מטלות רוחב ומטלות בין-משרדיות . היבטים בהגנה על הפרטיות במאגרי מידע בביקורת נמצא כי על אף האמור בחוזר אבטחת מידע, מכלל כ - 1,500 מוסדות רפואיים117 הטעונים רישיון כ-150 בלבד קיבלו הסמכה לתקן118 (בעיקר בתי חולים וקופות חולים). שאר המוסדותהטעונים רישיון, ובהם בתי חולים גריאטריים, מרכזים למשתמשים בסמים ומרפאות שיניים, לא קיבלו הסמכה לתקן ומשרד הבריאות אינו אוכף עליהם חובה זאת. עוד העלתה הביקורת כי גם מרפאות רבות אחרות, שחוזר אבטחת מידע חל עליהן על אף שאינן טעונות רישיון ממשרד הבריאות, לא קיבלו הסמכה לתקן ומשרד הבריאות אינו אוכף עליהן חובה זאת. במועד סיום הביקורת המשרד אף אינו מחזיק ברשימת המוסדות המוסמכים לתקן - מוסדות טעוני רישיון ושאינם טעוני רישיון. משרד מבקר המדינה מעיר למשרד הבריאות , כי עליו למפות את המוסדות הטעונים רישיון שאינם מחזיקים ב הסמכה ל תקן ול הניעם להשגת ההסמכה הנדרשת. בהמשך עליו לבחון דרכים להניע גם מרפאות שאינן טעונות רישיון לעמוד בהוראות חוזר אבטחת מידע, לרבות עמידה בתקן. במסגרת זו עליו לבחון אם נכון לקבוע מדרג של דרישות אבטחת מידע למרפאות לפי גודלן ובהתאם ל אופי פעילותן. משרד מבקר המדינה מעיר למשרד החינוך כי כל עוד לא הושלם הליך החקיקה ולא הוכרעה בחקיקה סוגיית חסיון המידע שאוספת ראמ"ה, נשקפת סכנה לזכות הפרטיות של תלמידים ובני משפחותיהם באיסוף המידע, שמירתו והשימוש שנעשה בו. בפעולת ראמ"ה על פי עקרונותיה של הצעת חוק מלפני שמונה שנים אין כדי לייתר את הצורך בחקיקה בתחום רגיש זה. על משרד החינוך לפעול לאלתר להסדרת פעולתה של ראמ"ה ולהגיש הצעת חוק מעודכנת להתייחסות הגופים הרלוונטיים ולהערות הציבור, בהתאם להחלטת הממשלה. עד ההסדרה בחוק יקבע משרד החינוך בכללים או בחוזר מנכ"ל הנחיות בקשר לפעולתה של ראמ"ה. פרויקט הסדרת מערך המידע, המתכלל פרטים רגישים מזהים כה רבים והמקשר בין כלל סוגי הנתונים במערכות הקיימות מצוי ברמת סיכון גבוהה יותר מרמת הסיכון של מערכות מפוזרות נוכח כמות התלמידים ורגישות המידע הנאסף , ולכן נדרשת בו רמה גבוהה יותר של אבטחת מידע. משרד מבקר המדינה מעיר למשרד החינוך כי אם יתברר שהפרויקט מהווה "מאגר מידע חדש" על פי הגדרותיו של חוק הגנת הפרטיות, יהיה צורך לבחון אם מאגר המידע מקיים גם את הגדרת "מאגר -על", הטעון רמת הגנה גבוהה יותר, וכן ניהול ורישום מיוחדים. על צוות ההיגוי המנהל את הפרויקט לשקול לערב את הרשות להגנת הפרטיות ואת מחלקת ייעוץ וחקיקה בקידומו, על מנת שיוטמעו בו דרישות יסודיות מתחום אבטחת המידע והגנת הפרטיות של התלמידים, משפחותיהם ועובדי ההוראה. עד מועד סיום הביקורת לא נעשתה הבחנה כאמור. מחלקת ייעוץ וחקיקה נדרשת לפעול ל חלוקת העבודה בינה ובין הרשות, לצורך קידומם של הנושאים שבאחריות ן. משרד מבקר המדינה מעיר למשרד המשפטים , כי על מנת לשמור על מעמדה של מדינת ישראל כמדינה המבטיח ה הגנה על מידע אישי ברמה העומדת בדרישות הדין האירופי, יש חשיבות רבה לקידום תיקון החוק הנוגע לסמכויות האכיפה של הרשם , בהמשך לתקנות אבטחת מידע שנכנסו לתוקפן. יש לתת את הדעת לכך שהחלטת ההלימה משנת 2011 ניתנה גם על סמך הצפי ליישום המלצותיו של צוות ההסדרה, עניין שעדיין מתקדם בעצלתיים. בביקורת נמצא כי על אף החשיבות שהרשות מייחסת למעורבותה בסוגיות הגנת הפרטיות במאגרי מידע העולות במגזר הציבורי, פעילותה בנושא חלקית בלבד. להלן הפרטים: על משרד הבריאות לבחון את אפשרות חסיונו של ביקור מסוים לבקשת מטופל גם בקופות החולים, וזאת בהתאם לקביעת מינהלת הפר ויקט לשיתוף מידע. בהתאם לסיכום התקציבי עם משרד האוצר ממרץ 2018 , משרד הבריאות נדרש להגיע להסכמות עם המשרדים החתומים על הסיכום, ובכלל זה משרד המשפטים, בדבר המנגנון הנורמטיבי המתאים ליישום התוכנית שבהחלטת הממשלה עד סוף יולי 2018 , ועד סוף יולי2019 עליו לממש את ההסדר הנורמטיבי המוסכם. משרד מבקר המדינה מעיר למשרד הבריאות, כי מזה שנים נערכים במוסדות הרפואיים מחקרים בנתוני עתק ללא רגולציה המתאימה בין השאר להתפתחות הטכנולוגית, ולכן עליו להחליט בהקדם על המנגנון הנורמטיבי המתאים, בהסכמת המש רדים הרלוונטיים, כדי שיתאפשר לקדם ולסיים את השלב המהותי של מימוש המנגנון שיוסכם עליו. תשובת בית החולים אסף הרופא אינה עולה בקנה אחד עם הדברים שנמסרו לביקורת מוועדת הלסינקי של בית החולים. על בית החולים לברר הסוגיה ולחדד את הכללים בנושא. הביקורת העלתה כי במשרד החינוך יש הנחיות רבות להעברת מידע בין מסגרות חינוכיות. חלק מההנחיות פזורות בחוזרי מנכ"ל ישנים ולא מעודכנים, והן מתייחסות לרישומים ומידע שנאספו בבתי הספר באופן לא אחיד ולעיתים אף סותר. מוזכרים בהן מונחים כמו "תיק אישי", "כרטיס תלמיד" ו"כרטיס רפואי" בלי שהוגדר במפורש מה שהם כוללים וללא התאמה בין המושגים72 . .מהתרשים עולה כי בעשור האחרון פחתו פעולות האכיפה שהרשות נקטה בהן בהשוואה לתחילתו, ואף שבשלהי העשור חלה עלי יה, עדיין מספרן קטן משהיה בשנים 2008 - 2009 ,. זאתעל אף הגידול בהיקפו של שוק המידע האישי בישראל ועל אף שכוח האדם ברשות בכלל ובתחום האכיפה בפרט, גדל במשך השנים עד להכפלתו: בשנת 2009 עסקועשרה עובדים ברישום המאגרים ובאכיפה גם יחד ובשנת 2018 הועסקו במחלקת האכיפה לבדה 19 עובדים. נמצא כי לרשות אין נתונים מלאים על תוצרי האכיפה שלה: התיקים שנסגרו, התיקים שהסתיימו בקנס מינהלי, בקביעת הפרה, או במתן הנחיות. בחלק מהשנים נאספו הנתונים באופן ידני והם מופיעים בדוחות השנתיים. גם מתשובת הרשות למשרד מבקר המדינה על ממצאי הביקורת עלו פערים לעומת הנתונים שהועברו במהלך הביקורת. משרד מבקר המדינה מעיר לרשות, כי איסוף הנתונים האמורים וניתוחם הם כלי ניהולי בסיסי שבכוחו לשמש את הרשות בהערכת האפקטיביות של פעולותיה. פעילות האכיפה היא בליבת עשייתה של הרשות להגנת הפרטיות לצורך שמירה על פרטיות הציבור. בעולם הטכנולוגי המתפתח, ובו גופי ענק האוספים ומעבדים מידע על בני אדם, יש צורך באכיפה משמעותית ואפקטיבית לצורך הרתעה וחיזו ק מעמדה של הרשות. הנתונים שהובאו לעיל מעידים על הצורך בשיפור של ממש בפעילות האכיפה של הרשות ובתוצריה. משרד מבקר המדינה מעיר לרשות, כי הדוחות השנתיים של ה לשנים 2007 - 2010 מלמדים כי גם בשנים אלה טיפלה בתיקים רבים בעלי משמעות. מעבר לכך, גם אם חל שינוי באופי התיקים , הפער במספר התיקים שנפתחו במהלך העשור אינו מוסבר, מה גם שבשנים הראשונות היו ברשות כולה 18 עובדים בלבד ובשנים האחרונות היה מספרעובדים דומה במחלקת האכיפה לבדה. אשר לתיקי הפיקוח הרוחבי, יש להבחין בין אכיפה מ ינהלית ופלילית ו בין פיקוח רוחב, הבחנה שהרשות עצמה עושה בדוחות השנתיים. המהלך לפיקוח רוחבי חשוב ויש לברך עליו. עם זאת, בהיעדר סנקציות יעילות שהרשות יכולה להטיל, עליה להיערך כראוי כדי שתוכל להמשיך את הטיפול בממצאי הפיקו ח הצפויים בכלי האכיפה שבידיה וכדי שהמהלך ישיג את מטרתו. על פי נתוני המחלקה לניסויים קליניים, מכלל 54 מוסדות, בשנת2016 לא העבירו דיווחים כנדרש 34 גופי ביקורת, בשנת2017 - 25 גופים, ובשנת 2018 - 22 .גופים .נמצא, כי בית החולים אסף הרופא אינו מבצע ביקורת בנושא התממה אף שעמדת משרד הבריאות היא שעליו לבדוק הנושא במסגרת הבקרות. מעיון ב -66 דוחות הבקרה לשנים 2015 - 2017 של גוף הבקרה באסף הרופא עולה, כי באחד מהם בלבד הייתה התייחסות - לקונית - לנושא המידע האישי וצוין כי המחקר נערך על סמך נתונים מתיקים רפואיים תוך שמירה על אלמוניותם של המטופלים. מהאמור לעיל עולה סתירה מובנית בין כללי משרד הבריאות, המחייבים אנונימיזציה מלאה של מידע המועבר ללא הסכמה במחקרי נתונים, ובין המידע הנדרש לצורך מחקר, שהוא מידע שניתן לזיהוי חוזר בעת הצורך (על מנת להוכיח כי הנתונים אמיתיים ואף לטובת המשתתפים בניסוי, אם יתגלה במחקר מידע חשוב לבריאותם). מהאמור עולה, כי מחקרי נתונים בישראל נערכים בניגוד לכלל האנונימיזציה האמור, ועל משרד הבריאות לבחון מחדש את הסוגיה כולה. נמצא כי גם במחקרי נתונים בבית החולים אסף הרופא החוקר מקבל מידע רפואי מזוהה אף אם אינו הרופא המטפל. יתר על כן, על פי גישתו של בית החולים, המנוגדת לעמדתו של משרד הבריאות, כל החומר והמידע שנאסף בידי החוקר הראשי חשוף ליזם המחקר142 , משום שהמידע "שייך" לו ו ההתממה נועדה לגורמים אחרים שאינם מורשים לעיין במידע המזוהה , כגון חוקרים שאינם החוקר הראשי במחקר143. . מספר נושאי המידע במחקר עשוי להיות מטופלים ספורים עד מאות או אלפים, למשל במחקר הנערך במקביל בכמה בתי חולים, ורבים עוד יותר במחקרים בנתוני עתק. על משרד הבריאות בשיתוף משרד המשפטים לפעול לקביעתם של כללי התממה מתאימים, בשים לב לצורכי המחקרים מזה ולחובת ההגנה ע ל פרטיותם של נושאי המידע מזה. כמו כן עליו לפעול להנחות את ועדות הלסינקי והמוסדות הרפואיים העורכים את הניסויים בנושא ולפקח על יישום הכללים שייקבעו. .ככל שהסיכונים הכרוכים במערכות מידע ממוחשבות נעשים שכיחים יותר, דרושות פעולות נחרצות יותר של משרדי הממשלה לאבטחת המידע ולהגנה על פרטיותם של נושאי המידע. הממצאים בפרק זה מציגים תמונה מדאיגה ובה אין למשרד החינוך תמונה מלאה ומפורטת, כנדרש בדין, של מאגרי המידע שלו או של הספקים המחזיקים במאגרי המידע שלו; מערכות המידע של הספקים המחזיקים במידע אישי רגיש על תלמידים ועל משפחותיהם אינן נבדקות לא בשלב בחינת ההתקשרות ולא במהלך תקופת ההתקשרות; ואין בקרה ופיקוח על הספקים בהיבטי אבטחת מידע והגנה על הפרטיות. בנסיבות אלה יש חשש כבד לאבטחת המידע ולהגנת הפרטיות של נושאי המידע. משרד מבקר המדינה מעיר להנהלת משרד החינוך, כי מחויבות ההנהלה היא חלק בלתי נפרד ממדיניות האבטחה של כל ארגון והיא חשובה במיוחד לנוכח הממצאים המובאים בפרק זה ולנוכח השלכותיהם. כך גם עולה מן ההנחיות בתחום הגנת הסייבר והתקינה הבין -לאומית 111 . על מנכ"ל המשרד להתגייס להכוונה ברורה של הגורמים האחראים לאבטחת המידע המשרדי, כדי ליצור מחויבות ואחריות כוללת. יש לנקוט פעולה נמרצת לצמצום הפערים בין דרישות הדין ובין המצב הקיים במשרד, ולפעול בנחישות להגנה אפקטיבית על הזכות לפרטיותם של תלמידים ומשפחותיהם, כנדרש בדין. נמצא כי בחלוף שנה ויותר מיום שניתנו המלצות הוועדה, משרד הבריאות טרם הנחה את המוס דות הרפואיים בנוגע למקרים שיחייבו דיווח על אירועי אבטחת מידע, לצורך בקיום בקרה ואכיפה של הכללים לאבטחת מידע ועוד. על משרד הבריאות לפעול להמשך יישומן של מסקנות הוועדה ולהטמעתן במוסדות הרפואיים. הרשות המליצה על עיגון העקרונות האלה בחקיקת משנה, א ך מאז שנת 2010 טיוטת הכללים לא קודמה והעקרונות גם לא עוגנו בחקיקת משנה. .החקיקה בתחום הגנת הפרטיות אינה תואמת את ההתפתחות הטכנולוגית של העשורים האחרונים ואף אינה כוללת התייחסות מיוחדת לילדים. גם הניסיונות להסדרת ה של ההגנה על פרטיות הילדים בחקיקה או בכללים לא צלחו. האמור לעיל ממחיש את הצורך בהגנה על זכותם של ילדים לפרטיות באופן המשלב כמה תחומים: חינוך והדרכה של הורים וילדים לשמירת זכותם לפרטיות, חקיקה מעודכנת שתגביל את האיסוף והשימוש במידע על ילדים לאופן ולמידה הדרושים, ושימוש בכלים טכנולוגיים שישרתו את הזכות לפרטיות של ילדים בפיתוח המערכות ובאבטחתן. על משרד המשפטים בשיתוף גורמים רלוונטיים בתחום ההגנה על זכויות הילד לשקול הסדרה של הגנה על פרטיות הילדים בחקיקה או בכללים, תוך התאמה לעידן המידע וההתפתחויות הטכנולוגיות. הקמת מערך הפיקוח מחזקת את הצורך בקביעת מדיניות אכיפה כדי לכוון את פעילותו בהתאם ליעדי הרשות. על הרשות לקבוע מדיניות אכיפה בשים לב ליעדיה ולמפת הסיכונים של הפגיעה בפרטיות, על מנת שתשקיע את משאביה בתבונה ובדרך המיטבית להשגת תוצאות מרביות בכלים שבידיה. עד מועד סיום הביקורת לא היה למשרד החינוך מיפוי של מאגרי המידע שלו או רשימת מצאי של מערכות המידע. עוד עלה, כי הפעילות למיפוי מאגרי המידע נמצאת רק בראשית דרכה כחלק מעבודת המשרד להסמכה לתקן 27001 . נכון למועד סיום הביקורת אין למשרד החינוך מדיניות אבטחת מידע וסייבר מאושרת. על אף האמור, האפשרות להסתיר ביקור יחיד במערכת שיתוף המידע קיימת בבתי החולים אך לא בקופות החולים. נמצא כי בשל הקפאת חוזר שיתוף מידע רפואי, קופות החולים לא יידעו את הציבור בנושא כפי שקבעה מינהלת הפרויקט לשיתוף מידע וכפי שהומלץ גם בתסקיר ההשפעה על הפרטיות משנת 2014 . עוד נמצא, כי הסבר על הזכות ליציאה מהמערכת וטופס למימוש זכות זאת קיים באתרי האינטרנט של כללית, מכבי וקופת חולים מאוחדת, אך אינו קיים באתר לאומית שירותי בריאות. גם הפרסום שעשה משרד הבריאות בנושא נעשה באינטרנט בלבד והופסק לאחר מספר ימים. . אין חולק על חשיבותה הרבה של מערכת שיתוף מידע רפואי להצלת חיים ולשיפור איכות הטיפול הרפואי. ואולם, משרד מבקר המדינה מעיר למשרד הבריאות, כי אין להשלים עם התעלמותו מעמדת משרד המשפטים על הצורך להסדיר את הנושא בחקיקה. מנגד, משרד המשפטים לא פעל באמצעים המקובלים במחלוקות משפטיות מעין אלה128, .ומערכת שיתוף המידע המשיכה לפעול במשך השנים ללא הסדרה ראויה על משרד הבריאות ומשרד המשפטים להגיע בהקדם להכרעה על ההסדר הנורמטיבי הנדרש ולפעול ליישומו. על משרד הבריאות להשלים בהקדם את מיפוים של מוסדות אלה ולבנות תוכנית לפיקוח ובקרה על אבטחת המידע בכל המוסדות, בהתאם לסדרי עדיפויות שיקבע. משרד מבקר המדינה מעיר למשרד החינוך , כי עצם העובדה שהנושא הובא לדיון בוועדת המכרזים איננה מבטיחה שנעשתה בחינה מקדמית באופן שיטתי של עצם הצורך בהוצאת השירות למיקור חוץ, כאמור בתקנות אבטחת מידע והנחיית הרשם בנושא מיקור חוץ. לפיכך, ככל שהמידע המועבר רגיש ורב יותר, כן יש להקפיד יותר בהחלטה אם להוציא את השירות למיקור חוץ, בדרישות אבטחת המידע שייקבעו במכרז ובבחירת הספק. משרד מבקר המדינה מעיר כי בנוסף להנחיה המשרדית, על הנהלת משרד החינוך להטמיע , לפני פרסום מכרזים להתקשרות עם ספקים , שלב מקדמי הכולל בחינה על פי הדרישות שבתקנות אבטחת מידע ובהנחיית הרשם בנושא מיקור חוץ. נמצא כי לאחר בחירתו של הספק הזוכה ו כל תקופת ההתקשרות אתו , משרד החינוך לא עושה פעולות לבקרה ופיקוח בתחום אבטחת מידע, בהן בדיקת יישום הוראותיו של נספח אבטחת המידע, הגם שכבר ב-2014 ציינה חטיבת אבטחת מידע במינהל תקשוב את הצורך בבדיקת כשירותם של המועמדים במכרזים ובבקרות שוטפות על ספקים. הביקורת העלתה כי הגם שהוקצו לעובדי משרד החינוך תיבות דוא "ל ארגוניות במערכת "יונת דואר", כמעט שלא נעשה בהן שימוש. מדוח פעילות שהופק עבור משרד מבקר המדינה ביולי 2018 עולה, שאף כי בתיבות הדואר של המערכת מתקבלות הודעות רבות , מספר המשתמשים השולחים הודעות באמצעות המערכת הוא אפסי104 . .התפיסה המשפטית הכללית בקשר לילדים היא שיש להעניק להם הגנה מיוחדת וחזקה יותר מן ההגנה המוקנית ל בגירים, בעיקר משום שאינם מודעים מספיק לסכנות , בתחומים שונים, ואינם מסוגלים להתמודד איתן. אף על פי כן, אין בחוק הגנת הפרטיות התייחסות מיוחדת לקטינים , וזכותם של קטינים לפרטיות אינה מוסדרת בחוק ייעודי. זאת, על אף חשיבות העניין ואף שהנושא מוסדר בחקיקה או בהסדרים בין-לאומיים ברוב מדינות העולם. בביקורת נמצא, כי משרד החינוך אינו עושה בדיקות מקדמיות כנדרש בתקנות אבטחת מידע ובהנחיית הרשם בנושא מיקור חוץ, לפני פרסום מכרזים לשירותי מיקור חוץ, הכוללים גישה למאגרי מידע או קבלת מידע ממאגרי מידע שבבעלותו: אין גורם במשרד החינוך שבוחן את עצם הצורך בהוצאת השירות למיקור חוץ , ו לא נבחנים היקף המידע האישי שנדרש להעביר לצורך אספקת השירות, מטרת העברתו לספק, ואם יש חלופות שאינן כרוכות ב העברת המידע. למעשה, הדרישות שבנספח אבטחת המידע המצורף למכרז נקבעות מבלי שנדונו ונענו השאלות המקדמיות האמורות. עוד נמצא בביקורת כי משהתקבלו הצעות המציעים במכרזים, לא נעשית בדיקה עם מינהל תקשוב, הגורם המקצועי הרלוונטי, אם הספקים עומדים בדרישותיו של נספח אבטחת המידע שצורף למכרז. .המצב חמור יותר בהתקשרות הפטורה ממכרז98 . להסכם ההתקשרות עם הספק כלל לא מצורף נספח אבטחת מידע, ולמעשה אין גורם מקצועי במשרד החינוך המנסח דרישת עמידה בחובות וסטנדרטים של אבטחת מידע. מסקר של סיכוני אבטחת המידע מאוקטובר 2017 עולה, כי נעשו מבדקי חדירות בשש מעשרים המערכות המשרדיות. מבדקי החדירות העלו ממצאים חמורים, בהם האפשרות לקבל שליטה מהירה על כל המידע המשרדי, גניבתו ומחיקתו. במועד סיום הביקורת היה הטיפול בליקויים שנמצאו במבדקי החדירות תלוי בטיפולם של גורמים במינהל תקשוב, ורק בחלקם היה קצב הטיפול סביר. משרד מבקר המדינה מעיר למשרד החינוך כי עליו לנקוט פעולה נמרצת לתיקון הליקויים שנמצאו במבדקי החדירות מאוקטובר 2017. ראמ"ה פועלת למן הקמתה, מזה 12 ,שנים בלי שנקבעו לה בחוק כללים לאיסוף מידע רגיש ומזהה, הגורמים שתהיה רשאית לאסוף מהם את המידע המזהה, סוגי המידע שתאסוף, המגבלות על פעולות האיסוף, דרכי ההחזקה והשמירה של המידע והעברת ו ממאגריה לגורמים אחרים. הסדרה זו נדרשת מכוח החלטת הממשלה, אך גם ובמיוחד לנוכח הפגיעה הפוטנציאלית החמורה בזכותם לפרטיות של תלמידים, בני משפחותיהם ועובדי הוראה. נמצא כי עד תחילת שנת 2018 לא ערך משרד הבריאות בקרות בנושא אבטחת מידע במוסדות רפואיים. יוצא אפוא, כי כל עוד לא תוקן החוק בנושא סמכויות האכיפה , אין סנקציה יעילה בגין הפרתה של חובת אבטחת המידע הקבועה בחוק ובתקנות , והדבר פוגע ביכולת ההרתעה של הרשות. היעדר פעילות אכיפה נגד תאגידים בין -לאומיים, שהם השחקנים הגדולים והמרכזיים בתחום מאגרי המידע, מחזק את הצורך במתן כלי אכיפה אפקטיביים יותר בידי הרשות, להגנה על הפרטיות של תושבי ישראל, העשויים להרתיע ולחזק את מעמדה כרשות אפקטיבית וכן לחזק את אפשרותה לשתף פעולה עם רשויות עמיתות בעולם. זאת במסגרת בחינה כוללת של האופן בו הרשות נדרשת להתמודד עם הפרות של חוק הגנת הפרטיות מצד חברות גלובליות לגבי מידע אישי על ישראלים. בפועל, על אף פעולות שונות שנקטה הרשות להגדלת מספרם של המאגרים הרשומים, במועד הביקורת היו רשומים כ- 16,600 מאגרים בלבד, הגם שהרשות אומדת את מספר המאגרים החייבים רישום במאות אלפים. גם מבקר המדינה העיר בעבר שרוב המאגרים אינם רשומים 36. נמצא כי בחלוף תשע שנים ממועד כתיבתה של טיוטת תזכיר החוק ושש שנים ממועד פרסומו תיקון החקיקה לא הושלם. הרשם ממשיך בהקצאת משאבים לרישום , שחובתו נקבעה לפני 40 ,שנה בקירוב אף שהדעה הרווחת מזה שנים רבות היא שיש לבטלו ו להמירו בכללים המתאימים למציאות בת זמננו. יוצא אפוא, כי חובת הרישום ממומשת בידי שיעור נמוך של חייבי רישום, בעוד רוב בעלי המאגרים מוחזקים כמפירי חוק בלי שנעשות נגדם כל פעולות אכיפה. משרד מבקר המדינה מעיר למשרד המשפטים, כי עליו לפעול באופן נמרץ לקידומו של תיקון החקיקה בנושא על מנת לאפשר לרשות למקד את משאביה בסוגיות בעלות תרומה יעילה יותר להגברת הציות להוראות החוק. זאת לצד קידום הצעת החוק בדבר סמכויות האכיפה של הרשם ועל מנת שלא לגרוע מסמכויותיו בטרם יינתנו לו סמכויות מתאימות אחרות. מאחר ש חובת הרישום צפויה לה משיך ולחול על גבי מאגרים רגישים, שסכנתם לפרטיות רבה יותר, על הרשות לפעול כבר עתה לאכיפת חובה זאת עליהם, יחד עם אכיפת מכלול החובות על פי החוק ותקנותיו. משרד מבקר המדינה מעיר למשרד המשפטים , למשרד ראש הממשלה ולמערך הסייבר, כי לנוכח הימשכותו של תהליך החקיקה בנושא סמכויות האכיפה זה יותר משבע שנים, ולאור חשיבות הנושא הם נדרשים למצוא את האיזונים המתאימים בין הזכות לפרטיות ובין צרכיו של מערך הסייבר בהגנת המידע, שיאפש רו לקדם את הצעת החוק. נמצא כי תקנות העיון לא תוקנו. משרד מבקר המדינה מעיר למשרד המשפטים כי עליו לפעול לקידום תיקון התקנות ולהתאמתן לעידן הנוכחי. על משרד המשפטים לבחון את הצורך בביצוע התאמות להמלצות צוות ההסדרה, בשים לב לזמן שחלף. עליו גם להמשיך ול בחון אם יש מקום לתיקונים נוספים בנושאים שהחוק אינו מתייחס אליהם כיום וראוי להסדירם לאור ההתפתחויות הטכנולוגיות המואצות. על הצוות המשותף למצות את הליך הבחינה ולהעביר מסקנותיו למקבלי ההחלטות במשרד, לצורך בחירת הפעולה המתאימה. משרד מבקר המדינה מעיר לרשות כי יש חשיבות רבה למעורבותה בפרויקטים ממשלתיים בענייני הגנת הפרטיות במאגרי מידע, והנושא אף מצוי בליבת תפקידיה כפי שעולה מעמדתם של נציגי הרשות עצמה. .מעבר לכך, במחקרים רבים בנתונים החוקר אינו הגורם המטפל, כך שגם לשיטת משרד הבריאות אין הצדקה לחשיפתו למידע הרפואי טרם התממתו או קידודו. נמצא, כי במחקרים רפואיים בנתונים בבית החולים שיבא החוקר מקבל מידע רפואי מזוהה גם אם אינו הגורם המטפל, והוא המבצע את הקידוד. התברר כי הליך החקיקה לא הושלם. הלכה למעשה, עד למועד סיום הביקורת, 11 שנים לאחר החלטת הממשלה, טרם נחקק חוק המסדיר את פעולתה של ראמ"ה, את תפקידיה וסמכויותיה. מדוח הבקרה לדוגמה נראה כי הבקרה בעיקרה היא טכנית ואינה כוללת פרטים נוספים על הפעלת המצלמות בהתאם לחוזר המנכ"ל, פרט לציון אם החיווי תקין או לא תקין. חוזר המנכ"ל כולל הוראות מפורטות להסדרת ההתקנה של מצלמות בבתי הספר, לרבו ת זוויות הצילום, אבטחת המידע, סדרי הצפייה בחומר המוקלט, הודעה להורים ולתלמידים על הצבת המצלמות וביעור החומר המוקלט לאחר תקופה קצובה. ואולם הבקרה הנעשית כיום על ידי משרד החינוך אינה בודקת את מילוי דרישות הוראותיו של החוזר. משרד מבקר המדינה מעיר למשרד החינוך , כי עליו לבחון באופן יסודי את מידת הטמעתן של הוראות חוזר המנכ"ל ולפעול לבקרת יישומן. כמו כן, עליו לאכוף את הוראות החוזר ולקבל מהספק החיצוני דיווחים על בתי הספר הכוללים, בין השאר, נתונים על הצבת מצלמות או על הסרתן, ובהתאם לתמונה שתתקבל לשקול פעולות נוספות לאכיפת ההוראות, שיבטיחו את מימוש התכליות המנויות בו. נמצא כי בשני בתי החולים שנבדקו לא הוקמו ועדות להעברת מידע בין גופים ציבוריים. מבית החולים שיבא נמסר כי באוקטובר 2018 הוקמה ועדה ומבית החולים אסף הרופא נמסר כי תוקם ועדה. משרד מבקר המדינה מעיר למשרד הבריאות , כי תשובתו אינה משתמעת מנהלי המשרד המחייבים את המוסדות הרפואיים. בנוסף, גם אם החוקר הוא גורם מטפל הנחשף למידע אישי של מטופליו במסגרת הטיפול הרפואי בהם, אין הדבר מלמד שבאפשרותו להיחשף למידע רפואי נוסף, לאוספו ולהשתמש בו לצורכי מחקר, בפרט כשהדבר נעשה ללא הסכמת המטופלים. תשובת המשרד גם אינה תואמת את הדברים שנמסרו לנציגיו של משרד מבקר המדינה מוועדת הלסינקי העליונה , שהבהירה כי חוקר שאינו המטפל לא ייחשף למידע מזוהה. לפיכך עליו לחדד עמדתו בעניין זה, להבהירה למוסדות הרפואיים ולתקן את נהליו בהתאם. 3. עוד נמצא כי גם כשהמוסד הרפואי מעביר לחוקרים מידע שאינו מזוהה, הדבר נעשה באמצעות קידוד בלבד ולא באנונימיזציה מלאה כאמור בהנחיות משרד הבריאות, בכל מוסד רפואי בהתאם לשיטתו. מהמחלקה לניסויים קליניים נמסר לצוות הביקורת, כי למעשה אי אפשר לבצע מחקר במידע אנונימי והדרישה האמורה בנוהל ניסויים רפואיים בבני אדם אינה ישימה. נמצא שככלל במסגרת בקרותיה על המחקרים במוסדות הרפואיים, המחלקה לניסויים קליניים במשרד הבריאות אינה בודקת אם הועבר מידע רפואי אישי על מטופלים לגורמים שאינם מורשים. משרד מבקר המדינה מעיר למשרד החינוך, כי עליו לזהות את הסיבות להימנעותם של צוותי ההוראה משימוש בתיבות הדוא"ל הארגוניות ולפעול ביתר תקיפות להגברת השימוש בהן. נדרשת גם בחינה של השימוש השכיח ביישומונים להעברת מסרים וברשתות החברתיות, האם גם בהם מועבר מידע מוגן או רגיש, ואם כן, לבחון דרכי טיפול בכך. .משרד מבקר המדינה מעיר למשרד החינוך, כי בהתאם לתקנות אבטחת מידע עליו לפקח על עמידתם של ספקים בדרישות אבטחת מידע שנכללו בהסכמים עימם נוכח ההשלכות ופוטנציאל הפגיעה בפרטיות התלמידים, כדי להפחית את הסיכון שאירוע של גילוי מידע רגיש על תלמידים באינטרנט יישנה . בנסיבות הקיימות, של היעדר בדיקות שיבטיחו את הגנת המידע האישי המצוי במאגרי המשרד ומועבר לידי ספקים חיצוניים, נשקפת סכנה לפרטיותם של נו שאי המידע, בהם תלמידים ומשפחותיהם. הדברים מקבלים משנה תוקף נוכח אירועי אבטחת מידע באתרים בית ספריים, ודורשים בחינה של כלל הספקים. מנהלי משרד הבריאות משתמע שבמחקר בנתונים שלא התבקשה בו הסכמת משתתפים, התממת המידע באמצעות אנונימיזציה מלאה צריכה להיעשות טרם העברת המידע לחוקר, כאשר ההבחנה בין חוקר שהוא הגורם המטפל ובין חוקר שאינו הגורם המטפל אינה מופיעה בחוזר אישור מחקר שאינו ניסוי רפואי בבני אדם או בנוהל ניסויים רפואיים בבני אדם. זאת ועוד, הועלה כי באגף הרכש והמכרזים במשרד החינוך אין רשימה מרוכזת של ספקים שזכו במכרזים, ולפיכך למעשה אין למשרד החינוך תמונה מלאה על אותם ספקים המחזיקים במאגרי מידע, ואין דרך ליישם את הוראות התקנות וההנחיות השונות המחייבות למפות ולסוו ג את סוגי המידע ואת הסיכונים הנוגעים לאבטחתם. על משרד החינוך למפות את הספקים שיש לו התקשרות עימם ולפעול למפות ולסווג את מאגרי המידע שברשותם ואת הסיכונים הנוגעים לאבטחתם. משרד מבקר המדינה מעיר למשרד הבריאות, כי הבקרות שהוא עורך לעמידה בהוראות התקן מתקיימות במוסדות שכבר הוסמכו ל תקן ועל שאר המוסדות הוא אינו אוכף את עצם קבלת ההסמכה הנדרשת. מאחר שכ-10% ,בלבד מן המוסדות הרפואיים הטעונים רישיון מוסמכים לתקן גם אם הם מוסדות משמעותיים כגון בתי חולים וקופות חולים, עליו לפעול בנחישות לאכיפת החובה הקבועה בחוזר המנכ"ל על שאר המוסדות. בסקר אבטחת המידע נמצא, בין היתר, כי אין בבתי הספר תקן אחיד לשמירה ולגיבוי של מידע. הגיבויים נעשים על פי שיקול דעת מקומי ובמקרים רבים באופן לא מאובטח. למשל, 28% מבתי הספר שהשתתפו בסקר דיווחו כי הם מגבים מידע בהתקן נ ייד, המהווה סיכון לאבטחת המידע. עוד נמצא, כי מידע פדגוגי ואישי על תלמידים מועבר בבתי הספר בתיבות דוא"ל פרטיות שאינן מאובטחות. הביקורת העלתה כי גורמים מקצועיים, בהובלת אגף שירות פסיכולוגי ייעוצי במשרד החינוך (להלן - אגף שפ"י), פועלים לפחות מספטמבר 2013 עם הלשכה המשפטית במשרד החינוך לכתיבתה של טיוטת חוזר מנכ "ל העתידה להחליף את חוזרי המנכ"ל הישנים ולקבוע הנחיות אחידות וכללים לשיקול דעת בעת העברת מידע בין מוסדות חינוך, בכפוף לחובות על פי דין, תוך שמירה על פרטיות התלמיד. ואולם אף שחלפו למעלה מחמש שנים, עדכונו של חוזר המנכ"ל טרם הושלם. משרד מבקר המדינה מעיר למשר ד החינוך , כי כל עוד ההגנה על פרטיות ילדים אינה מוסדרת בחוק ייעודי ועדיין חסרות הוראות שיעגנו את זכותם של תלמידים לפרטיות, וחוזרי המנכ"ל על העברת מידע בין מוסדות חינוך מיושנים ואינם נותנים מענה ראוי, עליו להשלים לאלתר את עדכונו של חוזר המנכ"ל. זאת ועוד, הוראות מעודכנות ותקפות על שמירת פרטיותם של תלמידים יסייעו גם לבתי הספר בהתנהלותם השוטפת וימנעו את הפגיעה בפרטיותם של תלמידים במעבריהם בין מוסדות חינוך. משרד מבקר המדינה מעיר למשרד הבריאות, כי עליו לוודא שהמוסדות מבצעים בקרות בהתאם לכללים שקבע, לרבות עמידה ברף הבקרות הנדרש, לבחון את דיווחיהם של גופי הבקרה במוסדות ולוודא כי המוסדות פועלים ליישום הממצאים העולים מהם. כמו כן עליו לשקול לכלול במפורש בנוהל פיקוח ובקרה על ניסויים רפואיים את ההגנה על הפרטיות בכלל ואת ההתממה בפרט. עליו גם לבחון דרכים לפיקוח ובקרה על העברת המידע הרפואי במסגרת המחקר לחוקרים וליזמים. הסיכון הנשקף לפרטיות במחקרי נתונים רב יותר מאשר במחקרים אחרים, בעיקר משום שאין מבקשים מנושאי המידע את הסכמתם לשימוש בנתוניהם לצורכי מחקר. הסיכון רב אף יותר במחקרים בנתוני עתק. מחקרי נתונים נערכים מזה שנים במוסדות רפואיים וקביעת כללי ההתממה נועדה למעשה ליצור אחידות בקרב המוסדות הרפואיים ולטפל בתחום פעיל שהסיכון בו כבר קיים. על הנהלת משרד הבריאות לפעול לזירוז הסדרתה של הסוגיה ולהטמעת הנחיותיה בנושא. למשרד הבריאות אין ריכוז של כל הנחיותיו הרלוונטיות לאבטחת מידע ולהגנת הפרטיות. ריכוז ההנחיות והנגשתן חשובים לאנשי אבטחת המידע והגנת הפרטיות במוסדות הרפואיים, שכן בכוחו לסייע בידם לעמוד בכלל ההנחיות שהם נדרשים ליישם ולהתעדכן בשינויים החלים בהן מדי פעם. על משרד הבריאות לפעול לבחינה ולתיקוף של ההנחיות בהתאם להמלצות הוועדה ולפעול להנגשתן לקהל היעד שלהן. בביקורת נמצא כי מכלל הגופים הציבוריים בישראל, ארבעה בלבד המקבלים מידע דרך קבע מגוף ציבורי אחר מדווחים לרשם מאגרי המידע כקבוע בחוק: הלשכה המרכזית לסטטיסטיקה, משרד הרווחה, משרד החינוך ונציבות שירות המדינה. עוד נמצא כי הרשות להגנת הפרטיות אינה מבצעת מעקב או אכיפה יזומה על גופים שאינם מעבירים דיווחים כחוק. למעשה, משנת 2011 לא פיקחה הרשות על העברות מידע בין גופים ציבוריים. המידע הנאגר במאגרי המידע של גופים ציבוריים נאסף מכוח חובה חוקית ולאו דווקא מרצונו ובהסכמתו של נושא המידע . לנוכח האמור, ובשל רגישותו של המידע הנצבר בידי גופים ציבוריים, על הרשות להקפיד לדרוש ולקבל דיווחים על העברות המידע הנעשות דרך קבע בין גופים ציבוריים, בהתאם להוראות הדין. השקיפות תאפשר לציבור לעקוב אחר השימוש שעושים הגופים במידע ולוודא ש הוא מועבר באופן סביר ומידתי. .בביקורת נמצא , כי אף שהרשות זיהתה כי נכון יהיה ל פרסם הנחיות בנושאים מסוימים, בשל חשיבותם והרל וונטיות שלהם לציבור, היא לא עשתה כן לבסוף. בכמה נושאים פורסמו טיוטות של הנחיות, אך הן לא הפכו להנחיות תקפות. להלן דוגמאות . על אף האמור, ובניגוד להחלטת הממשלה, רק בספטמבר 2017 פורסמה להערות הציבור טיוטת תיקון לתקנות העברת מידע בין גופים ציבוריים, ועד סוף שנת 2018 טרם תוקנו התקנות. בביקורת נמצא, כי גם מהלך זה טרם קודם והרשות להגנת הפרטיות אינה מעודכנת על העברות מידע בין גופים ציבוריים גם בקשר למאגרי-על שהם, על פי הגדרתם, מאגרים בעלי מידע רגיש שפגיעה בחשאיותם, באמינותם, בשלמותם ובזמינותם עלולה לגרום נזק רב מאוד לציבור ולמדינה בהיבטים מדיניים-ביטחוניים, כלכליים או אזרחיים. בביקורת נמצא כי על אף החשיבות הרבה שהרשות מייחסת לפרסום הנחיות, בשנים 2008 - 2018 היאפרסמה 15 הנחיות50 בלבד בתחום הגנת הפרטיות, ובשנים 2013 - 2016 לא פרסמה הנחיות כלל. הנחיותיו של רשם מאגרי המידע הן דרך פעולה מינהלית יעילה ומהירה בהתמודדות עם האתגרים החדשים המתפתחים חדשות לבקרים בתחום הגנת הפרטיות במאגרי מידע. הן עשויות גם לשפר את השירות לציבור ולצמצם את פניותיו לרשות. האמור לעיל מעיד על צורך בשיפור פעילות הרשות בתחום זה , בין בפרסום הנחיות ובין בגילויי דעת או מסמכים אחרים, לא כל שכן במציאות שתיקוני החקיקה נמשכים בה שנים ארוכות. .הגם ש הגורם המכריע מהבחינה המשפטית בנושא הגנת הפ רטיות הוא מחלקת ייעוץ וחקיקה, הדבר אינו סותר את הצורך במעורבות ה של הרשות להגנת הפרטיות בפרויקטים הקשורים להגנת הפרטיות במאגרי מידע. על הרשות לבחון דרכים למתן משקל ראוי לנושא זה, שכן ככלל, פרויקטים של משרדי הממשלה שכרוכה בהם הגנת פרטיות במאגרי מידע הם רלוונטיים לציבור כולו. נמצא כי הרשות לא קבעה מדיניות אכיפה סדורה המתחשבת בשיקולים שקבע ראש הרשות. קביעה זו חשובה במיוחד נוכח כלי האכיפה והיקפי האכיפה המוגבלים של הרשות. בביקורת נמצא כי הרשות לא קבעה שתבצע פעולות אכיפה של ההנחיות שהוציאה, וכי האכיפה בעניין זה הייתה אקראית ועל פי רוב נבעה ממידע חיצוני שהגיע לרשות. .פרק זה מעלה את הצורך להתאים את החקיקה בתחום הגנת הפרטיות להתפתחות הטכנולוגית המואצת של העשורים האחרונים. כבר בתחילת שנות האלפיים הכיר משרד המשפטים ב נחיצותם של תיקונים מסוימים בחוק הגנת הפרטיות ובתקנותיו אך רובם לא קודמו או לא הושלמו . בתחום הגנת הפרטיות יש פער מובנה וקבוע בין תהליכי החקיקה , הממושכים מטבעם, ובין ההתפתחות הטכנולוגית המהירה. פער זה מגביר את הצורך בפעולה מהירה ונחושה לשמירת הרלוונטיות של הוראות הדין במציאות המשתנה. על משרד המשפטים לקיים עבודת מטה בעניין חוק הגנת הפרטיות, ל בחון את התיקונים הנדרשים בדיני הגנת הפרטיות , לתעדפם ולקבוע לוחות זמנים לקידומם, הן לשם הגנה על זכויותיהם של נושאי המידע בישראל והן לשם שמירת מעמדה של ישראל באירופה כמדינה בעלת משטר המספק רמה נאותה של הגנה על הפרטיות. על הרשות להגביר את מעורבותה בסוגיות הגנת הפרטיות במאגרי מידע במגזר הציבורי, לפעול לבניית תוכנית אכיפה סדורה וליישמה, ולפעול לשיפור פעילות האכיפה של הרשות ותוצריה באופן שיגביר את הציות להוראות הדין בנושא. .הזכות לפרטיות מאפשרת לכל אדם לחיות את חייו ללא התערבות ולממש את רצונותיו והחלטותיו באופן אוטונומי. רשם מאגרי המידע העומד בראש הרשות להגנת הפרטיות הוא הרגולטור המופקד על הגנת המידע האישי במאגרי מידע . דוח זה מ ציין ליקויים בפעולות הרשות שנמצאו בביקורת, ובכלל זה מעורבות מצומצמת של הרשות בסוגיות הגנת הפרטיות במאגרי מידע העולות במגזר הציבורי והיעדר ה של מדיניות אכיפה ברורה. הביקורת במשרדי הבריאות והחינוך העלת ה תמונה מדאיגה , ל פיה הם מבצעים פרויקטים מקיפים או פועלים לאיסוף מיד ע אישי רב מבלי שהוסדרה כראוי המסגרת הנורמטיבית לכך. נוסף על כך נמצאו ליקויים במדיניות אבטחת המידע וביישומה. בניגוד לנדרש בדין, למשרד החינוך אין תמונה מלאה ומפורטת של מאגרי המידע שלו או של ה ספקים המחזיקים במאגרי המידע שלו; והוא אינו מפקח על הספקים בהיבטי ם של אבטחת מידע והגנה על פרטיות. משרד הבריאות אינו מקיים פיקוח מיטבי על אבטחת מידע במוסדות הרפואיים . אין למשרד מיפוי של המוסדות הטעונים רישיון שאינם מחזיקים בתקן לניהול אבטחת מידע במערכות בריאות, ורבים מהם אף אינם מוסמכים לתקן זה. המשרד אינו מקיים פיקוח מיטבי על ההגנה על פרטיות המידע של מטופלים שנעשה בו שימוש במחקרים רפואיים. תנאי הכרחי לשיפור ההגנה על הפרטיות ולהטמעת הזכות לפרטיות הוא מחויבות ארגונית של המערכת הציבורית בישראל. הדברים באים לידי ביטוי גם בכמה החלטות ממשלה, המבססות את תפיסת השקיפות השלטונית ומחייבות שיקולים של הגנת פרטיות במסגרת יישומן. נוכח הממצאים המובאים בדוח זה, הנהלותיהם של משרדי החינוך והבריאות נדרשות להתגייס להכוונה ברורה של הגורמים האחראים לאבטחת המידע המשרדי, ולנקוט פעולה נמרצת לתיקון הליקויים ולהגנה אפקטיבית על הזכות לפרטיות, כנדרש בדין. כבר בתחילת שנות האלפיים הכיר משרד המשפטים בצורך בתיקונים בחוק הגנת הפרטיות ובתקנותיו, אך רובם לא קודמו או לא הושלמו. נראה כי בתחום זה של הגנת הפרטיות יש פער מובנה בין החקיקה, הממושכת מטבעה, ובין ההתפתחות הטכנולוגית המהירה. פער זה מגביר את הצורך לפעול בנחישות ובמהירות, על מנת לשמור על רלוונטיות של הוראות הדין במציאות המשתנה. על משרד המשפטים לקיים עבודת מטה בעניין חוק הגנת הפרטיות, ל בחון את התיקונים הנדרשים בדיני הגנת הפרטיות, לתעדפם ולקבוע לוחות זמנים לקידומם , הן לשם הגנה על זכויותיהם של נושאי המידע בישראל והן לשם שמירת מעמדה של ישראל כמדינה המבטיחה הגנה על מידע אישי ברמה נאותה התואמת את הדין האירופי. .מידע רפואי הוא מסוגי המידע הרגישים ביותר. הביקורת העלתה כי משרד הבריאות אינו מקיים פיקוח מיטבי על אבטחת המידע במוסדות הרפואיים ורבים מהם אף אינם מוסמכים לתקן לניהול אבטחת מידע במערכות הבריאות. על משרד הבריאות להרחיב את היקף הפיקוח בנושא זה, בשים לב לסיכונים הקיימים. עליו להשלים את תהליך האסדרה בנוגע להגנה על פרטיות המידע במסגרת מחקרים רפואיים, ובפרט במחקר בנתונים ללא הסכמת נושאי המידע, ולקיים פיקוח גם בנושא זה במסגרת הבקרות על מחקרים רפואיים. משרד הבריאות נדרש גם לפעול להסדיר את פעילותה של המערכת לשיתוף מידע רפ ואי, בחקיקה ראשית או משנית, כפי שייקבע בתיאום עם משרד המשפטים. עד מועד סיום הביקורת טרם קבע משרד הבריאות כללי התממה למחקרים בנתוני עתק ולמחקרים אחרים. נמצא כי מעבר להנחיות המפורסמות באתר המשרד ובעלון אבטחת המידע שנשלח לבתי הספר, לא התקבלה החלטה מעשית על אכיפת האיסור לעשות שימוש בתיבות דוא"ל פרטיות להעברת מידע פדגוגי או אישי על תלמידים.
הביקורת העלתה כי רק בשנת 2018 החל משרד החינוך בהטמעת תקן 27001 , ועל פי ההערכות, מועד עמידתו של המשרד בדרישות אבטחת המידע שבתקן יהיה יוני 2019 .