דוחות נוספים/טיפול משרד החקלאות בהגנת הפרטיות ובאבטחת מידע

 מבוא .הזכות לפרטיות היא מן הזכויות החשובות בישראל. עם חקיקת חוק יסוד: כבוד האדם וחירותו, אף הוקנה לה מעמד חוקתי על-חוקי. לפי חוק יסוד זה, מוטלת על המדינה החובה להגשים את הזכויות החוקתיות לכבוד ולפרטיות, וכל רשות מרשויות השלטון חייבת לכבד זכויות אלה. מנגד, מידע פרטי הוא בעל ערך רב, לרבות ערך כלכלי, ולכן לחברות מסחריות ולגופים אחרים אינטרס ברור לאוספו ולשומרו במאגרי מידע כדי לעשות בו שימוש. נוסף על כך, בידי רשויות המדינה מידע רב על בני אדם, הנוגע לכל היבטי חייהם, וקיים חשש שייעשה בו שימוש שלא למטרה שלשמה הוסמכו הרשויות לאוספו. עולה מן האמור שעצם קיומם של מאגרי מידע עלול לפגוע בפרטיות, ועל כן יש צורך לקבוע מנגנונים ייחודיים להגנה על המידע שבהם. צורך זה מ תעצם בשל ההתפתחות הטכנולוגית מרחיקת הלכת של העשורים האחרונים, שהביאה עמה שינויים בכמות המידע שנאסף, באופן שבו הוא מעובד, בשימושים הנעשים בו ובהיקף החשיפה שלו לתקיפות. בשנת 1981 נחקק חוק הגנת הפרטיות, התשמ"א -1981 (להלן- חוק הגנת הפרטיות או החוק). בשנת 1986 פורסמו תקנות הגנת הפרטיות (תנאי החזקת מידע ושמירתו וסדרי העברת מידע בין גופים ציבוריים), התשמ"ו-1986 (להלן- תקנות הגנת הפרטיות (העברת מידע)), שכוללות בין היתר פירוט הוראות כלליות לניהול מאגר מידע ונוהלי ביצוע להעברת מידע בין גופים ציבוריים. במרץ 2017 אישרה ועדת החוקה חוק ומשפט של הכנסת את תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז -2017 , שביקשה שרת המשפטים להתקין (להלן - תקנות הגנת הפרטיות (אבטחת מידע) או התקנות החדשות). תקנות אלו כוללות הוראות מפורטות ליישום אבטחת מידע במאגרי מידע, והן נכנסו לתוקף במאי 2018. הרשות להגנת הפרטיות הינה הגוף המסדיר, המפקח והאוכף על פי חוק הגנת הפרטיות בישראל. כמאסדר הפועל להגנה על זכות היסוד לפרטיות ולהגנת מידע אישי בישראל, הרשות להגנת הפרטיות מופקדת על הגנת המידע האישי במאגרי מידע דיגיטליים ועל ביצורה של הזכות לפרטיות. המושג "אב טחת מידע", שבו נעשה שימוש גם בתקנות החדשות, חופף כיום במידה רבה למונח הגנת סייבר 2 . לפיכך קיימת חפיפה רבה בין הפעולות שאמורות להיעשות על פי התקנות החדשות ובין הפעולות שנעשות לצורך הגנת מרחב הסייבר שבו נמצאים מאגרי המידע, לפחות בכל הנוגע לאבטחת המידע בארגון הבודד3 . עם זאת, כפי שנאמר בדברי ההסבר לטיוטת תקנות הגנת הפרטיות (אבטחת מידע), שלא כאבטחת מידע באופן כללי, שמטרתה להגן על . .2 תחום ההגנה בסייבר מוגדר כשינוי אבולוציוני של תחום אבטחת המידע, שכן בעידן הסייבר ניכרת עלייה חדה במספר התוקפים, בתחכומם, במספר המטרות לתקיפה ובאיכותן. מרכיב נוסף הוא ההסתכלות על מרחב הסייבר כמרחב לחימה, שבו יכולות להיות מעורבות גם מדינות ובכלל זה מעצמות . 3 אבטחת המידע התרכזה במידע הנמצא בארגון הבודד, ואילו בהגנת הסייבר יש בחינה כוללת ושיתוף פעולה במרחב הסייבר הבין -ארגוני, המגזרי, המדינתי והבין -לאומי. במרחבים אלו מתקיימות פעילויות של שיתוף פעולה וכן פעילויות פרואקטיביות. 2084 |דוח שנתי 69ב .המידע של הארגון כנכס של אותו ארגון, המטרה של התקנות היא לממש את תכליות חוק הגנת הפרטיות, כלומר הגנה על זכויות הפרט שלגביו קיים מידע במאגר המידע מפני שימוש לרעה במידע על אודותיו 4. נושא הגנת הסייבר במדינת ישראל קּודם בשנים האחרונות במידה ניכרת עם ייסודם של מטה הסייבר הלאומי והרשות הלאומית להגנת הסייבר (שאוחדו החל ב - 1.1.18 למערך הסייבר הלאומי). בפברואר 2015 קיבלה הממשלה החלטה בדבר "קידום אסד רה לאומית והובלה ממשלתית בהגנת הסייבר" (להלן - ההחלטה בעניין הסייבר בממשלה) 5 . בעקבות ההחלטה הוקמה במסגרת רשות התקשוב הממשלתי שבמשרד ראש הממשלה יחידה להגנת הסייבר בממשלה (להלן גם - יה"ב), שייעודה לשמש גוף להכוונה ולהנחיה מקצועית בתחום הגנת הסייבר במשרדי הממ שלה וביחידות הסמך. היחידה כפופה לרשות התקשוב הממשלתי ומונחית מקצועית על ידי מערך הסייבר הלאומי. באותה החלטה הוטל על המנכ"לים של משרדי הממשלה ומנהלי יחידות הסמך לפעול לשיפור רמת הגנת הסייבר במשרדי הממשלה. בין הצעדים שהיה עליהם לנקוט: מינוי של "ממונה הגנת הסייבר" במשרד, הקמת ועדת היגוי משרדית לנושא הסייבר והקצאת תקציב ייעודי להגנת הסייבר. משרד החקלאות ופיתוח הכפר (להלן - משרד החקלאות או המשרד) מנהל מערכות מידע המכילות נתונים רבים על החקלאות ועל החקלאים בתחומים שונים, ובכלל זה מידע כלכלי לגבי תמיכות, וזכאות לקבלת אמצעי ייצור כגון מים ועוד. יחידת המחשוב של המשרד מחזיקה מערכות תפעוליות ומחקריות רבות. נוסף על כך, המשרד מפעיל את היחידה המרכזית לאכיפה וחקירות - פיקוח על הצומח והחי - יחידה לפיקוח על תנועת מוצרים מן הצומח והחי וליישום ההסכמים החקלאיים בין הרשות הפלסטינית למדינת ישראל (להלן - יחידת הפיצו"ח). עובדי היחידה הוסמכו כמפקחים לפי חוק יישום ההסכם בד בר רצועת עזה ואזור יריחו (הסדרים כלכליים והוראות שונות) (תיקוני חקיקה), התשנ"ה-1994 (להלן- חוק היישום). .פעולות הביקורת .בחודשים אוקטובר 2017 - מרץ2018 בדק משרד מבקר המדינה היבטים בהגנת הפרטיות ובאבטחת מידע במשרד החקלאות. נבדקו הנושאים האלה: מיפוי, בחינה והגדרה של מאגרי המידע; ההיערכות הארגונית ליישום חוק הגנת הפרטיות; טיפול המשרד בבקשות לקבלת מידע אישי ממאגרי רשות האוכלוסין וההגירה (להלן - רשות האוכלוסין) ומשרד התחבורה והבטיחות בדרכים (להלן - משרד התחבורה) והבקרה על השימוש שנעשה במידע שהתקבל; יישום . .4 המבוא לדברי ההסבר לטיוטת התקנות, ששלחה שרת המשפטים ליו"ר ועדת החוקה, חוק ומשפט ח"כ סלומינסקי ב- 11.5.16 ', עמ1. 5 החלטה2443 מפברואר2015. משרד החקלאות ופיתוח הכפר | 2085 .תקנות הגנת הפרטיות (אבטחת מידע) ; יישום ההחלטה בעניין הגנת הסייבר בממשלה. בדיקות השלמה נערכו ברשות האוכלוסין, במשרד התחבורה, בנציבות שירות המדינה (להלן - נש"ם) וביחידה להגנת הסייבר בממשלה. בדיקות השלמה נערכו במאי 2018. בתקופת הביקורת כיהן מר שלמה בן אליהו כמנכ"ל משרד החקלאות (להלן - מנכ"ל המשרד או המנכ"ל). ועדת המשנה של הוועדה לענייני ביקורת המדינה של הכנסת, בהתייעצות עם מבקר המדינה, החליטה להטיל חיסיון על חלקים מפרק ביקורת זה לשם שמירה על ביטחון המדינה, בהתאם לסעיף 17 לחוק מבקר המדינה, התשי"ח- 1958 [נוסח משולב.] .אי-השלמת מיפוי, בחינה והגדרה של מאגרי מידע .בחוק הגנת הפרטיות נקבע שבעל מאגר מידע חייב לרשום בפנקס מאגרי המידע (להלן - הפנקס) מאגרי מידע העונים על דרישות החוק. מטרת הרישום היא לאפשר בקרה ופיקוח על המאגרים, להביא להגנה על פרטיות המידע ולאפשר לציבור לדעת על קיומו של מידע על אודותיו במאגרי המידע. רשם מאגרי המידע, על פי החוק, הוא מי שהממשלה מינתה אותו לנהל את הפנקס . הרשם פועל במסגרת הרשות להגנת הפרטיות במשר ד המשפטים שהוקמה בשנת 2006 כ-"רשות משפטית לטכנולוגיות מידע והגנה על הפרטיות" 6 . בשנת 2017 שונה שם הרשות לשמה הנוכחי, "הרשות להגנת הפרטיות". עוד נקבע בחוק כי בקשה לרישום מאגר מידע תפרט את זהות בעל מאגר המידע, המחזיק7 במידע ומנהל המאגר; את מטרות הקמת מאגר המידע והמטרות שלהן נועד המידע; את סוגי המידע שייכללו במאגר; פרטים בדבר העברת מידע מחוץ לגבולות המדינה ופרטים בדבר קבלת מידע, דרך קבע, מגוף ציבורי8 , שם הגוף הציבורי מוסר המידע ומהות המידע הנמסר. עוד נקבע כי משהוגשה הבקשה לרישום מאגר, על הרשם לרשום אותו בפנקס בתוך 90 ,יום מיום הגשתה בהסתייגויות מסוימות9 . בחוק הגנת הפרטיות גם נקבע כי בעל המאגר חייב לרושמו בפנקס אם התקיימו בו אחד מאלה: מספר האנשים שמידע עליהם נמצא במאגר עולה על . .6 'בהחלטת ממשלה מס4660 מ- 19.1.06 . 7 החוק מגדיר מחזיק לעניין מאגרי מידע כמי שמצוי ברשותו מאגר מידע דרך קבע והוא רשאי לעשות בו שימוש. 8 על פי סעיף 23 לחוק הגנת הפרטיות, גוף ציבורימתייחס למשרדי הממשלה ולמוסדות מדינה אחרים, רשות מקומית וגוף אחר הממלא תפקידים ציבוריים וכן גוף ששר המשפטים קבע אותו בצו כגוף ציבורי. 9 הרשם לא ירשום את הבקשה אם היה לו יסוד סביר להניח כי המאגר משמש או עלול לשמש לפעולות בלתי חוקיות או כמסווה להן, או שהמידע הכלול בו התקבל, נצבר או נאסף בניגוד להוראות כל דין. 2086 |דוח שנתי 69ב .10,000 ; יש במאגר מידע רגיש כהגדרתו בחוק10; המאגר כולל מידע על אנשים והמידע לא נמסר על ידיהם, מטעמם או בהסכמתם, למאגר זה; המאגר הוא של גוף ציבורי; המאגר משמש לשירותי דיוור ישיר. לאחר שבמהלך השנים התעוררו בקרב גורמי המקצוע ספקות בדבר התועלת הציבורית הנובעת מרישום מאגרי מידע, ומתוך מחשבה שיש להתמקד בפעולות פיקוח ובקרה, הופץ באוגוסט 2012 להערות הציבור תזכיר חוקהגנת הפרטיות (צמצום חובת הרישום, וקביעת חובה לקיים סדרי ניהול וכללי עבודה ולתיעודם במסמכים), התשע"ב -2012 , .שבו הוצע לצמצם את חובת הרישום ואולם, גם במסגרת הצעה זו נותרה החובה לרשום מאגרי מידע של גופים צי בוריים. במקביל הוצע להטיל חובה על בעלי מאגרי מידע מסוימים (ובהם גם אלו שעליהם תוסיף לחול חובת הרישום) לקיים סדרי ניהול וכללי עבודה הנדרשים לניהול מאגר מידע, במטרה לשפר את ההגנה על הפרטיות. בשנת 2013 החליט משרד המשפטים כי יש צורך לגבש תקנות שיבהירו את מהותה ואת היקפה של החובה המוצעת לקיום סדרי ניהול וכללי עבודה, עוד לפני אישור טיוטת החוק11 . במאי2018 נכנסו לתוקף תקנות הגנת הפרטיות (אבטחת מידע), השמות דגש על הגדרת המאגר ופרסום מסמך הגדרות מאגר הכולל פרטים מהותיים על כל מאגר. עם זאת, עד מועד סיום הביקורת נותרה בעינה חובת הרישום בחוק. כדי לעמוד בדרישות חוק הגנת הפרטיות היה צורך למפות את המאגרים ולבחון את הנתונים הקיימים בהם. פעולות אלו נועדו לקבוע אם הנתונים במאגר עונים להגדרת "מידע" כהגדרתו בחוק12 , ואם הם עומדים בתבחינים לרישום בפנקס מאגרי המידע לפי החוק. גם החוב ה לנקוט את האמצעים הדרושים לקיום תקנות הגנת הפרטיות (העברת מידע), ובכללם אבטחת המידע, מבטאת את הראייה שהאמצעים תלויים בנסיבות השימוש, וכדי לדעת אותן יש לבצע תהליכי מיפוי, בחינה והגדרה של המאגרים. כלומר, גם לפני מאי 2018 היו המיפוי, הבחינה וההגדרה של המאגרי ם התשתית הבסיסית לקיום הוראות החוק ותקנות הגנת הפרטיות (העברת מידע), ובכלל זה אבטחת המידע. יוער כי אף שהחוק שם כיום דגש על הרישום, הרישום הוא בבחינת תוצאה של תהליכי המיפוי, הבחינה וההגדרה של המאגרים כמאגרי מידע על פי חוק הגנת הפרטיות. תהליכים אלו יהיו מחוי בים גם כאשר תצומצם חובת הרישום למאגרים מסוימים בלבד, כפי שמתכוון משרד המשפטים לעגן בחוק. זאת ועוד, התקנות החדשות קובעות את עקרונות אבטחת המידע - הקשורים בניהול המידע שבמאגרי מידע ובשימוש בו - על יסוד תקני אבטחת מידע . .10 על פי סעיף 7 לחוק הגנת הפרטיות, מידע רגיש כולל נתונים על אישיותו של אדם, צנעת אישותו, מצב בריאותו, מצבו הכלכלי, דעותיו ואמונתו, וכן מידע ששר המשפטים קבע בצו, באישור ועדת החוקה חוק ומשפט של הכנסת, שהוא מידע רגיש. 11 ,בעניין זה ראו מבקר המדינהדוח שנתי 64ג (2014 '), "רישום מאגרי מידע בישראל", עמ1147 .ואילך 12 הפסיקה עוסקת גם היא בתהליכים אלה, בעיקר בכל הקשור לאופן שבו יש לפרש את ההגדרה של מידע. לדוגמה, השופט שמגר קובע (ע"א 86/89 מדינת ישראל נ' בנק הפועלים בע"מ, פ"ד, מד (2 )726 ,731 ) כי אם ניתן להפיק מידע על מצבו הכלכלי של אדם ממאגר מידע שאינו ערוך פרסונלית, כמו מאגר כלי הרכב, ניתן לראות מידע זה ככלול במסגרת מאגרי המידע שסעיף 7 .לחוק הגנת הפרטיות מתייחס אליהם משרד החקלאות ופיתוח הכפר | 2087 . .משרד החקלאות לא .השלים את פעולות .המיפוי וההגדרה של .מאגרי המידע .שברשותו . המקובלים בעולם. הן מסדירות בין היתר גם את הגדרת המאגר, וקובעות כי על בעל המאגר להכין "מסמך הגדרות המאגר" ובו פרטים רבים על המאגר13 . נובע מכאן שממאי 2018 ,מחויבים בעל המאגר ומנהל המאגר למפות את המאגרים לבחון אותם, להחזיק אצלם מסמכי הגדרה מעודכנים, ועל פיהם גם לפעול לאבטחת המאגר. משרד החקלאות העביר למשרד מב קר המדינה בנובמבר 2017 רשימה של מערכות מידע שבשימושו. בין המערכות הללו ישנם גם מאגרי מידע כהגדרתם בחוק הגנת הפרטיות - חלקם מכילים גם מידע רגיש כהגדרתו בחוק - הטעונים רישום לפי החוק ועל חלקם חלות תקנות הגנת הפרטיות (אבטחת מידע). משרד מבקר המדינה בחן רשימה זו וכן את רשימת מאגרי המידע שבבעלות משרד החקלאות, שהיו רשומים בדצמבר 2017 בפנקס מאגרי המידע באינטרנט. מלבדן נבחנה רשימה של מערכות מידע מסקר הסיכונים שעשה משרד החקלאות במחצית השנייה של שנת 2017 , הכוללת הסבר קצר על המערכות המנויות בה. מהבחינה עולה כי בחלק ממערכות המשרד ישנם מאגרים הטעונים רישום בפנקס מאגרי המידע, מכיוון שהמידע האגור בהם עונה להגדרת מידע בחוק הגנת הפרטיות 14 , ובחלקם אף נכלל מידע אודות מצבם הכלכלי של חקלאים, או מידע אחר, העונה לכאורה להגדרת "מידע רגיש". החל במאי 2017 הפנה משרד החקלאות לר שות להגנת הפרטיות שאלות מהותיות הנוגעות לעניין הגדרת מאגרי מידע ולסוגיית ניהולם, ובכלל זה שאלות כגון האם כל מאגר השולף נתונים מהמאגר המרכזי נחשב מאגר עצמאי וכן שאלות לגבי הגדרת התפקיד וגבולות האחריות של בעל מאגר מידע, מנהל המאגר והמחזיק בו. החל בדצמבר 2017 ועד מועד סיום הביקורת במאי2018 נתקל משרד החקלאות בקשיים לקבל מהרשות תשובות לשאלותיו. בתשובה לשאלת משרד מבקר המדינה ענה משרד החקלאות כי לא הכין מסמך בכתב הנותן ביטוי למתווה רישום המאגרים שאותו הוא מעוניין להציג לרשות להגנת הפרטיות, וממילא לא הציג מסמך כזה לרשות להגנת הפרטיות לקבלת חוות דעתה והנחיותיה. עולה כי עד מועד סיום הביקורת לא השלים משרד החקלאות את פעולות המיפוי וההגדרה של מאגרי המידע שברשותו, ולא הכין מסמך בכתב הכולל את תוצאות הבחינה של תוכני המאגרים שברשותו אל מול הקריטריונים המחייבים את רישומם בפנקס מאגרי המידע. ממילא הוא גם לא החל להכין עבור כל אחד מהמאגרים את מסמך הגדרות המאגר, כנדרש בתקנות הגנת הפרטיות (אבטחת מידע) . מתברר אפוא שמשרד החקלאות לא ערך עבודת מטה סדורה, שתאפשר למפות ולזהות את המאגרים שלפי החוק יש להגדירם כמאגרי מידע. . .13 .")פירוט בנושא ראו להלן בפרק "יישום תקנות הגנת הפרטיות (אבטחת מידע 14 לפי סעיף7 לחוק הגנת הפרטיות, מידע- כולל "נתונים על אישיותו של אדם, מעמדו האישי, צנעת אישותו, מצב בריאותו, מצבו הכלכלי, הכשרתו המקצועית, דעותיו ואמונתו". 2088 |דוח שנתי 69ב .משרד מבקר המדינה מעיר למשרד החקלאות כי עליו להשלים את מיפוי מאגרי המידע שלו, לזהות את המאגרים הטעונים הגדרה ואבטחה על פי החוק ותקנותיו ולהכין מתווה ל הגדרת המאגרים ולרישומם בהתאם לחוק ולתקנות הקיימות. זאת לאחר שבמגעיו עם הרשות להגנת הפרטיות יינתנו לו תשובות לשאלות בקשר למתווה המוצע. בתשובתו מיולי 2018 מסר משרד החקלאות כי מנכ"ל המשרד הורה ללשכה המשפטית ולשירות למערכות מידע לרשום עשרה מ אגרים כמתחייב מחוק הגנת הפרטיות. בדצמבר 2018 .עדכן המשרד כי טרם החל בתהליך הרישום בתשובתה מיולי 2018 כתבה הרשות להגנת הפרטיות כי כאשר בעל מאגר מידע, בין משרד ממשלתי ובין גוף פרטי, מתלבט בשאלה משפטית הנוגעת ליישום החוק, עליו לפנות לייעוץ משפטי במשרדו. מקור נוסף לפרשנות החוק הוא פנייה אליה לקבלת חוות דעת מקדמית, אם כי השאלות שהטרידו את משרד החקלאות הן מחוץ להיקפו של נוהל חוות דעת מקדמית. מקור אפשרי נוסף הוא המדריכים והשאלות ותשובות שהרשות מפרסמת באתר האינטרנט שלה. הרשות גם ציינה כי אף שפניות משרד החקלאות אליה לא נעשו במסגרת נוהל חוות דעת מקדמית, היא ניהלה ממשק עבודה ישיר מול גורמים במשרד החקלאות. עוד מסרה הרשות בתשובתה כי ככל שיועלה בפניה המתווה לרישום המאגרים של משרד החקלאות, הוא יטופל וייבחן בכפוף ובהתאם לשיקולים שבנוהל הרשות לעניין חוות דעת מקדמית. אי-רישום מאגר של יחידת הפיצו"ח: יחידת הפיצו"ח מבצעת פעולות פיקוח לאורך קו התפר על מנת למנוע הברחת מוצרים חקלאיים שהוגדרו בחוק היישום מן הרשות הפלסטינית לישראל וכדי למנוע הכנסה של בעלי חיים, מוצרים מן החי וטובין שיינוסח [ בואם מוסדר לפי פקודת מחלות בעלי חיים , התשמ"ה]חדש-1985 . זאת כדי להגן על בריאות הציבור ולמנוע הפצת מחלות בעלי חיים. כמו כן, יחידה זו אוכפת חוקים נוספים בתחום החקלאות. ביחידה מנוהלים שני מאגרי מידע. משרד מבקר המדינה בדק את רישום מאגרי המידע של יחידת הפיצו"ח בפנקס מאגרי המידע של הרשות להגנת הפרטיות, המוצג באינטרנט15. מהבדיקה שנעשתה בדצמבר 2017 עלה כי בפנקס מאגרי המידע נרשםרק מאגר אחד בשם "פיצוח מודיעין" ורישומו אושר בפברואר 2003 . עולה אפוא שמאגר נוסף , המשמש לפעילותה השוטפת של יחידת הפיצו"ח, לא הוגדר במסגרת מסמך הגדרות מאגר כנדרש לפי התקנות החדשות, וגם לא נרשם אצל רשם מאגרי המי דע. . .15 :ראו http://www.justice.gov.il/Units/ilita/subjects/HaganatHapratiyut/actions/Pages/Eyun.aspx משרד החקלאות ופיתוח הכפר | 2089 . משרד מבקר המדינה מעיר למשרד החקלאות כי עליו לפעול להכנת מסמך הגדרות מאגר לגבי המאגר הנוסף ויש לרושמו בפנקס מאגרי המידע, כנדרש בחוק הגנת הפרטיות, על מנת לאפשר את הבקרה על רמת אבטחת המידע בו. יצוין כי פרסומו של מידע כזה עקב אבטחה לקויה עשוי לפגוע בפרטיותם של האנשים הנזכרים בו ובשמם הטוב. בתשובתו מיולי 2018 מסר המשרד כיהמאגר הוא חלק ממאגר הנתונים המרכזי של המשרד שבכוונתו לרשום כחוק. עוד הוסיף המשרד כי ככל שלא יתאפשר לרשום מאגר מרכזי אחד, יירשם המאגר בנפרד. .ההיערכות הארגונית ליישום חוק הגנת הפרטיות במשרד החקלאות .בחוק הגנת הפרטיות ובתקנותיו נקבעו כמה בעלי תפקידים בארגונים הנושאים באחריות לאבטחת מידע במאגר מידע - בעל מאגר מידע, המחזיק במאגר מידע ומנהל מאגר מידע. כמו כן, גופים ציבוריים כהגדרתם בחוק , ובכללם משרדי הממשלה, גם חייבים למנות אדם בעל הכשרה מתאימה לתפקיד ממונה אבטחת מידע, על מנת שיהיה אחראי לאבטחת המידע במאגרים המוחזקים ברשותם. כן נקבע בתקנות הגנת הפרטיות (העברת מידע), כי העברת מידע בין גופים ציבוריים צריכה להיעשות באמצעות ועדה להעברת מידע שיש להקים בכל גוף ציבורי, והיא מופקדת בין היתר לדון בבקשות של גופים ציבוריים לקבל מידע מהגוף שבו היא פועלת ולאשרן. קביעת הוראות לגבי בעל מאגר מידע בגופים ציבוריים: חוק הגנת הפרטיות אינו מגדיר מי הוא "בעל המאגר" שעליו מוטלות כאמור חובות שונות. החוק מציין כי בקשה לרישום מאגר מידע תכלול בין היתר את זהות בעל המאגר ומענו בישראל. הרשות להגנת הפרטיות פרסמה באוגוסט 2017 טיוטת הנחיית רשם מאגרי מידע בנושא "פרשנות ויישום חוק הגנת הפרטיות בעניין העברת הבעלות במאגר מידע"16 . בטיוטה נכתב שבעל מאגר המידע הוא הגורם שבידיו הכוח המשפטי לקבל החלטות בדבר אופן איסוף המידע ומטרת עיבודו, ובהתאם לכך מוטלות עליו חובות שונות שנועדו להגן על פרטיות האנשים שעליהם נאסף המידע. הרשאה לאיסופו ולעיבודו של המידע יכולה להתבסס בין השאר על הסמכה מכוח חוק לשם ביצוע מטרה ציבורית, או מכוח הסכמה המתקבלת מהאנשים עצמם לפני הכנסת המידע על אודותם למאגר מידע. עוד נאמר בטיוטת ההנחיה כי בעל מאגר מידע יכול להיות תאגיד, יחיד, גוף ציבורי ועוד. . .16 'טיוטת הנחיית רשם מאגרי מידע מס 3/2017 . תאריך הפרסום באתר האינטרנט של הרשות- 13.8.2017 . https://www.gov.il/he/Departments/publications/Call_for_bids/ownership_transfer 2090 |דוח שנתי 69ב .במאגרים שנרשמו על ידי המשרד בפנקס מאגרי המידע רשומים שלושה בעלים: משרד החקלאות / המשרד הראשי; משרד החקלאות / הרשות לתכנון ופיתוח; משרד החקלאות / מכון וולקני. מהמסמכים עולה שהרשות לתכנון ופיתוח במשרד רשומה כבעל המאגר של פיצו"ח מודיעין וכבעלים של מאגר כתבי אישור של מינהלת ההשקעות, אף על פי שנושאים אלו אינם מצויים בתחומה. משרד מבקר המדינה מעיר למשרד החקלאות כי עליו לבחון שו ב את הגדרת הבעלים של המאגרים. בתשובתו מיולי 2018 מסר המשרד כי נושא שיוך מאגרי המידע המשרדיים לבעלים יטופל במסגרת רישום המאגרים הנוספים כמפורט לעיל. .הגדרת מנהלי מאגר מידע למאגרים הרשומים בפנקס .מנהל מאגר מידע מוגדר בחוק הגנת הפרטיות כ"מנהל פעיל של גוף שבבעלותו או בהחזקתו מאגר מידע או מי שמנהל כאמור הסמיכו לעניין זה". כאמור לעיל, בתקנות הגנת הפרטיות (העברת מידע ) נקבע שמנהל מאגר מידע הוא האחראי ליישום ההוראות הכלליות לניהול מאגר מידע17. בתקנות החדשות בוטלה ההוראה והאחריות לחלק מעניינים אלה הוטלה גם על בעל המאגר. למנהל מאגר המידע גם תפקיד בקביעת סדרי העברת מידע בין גופים ציבוריים. כאמור, קיימת חובה בחוק הגנת הפרטיות לרשום גם את שמו של מנהל המאגר במסגרת רישום מאגר המידע בפנקס מאגרי המידע. בבדיקה של רישומי מאגרי המידע של משרד החקלאות שנרשמו בפנקס מאגרי המידע בשנים 2003 ו-2004 נמצא, כי לא נרשם בהם שמו של מנהל מאגר המידע, בניגוד להוראות החוק. עד מועד סיום הביקורת במרץ 2018 לא התקבל הסבר ממשרד החקלאות לאי-קביעת מנהל לכל אחד ממאגרי המידע. עולה שמשרד החקלאות לא הגדיר מי ישמשו כמנהלים למאגרי המידע שכבר רשם. אי -הגדרת מנהלי מאגרי מידע הביאה לידי כך שבבקשות שונות לקבלת מידע חתם כמנהל מאגר מידע בעל תפקיד אחר מבלי שהוגדר כמנהל ובלי שנשא באחריות לתפקידי המנהל. לדוגמה, מנהל השירות למערכות מידע (השל"מ) חתם כמנהל מאגר מידע על בקשה מספטמבר 2017 של המרכז לסחר חוץ במשרד לקבל מידע על נתוני יבוא מאגף המכס ברשות המיסים. זאת אף שהוא לא נקבע כמנהל המאגר18. משרד מבקר המדינה מעיר למנכ"ל משרד החקלאות כי עליו להגדיר למאגרים הרשומים מנהלים. . .17 סעיף3 .)לתקנות הגנת הפרטיות (העברת מידע 18 על מקרים נוספים שבהם חתמו על טפסי א' ו-ב' מי שלא מונו כמנהלי מאגרים ראו בפרק "חשש לשימוש שלא כדין במידע ממאגרי מידע חיצוניים ביחידת הפיצו"ח". משרד החקלאות ופיתוח הכפר | 2091 . .במשך כשמונה שנים, .לא מינה משרד .החקלאות ממונה על .אבטחת מידע . בתשובתו מיולי 2018 מסר משרד החקלאות כי נושא הגדרת מנהלים למאגרים יטופל במסגרת רישום המאגרים הנוספים כמוזכר לעיל. .מינוי ממונה אבטחת מידע .אי-מינוי ממונה אבטחת מידע במשך תקופה ארוכה: חוק הגנת הפרטיות קובע כי גופים שונים המפורטים בחוק, ובהם גם גופים ציבוריים כהגדרתם בחוק, חייבים למנות אדם בעל הכשרה מתאימה לממונה על אבטחת מידע. עוד נקבע בחוק כי הממונה על אבטחת המידע יהיה אחראי לאבטחת המידע במאגרים המוחזקים בידי הגוף הציבורי, מבלי לגרוע מאחריותם לפי החוק של בעל המאגר, המחזיק במאגר או מנהל ו. בתקנות הגנת הפרטיות (העברת מידע) הוגדר ממו נה אבטחת מידע כאדם שמונה לתפקיד לפי החוק או אדם שמנהל המאגר קבע כי הוא אחראי לאבטחת המידע שבמאגר המידע. בתקנות אלו גם נקבע כי ממונה אבטחת המידע הוא אחד הגורמים שמאשרים בחתימתם העברת מידע בין גופים ציבוריים. עד מאי 2017 לא קבעו החוק ותקנותיו למי יהיה כפוף ממונה אבטחת המידע. בתקנות הגנת הפרטיות (אבטחת מידע), שנכנסו לתוקף במאי 2018 , נקבע כי הממונה על אבטחת המידע יהיה כפוף ישירות למנהל מאגר המידע או למנהל פעיל של בעל המאגר או המחזיק בו, או לנושא משרה בכירה אחר הכפוף ישירות למנהל המאגר. תפקיד הממונה על האבטחה על פי התקנות החדשות יהיה להכין נוהל אבטחת מידע ולהביאו לאישור בעל המאגר. עליו גם להכין תוכנית לבקרה שוטפת על העמידה בדרישות התקנות החדשות, לבצע אותה ולהודיע לבעל המאגר ולמנהל המאגר על ממצאיו. עוד נקבע בתקנות כי ממונה אבטחת המידע לא ימלא תפקיד נוסף שעלול להעמידו בחשש לניגוד עניינים במילוי תפקידו לפי תקנות אלה. התקנה מטילה על בעל מאגר המידע להקצות לממונה את המשאבים הדרושים לו לשם מילוי תפקידו. יצוין כי חוק הגנת הפרטיות מקנה חשיבות מיוחדת למינוי ממונה על אבטחת מידע, בכך שהוא קובע כי מי שאינו ממנה ממונה על אבטחת מידע דינו מאסר שנה19. במשך כשמונה שנים , מאז פרש לגמלאות הממונה הקודם על אבטחת המידע, לא מינה המשרד ממונה על אבטחת מידע כנדרש על פי חוק הגנת הפרטיות, ואף שהצורך למנות ממונה על אבטחת מידע הועלה על ידי גורמים שונים במשרד בהזדמנויות שונות. רק באוגוסט 2017 מינה המנכ"ל עובד בלשכתו לתפקיד ממונה אבטחת מידע. ההכשרה הנדרשת מהממונה על האבטחה: בחוק הגנת הפרטיות נקבע כי יש למנות לתפקיד ממונה על אבטחת מידע אדם בעל הכשרה מתאימה. הביקורת העלתה כי לא פורטה בחקיקה, בתקנות או בנהלים ההכשרה הנדרשת מהממונה על אבטחת מידע. . .19 בסעיף31 .א לחוק הגנת הפרטיות 2092 |דוח שנתי 69ב .בהיעדר נורמות בדבר ההכשרה הנדרשת מהממונה על אבטחת המידע פנתה הלשכה המשפטית של משרד החקלאות באוגוסט 2017 לרשות ל הגנת הפרטיות בשאלה מה ההכשרה הנדרשת. תשובת הרשות מספטמבר 2017 הייתה כי בחוק אין הגדרות בנושא והענייןנתון לשיקול דעתו של הארגון. משרד מבקר המדינה מעיר לרשות להגנת הפרטיות כי ראוי היה שהרשות כמאסדר, בשיתוף עם נש"ם תקבע הנחיות בעניין ההכשרה הנדרשת לממונה על אבטחת מידע במשרדי הממשלה ובגופים הציבוריים האחרים , שבמסגרתה יילקחו בחשבון תפקידי הממונה שנקבעו בתקנות החדשות. בתשובתה מיולי 2018 הציגה הרשות את עמדתה שכמאסדר רוחבי כלל משקי היא תבחן בעצמה - וככל שתמצא צורך ועל פי שיקול דעתה - תבחן עם הגורמים הרלוונטיים את הצורך לקבוע קריטריונים רוחביים כלל סקטוריאליים בנוגע להכשרה הכללית הנדרשת לממונה אבטחת מידע. משרד מבקר המדינה מעיר לרשות להגנת הפרטיות כי מבלי להתייחס לתוכני ההכשרה, עצם הדרישה להכשרה מתאימה מתחייבת מלשון החוק. ככל שהרשות תמצא כי הגיוון בגודל ובהיקף של הגופים השונים במשק המחזיקים במאגרי מידע מונע ממנה לנסח קריטריונים כלל סקטוריאליים להכשרה, עליה לוודא כי יפורסמו קריטריונים ספציפיים למשרדי הממשלה. בתשובת נש"ם מיולי 2018 נאמר כי מקובלת עליה עמדת המבקר בדבר הצורך בהגדרת ההכשרה הנד רשת לממונה אבטחת מידע , וכי תפעל עם הרשות להגנת הפרטיות להגדרת התפקיד ולקביעת הכישורים הספציפיים הנדרשים לו. הלשכה המשפטית של משרד החקלאות פנתה באוגוסט 2017 לממונה על אבטחת המידע בשאלה מה הכשרתו בנושא, ותשובתו הייתה כי השכלתו אקדמית אך הוא לא עבר כל הכשרה ספציפית בנושא אבטחת מידע. עד מועד סיום הביקורת במרץ 2018 לא קבע המשרד איזו הכשרה על ממונה אבטחת המידע לעבור. משרד מבקר המדינה מעיר למשרד החקלאות כי בהיעדר הנחיות של הרשות בנושא, עליו לקבוע מהי ההכשרה הנדרשת מממונה אבטחת המידע כנגזרת מדרישות תפקידו ולוודא כי העובד הממלא את התפקיד יוכשר בהתאם. בתשובתו מיולי 2018 השיב המשרד כי הוא פועל לאיתור הכשרה מתאימה לממונה על אבטחת המידע. משרד החקלאות ופיתוח הכפר | 2093 .הוועדה להעברת מידע .על פי תיקון לתקנות הגנת הפרטיות (העברת מידע) משנת 2005, מנכ"ל הגוף הציבורי, כהגדרתו בחוק הגנת הפרטיות, ימנה ועדה להעברת מידע. המנכ"ל יכהן כיושב הראש שלה , או ימנה לתפקיד היו"ר את סגנו או עובד בכיר הכפוף לו ישירות , ובין חברי ה יהיה נציג היועץ המשפטי של הגוף הציבורי ועובדים שתחום עיסוקם הוא ניהול מידע ואבטחתו. תפקיד הוועדה על פי התקנות הוא כפול: האחד הוא בחינה של בקשות שמפנים גופים אחרים לגוף הציבורי להעביר אליהם מידע וכן בחינת בקשות של הגוף הציבורי ל גופים ציבוריים אחרים לקבל מהם מידע. התפקיד האחר הוא לקבוע הוראות לעניין הגישה למאגרי מידע שברשות הגוף הציבורי, אשר יבטיחו את השמירה על המידע המצוי במאגרים. בעקבות תיקון התקנות מ-2005 )הנחה המשנה ליועץ המשפטי לממשלה (ייעוץ במרץ 2006 את היועצים המשפטיים במשרדי הממשלה בנושא העברת מידע בין גופים ציבוריים (להלן - הנחיית המשנה ליועץ המשפטי לממשלה). ההנחיה קובעת כי גוף ציבורי המבקש לקבל מידע מגוף ציבורי אחר יגיש את בקשתו על גבי טופס בקשה לקבלת מידע מאת גוף ציבורי לפי חוק הגנת הפרטיות, המצוי בתוספת לתקנות (להלן - טופס א'). הבקשה תועבר לאישור הוועדה להעברת מידע בגוף המבקש, לאחר שבעלי התפקידים בתחום הגנת הפרטיות והלשכה המשפטית של הגוף הציבורי המבקש אישרו אותה. על הוועדה להעברת מידע בגוף הציבורי המבקש לבחון כי המידע המבוקש אכן נדרש, וזאת באופן שבו התבקש, וכי מובטח שהגישה למידע תהיה מצומצמת ומפוקחת. רק לאחר שהוועדה להעברת המידע של הגוף הציבורי המבקש תיתן את אישורה לבקשה, תוגש הבקשה לגוף הציבורי האחר שממנו התבקש המידע. 2094 |דוח שנתי 69ב .תרשים 1 : טיפול בבקשה להעברת מידע בין שני גופים ציבוריים הנחיית המשנה ליועץ המשפטי לממשלה מציינת כי על הוועדה להעברת מידע בגוף המוסר את המידע לוודא שהבקשה הוגשה על ידי גוף ציבורי שרשאי לדרוש את המידע על פי דין או שהמידע דרוש לו למטרת ביצוע סמכויותיו. כן עליה לבחון שהיא מידתית וסבירה על פי המבחנים הבאים: הבקשה מתאימה ליישום המטרה שלשמה מבוקש המידע ויש קשר הגיוני בין הבקשה למטרה; העברת המידע באופן המבוקש היא האמצעי הפחות פוגע מבין מגוון האמצעים האפשריים למימוש אותה מטרה; קיים יחס סביר בין המטרה לבין הפגיעה שנגרמת בזכות לפרטיות לשם השגתה. עוד מצוין בהנחיה כי במבחנים אלו יש משרד החקלאות ופיתוח הכפר | 2095 . לתת אתהדעת לרגישות המידע האישי שמבקשים לקבל. ככל שהמידע רגיש יותר, יש צורך בהגנה רבה יותר על הפרטיות. מינוי הוועדה המשרדית להעברת מידע: בעקבות ההנחיה הוקמה במשרד החקלאות ועדה משרדית להעברת מידע בין גופים ציבוריים . באוגוסט 2015 .מינה המנכ"ל חברים חדשים לוועדהליו"ר הוועדה מונתה סגנית מנהל הרשות לתכנון ופיתוח. בין חברי הוועדה היו נציגת הלשכה המשפטית ונציג האגף למערכות מידע, כנדרש בתקנות הגנת הפרטיות (העברת מידע). חבר נוסף היה מרכז הוועדה. תוקף המינוי היה עד סוף שנת 2016 . מרכז הוועדה מסר למשרד מבקר המדינה בדצמבר 2017 כי תוקף מינוי הוועדה לא הוארך, וכי בשנת2017 .דנה הוועדה בשתי בקשות להעברת מידע והחליטה בהן עולה שהוועדה פעלה כשנה ורבע מבלי שהמשרד האריך את תוקף המינוי של חבריה. משרד מבקר המדינה מעיר למשרד החקלאות כי היה עליו להאריך את תוקף המינוי או למנות חברים חדשים לוועדה . בתשובתו מיולי 2018 מסר המשרד כי ממרץ 2018 מכהנת הוועדה להעברת מידע בהרכב חדש. הממונה על אבטחת מידע במשרד פועל לכתיבת נוהלי הוועדה ולאישורם בהנהלת המשרד. עבודת הוועדה: הנחיית המשנה ליועץ המשפטי לממשלה עוסקת בין השאר ביחס בין הוועדה לממונה על האבטחה ולמנהל המאגר. בעניין זה מצוין בה כי התיקון שנעשה בתקנות הגנת הפרטיות (העברת מידע) מנסה ליצור אחידות בתוך הגוף הציבורי, באופן שכל ממלאי התפקידים הנוגעים בדבר יהיו כפופים לוועדה בשני ההיבטים שהיא עוסקת בהם - העברת מידע בין גופים ציבוריים וקביעת הוראות לענ יין הגישה למאגרי המידע שברשות הגוף הציבורי. עוד מציינת ההנחיה כי מעתה הפיקוח והבקרה בנושא זה יהיו של הדרג הבכיר בכל גוף ציבורי. כלומר, בנושאים הקשורים להעברת מידע בין גופים ציבוריים ובקביעת הרשאות הגישה למאגרי המידע יהיו ממונה אבטחת המידע ומנהל מאגר המידע כפופים לוועדה להעברת מידע. נוהל עבודת הוועדה להעברת מידע במשרד החקלאות (להלן - נוהל עבודת הוועדה) מפרט את פעולותיה בכל הקשור לבקשותיהם של גופים ציבוריים לקבל ממשרד החקלאות מידע, ובכלל זה אופן הגשת הבקשה למסירת מידע מהמשרד ואופן בדיקתה על ידי הוועדה. בנוהל נקבע כי הוראותיו יחולו גם אם גורם במשרד החקלאות יבקש לקבל מידע מגוף ציבורי אחר. התברר כי נוהל העברת המידע הוא נוהל פנימי של הוועדה שהוכן על ידי שניים מחבריה אך לא אושר על ידי כל גורם. 2096 |דוח שנתי 69ב . .במשרד החקלאות לא .ניתנה במשך זמן רב .תשומת לב ניהולית .מספקת להיערכות .הארגונית הנדרשת .ליישום חוק הגנת .הפרטיות . משרד מבקר המדינה מעיר למשרד החקלאות כי מן הראוי שנוהל של ועדה להעברת מידע, שבראשה אמור לעמוד מנכ"ל המשרד או בעל תפקיד הכפוף לו, יאושר על ידי המנכ"ל או לכל הפחות יידון בוועדה ויאושר על ידה. התנהלות זו תרמה לכך שהנוהל לקה בחסר והדבר השפיע על עבודת הוועדה כמפורט להלן. על פי נוהל עבודת הוועדה, תהליך אישור העברת המידע מסתיים במתן האישור של הוועדה למסירת מידע לגורמים המבקשים מידע מהמשרד או באישורה של הוועדה לגורם מגורמי המשרד לקבל מידע מגוף ציבורי אחר. הנוהל אינו עוסק בהמשך התהליך ובכלל זה: הגשת הבקשה (טופס א') לאישור הוועדה להעברת מידע בגוף הציבורי המוסר את המידע, קבלת התייחסותה והטיפול בה; מעקב ופיקוח על קבלת מידע ובכלל זה על התקנתם והפעלתם של אמצעי הבקרה והניטור אצל מקבל המידע אחר המורשים להשתמש במידע. מתברר כי הוועדה להעברת מידע במשרד החקלאות פעלה בהתאם לאמור בנוהל בכל הקשור לבקשות שהפנה המשרד לקבל מידע ממאגרים ממשלתיים. כלומר, לאחר שהוועדה אישרה בחתימתה על טופס א' את בקשת יחידת הפיצו"ח לקבל מידע ממאגרים חיצוניים, היא לא המשיכה לטפל בבקשה. הטיפול בהגשת הבקשה לגוף מוסר המידע והתהליכים שהתקיימו לאחר מכן נעשו, כפי שיפורט להלן, על ידי יחידת הפיצו"ח20. עולה אפוא שהוועדה להעברת מידע במשרד החקלאותסיימה למעשה את מעורבותה בהליכי קבלת המידע מהגופים הציבוריים כבר בשלב של מתן האישור לקבלת המידע , ולא הייתה מעורבת בשלבים הבאים של תהליך קבלת המידע והשימוש שנעשה בו במשרד בפועל. בכך התעלמה הוועדה מאחריותה להיות גורם הבקרה המרכזי כפי שנקבע בהנחיית המשנה ליועץ המשפטי לממשלה. משרד מבקר המדינה מעיר למשרד החקלאות, כי עליו לתקן את הנוהל ולקבוע בו מהי המעורבות הנדרשת מהוועדה להעברת מידע וממנהלי המאגר ב תהליכי העבודה מול הגוף הציבורי מוסר המידע והגוף מקבל המידע. זאת בהתאם לאחריות המוטלת עליהם בחוק, בתקנות הגנת הפרטיות (העברת מידע ) ובהנחיית המשנה ליועץ המשפטי לממשלה, ועל מנת לממש בפועל את אחריות הוועדה לבקרה על התהליך ואת כפיפותם אליה של כל הגורמים הפועלים בנושא. בתשובתו מיולי 2018 מסר משרד החקלאות כי במשרד נכתב נוהל חדש של עבודת הוועדה להעברת מידע, וכי כתיבתו ואישורו יסתיימו עד סוף שנת 2018 . . .20 על טיפול הוועדה להעברת מידע במשרד החקלאות בבקשה לקבלת מידע ממרשם האוכלוסין וממשרד התחבורה ראו להלן בפרק "חשש לשימוש שלא כדין במידע ממאגרי מידע חיצוניים ביחידת הפיצו"ח". משרד החקלאות ופיתוח הכפר | 2097 . .במשרד החקלאות לא .ניתנה במשך זמן רב .תשומת לב ניהולית .מספקת להיערכות .הארגונית הנדרשת .ליישום חוק הגנת .הפרטיות . כמו כן, המשרד החל בהכנות לעבו ד עם מערכת מוע"ד 21 , שפיתחה רשות התקשוב הממשלתי. מערכת זו נועדה לייעל את עבודת הוועדות להעברת מידע במשרדי הממשלה ולהכתיב נוהל עבודה סדור וזהה לכל משרדי הממשלה22 . עוד השיב המשרד כי ייתכן שבסופו של דבר הוא יעבוד על פי נוהל רוחבי כלל ממשלתי, שנכתב ברשות התקשוב הממשלתי אך טרם הגיע לידי המשרד. .הגדרת תחומי סמכות ואחריות בתחום הגנת הפרטיות במשרדי הממשלה .כאמור, החוק ותקנותיו קובעים כי האחריות לאבטחת המידע מוטלת על כל אחד מבעלי התפקידים - בעל המאגר, מנהלו והמחזיק בו. גם חובה שהוטלה במפורש על מנהל מאגר המידע - לנקוט את האמצעים הדרושים לקיום התקנות ולאבטחת המידע במאגר המידע שהוא מופקד עליו - בוטלה עם כניסתן לתוקף של התקנות החדשות במאי 2018 . תקנות אלו מטילות על בעל מאגר המידע את האחריות לביצוע הפעולות לאבטחת מידע המנויות בהן, אך בסיכומן הן קובעות כי חובות בעל המאגר חלות גם על מנהל המאגר, וככלל23 חלות גם על מחזיק המאגר, בשינויים המחויבים ולפי העניין. מכל האמור לע יל עולה שבמשרד החקלאות, לא ניתנה במשך זמן רב תשומת לב ניהולית מספקת להיערכות הארגונית הנדרשת ליישום חוק הגנת הפרטיות במשרד: לא הוגדרו בעלי מאגרי מידע ומנהלי מאגרים, לא מונה ממונה על אבטחת מידע, והתגלו ליקויים בארגונה ובפעולתה של הוועדה המשרדית להעברת מידע. משרד מבקר המדינה מסב את תשומת לבה של הרשות להגנת הפרטיות למצב דברים זה, שעלול להתקיים גם בגופים ציבוריים אחרים. על הרשות להגנת הפרטיות לבחון את הדרך המיטבית להשגת המטרה שחובות בעלי התפקידים ימומשו, בין בהגברת האכיפה ובין על ידי בחינה אם יש מקום לשנות את ה מצב הקיים היום ולהסדיר בדין חלוקה של התפקידים, או בכל דרך אחרת שתיראה לה מתאימה. בתשובת הרשות מיולי 2018 נאמר כיחוק הגנת הפרטיות מטיל "אחריות כוללת ביחד ולחוד" על בעל המאגר, המחזיק במאגר ומנהל המאגר. עוד נטען בתשובה כי האמירה של החוק בהקשר זה היא מפורשת ומושכלת, מתוך כוונה ליצור אחריות כללית רחבה ולהימנע ממצב של "גלגול" האחריות זה על זה בין בעלי התפקידים השונים והתנ ערות ממנה. לגרסת הרשות, ככל שיש צורך . .21 .מערכת לניהול הוועדות להעברת מידע 22 בעניין זה ראו גם החלטת ממשלה1933 מיום 30.8.16 ; "צעדים ראשונים בדרך ליישום מדיניות ask once ," מאגר הנחיות וידע של רשות התקשוב הממשלתי באינטרנט, 10.9.17 www.govshare.gov.il/he/node/3887 23 למעט החובות הכלולות בתקנות2 ו-15)(א. 2098 |דוח שנתי 69ב .לשנות את הרגולציה או להוסיף עליה יש להוביל שינוי חקיקה, ודבר זה אינו בסמכותה. משרד מבקר המדינה מעיר כי גם אם האחריות היא כוללת לכל בעלי התפקידים, יש למצוא דרך להבטיח כי בפועל הפעולות יתבצעו והעבודה תתנהל כראוי. נש"ם מסר ה בתשובתה מיולי 2018 כי עמדת משרד מבקר המדינה מקובלת עליה, וכי היא תשתף פעולה עם הרשות להגנת הפרטיות ותפעל בכלים העומדים לרשותה ובתוקף סמכויותיה על מנת לקדם את קביעת האחריות והסמכויות בין בעלי התפקידים שהוגדרו בחוק ובתקנותיו. .חשש לשימוש שלא כדין במידע ממאגרי מידע חיצוניים ביחידת הפיצו"ח .יחידת הפיצו"ח נועדה לפעול לשמירת בריאות הציבור, החי והצומח ולחיזוק החקלאות במדינת ישראל . היחידה התקשרה עם שני משרדי ממשלה בעלי מאגרי מידע על מנת לקבל מידע על חשודים בעבירות, במסגרת חקירת עבירות על חוקים שעל אכיפתם היא מ ופקדת. המאגר האחד הוא מאגר המידע של רשות האוכלוסין, המכיל מידע על כל אזרחי המדינה, כתובותיהם, קשרי המשפחה שלהם, דתם, הלאום שאליו הם משתייכים ופרטים אישיים נוספים. המאגר השני הוא של משרד התחבורה, ומכיל מידע על כלי רכב ובעליהם. ליחידת הפיצו"ח חיבור מקוון למאגרים האלה לצורך אחזור מידע. מלבד זאת, יחידת הפיצו"ח חוברה למערכת "רותם" (רישום ובקרת תנועות מעבר) של מינהל מעברי גבול ברשות האוכלוסין, שתפקידה לזהות ולרשום את העוברים במעברי הגבול של מדינת ישראל. מערכת זו מאפשרת בין היתר לרשום צווי עיכוב יציאה מישראל וכניס ה אליה, והחיבור אליה מאפשר ליחידת הפיצו"ח להזין בה מידע המשמש לבקרה על המעבר במעברי הגבול. קיים חשש כי ביחידת הפיצו"ח נעשה שימוש שלא כדין במאגרי המידע שהועמדו לרשותה בשנים 2014 - 2016 .אגף החקירות בנש"ם החל בחקירת הנושא בשנת 2016 , והדברים עלו במכתב של מנהל האגף לחקירות משמעת בנש"ם למנכ"ל משרד החקלאות באוגוסט 2017 . בעקבות החקירות הושעו שלושה מעובדי יחידת הפיצו"ח, ואגף התביעה בנש"ם הגיש נגדם כתבי תובענה לבית הדין למשמעת של עובדי המדינה. על פי כתבי התובענה, הפיקו עובדי הפיצו"ח מאות שאילתות מידע ממאגרים אלו על עובדי המשרד ומנהליו, ידוענים, חוקרי נש"ם ועוד, וזאת לצרכים פרטיים. משרד מבקר המדינה בדק את תהליכי האישור והבקרה של העברת המידע מהמאגרים האלו ליחידת הפיצו"ח לאור הוראות חוק הגנת הפרטיות ותקנותיו. להלן הפרטים: משרד החקלאות ופיתוח הכפר | 2099 .טיפול הוועדה להעברת מידע במשרד החקלאות בבקשה לקבלת מידע ממרשם האוכלוסין .אי-מתן אישור הוועדה לבקשה להעברת מידע: ביולי 2013 הגישה יחידת הפיצו"ח לרשות האוכלוסין וההגירה טופס א' - בקשה לקבלת מידע מאת גוף ציבורי לשנים 2013 - 201824. בקשה זו אושרה. משרד מבקר המדינה פנה לוועדה להעברת מידע במשרד החקלאות וביקש לקבל את פרוטוקול הדיון שערכה לפני הגשת הבקשה. התברר כי לא נערך דיון כזה, והגשת הבקשה לא אושרה על ידי הוועדה כמתחייב. עולה שהבקשה הוגשה על ידי יחידת הפיצו"ח לרשות האוכלוסין ב-2013 מבלי שנדו נה ואושרה בוועדה להעברת מידע, כמתחייב מתקנות הגנת הפרטיות ומהנחיית המשנה ליועץ המשפטי לממשלה. בתשובתו מיולי 2018 מסר משרד החקלאות כי הוא מקבל את הביקורת וכי המשרד מתכנן לעבוד באמצעות מערכת מוע"ד, שתאפשר עבודה מסודרת בהתאם לדין ותמנע אפשרות של סטייה מההנחיות. חתימת ממונה אבטחת מידע על טופס א': אחד מתפקידיו של הממונה על אבטחת המידע על פי תקנות הגנת הפרטיות (העברת מידע) הוא לאשר, נוסף על אישור ה יועץ המשפטי של הגוף הציבורי ומנהל המאגר , את הבקש ה וההסכמה להעברת המידע שמעבירים הגוף הציבורי המקבל והגוף הציבורי המוסר על גבי טופס א' וטופס ב', בהתאמה . הנחיית המשנה ליועץ המשפטי לממשלה מדגישה, כי אישור הוועדה להעברת מידע יינתן רק לאחר בחינה מדוקדקת של המורשים לאשר בקשות להעברת מידע (מנהל המאגר, הממונה על אבטחת המידע והיועץ המשפטי). עוד נאמר בהנחיה כי אישור זה יהווה מדרג נוסף בטרם תתאפשר העברת מידע בין גופים ציבוריים. בטופס א' קודם שהגיש משרד החקלאות לרשות האוכלוסין, שעניינו בקשה לקבלת מידע לשנים 2009 - 2014 (להלן- הבקשה מרשות האוכלוסין משנת 2009 ,), חתם כממונה על אבטחת המאגר איש המודיעין של יחידת הפיצו"ח שהוא גם איש הקשר עם רשות האוכלוסין ואחד המשתמשים במידע. עולה שהוועדה להעברת מידע במשרד החקלאות אישרה את הגשתה של הבקשה לרשות האוכלוסין משנת 2009 , שעליה חתם אחד המשתמשים כממונה אבטחת מידע, אף שלא מונה לתפקיד על ידי גורם במשרד. בכך איפשרה הוועדה מצב שבו אחד המשתמשים במידע הוא גורם מרכזי בבקרה, מצב שפותח פתח לבעיות בתהליך הבקרה ואינו עולה בקנה אחד עם כללי מינהל תקין והפרדת סמכויות. בעניין זה יוער כי התקנות החדשות דורשות כי הממונה על אבטחת המידע לא ימלא ת פקיד נוסף שעלול להעמידו בחשש לניגוד עניינים במילוי תפקידו לפי תקנות אלה. . .24 על פי החוק, האישור לקבלתמידע תקף לחמש שנים. 2100 |דוח שנתי 69ב .משרד מבקר המדינה מעיר לוועדה להעברת מידע כי בבקשה מרשות האוכלוסין משנת 2009 היה על הוועדה לוודא, שאין החותם כממונה על אבטחת מידע ממלא תפקיד שאינו עולה בקנה אחד עם תפקידו זה, ובכלל זאת מי שיעשה שימוש במידע שאותו מבקשים. מעקב אחר מורשי הגישה למידע: לחשיפת המאגר למורשי גישה ולמספרם נודעת חשיבות רבה. בבג"ץ 8070/9825 נקבע בין היתר כי על רשויות המדינה להגביר את הפיקוח על הגישה למאגרי המידע השונים באמצעות תקנות או הנחיות, בין היתר מבחינת מספר העובדים בעלי הרשאת גישה למידע המצוי במאגרים ואופן הפיקוח על השימוש שנעשה במידע על ידי מורשי הגישה. בטופס א' נדרשים המורשים מטעם הגוף הציבורי המבקש להצהיר כי מתבצע מעקב אחר כניסות מורשי הגישה למאגר ולפרט את אמצעי הבקרה והניטור שיינקטו. בבקשה מרשות האוכלוסין מ -2013 לא היה פירוט של אמצעי הבקרה שינקוט משרד החקלאות על כניסות מורשי הגישה למאגר. בבקשה מרשות האוכלוסין משנת 2009 נכתב כי המע קב אחר כניסות מורשי הגישה למאגר ייערך "באמצעות 26log ." משרד מבקר המדינה בדק עם רשות האוכלוסין אם משרד החקלאות ביקש נתונים מתוך קובץ יומן האירועים (log,) ונענה כי יחידת הפיצו"ח לא ביקשה מידע כזה מרשות האוכלוסין. מהאמור לעיל עולה כי הן בעלי התפקידים (מנהל המאגר והממונה על אבטחת המידע) שחתמו על טופס א' והן הוועדה להעברת המידע במשרד החקלאות, שאמורה לבקר ולשקול את עניין קבלת המידע על כל היבטיו, לא הקפידו לוודא כי נערכת בקרה נאותה אחר השימוש שנעשה במאגר, ובפרט לגבי כניסות מורשי הגישה למרשם האוכלוסין והמידע שדלו מתוכו. משרד מבקר המדינה מעיר למשרד החקלאות כי היעדר בקרה על השימוש שעושים מורשי הגישה במאגר מרשם האוכלוסין, המכיל מידע רגיש על כל תושבי המדינה, מהווה פרצה באבטחת המידע. פרצה זו אכן איפשרה לעובדים לעיין במידע בניגוד להוראות הדין. בתשובתו מיולי 2018 מסר המשרד כי הוא מקבל את ממצאי המבקר בנושא וכי מינוי ממונה אבטחת מידע באוגוסט 2017 , מינוים הצפוי של מנהלי מאגרים לכל המאגרים וכתיבתם המתוכננת של נוהלי אבטחה לכל המאגרים יבטיחו . .25 האגודה לזכויות האזרח נ' משרד הפנים, פ"ד נח( 4 )842 (2004.) 26 log - יומן אירועים. קיצור של הביטוי האנגלי log file , שמשמעותו קובץ המשמש לתיעוד אירועים למטרת מעקב במערכות הפעלה בפרט ובמערכות בכלל. קובץ זה כולל פרטים כגון שם המשתמש שיצר את האירוע, תאריך האירוע ושעת האירוע. משרד החקלאות ופיתוח הכפר | 2101 . התנהלות נאותה של מנהל המאגר והמשתמשים. עוד ציין המשרד כי נוהל עבודה ספציפי ליחידת הפיצו"ח נמצא בתהליך של כתיבה. משרד מבקר המדינה מעיר למשרד החקלאות כי בראש ובראשונה עליו להקפיד על מילוי הוראות הדין והיועץ המשפטי לממשלה בכל הקשור ליישום חוק הגנת הפרטיות במשרד. עוד יוער, כי על המשרד להקפיד על מעורבותה של הוועדה להעברת מידע, שעל פי הנחיית המשנה ליועץ המשפטי לממשלה, ממונה אבטחת המידע ומנהל המאגר כפופים אליה בתחום העברת המידע בין גופים ציבוריים. .קבלת שירותים ממערכת "רותם" ברשות האוכלוסין וההגירה .מינהל מעברי גבול שברשות האוכלוסין מנהל את מעברי הגבול. מערכת "רותם" מותקנת בכל מעברי הגבול בארץ, בכניסות למדינת ישראל וביציאות ממנה, בכל נמלי האוויר והים ובמעברי הגבול היבשתיים. מערכת זו מסייעת לגופים שונים במדינה, שבידם הסמכות לפי חוק לעכב נוסעים במעברי הגבול - ביציאתם מהארץ ובכניסתם אליה. המערכת מאפשרת להזין את פרטיהם של מעוכבים במערכת, ומאפשרת להעביר לאותם גופים מידע על כניסות ויציאות של מעוכבים במעברי הגבול. העיכוב מאפשר לרשויות המוסמכות, וביניהן גם יחידת הפיצו"ח, לממש את היעדים שהן אמונות עליהם. מערכת "רותם" הייתה עד שנת 2011 באחריות משטרת ישראל. בשנה זו הועברו לרשות האוכלוסין הן האחריות לביקורת הגבולות והן מערכת "רותם". המערכת מכילה מאגרים שונים ובהם בין היתר מידע הנגזר ממרשם כלי הרכב של משרד התחבורה וממרשם ה אוכלוסין (להלן - מיני מרשם כלי רכב ומיני מרש ם אוכלוסין). ממאגרים אלו מתאפשרות שאילתות על אוכלוסיית מדינת ישראל המאחזרות נתונים אישיים ובהם ארץ הלידה, תאריך הלידה, עיר הלידה, פרטי בני המשפחה, המצב המשפחתי, הדת, הלאום ועוד, וכן פרטים של כלי רכב ובעליהם. כאשר אדם שהוצא לגביו צו עיכוב יציאה מהארץ או צו עיכוב כניסה עובר במעברי הגבול, המערכת מתריעה על המעבר לבקרי הגבול, מציגה בפניהם את הצו או הנחיה אחרת בעניינו, וכן מעבירה הודעה על כך לגורם שהוציא את הצו או ההנחיה. באמצעות המאגרים של מיני מרשם אוכלוסין ומיני מרשם כלי הרכב יכולים הגורמים המזינים את צווי העיכוב לזהות את המיועדים לעיכוב זיהוי ודאי בטרם יזינו את הצו או ההנחיה, בין אם מדובר בבני אדם ובין אם בכלי רכב. העברת מידע שלא בהתאם לחוק הגנת הפרטיות ו לתקנותיו : בקשה להעברת מידע מפרטת מהו המידע המועבר, לאיזו מטרה ועל סמך איזה חיקוק יכול המבקש לקבלו, ונוסף על כך עוסקת באמצעי האבטחה אצל מקבל המידע, ובכלל זה אבטחה בתוכנה, מידור המידע, אבטחה פיזית ואמצעים 2102 |דוח שנתי 69ב . .במשך כשבע שנים .העבירה רשות .האוכלוסין מידע .ממערכת "רותם" .ליחידת הפיצו"ח ללא .אישור הוועדה .להעברת מידע .ברשות . לבקרת אבטחת המידע. כמו כן, היא כוללת פרטים על מורשי הגישה הספציפיים למידע המבוקש. נובע מכך שכאשר פרטי מידע שקבלתם אושרה בעבר מועברים ממערכת שונה עם סדרי אבטחה אחרים, אזי גם אם אותם פרטי מידע נדרשים לאותה מטרה, על מבקש המידע להגיש בקשה נוספת בעניין זה. יחידת הפיצו"ח במשרד החקלאות פנתה בפברואר 2011 במכתב למינהל מעברי גבול וביקשה להתחבר למערכת "רותם" (להלן - מכתב יחידת הפיצו"ח). רשות האוכלוסין חיברה עמדה אחת ביחידת הפיצו"ח למערכת "רותם", ושני משתמשים מהיחידה קיבלו הרשאת גישה למערכת, הכוללת כאמור גם גישה למיני מרשם אוכלוסין ולמיני מרשם כלי רכב. הוועדה להעברת מידע ברשות האוכלוסין לא דנה בהעברת המידע שבשני מאגרים אלו ליחידת הפיצו"ח, וממילא לא אישרה אותה. עולה שבמשך כשבע שנים העבירה רשות האוכלוסין מידע ממערכת "רותם" ליחידת הפיצו"ח ללא אישור הוועדה להעברת מידע ברשות. משרד מבקר המדינה מעיר לרשות האוכלוסין כי בטרם אישרה את בקשתה של יחידת הפיצו"ח להתחבר למערכת "רותם" היה עליה לפעול לפי נוהלי ביצוע העברת מידע בין גופים ציבוריים, כנדרש בחוק הגנת הפרטיות ובתקנותיו, ולאשר את העברת המידע על ידי הוועדה להעברת מידע ברשות. רשות האוכלוסין מסרה למשרד מבקר המדינה בפברואר 2018 כי במכתב יחידת הפיצו"ח נאמר שהיחידה הייתה מחוברת באותו מועד למשרד הפנים לצורך שאילתות דרך מערכת אחרת, ולפיכך לא היה צורך לפעול על פי תקנות הגנת הפרטיות (העברת מידע) ולאשר שוב את העברת המידע בוועדה להעברת מידע. עוד מסרה רשות האוכלוסין כי במכתב יחידת הפיצו"ח צוין, כי עד אותו מועד נעזרה היחידה במשטרת ישראל לצורך הזנת עיכובי יציאה מהארץ. משרד מבקר המדינה מעיר כי בהצהרה כזאת של יחידת הפיצו"ח אין כדי לפטור את ר שות האוכלוסין מלפעול על פי תקנות הגנת הפרטיות (העברת מידע). הבקשה לקבלת מידע מאת גוף ציבורי על פי תקנות אלו חייבת להיות ספציפית הן מבחינת השימוש שנעשה במידע והסמכות של הגוף המבקש לקבלו, הן מבחינת מורשי הגישה והן מבחינת אמצעי האבטחה. בעניין הנדון, מטרת השימ וש במערכת "רותם" הייתה הזנת עיכובי יציאה מהארץ, ואילו בקשת יחידת הפיצו"ח להתחבר למערכות מרשם האוכלוסין נעשתה לצורך אחזור מידע. לפיכך היה על רשות האוכלוסין, לפני שאיפשרה את הגישה למערכת "רותם", להקפיד שיחידת הפיצו"ח תגיש בקשה להתחבר אליה על פי הכללים שנקבעו בתקנות הגנת הפרטיות (העברת מידע). בתשובתה מיולי 2018 מסרה רשות האוכלוסין כי עד סוף יולי 2018 תקבל הוועדה להעברת מידע של רשות האוכלוסין את רשימת כלל הלקוחות משרד החקלאות ופיתוח הכפר | 2103 . החיצוניים המקבלים מידע ממערכת "רותם" ומעבירים אליה מידע. הוועדה תדרוש מהם לפנות לרשות האוכלוסין בהתאם לחוק הגנת הפרטיות ולתקנותיו, ותסדיר את העברת המידע ואת קבלתו על ידי הלקוחות החיצוניים למערכת "רותם", על כל היבטיה. הפסקת שירותי מערכת "רותם" ביוזמת מינהל מעברי גבול ברשות האוכלוסין: חוק הגנת הפרטיות והתקנות הנוכחיות אינם כוללים הנחיות ספציפיות בנוגע לצעדים שעל מוסר המידע לנקוט, כאשר מתברר לו שמקבל המידע עשה בו שימוש שלא כדין. ואולם, שימוש שלא כדין כאמור מהווה הפרה של תנאי ההסכמה שקבע הגוף המוסר להעברה (שהרי על פי התהליך הקבוע בתקנות, הגוף המקבל נדרש לציין בטופס א' את המטרה שלשמה נדרש המידע). משרד המשפטים היה ער לחסר בדין בתחום זה, ו בתזכיר תיקון לתקנות הנוכחיות שפורסם לאחרונה ביקש לתקן חסר זה כדלהלן: "נודע לגוף המוסר כי קיים חשש שהגוף המקבל אינו מקיים את התנאים המפורטים בטופס ב' לתוספת , יפנה לגוף המקבל לשם בירור העניין ורשאי הוא להפסיק את מסירת המידע אם ראה שהדבר נדרש בנסיבות העניין" 27 . עד מועד סיום הביקורת לא הושלמה חקיקת התיקון. עלה כי במסגרת חקירת השימוש שלא כדין שעשו עובדים ביחידת הפיצו"ח במידע שהועמד לרשותם במערכת "רותם", נחסם השימו ש במערכת "רותם" בפני יחידת הפיצו"ח ביולי 2017 . לבקשת מינהל מעברי גבול עדכנה נש"ם את ראש אגף המבצעים במינהל מעברי גבול בממצאי החקירה, שממנה עלה שאחד המורשים איפשר לאנשים נוספים להשתמש במערכת, והמליצה להפסיק להרשות לו להשתמש בה. מינהל מעברי גבול החליט להפסיק לאפשר ליחידת הפיצו"ח את השימוש במערכת "רותם" מבלי ליידע על כך את הדרגים הבכירים במשרד החקלאות. משרד מבקר המדינה מעיר לרשות האוכלוסין כי מן הראוי היה שההחלטה להפסיק את השימוש של יחידת הפיצו"ח במערכת "רותם" הייתה מתקבלת על ידי הוועדה להעברת מידע של רשות האוכלוסין וההגירה, ולא על ידי מינהל מעברי גבול. זאת היות שתפקידה של הוועדה על פי תקנות הגנת הפרטיות (העברת מידע) הוא לדון ולאשר העברת מידע ונוכח הנחיית המשנה ליועץ המשפטי לממשלה המטילה על הוועדה את האחריות לפקח על התנהלות הגוף בו היא פועלת בכל הנוגע להעברת מידע המצוי בידי הגוף הציבורי. הגורם שרשאי לאשר אמור להיות גם הגורם שיורה על הפסקת העברת המידע, או במקרים מיוחדים בהם ניתנה החלטה דחופה להפסיק העברת מידע על ידי גורם אחר, הוועדה להעברת מידע תהיה זו שתאשרר אותה. . .27 )תקנות הגנת הפרטיות (תנאי החזקת מידע ושמירתו וסדרי העברת מידע בין גופים ציבוריים (תיקון), התשע"ז-2017. 2104 |דוח שנתי 69ב .עוד מעיר משרד מבקר המדינה כי על משרד המשפטים לבחון אם יש להוסיף לתזכיר התיקון לתקנות הגנת הפרטיות הנזכר לעיל או לעגן באופן אחר קביעה בדבר האורגן או הדרג בגוף הציבורי שיחליט בדבר הפסקת העברת המידע, או יאשרר את ההחלטה אם יש צורך בהחלטה מיידית כשנעשה בו שימוש שלא כדין. בתשובתו מיוני 2018 מסר משרד המשפטים כי גיבוש טיוטת התיקון לתקנות נמצא בישורת האחרונה לפני השלמתו והעברתו לאישור ועדת החוקה, חוק ומשפט של הכנסת 28. לשון טיוטת התיקון אכן אינה מצביעה על גורם קונקרטי בגוף המוסר שעליו לקבל החלטה לעניין זה. זאת בעיקר נוכח ההיקף הנרחב של סוגי הגופים הציבוריים שהתקנות חלות עליהם, ובשים לב למצבים השונים שעליהם עשויה לחול ההוראה האמורה. לעניין זה יש להביא בחשבון כי ההוראה עשויה לחול גם על מצבים חריגים , שבהם יהיה מקום להפסיק את העברת המידע ללא דיחוי, מבלי שיידרש לעניין זה אישור כלל חברי הוועדה. עוד נאמר בתשובת משרד המשפטים כי בעניין המקרה הקונקרטי הנזכר בדוח, מדובר בהעברת מידע שלא אושרה כדין בידי הוועדה להעברת מידע. בנסיבות אלה היה נכון לפעול לתיקון המצב מייד כשהתברר ולהביא את העברת המידע ליחידת הפיצו"ח לבחינה בידי הוועדות להעברת מידע בגופים הציבוריים הרלוונטיים, שהם הגורמים המוסמכים לעניין זה. עיגון ההיבט החוקי של השימוש במערכת "רותם" בנהלים : מערכת "רותם" כוללת כאמור מאגרים המכילים מידע כהגדרתו בחוק הגנת הפרטיות. המערכת גם תומכת בפעילות שעיקרה עיכוב נוסעים היוצאים ונכנסים במעברי הגבול. עיכוב זה כרוך ממילא בפגיעה בחופש התנועה שלהם. בחודשים יוני -דצמבר 2017 נכתבו ואושרו ברשות האוכלוסין נהלים העוסקים באישור השימוש של ל קוחות חיצוניים במערכת "רותם" ובתנאים לקבלת האישור מבחינת אבטחת המידע, ציוד הקצה שיתחבר למערכת "רותם" ועוד. מבדיקת הנוהל העוסק בשימוש של לקוחות חיצוניים במערכת עולה כי חסרה בו התייחסות להיבט החוקי שבהתחברות, מבחינת הצורך לפעול לפי חוק הגנת הפרטיות ותקנותיו ולוודא שהגורמים המזינים את המערכת מורשים לעכב עוברים במעברי הגבול על פי כל דין. משרד מבקר המדינה מעיר לרשות האוכלוסין כי עליה לפעול לכך שנושא רגיש כגון הזנת מידע התומך בתהליכים של עיכוב יציאה מהארץ או כניסה אליה, וכרוכה בו העברת מידע בין גופים ציבוריים, יעוגן בנהליה בהתאם לכלל הוראות הדין, ובפרט אלה הנוגעות להגנת הפרטיות. . .28 .פרטי הצעת התיקון ראו הערת שוליים קודמת משרד החקלאות ופיתוח הכפר | 2105 .טיפול משרד החקלאות בהפסקת השירות ממערכת "רותם" .האפשרות לעקוב אחר תנועת חשודים בעבירות המצויות בסמכותה של יחידת הפיצו"ח הייתה הסיבה להתקשרות עם מערכת "רותם". המערכת רושמת את החשודים ומאפשרת לקבל הודעה על מעברם בשערי היציאה מהארץ או הכניסה אליה. בעקבות הודעה כזאת, שמלווה לעתים גם בבקשה לעיכוב בנמל התעופה, יכולה יחידת הפיצו"ח לשלוח חוקר שיחקור את החשוד או לבקש שיערכו עליו חיפוש. מכיוון שעיכוב במעבר הגבול משמעו שלילת חופש התנועה של האזרח, מערכת "רותם" מקוונת וזמינה בכל שעות היממה וכך מתאפשר לעדכן את פרטי המעוכבים ולמנוע עיכובי שווא. ביטול רשימת המעוכבים: בעקבות הפסקת השירות של מינהל מעברי גבול ביולי 2017 פנה נציג יחידת הפיצו"ח לאיש הקשר במינהל מעברי גבול וביקש ממנו לבטל את כל הצווים שהזינה יחידת הפיצו"ח למערכת "רותם", שכן נמנע מן היחידה לעדכן את הרשימה, ונוצר חשש שאנשים יעוכבו לאחר שהוחלט להסיר את הצווים בגינם. בעקבות בקשת יחידת הפיצו"ח ביקש מינהל מעברי גבול, בסוף יולי 2017 מאגף החקירות בנש"ם לקבל את כל הפרטים על החקירה של מורשי הגישה למערכת "רותם" ביחידת הפיצו"ח בגין החשש לשימוש שלא כדין במאגרים. באוגוסט 2017 פנה בשנית נציג יחידת הפיצו"ח למינהל מעברי גבו ל, והמינהל כתב שוב לאגף החקירות בנש"ם והסביר כי המשך המצב שבו נמנע מיחידת הפיצו"ח לעדכן את ההנחיות שהוזנו למערכת עלול להביא לתביעות של אזרחים שיעוכבו במעברי הגבול אף שסיבת עיכובם פגה. ההתכתבות של נציג יחידת הפיצו"ח עם מינהל מעברי גבול נמשכה כשלושה חודשים, ללא היענות מצד המינהל לבקשת יחידת הפיצו"ח לבטל את כל צווי עיכוב היציאה מהארץ וההנחיות שהזינה למערכת "רותם", שנבעה מהחשש שהפונה עצמו הוא מהנחקרים בגין החשש לשימוש שלא כדין, כפי שהתברר מאוחר יותר. רק באוקטובר 2017 פנה מנהל יחידת הפיצו"ח למינהל מעברי גבול בעניין העבודה עם מערכת "רותם" וביקש לחדש את השירות, שמניעתו פוגעת לדבריו פגיעה קשה בעבודת היחידה. משרד מבקר המדינה מעיר למנהל יחידת הפיצו"ח, כי אף שהיה חשש ניכר לעיכוב לא מוצדק במעברי הגבול וממילא לפגיעה בזכויות הפרט החושפת את משרד החקלאות לתביעות, במשך שלושת החודשים שבהם לא היתה התקדמות של ממש בביטול הצווים שהוזנו למערכת "רותם", הוא לא פעל בצורה נחרצת מול הנהלת רשות האוכלוסין בעניין זה. הוא גם לא עירב את הנהלת המשרד בנושא בעוד מועד. בתשובתו מיולי 2018 ציין המשרד כי הטיפול בהפסקת השירות ממערכת "רותם" נעשה תח ילה רק בין נציגי היחידות, ללא ידיעת הנהלת המשרד. רק לאחר מכן טיפלה לשכת מנכ"ל המשרד בבקשת מנהל היחידה והיועצת המשפטית לביטול הצווים במערכת "רותם". עוד נאמר בתשובת המשרד כי נוכח 2106 |דוח שנתי 69ב .הצורך המבצעי של יחידת הפיצו"ח במידע ממאגרים חיצוניים הכוללים מידע רגיש, נכתב בימים אלה נוהל ארעי שיסדיר את העבודה מול אותם מאגרים עד שייכתב נוהל קבוע. הוועדה להעברת מידע של המשרד עוסקת בימים אלה, יחד עם יחידת הפיצו"ח, בטיפול בבקשות חדשות לקבלת מידע מאותם המאגרים. .הטיפול בקבלת מידע ממאגרי משרד התחבורה .אי-קיום דיון בבקשה בוועדה להעברת מידע של משרד החקלאות: ביולי 2013 פנתה יחידת הפיצו"ח למשרד התחבורה וביקשה לקבל מידע ממאגר כלי הרכב על בעלי כלי רכב ובכלל זאת תמונותיהם. הבקשה הייתה לתקופה מאי 2013 - מאי2018 . בבקשה נאמר כי היא תשמש את מרכז המודיעין וגורם הערכה. לא נמצא כי הוועדה להעברת מ ידע במשרד החקלאות, שהיא כאמור הגורם שבודק ומאשר את בקשת המשרד לקבל מידע מגוף ציבורי אחר, דנה בשנת 2013 בבקשת יחידת הפיצו"ח לקבל מידע על כלי רכב ממשרד התחבורה . המועד האחרון שבו התקיים דיון בוועדה על קבלת מידע ממשרד התחבורה היה בנובמבר 2011 . משרד מבקר המדינה מעיר ליחידת הפיצו"ח כי עליה להקפיד שכל בקשה לקבלת מידע תו גש לאישור הוועדה להעברת מידע במשרד , כנדרש בהוראות הדין. אי-פירוט אמצעי בקרה וניטור של כניסת מורשי הגישה למאגר: כאמור, בג"ץ29 פסק כי על רשויות המדינה להגביר את הפיקוח על הגישה למאגרי המידע השונים. בבקשה לקבלת מידע מאת גוף ציבורי לפי חוק הגנת הפרטיות נדרשים המורשים מטעם הגוף הציבורי המבקש לפרט את אמצעי הבקרה והניטור שיינקטו. נמצא כי בטופס הבקשה לקבלת מידע ממשרד התחבורה מ -2013 לא פורט, אף כי נדרש היה לפרט, אילו אמצעי בקרה וניטור על הכניסות של מורשי הגישה למאגר ישמשו את מקבלי המידע. עובדים שאינם מורשי חתימה החותמים על בקשות להעברת מידע: על פי תקנות הגנת הפרטיות (העברת מידע), מורשי החתימה על טופס א' מטעם הגוף הציבורי המבקש צריכים להיות מנהל המאגר והממונה על אבטחת המאגר. . .29 בג"ץ 8070/98 ., שם משרד החקלאות ופיתוח הכפר | 2107 .על הבקשה ממשרד התחבורה מיולי 2013 חתם כמנהל המאגר מנהל תחום ביחידת הפיצו"ח, וכממונה על אבטחת המאגר חתם מנהל הרשת במשרד. עוד נמצא כי על טופס הבקשה לקבלת מידע שהועבר למשרד התחבורה על ידי יחידת הפיצו"ח ביולי 2008 חתם מנהל תחום ביחידת הפיצו"ח גם כמנהל המאגר וגם כממונה על אבטחת המאגר. לשכת הייעוץ המשפטי של משרד התחבורה העירה על כך ליחידת הפיצו"ח באוגוסט 2008 . באוקטובר2008 העביר הייעוץ המשפטי של משרד החקלאות טופס א' מתוקן ובו חתם רכז המודיעין ביחידת הפיצו"ח, שהיה גם מורשה הגישה היחיד למאגר, כממונה על אבטחת המאגר. לא נמצאו כתבי המינוי לתפקידים אלה של החותמים על טופסי הבקשה לקבלת מידע מהשנים 2008 ו-2013 . עולה שלכאורה החותמים על טופסי הבקשה לקבלת מידע לא מונו לתפקידים שבשמם חתמו. לא זו בלבד, אחד מן החותמים כממונה על אבטחת המאגר היה גם מורשה הגישה היחיד למאגר. בכך איפשרה הוועדה מצב שבו גורם הבקרה הוא בו -זמנית אחד המשתמשים במידע, מצב שאינו עולה בקנה אחד עם כללי מינהל תקין והפרדת סמכויות ועלול לפגוע בבקרה. משרד מבקר המדינה מעיר למשרד החקלאות כי על בקשה לקבלת מידע אמורים לחתום בעלי תפקידים שמונו כדין לתפקידם. קיימת חובה למנות מנהל לכל מאגר, בין היתר כיוון שמוטלות עליו חובות ספציפיות בתהליך העברת המידע בין גופים ציבוריים. על משרד החקלאות למנות מנהלים לכל מאגרי המידע שברשותו כנדרש על פי דין. ליקויים בבדיקת הבקשה על ידי הוועדה להעברת מידע במשרד התחבורה: בתקנות הגנת הפרטיות (העברת מידע) נאמר, כי בעת מסירה כדין של מידע ממערכת של גוף ציבורי למערכת של גוף ציבורי אחר אחראים מנהלי המאגר של שני הגופים לנקוט פעולות אבטחה ובקרה על השימוש במידע במערכת המקבלת שרמתן תהיה שווה לזו הנהוגה במערכת המוסרת. עוד נאמר כי מנהלי מאגרי מידע במערכות המוסרות ומקבלות מידע דרך קבע יערכו את נוהל ההתקשרות להעברת מידע בין מערכותיהם, ובו ייושמו עקרונות האבטחה, בקרת הגישה ורישום המידע הנמסר בהתאם לתקנות אלה. עותקים מנוהל ההתקשרות יוחזקו אצל מנהלי המאגרים של שתי המערכות. גם הנחיית היועץ המשפטי לממשלה ממרץ 2006 מדגישה כי במסגרת בחינת אמצעי האבטחה אצל מקבל המידע, על הוועדה לבחון גם את אמצעי הבקרה, ובהם אופן הפיקוח על השימוש שנעשה במידע על ידי מורשי הגישה. 2108 |דוח שנתי 69ב .מהמסמכים עולה כי הוועדה להעברת מידע של משרד התחבורה אישרה באוקטובר 2013 את מסירתהנתונים למשרד החקלאות לתקופה 2013 - 2018 , אף על פי שבטופס הבקשה מ -2013 לא צוינו אמצעי הבקרה והניטור על כניסות מורשי הגישה למאגר. עוד עולה כי גם בטופס הבקשה מאוקטובר 2008 ,לתקופה הקודמת2008 - 2013 , לא צוינו אמצעי המעקב אחר כניסות מורשי הגישה למאגר. למרות זאת אושרה מסירת המידע על ידי הוועדה להעברת מידע של משרד התחבורה בישיבתה בנובמבר 2008. בתשובתו מיולי 2018 מסר משרד התחבורה כי אגף מערכות מידע במשרד ידרוש ממגיש הבקשה לקבלת מידע להציג אילו אמצעי בקרה וניטור בכוונתו להפעיל על מנת לבצע בקרה על כניסת מורשי הגישה. עוד הוסיף המשרד כי ביצוע הבקרה בפועל הוא באחריותו של מגיש הבקשה, וזאת משום שאין אגף מערכות מידע יכול לדעת אם מתבצע שימוש לא נאות בתהליכי שליפת המידע על ידי המורשה, כמו שנעשה במשרד החקלאות. עוד נאמר בתשובת משרד התחבורה כי נוכח מה שהתגלה במשרד החקלאות, יבחן המשרד את האפשרות לשתף גורמים חיצוניים במידע בהתייעצות עם הלשכה המשפטית של משרד התחבורה. בנוסף נאמר בתשובה כי המשרד הבהיר לאגף מערכות מידע, שעוסק בהיבטי המחשוב של הבקשות לקבלת מידע, וללשכה המשפטית, האחראית לצד המשפטי בבקשה, כי עליהם להקפיד בבחינת הבקשה ולבקש מהמבקש הבהרות באשר לקיום אמצעי הניטור והבקרה. משרד מבקר המדינה מעיר למשרד התחבורה כי ביצוע הבקרה בפועל הוא אכן באחריות מגיש הבקשה, שכן הוא יכול לדעת איזה מידע מועבר לצורכי מילוי תפקידו של המשרד המבקש ואיזה לא. עם זאת, הבקרה על מידע שמשרד התחבורה הוא הבעלים שלו היא גם מעניינו ולא בכדי קבע המחוקק כי נוהל ההתקשרות להעברת מידע בין מערכות המוסרות ומקבלות דרך קבע ייערך על ידי מנהלי המאגר של שתי המערכות, המוסרת והמקבלת, ובו ייושמו עקרונות האבטחה ובקרת הגישה 30. על משרד התחבורה לסייע למשרד המבקש בהנגשת כלי הבקרה, כדוגמת יומן האירועים שהתבצעו במערכת משרד התחבורה (log,) הכולל זיהוי של מבצע הפעולה. .הפסקת העברת המידע ממשרד התחבורה ליחידת הפיצו"ח .החלטת משרד התחבורה על הפסקת העברת המידע: שימוש שלא כדין במידע מהווה כאמור הפרה של תנאי ההסכמה שקבע הגוף המוסר להעברת המידע כך שביכולתו לשקול את הפסקת ההעברה. מהמסמכים עולה כי משרד התחבורה השהה במכוון את חידוש תוקף הֶתקן ההזדהות של משרד החקלאות, . .30 תקנות הגנת הפרטיות (העברת מידע), סעיף5.)(א משרד החקלאות ופיתוח הכפר | 2109 .שאיפשר למשרד את הגישה למאגרי משרד התחבורה ותוקפו פג בסוף אפריל 2017 , עקב הנחיית אגף החקירות בנש"ם שלא לחשוף את החקירה. במחצית יוני 2017 הודיע ראש אגף התקשוב במשרד התחבורה למשרד החקלאות כי נאסר עליהם למסור למשרד החקלאות את התקן ההזדהות עד הודעה חדשה. בסוף יולי 2017 הפנתה יחידת הפיצו"ח את תשומת ליבה של הלשכ ה המשפטית של משרד החקלאות להודעת משרד התחבורה. לאחר בירור של הלשכה המשפטית של המשרד עם נש"ם כתב מנהל אגף חקירות משמעת בנש"ם באוגוסט 2017 ,למנכ"ל משרד החקלאות כי בשנה האחרונה התנהלו מספר חקירות כנגד עובדים בכירים ביחידת הפיצו"ח בחשד שהשתמשו במאגרי מידע לצר כים פרטיים, וכי שניים מהם הושעו ממקום עבודתם. הוא הוסיף כי המליץ לפני משרד התחבורה, במענה לפנייתם, כי "יקפיאו" את ההיתר שניתן לעובדי יחידת הפיצו"ח לקבל מידע ממאגרי המשרד עד שיוסדר הנושא. ההחלטה על אי-חידוש תוקפו של התקן ההזדהות התקבלה על ידי ראש אגף התקשוב במשרד התחבורה, לאחר שהתייעץ עם סגנית היועץ המשפטי למשרד התחבורה, המשמשת כחברת הוועדה להעברת מידע. ההחלטה התקבלה מבלי שתועדה, לטענתם בשל בקשת אגף החקירות בנש"ם שלא לחשוף את החקירה. מהמסמכים עולה כי בשל הרצון לא לפגוע בחקירה עיכב משרד התחבורה את ההודעה למשרד החקלאות על הפסקת העברת המידע. משרד מבקר המדינה מעיר למשרד התחבורה כי מן הראוי היה שההחלטה להפסיק את השימוש של יחידת הפיצו"ח במאגר כלי הרכב של משרד התחבורה הייתה מתקבלת על ידי הוועדה להעברת מידע של המשרד. זאת היות ותפקידה של הוועדה על פי תקנות הגנת הפרטי ות (העברת מידע) הוא לדון ולאשר העברת מידע ונוכח הנחיית המשנה ליועץ המשפטי לממשלה המטילה על הוועדה את האחריות לפקח על התנהלות הגוף בו היא פועלת בכל הנוגע להעברת מידע המצוי בידי הגוף הציבורי. הגורם שרשאי לאשר אמור להיות גם הגורם שיורה על הפסקת העברת המידע, או במקרים מיוחדים בהם ניתנה החלטה דחופה להפסיק העברת מידע על ידי גורם אחר, הוועדה להעברת מידע תהיה זו שתאשרר אותה. עוד מעיר משרד מבקר המדינה כי ככל שמדובר בנושאים שקיים עליהם חיסיון, מן הראוי שהוועדה להעברת מידע במשרד תנהל פרוטוקולים חסויים שבהם יתועדו הדברים, דבר שלא נעשה במקרה זה. טיפול משרד החקלאות בהפסקת השירות על ידי משרד התחבורה: מפקחי יחידת הפיצו"ח מבצעים פיקוח שוטף ואכיפה של חיקוקים שבאחריות שר החקלאות. המידע ממאגרי משרד התחבורה הוגדר בבקשות להעברת מידע כחיוני לצורך מימוש הסמכויות המוקנות למפקחי יחידת הפיצו"ח לעצור כלי רכב כדי לערוך בהם חיפושים ולתפוס חפצים, ובכלל זה כלי הרכב עצמ ו. חיקוקים שונים מאפשרים גם לחלט כלי רכב. 2110 |דוח שנתי 69ב .כדי להסדיר את המשך קבלת המידע ממשרד התחבורה, הציע מנהל אגף חקירות משמעת בנש"ם במכתבו מאוגוסט 2017 , שמשרד החקלאות ייתן לעובדים אחרים את ההרשאה לשליפת מידע ויכשירם לתפקידם. עוד הוסיף כי יש להקים מנגנון רישום ומעקב א חר פעולות הפקת מידע כדי למנוע שימוש שלא כדין. בעקבות מכתב זה הורה מנכ"ל משרד החקלאות כי רק מנהל יחידת הפיצו"ח יוכל לשלוף מידע ממאגרי המידע העומדים לרשות המשרד. עוד הנחה כי יו"ר הנהלת הפיצו"ח והממונה על אבטחת המידע יפקחו על שליפת המידע על ידי מנהל יחידת הפיצו"ח. הוא ציין כי הנחייתו היא נוהל זמני, שיהיה בתוקף עד שיוכן נוהל קבוע. בנובמבר 2017 העבירה יחידת הפיצו"ח למשרד מבקר המדינה טיוטת נוהל "טיפול ואימות נתונים במאגרי מידע", שמטרתה להנחות את עובדי יחידת הפיצו"ח בטיפול ובשימוש במאגרי המידע הפנימיים והחיצוניים שבשימוש היחידה. הטיוטה כוללת, בין היתר, טופס מעקב אחר המידע המופק מהמאגרים החיצוניים. במכתב שצירפה יחידת הפיצו"ח לטיוטת הנוהל נאמר, כי הטיוטה אושרה על ידי המחלקה המשפטית במשרד ונמצאת בוועדת נהלים משרדית לבחינה ולאישור. עד מועד סיום הביקורת במרץ 2018 לא אושר הנוהל על ידי ועדת הנהלים המשרדית. עד ינואר 2018 לא ביקשה יחידת הפיצו"ח מידע ממשרד התחבורה, וממילא לא בוצעה הנחיית מנכ"ל משרד החקלאות מאוגוסט 2017 שעניינה נוהל זמני לקבלת מידע. בינואר 2018 פנה הממונה על אבטחת המידע במשרד החקלאות לאגף מערכות מידע במשרד התח בורה בדואר אלקטרוני, וביקש לאפשר את חידוש הגישה של יחידת הפיצו"ח למאגרי משרד התחבורה. בבקשה כתב הממונה על אבטחת המידע כי כיוון שטרם אושר נוהל קבוע ומצד שני נפגעת פעילות יחידת הפיצו"ח, הוא מציע סדר פעולות שימנע שימוש לרעה במידע ממאגרי משרד התחבורה. תשובת משרד התחבורה למשרד החקלאות בינואר 2018 הייתה כי עד לקבלת נוהל לא יאפשר משרד התחבורה ליחידת הפיצו"ח לגשת למאגריו. מהמסמכים עולה כי בסוף אפריל 2018 פג תוקף ההסכם להעברת מידע בין משרד התחבורה למשרד החקלאות. משרד התחבורה מסר למשרד מבקר המדינה במאי 2018 כי טרם התקבלה פנייה ממשרד החקלאות על גבי טופס א' לחידוש העברת המידע ממשרד התחבורה למשרד החקלאות. במסמכים שמסרה יחידת הפיצו"ח למשרד מבקר המדינה מהתקופה שבין יולי 2017 לינואר2018 , הכוללים תלונות ודיווחים על עבירות לכאורה שבוצעו ובהם היו מעורבים כלי רכב, עולה כי בהיעדר מידע ממשרד התחבורה לא ניתן לזהות את בעלי כלי הרכב ולפתוח נגדם בחקירה. להלן דוגמאות: דיווח על שני כלי רכב שמעורבים בהובלת בשר ללא היתר בצירוף מספרי הרישוי שלהם; כלי רכב שאינו מורשה להובלת בשר ונתפס מוביל 250 .ק"ג בשר ללא היתרים הנהג לא נמצא בידי יחידת הפיצו"ח, אך כלי הרכב נעצר ולא נמצאו בו מסמכים מזהים. משרד החקלאות ופיתוח הכפר | 2111 . .תהליכי אישור העברת .מידע במשרד .החקלאות נעשו .בניגוד לתקנות הגנת .הפרטיות (העברת .מידע) ולהנחיית .המשנה ליועץ .המשפטי לממשלה . עולה שעד מועד סיום הביקורת במרץ 2018 לא עלה בידי משרד החקלאות לסכם נוהל קבוע ולחדש את קבלת המידע ממשרד התחבורה הנדרש לפעולות האכיפה והחקירה של יחידת הפיצו"ח. זאת ועוד, במשך כשישה חודשים, מאוגוסט 2017 עד ינ ואר 2018 , לא יישם משרד החקלאות את הנחיית מנכ"ל המשרד שעניינה נוהל זמני המאפשר ליחידת הפיצו"ח להמשיך ולקבל את המידע הנחוץ לצורך מילוי תפקידיה. כתוצאה מכך נפגעה עבודת יחידת הפיצו"ח בכל הקשור לזיהוי בעלי כלי רכב שרכביהם אותרו כמעורבים בעבירות שהן בתחום הטיפול של היחידה. משרד מבקר המדינה מעיר למשרד החקלאות כי התמשכות הטיפול בנושא חידוש קבלת המידע ממשרד התחבורה אינה עולה בקנה אחד עם צורכי המידע הנדרשים ליחידת הפיצו"ח לצורך מילוי תפקידה על פי דין. על משרד החקלאות לסכם את שיטת קבלת המידע ממשרד התחבורה והשימוש בו באופן שיאזן בין צורכי המידע של יחידת הפיצו"ח לבין הצורך לערוך בקרה על הגישה לאחד ממאגרי המידע הגדולים בישראל, המכילים מידע המוגן לפי חוק הגנת הפרטיות. זאת ועוד, על הנהלת משרד ה חקלאות לערב בהכנת הנוהל את הוועדה להעברת מידע, האחראית על פי תקנות הגנת הפרטיות (העברת מידע) לאישור העברת מידע בין גופים ציבוריים ולבקרה עליו. בתשובתו מיולי 2018 מסר משרד החקלאות כי הוא מקבל את עמדת משרד מבקר המדינה וכי בימים אלה נכתב נוהל חדש, ייחודי ליחידת הפיצו"ח, באופן שיתאפשר חידוש הקשר בין יחידת הפיצו"ח לספקי מאגרי המידע החיצונ יים. הנוהל הזה יוחלף בנוהל כלל משרדי בהמשך. . . מכל האמור לעיל עולה כי תהליכי אישור העברת מידע במשרד החקלאות נעשו בניגוד לתקנות הגנת הפרטיות (העברת מידע) ולהנחיית המשנה ליועץ המשפטי לממשלה, שהרחיבה והבהירה אותן. זאת ועוד, היעדרה של ההיערכות הארגונית הנדרשת במשרד על פי חוק הגנת הפרטיות, ובכלל זה אי-מינוי מנהלי מאגרים וממונה אבטחת מידע, לא איפשר לקיים את תהליכי העברת המידע כנדרש בתקנות. הוועדה להעברת מידע לא מילאה את תפקידה כגורם בקרה, ולא דרשה לשלב בתהליך אמצעי מעקב אחר השימוש במידע על ידי מורשי הגישה למידע, כנדרש על פי טופס הבקשה וכמפורט בהנחיית המשנה ליועץ המשפטי לממשלה. יצוין כי המציאות הוכיחה שהיעדר בקרה על מורשי הגישה אינה פרצת אבטחה תיאורטית בלבד. שכן, חוסר הערנות ואי-המודעות לנושא זה איפשרו מצב שבו עובדים מיחידת הפיצו"ח עשו לכאורה שימוש שלא כדין במידע, שבגינו הם הושעו והוגשה נגדם תובענה לבית הדין למשמעת של נש"ם. 2112 |דוח שנתי 69ב .משרד מבקר המדינה מעיר למשרד החקלאות כי עליו לבחון את תהליך אישור העברת המידע בין גופים ציבוריים ובין המשרד, ולוודא כי כל מנגנוני הבדיקה והבקרה הנדרשים על פי דין קיימים, כי ממלאי התפקידים הרלוונטיים מודעים לתפקידם ולאחריותם, וכי התהליך מתנהל בהתאם להוראות הדין והנחיות היועמ"ש. .יישום תקנות הגנת הפרטיות (אבטחת מידע) .כאמור, במאי 2017 פורסמו תקנות הגנת הפרטיות (אבטחת מידע), ונקבע כי הן ייכנסו לתוקף במאי 2018 כדי לאפשר לארגונים להיערך אליהן. מטרתהתקנות, כפי שנכתב בדברי ההסבר31, הייתה לפרט ולקבוע את עקרונות אבטחת המידע הקשורים בניהול המידע ובשימוש בו במאגרי מידע, בהתבסס על תקני אבטחת מידע מקובלים בעולם. עוד נכתב בדברי ההסבר כי לעומת אבטחת מידע בכלל, שמטרתה להגן על המידע של ארגון כנכס של אותו ארגון, המטרה של ההסדר המוצע היא מימוש תכליות החוק, כלומר הגנה על זכויות נושאי המידע במאגר המידע מפני שימוש לרעה במידע על אודותם, הן על ידי גורמים מחוץ לארגון והן על ידי העובדים. המנגנונים שנקבעו בתקנות החדשות נחלקים לרבדים אחדים: ברובד הראשון נדרש בעל המאגר לקבוע מהו המידע המוגן ומהם הסיכונים הקשורים אליו; ברובד השני נדרש הארגון לקבוע נהלים בתחום אבטחת המידע, ש יכללו הוראות בעניין אבטחה פיזית של אתרי המאגר, הרשאות גישה למאגר, תיאור אמצעים המיועדים להגן על המאגר, אופן התמודדות עם אירועי אבטחת מידע ועוד; הרובד השלישי בתקנות כולל הוראות מהותיות בתחום ניהול אבטחת המידע. על מנת להיערך כראוי לתקנות, על הארגון להגדיר בר אש ובראשונה את המאגרים שלו. לאחר מכן, על בעליו של מאגר להגדיר את מאפייניו. בין היתר יפורטו מאפיינים אלו: תיאור כללי של פעולות איסוף המידע והשימוש בו, סוגי המידע השונים הכלולים במאגר המידע32 ,, פעולות עיבוד מידע באמצעות מחזיק פרטים על העברת המאגר או השימוש במידע האגור בו מחוץ לגבולות המדינה, סיכונים לפגיעה באבטחת המידע ואופן ההתמודדות איתם; שמו של מנהל מאגר המידע, של מחזיק המאגר ושל הממונה על אבטחת המידע בו אם מונה אחד כזה. הגדרות אלו ירוכזו במסמך המכונה "מסמך הגדרות המאגר". . .31 המבוא לדברי ההסבר לטיוטת התקנות, ששלחה שרת המשפטים ליו"ר ועדת החוקה, חוק ומשפט ח"כ סלומינסקי ב- 11.5.16 ', עמ1. 32 ,)ובפרט סוגי המידע האלה: מידע על צנעת חייו האישיים של אדם, מידע רפואי (כולל נפשי מידע גנטי, מידע על דעות פוליטיות ואמונות דתיות, עבר פלילי, נתוני תקשורת, מידע ביומטרי, מידע כלכלי והרגלי צריכה של אדם שעל פיהם ניתן ללמוד על אישיותו, אמונתו או דעותיו. משרד החקלאות ופיתוח הכפר | 2113 . משרד מבקר המדינה בחן בינואר2018, כארבעה חודשים לפני כניסת התקנות החדשות לתוקף, את היערכות משרד החקלאות ליישומן, ולהלן הממצאים: 1. הגדרת מאגרי המשרד על פי החוק והתקנות: במשרד קיימים לפחות עשרה מאגרים שמאפייניהם תואמים לקריטריונים שנקבעו בחוק למאגרי מידע, ואינם רשומים בפנקס. הביקורת העלתה כי עבודת המטה שהחלה בנושא לעדכון רשימת המאגרים טרם הסתיימה, (בעניין זה ראו לעיל בפרק "אי -השלמת מיפוי, בחינה והגדרה של מאגרי מידע"). 2. פרסום מסמך הגדרות מאגר: בתקנות נקבע כי על בעל המאגר להכין מסמך הגדרות המאגר ובו יפורטו, בין היתר, פעולות האיסוף והשימוש במידע; סוגי המידע השונים ופרטים נוספים כמוזכר לעיל. לא נמצא כי פורסם מסמך הגדרות מאגר לגבי אף לא אחד מן המאגרים שיש לרשום כמאגרי מידע. 3. קביעת רמת האבטחה הנדרשת: התקנה קובעת שלוש רמות אבטחה למאגרי מידע - בסיסית, בינונית וגבוהה. רמת האבטחה קובעת את דרישות ההגנה והאבטחה של המערכת בנושאים אחדים: רמת הדיווח על אירוע אבטחה חמור והטיפול בו; קיום ביקורת על אבטחת המידע במאגר; רמת הפירוט של נוהל אבטחת המידע שבעל המאגר נדרש להכין והנושאים שאליהם מתייחס הנוהל; קיום סקר סיכונים; קיום מבדקי חדירה; רמת האבטחה הפיזית; פעילות הדרכת עובדים; רמת הזיהוי והאימות של המשתמשים; הבקרה והתיעוד של הגישה למאגרים; רמת אבטחת התקשורת ועוד. ממונה אבטחת המידע במשרד החקלאות מסר למשרד מבקר המדינה בינואר 2018 , כי רמת האבטחה הנדרשת נקבעה על פי סקר הסיכונים שערכה במשרד היחידה להגנת הסייבר בממשלה בשיתוף הרשות הלאומית להגנת הסייבר במחצית השנייה של שנת 2017 , כחלק ממימוש הגנת הסייבר במשרד על פי החלטות הממשלה (להלן - סקר הסיכונים של יה"ב). משרד מבקר המדינה בחן את טיוטת סקר הסיכונים של יה"ב ומצא כי הוא נערך על פי טיוטת תורת ההגנה הלאומית בסייבר שאינה מבוססת על רמות האבטחה שנקבעו בתקנות הגנת הפרטיות (אבטחת מידע) ובנספחיהן, וממילא לא הביאו עורכי הסקר בחשבון את המאפיינים המשפיעים על רמות האבטחה על פי תקנות אלה. 2114 |דוח שנתי 69ב .משרד מבקר המדינה מעיר למשרד החקלאות כי על פי התבחינים שנקבעו בתקנות החדשות ובנספחיהן, רמת אבטחת המאגר נגזרת מהתכנים הקיימים במאגר לגבי הפרט, ממספר הרשומות וממספר המשתמשים במאגר. לפיכך, סקר הסיכונים שנעשה על פי תורת ההגנה הלאומית בסייבר אינו בא במקום קביעת רמת האבטחה הנדרשת על פי תקנות הגנת הפרטיות. עוד מעיר משרד מבקר המדינה למשרד החקלאות כי הגדרת המאגרים, הכנת מסמך הגדרות מאגר וקביעת רמת האבטחה של המאגרים שברשותו הם צעדים בסיסיים, המשפיעים על כל הפעילות שיערוך המשרד לצורך יישום התקנ ות החדשות. ראוי היה שבמועד סיום הביקורת במרץ 2018 , חודשיים לפני כניסתן של התקנות החדשות לתוקף, יסיים המשרד לבצע את השלבים האלה, שכן לכך נועדה שנת ההכנה. 4. סקר סיכונים: על פי התקנות החדשות, מאגר שחלה עליו רמת אבטחה גבוהה הוא, בין היתר, מאגר שיש בו מידע על עברו הפלילי של אדם או על נכסיו של אדם ומצבו הכלכלי, ויש בו נתונים על 100,000 .אנשים ומעלה במאגר מידע שחלה עליו רמת האבטחה הגבוהה אחראי בעל המאגר לעריכת סקר סיכונים אחת ל-18 חודשים לפחות, ועליו לפעול על פי תוצאותיו. הנחיות יה"ב, המתפרסמות במסגרת הנחיות ראש רשות התקשוב הממשלתי, מחייבות את משרדי הממשלה ויחידות הסמך לנהל סיכוני סייבר, ובכלל זה עריכת סקר סיכונים. סקר הסיכונים של יה"ב הוגש למשרד בנובמבר 2017 , ובשנת 2018 אמורהמשרד להשלים את סקר הסיכונים באמצעות ספק חיצוני33. התקנות החדשות גם קובעות כי רשם מאגרי המידע רשאי להורות כי מי שיעמוד בהנחיות אבטחת מידע של רשות מוסמכת 34 החלות עליו, או בהוראות של מסמך מנחה בעניין אבטחת מידע החלות עליו35 , יראו אותו כמקיים את הוראות התקנות, כולן או חלקן. זאת לאחר שהרשם השתכנע כי עמידה בתקנים רשמיים של אבטחת מידע או בהוראות הרשות המוסמכת מבטיחה את רמת האבטחה שנקבעה בתקנות לגבי אותו מאגר מידע. . .33 ."פרטים נוספים על סקר הסיכונים ראו להלן בפרק "יישום ההחלטה בעניין הסייבר בממשלה 34 על פי התקנות- גוף ציבורי המוסמך על פי דין לתת הנחיות בעניין אבטחת מידע. 35 על פי התקנות- תקן רשמי, תקן ישראלי או תקן בין-לאומי כמשמעותם בחוק התקנים, התשי"ג - 1953 ., או מסמך ייחוס, שהרשם אישר לעניין זה משרד החקלאות ופיתוח הכפר | 2115 . משרד מבקר המדינה מעיר למשרד החקלאות כי עליו לקבוע את רמת האבטחה של מאגריו כאמור לעיל, בטרם ישלים את סק ר הסיכונים שנערך לפי הנחיות יה"ב ומערך הסייבר הלאומי. בכך יבטיח כי ככל שיש למשרד מאגרי מידע הטעונים אבטחה ברמה גבוהה כאמור בתקנות החדשות, הם ישולבו במסגרת השלמת סקר הסיכונים. את סקר הסיכונים, לכשיושלם, יוכל המשרד להציג בפני רשם מאגרי המידע, שעשוי להכיר בסק ר כעומד בהנחיות הרשות המוסמכת, קרי יה"ב ומערך הסייבר הלאומי, ובאורח זה יוכל לפטור את המשרד מעריכת סקר סיכונים נוסף בהתאם לתקנות החדשות ובכך לחסוך במשאבים. 5. הכנת נוהל אבטחת מידע: בתקנות הגנת הפרטיות (אבטחת מידע) נאמר כי בעל מאגר המידע יכין נוהל אבטחת מידע בה תאם למסמך הגדרות המאגר ולתקנות, ובו יובאו הוראות בעניינים הבאים: האבטחה הפיזית והסביבתית של המאגר; הרשאות הגישה למאגר המידע ולמערכות המאגר; הסיכונים שאליהם נחשף המידע במסגרת הפעילות השוטפת של בעל המאגר; אופן ההתמודדות עם אירועי אבטחת מידע; הוראות לעניין ניהול של התקנים ניידים והשימוש בהם ועוד. הלשכה המשפטית של משרד החקלאות מסרה למשרד מבקר המדינה בינואר 2018 כי לא הוכן במשרד נוהל אבטחת מידע בשיתוף עם הלשכה המשפטית, ויש לבדוק את הנושא ביחידה לשירותי מידע. עד מועד סיום הביקורת במרץ 2018 לא התקבלה תשובת היחידה לשירותי מידע. בתשובתו מיולי 2018 מסר משרד החקלאות כי הוכן ופורסם נוהל אבטחת מידע בסיסי. הנוהל צורף לתשובתו. נוהל האבטחה שצורף לתשובת המשרד מתמקד ב הנחיית עובדי המשרד והמשתמשים ברשת המחשוב המשרדית בנוגע לכללי הזהירות ולאמצעי המנע שעליהם לנקוט כדי להפחית את הסיכוי לפגיעה במידע, בתשתיות המחשוב ובמהלך התקין של העבודה. הנוהל עוסק בכל הקשור בגישה לרשת המשרדית, ובכלל זה השימוש בכרטיסים חכמים, ניהול סיסמאות והגנה עליהן, התחברות לשרתי דואר אלקטרוני באמצעות מכשירי קצה, טיפול במחשבים ניידים ואחסון מידע ברשת המשרד. משרד מבקר המדינה מעיר למשרד החקלאות כי נוהל האבטחה שצורף לתשובת המשרד הוא ברמת הרשת המשרדית כולה, ואינו בגדר תחליף לנוהל אבטחה ספציפי לכל מאגר מידע במשרד, כנדרש בתקנות הגנת הפרטיות (אבטחת מידע ). נוהל כזה צריך לכלול מרכיבים נוספים על אלו שכולל הנוהל המצורף, ובכלל זה הסיכונים שחשוף להם המידע במאגר, אמצעי אבטחה פיזית וסביבתית ורכיבים נוספים בהתאם לרמת האבטחה החלה על המאגר. 2116 |דוח שנתי 69ב . .משרד החקלאות לא .נערך בצורה מספקת .ליישום התקנות .החדשות . 6. עריכת מבדקי חדירה: במאגר מידע שחלה עליו רמת האבטחה הגבוהה אחראי בעל המאגר לעריכת מבדקי חדירה למערכות המאגר, לצורך בחינת עמידותן לסיכונים שונים, אחת ל -18 חודשים לפחות. כן עליו לוודא שתוצאותיהם יידונו ושהטעון תיקון יתוקן. משרד מבקר המדינה מעיר למשרד החקלאות כי עליו להקדים ולקבוע את רמת האבטחה במאגריו, וככל שיש לו מאגרים שעליהם חלה רמת אבטחה גבוהה, יהיה צורך להיערך לקיים בהם מבדקי חדירה. מכל האמור לעיל עולה כי המשרד לא נערך בצורה מספקת ליישום התקנות החדשות. לא נמצא כי הייתה התארגנות ברמת הנהלת המשרד להגדרת כל המאגרים הרלוונטיים במשרד, לקביעת רמת האבטחה בהם וכן לקביעת יעדי היערכות ולוחות הזמנים ליישומם. אלו צעדים ראשוניים, שאמורים לשמש נדבך בסיסי לתוכנית עבודה שבה מיושמים אמצעי אבטחת מידע הנדרשים על פי תקנות הגנת הפרטיות (אבטחת מידע). משרד מבקר המדינה מעיר למשרד החקלאות על שלא עשה את הצעדים הראשוניים ההכרחיים לתחילת יישומן של התקנות החדשות. תוצאתו של דבר, שאף על פי שהתקנות החדשות נכנסו לתוקף, משרד החקלאות, שהוא הבעלים של מאגרי מידע רבים וחלקם רגישים, אינו ערוך ליישומן. .יישום ההחלטה בעניין הגנת הסייבר בממשלה במשרד החקלאות36 . באפריל2015 כתבראש מטה הסייבר דאז למנכ"לי המשרדים שעליהם למנות ממונה הגנת סייבר במשרדיהם, וכי עליהם להיערך להקצות תקציב נפרד לסייבר בשנת 2016 . בינואר2016 .מונה ממונה הגנת סייבר במשרד החקלאות שיהוי בביצוע סקר סיכונים: אחד מתפקידי ממונה הגנת הסייבר במשרד הוא גיבוש מדיניות הגנת הסייבר במשרד בהתאם לתהליך ניהול סיכונים ארגוני. בישיבת הוועדה המשרדית להגנת הסייבר (להלן - ועדת הסייבר המשרדית) מאפריל 2016 נאמר שהשלב הראשון במימוש הגנת הסייבר במשרד הוא מיפוי מערכות המשרד. שלב ז ה אמור להימשך כרבעון, ואחריו יש לערוך סקר . .36 'החלטה מס1443 מיום 15.2.15 .", "קידום אסדרה לאומית והובלה ממשלתית בהגנת הסייבר משרד החקלאות ופיתוח הכפר | 2117 .סיכונים, שיכול להתבצע באמצעות חברה פרטית שנבחרה במכרז מרכזי שערך משרד האוצר37 . בישיבת ועד ת הסייבר המשרדית מאוגוסט 2016 נאמר כי ה חברה הפרטית עובדת כרגע עם משרדי ממשלה אחרים, וניתן להתייעץ עמה לגבי הפורמט שבו הם משתמשים לביצוע הסקר במשרדים האחרים (על מנת לשמור על אחידות) ולהתחיל בעבודה. בישיבה נוספת מספטמבר 2016 נאמר כי צריך להזמין את החברה הפרטית לוועדה. בישיבה נוספת של ועדת הסייבר המשרדית מפברואר 2017 אמר מנהל יה"ב שסקר הסיכונים נקבע בהחלטת ה ממשלה כהמלצה לציבור אך כהנחיה למשרדי הממשלה, וכי ישנם משרדים שכבר עשו אותו. עוד אמר כי לפי ת וכנית העבודה של יה"ב לשנת 2017 , יעברו עוד 15 משרדי ממשלה את התהליך. נקבעה מתודולוגיה אחידה לתהליך וכן נקבעו החברות העתידות לבצע את סקר הסיכונים. סקר הסיכונים של יה" ב החל באמצע שנת 2017 , וטיוטה שלו הוגשה למשרד בנובמבר 2017 . אי-השלמת סקר הסיכונים: בטיוטת סקר הסיכונים נאמר כי לא נכללו בו הרשתות המסווגות של המשרד, יחידות הסמך שלו וממשקי עבודה חיצוניים של המשרד. ממונה הסייבר המשרדי מסר למשרד מבקר המדינה בינואר 2018 כיצוות סקר הסיכונים מטעם יה"ב ביצע סקר הטעון השלמה. בכוונת משרד החקלאות לגייס חברה חיצונית לביצוע ההשלמה, כמומלץ בטיוטת הסקר. הנושא טעון אישור סופי של מנכ"ל המשרד במסגרת תקציב 2018 . יוצא אפוא שסקר הסיכונים שבוצע לא כלל יחידות סמך חשובות. בתשובתה מיולי 2018 מסרה רשות התקשוב הממשלתי כי סוכם מראש עם משרד החקלאות כי סקר הסיכונים לא יכלול את יחידות הסמך של המשרד. לדברי הרשות, בשנת 2018 מתבצע סקר סיכוני סייבר במינהל המחקר החקלאי - מכון וולקני על ידי חברה חיצונית, ורשות התקשוב משתתפת במימון מחצית מעלות הסקר. מימוש המלצות סקר הסיכונים: סקר הסיכונים כלל מיפוי וסקירה של יעדי ההגנה העיקריים ברשת הבלתי מסווגת של המשרד ומערכות המידע והתשתית הפועלות בה. יעדי ההגנה נקבעו על ידי המשרד וכוללים מערכות, מאגרי מידע ושירותים המהותיים לתִפקודו השוטף. עורכי הסקר בחנו את רמת הקריטיות של . .37 ,יש להבחין בין סקר סיכונים זההנערך לפי ההחלטה בעניין הגנת הסייבר בממשלה, ומיועד לטפל בסיכונים לכל מערכות ומאגרי המשרד, לבין סקר הסיכונים הנערך מתוקף תקנות הגנת הפרטיות (אבטחת מידע) החל רק על מאגרי מידע כהגדרתם לפי חוק הגנת הפרטיות ורק על כאלה שהוגדרו על פי התקנות כמאגרים ברמת אבטחה גב והה. סקר זה אוזכר בפרק הקודם. 2118 |דוח שנתי 69ב . .טרם גובשה תוכנית .עבודה ליישום .המלצות סקר .הסיכונים וטרם .הוקצה תקציב .להשלמת הסקר . יעד ההגנה לארגון, כפי שעלה מראיונות עם משתמשי המערכת, וכן את רמת ההגנה הנוכחית על אותו יעד הגנה, ובהתאם קבעו ציון משוקלל המודד את דרגת הסיכון הצפויה לארגון מפגיעה באותו יעד. מה סקר עולה שקיימות מערכות ברמת דחיפות גבוהה לטיפול, מערכות ברמת דחיפות בינונית -גבוהה, מערכות ברמת דחיפות בינונית -נמוכה וכן מספר מערכות ברמת דחיפות נמוכה . לסקר הסיכונים צורפה המלצה לתוכנית עבודה לשנת 2018 בתחום הגנת הסייבר, הכוללת בין היתר משימות כגון אלו: כתיבת נוהלי עבודה וביצוע סקרי סיכונים ומבדקי חדירה; אבטחה ברכש ובפיתוח; הגנה על שרתים ועמדות קצה; אבטחת טלפונים סלולריים; הצפנת מחשבים ניידים; ביצוע בקרת גישה למשאבים ברשת הארגונית. בדיון שנערך אצל מנכ"ל המשרד במרץ 2018 הוצג סקר הסיכונים ונדונה תוכנית העבודה לאבטחת מידע וסייבר. בסיכום הדיון נאמר כי הנהלת המשרד תשקול, לאחר שתקבל תוצאות של בחינה הנעשית בנושא השירות למערכות מידע של המשרד, את תוכנית העבודה של השירות ובכלל זה את נושאי הסייבר. עולה שאף על פי שההמלצות לפעולה בעקבות סקר הסיכונים הובאו לידיעת המשרד בנובמבר 2017 , הן נדונו אצל המנכ"ל רק במרץ 2018 . זאת ועוד, טרם גובשה תוכנית עבודה, לא נקבע תקציב מוסכם לנושא הסייבר ולא הובהר אילו מהמלצות סקר הסיכונים לביצוע בשנת 2018 יתוקצבו ויבוצעו בשנה זו. גם טרם הוקצה תקציב להשלמת סקר הסיכונים. בתשובתו מיולי 2018 מסר משרד החקלאות כי אכן סקר הסיכונים שבוצע היה חלקי, כיוון שמומן מתקציב יה"ב. עוד הוסיף המשרד כי באחד המנהלים נערכים בימים אלה לסקר סיכונים מקיף, וכי מנכ"ל המשרד אישר לאחרונה עקרונית את המשך ביצוע סקר הסיכונים בשאר יחידות המשרד. משרד מבקר המדינה מעיר כי בנוסף לאישורים העקרוניים , השלמת סקר הסיכונים וביצוע ההמלצות של הסקר החלקי לשנים 2018 ו- 201938 צריכים להיות מעוגנים בתוכניות העבודה של המשרד והגופים הרלוונטיים בו וכן בתקציב המשרד, כדי להבטיח כי הדברים יבוצעו. בתשובת המשרד מיולי 2018 נאמר כי במקביל לבדיקת משרד מבקר המדינה נעשה במשרד תהליך בנושאי ההגנה על הפרטיות, אבטחת המידע והגנת הסייבר, וכי המשרד מנסה בשנתיים האחרונות לשנות תהליכים ומדיניות. בתקופה זאת מונו ועדות לנושא הסייבר, מונתה ועדה חדשה להעברת מידע בין גופים ציבוריים, התמנה ממונה אבטחת מידע והוחל בבחינת הנהלים בתחומים אלה. עוד נאמר בתשובת המשרד כי הוא נזקק להנחיות ולהדרכה מסמכות מרכזית בנושא ההגנה על הפרטיות. . .38 סקר הסיכונים כולל המלצות לתוכנית עבודה גם לשנת2019. משרד החקלאות ופיתוח הכפר | 2119 .משרד מבקר המדינה מעיר למשרד החקלאות כי עליו לעגן את הפעילויות הנעשות בתחומים אלו בתוכניות עבודה ולפעול ליישומן, כדי לשפר את המצב בתחומים אלה. .איוש משרת מנהל הגנת הסייבר ביחידת מערכות מידע .ההחלטה בעניין הסייבר מפברואר 2015 קבעה כי משרדי הממשלה ימנו מנהל הגנת סייבר ביחידת מערכות מידע. המנהל יעמוד בדרישות המקצועיות שייקבעו על ידי ועדת ההיגוי הממשלתית להגנת הסייבר, כמוגדר באותה החלטה39 . מהתכתבות בין מנהל היחידה לשירותי מידע לסמנכ"ל משאבי אנוש במשרד החקלאות מינואר 2015 עולה, כי היחידה לשירותי מידע עסקה כבר אז בחיפוש איש מקצוע בתחום אבטחת מידע והגנת הסייבר. מתברר כי עד אותו מועד היו כבר שני מכרזים פומביים, ולמכרז השני ניגש רק מועמד אחד, שנפסל במכרז הפומבי הראשון. בישיבת ועדת הסייבר ה משרדית באפריל 2016 דווח כי התפקיד אינו מאויש, וכי מדובר ב תפקיד מקצועי טכנולוגי. התפקיד הוגדר על ידי המשרד כ מיועד למכרז במסגרת של העדפה מתקנת עבור מועמד מאחד המגזרים הזכאים לכך, ובכל סבבי הראיונות לא נמצא מועמד מתאים. מפרוטוקול ועדת הסייבר המשרדית עולה כי ביוני 2016 .אויש התפקיד סמנכ"לית משאבי אנוש מסרה למשרד מבקר המדינה בפברואר 2018 כי בעל התפקיד פוטר לאחר תקופת ניסיון בשל אי התאמה לתפקידו. עולה כי אף שהצורך בהעסקת עובד מקצועי בתחום הגנת הסייבר ביחידה לשירותי מידע הוכר עוד בשנת 2015 , והמשרד פעל מאז כדי לאתר עובד מתאים לאיוש התפקיד. במועד סיום הביקורת, מרץ 2018 , אין למשרד החקלאות מנהל הגנת סייבר. . .39 החלטת ממשלה2443 מ- 15.2.15 (נספח ו' סעיף2).א. 2120 |דוח שנתי 69ב . .על מנכ"ל משרד .החקלאות לפעול .ליישום חוק הגנת .הפרטיות ותקנותיו .בהקדם האפשרי . סיכום .חוק הגנת הפרטיות ותקנותיו כּוננו לפני יותר משלושה עשורים, בין היתר, כדי להגן על המידע הרגיש האגור במאגרים ולמנוע את חשיפתו לשימוש שלא על פי דין. הביקורת העלתה כי על אף הזמן הרב שעבר, היערכות משרד החקלאות ליישום החוק לא נעשתה בצורה מספקת : לא זוהו, הוגדרו ונרשמו כל מאגרי המידע הטעונים הגנה על פי חוק הגנת הפרטיות; לא מונו בעלי תפקידים כנדרש לפי החוק ותקנותיו; תהליכי האישור והבקרה על העברת מידע בין המשרד לבין גופים ציבוריים אחרים מבוצעים באופן חלקי ולוקים בתהליך הבקרה. ליקויים אלה בהיערכות המשרד הם הרקע לחשש שהועלה כי ביחידת הפיצו"ח נעשה בשנים 2014 - 2016 שימוש שלא כדין במאגרי מידע שהועמדו לרשותה. בעקבות חקירה שנפתחה על ידי אגף החקירות בנש"ם הושעו שלושה עובדים ביחידה והוגשו נגדם כתבי תובענה לבית הדין למשמעת של עובדי המדינה. במאי 2018 ,)נכנסו לתוקף תקנות הגנת הפרטיות (אבטחת מידע התשע"ז-2017 , הכוללות הוראות מפורטות ליישום אבטחת מידע במאגרי מידע. ואולם, המשרד לא נערך ליישום התקנות כיאות ובשל כך לא יישם אותן באופן מספק, אף שנקבעה תקופת היערכות של שנה עד כניסתן של התקנות לתוקף כדי לאפשר לגופים במשק ליישמן. על מנכ"ל המשרד לפעול ליישום חוק הגנת הפרטיות ותק נותיו בהקדם האפשרי. במסגרת זו, עליו להפוך את הטיפול בהגנת הפרטיות לשגרה מחייבת במסגרת פעילות המשרד בכלל והפעילות להגנת הסייבר ונכסי המידע של המשרד בפרט. התנהלות משרד החקלאות המתוארת בדוח, שגרמה לכך שההיערכות הארגונית ליישום החוק במשרד הייתה חלקית, עלולה להיווצר גם בגופים ציבוריים אחרים. על הרשות להגנת הפרטיות לתת את דעתה לנושא ולבחון אם יש צורך בשינויים בתחום, ובכלל זה הגדרה ברורה יותר של תכולת כל אחד מהתפקידים המוגדרים בחוק ה גנת הפרטיות ובתקנותיו והגברת האכיפה בתחום.

תקציר:
 משרד החקלאות ופיתוח הכפר .טיפול המשרד בהגנת הפרטיות ובאבטחת מידע . משרד החקלאות ופיתוח הכפר | 2077 .תקציר .רקע כללי .בשנת 1981 נחקק חוק הגנת הפרטיות, התשמ"א -1981 (להלן- חוק הגנת הפרטיות או החוק). בשנת 1986 פורסמו תקנות הגנת הפרטיות (תנאי החזקת מידע ושמירתו וסדרי העברת מידע בין גופים ציבוריים), התשמ"ו-1986 (להלן - תקנות הגנת הפרטיות (העברת מידע )), הכוללות בין היתר פירוט הורא ות כלליות לניהול מאגר מידע ונהלים להעברת מידע בין גופים ציבוריים. במרץ 2017 ,אישרה ועדת החוקה חוק ומשפט של הכנסת, לאחר דיונים ממושכים את תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז -2017 , שביקשה שרת המשפטים להתקין (להלן - תקנות הגנת הפרטיות (אבטחת מידע ) או התקנות החדשות). תקנות אלה כוללות הוראות מפורטות ליישום אבטחת מידע במאגרי מידע, והן נכנסו לתוקף במאי 2018. הרשות להגנת הפרטיות הינה הגוף המסדיר, המפקח והאוכף על פי חוק הגנת הפרטיות. נושא הגנת הסייבר במדינת ישראל קּודם בשנים האחרונות במידה ניכרת עם ייסודם של מטה הסייבר הלאומי והרשות הלאומית להגנת הסייבר (שאוחדו החל ב - 1.1.18 למערך הסייבר הלאומי). בפברואר 2015 קיבלה הממשלה החלטה בדבר "קידום אסדרה לאומית והובלה ממשלתית בהגנת הסייבר" (להלן - ההחלטה בעניין הגנת הסייבר בממשלה). בעקבות ההחלטה הוקמה, במסגרת רשות התקשוב ה ממשלתי שבמשרד רה"ם, יחידה להגנת הסייבר בממשלה (להלן גם - יה"ב), שייעודה לשמש גוף להכוונה ו להנחיה מקצועית בתחום הגנת הסייבר במשרדי הממשלה וביחידות הסמך. באותה החלטה הוטל על המנכ"לים של משרדי הממשלה ומנהלי יחידות הסמך לפעול לשיפור רמת הגנת הסייבר במשרדי הממשלה. בין הצעדים שהיה עליהם לנקוט: מינוי של "ממונה הגנת הסייבר" במשרד, הקמת ועדת היגוי משרדית לנושא הסייבר והקצאת תקציב ייעודי להגנת הסייבר. משרד החקלאות ופיתוח הכפר (להלן - משרד החקלאות או המשרד) מנהל מערכות מידע המכילות נתונים רבים על החקלאות ועל החקלאים בתחומים שונים, ובכלל זה מידע כלכלי לגבי תמיכות ובעניין זכאות לאמצעי ייצור, כגון מים ועובדים זרי ם. יחידת המחשוב של המשרד מחזיקה מערכות תפעוליות ומחקריות. במערכות הללו ישנם גם מאגרי מידע כהגדרתם בחוק הגנת הפרטיות. חלקם כוללים מידע רגיש כהגדרתו בחוק, הטעונ ים רישום לפי החוק, ועל חלקם חלות תקנות הגנת הפרטיות (אבטחת מידע). נוסף על כך, המשרד מפעיל את היחידה המרכזית לאכיפה וחקירות - פיקוח על הצומח והחי (פיצו"ח) - יחידה לפיקוח על תנועת מוצרים מן הצומח והחי וליישום ההסכמים החקלאיים בין הרשות הפלסטינית למדינת ישראל (להלן - יחידת הפיצו"ח). עובדי היחידה הוסמכו כמפקחים לפי חוק יישום ההסכם בדבר רצועת עזה ואזור יריחו (הסדרים כלכליים והוראות שונות) (תיקוני 2078 |דוח שנתי 69ב .חקיקה), התשנ"ה-1994 (להלן- חוק היישום), ודברי חקיקה נוספים. ביחיד ת הפיצו"ח מנוהלים מאגרי מידע התומכים בפעולותיה , והיא עושה שימוש גם במידע ממאגרי מידע חיצוניים לסיוע בפעולות החקירה והאכיפה שלה. . .פעולות הביקורת .בחודשים אוקטובר 2017 - מרץ2018 בדק משרד מבקר המדינה היבטים בהגנת הפרטיות ובאבטחת מידע במשרד החקלאות כדלהלן: מיפוי, בחינה והגדרה של מאגרי המידע; ההיערכות הארגונית ליישום חוק הגנת הפרטיות; טיפול המשרד בבקשות לקבלת מידע אישי ממאגרי רשות האוכלוסין וההגירה (להלן - רשות האוכלוסין) ומשרד התחבורה והבטיחות בדרכים (להלן - משרד התחבורה) והבקרה על השימוש שנעשה במידע שהתקבל; יישום תקנות הגנת הפרטיות (אבטחת מידע) ; יישום ההחלטה בעניין הגנת הסייבר בממשלה. בדיקות השלמה נערכו ברשות האוכלוסין, במשרד התחבורה, בנציבות שירות המדינה (להלן - נש"ם) וביחידה להגנת הסייבר בממשלה. בדיקות השלמה נוספות נערכו במאי 2018. ועדת המשנה של הוועדה לענייני ביקורת המדינה של הכנסת, בהתייעצות עם מבקר המדינה, החליטה להטיל חיסיון על חלקים מפרק ביקורת זה לשם שמירה על ביטחון המדינה, בהתאם לסעיף 17 לחוק מבקר המדינה, התשי"ח-1958 [נוסח משולב.] . .הליקויים העיקריים .אי-השלמת מיפוי, בחינה והגדרה של מאגרי מידע .משרד החקלאות לא ערך עבודת מטה סדורה שתאפשר למפות ולזהות את המאגרים הטעונים הגדרה כמאגרי מידע לפי חוק הגנת הפרטיות. . .ליקויים בהיערכות הארגונית ליישום חוק הגנת הפרטיות במשרד החקלאות .משרד החקלאות לא הגדיר מי ישמשו כמנהלים של מאגרי המידע הרשומים. אי-מינוי מנהלי מאגרי מידע הביא לידי כך שעל בקשות לקבלת מידע חתמו כמנהלי מאגר מידע בעלי תפקידים אחרים מבלי שהוגדרו כמנהל מאגר מידע ובלי שנשאו באחריות לתפקיד המנהל. משרד החקלאות ופיתוח הכפר | 2079 .במשך כשמונה שנים לא היה במשרד ממונה על אבטחת מידע כנדרש על פי חוק הגנת הפרטיות. רק באוגוסט 2017 מינה המנכ"ל עובד בלשכתו לממונה אבטחת מידע. במשרד פועלת ועדה להעברת מידע , שהוקמה בהתאם להוראות שנקבעו בתיקון לתקנות הגנת הפרטיות (העברת מידע ) משנת 2005, ותפקיד ה לבחון בקשות למסירת מידע של המשרד וכן בקשות מטעם המשרד לקבל מידע של גוף אחר. נוהל הוועדה לא עסק בתהליך המלא של העברת המידע ובכלל זה : הגשת הבקשה לאישור הוועדה להעברת מידע בגוף הציבורי המוסר את המידע, קבלת התייחסותה והטיפול בה; מעקב ופיקוח על קבלת המידע ועל התקנת ם והפעלתם של אמצעי הבקרה והניטור אחר המורשים להשתמש במידע אצל מקבל המידע. . .חשש לשימוש שלא כדין במידע ממאגרי מידע חיצוניים ביחידת הפיצו"ח .קיים חשש כי ביחידת הפיצו"ח נעשה שימוש שלא כדין במאגרי המידע שהועמדו לרשותה בשנים 2014 - 2016. בעקבות חקירה שערךאגף החקירות בנש"ם הושעו ש לושה מעובדי יחידת הפיצו"ח , ואגף התביעה בנש"ם הגיש נגדם כתבי תובענה לבית הד ין למשמעת של עובדי המדינה . על פי כתבי התובענה, הפיקו עובדי הפיצו"ח מאות שאילתות מידע ממאגרים אלו על עובדי המשרד ומנהליו, ידוענים, חוקרי נש"ם ועוד, וזאת לצרכים פרטיים. בקשות לקבלת מידע שהגישה יחידת הפיצו"ח לרשות האוכלוסין ולמשרד התחבורה ב-2013 לאנדונו ולא אושרו בוועדה להעברת מידע של משרד החקלאות. הוועדה להעברת מידע במשרד החקלאות אישרה בקשה משנת 2009 לקבלת מידע מרשות האוכלוסין, שחתום עליה אחד המשתמשים כממונה אבטחת מידע, אף שלא מונה לתפקיד. מצב זה אינו עולה בקנה אחד עם כללי מינהל תקין והפרדת סמכויות. בעלי התפקידים (מנהל המאגר והממונה על אבטחת המידע), החותמים על טופס הבקשה לקבלת מידע לפי חוק הגנת הפרטיות , והוועדה להעברת המידע במשרד החקלאות, שאמורה לבקר ולשקול את עניין קבלת המידע על כל היבטיו, לא הקפידו לוודא כי נערכת בקרה נאותה אחר השימוש שנעשה במאגר, ובפרט לגבי כניסות מורשי הגישה למרשם האוכלוסין והמידע שדלו מתוכו. 2080 |דוח שנתי 69ב .הוועדה להעברת מידע ברשות האוכלוסין לא אישרה, כנדרש בתקנות, העברת מידע הכלול ב מאגרי מרשם האוכלוסין ומרש ם כלי הרכב של מערכת "רותם"1 , שהועברליחידת הפיצו"ח . ההחלטה של מינהל מעברי גבול ברשות האוכלוסין להפסיק לאפשר ליחידת הפיצו"ח את השימוש במערכת "רותם" התקבלה מבלי ליידע את הדרגים הבכירים במשרד החקלאות על כך. בטופס הבקשה לקבלת מידע שהגישה יחידת הפיצו"ח ל משרד התחבורה בשנת 2013 לא פורט, אף כי נדרש היה לפרט, אילו אמצעי בקרה וניטור ישמשו לצו רך ביצוע בקרה על כניסות מורשי הגישה למאגרי משרד התחבורה. . .יישום תקנות הגנת הפרטיות (אבטחת מידע) .המשרד לא נערך באופן מספק ליישום תקנות הגנת הפרטיות החדשות. לא נמצא כי הייתה התארגנות ברמת הנהלת המשרד להגדרת כל המאגרים הרלוונטיים במשרד, לקביעת רמת האבטחה בהם וכן לקביעת יעדי היערכות ולוחות הזמנים ליישום התקנות. . .יישום ההחלטה בעניין הגנת הסייבר בממשלה .סקר הסיכונים שבוצע במשרד בנובמבר 2017 לא כלל יחידות סמך חשובות. ההמלצות של סקר הסיכונים נדונו אצל המנכ"ל רק במרץ 2018, אך טרם גובשה ת וכנית עבודה ותקצוב מוסכם ליישום המלצות סקר הסיכונים, ולא הובהר אילו מ ההמלצות של סקר הסיכונים שנקבעו לביצוע בשנת 2018 .יתוקצבו ויבוצעו בשנה זו . . .1 מערכת המותקנת בכל מעברי הגבול במדינת ישראל, שמטרתה לרשום ולבקר את תנועת הנכנסים לארץ והיוצאים ממנה. משרד החקלאות ופיתוח הכפר | 2081 .ההמלצות העיקריות .על משרד החקלאות להשלים את מיפוי מאגרי המידע של ו, לזהות את המאגרים הטעונים הגדרה ואבטחה על פי החוק ותקנותיו ולהכין מתווה להגדרת ם ולרישומם . על משרד החקלאות להגדיר לכל המאגרים שימפה מיהם הבעלים והמנהל של כל מאגר. על כל בעלי התפקידים לפעול למימוש חובתם לאבטחת המידע במאגרים שהם מופקדים עליהם. על הרשות להגנת הפרטיות לפעול, בשיתוף נש"ם וגורמים רלוונטיים נוספים, לקביעת ההכשרה הנדרשת מממונה אבטחת מידע בגופים ציבוריים, ובפרט במשרדי הממשלה. על משרד החקלאות לתקן את נוהל הוועדה להעברת מידע ולקבוע בו מהי המעורבות הנדרשת ממנה וממנהלי המאגר בתהליכי העבודה מול הגוף הציבורי מוסר המידע או מקבל המידע , וזאת בהתאם לאחריות המוטלת עליהם בהוראות הדין. על הרשות להגנת הפרטיות לבחון את הדרך המיטבית להשגת המטרה שחובות בעלי התפקידים ימומשו - בין באמצעות הגברת האכיפה ובין על ידי בחינה אם יש מקום לקבוע בצורה ברורה יותר את חלוקת התפקידים - ולחדד את האחריות לניהול הכולל של הגנת הפרטיות בגופים ציבוריים, ובפ רט במשרדי ממשלה. . .סיכום .חוק הגנת הפרטיות ותקנותיו כּוננו לפני יותר משלושה עשורים, בין היתר, כדי להגן על המידע הרגיש האגור במאגרים ולמנוע את חשיפתו לשימוש שלא על פי דין. הביקורת העלתה כי על אף הזמן הרב שעבר, היערכות משרד החקלאות ליישום החוק לא נעשתה בצורה מספקת: לא זוהו, הוגדרו ונרשמו כל מאגרי המידע הטעונים הגנה על פי חוק הגנת הפרטיות; לא מונו בעלי תפקידים כנדרש לפי החוק ותקנותיו; תהליכי האישור והבקרה על העברת מידע בין המשרד לבין גופים ציבוריים אחרים מבוצעים באופן חלקי ולוקים בתהליך הבקרה. ליקויים אלו בהיערכות המשרד הם הרקע לחשש שהועלה כי ביחידת הפיצו"ח נעשה בשנים 2014 -2016 שימוש שלא כדין במאגרי מידע שהועמדו לרשותה. בעקבות חקירה שנפתחה על ידי אגף החקירות בנש"ם הושעו שלושה עובדים ביחידה והוגשו נגדם כתבי תובענה לבית הדין למשמעת של עובדי המדינה. במאי 2018 נכנסו לתוקף תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז - 2017 ., הכוללות הוראות מפורטות ליישום אבטחת מידע במאגרי מידע ואולם המשרד לא נערך ליישום התקנות כיאות ובשל כך לא יישם אותן באופן 2082 |דוח שנתי 69ב .מספק, אף שנקבעה תקופת היערכות של שנה עד לכניסתן של התקנות לתוקף, כדי לאפשר לגופים במשק ליישמן. על מנכ"ל המשרד לפעול ליישום חוק הגנת הפרטיות ותקנותיו בהקדם האפשרי. במסגרת זו, עליו להפוך את הטיפול בהגנת הפרטיות לשגרה מחייבת במסגרת פעילות המשרד בכלל והפעילות להגנת הסייבר ונכסי המידע של המשרד בפרט. התנהלות משרד החקלאות המתוארת בדוח שגרמה לכך ש ההיערכות הארגונית ליישום החוק במשרד היתה חלקית, עלולה להיווצר גם בגופים ציבוריים אחרים. על הרשות להגנת הפרטיות לתת את דעתה לנושא ולבחון אם יש צורך בשינויים בתחום, ובכלל זה הגדרה ברורה יותר של תכולת כל אחד מהתפקידים המוגדרים בחוק הגנת הפרטיות ותקנותיו והגברת האכיפה בתחום. . משרד החקלאות ופיתוח הכפר | 2083 .