HeTree/MevakerConcSen huggingface dataset:
הנהלת ראמ"ה מסרה למשרד מבקר המדינה כי בנסיבות אלה היא פועלת על פי העקרונות שברוח הצעת החוק וכי במאגרי המידע שברשותה אין מידע מזהה אלא לגבי מבחני המיצ"ב, הבוחנים את הישגי התלמידים בארבעת מקצועות הליבה; שאר המידע שנאסף במאגרי המידע שלה הוא אנונימי.
בפועל, במסגרת מבחני המיצ"ב, ראמ"ה אוספת למאגרי המידע שלה נתונים מזהים, אישיים ורגישים רבים, לרבות שמות התלמידים, מספרי זיהוי, כיתה, אם התלמיד משולב, אם התלמיד הוא עולה חדש, י ישוב, מגדר, מגזר, וציונים שקיבל תלמיד במקצועות שנבחן בהם.
יתר על כן, תוצאותיהם של מבחני המיצ"ב משוקלל ים עם מידע נוסף כגון המדד החברתי-כלכלי של כל תלמיד77.
על פי הצעת החוק, אוספת ראמ"ה גם נתונים אישיים מזהים על עובדי הוראה בבתי הספר, לרבות שמות העובדים, מספרי זיהוי ופרטי זיהוי נוספים, מידע על הכשרה, השכלה וותק מקצועי, תפקיד, פרטי שיבוץ במערכת השיעורים ועוד.
יוצא אפוא כי ראמ"ה אוספת נתונים שרובם מוגדרים כ"מידע רגיש" לפי חוק הגנת הפרטיות.
הזכות לפרטיות היא זכות יסוד ופגיעה ב ה בידי רשויות שלטוניות, כמו פגיעה בזכויות אחרות הקבועות בחוק -יסוד: כבוד האדם וחירותו, אינה מותרת על פי תנאי פסקת ההגבלה אלא "בחוק ההולם את ערכיה של מדינת-ישראל, שנועד לתכלית ראויה ובמידה שאינה עולה על הנדרש, או .
מדד הטיפוח, ראו לעיל 48 |דוח שנתי 69ב .
ומזהה, לגורמים שהיא .
לפי חוק כאמור מכוח הסמכה מפורשת בו"78.
הפסיקה קבעה כי ככלל, על הסמכה לפגיעה בזכות אדם להיות מפורשת ואין לפרש חוק כפוגע או כמסמיך לפגוע בזכות אדם, זולת אם הדבר נקבע בו במפורש79.
ראמ"ה פועלת למן הקמתה, מזה 12 ,שנים בלי שנקבעו לה בחוק כללים לאיסוף מידע רגיש ומזהה, הגורמים שתהיה רשאית לאסוף מהם את המידע המזהה, סוגי המידע שתאסוף, המגבלות על פעולות האיסוף, דרכי ההחזקה והשמירה של המידע והעברת ו ממאגריה לגורמים אחרים.
הסדרה זו נדרשת מכוח החלטת הממשלה, אך גם ובמיוחד לנוכח הפגיעה הפוטנציאלית החמורה בזכותם לפרטיות של תלמידים, בני משפחותיהם ועובדי הוראה.
משרד החינוך השיב, כי ראמ״ה פועלת כחלק אינטגרלי ממשרד החינוך ולפי הסמכויות שנתונות לו.
אף שהצעת החוק לא קודמה, היא מתווה את הדרך לפעילותה של ראמ"ה גם על פי חוק הגנת הפרטיות, ומאחר שראמ"ה פועלת על פי עקרונותיה של הצעת החוק, הרי שהיא פועלת בסמכות ולפי כל דין.
משרד מבקר המדינה מעיר למשרד החינוך כי כל עוד לא הושלם הליך החקיקה ולא הוכרעה בחקיקה סוגיית חסיון המידע שאוספת ראמ"ה, נשקפת סכנה לזכות הפרטיות של תלמידים ובני משפחותיהם באיסוף המידע, שמירתו והשימוש שנעשה בו.
בפעולת ראמ"ה על פי עקרונותיה של הצעת חוק מלפני שמונה שנים אין כדי לייתר את הצורך בחקיקה בתחום רגיש זה.
על משרד החינוך לפעול לאלתר להסדרת פעולתה של ראמ"ה ולהגיש הצעת חוק מעודכנת להתייחסות הגופים הרלוונטיים ולהערות הציבור, בהתאם להחלטת הממשלה.
עד ההסדרה בחוק יקבע משרד החינוך בכללים או בחוזר מנכ"ל הנחיות בקשר לפעולתה של ראמ"ה.
פרויקט הסדרת מערך המידע במשרד החינוך .
מחסן נתונים ( Data Wareh ouse ) הואמערכת מידע המהווה בסיס נתונים כלל- ארגוני ומאפשרת תחקור מידע לצורך תמיכה בקבלת החלטות בארגון ואיתור מקרים חריגים.
הדרך השכיחה להקמת מחסן נתונים היא גזירת נתונים ממערכות תפעוליות, הסבתם, טיובם והתאמתם לסוגי השאילתות ו לאחזור .
לחוק יסוד: כבוד האדם וחירותו 79 :ראובג"ץ 337/81 מיטרני נ' שר התחבורה, פ"ד לז( 3 )337 ; בג"ץ 3267/97 רובינשטיין נ' שר הביטחון, פ"ד נב( 5 )481 ; בג"ץ 8070/98 האגודה לזכויות האזרח בישראל נ' משרד הפנים, פ"ד נח(4) 842 (2004.
) היבטים בהגנה על הפרטיות במאגרי מידע |49 .
המידע הנדרשים בארגון.
למעשה, כל הנתונים הנמצאים במחסן הנתונים כבר שמורים במערכת כלשהי בארגון.
הרשות פרסמה "תסקיר השפעה על הפרטיות" 80 ובו נקבעו עקרונות כלליים לשימוש בכל פרויקט הכרוך בשימוש במידע אישי באופן העשוי להשפיע על פרטיותם של בני אדם.
מקרה המצדיק שימוש בתסקיר הוא הקמת מאגר מידע שיקלוט לתוכו מידע המוחזק בחלקים שונים של הארגון.
הרשות פרסמה באתר שלה גם עמדה בנושא "ניהול סיכוני פרטיות", הכוללת פרמטרים שארגונים יוכלו להיעזר בהם להערכתה של רמת הסיכון הכרוכה בקיומו של מאגר מידע אישי ובהם: מספר האנשים שיש עליהם מידע, כמות המידע ש נשמר על כל אדם, רגישות המידע הנשמר, כמות הממשקים החיצוניים למערכת המידע, ומידת הסיכון לנזק ממשי שבגילוי המידע.
במסמך מדיניות ההגנה למאגרי-על של הרשות הלאומית להגנת הסייבר הוגדרו כמה תנאים מצטברים לקיומו של " מאגר-על": מאגר הכולל פרטים אישיים מזהים; מורכב משני מיליון רשומות ייחודיות ו יותר; ורמת הנזק שעלולה לגרום חשיפתו מוערכת כ גבוהה.
מסמך המדיניות נועד לסמן מאגרי מידע בעלי מאפיינים רגישים במיוחד מבחינה לאומית כנכסי מידע , הטעונים רמת הגנה גבוהה יותר, ניהול ורישום מיוחדים.
מן הרבעון הראשון של 2017 מקדם מינהל כלכלה ותקציבים במשרד החינוך פרויקט "הסדרת מערך המידע" (להלן - הפרויקט).
במסגרתו נעשה מיפוי של נתונים מכמה מאגרי מידע הקיימים במשרד החינוך, על תלמידים, עובדי הוראה ובתי ספר בכל הארץ, כדי לקשר ביניהם באופן אינטגרטיבי באמצעות מערכת ממוחשבת בעלת יכולות ניתוח מתקדמות, מבוססת בינה עסקית ( BI ).
את הפרויקט מנהל צוות היגוי ובו בכירים ממשרד החינוך.
בין יעדי הפרויקט גיבוש מדיניות חינוך מושכלת, התייעלות ארגונית ותפעולית, והפחתת הנטל הביורוקרטי על המערכת המדווחת, קרי בתי הספר, מאחר שהמידע על התלמידים מפוזר בין גורמים רבים במשרד החינוך ומחוץ לו.
הפרויקט יאפשר שיקוף של נתוני תלמידים ונקודת מבט מתכללת על יותר משני מיליון התלמידים בישראל, בעיקר לניתוחי מידע סטטיסטיים.
ניתוח המידע שיתקבל אמור לשרת מטרות שונות, בהן זיהוי תלמידים בסיכון לצורך טיפול בהם.
במסגרת הפרויקט מופו סוגי הנתונים (שדות דיווח) הדרושים על תלמידים וקיימים במערכות המידע השונות של המשרד81 : פרטי התלמיד והוריו, פרטים על בית הספר שהוא לומד בו, לרבות זרם החינוך, השתייכותו לחינוך מיוחד או הוראת שילוב, נתונים דמוגרפיים וסוציו -אקונומיים, צרכים מיוחדים, לקויות למידה מאובחנות, אוכלוסייה בסיכון (נוער נושר, למשל), מגמות לימוד או תוכניות חינוכיות שהוא משתתף בהן, היותו במעקב של קצין ביקור סדיר או בטיפול האגף לקידום נוער, קבלת התאמות לבחינות הבגרות, נתוני זכאות .
il/he/Departments/General/privacy_by_design .
81 מערכות מידע פנימיות, מערכות של מוסדות החינוך ומערכות המצויות אצל ספקים.
לתעודת בגרות, ציונים, זכאות לסיוע במשאבים כמו שיעורי עזר לעולים, סייעות רפואיות, מלגות, ועוד.
על פי לוח הזמנים שנקבע לפרויקט, בשנת הלימודים התשע"ט (2018 - 2019 ) ,החל מחקר חלוץ (פיילוט) במוסדות החינוך בשיתוף אחת הרשויות המקומיות שמטרתו בחינת הפוטנציאל שבתכלול נתונים על "ישות תלמיד" בקשר לסוגיית הנשירה ולסוגיית התנודה בין ארבע לחמש יחידות לימוד במתמטיקה.
במועד סיום הביקורת, אוגוסט 2018 , טרם הושלמו התשתית הבסיסית לתכלול הנתונים ומיפוי צורכי המידע.
לצדה של עבודה זאת, מינהל כלכלה ותקציבים והלשכה המשפטית בוחנים שאלות משפטיות העולות משדות הנתונים שמופו, בהן הזכות לפרטיות וההגבלות המתחייבות מתכלול המידע, על מנת להבטיח שלא ישוקף מידע עודף.
בתהליך שולבה גם חטיבת אבטחת המידע במשרד.
פרויקט הסדרת מערך המידע, המתכלל פרטים רגישים מזהים כה רבים והמקשר בין כלל סוגי הנתונים במערכות הקיימות מצוי ברמת סיכון גבוהה יותר מרמת הסיכון של מערכות מפוזרות נוכח כמות התלמידים ורגישות המידע הנאסף , ולכן נדרשת בו רמה גבוהה יותר של אבטחת מידע.
משרד מבקר המדינה מעיר למשרד החינוך כי אם יתברר שהפרויקט מהווה "מאגר מידע חדש" על פי הגדרותיו של חוק הגנת הפרטיות, יהיה צורך לבחון אם מאגר המידע מקיים גם את הגדרת "מאגר -על", הטעון רמת הגנה גבוהה יותר, וכן ניהול ורישום מיוחדים.
בתשובתו מנובמבר 2018 כתב משרד החינוך, כי הפרויקט נועד לייתר רבים מאיסופי המידע הקיימים כיום במערכת החינוך באופן לא מאובטח ולא מתוקשב ובכך יתרום לשיפור ההגנה על פרטיותם של תלמידים, ולא לפגיעה בה.
קישור הנתונים ישמש לחקירה סטטיסטית בלתי מזוהה לצורך ניתוח אוכלוסיות, ולא לצורך עיון בנתוני תלמיד מזוהים.
עם זאת ציין המשרד, כי צוות ההיגוי עוסק במיפוי צורכי המידע ובהסדרת מערך ההרשאות לצפייה בשדות מסוימים במתכונת מזוהה.
רק לאחר השלמתו של תהליך זה, וככל שתידרש גישה של בעל תפקיד למידע מזוהה לצורך מתן מענה לתלמיד ספציפי, תתאפשר גישה למידע מזוהה, אך המידע יוגבל לשדות מסוימים ולאוכלוסיות מסוימות, בהתאם לתפקידו של בעל הגישה.
עוד הסביר המשרד, כי הוא מצוי בעיצומו של מהלך מקיף וסדור לבחינת ההיבטים המשפטיים של הפרויקט ברוח הוראות תסקיר ההשפעה על הפרטיות, ובתהליך זה נבחנות סוגיות הליבה המשפטיות הנוגעות בהגנת הפרטיות, לרבות הסמכות לאסוף או לנהל נתון כלשהו, הסכמת אפוטרופוס לאיסופו, ופרק הזמן הראוי שבו המשרד ישמור נתונים אלה במתכונת מזוהה.
בדצמבר 2018 הוסיף המשרד, כילמען הזהירות הוא בוחן גם אם ייתכן שזהו מאגר מידע חדש, אף על פי שהפרויקט כאמור, לא ייצור מאגר מידע חדש ועצמאי אלא יתבסס על מאגרי מידע קיימים אחרים.
היבטים בהגנה על הפרטיות במאגרי מידע |51 .
על צוות ההיגוי המנהל את הפרויקט לשקול לערב את הרשות להגנת הפרטיות ואת מחלקת ייעוץ וחקיקה בקידומו, על מנת שיוטמעו בו דרישות יסודיות מתחום אבטחת המידע והגנת הפרטיות של התלמידים, משפחותיהם ועובדי ההוראה.
בתשובתו מפברואר 2019 ,ציין משרד החינוך כי פנה למחלקת ייעוץ וחקיקה ובכוונתו לפנות גם לרשות להגנת הפרטיות.
פיקוח ובקרה בתחום הגנת הפרטיות של תלמידים .
בעשורים האחרונים גובר בישראל השימוש באמצעים טכנולוגיים המיועדים לפיקוח ולמעקב מרחוק, חזותי או קולי, בשטחים ציבוריים ופרטיים.
השימוש במצלמות במרחב הציבורי, שהצילומים הנקלטים מהן נאגרים במאגרי מידע ממוחשבים, מעלה את השאלה המשפטית בדבר איזון הזכות החוקתית לפרטיות עם אינטרסים ציבוריים כגון הגנה על רכוש, מניעת עבירות וגילוין ושמיר ת הסדר הציבורי וביטחון הציבור82 .
בשנים האחרונות נפוץ השימוש במצלמות אבטחה או מעקב בבתי ספר ברחבי הארץ.
המצלמות הותקנו ביוזמה ותקצוב של גורמים שונים ובהם בתי ספר, ועדי הורים או רשויות מקומיות.
בתי הספר שונים מאוד במספר המצלמות, במיקומן, בשימוש שעושים בהן מנ הליהם, בנהלי הגישה לחומר המצולם, במטרות השימוש בחומר המצולם ועוד83 .
ככלל, מצלמות מותקנות בבתי הספר לצורך שמירה על ביטחון התלמידים והגנה מפני אלימות, בריונות והתנהגויות מסכנות אחרות, ולצורך שמירה על רכוש בית הספר לאחר שעות הלימודים.
להפעלה של מצלמות מעקב במס גרות חינוכיות יש מחיר פסיכולוגי רב השפעה: הצילום פוגע בצורך הנפשי הבסיסי של כל אדם למרחב פרטי מוגן החופשי ממעקב חיצוני מתמיד.
לכן יש לנהוג זהירות בשימוש במצלמות מעקב במתקנים שיש בהם ילדים ובני נוער84 .
רשם מאגרי המידע פרסם כמה הנחיות המבהירות את תחולתם של דיני הגנת הפרטיות על השימוש במצלמות מעקב במרחב הציבורי ובמקומות .
82 :בעניין זה ראו גםדוחות על הביקורת בשלטון המקומי לשנת 2013 , "פעולות פיקוח ואכיפה של הרשויות המקומיות לטיפול בתופעות של הפרות סדר ואלימות במרחב הציבורי", 133 'מעמ 156- 164.
83 מבוסס על מחקרבנושא: Lotem Perry -Hazan & Michael Birnhack, Privacy, CCTV, and School surveillance in the shadow of imagined law , 50 Law & Society Re view (2016) 84 חוות דעת רשם מאגרי מידע בנושא "מצלמות מעקב- הדין החל ואופן השימוש", מיום 3.
עבודה85 (להלן- ההנחיות).
בהתאם להנחיות אלה, התקנת מצלמות במרחב הציבורי פוגעת בפרטיות 86 ולכן צריכה לעמוד במבחני חוק יסוד: כבוד האדם וחירותו.
ההחלטה על שימוש במצלמות צריכה להתקבל רק לאחר בחינת צרכים וחלופות, בחינה מוקדמת של ההשפעה על הפרטיות, ובכפוף למגבלות המפורטות בהנחיות.
בהנחיות אין התייחסות ספציפית להתקנת מצלמות מעקב בבתי הספר, אך צוין בהן כי יש לנקוט זהירות יתרה בכל הנוגע להתקנת מצלמות מע קב במקומות כינוס של קטינים כגון מוסדות חינוך או מתנ"סים, לצמצם ככל האפשר את עצם השימוש במצלמות ולהקפיד על מיקומן ועל השימוש במידע הנאסף באמצעותן.
עוד נקבע בהנחיות, כי במוסדות חינוך ראוי במידת האפשר ליידע באופן אקטיבי את ההורים על הצבת מצלמות.
ביולי 2018 , בעקבות דיון בממשלה ובכנסת ביוזמת חקיקה בנושא התקנת מצלמות מעקב בגני ילדים, פרסמה הרשות להגנת הפרטיות את עמדתה בנושא זה87 .
הרשות סבורה כי יש לנקוט זהירות יתרה במעקב קבוע אצל ילדים ובני נוער, מפני שהדבר עלול לחבל ביכולתם להתפתח ובשל החשש לדליפה של צילומי הילדים לאינטרנט וניצולם לרעה.
תופעת המצלמות המותקנות בבתי הספר חידדה מאוד את הצורך באיזון זכותו של התלמיד לאקלים מיטבי ולקידום רווחתו בבית הספר עם זכותו לפרטיות, בשים לב להיבטים חינוכיים כמו פיתוח תחושת שייכות, אמון וקידום ערכים חברתיים בקהילה הבית ספרית.
במאי 2015 , ולאחר שכבר הותקנו מצלמות בחלק מבתי הספר ברחבי הארץ, פרסם משרד החינוך את חוזר המנכ"ל "מצלמות במוסדות החינוך - הסדרת הכנסתן ואופן התקנתן" (להלן - חוזר המנכ"ל בנושא מצלמות).
הוראות החוזר תקפות גם לגבי מצלמות שהותקנו לפני פרסומו ונקבע בו כי התקנתן ת ותאם להוראות החוזר, ככל שתידרשנה, עד תחילת שנת הלימודים התשע"ו (2015 - 2016 ).
על פי החוזר, הגורמים האחראיים הם מנהל היחידה לקידום אקלים בטוח ולמניעת אלימות באגף שפ"י ומנהל תחום ביטחון באגף הבכיר לביטחון, לשעת חירום ולבטיחות סביבתית במשרד החינוך (להלן - אגף ביטחון).
חוזר המנכ״ל אושר בידי משרד המשפטים לאחר שנבחנו בו היבטים הנוגעים לזכות ל פרטיות.
חוזר המנכ"ל בנושא מצלמות קובע כי "שימוש רציף במצלמות הוא בגדר אמצעי אחרון, שלצד תועלתו כרוך בפגיעה בפרטיות ולפיכך יש לשקול .
85 הנחיית רשם מאגרי מיד ע מס' 4/2012 בנושא "שימוש במצלמות אבטחה ומעקב ובמאגרי התמונות הנקלטות בהן"; חוות דעת בנושא "מצלמות מעקב - הדין החל ואופן השימוש", מיום 3.
10 '; הנחיית רשם מאגרי מידע מס5/17 בנושא "שימוש במצלמות מעקב במקום העבודה ובמסגרת יחסי עבודה".
86 צילום אדם כשהוא ב רשות היחיד מהווה פגיעה בפרטיות לפי סעיף 2(3 ) לחוק.
צילום אדם ברשות הרבים עשוי להגיע כדי בילוש או התחקות אחרי אדם, העלולים להטרידו ומהווה פגיעה בפרטיות לפי סעיף 2(1 .
) לחוק 87 עמדת הרשות להגנת הפרטיות בעניין השימוש במצלמות מעקב בגני ילדים כפי שפורסמה באתר הרשות: https://www.
il/he/Departments/news/kindergardens .
היבטים בהגנה על הפרטיות במאגרי מידע |53 .
בזהירות את עצם השימוש בו, ואם נעשה בו שימוש יש לעשות זאת במידה שאינה עולה על הנדרש".
החוזר מסדיר בפירוט ניכר את השיקולים שיש לשקול בקשר להתקנת המצלמות, בחירת מיקומן, זוויות הצילום, אבטחת המידע, סדרי הצפייה בחומר המוקלט והשימוש בו.
למשל, אסור להתקין מצלמות בכיתות הלימוד ובמקומות שמתקיימות בהם פעילו יות פרטיות ומעין-פרטיות כמו חדרי שירותים, חדרי מורים, חדר היועץ החינוכי והמרפאה.
משהוחלט על הצבת מצלמות בתחום הפנימי של בית הספר, תימסר על כך הודעה להורים ולתלמידים.
החומר שיוקלט במצלמות יבוער כעבור שלושה ימים לכל המאוחר, אלא אם כן מתקיימות נסיבות חריגות המצדיקות את שמירתו.
מנהל בית הספר, או מנהל מחלקת החינוך ברשות החינוך המקומית, יעביר מדי שנה למשרד החינוך, במסגרת הדיווחים המוגשים לו, נתונים על המצלמות שהותקנו ועל המצלמות שהוסרו.
בשנת 2017 פרסם אגף ביטחון מכרז לבקרה ולבדיקת תקינות של אמצעי ביטחון ומערכות התרעה המותקנים במוסדות חינוך , כ - 2,000 בתי ספר בשנה.
בשנת 2018 נבחר ספק חיצוני, שביצע בקרות ב - 1,000 בתי ספר בקירוב מיולי 2018 עד נובמבר2018 .
להערכת משרד החינוך, עד סוף שנת 2019 ייאספו נתונים על כלל אמצעי הביטחון ומערכות ההתרעה המותקנים במוסדות החינוך, לרבות מצלמות.
מעיון בדרישות המכרז ובדוח הבקרה לדוגמה שהועבר למשרד מבקר המדינה עולה, כי הבקרה כוללת רשימת בדיקות של 200 ויותרנתונים הנוגעים למערכות ביטחון המותקנות במוסדות החינוך, לרבות בדיקה של מצלמות המותקנות בבית הספר - אם ישנן, מספרן, אם הן ממוקמות בשטח ציבורי ואם הן מותקנות על פי חוזר המנכ"ל.
מדוח הבקרה לדוגמה נראה כי הבקרה בעיקרה היא טכנית ואינה כוללת פרטים נוספים על הפעלת המצלמות בהתאם לחוזר המנכ"ל, פרט לציון אם החיווי תקין או לא תקין.
יצוין כי בתשובותיו על כמה בקשות שהוגשו לו מהציבור מ-2015 ואילך לפי חוק חופש המידע, התשנ"ח -1998 , בנושא הסדרת פעילותן של מצלמות המעקב בבתי הספר, ציין משרד החינוך כי אין לו נתונים בנושא.
חוזר המנכ"ל כולל הוראות מפורטות להסדרת ההתקנה של מצלמות בבתי הספר, לרבו ת זוויות הצילום, אבטחת המידע, סדרי הצפייה בחומר המוקלט, הודעה להורים ולתלמידים על הצבת המצלמות וביעור החומר המוקלט לאחר תקופה קצובה.
ואולם הבקרה הנעשית כיום על ידי משרד החינוך אינה בודקת את מילוי דרישות הוראותיו של החוזר.
משרד מבקר המדינה מעיר למשרד החינוך , כי עליו לבחון באופן יסודי את מידת הטמעתן של הוראות חוזר המנכ"ל ולפעול לבקרת יישומן.
כמו כן, עליו לאכוף את הוראות החוזר ולקבל מהספק החיצוני דיווחים על בתי הספר הכוללים, בין השאר, נתונים על הצבת מצלמות או על הסרתן, ובהתאם לתמונה שתתקבל לשקול פעולות נוספות לאכיפת ההוראות, שיבטיחו את מימוש התכליות המנויות בו.
אבטחת מאגרי המידע של משרד החינוך .
בתחום אבטחת המידע והגנתן של מערכות מידע ממוחשבות יש הסדרים נורמטיביים רבים, בחוק הגנת הפרטיות, בתקנות אבטחת מידע ובהנחיות רשם מאגרי המידע מכוחם, ובהחלטות ממשלה המחילות גם חובות מתחום התקינה הבין-לאומית.
"מאגר מידע" מוגדר בחוק הגנת הפרטיות כאוסף נתוני מידע , המוחזק באמצעי מגנטי או אופטי ומיועד לעיבוד ממוחשב, למעט חריגים המוזכרים בחוק.
"אבטחת מידע" מוגדרת כ"הגנה על שלמות המידע, או הגנה על המידע מפני חשיפה, שימוש או העתקה, והכל ללא רשות כדין".
החוק קובע כי האחריות לאבטחת המידע שבמאגר המידע חלה על כל אחד מבעלי התפקידים: בעל המאגר, מחזיק במאגר ומנהל מאגר מידע.
מחזיק הוא "מי שמצוי ברשותו מאגר מידע דרך קבע והוא רשאי לעשות בו שימוש".
ככלל, חובות אבטחת המידע נגזרות ממידת רגישותו של המידע השמור במאגר המידע ומאופן שמירתו בו.
ככל שאדם עלול להיפגע יותר מגילוי המידע עליו ברבים, כן המידע נחשב לרגיש יותר וכן עולה רמת האבטחה שיש לנקוט בשמירתו88.
במהלך השנים פרסם רשם מאגרי המידע כמה הנחיות ליישומם של תקנות אבטחת מידע ועיבוד מידע אישי בשירותי מיקור חוץ, כפי שיפורט להלן.
בשנים האחרונות קיבלה ממשלת ישראל כמה החלטות על מרחב הסייבר וההגנה עליו.
למשל, בהחלטת ממשלה מספר 2443 מפברואר 2015, ""קידום אסדרה לאומית והובלה ממשלתית בהגנת הסייבר (להלן - החלטה 2443 ,) נקבע כי המנכ"לים של משרדי הממשלה שמפעילים סמכויות אסדרה על גופים או פעילויות החשופים לאיומי סייבר, יקדמו את הטיפול בהיערכות לאיומי סייבר במסגרת המגזר שהם אחראים לו, בין .
88 'ראו דוח צוות ההסדרה בקשר לאבטחת מידע במאגרי מידע ממשלתיים, בעמ46 וראומבקר המדינה, דוחות על הביקורת בשלטון המקומי לשנת 2017 , "אבטחת מידע והגנת הפרטיות ברשויות מקומיות - מעקב מורחב", עמ' 201 - 245.
היבטים בהגנה על הפרטיות במאגרי מידע |55 .
השאר על ידי הגדרת המדיניות ודרישות האסדרה.
בהתאם להחלטה זו הוקמה במשרד ראש הממשלה היחידה להגנת הסייבר בממשלה (להלן - יה"ב), המנחה את הממשלה בתחום הגנת הסייבר והנחיותיה מחייבות את משרדי הממשלה ואת יחידות הסמך 89 .
על פי "הנחיית המסגרת להגנת הסייבר בממשלה" (להלן - הנחיית המסגרת), שפרסמה יה"ב בספטמבר 2016 , בנסיבות שמשולבים בהן במשרדי הממשלה ספקים רבים המאפשרים שירותי מיקור חוץ בתחומי פעילות שונים, ולחלקם הרשאות גישה גורפות לכלל מערכות המידע המשרדיות - קיים סיכון בתחום הסייבר.
באפריל 2017 "פרסם מערך הסייבר את "תורת ההגנה בסייבר לארגון (להלן - תורת ההגנה), המגדירה שיטה סדורה להובלת ארגונים להכרת הסיכונים הרלוונטיים בתחום הסייבר, גיבוש מענה הגנתי ומימוש תוכ נית להפחתת הסיכונים.
על פי תורת ההגנה, על הארגון לכתוב וליישם מדיניות ונהלים רלוונטיים לשם הגנה על המידע ולעדכנם באופן תקופתי.
ההתפתחות הטכנולוגית בשנים האחרונות משרתת גם את עולם החינוך בישראל - דרכי הלמידה במאה ה -21 מבוססות על אמצעים דיגיטליים שונים, מבוס סי אינטרנט.
התוכנית הלאומית לתקשוב 90 המופעלת בבתי ספר רבים בארץ מקדמת את הפיכתם של בתי הספר לארגונים מתוקשבים, פועלת לשיפור תהליכי ההוראה, הלמידה וההערכה ולפיתוח אוריינות טכנולוגית ודיגיטלית בקרב התלמידים.
חלק מהתהליכים נעשים באמצעות התקשרות של משרד החינוך עם חברות פרטיות או גורמים חיצוניים (להלן - ספקים) לפיתוח מוצרים טכנולוגיים חינוכיים המבוססים על מידע אישי.
משרד החינוך מתקשר עם ספקים באמצעות מכרזים או בהתקשרויות הפטורות ממכרז, בכפוף לכללים הקבועים בחוק חובת המכרזים, התשנ"ב -1992 .
, ובתקנותיו ככל משרד ממשלתי, גם משרד החינוך משתמש בשירותי מיקור חוץ משיקולי יעילות, הוזלת עלויות ופינוי משאביו לליבת העיסוק המקצועי שלו.
ואולם כשספק מחזיק במאגרים של מידע אישי או רגיש, על תלמידים ועל משפחותיהם, זהו סיכון הטעון הסדרה משפטית וארגונית מפורטת.
הסיכונים הכרוכים במערכות מידע ממוחשבות הם רבים ומגוונים: דליפת מידע רגיש וחשיפה של נתונים אישיים לגורמי חוץ, גישה לא מורשית למאגרים, שימוש במידע מן המאגרים למטרות זרות (לרבות לצורכי הפקת רווח כספי ממכירתו), פגיעה או השבתה של מאגר המידע ועוד.
89 על פי נספח ה' להחלטה2443 יה"ב תפעל בכפיפות לממונה על התקשוב הממשלתי שבמשרד ראש הממשלה ובהנחיה מקצועית של מערך הסייבר.
90 מדובר בשיטת הוראה ולמידה של תכנים המותאמים למציאותהמשתנה.
ההוראה נעשית תוך שימוש בטכנולוגיה לקידום תהליכי ההוראה בשילוב טכנולוגיה ומידע.
ראו פרטים באתר התוכנית: http://cms.
il/Ed ucationCMS/Units/PituachMiktzoie/PituachMiktzoi/yihudiot/tiksh uv.
htm 56 |דוח שנתי 69ב .
משרד מבקר המדינה בחן את יישומן של חלק מההוראות הנוגעות לאבטחת המידע והגנת הפרטיות במאגרי המידע שבבעלות משרד החינוך .
נבדק גם יישום החובות הקבועות בדין למיפוים של מאגרי המידע וביצוע סקרי סיכונים ומבדקי חדירות91 .
התקשרויות משרד החינוך עם ספקים .
הרגולציה האירופית שמה דגש ב"עיצוב לפרטיות": הערכת הסיכונים הנשקפים לפרטיות עוד בשלב עיצוב המוצר ופעולה לצמצומם, הגבלה לכתחילה של המידע שייאסף למידע הנחוץ באופן ספציפי לשירות הנדרש, והחזקתו רק אם המידע אכן נחוץ להפעלת אותו שירות.
"העיצוב לפרט יות", הביטוי הטכנולוגי לעקרון המידתיות, הנגזר מן הזכות החוקתית לפרטיות, אינו קבוע בחוק הגנת הפרטיות, אך היבט מצומצם שלו נכלל בתקנות אבטחת מידע המחייבות בעל מאגר מידע לבחון אחת לשנה "אם אין המידע שהוא שומר במאגר רב מן הנדרש למטרות המאגר"92 .
בשנת2011 פרסםרשם מאגרי המידע את ההנחיה 93 "שימוש בשרותי מיקור חוץ ( Outsourcing ) לעיבוד מידע אישי" (להלן- הנחיית הרשם בנושא מיקור חוץ).
על פי ההנחיה, יש כמה בדיקות מקדמיות שעל ארגון המזמין שירות מספק לעשות בקשר לשירות המבוקש, ובהן אם הארגון רשאי בכלל להוציא את המידע אל מחוץ לשליטתו ואם אפשר להסתפק בהרשאות גישה או עדכון למידע במאגר המידע ללא העברתו.
ככלל, הנחת היסוד היא שככל שהמידע המועבר רגיש יותר, כך אמצעי אבטחת המידע צריכים להיות קפדניים יותר ונדרשת זהירות רבה יותר בבחירת הספק.
תקנה 15 לתקנות אבטחת מידע, הדומה ברובה להנחיית הרשם בנושא מיקור חוץ 94 , מתייחסת להתקשרות עם ספק לצורך קבלת שירות הכרוך בגישה למאגר מידע של בעל המאגר, וגם בה מפורטת חובתו של בעל המאגר לבחון, לפני ההתקשרות עם הספק, את סיכוני אבטחת המידע הכרוכים בהתקשרות95 .
91 ( מבדקי חדירות Penetration tests ) הם מתקפות מתוכננות ומבוקרות על מערכת ממוחשבת הנעשית בידי בודק במטרה למצוא חולשות אבטחה ואת פוטנציאל הגישה אל המידע שהן מאחסנות.
(ג) לתקנות 93 שמספרה 2/2011.
94 :וראו גם המדריך המלא לתקנות הגנת הפרטיות (אבטחת מידע) באתר הרשות https://www.
il/he/Departments/Guides/data_security_guide 95 רשות התקשוב פרסמה הנחיות נוספות הנוגעות לתכנון והיערכות להתקשרות במיקור חוץ: כך למשל, הנחיה בנושא "היערכות לפעילות תקשובית במיקור חוץ", בתוקף מ - 1.
17 ; וראו גם הנחיית רשות התקשוב הממשלתי בנושא "שיקולים בבחירת מיקור חוץ" בתוקף מ - 16.
17 והנחיה בנושא "מיקור חוץ - הנחיית אב", בתוקף מ- 16.
היבטים בהגנה על הפרטיות במאגרי מידע |57 .
חוץ, ולא נבחנים היקף .
חלופות שאינן כרוכות .
יצוין כי על פי תקנון שירות המדינה, האחריות להפעלת מערכות מידע ממוחשבות ו סמכות ההחלטה בתחום זה נתונות בידי המנכ"ל של כל משרד ממשלתי ובידי מנהלי יחידות הסמך.
במשרד החינוך פועלת ועדת היגוי לאבטחת מידע וסייבר, שחברים בה נציגים בכירים במשרד, בהם המשנה למנכ"ל96 .
כשמשרד החינוך שוקל התקשרות עם ספק, הכרוכה בגישה למאגרי המידע של המשרד או בהחזקת מאגרי המידע הללו בשרתי הספק, מצורף למכרז "נספח אבטחת מידע" המנוסח בידי חטיבת אבט חת מידע שבמינהל תקשוב, טכנולוגיה ומערכות מידע (להלן - מינהל תקשוב), בהתאמה לדרישות המכרז.
נספח אבטחת המידע, הכולל דרישות אבטחת מידע והוראות להגנת הפרטיות, כאמור בתקנות97.
, הוא תנאי סף להתקשרות וחלק מההסכם עם הספק משנת 2013 ואילך היה מינהל תקשוב מעורב בהכנת כ-250 מכרזי רכש של שירותי מיקור חוץ עבור משרד החינוך.
חלק מהמכרזים כללו דרישות לפיתוח תוכניות המבוססות על מאגרי מידע רגישים, כמו מכרז לפיתוח תוכנית לשילוב בני נוער בסיכון בפעולות התנדבות, מכרז להפעלת שירותי חינוך והשכלה לנוער מנותק, מכרז להפעלת תוכנית חינוכית לקליטה והשתלבות של תלמידים יוצאי אתיופיה במערכת החינוך, ועוד.
בביקורת נמצא, כי משרד החינוך אינו עושה בדיקות מקדמיות כנדרש בתקנות אבטחת מידע ובהנחיית הרשם בנושא מיקור חוץ, לפני פרסום מכרזים לשירותי מיקור חוץ, הכוללים גישה למאגרי מידע או קבלת מידע ממאגרי מידע שבבעלותו: אין גורם במשרד החינוך שבוחן את עצם הצורך בהוצאת השירות למיקור חוץ , ו לא נבחנים היקף המידע האישי שנדרש להעביר לצורך אספקת השירות, מטרת העברתו לספק, ואם יש חלופות שאינן כרוכות ב העברת המידע.
למעשה, הדרישות שבנספח אבטחת המידע המצורף למכרז נקבעות מבלי שנדונו ונענו השאלות המקדמיות האמורות.
עוד נמצא בביקורת כי משהתקבלו הצעות המציעים במכרזים, לא נעשית בדיקה עם מינהל תקשוב, הגורם המקצועי הרלוונטי, אם הספקים עומדים בדרישותיו של נספח אבטחת המידע שצורף למכרז.
96 על פי החלטה 2443 ,תפקידה של הוועדה לפעול לשיפור רמת הגנת הסייבר של המשרד ולפיקוח על הפעילות השוטפת המבוצעת במשרד בתחום הגנת הסייבר.
, מנכ"ל המשרד הממשלתי הוא העומד בראש הוועדה 97 ,דרישות לסיווג המידע הוראות על הגנת המידע בשימוש, אחזקה או ניהול מאגר המידע, דרישה לאישור על עמידה בדרישות אבטחת מידע, ניהול סיכוני אבטחת מידע, שמירה על כללי אבטחה פיזית, סביבתית ולוגית (קביעת אמצעי אבטחה הולמים שימנעו חדירה למערכת המידע, עדכון המערכות למניעת ניצול פרצות אבטחת מידע ועוד), ותיעוד ובקרה על מערכות מידע בעלות גישה למאגרי המידע של משרד החינוך.
המצב חמור יותר בהתקשרות הפטורה ממכרז98 .
להסכם ההתקשרות עם הספק כלל לא מצורף נספח אבטחת מידע, ולמעשה אין גורם מקצועי במשרד החינוך המנסח דרישת עמידה בחובות וסטנדרטים של אבטחת מידע.
משרד החינוך ציין בתשובתו כי ככל שלא היה צורך במיקור חוץ, לא היה הנושא מובא לדיון בוועדת המכרזים, ולפעמים הוועדה אינה מאשרת קבלת שירות במיקור חוץ ודוחה את הבקשה (כגון כשמתבקשת העברה של סמכויות שלטוניות).
עם זאת הוסיף המשרד כי יפעל לחידוד הנהלים כך שבכל מכרז לשירות שמועבר בו מידע אישי הוועדה תבחן את מטרת ההעברה, את היקף המידע ואם אפשר להסתפק בחלופות.
עוד מסר המשרד על התקשרויות עם ספקים כי הפיקוח והבקרה על עמידת המציעים במכרזים בדרישות נספח אבטחת המידע ישולבו בתוכנית העבודה של מינהל תקשוב , וכי גם בהתקשרויות הפטורות ממכרז יופנו היחידות לחטיבת אבטחת מידע, כדי שתנסח עבורן דרישות אבטחת מידע.
משרד מבקר המדינה מעיר למשרד החינוך , כי עצם העובדה שהנושא הובא לדיון בוועדת המכרזים איננה מבטיחה שנעשתה בחינה מקדמית באופן שיטתי של עצם הצורך בהוצאת השירות למיקור חוץ, כאמור בתקנות אבטחת מידע והנחיית הרשם בנושא מיקור חוץ.
לפיכך, ככל שהמידע המועבר רגיש ורב יותר, כן יש להקפיד יותר בהחלטה אם להוציא את השירות למיקור חוץ, בדרישות אבטחת המידע שייקבעו במכרז ובבחירת הספק.
במהלך הביקורת באוגוסט 2018 אישר משרד החינוך את ה הנחיה המשרדית "העברת מידע מוגן בהתאם לחוק הגנת הפרטיות, תשמ"א-1981 ממאגרי מידע של המשרד ", ובנובמבר 2018 הפיץ בקרב עובדי המשרד תוכנה ללמידת ההנחיה.
ההנחיה מתייחסת למקרים שיש בהם צורך להעביר מידע מוגן ממערכות המידע המשרדיות, ומטרתה להבהיר את הפעולות הראויות על פי דין שיש לנקוט כשמתקבלות בקשות מסוג זה, למשל במקרים של העברת מידע או עיבוד מידע אישי בידי ספק חיצוני במסגרת התקשרות או מכרז.