לראשונה: הרשות להגנת הפרטיות מפרסמת ממצאי 233 פיקוחי רוחב שביצעה ב-9 מגזרים, המעלים ליקויים בניהול המידע האישי במרבית המגזרים שנבדקו

משרד המשפטים

הרשות להגנת הפרטיות במשרד המשפטים מפרסמת את ממצאי פעילות מערך פיקוחי הרוחב אותה ביצעה לראשונה על עשרות גופים במגזרים שונים, אשר אותרו כבעלי סיכון גבוה לפרטיות. זאת, בין היתר, בשל רגישות והיקפי המידע, אתגרים טכנולוגיים, מידע אודות קטינים ועוד. מדובר במהלך חדשני שמטרתו לאתר כשלים ענפיים ולקבל תמונת מצב מגזרית בנוגע לעמידה בהוראות חוק הגנת הפרטיות, התשמ"א-1981 ("חוק הגנת הפרטיות") ותקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 ("תקנות הגנת הפרטיות (אבטחת מידע") במגזרים השונים במשק.

במסגרת הליך פיקוחי הרוחב הראשון, ביצעה הרשות הליכי פיקוח לבדיקת מידת העמידה בהיבטי הגנת הפרטיות ואבטחת מידע בקרב המגזרים הבאים: 30 מרפאות לבריאות הנפש, 23 מכונים ומעבדות רפואיות, 54 חברות המנהלות מאגרי מידע של מועדוני לקוחות בהיקפים של למעלה ממאה אלף איש, 38 ספקי פלטפורמות אינטרנטיות לימודיות אשר אוספות מידע על קטינים ו- 36 חברות המספקות שירותי אחסון ועיבוד מאגרי מידע.

עם סיום הליך פיקוח הרוחב הראשון, החלה הרשות בשבועות האחרונים בהרחבה משמעותית של ההליך במגזרים נוספים ובהם חברות המעניקות שירותי סיוע במימוש זכויות רפואיות, חברות המעניקות שירותי סיעוד, בתי אבות והוסטלים, סוכנויות ביטוח ושירותי מוקדים טלפוניים.

בימים אלה, החלה הרשות בהליך פיקוח הרוחב גם בעשרות רשויות מקומיות ברחבי הארץ, בתאגידים וחברות עירוניות, אשר מחזיקים במידע אישי רב ורגיש אודות תושבי המדינה. זאת במטרה לבדוק את רמת אבטחת המידע, אופן האיסוף והשימוש במידע ואת רמת עמידתם בהוראות חוק הגנת הפרטיות.

בנוסף, הרשות ביצעה הליך פיקוח רוחב המתמקד בבדיקת רמת אבטחת המידע הנדרשת על פי תקנות הגנת הפרטיות (אבטחת מידע) בתחומים הבאים: 12 חברות טכנולוגיה המספקות שירותים טכנולוגיים בתחומי הבחירות, 15 מוסדות להשכלה גבוהה, מכוני הדרכה והשתלמות, 10 גופים במגזר העמותות ובמגזר האיגודים ו- 15 גופים במגזר המלונאות.

ממצאי הביקורות העלו, כי עיקרי הליקויים נוגעים לאופן בו מסתייעים גופים בשירותי מיקור חוץ לצורך אחסון או שמירת מידע על לקוחות, בהעברת מידע בין גופים ציבוריים ובקבלת הסכמת אנשים לשימוש במידע על אודותיהם. כמו כן, נמצאו ליקויים בתחומי אבטחת המידע וחולשות באופן ניהול מאגרי המידע.

במסגרת הליך פיקוחי הרוחב אשר פותח לאחרונה ברשות, ואשר מבצע בחינת רוחב מגזרית לעשרות גופים במקביל, נשלחים לגופים שאלוני ביקורת באמצעות ממשק מקוון, שנועדו לבחון את עמידתם בהוראות חוק הגנת הפרטיות ותקנות הגנת הפרטיות (אבטחת מידע), על בסיס קריטריונים שונים. במסגרת זו נכללים, בין היתר: בקרה ארגונית וממשל תאגידי- הבוחן קיומה של תכנית שנתית בתחום אבטחת המידע והגנת הפרטיות ואת מינויים של גורמים בעלי אחריות בתחום; ניהול מאגרי מידע- הבוחן את אופן קבלת ההסכמה לשימוש במידע אישי, האם השימוש תואם למטרה שלשמה נאסף, מתן זכות העיון במידע, עמידה בהוראות החוק בעניין דיוור ישיר, ואיסוף של מידע ביומטרי; אבטחת מידע- בחינת עמידת הגופים בהוראות תקנות הגנת הפרטיות בהתייחס למנהלי ומחזיקי מידע אישי; העברת מידע בין גופים ציבוריים- הבוחן את אופן העברת המידע האישי בין גופים ציבוריים בהתאם להוראות חוק הגנת הפרטיות והתקנות העוסקות בנושא, לרבות קיומן של וועדות הבוחנות את הצורך במידע, ואי העברת מידע עודף; שירותי מיקור חוץ- בחינת ההתקשרויות של בעלי מאגרי המידע עם גורמים שלישיים המחזיקים במידע והאופן בו הם מבטיחים הגנה על המידע.

רמות העמידה ביחס לקיום הוראות חוק הגנת הפרטיות ותקנות מכוחו נקבעות בהתאם לשקלול הציונים שקיבלו הגופים בהתבסס על בחינת הרשות את תשובותיהם לשאלוני הביקורת:
· עמידה של בין 80%-100% בקריטריונים, מוגדרת כרמת עמידה גבוהה;
· עמידה של בין 50%-80% מוגדרת כרמת עמידה בינונית/חלקית;
· עמידה של מתחת ל-50% מוגדרת כרמת עמידה נמוכה.

עו"ד רביד פטל, הממונה על מערך פיקוח הרוחב ברשות להגנת הפרטיות ציין כי, "הליך פיקוח הרוחב בו החלה הרשות לעשות שימוש, הינו כלי משמעותי להגברת העמידה בהוראות חוק הגנת הפרטיות ותקנות הגנת הפרטיות (אבטחת מידע). הרחבת פעילותו של הליך פיקוח הרוחב והגברת הציות, נועדו להביא לצמצום הפערים בין ההסדרים החקיקתיים הקיימים בתחום ההגנה על הפרטיות והמידע האישי לבין יישומם בפועל על ידי גופים שונים במשק הישראלי. כלי זה מצטרף לסל הכלים בו פועלת הרשות כדי להבטיח את הגברת המודעות לתחום הפרטיות והגנה על המידע האישי בקרב בעלי ומחזיקי מאגרי מידע אישי, לצד הפקת תמונת מצב מגזרית לשם הגברת עמידתם של גופים בהוראות חוק הגנת הפרטיות ותקנות הגנת הפרטיות (אבטחת מידע) ולחיזוק זכותו של הציבור לפרטיות."

גופים אשר מממצאי הליך פיקוח הרוחב עלה כי לא עמדו בהוראות החוק והתקנות, קיבלו הנחיות מפורטות לתיקון הליקויים. בכוונת הרשות לבצע מעקב אחר תיקון הליקויים ולערוך ביקורות חוזרות בהמשך השנה.