מטלות רוחב ומטלות בין-משרדיות . היבטים בהגנה על הפרטיות במאגרי מידע בביקורת נמצא כי על אף האמור בחוזר אבטחת מידע, מכלל כ - 1,500 מוסדות רפואיים117 הטעונים רישיון כ-150 בלבד קיבלו הסמכה לתקן118 (בעיקר בתי חולים וקופות חולים). שאר המוסדותהטעונים רישיון, ובהם בתי חולים גריאטריים, מרכזים למשתמשים בסמים ומרפאות שיניים, לא קיבלו הסמכה לתקן ומשרד הבריאות אינו אוכף עליהם חובה זאת. עוד העלתה הביקורת כי גם מרפאות רבות אחרות, שחוזר אבטחת מידע חל עליהן על אף שאינן טעונות רישיון ממשרד הבריאות, לא קיבלו הסמכה לתקן ומשרד הבריאות אינו אוכף עליהן חובה זאת. במועד סיום הביקורת המשרד אף אינו מחזיק ברשימת המוסדות המוסמכים לתקן - מוסדות טעוני רישיון ושאינם טעוני רישיון. משרד מבקר המדינה מעיר למשרד הבריאות , כי עליו למפות את המוסדות הטעונים רישיון שאינם מחזיקים ב הסמכה ל תקן ול הניעם להשגת ההסמכה הנדרשת. בהמשך עליו לבחון דרכים להניע גם מרפאות שאינן טעונות רישיון לעמוד בהוראות חוזר אבטחת מידע, לרבות עמידה בתקן. במסגרת זו עליו לבחון אם נכון לקבוע מדרג של דרישות אבטחת מידע למרפאות לפי גודלן ובהתאם ל אופי פעילותן. משרד מבקר המדינה מעיר למשרד החינוך כי כל עוד לא הושלם הליך החקיקה ולא הוכרעה בחקיקה סוגיית חסיון המידע שאוספת ראמ"ה, נשקפת סכנה לזכות הפרטיות של תלמידים ובני משפחותיהם באיסוף המידע, שמירתו והשימוש שנעשה בו. בפעולת ראמ"ה על פי עקרונותיה של הצעת חוק מלפני שמונה שנים אין כדי לייתר את הצורך בחקיקה בתחום רגיש זה. על משרד החינוך לפעול לאלתר להסדרת פעולתה של ראמ"ה ולהגיש הצעת חוק מעודכנת להתייחסות הגופים הרלוונטיים ולהערות הציבור, בהתאם להחלטת הממשלה. עד ההסדרה בחוק יקבע משרד החינוך בכללים או בחוזר מנכ"ל הנחיות בקשר לפעולתה של ראמ"ה. פרויקט הסדרת מערך המידע, המתכלל פרטים רגישים מזהים כה רבים והמקשר בין כלל סוגי הנתונים במערכות הקיימות מצוי ברמת סיכון גבוהה יותר מרמת הסיכון של מערכות מפוזרות נוכח כמות התלמידים ורגישות המידע הנאסף , ולכן נדרשת בו רמה גבוהה יותר של אבטחת מידע. משרד מבקר המדינה מעיר למשרד החינוך כי אם יתברר שהפרויקט מהווה "מאגר מידע חדש" על פי הגדרותיו של חוק הגנת הפרטיות, יהיה צורך לבחון אם מאגר המידע מקיים גם את הגדרת "מאגר -על", הטעון רמת הגנה גבוהה יותר, וכן ניהול ורישום מיוחדים. על צוות ההיגוי המנהל את הפרויקט לשקול לערב את הרשות להגנת הפרטיות ואת מחלקת ייעוץ וחקיקה בקידומו, על מנת שיוטמעו בו דרישות יסודיות מתחום אבטחת המידע והגנת הפרטיות של התלמידים, משפחותיהם ועובדי ההוראה. עד מועד סיום הביקורת לא נעשתה הבחנה כאמור. מחלקת ייעוץ וחקיקה נדרשת לפעול ל חלוקת העבודה בינה ובין הרשות, לצורך קידומם של הנושאים שבאחריות ן. משרד מבקר המדינה מעיר למשרד המשפטים , כי על מנת לשמור על מעמדה של מדינת ישראל כמדינה המבטיח ה הגנה על מידע אישי ברמה העומדת בדרישות הדין האירופי, יש חשיבות רבה לקידום תיקון החוק הנוגע לסמכויות האכיפה של הרשם , בהמשך לתקנות אבטחת מידע שנכנסו לתוקפן. יש לתת את הדעת לכך שהחלטת ההלימה משנת 2011 ניתנה גם על סמך הצפי ליישום המלצותיו של צוות ההסדרה, עניין שעדיין מתקדם בעצלתיים. בביקורת נמצא כי על אף החשיבות שהרשות מייחסת למעורבותה בסוגיות הגנת הפרטיות במאגרי מידע העולות במגזר הציבורי, פעילותה בנושא חלקית בלבד. להלן הפרטים: על משרד הבריאות לבחון את אפשרות חסיונו של ביקור מסוים לבקשת מטופל גם בקופות החולים, וזאת בהתאם לקביעת מינהלת הפר ויקט לשיתוף מידע. בהתאם לסיכום התקציבי עם משרד האוצר ממרץ 2018 , משרד הבריאות נדרש להגיע להסכמות עם המשרדים החתומים על הסיכום, ובכלל זה משרד המשפטים, בדבר המנגנון הנורמטיבי המתאים ליישום התוכנית שבהחלטת הממשלה עד סוף יולי 2018 , ועד סוף יולי2019 עליו לממש את ההסדר הנורמטיבי המוסכם. משרד מבקר המדינה מעיר למשרד הבריאות, כי מזה שנים נערכים במוסדות הרפואיים מחקרים בנתוני עתק ללא רגולציה המתאימה בין השאר להתפתחות הטכנולוגית, ולכן עליו להחליט בהקדם על המנגנון הנורמטיבי המתאים, בהסכמת המש רדים הרלוונטיים, כדי שיתאפשר לקדם ולסיים את השלב המהותי של מימוש המנגנון שיוסכם עליו. תשובת בית החולים אסף הרופא אינה עולה בקנה אחד עם הדברים שנמסרו לביקורת מוועדת הלסינקי של בית החולים. על בית החולים לברר הסוגיה ולחדד את הכללים בנושא. הביקורת העלתה כי במשרד החינוך יש הנחיות רבות להעברת מידע בין מסגרות חינוכיות. חלק מההנחיות פזורות בחוזרי מנכ"ל ישנים ולא מעודכנים, והן מתייחסות לרישומים ומידע שנאספו בבתי הספר באופן לא אחיד ולעיתים אף סותר. מוזכרים בהן מונחים כמו "תיק אישי", "כרטיס תלמיד" ו"כרטיס רפואי" בלי שהוגדר במפורש מה שהם כוללים וללא התאמה בין המושגים72 . .מהתרשים עולה כי בעשור האחרון פחתו פעולות האכיפה שהרשות נקטה בהן בהשוואה לתחילתו, ואף שבשלהי העשור חלה עלי יה, עדיין מספרן קטן משהיה בשנים 2008 - 2009 ,. זאתעל אף הגידול בהיקפו של שוק המידע האישי בישראל ועל אף שכוח האדם ברשות בכלל ובתחום האכיפה בפרט, גדל במשך השנים עד להכפלתו: בשנת 2009 עסקועשרה עובדים ברישום המאגרים ובאכיפה גם יחד ובשנת 2018 הועסקו במחלקת האכיפה לבדה 19 עובדים. נמצא כי לרשות אין נתונים מלאים על תוצרי האכיפה שלה: התיקים שנסגרו, התיקים שהסתיימו בקנס מינהלי, בקביעת הפרה, או במתן הנחיות. בחלק מהשנים נאספו הנתונים באופן ידני והם מופיעים בדוחות השנתיים. גם מתשובת הרשות למשרד מבקר המדינה על ממצאי הביקורת עלו פערים לעומת הנתונים שהועברו במהלך הביקורת. משרד מבקר המדינה מעיר לרשות, כי איסוף הנתונים האמורים וניתוחם הם כלי ניהולי בסיסי שבכוחו לשמש את הרשות בהערכת האפקטיביות של פעולותיה. פעילות האכיפה היא בליבת עשייתה של הרשות להגנת הפרטיות לצורך שמירה על פרטיות הציבור. בעולם הטכנולוגי המתפתח, ובו גופי ענק האוספים ומעבדים מידע על בני אדם, יש צורך באכיפה משמעותית ואפקטיבית לצורך הרתעה וחיזו ק מעמדה של הרשות. הנתונים שהובאו לעיל מעידים על הצורך בשיפור של ממש בפעילות האכיפה של הרשות ובתוצריה. משרד מבקר המדינה מעיר לרשות, כי הדוחות השנתיים של ה לשנים 2007 - 2010 מלמדים כי גם בשנים אלה טיפלה בתיקים רבים בעלי משמעות. מעבר לכך, גם אם חל שינוי באופי התיקים , הפער במספר התיקים שנפתחו במהלך העשור אינו מוסבר, מה גם שבשנים הראשונות היו ברשות כולה 18 עובדים בלבד ובשנים האחרונות היה מספרעובדים דומה במחלקת האכיפה לבדה. אשר לתיקי הפיקוח הרוחבי, יש להבחין בין אכיפה מ ינהלית ופלילית ו בין פיקוח רוחב, הבחנה שהרשות עצמה עושה בדוחות השנתיים. המהלך לפיקוח רוחבי חשוב ויש לברך עליו. עם זאת, בהיעדר סנקציות יעילות שהרשות יכולה להטיל, עליה להיערך כראוי כדי שתוכל להמשיך את הטיפול בממצאי הפיקו ח הצפויים בכלי האכיפה שבידיה וכדי שהמהלך ישיג את מטרתו. על פי נתוני המחלקה לניסויים קליניים, מכלל 54 מוסדות, בשנת2016 לא העבירו דיווחים כנדרש 34 גופי ביקורת, בשנת2017 - 25 גופים, ובשנת 2018 - 22 .גופים .נמצא, כי בית החולים אסף הרופא אינו מבצע ביקורת בנושא התממה אף שעמדת משרד הבריאות היא שעליו לבדוק הנושא במסגרת הבקרות. מעיון ב -66 דוחות הבקרה לשנים 2015 - 2017 של גוף הבקרה באסף הרופא עולה, כי באחד מהם בלבד הייתה התייחסות - לקונית - לנושא המידע האישי וצוין כי המחקר נערך על סמך נתונים מתיקים רפואיים תוך שמירה על אלמוניותם של המטופלים. מהאמור לעיל עולה סתירה מובנית בין כללי משרד הבריאות, המחייבים אנונימיזציה מלאה של מידע המועבר ללא הסכמה במחקרי נתונים, ובין המידע הנדרש לצורך מחקר, שהוא מידע שניתן לזיהוי חוזר בעת הצורך (על מנת להוכיח כי הנתונים אמיתיים ואף לטובת המשתתפים בניסוי, אם יתגלה במחקר מידע חשוב לבריאותם). מהאמור עולה, כי מחקרי נתונים בישראל נערכים בניגוד לכלל האנונימיזציה האמור, ועל משרד הבריאות לבחון מחדש את הסוגיה כולה. נמצא כי גם במחקרי נתונים בבית החולים אסף הרופא החוקר מקבל מידע רפואי מזוהה אף אם אינו הרופא המטפל. יתר על כן, על פי גישתו של בית החולים, המנוגדת לעמדתו של משרד הבריאות, כל החומר והמידע שנאסף בידי החוקר הראשי חשוף ליזם המחקר142 , משום שהמידע "שייך" לו ו ההתממה נועדה לגורמים אחרים שאינם מורשים לעיין במידע המזוהה , כגון חוקרים שאינם החוקר הראשי במחקר143. . מספר נושאי המידע במחקר עשוי להיות מטופלים ספורים עד מאות או אלפים, למשל במחקר הנערך במקביל בכמה בתי חולים, ורבים עוד יותר במחקרים בנתוני עתק. על משרד הבריאות בשיתוף משרד המשפטים לפעול לקביעתם של כללי התממה מתאימים, בשים לב לצורכי המחקרים מזה ולחובת ההגנה ע ל פרטיותם של נושאי המידע מזה. כמו כן עליו לפעול להנחות את ועדות הלסינקי והמוסדות הרפואיים העורכים את הניסויים בנושא ולפקח על יישום הכללים שייקבעו. .ככל שהסיכונים הכרוכים במערכות מידע ממוחשבות נעשים שכיחים יותר, דרושות פעולות נחרצות יותר של משרדי הממשלה לאבטחת המידע ולהגנה על פרטיותם של נושאי המידע. הממצאים בפרק זה מציגים תמונה מדאיגה ובה אין למשרד החינוך תמונה מלאה ומפורטת, כנדרש בדין, של מאגרי המידע שלו או של הספקים המחזיקים במאגרי המידע שלו; מערכות המידע של הספקים המחזיקים במידע אישי רגיש על תלמידים ועל משפחותיהם אינן נבדקות לא בשלב בחינת ההתקשרות ולא במהלך תקופת ההתקשרות; ואין בקרה ופיקוח על הספקים בהיבטי אבטחת מידע והגנה על הפרטיות. בנסיבות אלה יש חשש כבד לאבטחת המידע ולהגנת הפרטיות של נושאי המידע. משרד מבקר המדינה מעיר להנהלת משרד החינוך, כי מחויבות ההנהלה היא חלק בלתי נפרד ממדיניות האבטחה של כל ארגון והיא חשובה במיוחד לנוכח הממצאים המובאים בפרק זה ולנוכח השלכותיהם. כך גם עולה מן ההנחיות בתחום הגנת הסייבר והתקינה הבין -לאומית 111 . על מנכ"ל המשרד להתגייס להכוונה ברורה של הגורמים האחראים לאבטחת המידע המשרדי, כדי ליצור מחויבות ואחריות כוללת. יש לנקוט פעולה נמרצת לצמצום הפערים בין דרישות הדין ובין המצב הקיים במשרד, ולפעול בנחישות להגנה אפקטיבית על הזכות לפרטיותם של תלמידים ומשפחותיהם, כנדרש בדין. נמצא כי בחלוף שנה ויותר מיום שניתנו המלצות הוועדה, משרד הבריאות טרם הנחה את המוס דות הרפואיים בנוגע למקרים שיחייבו דיווח על אירועי אבטחת מידע, לצורך בקיום בקרה ואכיפה של הכללים לאבטחת מידע ועוד. על משרד הבריאות לפעול להמשך יישומן של מסקנות הוועדה ולהטמעתן במוסדות הרפואיים. הרשות המליצה על עיגון העקרונות האלה בחקיקת משנה, א ך מאז שנת 2010 טיוטת הכללים לא קודמה והעקרונות גם לא עוגנו בחקיקת משנה. .החקיקה בתחום הגנת הפרטיות אינה תואמת את ההתפתחות הטכנולוגית של העשורים האחרונים ואף אינה כוללת התייחסות מיוחדת לילדים. גם הניסיונות להסדרת ה של ההגנה על פרטיות הילדים בחקיקה או בכללים לא צלחו. האמור לעיל ממחיש את הצורך בהגנה על זכותם של ילדים לפרטיות באופן המשלב כמה תחומים: חינוך והדרכה של הורים וילדים לשמירת זכותם לפרטיות, חקיקה מעודכנת שתגביל את האיסוף והשימוש במידע על ילדים לאופן ולמידה הדרושים, ושימוש בכלים טכנולוגיים שישרתו את הזכות לפרטיות של ילדים בפיתוח המערכות ובאבטחתן. על משרד המשפטים בשיתוף גורמים רלוונטיים בתחום ההגנה על זכויות הילד לשקול הסדרה של הגנה על פרטיות הילדים בחקיקה או בכללים, תוך התאמה לעידן המידע וההתפתחויות הטכנולוגיות. הקמת מערך הפיקוח מחזקת את הצורך בקביעת מדיניות אכיפה כדי לכוון את פעילותו בהתאם ליעדי הרשות. על הרשות לקבוע מדיניות אכיפה בשים לב ליעדיה ולמפת הסיכונים של הפגיעה בפרטיות, על מנת שתשקיע את משאביה בתבונה ובדרך המיטבית להשגת תוצאות מרביות בכלים שבידיה.
עד מועד סיום הביקורת לא היה למשרד החינוך מיפוי של מאגרי המידע שלו או רשימת מצאי של מערכות המידע. עוד עלה, כי הפעילות למיפוי מאגרי המידע נמצאת רק בראשית דרכה כחלק מעבודת המשרד להסמכה לתקן 27001 .