דוחות נוספים . טיפול משרד החקלאות בהגנת הפרטיות ובאבטחת מידע משרד מבקר המדינה מעיר לרשות האוכלוסין כי עליה לפעול לכך שנושא רגיש כגון הזנת מידע התומך בתהליכים של עיכוב יציאה מהארץ או כניסה אליה, וכרוכה בו העברת מידע בין גופים ציבוריים, יעוגן בנהליה בהתאם לכלל הוראות הדין, ובפרט אלה הנוגעות להגנת הפרטיות. הביקורת העלתה כי עבודת המטה שהחלה בנושא לעדכון רשימת המאגרים טרם הסתיימה, (בעניין זה ראו לעיל בפרק "אי -השלמת מיפוי, בחינה והגדרה של מאגרי מידע"). . משרד מבקר המדינה מעיר למשרד החקלאות כי עליו לפעול להכנת מסמך הגדרות מאגר לגבי המאגר הנוסף ויש לרושמו בפנקס מאגרי המידע, כנדרש בחוק הגנת הפרטיות, על מנת לאפשר את הבקרה על רמת אבטחת המידע בו. יצוין כי פרסומו של מידע כזה עקב אבטחה לקויה עשוי לפגוע בפרטיותם של האנשים הנזכרים בו ובשמם הטוב. .במאגרים שנרשמו על ידי המשרד בפנקס מאגרי המידע רשומים שלושה בעלים: משרד החקלאות / המשרד הראשי; משרד החקלאות / הרשות לתכנון ופיתוח; משרד החקלאות / מכון וולקני. מהמסמכים עולה שהרשות לתכנון ופיתוח במשרד רשומה כבעל המאגר של פיצו"ח מודיעין וכבעלים של מאגר כתבי אישור של מינהלת ההשקעות, אף על פי שנושאים אלו אינם מצויים בתחומה. משרד מבקר המדינה מעיר למשרד החקלאות כי עליו לבחון שו ב את הגדרת הבעלים של המאגרים. עולה שמשרד החקלאות לא הגדיר מי ישמשו כמנהלים למאגרי המידע שכבר רשם. אי -הגדרת מנהלי מאגרי מידע הביאה לידי כך שבבקשות שונות לקבלת מידע חתם כמנהל מאגר מידע בעל תפקיד אחר מבלי שהוגדר כמנהל ובלי שנשא באחריות לתפקידי המנהל. לדוגמה, מנהל השירות למערכות מידע (השל"מ) חתם כמנהל מאגר מידע על בקשה מספטמבר 2017 של המרכז לסחר חוץ במשרד לקבל מידע על נתוני יבוא מאגף המכס ברשות המיסים. זאת אף שהוא לא נקבע כמנהל המאגר18. משרד מבקר המדינה מעיר למנכ"ל משרד החקלאות כי עליו להגדיר למאגרים הרשומים מנהלים. במשך כשמונה שנים , מאז פרש לגמלאות הממונה הקודם על אבטחת המידע, לא מינה המשרד ממונה על אבטחת מידע כנדרש על פי חוק הגנת הפרטיות, ואף שהצורך למנות ממונה על אבטחת מידע הועלה על ידי גורמים שונים במשרד בהזדמנויות שונות. רק באוגוסט 2017 מינה המנכ"ל עובד בלשכתו לתפקיד ממונה אבטחת מידע. משרד מבקר המדינה מעיר לרשות להגנת הפרטיות כי ראוי היה שהרשות כמאסדר, בשיתוף עם נש"ם תקבע הנחיות בעניין ההכשרה הנדרשת לממונה על אבטחת מידע במשרדי הממשלה ובגופים הציבוריים האחרים , שבמסגרתה יילקחו בחשבון תפקידי הממונה שנקבעו בתקנות החדשות. עולה אפוא שמאגר נוסף , המשמש לפעילותה השוטפת של יחידת הפיצו"ח, לא הוגדר במסגרת מסמך הגדרות מאגר כנדרש לפי התקנות החדשות, וגם לא נרשם אצל רשם מאגרי המי דע. משרד מבקר המדינה מעיר לרשות להגנת הפרטיות כי מבלי להתייחס לתוכני ההכשרה, עצם הדרישה להכשרה מתאימה מתחייבת מלשון החוק. ככל שהרשות תמצא כי הגיוון בגודל ובהיקף של הגופים השונים במשק המחזיקים במאגרי מידע מונע ממנה לנסח קריטריונים כלל סקטוריאליים להכשרה, עליה לוודא כי יפורסמו קריטריונים ספציפיים למשרדי הממשלה. משרד מבקר המדינה מעיר למשרד החקלאות כי בהיעדר הנחיות של הרשות בנושא, עליו לקבוע מהי ההכשרה הנדרשת מממונה אבטחת המידע כנגזרת מדרישות תפקידו ולוודא כי העובד הממלא את התפקיד יוכשר בהתאם. עולה שהוועדה פעלה כשנה ורבע מבלי שהמשרד האריך את תוקף המינוי של חבריה. משרד מבקר המדינה מעיר למשרד החקלאות כי היה עליו להאריך את תוקף המינוי או למנות חברים חדשים לוועדה . סקר הסיכונים של יה" ב החל באמצע שנת 2017 , וטיוטה שלו הוגשה למשרד בנובמבר 2017 . .עוד מעיר משרד מבקר המדינה כי על משרד המשפטים לבחון אם יש להוסיף לתזכיר התיקון לתקנות הגנת הפרטיות הנזכר לעיל או לעגן באופן אחר קביעה בדבר האורגן או הדרג בגוף הציבורי שיחליט בדבר הפסקת העברת המידע, או יאשרר את ההחלטה אם יש צורך בהחלטה מיידית כשנעשה בו שימוש שלא כדין. משרד מבקר המדינה מעיר למנהל יחידת הפיצו"ח, כי אף שהיה חשש ניכר לעיכוב לא מוצדק במעברי הגבול וממילא לפגיעה בזכויות הפרט החושפת את משרד החקלאות לתביעות, במשך שלושת החודשים שבהם לא היתה התקדמות של ממש בביטול הצווים שהוזנו למערכת "רותם", הוא לא פעל בצורה נחרצת מול הנהלת רשות האוכלוסין בעניין זה. הוא גם לא עירב את הנהלת המשרד בנושא בעוד מועד. לא נמצא כי הוועדה להעברת מ ידע במשרד החקלאות, שהיא כאמור הגורם שבודק ומאשר את בקשת המשרד לקבל מידע מגוף ציבורי אחר, דנה בשנת 2013 בבקשת יחידת הפיצו"ח לקבל מידע על כלי רכב ממשרד התחבורה . המועד האחרון שבו התקיים דיון בוועדה על קבלת מידע ממשרד התחבורה היה בנובמבר 2011 . משרד מבקר המדינה מעיר ליחידת הפיצו"ח כי עליה להקפיד שכל בקשה לקבלת מידע תו גש לאישור הוועדה להעברת מידע במשרד , כנדרש בהוראות הדין. עולה שאף על פי שההמלצות לפעולה בעקבות סקר הסיכונים הובאו לידיעת המשרד בנובמבר 2017 , הן נדונו אצל המנכ"ל רק במרץ 2018 . זאת ועוד, טרם גובשה תוכנית עבודה, לא נקבע תקציב מוסכם לנושא הסייבר ולא הובהר אילו מהמלצות סקר הסיכונים לביצוע בשנת 2018 יתוקצבו ויבוצעו בשנה זו. גם טרם הוקצה תקציב להשלמת סקר הסיכונים. משרד מבקר המדינה מעיר כי בנוסף לאישורים העקרוניים , השלמת סקר הסיכונים וביצוע ההמלצות של הסקר החלקי לשנים 2018 ו- 201938 צריכים להיות מעוגנים בתוכניות העבודה של המשרד והגופים הרלוונטיים בו וכן בתקציב המשרד, כדי להבטיח כי הדברים יבוצעו. משרד מבקר המדינה מעיר למשרד התחבורה כי ביצוע הבקרה בפועל הוא אכן באחריות מגיש הבקשה, שכן הוא יכול לדעת איזה מידע מועבר לצורכי מילוי תפקידו של המשרד המבקש ואיזה לא. עם זאת, הבקרה על מידע שמשרד התחבורה הוא הבעלים שלו היא גם מעניינו ולא בכדי קבע המחוקק כי נוהל ההתקשרות להעברת מידע בין מערכות המוסרות ומקבלות דרך קבע ייערך על ידי מנהלי המאגר של שתי המערכות, המוסרת והמקבלת, ובו ייושמו עקרונות האבטחה ובקרת הגישה 30. על משרד התחבורה לסייע למשרד המבקש בהנגשת כלי הבקרה, כדוגמת יומן האירועים שהתבצעו במערכת משרד התחבורה (log,) הכולל זיהוי של מבצע הפעולה. נמצא כי בטופס הבקשה לקבלת מידע ממשרד התחבורה מ -2013 לא פורט, אף כי נדרש היה לפרט, אילו אמצעי בקרה וניטור על הכניסות של מורשי הגישה למאגר ישמשו את מקבלי המידע. משרד מבקר המדינה מעיר למשרד החקלאות כי עליו להקדים ולקבוע את רמת האבטחה במאגריו, וככל שיש לו מאגרים שעליהם חלה רמת אבטחה גבוהה, יהיה צורך להיערך לקיים בהם מבדקי חדירה. מכל האמור לעיל עולה כי המשרד לא נערך בצורה מספקת ליישום התקנות החדשות. לא נמצא כי הייתה התארגנות ברמת הנהלת המשרד להגדרת כל המאגרים הרלוונטיים במשרד, לקביעת רמת האבטחה בהם וכן לקביעת יעדי היערכות ולוחות הזמנים ליישומם. אלו צעדים ראשוניים, שאמורים לשמש נדבך בסיסי לתוכנית עבודה שבה מיושמים אמצעי אבטחת מידע הנדרשים על פי תקנות הגנת הפרטיות (אבטחת מידע). משרד מבקר המדינה מעיר למשרד החקלאות על שלא עשה את הצעדים הראשוניים ההכרחיים לתחילת יישומן של התקנות החדשות. תוצאתו של דבר, שאף על פי שהתקנות החדשות נכנסו לתוקף, משרד החקלאות, שהוא הבעלים של מאגרי מידע רבים וחלקם רגישים, אינו ערוך ליישומן. עולה שעד מועד סיום הביקורת במרץ 2018 לא עלה בידי משרד החקלאות לסכם נוהל קבוע ולחדש את קבלת המידע ממשרד התחבורה הנדרש לפעולות האכיפה והחקירה של יחידת הפיצו"ח. זאת ועוד, במשך כשישה חודשים, מאוגוסט 2017 עד ינ ואר 2018 , לא יישם משרד החקלאות את הנחיית מנכ"ל המשרד שעניינה נוהל זמני המאפשר ליחידת הפיצו"ח להמשיך ולקבל את המידע הנחוץ לצורך מילוי תפקידיה. כתוצאה מכך נפגעה עבודת יחידת הפיצו"ח בכל הקשור לזיהוי בעלי כלי רכב שרכביהם אותרו כמעורבים בעבירות שהן בתחום הטיפול של היחידה. משרד מבקר המדינה מעיר למשרד החקלאות כי התמשכות הטיפול בנושא חידוש קבלת המידע ממשרד התחבורה אינה עולה בקנה אחד עם צורכי המידע הנדרשים ליחידת הפיצו"ח לצורך מילוי תפקידה על פי דין. על משרד החקלאות לסכם את שיטת קבלת המידע ממשרד התחבורה והשימוש בו באופן שיאזן בין צורכי המידע של יחידת הפיצו"ח לבין הצורך לערוך בקרה על הגישה לאחד ממאגרי המידע הגדולים בישראל, המכילים מידע המוגן לפי חוק הגנת הפרטיות. זאת ועוד, על הנהלת משרד ה חקלאות לערב בהכנת הנוהל את הוועדה להעברת מידע, האחראית על פי תקנות הגנת הפרטיות (העברת מידע) לאישור העברת מידע בין גופים ציבוריים ולבקרה עליו. .משרד מבקר המדינה מעיר למשרד החקלאות כי עליו לבחון את תהליך אישור העברת המידע בין גופים ציבוריים ובין המשרד, ולוודא כי כל מנגנוני הבדיקה והבקרה הנדרשים על פי דין קיימים, כי ממלאי התפקידים הרלוונטיים מודעים לתפקידם ולאחריותם, וכי התהליך מתנהל בהתאם להוראות הדין והנחיות היועמ"ש. לא נמצאו כתבי המינוי לתפקידים אלה של החותמים על טופסי הבקשה לקבלת מידע מהשנים 2008 ו-2013 . עולה שלכאורה החותמים על טופסי הבקשה לקבלת מידע לא מונו לתפקידים שבשמם חתמו. לא זו בלבד, אחד מן החותמים כממונה על אבטחת המאגר היה גם מורשה הגישה היחיד למאגר. בכך איפשרה הוועדה מצב שבו גורם הבקרה הוא בו -זמנית אחד המשתמשים במידע, מצב שאינו עולה בקנה אחד עם כללי מינהל תקין והפרדת סמכויות ועלול לפגוע בבקרה. משרד מבקר המדינה מעיר למשרד החקלאות כי על בקשה לקבלת מידע אמורים לחתום בעלי תפקידים שמונו כדין לתפקידם. קיימת חובה למנות מנהל לכל מאגר, בין היתר כיוון שמוטלות עליו חובות ספציפיות בתהליך העברת המידע בין גופים ציבוריים. על משרד החקלאות למנות מנהלים לכל מאגרי המידע שברשותו כנדרש על פי דין. משרד מבקר המדינה מעיר לרשות האוכלוסין כי מן הראוי היה שההחלטה להפסיק את השימוש של יחידת הפיצו"ח במערכת "רותם" הייתה מתקבלת על ידי הוועדה להעברת מידע של רשות האוכלוסין וההגירה, ולא על ידי מינהל מעברי גבול. זאת היות שתפקידה של הוועדה על פי תקנות הגנת הפרטיות (העברת מידע) הוא לדון ולאשר העברת מידע ונוכח הנחיית המשנה ליועץ המשפטי לממשלה המטילה על הוועדה את האחריות לפקח על התנהלות הגוף בו היא פועלת בכל הנוגע להעברת מידע המצוי בידי הגוף הציבורי. הגורם שרשאי לאשר אמור להיות גם הגורם שיורה על הפסקת העברת המידע, או במקרים מיוחדים בהם ניתנה החלטה דחופה להפסיק העברת מידע על ידי גורם אחר, הוועדה להעברת מידע תהיה זו שתאשרר אותה. .משרד מבקר המדינה מעיר למשרד החקלאות כי עליו לעגן את הפעילויות הנעשות בתחומים אלו בתוכניות עבודה ולפעול ליישומן, כדי לשפר את המצב בתחומים אלה. משרד מבקר המדינה מעיר למשרד החקלאות כי נוהל האבטחה שצורף לתשובת המשרד הוא ברמת הרשת המשרדית כולה, ואינו בגדר תחליף לנוהל אבטחה ספציפי לכל מאגר מידע במשרד, כנדרש בתקנות הגנת הפרטיות (אבטחת מידע ). נוהל כזה צריך לכלול מרכיבים נוספים על אלו שכולל הנוהל המצורף, ובכלל זה הסיכונים שחשוף להם המידע במאגר, אמצעי אבטחה פיזית וסביבתית ורכיבים נוספים בהתאם לרמת האבטחה החלה על המאגר. . מכל האמור לעיל עולה כי תהליכי אישור העברת מידע במשרד החקלאות נעשו בניגוד לתקנות הגנת הפרטיות (העברת מידע) ולהנחיית המשנה ליועץ המשפטי לממשלה, שהרחיבה והבהירה אותן. זאת ועוד, היעדרה של ההיערכות הארגונית הנדרשת במשרד על פי חוק הגנת הפרטיות, ובכלל זה אי-מינוי מנהלי מאגרים וממונה אבטחת מידע, לא איפשר לקיים את תהליכי העברת המידע כנדרש בתקנות. הוועדה להעברת מידע לא מילאה את תפקידה כגורם בקרה, ולא דרשה לשלב בתהליך אמצעי מעקב אחר השימוש במידע על ידי מורשי הגישה למידע, כנדרש על פי טופס הבקשה וכמפורט בהנחיית המשנה ליועץ המשפטי לממשלה. יצוין כי המציאות הוכיחה שהיעדר בקרה על מורשי הגישה אינה פרצת אבטחה תיאורטית בלבד. שכן, חוסר הערנות ואי-המודעות לנושא זה איפשרו מצב שבו עובדים מיחידת הפיצו"ח עשו לכאורה שימוש שלא כדין במידע, שבגינו הם הושעו והוגשה נגדם תובענה לבית הדין למשמעת של נש"ם. עולה אפוא שהוועדה להעברת מידע במשרד החקלאותסיימה למעשה את מעורבותה בהליכי קבלת המידע מהגופים הציבוריים כבר בשלב של מתן האישור לקבלת המידע , ולא הייתה מעורבת בשלבים הבאים של תהליך קבלת המידע והשימוש שנעשה בו במשרד בפועל. בכך התעלמה הוועדה מאחריותה להיות גורם הבקרה המרכזי כפי שנקבע בהנחיית המשנה ליועץ המשפטי לממשלה. משרד מבקר המדינה מעיר למשרד החקלאות, כי עליו לתקן את הנוהל ולקבוע בו מהי המעורבות הנדרשת מהוועדה להעברת מידע וממנהלי המאגר ב תהליכי העבודה מול הגוף הציבורי מוסר המידע והגוף מקבל המידע. זאת בהתאם לאחריות המוטלת עליהם בחוק, בתקנות הגנת הפרטיות (העברת מידע ) ובהנחיית המשנה ליועץ המשפטי לממשלה, ועל מנת לממש בפועל את אחריות הוועדה לבקרה על התהליך ואת כפיפותם אליה של כל הגורמים הפועלים בנושא. מכל האמור לע יל עולה שבמשרד החקלאות, לא ניתנה במשך זמן רב תשומת לב ניהולית מספקת להיערכות הארגונית הנדרשת ליישום חוק הגנת הפרטיות במשרד: לא הוגדרו בעלי מאגרי מידע ומנהלי מאגרים, לא מונה ממונה על אבטחת מידע, והתגלו ליקויים בארגונה ובפעולתה של הוועדה המשרדית להעברת מידע. משרד מבקר המדינה מסב את תשומת לבה של הרשות להגנת הפרטיות למצב דברים זה, שעלול להתקיים גם בגופים ציבוריים אחרים. על הרשות להגנת הפרטיות לבחון את הדרך המיטבית להשגת המטרה שחובות בעלי התפקידים ימומשו, בין בהגברת האכיפה ובין על ידי בחינה אם יש מקום לשנות את ה מצב הקיים היום ולהסדיר בדין חלוקה של התפקידים, או בכל דרך אחרת שתיראה לה מתאימה. .משרד מבקר המדינה מעיר לוועדה להעברת מידע כי בבקשה מרשות האוכלוסין משנת 2009 היה על הוועדה לוודא, שאין החותם כממונה על אבטחת מידע ממלא תפקיד שאינו עולה בקנה אחד עם תפקידו זה, ובכלל זאת מי שיעשה שימוש במידע שאותו מבקשים. משרד מבקר המדינה מעיר כי גם אם האחריות היא כוללת לכל בעלי התפקידים, יש למצוא דרך להבטיח כי בפועל הפעולות יתבצעו והעבודה תתנהל כראוי. עולה שהבקשה הוגשה על ידי יחידת הפיצו"ח לרשות האוכלוסין ב-2013 מבלי שנדו נה ואושרה בוועדה להעברת מידע, כמתחייב מתקנות הגנת הפרטיות ומהנחיית המשנה ליועץ המשפטי לממשלה. עולה שהוועדה להעברת מידע במשרד החקלאות אישרה את הגשתה של הבקשה לרשות האוכלוסין משנת 2009 , שעליה חתם אחד המשתמשים כממונה אבטחת מידע, אף שלא מונה לתפקיד על ידי גורם במשרד. בכך איפשרה הוועדה מצב שבו אחד המשתמשים במידע הוא גורם מרכזי בבקרה, מצב שפותח פתח לבעיות בתהליך הבקרה ואינו עולה בקנה אחד עם כללי מינהל תקין והפרדת סמכויות. בעניין זה יוער כי התקנות החדשות דורשות כי הממונה על אבטחת המידע לא ימלא ת פקיד נוסף שעלול להעמידו בחשש לניגוד עניינים במילוי תפקידו לפי תקנות אלה. מהאמור לעיל עולה כי הן בעלי התפקידים (מנהל המאגר והממונה על אבטחת המידע) שחתמו על טופס א' והן הוועדה להעברת המידע במשרד החקלאות, שאמורה לבקר ולשקול את עניין קבלת המידע על כל היבטיו, לא הקפידו לוודא כי נערכת בקרה נאותה אחר השימוש שנעשה במאגר, ובפרט לגבי כניסות מורשי הגישה למרשם האוכלוסין והמידע שדלו מתוכו. משרד מבקר המדינה מעיר למשרד החקלאות כי היעדר בקרה על השימוש שעושים מורשי הגישה במאגר מרשם האוכלוסין, המכיל מידע רגיש על כל תושבי המדינה, מהווה פרצה באבטחת המידע. פרצה זו אכן איפשרה לעובדים לעיין במידע בניגוד להוראות הדין. משרד מבקר המדינה מעיר למשרד החקלאות כי מן הראוי שנוהל של ועדה להעברת מידע, שבראשה אמור לעמוד מנכ"ל המשרד או בעל תפקיד הכפוף לו, יאושר על ידי המנכ"ל או לכל הפחות יידון בוועדה ויאושר על ידה. התנהלות זו תרמה לכך שהנוהל לקה בחסר והדבר השפיע על עבודת הוועדה כמפורט להלן. על פי נוהל עבודת הוועדה, תהליך אישור העברת המידע מסתיים במתן האישור של הוועדה למסירת מידע לגורמים המבקשים מידע מהמשרד או באישורה של הוועדה לגורם מגורמי המשרד לקבל מידע מגוף ציבורי אחר. הנוהל אינו עוסק בהמשך התהליך ובכלל זה: הגשת הבקשה (טופס א') לאישור הוועדה להעברת מידע בגוף הציבורי המוסר את המידע, קבלת התייחסותה והטיפול בה; מעקב ופיקוח על קבלת מידע ובכלל זה על התקנתם והפעלתם של אמצעי הבקרה והניטור אצל מקבל המידע אחר המורשים להשתמש במידע. משרד מבקר המדינה מעיר למשרד החקלאות כי בראש ובראשונה עליו להקפיד על מילוי הוראות הדין והיועץ המשפטי לממשלה בכל הקשור ליישום חוק הגנת הפרטיות במשרד. עוד יוער, כי על המשרד להקפיד על מעורבותה של הוועדה להעברת מידע, שעל פי הנחיית המשנה ליועץ המשפטי לממשלה, ממונה אבטחת המידע ומנהל המאגר כפופים אליה בתחום העברת המידע בין גופים ציבוריים. עולה שבמשך כשבע שנים העבירה רשות האוכלוסין מידע ממערכת "רותם" ליחידת הפיצו"ח ללא אישור הוועדה להעברת מידע ברשות. משרד מבקר המדינה מעיר לרשות האוכלוסין כי בטרם אישרה את בקשתה של יחידת הפיצו"ח להתחבר למערכת "רותם" היה עליה לפעול לפי נוהלי ביצוע העברת מידע בין גופים ציבוריים, כנדרש בחוק הגנת הפרטיות ובתקנותיו, ולאשר את העברת המידע על ידי הוועדה להעברת מידע ברשות.
משרד מבקר המדינה מעיר כי בהצהרה כזאת של יחידת הפיצו"ח אין כדי לפטור את ר שות האוכלוסין מלפעול על פי תקנות הגנת הפרטיות (העברת מידע). הבקשה לקבלת מידע מאת גוף ציבורי על פי תקנות אלו חייבת להיות ספציפית הן מבחינת השימוש שנעשה במידע והסמכות של הגוף המבקש לקבלו, הן מבחינת מורשי הגישה והן מבחינת אמצעי האבטחה. בעניין הנדון, מטרת השימ וש במערכת "רותם" הייתה הזנת עיכובי יציאה מהארץ, ואילו בקשת יחידת הפיצו"ח להתחבר למערכות מרשם האוכלוסין נעשתה לצורך אחזור מידע. לפיכך היה על רשות האוכלוסין, לפני שאיפשרה את הגישה למערכת "רותם", להקפיד שיחידת הפיצו"ח תגיש בקשה להתחבר אליה על פי הכללים שנקבעו בתקנות הגנת הפרטיות (העברת מידע).