מטלות רוחב ומטלות בין-משרדיות . היבטים בהגנה על הפרטיות במאגרי מידע בביקורת נמצא כי על אף האמור בחוזר אבטחת מידע, מכלל כ - 1,500 מוסדות רפואיים117 הטעונים רישיון כ-150 בלבד קיבלו הסמכה לתקן118 (בעיקר בתי חולים וקופות חולים). שאר המוסדותהטעונים רישיון, ובהם בתי חולים גריאטריים, מרכזים למשתמשים בסמים ומרפאות שיניים, לא קיבלו הסמכה לתקן ומשרד הבריאות אינו אוכף עליהם חובה זאת. עוד העלתה הביקורת כי גם מרפאות רבות אחרות, שחוזר אבטחת מידע חל עליהן על אף שאינן טעונות רישיון ממשרד הבריאות, לא קיבלו הסמכה לתקן ומשרד הבריאות אינו אוכף עליהן חובה זאת. במועד סיום הביקורת המשרד אף אינו מחזיק ברשימת המוסדות המוסמכים לתקן - מוסדות טעוני רישיון ושאינם טעוני רישיון. משרד מבקר המדינה מעיר למשרד הבריאות , כי עליו למפות את המוסדות הטעונים רישיון שאינם מחזיקים ב הסמכה ל תקן ול הניעם להשגת ההסמכה הנדרשת. בהמשך עליו לבחון דרכים להניע גם מרפאות שאינן טעונות רישיון לעמוד בהוראות חוזר אבטחת מידע, לרבות עמידה בתקן. במסגרת זו עליו לבחון אם נכון לקבוע מדרג של דרישות אבטחת מידע למרפאות לפי גודלן ובהתאם ל אופי פעילותן. משרד מבקר המדינה מעיר למשרד החינוך כי כל עוד לא הושלם הליך החקיקה ולא הוכרעה בחקיקה סוגיית חסיון המידע שאוספת ראמ"ה, נשקפת סכנה לזכות הפרטיות של תלמידים ובני משפחותיהם באיסוף המידע, שמירתו והשימוש שנעשה בו. בפעולת ראמ"ה על פי עקרונותיה של הצעת חוק מלפני שמונה שנים אין כדי לייתר את הצורך בחקיקה בתחום רגיש זה. על משרד החינוך לפעול לאלתר להסדרת פעולתה של ראמ"ה ולהגיש הצעת חוק מעודכנת להתייחסות הגופים הרלוונטיים ולהערות הציבור, בהתאם להחלטת הממשלה. עד ההסדרה בחוק יקבע משרד החינוך בכללים או בחוזר מנכ"ל הנחיות בקשר לפעולתה של ראמ"ה. פרויקט הסדרת מערך המידע, המתכלל פרטים רגישים מזהים כה רבים והמקשר בין כלל סוגי הנתונים במערכות הקיימות מצוי ברמת סיכון גבוהה יותר מרמת הסיכון של מערכות מפוזרות נוכח כמות התלמידים ורגישות המידע הנאסף , ולכן נדרשת בו רמה גבוהה יותר של אבטחת מידע. משרד מבקר המדינה מעיר למשרד החינוך כי אם יתברר שהפרויקט מהווה "מאגר מידע חדש" על פי הגדרותיו של חוק הגנת הפרטיות, יהיה צורך לבחון אם מאגר המידע מקיים גם את הגדרת "מאגר -על", הטעון רמת הגנה גבוהה יותר, וכן ניהול ורישום מיוחדים. על צוות ההיגוי המנהל את הפרויקט לשקול לערב את הרשות להגנת הפרטיות ואת מחלקת ייעוץ וחקיקה בקידומו, על מנת שיוטמעו בו דרישות יסודיות מתחום אבטחת המידע והגנת הפרטיות של התלמידים, משפחותיהם ועובדי ההוראה. עד מועד סיום הביקורת לא נעשתה הבחנה כאמור. מחלקת ייעוץ וחקיקה נדרשת לפעול ל חלוקת העבודה בינה ובין הרשות, לצורך קידומם של הנושאים שבאחריות ן. משרד מבקר המדינה מעיר למשרד המשפטים , כי על מנת לשמור על מעמדה של מדינת ישראל כמדינה המבטיח ה הגנה על מידע אישי ברמה העומדת בדרישות הדין האירופי, יש חשיבות רבה לקידום תיקון החוק הנוגע לסמכויות האכיפה של הרשם , בהמשך לתקנות אבטחת מידע שנכנסו לתוקפן. יש לתת את הדעת לכך שהחלטת ההלימה משנת 2011 ניתנה גם על סמך הצפי ליישום המלצותיו של צוות ההסדרה, עניין שעדיין מתקדם בעצלתיים. בביקורת נמצא כי על אף החשיבות שהרשות מייחסת למעורבותה בסוגיות הגנת הפרטיות במאגרי מידע העולות במגזר הציבורי, פעילותה בנושא חלקית בלבד. להלן הפרטים: על משרד הבריאות לבחון את אפשרות חסיונו של ביקור מסוים לבקשת מטופל גם בקופות החולים, וזאת בהתאם לקביעת מינהלת הפר ויקט לשיתוף מידע. בהתאם לסיכום התקציבי עם משרד האוצר ממרץ 2018 , משרד הבריאות נדרש להגיע להסכמות עם המשרדים החתומים על הסיכום, ובכלל זה משרד המשפטים, בדבר המנגנון הנורמטיבי המתאים ליישום התוכנית שבהחלטת הממשלה עד סוף יולי 2018 , ועד סוף יולי2019 עליו לממש את ההסדר הנורמטיבי המוסכם. משרד מבקר המדינה מעיר למשרד הבריאות, כי מזה שנים נערכים במוסדות הרפואיים מחקרים בנתוני עתק ללא רגולציה המתאימה בין השאר להתפתחות הטכנולוגית, ולכן עליו להחליט בהקדם על המנגנון הנורמטיבי המתאים, בהסכמת המש רדים הרלוונטיים, כדי שיתאפשר לקדם ולסיים את השלב המהותי של מימוש המנגנון שיוסכם עליו. תשובת בית החולים אסף הרופא אינה עולה בקנה אחד עם הדברים שנמסרו לביקורת מוועדת הלסינקי של בית החולים. על בית החולים לברר הסוגיה ולחדד את הכללים בנושא. הביקורת העלתה כי במשרד החינוך יש הנחיות רבות להעברת מידע בין מסגרות חינוכיות. חלק מההנחיות פזורות בחוזרי מנכ"ל ישנים ולא מעודכנים, והן מתייחסות לרישומים ומידע שנאספו בבתי הספר באופן לא אחיד ולעיתים אף סותר. מוזכרים בהן מונחים כמו "תיק אישי", "כרטיס תלמיד" ו"כרטיס רפואי" בלי שהוגדר במפורש מה שהם כוללים וללא התאמה בין המושגים72 . .מהתרשים עולה כי בעשור האחרון פחתו פעולות האכיפה שהרשות נקטה בהן בהשוואה לתחילתו, ואף שבשלהי העשור חלה עלי יה, עדיין מספרן קטן משהיה בשנים 2008 - 2009 ,. זאתעל אף הגידול בהיקפו של שוק המידע האישי בישראל ועל אף שכוח האדם ברשות בכלל ובתחום האכיפה בפרט, גדל במשך השנים עד להכפלתו: בשנת 2009 עסקועשרה עובדים ברישום המאגרים ובאכיפה גם יחד ובשנת 2018 הועסקו במחלקת האכיפה לבדה 19 עובדים. נמצא כי לרשות אין נתונים מלאים על תוצרי האכיפה שלה: התיקים שנסגרו, התיקים שהסתיימו בקנס מינהלי, בקביעת הפרה, או במתן הנחיות. בחלק מהשנים נאספו הנתונים באופן ידני והם מופיעים בדוחות השנתיים. גם מתשובת הרשות למשרד מבקר המדינה על ממצאי הביקורת עלו פערים לעומת הנתונים שהועברו במהלך הביקורת. משרד מבקר המדינה מעיר לרשות, כי איסוף הנתונים האמורים וניתוחם הם כלי ניהולי בסיסי שבכוחו לשמש את הרשות בהערכת האפקטיביות של פעולותיה. פעילות האכיפה היא בליבת עשייתה של הרשות להגנת הפרטיות לצורך שמירה על פרטיות הציבור. בעולם הטכנולוגי המתפתח, ובו גופי ענק האוספים ומעבדים מידע על בני אדם, יש צורך באכיפה משמעותית ואפקטיבית לצורך הרתעה וחיזו ק מעמדה של הרשות. הנתונים שהובאו לעיל מעידים על הצורך בשיפור של ממש בפעילות האכיפה של הרשות ובתוצריה. משרד מבקר המדינה מעיר לרשות, כי הדוחות השנתיים של ה לשנים 2007 - 2010 מלמדים כי גם בשנים אלה טיפלה בתיקים רבים בעלי משמעות. מעבר לכך, גם אם חל שינוי באופי התיקים , הפער במספר התיקים שנפתחו במהלך העשור אינו מוסבר, מה גם שבשנים הראשונות היו ברשות כולה 18 עובדים בלבד ובשנים האחרונות היה מספרעובדים דומה במחלקת האכיפה לבדה. אשר לתיקי הפיקוח הרוחבי, יש להבחין בין אכיפה מ ינהלית ופלילית ו בין פיקוח רוחב, הבחנה שהרשות עצמה עושה בדוחות השנתיים.
המהלך לפיקוח רוחבי חשוב ויש לברך עליו. עם זאת, בהיעדר סנקציות יעילות שהרשות יכולה להטיל, עליה להיערך כראוי כדי שתוכל להמשיך את הטיפול בממצאי הפיקו ח הצפויים בכלי האכיפה שבידיה וכדי שהמהלך ישיג את מטרתו.