HeTree/MevakerConcSen huggingface dataset:
נובע מכאן שממאי 2018 ,מחויבים בעל המאגר ומנהל המאגר למפות את המאגרים לבחון אותם, להחזיק אצלם מסמכי הגדרה מעודכנים, ועל פיהם גם לפעול לאבטחת המאגר.
משרד החקלאות העביר למשרד מב קר המדינה בנובמבר 2017 רשימה של מערכות מידע שבשימושו.
בין המערכות הללו ישנם גם מאגרי מידע כהגדרתם בחוק הגנת הפרטיות - חלקם מכילים גם מידע רגיש כהגדרתו בחוק - הטעונים רישום לפי החוק ועל חלקם חלות תקנות הגנת הפרטיות (אבטחת מידע).
משרד מבקר המדינה בחן רשימה זו וכן את רשימת מאגרי המידע שבבעלות משרד החקלאות, שהיו רשומים בדצמבר 2017 בפנקס מאגרי המידע באינטרנט.
מלבדן נבחנה רשימה של מערכות מידע מסקר הסיכונים שעשה משרד החקלאות במחצית השנייה של שנת 2017 , הכוללת הסבר קצר על המערכות המנויות בה.
מהבחינה עולה כי בחלק ממערכות המשרד ישנם מאגרים הטעונים רישום בפנקס מאגרי המידע, מכיוון שהמידע האגור בהם עונה להגדרת מידע בחוק הגנת הפרטיות 14 , ובחלקם אף נכלל מידע אודות מצבם הכלכלי של חקלאים, או מידע אחר, העונה לכאורה להגדרת "מידע רגיש".
החל במאי 2017 הפנה משרד החקלאות לר שות להגנת הפרטיות שאלות מהותיות הנוגעות לעניין הגדרת מאגרי מידע ולסוגיית ניהולם, ובכלל זה שאלות כגון האם כל מאגר השולף נתונים מהמאגר המרכזי נחשב מאגר עצמאי וכן שאלות לגבי הגדרת התפקיד וגבולות האחריות של בעל מאגר מידע, מנהל המאגר והמחזיק בו.
החל בדצמבר 2017 ועד מועד סיום הביקורת במאי2018 נתקל משרד החקלאות בקשיים לקבל מהרשות תשובות לשאלותיו.
בתשובה לשאלת משרד מבקר המדינה ענה משרד החקלאות כי לא הכין מסמך בכתב הנותן ביטוי למתווה רישום המאגרים שאותו הוא מעוניין להציג לרשות להגנת הפרטיות, וממילא לא הציג מסמך כזה לרשות להגנת הפרטיות לקבלת חוות דעתה והנחיותיה.
עולה כי עד מועד סיום הביקורת לא השלים משרד החקלאות את פעולות המיפוי וההגדרה של מאגרי המידע שברשותו, ולא הכין מסמך בכתב הכולל את תוצאות הבחינה של תוכני המאגרים שברשותו אל מול הקריטריונים המחייבים את רישומם בפנקס מאגרי המידע.
ממילא הוא גם לא החל להכין עבור כל אחד מהמאגרים את מסמך הגדרות המאגר, כנדרש בתקנות הגנת הפרטיות (אבטחת מידע) .
מתברר אפוא שמשרד החקלאות לא ערך עבודת מטה סדורה, שתאפשר למפות ולזהות את המאגרים שלפי החוק יש להגדירם כמאגרי מידע.
")פירוט בנושא ראו להלן בפרק "יישום תקנות הגנת הפרטיות (אבטחת מידע 14 לפי סעיף7 לחוק הגנת הפרטיות, מידע- כולל "נתונים על אישיותו של אדם, מעמדו האישי, צנעת אישותו, מצב בריאותו, מצבו הכלכלי, הכשרתו המקצועית, דעותיו ואמונתו".
משרד מבקר המדינה מעיר למשרד החקלאות כי עליו להשלים את מיפוי מאגרי המידע שלו, לזהות את המאגרים הטעונים הגדרה ואבטחה על פי החוק ותקנותיו ולהכין מתווה ל הגדרת המאגרים ולרישומם בהתאם לחוק ולתקנות הקיימות.
זאת לאחר שבמגעיו עם הרשות להגנת הפרטיות יינתנו לו תשובות לשאלות בקשר למתווה המוצע.
בתשובתו מיולי 2018 מסר משרד החקלאות כי מנכ"ל המשרד הורה ללשכה המשפטית ולשירות למערכות מידע לרשום עשרה מ אגרים כמתחייב מחוק הגנת הפרטיות.
עדכן המשרד כי טרם החל בתהליך הרישום בתשובתה מיולי 2018 כתבה הרשות להגנת הפרטיות כי כאשר בעל מאגר מידע, בין משרד ממשלתי ובין גוף פרטי, מתלבט בשאלה משפטית הנוגעת ליישום החוק, עליו לפנות לייעוץ משפטי במשרדו.
מקור נוסף לפרשנות החוק הוא פנייה אליה לקבלת חוות דעת מקדמית, אם כי השאלות שהטרידו את משרד החקלאות הן מחוץ להיקפו של נוהל חוות דעת מקדמית.
מקור אפשרי נוסף הוא המדריכים והשאלות ותשובות שהרשות מפרסמת באתר האינטרנט שלה.
הרשות גם ציינה כי אף שפניות משרד החקלאות אליה לא נעשו במסגרת נוהל חוות דעת מקדמית, היא ניהלה ממשק עבודה ישיר מול גורמים במשרד החקלאות.
עוד מסרה הרשות בתשובתה כי ככל שיועלה בפניה המתווה לרישום המאגרים של משרד החקלאות, הוא יטופל וייבחן בכפוף ובהתאם לשיקולים שבנוהל הרשות לעניין חוות דעת מקדמית.
אי-רישום מאגר של יחידת הפיצו"ח: יחידת הפיצו"ח מבצעת פעולות פיקוח לאורך קו התפר על מנת למנוע הברחת מוצרים חקלאיים שהוגדרו בחוק היישום מן הרשות הפלסטינית לישראל וכדי למנוע הכנסה של בעלי חיים, מוצרים מן החי וטובין שיינוסח [ בואם מוסדר לפי פקודת מחלות בעלי חיים , התשמ"ה]חדש-1985 .
זאת כדי להגן על בריאות הציבור ולמנוע הפצת מחלות בעלי חיים.
כמו כן, יחידה זו אוכפת חוקים נוספים בתחום החקלאות.
ביחידה מנוהלים שני מאגרי מידע.
משרד מבקר המדינה בדק את רישום מאגרי המידע של יחידת הפיצו"ח בפנקס מאגרי המידע של הרשות להגנת הפרטיות, המוצג באינטרנט15.
מהבדיקה שנעשתה בדצמבר 2017 עלה כי בפנקס מאגרי המידע נרשםרק מאגר אחד בשם "פיצוח מודיעין" ורישומו אושר בפברואר 2003 .
עולה אפוא שמאגר נוסף , המשמש לפעילותה השוטפת של יחידת הפיצו"ח, לא הוגדר במסגרת מסמך הגדרות מאגר כנדרש לפי התקנות החדשות, וגם לא נרשם אצל רשם מאגרי המי דע.
il/Units/ilita/subjects/HaganatHapratiyut/actions/Pages/Eyun.
aspx משרד החקלאות ופיתוח הכפר | 2089 .
משרד מבקר המדינה מעיר למשרד החקלאות כי עליו לפעול להכנת מסמך הגדרות מאגר לגבי המאגר הנוסף ויש לרושמו בפנקס מאגרי המידע, כנדרש בחוק הגנת הפרטיות, על מנת לאפשר את הבקרה על רמת אבטחת המידע בו.
יצוין כי פרסומו של מידע כזה עקב אבטחה לקויה עשוי לפגוע בפרטיותם של האנשים הנזכרים בו ובשמם הטוב.
בתשובתו מיולי 2018 מסר המשרד כיהמאגר הוא חלק ממאגר הנתונים המרכזי של המשרד שבכוונתו לרשום כחוק.
עוד הוסיף המשרד כי ככל שלא יתאפשר לרשום מאגר מרכזי אחד, יירשם המאגר בנפרד.
ההיערכות הארגונית ליישום חוק הגנת הפרטיות במשרד החקלאות .
בחוק הגנת הפרטיות ובתקנותיו נקבעו כמה בעלי תפקידים בארגונים הנושאים באחריות לאבטחת מידע במאגר מידע - בעל מאגר מידע, המחזיק במאגר מידע ומנהל מאגר מידע.
כמו כן, גופים ציבוריים כהגדרתם בחוק , ובכללם משרדי הממשלה, גם חייבים למנות אדם בעל הכשרה מתאימה לתפקיד ממונה אבטחת מידע, על מנת שיהיה אחראי לאבטחת המידע במאגרים המוחזקים ברשותם.
כן נקבע בתקנות הגנת הפרטיות (העברת מידע), כי העברת מידע בין גופים ציבוריים צריכה להיעשות באמצעות ועדה להעברת מידע שיש להקים בכל גוף ציבורי, והיא מופקדת בין היתר לדון בבקשות של גופים ציבוריים לקבל מידע מהגוף שבו היא פועלת ולאשרן.
קביעת הוראות לגבי בעל מאגר מידע בגופים ציבוריים: חוק הגנת הפרטיות אינו מגדיר מי הוא "בעל המאגר" שעליו מוטלות כאמור חובות שונות.
החוק מציין כי בקשה לרישום מאגר מידע תכלול בין היתר את זהות בעל המאגר ומענו בישראל.
הרשות להגנת הפרטיות פרסמה באוגוסט 2017 טיוטת הנחיית רשם מאגרי מידע בנושא "פרשנות ויישום חוק הגנת הפרטיות בעניין העברת הבעלות במאגר מידע"16 .
בטיוטה נכתב שבעל מאגר המידע הוא הגורם שבידיו הכוח המשפטי לקבל החלטות בדבר אופן איסוף המידע ומטרת עיבודו, ובהתאם לכך מוטלות עליו חובות שונות שנועדו להגן על פרטיות האנשים שעליהם נאסף המידע.
הרשאה לאיסופו ולעיבודו של המידע יכולה להתבסס בין השאר על הסמכה מכוח חוק לשם ביצוע מטרה ציבורית, או מכוח הסכמה המתקבלת מהאנשים עצמם לפני הכנסת המידע על אודותם למאגר מידע.
עוד נאמר בטיוטת ההנחיה כי בעל מאגר מידע יכול להיות תאגיד, יחיד, גוף ציבורי ועוד.
16 'טיוטת הנחיית רשם מאגרי מידע מס 3/2017 .
תאריך הפרסום באתר האינטרנט של הרשות- 13.
il/he/Departments/publications/Call_for_bids/ownership_transfer 2090 |דוח שנתי 69ב .
במאגרים שנרשמו על ידי המשרד בפנקס מאגרי המידע רשומים שלושה בעלים: משרד החקלאות / המשרד הראשי; משרד החקלאות / הרשות לתכנון ופיתוח; משרד החקלאות / מכון וולקני.
מהמסמכים עולה שהרשות לתכנון ופיתוח במשרד רשומה כבעל המאגר של פיצו"ח מודיעין וכבעלים של מאגר כתבי אישור של מינהלת ההשקעות, אף על פי שנושאים אלו אינם מצויים בתחומה.
משרד מבקר המדינה מעיר למשרד החקלאות כי עליו לבחון שו ב את הגדרת הבעלים של המאגרים.
בתשובתו מיולי 2018 מסר המשרד כי נושא שיוך מאגרי המידע המשרדיים לבעלים יטופל במסגרת רישום המאגרים הנוספים כמפורט לעיל.
הגדרת מנהלי מאגר מידע למאגרים הרשומים בפנקס .
מנהל מאגר מידע מוגדר בחוק הגנת הפרטיות כ"מנהל פעיל של גוף שבבעלותו או בהחזקתו מאגר מידע או מי שמנהל כאמור הסמיכו לעניין זה".
כאמור לעיל, בתקנות הגנת הפרטיות (העברת מידע ) נקבע שמנהל מאגר מידע הוא האחראי ליישום ההוראות הכלליות לניהול מאגר מידע17.
בתקנות החדשות בוטלה ההוראה והאחריות לחלק מעניינים אלה הוטלה גם על בעל המאגר.
למנהל מאגר המידע גם תפקיד בקביעת סדרי העברת מידע בין גופים ציבוריים.
כאמור, קיימת חובה בחוק הגנת הפרטיות לרשום גם את שמו של מנהל המאגר במסגרת רישום מאגר המידע בפנקס מאגרי המידע.
בבדיקה של רישומי מאגרי המידע של משרד החקלאות שנרשמו בפנקס מאגרי המידע בשנים 2003 ו-2004 נמצא, כי לא נרשם בהם שמו של מנהל מאגר המידע, בניגוד להוראות החוק.
עד מועד סיום הביקורת במרץ 2018 לא התקבל הסבר ממשרד החקלאות לאי-קביעת מנהל לכל אחד ממאגרי המידע.
עולה שמשרד החקלאות לא הגדיר מי ישמשו כמנהלים למאגרי המידע שכבר רשם.
אי -הגדרת מנהלי מאגרי מידע הביאה לידי כך שבבקשות שונות לקבלת מידע חתם כמנהל מאגר מידע בעל תפקיד אחר מבלי שהוגדר כמנהל ובלי שנשא באחריות לתפקידי המנהל.
לדוגמה, מנהל השירות למערכות מידע (השל"מ) חתם כמנהל מאגר מידע על בקשה מספטמבר 2017 של המרכז לסחר חוץ במשרד לקבל מידע על נתוני יבוא מאגף המכס ברשות המיסים.
זאת אף שהוא לא נקבע כמנהל המאגר18.
משרד מבקר המדינה מעיר למנכ"ל משרד החקלאות כי עליו להגדיר למאגרים הרשומים מנהלים.
)לתקנות הגנת הפרטיות (העברת מידע 18 על מקרים נוספים שבהם חתמו על טפסי א' ו-ב' מי שלא מונו כמנהלי מאגרים ראו בפרק "חשש לשימוש שלא כדין במידע ממאגרי מידע חיצוניים ביחידת הפיצו"ח".
משרד החקלאות ופיתוח הכפר | 2091 .
בתשובתו מיולי 2018 מסר משרד החקלאות כי נושא הגדרת מנהלים למאגרים יטופל במסגרת רישום המאגרים הנוספים כמוזכר לעיל.
מינוי ממונה אבטחת מידע .
אי-מינוי ממונה אבטחת מידע במשך תקופה ארוכה: חוק הגנת הפרטיות קובע כי גופים שונים המפורטים בחוק, ובהם גם גופים ציבוריים כהגדרתם בחוק, חייבים למנות אדם בעל הכשרה מתאימה לממונה על אבטחת מידע.
עוד נקבע בחוק כי הממונה על אבטחת המידע יהיה אחראי לאבטחת המידע במאגרים המוחזקים בידי הגוף הציבורי, מבלי לגרוע מאחריותם לפי החוק של בעל המאגר, המחזיק במאגר או מנהל ו.
בתקנות הגנת הפרטיות (העברת מידע) הוגדר ממו נה אבטחת מידע כאדם שמונה לתפקיד לפי החוק או אדם שמנהל המאגר קבע כי הוא אחראי לאבטחת המידע שבמאגר המידע.
בתקנות אלו גם נקבע כי ממונה אבטחת המידע הוא אחד הגורמים שמאשרים בחתימתם העברת מידע בין גופים ציבוריים.
עד מאי 2017 לא קבעו החוק ותקנותיו למי יהיה כפוף ממונה אבטחת המידע.
בתקנות הגנת הפרטיות (אבטחת מידע), שנכנסו לתוקף במאי 2018 , נקבע כי הממונה על אבטחת המידע יהיה כפוף ישירות למנהל מאגר המידע או למנהל פעיל של בעל המאגר או המחזיק בו, או לנושא משרה בכירה אחר הכפוף ישירות למנהל המאגר.
תפקיד הממונה על האבטחה על פי התקנות החדשות יהיה להכין נוהל אבטחת מידע ולהביאו לאישור בעל המאגר.
עליו גם להכין תוכנית לבקרה שוטפת על העמידה בדרישות התקנות החדשות, לבצע אותה ולהודיע לבעל המאגר ולמנהל המאגר על ממצאיו.
עוד נקבע בתקנות כי ממונה אבטחת המידע לא ימלא תפקיד נוסף שעלול להעמידו בחשש לניגוד עניינים במילוי תפקידו לפי תקנות אלה.
התקנה מטילה על בעל מאגר המידע להקצות לממונה את המשאבים הדרושים לו לשם מילוי תפקידו.
יצוין כי חוק הגנת הפרטיות מקנה חשיבות מיוחדת למינוי ממונה על אבטחת מידע, בכך שהוא קובע כי מי שאינו ממנה ממונה על אבטחת מידע דינו מאסר שנה19.
במשך כשמונה שנים , מאז פרש לגמלאות הממונה הקודם על אבטחת המידע, לא מינה המשרד ממונה על אבטחת מידע כנדרש על פי חוק הגנת הפרטיות, ואף שהצורך למנות ממונה על אבטחת מידע הועלה על ידי גורמים שונים במשרד בהזדמנויות שונות.
רק באוגוסט 2017 מינה המנכ"ל עובד בלשכתו לתפקיד ממונה אבטחת מידע.
ההכשרה הנדרשת מהממונה על האבטחה: בחוק הגנת הפרטיות נקבע כי יש למנות לתפקיד ממונה על אבטחת מידע אדם בעל הכשרה מתאימה.
הביקורת העלתה כי לא פורטה בחקיקה, בתקנות או בנהלים ההכשרה הנדרשת מהממונה על אבטחת מידע.
א לחוק הגנת הפרטיות 2092 |דוח שנתי 69ב .
בהיעדר נורמות בדבר ההכשרה הנדרשת מהממונה על אבטחת המידע פנתה הלשכה המשפטית של משרד החקלאות באוגוסט 2017 לרשות ל הגנת הפרטיות בשאלה מה ההכשרה הנדרשת.
תשובת הרשות מספטמבר 2017 הייתה כי בחוק אין הגדרות בנושא והענייןנתון לשיקול דעתו של הארגון.
משרד מבקר המדינה מעיר לרשות להגנת הפרטיות כי ראוי היה שהרשות כמאסדר, בשיתוף עם נש"ם תקבע הנחיות בעניין ההכשרה הנדרשת לממונה על אבטחת מידע במשרדי הממשלה ובגופים הציבוריים האחרים , שבמסגרתה יילקחו בחשבון תפקידי הממונה שנקבעו בתקנות החדשות.
בתשובתה מיולי 2018 הציגה הרשות את עמדתה שכמאסדר רוחבי כלל משקי היא תבחן בעצמה - וככל שתמצא צורך ועל פי שיקול דעתה - תבחן עם הגורמים הרלוונטיים את הצורך לקבוע קריטריונים רוחביים כלל סקטוריאליים בנוגע להכשרה הכללית הנדרשת לממונה אבטחת מידע.
משרד מבקר המדינה מעיר לרשות להגנת הפרטיות כי מבלי להתייחס לתוכני ההכשרה, עצם הדרישה להכשרה מתאימה מתחייבת מלשון החוק.
ככל שהרשות תמצא כי הגיוון בגודל ובהיקף של הגופים השונים במשק המחזיקים במאגרי מידע מונע ממנה לנסח קריטריונים כלל סקטוריאליים להכשרה, עליה לוודא כי יפורסמו קריטריונים ספציפיים למשרדי הממשלה.
בתשובת נש"ם מיולי 2018 נאמר כי מקובלת עליה עמדת המבקר בדבר הצורך בהגדרת ההכשרה הנד רשת לממונה אבטחת מידע , וכי תפעל עם הרשות להגנת הפרטיות להגדרת התפקיד ולקביעת הכישורים הספציפיים הנדרשים לו.
הלשכה המשפטית של משרד החקלאות פנתה באוגוסט 2017 לממונה על אבטחת המידע בשאלה מה הכשרתו בנושא, ותשובתו הייתה כי השכלתו אקדמית אך הוא לא עבר כל הכשרה ספציפית בנושא אבטחת מידע.
עד מועד סיום הביקורת במרץ 2018 לא קבע המשרד איזו הכשרה על ממונה אבטחת המידע לעבור.
משרד מבקר המדינה מעיר למשרד החקלאות כי בהיעדר הנחיות של הרשות בנושא, עליו לקבוע מהי ההכשרה הנדרשת מממונה אבטחת המידע כנגזרת מדרישות תפקידו ולוודא כי העובד הממלא את התפקיד יוכשר בהתאם.
בתשובתו מיולי 2018 השיב המשרד כי הוא פועל לאיתור הכשרה מתאימה לממונה על אבטחת המידע.
משרד החקלאות ופיתוח הכפר | 2093 .
על פי תיקון לתקנות הגנת הפרטיות (העברת מידע) משנת 2005, מנכ"ל הגוף הציבורי, כהגדרתו בחוק הגנת הפרטיות, ימנה ועדה להעברת מידע.
המנכ"ל יכהן כיושב הראש שלה , או ימנה לתפקיד היו"ר את סגנו או עובד בכיר הכפוף לו ישירות , ובין חברי ה יהיה נציג היועץ המשפטי של הגוף הציבורי ועובדים שתחום עיסוקם הוא ניהול מידע ואבטחתו.
תפקיד הוועדה על פי התקנות הוא כפול: האחד הוא בחינה של בקשות שמפנים גופים אחרים לגוף הציבורי להעביר אליהם מידע וכן בחינת בקשות של הגוף הציבורי ל גופים ציבוריים אחרים לקבל מהם מידע.
התפקיד האחר הוא לקבוע הוראות לעניין הגישה למאגרי מידע שברשות הגוף הציבורי, אשר יבטיחו את השמירה על המידע המצוי במאגרים.
בעקבות תיקון התקנות מ-2005 )הנחה המשנה ליועץ המשפטי לממשלה (ייעוץ במרץ 2006 את היועצים המשפטיים במשרדי הממשלה בנושא העברת מידע בין גופים ציבוריים (להלן - הנחיית המשנה ליועץ המשפטי לממשלה).
ההנחיה קובעת כי גוף ציבורי המבקש לקבל מידע מגוף ציבורי אחר יגיש את בקשתו על גבי טופס בקשה לקבלת מידע מאת גוף ציבורי לפי חוק הגנת הפרטיות, המצוי בתוספת לתקנות (להלן - טופס א').
הבקשה תועבר לאישור הוועדה להעברת מידע בגוף המבקש, לאחר שבעלי התפקידים בתחום הגנת הפרטיות והלשכה המשפטית של הגוף הציבורי המבקש אישרו אותה.
על הוועדה להעברת מידע בגוף הציבורי המבקש לבחון כי המידע המבוקש אכן נדרש, וזאת באופן שבו התבקש, וכי מובטח שהגישה למידע תהיה מצומצמת ומפוקחת.
רק לאחר שהוועדה להעברת המידע של הגוף הציבורי המבקש תיתן את אישורה לבקשה, תוגש הבקשה לגוף הציבורי האחר שממנו התבקש המידע.
תרשים 1 : טיפול בבקשה להעברת מידע בין שני גופים ציבוריים הנחיית המשנה ליועץ המשפטי לממשלה מציינת כי על הוועדה להעברת מידע בגוף המוסר את המידע לוודא שהבקשה הוגשה על ידי גוף ציבורי שרשאי לדרוש את המידע על פי דין או שהמידע דרוש לו למטרת ביצוע סמכויותיו.
כן עליה לבחון שהיא מידתית וסבירה על פי המבחנים הבאים: הבקשה מתאימה ליישום המטרה שלשמה מבוקש המידע ויש קשר הגיוני בין הבקשה למטרה; העברת המידע באופן המבוקש היא האמצעי הפחות פוגע מבין מגוון האמצעים האפשריים למימוש אותה מטרה; קיים יחס סביר בין המטרה לבין הפגיעה שנגרמת בזכות לפרטיות לשם השגתה.
עוד מצוין בהנחיה כי במבחנים אלו יש משרד החקלאות ופיתוח הכפר | 2095 .
לתת אתהדעת לרגישות המידע האישי שמבקשים לקבל.
ככל שהמידע רגיש יותר, יש צורך בהגנה רבה יותר על הפרטיות.
מינוי הוועדה המשרדית להעברת מידע: בעקבות ההנחיה הוקמה במשרד החקלאות ועדה משרדית להעברת מידע בין גופים ציבוריים .
מינה המנכ"ל חברים חדשים לוועדהליו"ר הוועדה מונתה סגנית מנהל הרשות לתכנון ופיתוח.
בין חברי הוועדה היו נציגת הלשכה המשפטית ונציג האגף למערכות מידע, כנדרש בתקנות הגנת הפרטיות (העברת מידע).
חבר נוסף היה מרכז הוועדה.
תוקף המינוי היה עד סוף שנת 2016 .
מרכז הוועדה מסר למשרד מבקר המדינה בדצמבר 2017 כי תוקף מינוי הוועדה לא הוארך, וכי בשנת2017 .
דנה הוועדה בשתי בקשות להעברת מידע והחליטה בהן עולה שהוועדה פעלה כשנה ורבע מבלי שהמשרד האריך את תוקף המינוי של חבריה.
משרד מבקר המדינה מעיר למשרד החקלאות כי היה עליו להאריך את תוקף המינוי או למנות חברים חדשים לוועדה .
בתשובתו מיולי 2018 מסר המשרד כי ממרץ 2018 מכהנת הוועדה להעברת מידע בהרכב חדש.
הממונה על אבטחת מידע במשרד פועל לכתיבת נוהלי הוועדה ולאישורם בהנהלת המשרד.
עבודת הוועדה: הנחיית המשנה ליועץ המשפטי לממשלה עוסקת בין השאר ביחס בין הוועדה לממונה על האבטחה ולמנהל המאגר.
בעניין זה מצוין בה כי התיקון שנעשה בתקנות הגנת הפרטיות (העברת מידע) מנסה ליצור אחידות בתוך הגוף הציבורי, באופן שכל ממלאי התפקידים הנוגעים בדבר יהיו כפופים לוועדה בשני ההיבטים שהיא עוסקת בהם - העברת מידע בין גופים ציבוריים וקביעת הוראות לענ יין הגישה למאגרי המידע שברשות הגוף הציבורי.
עוד מציינת ההנחיה כי מעתה הפיקוח והבקרה בנושא זה יהיו של הדרג הבכיר בכל גוף ציבורי.
כלומר, בנושאים הקשורים להעברת מידע בין גופים ציבוריים ובקביעת הרשאות הגישה למאגרי המידע יהיו ממונה אבטחת המידע ומנהל מאגר המידע כפופים לוועדה להעברת מידע.
נוהל עבודת הוועדה להעברת מידע במשרד החקלאות (להלן - נוהל עבודת הוועדה) מפרט את פעולותיה בכל הקשור לבקשותיהם של גופים ציבוריים לקבל ממשרד החקלאות מידע, ובכלל זה אופן הגשת הבקשה למסירת מידע מהמשרד ואופן בדיקתה על ידי הוועדה.
בנוהל נקבע כי הוראותיו יחולו גם אם גורם במשרד החקלאות יבקש לקבל מידע מגוף ציבורי אחר.
התברר כי נוהל העברת המידע הוא נוהל פנימי של הוועדה שהוכן על ידי שניים מחבריה אך לא אושר על ידי כל גורם.
משרד מבקר המדינה מעיר למשרד החקלאות כי מן הראוי שנוהל של ועדה להעברת מידע, שבראשה אמור לעמוד מנכ"ל המשרד או בעל תפקיד הכפוף לו, יאושר על ידי המנכ"ל או לכל הפחות יידון בוועדה ויאושר על ידה.
התנהלות זו תרמה לכך שהנוהל לקה בחסר והדבר השפיע על עבודת הוועדה כמפורט להלן.
על פי נוהל עבודת הוועדה, תהליך אישור העברת המידע מסתיים במתן האישור של הוועדה למסירת מידע לגורמים המבקשים מידע מהמשרד או באישורה של הוועדה לגורם מגורמי המשרד לקבל מידע מגוף ציבורי אחר.
הנוהל אינו עוסק בהמשך התהליך ובכלל זה: הגשת הבקשה (טופס א') לאישור הוועדה להעברת מידע בגוף הציבורי המוסר את המידע, קבלת התייחסותה והטיפול בה; מעקב ופיקוח על קבלת מידע ובכלל זה על התקנתם והפעלתם של אמצעי הבקרה והניטור אצל מקבל המידע אחר המורשים להשתמש במידע.
מתברר כי הוועדה להעברת מידע במשרד החקלאות פעלה בהתאם לאמור בנוהל בכל הקשור לבקשות שהפנה המשרד לקבל מידע ממאגרים ממשלתיים.
כלומר, לאחר שהוועדה אישרה בחתימתה על טופס א' את בקשת יחידת הפיצו"ח לקבל מידע ממאגרים חיצוניים, היא לא המשיכה לטפל בבקשה.
הטיפול בהגשת הבקשה לגוף מוסר המידע והתהליכים שהתקיימו לאחר מכן נעשו, כפי שיפורט להלן, על ידי יחידת הפיצו"ח20.
עולה אפוא שהוועדה להעברת מידע במשרד החקלאותסיימה למעשה את מעורבותה בהליכי קבלת המידע מהגופים הציבוריים כבר בשלב של מתן האישור לקבלת המידע , ולא הייתה מעורבת בשלבים הבאים של תהליך קבלת המידע והשימוש שנעשה בו במשרד בפועל.
בכך התעלמה הוועדה מאחריותה להיות גורם הבקרה המרכזי כפי שנקבע בהנחיית המשנה ליועץ המשפטי לממשלה.
משרד מבקר המדינה מעיר למשרד החקלאות, כי עליו לתקן את הנוהל ולקבוע בו מהי המעורבות הנדרשת מהוועדה להעברת מידע וממנהלי המאגר ב תהליכי העבודה מול הגוף הציבורי מוסר המידע והגוף מקבל המידע.
זאת בהתאם לאחריות המוטלת עליהם בחוק, בתקנות הגנת הפרטיות (העברת מידע ) ובהנחיית המשנה ליועץ המשפטי לממשלה, ועל מנת לממש בפועל את אחריות הוועדה לבקרה על התהליך ואת כפיפותם אליה של כל הגורמים הפועלים בנושא.
בתשובתו מיולי 2018 מסר משרד החקלאות כי במשרד נכתב נוהל חדש של עבודת הוועדה להעברת מידע, וכי כתיבתו ואישורו יסתיימו עד סוף שנת 2018 .
20 על טיפול הוועדה להעברת מידע במשרד החקלאות בבקשה לקבלת מידע ממרשם האוכלוסין וממשרד התחבורה ראו להלן בפרק "חשש לשימוש שלא כדין במידע ממאגרי מידע חיצוניים ביחידת הפיצו"ח".
משרד החקלאות ופיתוח הכפר | 2097 .
כמו כן, המשרד החל בהכנות לעבו ד עם מערכת מוע"ד 21 , שפיתחה רשות התקשוב הממשלתי.
מערכת זו נועדה לייעל את עבודת הוועדות להעברת מידע במשרדי הממשלה ולהכתיב נוהל עבודה סדור וזהה לכל משרדי הממשלה22 .
עוד השיב המשרד כי ייתכן שבסופו של דבר הוא יעבוד על פי נוהל רוחבי כלל ממשלתי, שנכתב ברשות התקשוב הממשלתי אך טרם הגיע לידי המשרד.
הגדרת תחומי סמכות ואחריות בתחום הגנת הפרטיות במשרדי הממשלה .
כאמור, החוק ותקנותיו קובעים כי האחריות לאבטחת המידע מוטלת על כל אחד מבעלי התפקידים - בעל המאגר, מנהלו והמחזיק בו.
גם חובה שהוטלה במפורש על מנהל מאגר המידע - לנקוט את האמצעים הדרושים לקיום התקנות ולאבטחת המידע במאגר המידע שהוא מופקד עליו - בוטלה עם כניסתן לתוקף של התקנות החדשות במאי 2018 .
תקנות אלו מטילות על בעל מאגר המידע את האחריות לביצוע הפעולות לאבטחת מידע המנויות בהן, אך בסיכומן הן קובעות כי חובות בעל המאגר חלות גם על מנהל המאגר, וככלל23 חלות גם על מחזיק המאגר, בשינויים המחויבים ולפי העניין.
מכל האמור לע יל עולה שבמשרד החקלאות, לא ניתנה במשך זמן רב תשומת לב ניהולית מספקת להיערכות הארגונית הנדרשת ליישום חוק הגנת הפרטיות במשרד: לא הוגדרו בעלי מאגרי מידע ומנהלי מאגרים, לא מונה ממונה על אבטחת מידע, והתגלו ליקויים בארגונה ובפעולתה של הוועדה המשרדית להעברת מידע.
משרד מבקר המדינה מסב את תשומת לבה של הרשות להגנת הפרטיות למצב דברים זה, שעלול להתקיים גם בגופים ציבוריים אחרים.
על הרשות להגנת הפרטיות לבחון את הדרך המיטבית להשגת המטרה שחובות בעלי התפקידים ימומשו, בין בהגברת האכיפה ובין על ידי בחינה אם יש מקום לשנות את ה מצב הקיים היום ולהסדיר בדין חלוקה של התפקידים, או בכל דרך אחרת שתיראה לה מתאימה.
בתשובת הרשות מיולי 2018 נאמר כיחוק הגנת הפרטיות מטיל "אחריות כוללת ביחד ולחוד" על בעל המאגר, המחזיק במאגר ומנהל המאגר.
עוד נטען בתשובה כי האמירה של החוק בהקשר זה היא מפורשת ומושכלת, מתוך כוונה ליצור אחריות כללית רחבה ולהימנע ממצב של "גלגול" האחריות זה על זה בין בעלי התפקידים השונים והתנ ערות ממנה.
לגרסת הרשות, ככל שיש צורך .
מערכת לניהול הוועדות להעברת מידע 22 בעניין זה ראו גם החלטת ממשלה1933 מיום 30.
16 ; "צעדים ראשונים בדרך ליישום מדיניות ask once ," מאגר הנחיות וידע של רשות התקשוב הממשלתי באינטרנט, 10.
il/he/node/3887 23 למעט החובות הכלולות בתקנות2 ו-15)(א.
לשנות את הרגולציה או להוסיף עליה יש להוביל שינוי חקיקה, ודבר זה אינו בסמכותה.
משרד מבקר המדינה מעיר כי גם אם האחריות היא כוללת לכל בעלי התפקידים, יש למצוא דרך להבטיח כי בפועל הפעולות יתבצעו והעבודה תתנהל כראוי.
נש"ם מסר ה בתשובתה מיולי 2018 כי עמדת משרד מבקר המדינה מקובלת עליה, וכי היא תשתף פעולה עם הרשות להגנת הפרטיות ותפעל בכלים העומדים לרשותה ובתוקף סמכויותיה על מנת לקדם את קביעת האחריות והסמכויות בין בעלי התפקידים שהוגדרו בחוק ובתקנותיו.
חשש לשימוש שלא כדין במידע ממאגרי מידע חיצוניים ביחידת הפיצו"ח .
יחידת הפיצו"ח נועדה לפעול לשמירת בריאות הציבור, החי והצומח ולחיזוק החקלאות במדינת ישראל .
היחידה התקשרה עם שני משרדי ממשלה בעלי מאגרי מידע על מנת לקבל מידע על חשודים בעבירות, במסגרת חקירת עבירות על חוקים שעל אכיפתם היא מ ופקדת.
המאגר האחד הוא מאגר המידע של רשות האוכלוסין, המכיל מידע על כל אזרחי המדינה, כתובותיהם, קשרי המשפחה שלהם, דתם, הלאום שאליו הם משתייכים ופרטים אישיים נוספים.
המאגר השני הוא של משרד התחבורה, ומכיל מידע על כלי רכב ובעליהם.
ליחידת הפיצו"ח חיבור מקוון למאגרים האלה לצורך אחזור מידע.
מלבד זאת, יחידת הפיצו"ח חוברה למערכת "רותם" (רישום ובקרת תנועות מעבר) של מינהל מעברי גבול ברשות האוכלוסין, שתפקידה לזהות ולרשום את העוברים במעברי הגבול של מדינת ישראל.
מערכת זו מאפשרת בין היתר לרשום צווי עיכוב יציאה מישראל וכניס ה אליה, והחיבור אליה מאפשר ליחידת הפיצו"ח להזין בה מידע המשמש לבקרה על המעבר במעברי הגבול.
קיים חשש כי ביחידת הפיצו"ח נעשה שימוש שלא כדין במאגרי המידע שהועמדו לרשותה בשנים 2014 - 2016 .
אגף החקירות בנש"ם החל בחקירת הנושא בשנת 2016 , והדברים עלו במכתב של מנהל האגף לחקירות משמעת בנש"ם למנכ"ל משרד החקלאות באוגוסט 2017 .
בעקבות החקירות הושעו שלושה מעובדי יחידת הפיצו"ח, ואגף התביעה בנש"ם הגיש נגדם כתבי תובענה לבית הדין למשמעת של עובדי המדינה.
על פי כתבי התובענה, הפיקו עובדי הפיצו"ח מאות שאילתות מידע ממאגרים אלו על עובדי המשרד ומנהליו, ידוענים, חוקרי נש"ם ועוד, וזאת לצרכים פרטיים.
משרד מבקר המדינה בדק את תהליכי האישור והבקרה של העברת המידע מהמאגרים האלו ליחידת הפיצו"ח לאור הוראות חוק הגנת הפרטיות ותקנותיו.
להלן הפרטים: משרד החקלאות ופיתוח הכפר | 2099 .
טיפול הוועדה להעברת מידע במשרד החקלאות בבקשה לקבלת מידע ממרשם האוכלוסין .
אי-מתן אישור הוועדה לבקשה להעברת מידע: ביולי 2013 הגישה יחידת הפיצו"ח לרשות האוכלוסין וההגירה טופס א' - בקשה לקבלת מידע מאת גוף ציבורי לשנים 2013 - 201824.
משרד מבקר המדינה פנה לוועדה להעברת מידע במשרד החקלאות וביקש לקבל את פרוטוקול הדיון שערכה לפני הגשת הבקשה.
התברר כי לא נערך דיון כזה, והגשת הבקשה לא אושרה על ידי הוועדה כמתחייב.
עולה שהבקשה הוגשה על ידי יחידת הפיצו"ח לרשות האוכלוסין ב-2013 מבלי שנדו נה ואושרה בוועדה להעברת מידע, כמתחייב מתקנות הגנת הפרטיות ומהנחיית המשנה ליועץ המשפטי לממשלה.
בתשובתו מיולי 2018 מסר משרד החקלאות כי הוא מקבל את הביקורת וכי המשרד מתכנן לעבוד באמצעות מערכת מוע"ד, שתאפשר עבודה מסודרת בהתאם לדין ותמנע אפשרות של סטייה מההנחיות.
חתימת ממונה אבטחת מידע על טופס א': אחד מתפקידיו של הממונה על אבטחת המידע על פי תקנות הגנת הפרטיות (העברת מידע) הוא לאשר, נוסף על אישור ה יועץ המשפטי של הגוף הציבורי ומנהל המאגר , את הבקש ה וההסכמה להעברת המידע שמעבירים הגוף הציבורי המקבל והגוף הציבורי המוסר על גבי טופס א' וטופס ב', בהתאמה .
הנחיית המשנה ליועץ המשפטי לממשלה מדגישה, כי אישור הוועדה להעברת מידע יינתן רק לאחר בחינה מדוקדקת של המורשים לאשר בקשות להעברת מידע (מנהל המאגר, הממונה על אבטחת המידע והיועץ המשפטי).
עוד נאמר בהנחיה כי אישור זה יהווה מדרג נוסף בטרם תתאפשר העברת מידע בין גופים ציבוריים.
בטופס א' קודם שהגיש משרד החקלאות לרשות האוכלוסין, שעניינו בקשה לקבלת מידע לשנים 2009 - 2014 (להלן- הבקשה מרשות האוכלוסין משנת 2009 ,), חתם כממונה על אבטחת המאגר איש המודיעין של יחידת הפיצו"ח שהוא גם איש הקשר עם רשות האוכלוסין ואחד המשתמשים במידע.
עולה שהוועדה להעברת מידע במשרד החקלאות אישרה את הגשתה של הבקשה לרשות האוכלוסין משנת 2009 , שעליה חתם אחד המשתמשים כממונה אבטחת מידע, אף שלא מונה לתפקיד על ידי גורם במשרד.
בכך איפשרה הוועדה מצב שבו אחד המשתמשים במידע הוא גורם מרכזי בבקרה, מצב שפותח פתח לבעיות בתהליך הבקרה ואינו עולה בקנה אחד עם כללי מינהל תקין והפרדת סמכויות.
בעניין זה יוער כי התקנות החדשות דורשות כי הממונה על אבטחת המידע לא ימלא ת פקיד נוסף שעלול להעמידו בחשש לניגוד עניינים במילוי תפקידו לפי תקנות אלה.
24 על פי החוק, האישור לקבלתמידע תקף לחמש שנים.