במשרדי הממשלה שאין עקרת בית ואין מישהי שיודעת לתפוס את העניין חזק והיום לא במחסנים ובארגזים, אבל זה מידע שאולי לא צריך.

אורי מקלב: יתכן ויש הרבה מידע שאנחנו שומרים עליו להזיק, בגלל שאולי צריך ומי מחליט שצריך, זה גם עבודה.

תמר זנדברג: ואם משמידים אז איך משמידים.

אורי מקלב: איך משמידים, נכון.

תמר זנדברג: לאן משמידים את זה, שלא נמצא פתאום פחים מלאים.

אורי מקלב: אולי זה גם באמת יכול להיות- - -

<קריאה: בעולם הדיגיטלי אין פחים.

תמר זנדברג: אדרבא.

אורי מקלב: גם אם שומרים את זה, זה סוג מידע שוודאי צריך להיות במקום שמיותר, גם אם יש הרשאה, זה כבר מידע שאנחנו יכולים לדלל אותו.

אורי מקלב: התפרצתי לדלת פתוחה.

תמר זנדברג: נראה שכבר יש סדרת דיונים.

אורי מקלב: אני חושב שאנחנו דנים בעניין הזה ואמרתי בהתחלה, נוגעים ויש לנו כל כך הרבה נושאים והחשש שלי, לא בגלל שאין מודעות, אלא אין את הזמן למשרדים.

אורי מקלב: יש להם דברים, הסייבר וכל זליגת המידע והדברים האלה שתופסים הרבה מאמץ והטכנולוגיה מתקדמת וצריך כל הזמן לעדכן, זה לא שמגדירים אותו והוא נשאר כמות שהוא, כל הזמן צריך בגלל עובדות או בגלל דברים שקורים לעדכן, ואת הדברים האלה הפנימיים משאירים ואולי לא נוגעים בהם מספיק ואנחנו הפעם הצפנו, מעבר לכל, דווקא את הנהלים הפנימיים, השימוש הפנימי, הסמכות שיש ואני אומר גם לרמות וגם לכולם שאחראיים לזה, בסופו של דבר המטרה בעניין הזה צריכה להיות: קודם כל להגדיר למי יש אישור, על מה, לכמה זמן, כמה שיותר לפרק את זה ולפרוס את זה לפרוסות ואז, ככל שאנחנו נצמצם את הסמכויות, יחד עם מודעות לעבוד – זה גם חלק, המודעות לעובד.

אורי מקלב: אנחנו יושבים כאן בשולחן, אבל כללי השימוש במאגרים צריכים להיות מוטמעים בעובדים, אין לי ספק, אנחנו מדברים על יחידות סמך ועוד דברים, לא כולם יושבים במרכז העניינים ויתכן הגישה שלהם לא פחות או מספיקה וצריכה לדרוש מהם, בעניין הזה להיות מודעים.

אורי מקלב: הנושא של האכיפה, אם אין אכיפה בסופו של דבר הדברים האלה לא מגיעים ליעדם.

אורי מקלב: על אלה ועוד יש לנו דיון וחלק מהדברים גם באמצע תהליכים – קביעת קריטריונים ועוד, אנחנו נקיים דיון בהמשך, אני מתנצל מהמשרדים שעל אף שמאד רציתי לשמוע, אבל אנחנו לא יכולים יותר להאריך בישיבה שגם ככה התארכה, תודה רבה.