דוחות נוספים . טיפול משרד החקלאות בהגנת הפרטיות ובאבטחת מידע משרד מבקר המדינה מעיר לרשות האוכלוסין כי עליה לפעול לכך שנושא רגיש כגון הזנת מידע התומך בתהליכים של עיכוב יציאה מהארץ או כניסה אליה, וכרוכה בו העברת מידע בין גופים ציבוריים, יעוגן בנהליה בהתאם לכלל הוראות הדין, ובפרט אלה הנוגעות להגנת הפרטיות. הביקורת העלתה כי עבודת המטה שהחלה בנושא לעדכון רשימת המאגרים טרם הסתיימה, (בעניין זה ראו לעיל בפרק "אי -השלמת מיפוי, בחינה והגדרה של מאגרי מידע"). . משרד מבקר המדינה מעיר למשרד החקלאות כי עליו לפעול להכנת מסמך הגדרות מאגר לגבי המאגר הנוסף ויש לרושמו בפנקס מאגרי המידע, כנדרש בחוק הגנת הפרטיות, על מנת לאפשר את הבקרה על רמת אבטחת המידע בו. יצוין כי פרסומו של מידע כזה עקב אבטחה לקויה עשוי לפגוע בפרטיותם של האנשים הנזכרים בו ובשמם הטוב. .במאגרים שנרשמו על ידי המשרד בפנקס מאגרי המידע רשומים שלושה בעלים: משרד החקלאות / המשרד הראשי; משרד החקלאות / הרשות לתכנון ופיתוח; משרד החקלאות / מכון וולקני. מהמסמכים עולה שהרשות לתכנון ופיתוח במשרד רשומה כבעל המאגר של פיצו"ח מודיעין וכבעלים של מאגר כתבי אישור של מינהלת ההשקעות, אף על פי שנושאים אלו אינם מצויים בתחומה. משרד מבקר המדינה מעיר למשרד החקלאות כי עליו לבחון שו ב את הגדרת הבעלים של המאגרים. עולה שמשרד החקלאות לא הגדיר מי ישמשו כמנהלים למאגרי המידע שכבר רשם. אי -הגדרת מנהלי מאגרי מידע הביאה לידי כך שבבקשות שונות לקבלת מידע חתם כמנהל מאגר מידע בעל תפקיד אחר מבלי שהוגדר כמנהל ובלי שנשא באחריות לתפקידי המנהל. לדוגמה, מנהל השירות למערכות מידע (השל"מ) חתם כמנהל מאגר מידע על בקשה מספטמבר 2017 של המרכז לסחר חוץ במשרד לקבל מידע על נתוני יבוא מאגף המכס ברשות המיסים. זאת אף שהוא לא נקבע כמנהל המאגר18. משרד מבקר המדינה מעיר למנכ"ל משרד החקלאות כי עליו להגדיר למאגרים הרשומים מנהלים. במשך כשמונה שנים , מאז פרש לגמלאות הממונה הקודם על אבטחת המידע, לא מינה המשרד ממונה על אבטחת מידע כנדרש על פי חוק הגנת הפרטיות, ואף שהצורך למנות ממונה על אבטחת מידע הועלה על ידי גורמים שונים במשרד בהזדמנויות שונות. רק באוגוסט 2017 מינה המנכ"ל עובד בלשכתו לתפקיד ממונה אבטחת מידע. משרד מבקר המדינה מעיר לרשות להגנת הפרטיות כי ראוי היה שהרשות כמאסדר, בשיתוף עם נש"ם תקבע הנחיות בעניין ההכשרה הנדרשת לממונה על אבטחת מידע במשרדי הממשלה ובגופים הציבוריים האחרים , שבמסגרתה יילקחו בחשבון תפקידי הממונה שנקבעו בתקנות החדשות. עולה אפוא שמאגר נוסף , המשמש לפעילותה השוטפת של יחידת הפיצו"ח, לא הוגדר במסגרת מסמך הגדרות מאגר כנדרש לפי התקנות החדשות, וגם לא נרשם אצל רשם מאגרי המי דע. משרד מבקר המדינה מעיר לרשות להגנת הפרטיות כי מבלי להתייחס לתוכני ההכשרה, עצם הדרישה להכשרה מתאימה מתחייבת מלשון החוק. ככל שהרשות תמצא כי הגיוון בגודל ובהיקף של הגופים השונים במשק המחזיקים במאגרי מידע מונע ממנה לנסח קריטריונים כלל סקטוריאליים להכשרה, עליה לוודא כי יפורסמו קריטריונים ספציפיים למשרדי הממשלה. משרד מבקר המדינה מעיר למשרד החקלאות כי בהיעדר הנחיות של הרשות בנושא, עליו לקבוע מהי ההכשרה הנדרשת מממונה אבטחת המידע כנגזרת מדרישות תפקידו ולוודא כי העובד הממלא את התפקיד יוכשר בהתאם. עולה שהוועדה פעלה כשנה ורבע מבלי שהמשרד האריך את תוקף המינוי של חבריה. משרד מבקר המדינה מעיר למשרד החקלאות כי היה עליו להאריך את תוקף המינוי או למנות חברים חדשים לוועדה . סקר הסיכונים של יה" ב החל באמצע שנת 2017 , וטיוטה שלו הוגשה למשרד בנובמבר 2017 . .עוד מעיר משרד מבקר המדינה כי על משרד המשפטים לבחון אם יש להוסיף לתזכיר התיקון לתקנות הגנת הפרטיות הנזכר לעיל או לעגן באופן אחר קביעה בדבר האורגן או הדרג בגוף הציבורי שיחליט בדבר הפסקת העברת המידע, או יאשרר את ההחלטה אם יש צורך בהחלטה מיידית כשנעשה בו שימוש שלא כדין. משרד מבקר המדינה מעיר למנהל יחידת הפיצו"ח, כי אף שהיה חשש ניכר לעיכוב לא מוצדק במעברי הגבול וממילא לפגיעה בזכויות הפרט החושפת את משרד החקלאות לתביעות, במשך שלושת החודשים שבהם לא היתה התקדמות של ממש בביטול הצווים שהוזנו למערכת "רותם", הוא לא פעל בצורה נחרצת מול הנהלת רשות האוכלוסין בעניין זה. הוא גם לא עירב את הנהלת המשרד בנושא בעוד מועד. לא נמצא כי הוועדה להעברת מ ידע במשרד החקלאות, שהיא כאמור הגורם שבודק ומאשר את בקשת המשרד לקבל מידע מגוף ציבורי אחר, דנה בשנת 2013 בבקשת יחידת הפיצו"ח לקבל מידע על כלי רכב ממשרד התחבורה . המועד האחרון שבו התקיים דיון בוועדה על קבלת מידע ממשרד התחבורה היה בנובמבר 2011 . משרד מבקר המדינה מעיר ליחידת הפיצו"ח כי עליה להקפיד שכל בקשה לקבלת מידע תו גש לאישור הוועדה להעברת מידע במשרד , כנדרש בהוראות הדין. עולה שאף על פי שההמלצות לפעולה בעקבות סקר הסיכונים הובאו לידיעת המשרד בנובמבר 2017 , הן נדונו אצל המנכ"ל רק במרץ 2018 . זאת ועוד, טרם גובשה תוכנית עבודה, לא נקבע תקציב מוסכם לנושא הסייבר ולא הובהר אילו מהמלצות סקר הסיכונים לביצוע בשנת 2018 יתוקצבו ויבוצעו בשנה זו. גם טרם הוקצה תקציב להשלמת סקר הסיכונים. משרד מבקר המדינה מעיר כי בנוסף לאישורים העקרוניים , השלמת סקר הסיכונים וביצוע ההמלצות של הסקר החלקי לשנים 2018 ו- 201938 צריכים להיות מעוגנים בתוכניות העבודה של המשרד והגופים הרלוונטיים בו וכן בתקציב המשרד, כדי להבטיח כי הדברים יבוצעו. משרד מבקר המדינה מעיר למשרד התחבורה כי ביצוע הבקרה בפועל הוא אכן באחריות מגיש הבקשה, שכן הוא יכול לדעת איזה מידע מועבר לצורכי מילוי תפקידו של המשרד המבקש ואיזה לא. עם זאת, הבקרה על מידע שמשרד התחבורה הוא הבעלים שלו היא גם מעניינו ולא בכדי קבע המחוקק כי נוהל ההתקשרות להעברת מידע בין מערכות המוסרות ומקבלות דרך קבע ייערך על ידי מנהלי המאגר של שתי המערכות, המוסרת והמקבלת, ובו ייושמו עקרונות האבטחה ובקרת הגישה 30. על משרד התחבורה לסייע למשרד המבקש בהנגשת כלי הבקרה, כדוגמת יומן האירועים שהתבצעו במערכת משרד התחבורה (log,) הכולל זיהוי של מבצע הפעולה. נמצא כי בטופס הבקשה לקבלת מידע ממשרד התחבורה מ -2013 לא פורט, אף כי נדרש היה לפרט, אילו אמצעי בקרה וניטור על הכניסות של מורשי הגישה למאגר ישמשו את מקבלי המידע. משרד מבקר המדינה מעיר למשרד החקלאות כי עליו להקדים ולקבוע את רמת האבטחה במאגריו, וככל שיש לו מאגרים שעליהם חלה רמת אבטחה גבוהה, יהיה צורך להיערך לקיים בהם מבדקי חדירה. מכל האמור לעיל עולה כי המשרד לא נערך בצורה מספקת ליישום התקנות החדשות. לא נמצא כי הייתה התארגנות ברמת הנהלת המשרד להגדרת כל המאגרים הרלוונטיים במשרד, לקביעת רמת האבטחה בהם וכן לקביעת יעדי היערכות ולוחות הזמנים ליישומם. אלו צעדים ראשוניים, שאמורים לשמש נדבך בסיסי לתוכנית עבודה שבה מיושמים אמצעי אבטחת מידע הנדרשים על פי תקנות הגנת הפרטיות (אבטחת מידע). משרד מבקר המדינה מעיר למשרד החקלאות על שלא עשה את הצעדים הראשוניים ההכרחיים לתחילת יישומן של התקנות החדשות. תוצאתו של דבר, שאף על פי שהתקנות החדשות נכנסו לתוקף, משרד החקלאות, שהוא הבעלים של מאגרי מידע רבים וחלקם רגישים, אינו ערוך ליישומן. עולה שעד מועד סיום הביקורת במרץ 2018 לא עלה בידי משרד החקלאות לסכם נוהל קבוע ולחדש את קבלת המידע ממשרד התחבורה הנדרש לפעולות האכיפה והחקירה של יחידת הפיצו"ח. זאת ועוד, במשך כשישה חודשים, מאוגוסט 2017 עד ינ ואר 2018 , לא יישם משרד החקלאות את הנחיית מנכ"ל המשרד שעניינה נוהל זמני המאפשר ליחידת הפיצו"ח להמשיך ולקבל את המידע הנחוץ לצורך מילוי תפקידיה. כתוצאה מכך נפגעה עבודת יחידת הפיצו"ח בכל הקשור לזיהוי בעלי כלי רכב שרכביהם אותרו כמעורבים בעבירות שהן בתחום הטיפול של היחידה. משרד מבקר המדינה מעיר למשרד החקלאות כי התמשכות הטיפול בנושא חידוש קבלת המידע ממשרד התחבורה אינה עולה בקנה אחד עם צורכי המידע הנדרשים ליחידת הפיצו"ח לצורך מילוי תפקידה על פי דין. על משרד החקלאות לסכם את שיטת קבלת המידע ממשרד התחבורה והשימוש בו באופן שיאזן בין צורכי המידע של יחידת הפיצו"ח לבין הצורך לערוך בקרה על הגישה לאחד ממאגרי המידע הגדולים בישראל, המכילים מידע המוגן לפי חוק הגנת הפרטיות. זאת ועוד, על הנהלת משרד ה חקלאות לערב בהכנת הנוהל את הוועדה להעברת מידע, האחראית על פי תקנות הגנת הפרטיות (העברת מידע) לאישור העברת מידע בין גופים ציבוריים ולבקרה עליו. .משרד מבקר המדינה מעיר למשרד החקלאות כי עליו לבחון את תהליך אישור העברת המידע בין גופים ציבוריים ובין המשרד, ולוודא כי כל מנגנוני הבדיקה והבקרה הנדרשים על פי דין קיימים, כי ממלאי התפקידים הרלוונטיים מודעים לתפקידם ולאחריותם, וכי התהליך מתנהל בהתאם להוראות הדין והנחיות היועמ"ש. לא נמצאו כתבי המינוי לתפקידים אלה של החותמים על טופסי הבקשה לקבלת מידע מהשנים 2008 ו-2013 . עולה שלכאורה החותמים על טופסי הבקשה לקבלת מידע לא מונו לתפקידים שבשמם חתמו. לא זו בלבד, אחד מן החותמים כממונה על אבטחת המאגר היה גם מורשה הגישה היחיד למאגר. בכך איפשרה הוועדה מצב שבו גורם הבקרה הוא בו -זמנית אחד המשתמשים במידע, מצב שאינו עולה בקנה אחד עם כללי מינהל תקין והפרדת סמכויות ועלול לפגוע בבקרה. משרד מבקר המדינה מעיר למשרד החקלאות כי על בקשה לקבלת מידע אמורים לחתום בעלי תפקידים שמונו כדין לתפקידם. קיימת חובה למנות מנהל לכל מאגר, בין היתר כיוון שמוטלות עליו חובות ספציפיות בתהליך העברת המידע בין גופים ציבוריים. על משרד החקלאות למנות מנהלים לכל מאגרי המידע שברשותו כנדרש על פי דין. משרד מבקר המדינה מעיר לרשות האוכלוסין כי מן הראוי היה שההחלטה להפסיק את השימוש של יחידת הפיצו"ח במערכת "רותם" הייתה מתקבלת על ידי הוועדה להעברת מידע של רשות האוכלוסין וההגירה, ולא על ידי מינהל מעברי גבול. זאת היות שתפקידה של הוועדה על פי תקנות הגנת הפרטיות (העברת מידע) הוא לדון ולאשר העברת מידע ונוכח הנחיית המשנה ליועץ המשפטי לממשלה המטילה על הוועדה את האחריות לפקח על התנהלות הגוף בו היא פועלת בכל הנוגע להעברת מידע המצוי בידי הגוף הציבורי. הגורם שרשאי לאשר אמור להיות גם הגורם שיורה על הפסקת העברת המידע, או במקרים מיוחדים בהם ניתנה החלטה דחופה להפסיק העברת מידע על ידי גורם אחר, הוועדה להעברת מידע תהיה זו שתאשרר אותה. .משרד מבקר המדינה מעיר למשרד החקלאות כי עליו לעגן את הפעילויות הנעשות בתחומים אלו בתוכניות עבודה ולפעול ליישומן, כדי לשפר את המצב בתחומים אלה. משרד מבקר המדינה מעיר למשרד החקלאות כי נוהל האבטחה שצורף לתשובת המשרד הוא ברמת הרשת המשרדית כולה, ואינו בגדר תחליף לנוהל אבטחה ספציפי לכל מאגר מידע במשרד, כנדרש בתקנות הגנת הפרטיות (אבטחת מידע ). נוהל כזה צריך לכלול מרכיבים נוספים על אלו שכולל הנוהל המצורף, ובכלל זה הסיכונים שחשוף להם המידע במאגר, אמצעי אבטחה פיזית וסביבתית ורכיבים נוספים בהתאם לרמת האבטחה החלה על המאגר. . מכל האמור לעיל עולה כי תהליכי אישור העברת מידע במשרד החקלאות נעשו בניגוד לתקנות הגנת הפרטיות (העברת מידע) ולהנחיית המשנה ליועץ המשפטי לממשלה, שהרחיבה והבהירה אותן. זאת ועוד, היעדרה של ההיערכות הארגונית הנדרשת במשרד על פי חוק הגנת הפרטיות, ובכלל זה אי-מינוי מנהלי מאגרים וממונה אבטחת מידע, לא איפשר לקיים את תהליכי העברת המידע כנדרש בתקנות. הוועדה להעברת מידע לא מילאה את תפקידה כגורם בקרה, ולא דרשה לשלב בתהליך אמצעי מעקב אחר השימוש במידע על ידי מורשי הגישה למידע, כנדרש על פי טופס הבקשה וכמפורט בהנחיית המשנה ליועץ המשפטי לממשלה. יצוין כי המציאות הוכיחה שהיעדר בקרה על מורשי הגישה אינה פרצת אבטחה תיאורטית בלבד. שכן, חוסר הערנות ואי-המודעות לנושא זה איפשרו מצב שבו עובדים מיחידת הפיצו"ח עשו לכאורה שימוש שלא כדין במידע, שבגינו הם הושעו והוגשה נגדם תובענה לבית הדין למשמעת של נש"ם. עולה אפוא שהוועדה להעברת מידע במשרד החקלאותסיימה למעשה את מעורבותה בהליכי קבלת המידע מהגופים הציבוריים כבר בשלב של מתן האישור לקבלת המידע , ולא הייתה מעורבת בשלבים הבאים של תהליך קבלת המידע והשימוש שנעשה בו במשרד בפועל. בכך התעלמה הוועדה מאחריותה להיות גורם הבקרה המרכזי כפי שנקבע בהנחיית המשנה ליועץ המשפטי לממשלה. משרד מבקר המדינה מעיר למשרד החקלאות, כי עליו לתקן את הנוהל ולקבוע בו מהי המעורבות הנדרשת מהוועדה להעברת מידע וממנהלי המאגר ב תהליכי העבודה מול הגוף הציבורי מוסר המידע והגוף מקבל המידע. זאת בהתאם לאחריות המוטלת עליהם בחוק, בתקנות הגנת הפרטיות (העברת מידע ) ובהנחיית המשנה ליועץ המשפטי לממשלה, ועל מנת לממש בפועל את אחריות הוועדה לבקרה על התהליך ואת כפיפותם אליה של כל הגורמים הפועלים בנושא. מכל האמור לע יל עולה שבמשרד החקלאות, לא ניתנה במשך זמן רב תשומת לב ניהולית מספקת להיערכות הארגונית הנדרשת ליישום חוק הגנת הפרטיות במשרד: לא הוגדרו בעלי מאגרי מידע ומנהלי מאגרים, לא מונה ממונה על אבטחת מידע, והתגלו ליקויים בארגונה ובפעולתה של הוועדה המשרדית להעברת מידע. משרד מבקר המדינה מסב את תשומת לבה של הרשות להגנת הפרטיות למצב דברים זה, שעלול להתקיים גם בגופים ציבוריים אחרים. על הרשות להגנת הפרטיות לבחון את הדרך המיטבית להשגת המטרה שחובות בעלי התפקידים ימומשו, בין בהגברת האכיפה ובין על ידי בחינה אם יש מקום לשנות את ה מצב הקיים היום ולהסדיר בדין חלוקה של התפקידים, או בכל דרך אחרת שתיראה לה מתאימה. .משרד מבקר המדינה מעיר לוועדה להעברת מידע כי בבקשה מרשות האוכלוסין משנת 2009 היה על הוועדה לוודא, שאין החותם כממונה על אבטחת מידע ממלא תפקיד שאינו עולה בקנה אחד עם תפקידו זה, ובכלל זאת מי שיעשה שימוש במידע שאותו מבקשים. משרד מבקר המדינה מעיר כי גם אם האחריות היא כוללת לכל בעלי התפקידים, יש למצוא דרך להבטיח כי בפועל הפעולות יתבצעו והעבודה תתנהל כראוי. עולה שהבקשה הוגשה על ידי יחידת הפיצו"ח לרשות האוכלוסין ב-2013 מבלי שנדו נה ואושרה בוועדה להעברת מידע, כמתחייב מתקנות הגנת הפרטיות ומהנחיית המשנה ליועץ המשפטי לממשלה. עולה שהוועדה להעברת מידע במשרד החקלאות אישרה את הגשתה של הבקשה לרשות האוכלוסין משנת 2009 , שעליה חתם אחד המשתמשים כממונה אבטחת מידע, אף שלא מונה לתפקיד על ידי גורם במשרד. בכך איפשרה הוועדה מצב שבו אחד המשתמשים במידע הוא גורם מרכזי בבקרה, מצב שפותח פתח לבעיות בתהליך הבקרה ואינו עולה בקנה אחד עם כללי מינהל תקין והפרדת סמכויות. בעניין זה יוער כי התקנות החדשות דורשות כי הממונה על אבטחת המידע לא ימלא ת פקיד נוסף שעלול להעמידו בחשש לניגוד עניינים במילוי תפקידו לפי תקנות אלה. מהאמור לעיל עולה כי הן בעלי התפקידים (מנהל המאגר והממונה על אבטחת המידע) שחתמו על טופס א' והן הוועדה להעברת המידע במשרד החקלאות, שאמורה לבקר ולשקול את עניין קבלת המידע על כל היבטיו, לא הקפידו לוודא כי נערכת בקרה נאותה אחר השימוש שנעשה במאגר, ובפרט לגבי כניסות מורשי הגישה למרשם האוכלוסין והמידע שדלו מתוכו. משרד מבקר המדינה מעיר למשרד החקלאות כי היעדר בקרה על השימוש שעושים מורשי הגישה במאגר מרשם האוכלוסין, המכיל מידע רגיש על כל תושבי המדינה, מהווה פרצה באבטחת המידע. פרצה זו אכן איפשרה לעובדים לעיין במידע בניגוד להוראות הדין. משרד מבקר המדינה מעיר למשרד החקלאות כי מן הראוי שנוהל של ועדה להעברת מידע, שבראשה אמור לעמוד מנכ"ל המשרד או בעל תפקיד הכפוף לו, יאושר על ידי המנכ"ל או לכל הפחות יידון בוועדה ויאושר על ידה. התנהלות זו תרמה לכך שהנוהל לקה בחסר והדבר השפיע על עבודת הוועדה כמפורט להלן. על פי נוהל עבודת הוועדה, תהליך אישור העברת המידע מסתיים במתן האישור של הוועדה למסירת מידע לגורמים המבקשים מידע מהמשרד או באישורה של הוועדה לגורם מגורמי המשרד לקבל מידע מגוף ציבורי אחר. הנוהל אינו עוסק בהמשך התהליך ובכלל זה: הגשת הבקשה (טופס א') לאישור הוועדה להעברת מידע בגוף הציבורי המוסר את המידע, קבלת התייחסותה והטיפול בה; מעקב ופיקוח על קבלת מידע ובכלל זה על התקנתם והפעלתם של אמצעי הבקרה והניטור אצל מקבל המידע אחר המורשים להשתמש במידע. משרד מבקר המדינה מעיר למשרד החקלאות כי בראש ובראשונה עליו להקפיד על מילוי הוראות הדין והיועץ המשפטי לממשלה בכל הקשור ליישום חוק הגנת הפרטיות במשרד. עוד יוער, כי על המשרד להקפיד על מעורבותה של הוועדה להעברת מידע, שעל פי הנחיית המשנה ליועץ המשפטי לממשלה, ממונה אבטחת המידע ומנהל המאגר כפופים אליה בתחום העברת המידע בין גופים ציבוריים. עולה שבמשך כשבע שנים העבירה רשות האוכלוסין מידע ממערכת "רותם" ליחידת הפיצו"ח ללא אישור הוועדה להעברת מידע ברשות. משרד מבקר המדינה מעיר לרשות האוכלוסין כי בטרם אישרה את בקשתה של יחידת הפיצו"ח להתחבר למערכת "רותם" היה עליה לפעול לפי נוהלי ביצוע העברת מידע בין גופים ציבוריים, כנדרש בחוק הגנת הפרטיות ובתקנותיו, ולאשר את העברת המידע על ידי הוועדה להעברת מידע ברשות. משרד מבקר המדינה מעיר כי בהצהרה כזאת של יחידת הפיצו"ח אין כדי לפטור את ר שות האוכלוסין מלפעול על פי תקנות הגנת הפרטיות (העברת מידע). הבקשה לקבלת מידע מאת גוף ציבורי על פי תקנות אלו חייבת להיות ספציפית הן מבחינת השימוש שנעשה במידע והסמכות של הגוף המבקש לקבלו, הן מבחינת מורשי הגישה והן מבחינת אמצעי האבטחה. בעניין הנדון, מטרת השימ וש במערכת "רותם" הייתה הזנת עיכובי יציאה מהארץ, ואילו בקשת יחידת הפיצו"ח להתחבר למערכות מרשם האוכלוסין נעשתה לצורך אחזור מידע. לפיכך היה על רשות האוכלוסין, לפני שאיפשרה את הגישה למערכת "רותם", להקפיד שיחידת הפיצו"ח תגיש בקשה להתחבר אליה על פי הכללים שנקבעו בתקנות הגנת הפרטיות (העברת מידע). .חוק הגנת הפרטיות ותקנותיו כּוננו לפני יותר משלושה עשורים, בין היתר, כדי להגן על המידע הרגיש האגור במאגרים ולמנוע את חשיפתו לשימוש שלא על פי דין. הביקורת העלתה כי על אף הזמן הרב שעבר, היערכות משרד החקלאות ליישום החוק לא נעשתה בצורה מספקת : לא זוהו, הוגדרו ונרשמו כל מאגרי המידע הטעונים הגנה על פי חוק הגנת הפרטיות; לא מונו בעלי תפקידים כנדרש לפי החוק ותקנותיו; תהליכי האישור והבקרה על העברת מידע בין המשרד לבין גופים ציבוריים אחרים מבוצעים באופן חלקי ולוקים בתהליך הבקרה. ליקויים אלה בהיערכות המשרד הם הרקע לחשש שהועלה כי ביחידת הפיצו"ח נעשה בשנים 2014 - 2016 שימוש שלא כדין במאגרי מידע שהועמדו לרשותה. בעקבות חקירה שנפתחה על ידי אגף החקירות בנש"ם הושעו שלושה עובדים ביחידה והוגשו נגדם כתבי תובענה לבית הדין למשמעת של עובדי המדינה. במאי 2018 ,)נכנסו לתוקף תקנות הגנת הפרטיות (אבטחת מידע התשע"ז-2017 , הכוללות הוראות מפורטות ליישום אבטחת מידע במאגרי מידע. ואולם, המשרד לא נערך ליישום התקנות כיאות ובשל כך לא יישם אותן באופן מספק, אף שנקבעה תקופת היערכות של שנה עד כניסתן של התקנות לתוקף כדי לאפשר לגופים במשק ליישמן. על מנכ"ל המשרד לפעול ליישום חוק הגנת הפרטיות ותק נותיו בהקדם האפשרי. במסגרת זו, עליו להפוך את הטיפול בהגנת הפרטיות לשגרה מחייבת במסגרת פעילות המשרד בכלל והפעילות להגנת הסייבר ונכסי המידע של המשרד בפרט. התנהלות משרד החקלאות המתוארת בדוח, שגרמה לכך שההיערכות הארגונית ליישום החוק במשרד הייתה חלקית, עלולה להיווצר גם בגופים ציבוריים אחרים. על הרשות להגנת הפרטיות לתת את דעתה לנושא ולבחון אם יש צורך בשינויים בתחום, ובכלל זה הגדרה ברורה יותר של תכולת כל אחד מהתפקידים המוגדרים בחוק ה גנת הפרטיות ובתקנותיו והגברת האכיפה בתחום. עולה כי אף שהצורך בהעסקת עובד מקצועי בתחום הגנת הסייבר ביחידה לשירותי מידע הוכר עוד בשנת 2015 , והמשרד פעל מאז כדי לאתר עובד מתאים לאיוש התפקיד. במועד סיום הביקורת, מרץ 2018 , אין למשרד החקלאות מנהל הגנת סייבר. . משרד מבקר המדינה מעיר למשרד החקלאות כי עליו לקבוע את רמת האבטחה של מאגריו כאמור לעיל, בטרם ישלים את סק ר הסיכונים שנערך לפי הנחיות יה"ב ומערך הסייבר הלאומי. בכך יבטיח כי ככל שיש למשרד מאגרי מידע הטעונים אבטחה ברמה גבוהה כאמור בתקנות החדשות, הם ישולבו במסגרת השלמת סקר הסיכונים. את סקר הסיכונים, לכשיושלם, יוכל המשרד להציג בפני רשם מאגרי המידע, שעשוי להכיר בסק ר כעומד בהנחיות הרשות המוסמכת, קרי יה"ב ומערך הסייבר הלאומי, ובאורח זה יוכל לפטור את המשרד מעריכת סקר סיכונים נוסף בהתאם לתקנות החדשות ובכך לחסוך במשאבים. .מהמסמכים עולה כי הוועדה להעברת מידע של משרד התחבורה אישרה באוקטובר 2013 את מסירתהנתונים למשרד החקלאות לתקופה 2013 - 2018 , אף על פי שבטופס הבקשה מ -2013 לא צוינו אמצעי הבקרה והניטור על כניסות מורשי הגישה למאגר. עוד עולה כי גם בטופס הבקשה מאוקטובר 2008 ,לתקופה הקודמת2008 - 2013 , לא צוינו אמצעי המעקב אחר כניסות מורשי הגישה למאגר. למרות זאת אושרה מסירת המידע על ידי הוועדה להעברת מידע של משרד התחבורה בישיבתה בנובמבר 2008. משרד מבקר המדינה מעיר למשרד התחבורה כי מן הראוי היה שההחלטה להפסיק את השימוש של יחידת הפיצו"ח במאגר כלי הרכב של משרד התחבורה הייתה מתקבלת על ידי הוועדה להעברת מידע של המשרד. זאת היות ותפקידה של הוועדה על פי תקנות הגנת הפרטי ות (העברת מידע) הוא לדון ולאשר העברת מידע ונוכח הנחיית המשנה ליועץ המשפטי לממשלה המטילה על הוועדה את האחריות לפקח על התנהלות הגוף בו היא פועלת בכל הנוגע להעברת מידע המצוי בידי הגוף הציבורי. הגורם שרשאי לאשר אמור להיות גם הגורם שיורה על הפסקת העברת המידע, או במקרים מיוחדים בהם ניתנה החלטה דחופה להפסיק העברת מידע על ידי גורם אחר, הוועדה להעברת מידע תהיה זו שתאשרר אותה. עוד מעיר משרד מבקר המדינה כי ככל שמדובר בנושאים שקיים עליהם חיסיון, מן הראוי שהוועדה להעברת מידע במשרד תנהל פרוטוקולים חסויים שבהם יתועדו הדברים, דבר שלא נעשה במקרה זה. .משרד מבקר המדינה מעיר למשרד החקלאות כי על פי התבחינים שנקבעו בתקנות החדשות ובנספחיהן, רמת אבטחת המאגר נגזרת מהתכנים הקיימים במאגר לגבי הפרט, ממספר הרשומות וממספר המשתמשים במאגר. לפיכך, סקר הסיכונים שנעשה על פי תורת ההגנה הלאומית בסייבר אינו בא במקום קביעת רמת האבטחה הנדרשת על פי תקנות הגנת הפרטיות. עוד מעיר משרד מבקר המדינה למשרד החקלאות כי הגדרת המאגרים, הכנת מסמך הגדרות מאגר וקביעת רמת האבטחה של המאגרים שברשותו הם צעדים בסיסיים, המשפיעים על כל הפעילות שיערוך המשרד לצורך יישום התקנ ות החדשות. ראוי היה שבמועד סיום הביקורת במרץ 2018 , חודשיים לפני כניסתן של התקנות החדשות לתוקף, יסיים המשרד לבצע את השלבים האלה, שכן לכך נועדה שנת ההכנה. עולה כי עד מועד סיום הביקורת לא השלים משרד החקלאות את פעולות המיפוי וההגדרה של מאגרי המידע שברשותו, ולא הכין מסמך בכתב הכולל את תוצאות הבחינה של תוכני המאגרים שברשותו אל מול הקריטריונים המחייבים את רישומם בפנקס מאגרי המידע. ממילא הוא גם לא החל להכין עבור כל אחד מהמאגרים את מסמך הגדרות המאגר, כנדרש בתקנות הגנת הפרטיות (אבטחת מידע) . מתברר אפוא שמשרד החקלאות לא ערך עבודת מטה סדורה, שתאפשר למפות ולזהות את המאגרים שלפי החוק יש להגדירם כמאגרי מידע.
.משרד מבקר המדינה מעיר למשרד החקלאות כי עליו להשלים את מיפוי מאגרי המידע שלו, לזהות את המאגרים הטעונים הגדרה ואבטחה על פי החוק ותקנותיו ולהכין מתווה ל הגדרת המאגרים ולרישומם בהתאם לחוק ולתקנות הקיימות. זאת לאחר שבמגעיו עם הרשות להגנת הפרטיות יינתנו לו תשובות לשאלות בקשר למתווה המוצע.