מטלות רוחב ומטלות בין-משרדיות . היבטים בהגנה על הפרטיות במאגרי מידע בביקורת נמצא כי על אף האמור בחוזר אבטחת מידע, מכלל כ - 1,500 מוסדות רפואיים117 הטעונים רישיון כ-150 בלבד קיבלו הסמכה לתקן118 (בעיקר בתי חולים וקופות חולים). שאר המוסדותהטעונים רישיון, ובהם בתי חולים גריאטריים, מרכזים למשתמשים בסמים ומרפאות שיניים, לא קיבלו הסמכה לתקן ומשרד הבריאות אינו אוכף עליהם חובה זאת. עוד העלתה הביקורת כי גם מרפאות רבות אחרות, שחוזר אבטחת מידע חל עליהן על אף שאינן טעונות רישיון ממשרד הבריאות, לא קיבלו הסמכה לתקן ומשרד הבריאות אינו אוכף עליהן חובה זאת. במועד סיום הביקורת המשרד אף אינו מחזיק ברשימת המוסדות המוסמכים לתקן - מוסדות טעוני רישיון ושאינם טעוני רישיון. משרד מבקר המדינה מעיר למשרד הבריאות , כי עליו למפות את המוסדות הטעונים רישיון שאינם מחזיקים ב הסמכה ל תקן ול הניעם להשגת ההסמכה הנדרשת. בהמשך עליו לבחון דרכים להניע גם מרפאות שאינן טעונות רישיון לעמוד בהוראות חוזר אבטחת מידע, לרבות עמידה בתקן. במסגרת זו עליו לבחון אם נכון לקבוע מדרג של דרישות אבטחת מידע למרפאות לפי גודלן ובהתאם ל אופי פעילותן. משרד מבקר המדינה מעיר למשרד החינוך כי כל עוד לא הושלם הליך החקיקה ולא הוכרעה בחקיקה סוגיית חסיון המידע שאוספת ראמ"ה, נשקפת סכנה לזכות הפרטיות של תלמידים ובני משפחותיהם באיסוף המידע, שמירתו והשימוש שנעשה בו. בפעולת ראמ"ה על פי עקרונותיה של הצעת חוק מלפני שמונה שנים אין כדי לייתר את הצורך בחקיקה בתחום רגיש זה. על משרד החינוך לפעול לאלתר להסדרת פעולתה של ראמ"ה ולהגיש הצעת חוק מעודכנת להתייחסות הגופים הרלוונטיים ולהערות הציבור, בהתאם להחלטת הממשלה. עד ההסדרה בחוק יקבע משרד החינוך בכללים או בחוזר מנכ"ל הנחיות בקשר לפעולתה של ראמ"ה. פרויקט הסדרת מערך המידע, המתכלל פרטים רגישים מזהים כה רבים והמקשר בין כלל סוגי הנתונים במערכות הקיימות מצוי ברמת סיכון גבוהה יותר מרמת הסיכון של מערכות מפוזרות נוכח כמות התלמידים ורגישות המידע הנאסף , ולכן נדרשת בו רמה גבוהה יותר של אבטחת מידע. משרד מבקר המדינה מעיר למשרד החינוך כי אם יתברר שהפרויקט מהווה "מאגר מידע חדש" על פי הגדרותיו של חוק הגנת הפרטיות, יהיה צורך לבחון אם מאגר המידע מקיים גם את הגדרת "מאגר -על", הטעון רמת הגנה גבוהה יותר, וכן ניהול ורישום מיוחדים. על צוות ההיגוי המנהל את הפרויקט לשקול לערב את הרשות להגנת הפרטיות ואת מחלקת ייעוץ וחקיקה בקידומו, על מנת שיוטמעו בו דרישות יסודיות מתחום אבטחת המידע והגנת הפרטיות של התלמידים, משפחותיהם ועובדי ההוראה. עד מועד סיום הביקורת לא נעשתה הבחנה כאמור. מחלקת ייעוץ וחקיקה נדרשת לפעול ל חלוקת העבודה בינה ובין הרשות, לצורך קידומם של הנושאים שבאחריות ן. משרד מבקר המדינה מעיר למשרד המשפטים , כי על מנת לשמור על מעמדה של מדינת ישראל כמדינה המבטיח ה הגנה על מידע אישי ברמה העומדת בדרישות הדין האירופי, יש חשיבות רבה לקידום תיקון החוק הנוגע לסמכויות האכיפה של הרשם , בהמשך לתקנות אבטחת מידע שנכנסו לתוקפן. יש לתת את הדעת לכך שהחלטת ההלימה משנת 2011 ניתנה גם על סמך הצפי ליישום המלצותיו של צוות ההסדרה, עניין שעדיין מתקדם בעצלתיים. בביקורת נמצא כי על אף החשיבות שהרשות מייחסת למעורבותה בסוגיות הגנת הפרטיות במאגרי מידע העולות במגזר הציבורי, פעילותה בנושא חלקית בלבד. להלן הפרטים: על משרד הבריאות לבחון את אפשרות חסיונו של ביקור מסוים לבקשת מטופל גם בקופות החולים, וזאת בהתאם לקביעת מינהלת הפר ויקט לשיתוף מידע. בהתאם לסיכום התקציבי עם משרד האוצר ממרץ 2018 , משרד הבריאות נדרש להגיע להסכמות עם המשרדים החתומים על הסיכום, ובכלל זה משרד המשפטים, בדבר המנגנון הנורמטיבי המתאים ליישום התוכנית שבהחלטת הממשלה עד סוף יולי 2018 , ועד סוף יולי2019 עליו לממש את ההסדר הנורמטיבי המוסכם. משרד מבקר המדינה מעיר למשרד הבריאות, כי מזה שנים נערכים במוסדות הרפואיים מחקרים בנתוני עתק ללא רגולציה המתאימה בין השאר להתפתחות הטכנולוגית, ולכן עליו להחליט בהקדם על המנגנון הנורמטיבי המתאים, בהסכמת המש רדים הרלוונטיים, כדי שיתאפשר לקדם ולסיים את השלב המהותי של מימוש המנגנון שיוסכם עליו. תשובת בית החולים אסף הרופא אינה עולה בקנה אחד עם הדברים שנמסרו לביקורת מוועדת הלסינקי של בית החולים. על בית החולים לברר הסוגיה ולחדד את הכללים בנושא. הביקורת העלתה כי במשרד החינוך יש הנחיות רבות להעברת מידע בין מסגרות חינוכיות. חלק מההנחיות פזורות בחוזרי מנכ"ל ישנים ולא מעודכנים, והן מתייחסות לרישומים ומידע שנאספו בבתי הספר באופן לא אחיד ולעיתים אף סותר. מוזכרים בהן מונחים כמו "תיק אישי", "כרטיס תלמיד" ו"כרטיס רפואי" בלי שהוגדר במפורש מה שהם כוללים וללא התאמה בין המושגים72 . .מהתרשים עולה כי בעשור האחרון פחתו פעולות האכיפה שהרשות נקטה בהן בהשוואה לתחילתו, ואף שבשלהי העשור חלה עלי יה, עדיין מספרן קטן משהיה בשנים 2008 - 2009 ,. זאתעל אף הגידול בהיקפו של שוק המידע האישי בישראל ועל אף שכוח האדם ברשות בכלל ובתחום האכיפה בפרט, גדל במשך השנים עד להכפלתו: בשנת 2009 עסקועשרה עובדים ברישום המאגרים ובאכיפה גם יחד ובשנת 2018 הועסקו במחלקת האכיפה לבדה 19 עובדים. נמצא כי לרשות אין נתונים מלאים על תוצרי האכיפה שלה: התיקים שנסגרו, התיקים שהסתיימו בקנס מינהלי, בקביעת הפרה, או במתן הנחיות. בחלק מהשנים נאספו הנתונים באופן ידני והם מופיעים בדוחות השנתיים. גם מתשובת הרשות למשרד מבקר המדינה על ממצאי הביקורת עלו פערים לעומת הנתונים שהועברו במהלך הביקורת. משרד מבקר המדינה מעיר לרשות, כי איסוף הנתונים האמורים וניתוחם הם כלי ניהולי בסיסי שבכוחו לשמש את הרשות בהערכת האפקטיביות של פעולותיה. פעילות האכיפה היא בליבת עשייתה של הרשות להגנת הפרטיות לצורך שמירה על פרטיות הציבור. בעולם הטכנולוגי המתפתח, ובו גופי ענק האוספים ומעבדים מידע על בני אדם, יש צורך באכיפה משמעותית ואפקטיבית לצורך הרתעה וחיזו ק מעמדה של הרשות. הנתונים שהובאו לעיל מעידים על הצורך בשיפור של ממש בפעילות האכיפה של הרשות ובתוצריה. משרד מבקר המדינה מעיר לרשות, כי הדוחות השנתיים של ה לשנים 2007 - 2010 מלמדים כי גם בשנים אלה טיפלה בתיקים רבים בעלי משמעות. מעבר לכך, גם אם חל שינוי באופי התיקים , הפער במספר התיקים שנפתחו במהלך העשור אינו מוסבר, מה גם שבשנים הראשונות היו ברשות כולה 18 עובדים בלבד ובשנים האחרונות היה מספרעובדים דומה במחלקת האכיפה לבדה. אשר לתיקי הפיקוח הרוחבי, יש להבחין בין אכיפה מ ינהלית ופלילית ו בין פיקוח רוחב, הבחנה שהרשות עצמה עושה בדוחות השנתיים. המהלך לפיקוח רוחבי חשוב ויש לברך עליו. עם זאת, בהיעדר סנקציות יעילות שהרשות יכולה להטיל, עליה להיערך כראוי כדי שתוכל להמשיך את הטיפול בממצאי הפיקו ח הצפויים בכלי האכיפה שבידיה וכדי שהמהלך ישיג את מטרתו. על פי נתוני המחלקה לניסויים קליניים, מכלל 54 מוסדות, בשנת2016 לא העבירו דיווחים כנדרש 34 גופי ביקורת, בשנת2017 - 25 גופים, ובשנת 2018 - 22 .גופים .נמצא, כי בית החולים אסף הרופא אינו מבצע ביקורת בנושא התממה אף שעמדת משרד הבריאות היא שעליו לבדוק הנושא במסגרת הבקרות. מעיון ב -66 דוחות הבקרה לשנים 2015 - 2017 של גוף הבקרה באסף הרופא עולה, כי באחד מהם בלבד הייתה התייחסות - לקונית - לנושא המידע האישי וצוין כי המחקר נערך על סמך נתונים מתיקים רפואיים תוך שמירה על אלמוניותם של המטופלים. מהאמור לעיל עולה סתירה מובנית בין כללי משרד הבריאות, המחייבים אנונימיזציה מלאה של מידע המועבר ללא הסכמה במחקרי נתונים, ובין המידע הנדרש לצורך מחקר, שהוא מידע שניתן לזיהוי חוזר בעת הצורך (על מנת להוכיח כי הנתונים אמיתיים ואף לטובת המשתתפים בניסוי, אם יתגלה במחקר מידע חשוב לבריאותם). מהאמור עולה, כי מחקרי נתונים בישראל נערכים בניגוד לכלל האנונימיזציה האמור, ועל משרד הבריאות לבחון מחדש את הסוגיה כולה. נמצא כי גם במחקרי נתונים בבית החולים אסף הרופא החוקר מקבל מידע רפואי מזוהה אף אם אינו הרופא המטפל. יתר על כן, על פי גישתו של בית החולים, המנוגדת לעמדתו של משרד הבריאות, כל החומר והמידע שנאסף בידי החוקר הראשי חשוף ליזם המחקר142 , משום שהמידע "שייך" לו ו ההתממה נועדה לגורמים אחרים שאינם מורשים לעיין במידע המזוהה , כגון חוקרים שאינם החוקר הראשי במחקר143. . מספר נושאי המידע במחקר עשוי להיות מטופלים ספורים עד מאות או אלפים, למשל במחקר הנערך במקביל בכמה בתי חולים, ורבים עוד יותר במחקרים בנתוני עתק. על משרד הבריאות בשיתוף משרד המשפטים לפעול לקביעתם של כללי התממה מתאימים, בשים לב לצורכי המחקרים מזה ולחובת ההגנה ע ל פרטיותם של נושאי המידע מזה. כמו כן עליו לפעול להנחות את ועדות הלסינקי והמוסדות הרפואיים העורכים את הניסויים בנושא ולפקח על יישום הכללים שייקבעו. .ככל שהסיכונים הכרוכים במערכות מידע ממוחשבות נעשים שכיחים יותר, דרושות פעולות נחרצות יותר של משרדי הממשלה לאבטחת המידע ולהגנה על פרטיותם של נושאי המידע. הממצאים בפרק זה מציגים תמונה מדאיגה ובה אין למשרד החינוך תמונה מלאה ומפורטת, כנדרש בדין, של מאגרי המידע שלו או של הספקים המחזיקים במאגרי המידע שלו; מערכות המידע של הספקים המחזיקים במידע אישי רגיש על תלמידים ועל משפחותיהם אינן נבדקות לא בשלב בחינת ההתקשרות ולא במהלך תקופת ההתקשרות; ואין בקרה ופיקוח על הספקים בהיבטי אבטחת מידע והגנה על הפרטיות. בנסיבות אלה יש חשש כבד לאבטחת המידע ולהגנת הפרטיות של נושאי המידע. משרד מבקר המדינה מעיר להנהלת משרד החינוך, כי מחויבות ההנהלה היא חלק בלתי נפרד ממדיניות האבטחה של כל ארגון והיא חשובה במיוחד לנוכח הממצאים המובאים בפרק זה ולנוכח השלכותיהם. כך גם עולה מן ההנחיות בתחום הגנת הסייבר והתקינה הבין -לאומית 111 . על מנכ"ל המשרד להתגייס להכוונה ברורה של הגורמים האחראים לאבטחת המידע המשרדי, כדי ליצור מחויבות ואחריות כוללת. יש לנקוט פעולה נמרצת לצמצום הפערים בין דרישות הדין ובין המצב הקיים במשרד, ולפעול בנחישות להגנה אפקטיבית על הזכות לפרטיותם של תלמידים ומשפחותיהם, כנדרש בדין. נמצא כי בחלוף שנה ויותר מיום שניתנו המלצות הוועדה, משרד הבריאות טרם הנחה את המוס דות הרפואיים בנוגע למקרים שיחייבו דיווח על אירועי אבטחת מידע, לצורך בקיום בקרה ואכיפה של הכללים לאבטחת מידע ועוד. על משרד הבריאות לפעול להמשך יישומן של מסקנות הוועדה ולהטמעתן במוסדות הרפואיים. הרשות המליצה על עיגון העקרונות האלה בחקיקת משנה, א ך מאז שנת 2010 טיוטת הכללים לא קודמה והעקרונות גם לא עוגנו בחקיקת משנה. .החקיקה בתחום הגנת הפרטיות אינה תואמת את ההתפתחות הטכנולוגית של העשורים האחרונים ואף אינה כוללת התייחסות מיוחדת לילדים. גם הניסיונות להסדרת ה של ההגנה על פרטיות הילדים בחקיקה או בכללים לא צלחו. האמור לעיל ממחיש את הצורך בהגנה על זכותם של ילדים לפרטיות באופן המשלב כמה תחומים: חינוך והדרכה של הורים וילדים לשמירת זכותם לפרטיות, חקיקה מעודכנת שתגביל את האיסוף והשימוש במידע על ילדים לאופן ולמידה הדרושים, ושימוש בכלים טכנולוגיים שישרתו את הזכות לפרטיות של ילדים בפיתוח המערכות ובאבטחתן. על משרד המשפטים בשיתוף גורמים רלוונטיים בתחום ההגנה על זכויות הילד לשקול הסדרה של הגנה על פרטיות הילדים בחקיקה או בכללים, תוך התאמה לעידן המידע וההתפתחויות הטכנולוגיות. הקמת מערך הפיקוח מחזקת את הצורך בקביעת מדיניות אכיפה כדי לכוון את פעילותו בהתאם ליעדי הרשות. על הרשות לקבוע מדיניות אכיפה בשים לב ליעדיה ולמפת הסיכונים של הפגיעה בפרטיות, על מנת שתשקיע את משאביה בתבונה ובדרך המיטבית להשגת תוצאות מרביות בכלים שבידיה. עד מועד סיום הביקורת לא היה למשרד החינוך מיפוי של מאגרי המידע שלו או רשימת מצאי של מערכות המידע. עוד עלה, כי הפעילות למיפוי מאגרי המידע נמצאת רק בראשית דרכה כחלק מעבודת המשרד להסמכה לתקן 27001 . נכון למועד סיום הביקורת אין למשרד החינוך מדיניות אבטחת מידע וסייבר מאושרת. על אף האמור, האפשרות להסתיר ביקור יחיד במערכת שיתוף המידע קיימת בבתי החולים אך לא בקופות החולים. נמצא כי בשל הקפאת חוזר שיתוף מידע רפואי, קופות החולים לא יידעו את הציבור בנושא כפי שקבעה מינהלת הפרויקט לשיתוף מידע וכפי שהומלץ גם בתסקיר ההשפעה על הפרטיות משנת 2014 . עוד נמצא, כי הסבר על הזכות ליציאה מהמערכת וטופס למימוש זכות זאת קיים באתרי האינטרנט של כללית, מכבי וקופת חולים מאוחדת, אך אינו קיים באתר לאומית שירותי בריאות. גם הפרסום שעשה משרד הבריאות בנושא נעשה באינטרנט בלבד והופסק לאחר מספר ימים. . אין חולק על חשיבותה הרבה של מערכת שיתוף מידע רפואי להצלת חיים ולשיפור איכות הטיפול הרפואי. ואולם, משרד מבקר המדינה מעיר למשרד הבריאות, כי אין להשלים עם התעלמותו מעמדת משרד המשפטים על הצורך להסדיר את הנושא בחקיקה. מנגד, משרד המשפטים לא פעל באמצעים המקובלים במחלוקות משפטיות מעין אלה128, .ומערכת שיתוף המידע המשיכה לפעול במשך השנים ללא הסדרה ראויה על משרד הבריאות ומשרד המשפטים להגיע בהקדם להכרעה על ההסדר הנורמטיבי הנדרש ולפעול ליישומו. על משרד הבריאות להשלים בהקדם את מיפוים של מוסדות אלה ולבנות תוכנית לפיקוח ובקרה על אבטחת המידע בכל המוסדות, בהתאם לסדרי עדיפויות שיקבע. משרד מבקר המדינה מעיר למשרד החינוך , כי עצם העובדה שהנושא הובא לדיון בוועדת המכרזים איננה מבטיחה שנעשתה בחינה מקדמית באופן שיטתי של עצם הצורך בהוצאת השירות למיקור חוץ, כאמור בתקנות אבטחת מידע והנחיית הרשם בנושא מיקור חוץ. לפיכך, ככל שהמידע המועבר רגיש ורב יותר, כן יש להקפיד יותר בהחלטה אם להוציא את השירות למיקור חוץ, בדרישות אבטחת המידע שייקבעו במכרז ובבחירת הספק. משרד מבקר המדינה מעיר כי בנוסף להנחיה המשרדית, על הנהלת משרד החינוך להטמיע , לפני פרסום מכרזים להתקשרות עם ספקים , שלב מקדמי הכולל בחינה על פי הדרישות שבתקנות אבטחת מידע ובהנחיית הרשם בנושא מיקור חוץ. נמצא כי לאחר בחירתו של הספק הזוכה ו כל תקופת ההתקשרות אתו , משרד החינוך לא עושה פעולות לבקרה ופיקוח בתחום אבטחת מידע, בהן בדיקת יישום הוראותיו של נספח אבטחת המידע, הגם שכבר ב-2014 ציינה חטיבת אבטחת מידע במינהל תקשוב את הצורך בבדיקת כשירותם של המועמדים במכרזים ובבקרות שוטפות על ספקים. הביקורת העלתה כי הגם שהוקצו לעובדי משרד החינוך תיבות דוא "ל ארגוניות במערכת "יונת דואר", כמעט שלא נעשה בהן שימוש. מדוח פעילות שהופק עבור משרד מבקר המדינה ביולי 2018 עולה, שאף כי בתיבות הדואר של המערכת מתקבלות הודעות רבות , מספר המשתמשים השולחים הודעות באמצעות המערכת הוא אפסי104 . .התפיסה המשפטית הכללית בקשר לילדים היא שיש להעניק להם הגנה מיוחדת וחזקה יותר מן ההגנה המוקנית ל בגירים, בעיקר משום שאינם מודעים מספיק לסכנות , בתחומים שונים, ואינם מסוגלים להתמודד איתן. אף על פי כן, אין בחוק הגנת הפרטיות התייחסות מיוחדת לקטינים , וזכותם של קטינים לפרטיות אינה מוסדרת בחוק ייעודי. זאת, על אף חשיבות העניין ואף שהנושא מוסדר בחקיקה או בהסדרים בין-לאומיים ברוב מדינות העולם. בביקורת נמצא, כי משרד החינוך אינו עושה בדיקות מקדמיות כנדרש בתקנות אבטחת מידע ובהנחיית הרשם בנושא מיקור חוץ, לפני פרסום מכרזים לשירותי מיקור חוץ, הכוללים גישה למאגרי מידע או קבלת מידע ממאגרי מידע שבבעלותו: אין גורם במשרד החינוך שבוחן את עצם הצורך בהוצאת השירות למיקור חוץ , ו לא נבחנים היקף המידע האישי שנדרש להעביר לצורך אספקת השירות, מטרת העברתו לספק, ואם יש חלופות שאינן כרוכות ב העברת המידע. למעשה, הדרישות שבנספח אבטחת המידע המצורף למכרז נקבעות מבלי שנדונו ונענו השאלות המקדמיות האמורות. עוד נמצא בביקורת כי משהתקבלו הצעות המציעים במכרזים, לא נעשית בדיקה עם מינהל תקשוב, הגורם המקצועי הרלוונטי, אם הספקים עומדים בדרישותיו של נספח אבטחת המידע שצורף למכרז. .המצב חמור יותר בהתקשרות הפטורה ממכרז98 . להסכם ההתקשרות עם הספק כלל לא מצורף נספח אבטחת מידע, ולמעשה אין גורם מקצועי במשרד החינוך המנסח דרישת עמידה בחובות וסטנדרטים של אבטחת מידע. מסקר של סיכוני אבטחת המידע מאוקטובר 2017 עולה, כי נעשו מבדקי חדירות בשש מעשרים המערכות המשרדיות. מבדקי החדירות העלו ממצאים חמורים, בהם האפשרות לקבל שליטה מהירה על כל המידע המשרדי, גניבתו ומחיקתו. במועד סיום הביקורת היה הטיפול בליקויים שנמצאו במבדקי החדירות תלוי בטיפולם של גורמים במינהל תקשוב, ורק בחלקם היה קצב הטיפול סביר. משרד מבקר המדינה מעיר למשרד החינוך כי עליו לנקוט פעולה נמרצת לתיקון הליקויים שנמצאו במבדקי החדירות מאוקטובר 2017. ראמ"ה פועלת למן הקמתה, מזה 12 ,שנים בלי שנקבעו לה בחוק כללים לאיסוף מידע רגיש ומזהה, הגורמים שתהיה רשאית לאסוף מהם את המידע המזהה, סוגי המידע שתאסוף, המגבלות על פעולות האיסוף, דרכי ההחזקה והשמירה של המידע והעברת ו ממאגריה לגורמים אחרים. הסדרה זו נדרשת מכוח החלטת הממשלה, אך גם ובמיוחד לנוכח הפגיעה הפוטנציאלית החמורה בזכותם לפרטיות של תלמידים, בני משפחותיהם ועובדי הוראה.
נמצא כי עד תחילת שנת 2018 לא ערך משרד הבריאות בקרות בנושא אבטחת מידע במוסדות רפואיים.