רשות המיסים בישראל/הטיפול בתלונות על עובדי רשות המסים

 ♦ . .מבוא .ברשות המסים בישראל (להלן - הרשות), על יחידותיה ועל משרדיה האזוריים, מתקבלות תלונות על עובדיה, רבות מהן בעילום שם. בהיעדר עדות של המתלונן מתחייבת בדיקה זהירה ומקיפה מזו הנדרשת לבדיקת תלונות גלויות. עובדי הרשות נדרשים לצורך עבודתם למידע רב ומגוון על ציבור הנישומים, ולשם השגתו מוקנות להם על פי דין סמכויות נרחבות. מידע זה מצוי במאגרי המידע של הרשות. על עובדי ה, התשכ"א ]נוסח חדש[ רשות מוטלת חובת סודיות, זו קבועה בין היתר בפקודת מס הכנסה- 1961 , והפרתה היא בגדר עברה פלילית. עובדי הרשות, בשל חשיפתם למידע הרגיש, ניצבים בפני פיתויים שונים מצד מי שמעוניינים במידע זה. על כן הרשות מפקחת פיקוח שוטף על השימוש שעובדיה עושים במידע. עובדי הרשות הם עובדי מדינה הכפופים לחוק שירות המדינה (משמעת), התשכ"ג - 1963 (להלן- חוק המשמעת), ולתקנות שהותקנו על פיו. בחוק המשמעת נקבע כי יהיו תוצאות ההליך הפלילי אשר יהיו, אפשר לברר אם ראוי לנקוט גם הליך משמעת. כן חלים על עובדי המדינה תקנון שירות המדינה (להלן - התקשי"ר) והודעות נציב שירות המדינה המתפרסמות מפעם לפעם. בתקשי"ר נקבע כי הטיפול בעברות משמעת של עובדים במשרד ממשלתי מרוכז בידי מי שנקבע ה"אחראי" באותו משרד. לפי התקשי"ר, עם קבלת תלונה המעלה חשד לעברת משמעת, על האחראי לדווח לנציבות שירות המדינה (להלן - נש"מ). אם הגיעו לאחראי תלונה או ידיעה המעוררות חשש שעובד במשרד עבר עברה פלילית הקשורה למילוי תפקידו או שאינה קשורה לתפקידו אך יש עמה קלון, יעביר האחראי את התלונה או את הידיעה מיד למשטרת ישראל, ובו-בזמן יודיע על כך לנש"מ. תלונות על עובדי מס הכנ סה מתבררות על ידי שלושים עובדי היחידה לביקורת פנים של הרשות, ותלונות על עובדי המכס ומע"מ מתבררות על ידי ששת עובדי יחידת קצין הביטחון (קב"ט) של המכס ומע"מ, אלו ואלו הוכשרו והוסמכו לתפקיד חוקרי משמעת על ידי נש"מ. ברשות קיים מאז 1989 נוהל לטיפול בעובד שעבר ע ברת משמעת. על פי הנוהל, את ההחלטות בדבר דרכי הטיפול תקבל ועדה בהרכב סגן מנהל הרשות למינהל, נציג הלשכה המשפטית, מבקר האגף, מנהל תחום ביקורת ביחידה לביקורת פנים של הרשות ונציג נש"מ (להלן - הוועדה המייעצת). הוועדה המייעצת תדון באמצעי המשמעת שיש לנקוט כלפי עוברי העברות. מדוח מבקר הרשות מתברר כי מתחילת ינואר 2004 עד סוף נובמבר 2006 התקבלו 1,360 :תלונות341 ,מהן היו מוצדקות130 ,היו מוצדקות חלקית634 לא היו מוצדקות, ובאשר ל- 255 .תלונות עדיין לא הסתיימו הטיפול והבירור81 :מהתלונות היו בנושא אבטחת מידע36 מהן היומוצדקות, 24 לא היו מוצדקות, ובאשר ל-21 .תלונות טרם הסתיים הבירור בחודשים פברואר -יולי 2007 בדק משרד מבקר המדינה את טיפול הרשות בתלונות נגד עובדיה בנושאי משמעת ואבטחת מידע. נבדקו תלונות שהתקבלו מינואר 2004 וכמה תלונות משנת 2003 שהטיפול בהן נמשך זמן רב. הבדיקה נעשתה ביחידה לביקורת פנים וביחידה לאבטחת מידע של הרשות וביחידת הקב"ט של המכס ומע"מ. בירורי השלמה נעשו באגף המשמעת בנש"מ. 306 דוח שנתי58ב . .הטיפול בתלונות .1. ."כאמור, על פי התקשי"ר יש לנתב את התלונות ל"אחראי התברר בביקורת כי ברשות אין גורם מטפל אחד. בתלונות הנוגעות לאגף מס הכנסה מטפל מבקר הפנים של הרשות, ובתלונות הנוגעות לאגף המכס ומע"מ מטפל הקב"ט של אגף המכס ומע"מ. במצב זה הטיפול עלול להיות לא אחיד. בביקורת נמצא כי אין הקב"ט מנהל רישום בנוגע לתלונות שטיפל בהן, אלא רק רישום זמני בנוגע לתלונות המצויות בעיצומה של בדיקה. הקב"ט אף אינו מיידע את מבקר הפנים בדבר התלונות שהוא מטפל בהן. משמעות הדבר היא שאין בקרה על פעילות הקב"ט (ראו גם בהמשך באשר לאי -דיווח לנש"מ), וכך אי -אפשר לדעת אם ואיך טופלו התלונות. הקב"ט השיב למשרד מבקר המדינה בנובמבר 2007 כי "החל מחודש נובמבר 2007 , ע"פ הוראת הסמנכ"ל הבכיר למינהל, נקבע פורמט לדיווח על כל תלונה. הדיווחים יוזנו למחשב ע"י הגורם האחראי ויועברו באופן ממוחשב לנש"מ". 2. .כאמור, כל תלונה שמתקבלת צריכה להיות מדווחת לנש"מ נמצא בביקורת כי בדרך כלל לא דיווחה הרשות לנש"מ לא על תלונות שקיבלה ואף לא על חקירות בקשר אליהן, אלא רק לאחר שהחקירה הסתיימה והמקרה עלה לדיון בוועדה המייעצת. מינואר 2006 ועד15 בנובמבר 2006 נבדקו ברשות388 תלונות, מהן233 בנושאי משמעת, טוהר המידות ואבטחת מידע. הרשות דיווחה לנש"מ בשנת 2006 רק על85 .מקרים של בירורי תלונות77 מהם הועברו בסיום הבדיקה לטיפול אגף המשמעת של נש"מ, ובשמונה טיפלה הרשות טיפול עצמאי. מבקר הפנים של הרשות השיב למשרד מבקר המדינה בנובמבר 2007 : "לקחנו את העניין לתשומת הלב ונפעל בעתיד ביתר הקפדה, כך שמערכת נש"מ תעודכן בהתאם". 3. משרד מבקר המדינה מצא שני מקרים שבהם בדקה נש"מ, אחד ב - 2005 והשני ב - 2006 , עברות משמעת של מנהלים ברשות. נש"מ הציעה שהרשות תתרה בעובד אחד ותנזוף בעובד שני, ואולם הרשות החליטה להימנע מלעשות כן בלא הנמקות ובלא תיעוד הולם. לדעת משרד מבקר המדינה, משהועברו ענייני משמעת לטיפולה של נש"מ, על הרשות לשקול בכובד ראש את המלצות נש"מ בדבר הטיפול שיש לנקוט בעניין המשמעת. אמנם לא חלה על הרשות חובה לאמץ את המלצות נש"מ, אבל החלטות שאינן מאמצות המלצות אלו יש לתעד בצירוף נימוקים מפורטים, מבוססים היטב ומלווים באסמכתות בדבר הסיבות לדחיית ההמלצות ולקבלת החלטות אחרות. 4. עם איחוד אגפי המסים בספטמבר 2004 נכלל שירות עיבודים ממוכנים של הרשות (להלן - שע"מ) במסגרת הרשות. שע"מ הוא גוף מקצועי המתמחה במחשוב ובמערכות מידע, משרד האוצר 307 . ועל כן לביצוע ביקורת ולבירור תלונות על עובדי שע"מ הקשורות לענייני מחשוב נדרש עובד הבקי בתחום זה. עד מועד סיום הביקורת, יולי 2007 , לא מונה ביחידה לביקורת פנים עובד בעל כישורים מתאימים לביצוע בדיקות מקצועיות בשע"מ. משום כך התלונות על עובדי שע"מ הקשורות לענייני מחשוב אינן מטופלות. הרשות הודיעה בתשובתה למשרד מבקר המדינה כי פנתה לנש"מ בקשר לכך, ונענתה כי העניין יידון לאחר הבחינה הכוללת באשר למבנה רשות המסים. .עברות בנושא אבטחת מידע .הרשות מנהלת מאגר נתונים לצורך עריכת שומות לנישומים, והוא מכיל פרטים רבים מגוונים ורגישים על רמת חייהם. לפיכך נודעת חשיבות רבה לאבטחת המידע האגור מפני ניצול לרעה. בחוקי המס השונים נקבעו הו ראות בדבר חובת הסודיות ואי -גילוי ידיעות; כך גם בחוק העונשין, התשל"ז - 1977 : "עובד הציבור שמסר, ללא סמכות כדין, ידיעה שהגיעה אליו בתוקף תפקידו, לאדם שלא היה מוסמך לקבלה ... דינו מאסר שלוש שנים". על פי הוראות חוק הגנת הפרטיות, התשמ"א - 1981 , ותקנות הגנת הפרטיות (תנאי אחזקת מידע ושמירתו וסדרי העברת מידע בין גופים ציבוריים), התשמ"א- 1986 , יש לקבוע, בין היתר, סדרי ניהול של מאגר מידע וכללי הרשאות לצורך גישה אליו וכן סדרי בקרה לגילוי פגיעה בשלמות המידע. הפרת החובה לנקוט אמצעים לאבטחת מידע היא עברה שהעונש בגינה הוא מאסר. חוק הסדרת הביטחון בגופים ציבוריים, התשנ"ח - 1998 , מטיל חובה על גוף ציבורי למנות אחראי לארגון ולביצוע של פעולות לאבטחת מערכות ממוחשבות חיוניות ולפיקוח עליהן. בספטמבר 2005 ,פרסם משרד ראש הממשלה "נוהל מסגרת לאבטחת מידע". על פי הנוהל הממונה על אבטחת המידע במשרד הוא המוסמך ליישם את מדיניות אבטחת המידע, לערוך ביקורות ולקבוע שאירועים מסוימים הם חריגים. באחריות הממונה לבקר את הפעילויות הממוחשבות הנעשות במשרד כדי לוודא שהמשרד עומד בדרישות החוקים, התקנות והנהלים באשר לאבטחת המידע. לשם כך עליו להשתמש בכלים טכנולוגיים לבדיקת אבטחת מידע. בכל אחד משני האגפים ברשות יש ממונה על אבטחת מידע: באגף מס הכנסה הממונה כפופה לסמנכ"ל למינהל, ובאגף המכס ומע"מ - לקב"ט. הממונים על אבטחת המידע ברשות הוסמכו כחוקרים. היקף הפעילות גורמים שונים פרטיים ותאגידיים, יש להם עניין במידע האגור ברשות, ועל כן עובדי הרשות המחזיקים בהרשאה להשתמש במידע חשופים לפיתויים בתמורה להמצאת המידע. באגף מס הכנסה 26 משרדי שומה ו-10 משרדי מיסוי מקרקעין, ובהם כ- 3,100 עובדים בעלי הרשאה כזאת. בכל חודש עובדי האגף עושים בממוצע כ-20 מיליון פעולות מחשב, וכל פעולה נרשמת ביומן המחשב. מתפקידה של הממונה על אבטחת המידע לעשות בדיקות ובקרות ביומן זה כדי לאתר שימושים לא ראויים במאגר המידע. 308 דוח שנתי58ב .לממונה על אבטחת המידע יש גם משימות אחרות. במצב זה, כפי שעולה מתשובת הממונה על אבטחת מידע היא "לא יכולה לבדוק את כל פוטנציאל המקרים לגביהם קיים חשש לעברות אבטחת מידע". כזה הוא גם המצב באגף המכס ומע"מ, שבו כ - 1,800 .עובדים בעלי הרשאה להשתמש במאגר המידע לפיכך על הנהלת הרשות לבחון את אופן ביצוע הבדיקות כדי למנוע ניצול לרעה של המידע האגור ברשות ולהרתיע מן העברה. הרשות הודיעה בתשובתה למשרד מבקר המדינה כי מאז מועד הביקורת נוספו שתי עובדות ליחידה לאבטחת מידע במס הכנסה. אי-בהירות באשר לטיפול בעברות על פי הוראות נוהל המסגרת לאבטחת מידע שפרסם משרד ראש הממשלה, בדיקתה של אבטחת המידע היא בסמכות הממונה במשרד על אבטחת המידע. התברר כי באגף מס הכנסה הייתה אי-בהירות באשר לזהות המטפלים בעברות של ניצול מידע לרעה. לעתים בדקו עובדי היחידה לביקורת פנים מקרים שיש בהם גם היבטים של עברות אבטחת מידע. כך נוצר מתח בין שני הגופים ונפגע הטיפול. להלן דוגמה לפגיעה כזאת: הממונה על אבטחת המידע ברשות מצאה כי בחודשים אפריל-יולי 2005 שלפה עובדת הרשות83 .פעמים מידע על חברים מאזור מגוריה ועל קרובי משפחה המידע ששלפה כלל פרטים אישיים ופרטים על מצב החשבון, על נדל"ן, על הכנסות ועוד. כן שלפה העובדת מידע ונתוני משכורת על נישומים שכירים שאין להם תיק במס הכנסה. הוועדה המייעצת שדנה בממצאי הבדיקה בינואר 2006 החליטה להעביר את המקרה לנש"מ לצורך הגשת תובענה לבית הדין למשמעת, ואולם לא נקבע מי הגוף שצריך להמשיך בטיפול. התברר כי המקרה לא נרשם בנש"מ. בשל חוסר הבהירות השורר ברשות בתחום זה לא המשיכה שום יחידה ברשות לטפל בנושא. בעקבות הביקורת הועברו הממצאים לנש"מ, אך בשל העיכוב חלה התיישנות על העברה, ולא ננקטו אמצעי משמעת כנגד העובדת. משרד מבקר המדינה, מעיר לרשות כי עליה לקבוע מדיניות ברורה בכל הקשור לטיפול באבטחת המידע, לקבוע גורם אחד לטפל בנושא זה ולעגנה בנוהל. למותר לציין שיש לנסח את הנהלים על פי הוראות נוהל המסגרת לאבטחת מידע שפרסם משרד ראש הממשלה. חוסר טיפול בעברות אבטחת מידע נוכח רגישות המידע שבמחשב חשוב לפעול במהירות ובתקיפות כנגד העבריינים כדי להרתיע מעברות בתחום אבטחת המידע. משרד האוצר 309 .התברר כי באגף מס הכנסה נתפסו עובדים עוברים עברות של אבטחת מידע, אבל הטיפול בעניינם התמשך. אם אין מרתיעים את העובדים שסרחו, הם עלולים להוסיף ולעבור עברות בתחום אבטחת המידע. לדוגמה, באוגוסט 2003 ,הגישה הממונה על אבטחת מידע במס הכנסה לממונה עליה דוח ולפיו דלה עובד מידע על נישומים שאשתו מייצגת. הממונה לא קיבלה הנחיות להמשך הטיפול, והיא לא שלחה תזכורת לקבלת הנחיות. בפברואר 2004 הגישה הממונה על אבטחת מידע לממונה עליה דוח נוסף על העובד הנדון, ובו צוין כי שוב נמצא שהעובד דולה מידע אסור על נישומים שאשתו מייצגת. גם בעקבות הדוח הזה לא קיבלה הממונה כל הנחיה להמשך הטיפול, ושוב היא לא שלחה תזכורת. בנובמבר 2004 שוב נתפס העובד באותן עברות, ובעקבות זאת הגישה הממונה דוח נוסף וציינה שמדובר בדוח שלישי בנדון. רק לאחר הגשת הדוח השלישי, בפברואר 2005 , הועבר הטיפול לנש"מ כדי שיגיש תובענה לבית הדין למשמעת. לדעת משרד מבקר המדינה, אין מקום להבליג במ קרים כה חמורים של ניצול לרעה, ויש למצות את הדין עם העבריינים מיד עם תפיסתם. האפשרות שניתנה לעובד לפגוע פעם אחר פעם בסודיות המערכת ובפרטיות הנישומים יש בה ללמד על התנהלות לא תקינה וחמורה. בקרה של אבטחת המידע במשרדי השומה באוגוסט 2000 הוכנסה שאילתת מחשב לש ימוש מנהלי משרדי השומה, המאפשרת להם לעקוב אחר השימוש שעושים עובדי משרד השומה במגוון השאילתות. כך מנהל משרד השומה יכול לבחון את השימוש שכל עובד ועובד עושה במחשב ולאתר חריגים. נמצא כי רוב מנהלי משרדי השומה השתמשו בשאילתה זו מעט מאוד, וכך לא נוצל אמצעי בקרה חשוב המתריע על שימוש אסור במידע. להלן דוגמה לעברה שהייתה יכולה להימנע אילו נעשה שימוש בשאילתה: בדוחות חריגים שבדקה הממונה על אבטחת מידע ברשות במרס 2006 נמצא כי עובד הפיק מידע רב ורגיש על מספר רב של נישומים אשר תיקיהם אינם מתנהלים בתחום משרדו. המשותף לנישומים אלו: הוגשה נגדם תביעה בבית משפט. בחקירת הרשות והמשטרה התברר שבספטמבר 2006 נעצר העובד בחשד למכירת מידע ל -18 חוקרים פרטיים. משרד מבקר המדינה בדק באמצעות שאילתת הניהול שהוזכרה לעיל את השימוש שעשה העובד הנדון במחשב. נמצא כי העובד החל בפעילותו האסורה לפחות מנובמבר 2005 . נראה שאילו היה פקיד השומה במשרד שבו הועסק העובד בוחן את השימוש שעושים עובדי משרדו בשאילתות המחשב, היה אפשר לאתר את השימוש החריג במחשב סמוך לתחילת הפעילת האסורה, ולא בחלוף שנה. לדעת משרד מבקר המדינה, על הנהלת הרשות להנחות את מנהלי משרדי השומה להשתמש באופן תכוף בשאילתת הניהול שניתנה להם ולסייע בכך לפקח על אופן השימוש של עובדיהם במידע. על היחידה לאבטחת מידע, כיחידת מטה, לוודא שהם אכן עושים זאת. 310 דוח שנתי58ב .בתשובת הממונה על אבטחת מידע נאמר כי "בכוונת מחלקת אבטחת מידע להפיץ נוהל רענון לנוהל הקיים". . רשות המסים מקבלת תלונות על עברות לכאורה שעברו עובדיה, ועל הרשות לפעול לבירור התלונות. נוסף לענישת העבריינים, חשוב לשמור על צביונה של הרשות כגוף נאמן הגובה מסים גבייה שוויונית והמגן על המידע הרב והרגיש בקשר לנישומים המצוי אצלו. על הרשות לקבוע נוהלי עבודה בר ורים, ובייחוד בנושא אבטחת מידע, זאת כדי שכל תלונה תטופל כהלכה עד למיצוי הדין עם עוברי העברות, אם אכן עברו עברות. משרד האוצר 311 .