הכנסת העשרים

מושב שלישי

פרוטוקול מס' 290

מישיבת ועדת החוקה, חוק ומשפט

יום שני, כ' בחשון התשע"ז (21 בנובמבר 2016), שעה 10:00

צו הגנת הפרטיות (קביעת גופים ציבוריים)(תיקון מס' 2), התשע"ו-2016

חברי הוועדה: זאב בנימין בגין – מ"מ היו"ר

מיכאל מלכיאלי

צילי נאה - משפטנית, משרד המשפטים

חמוטל בן דור - סגנית הממונה על השכר, משרד האוצר

נור חאיך - הלשכה המשפטית, משרד האוצר

אירית צייגר - מנהלת תחום בכיר שכר וגמלאות, משרד האוצר

איזבלה ציסין - מנהלת מינהלת הגמלאות בפועל החשב הללי, משרד האוצר

אייל שני - הלשכה המשפטית אגף השכר, משרד האוצר

עליזה אדמוני - סגן ראש מינהל מערכות סייבר, תעשייה אווירית

נעה ברודסקי

אסף פרידמן

שרון רפאלי

צו הגנת הפרטיות (קביעת גופים ציבוריים)(תיקון מס' 2), התשע"ו-2016

בוקר טוב, אני מתכבד לפתוח את ישיבת ועדת החוקה, חוק ומשפט. על סדר היום צו הגנת הפרטיות (קביעת גופים ציבוריים)(תיקון מס' 2), התשע"ו-2016. זה כנראה צו שהוא בגדר החוק, אבל היינו רוצים לשמוע במה דברים אמורים. בבקשה, צילי נאה ממשרד המשפטים.

תודה רבה. אני אומר כמה מילים על הצו, ואחר כך על התיקון הקונקרטי כאן, והחברים ממשרד האוצר יכולים כמובן לחדד אם אני אגיד דברים לא לגמרי מדויקים. בדרך כלל בדיונים כאלה אני רגילה שגם הגורם הנעבר, כלומר גם הקרן נמצאים בדרך כלל בדיונים כאלה. אני מבינה שהם הוזמנו.

הם צריכים להיות. יש לי שאלות איך צמחו שני תאגידים מקרן אחת. לא הבנתי בדיוק. סוג השאלות אליהם, לא אליכם, אלא אם כן אתם יכולים לענות.

אם תרצו אפשר לנסות לברר.

יכול להיות שהם יגיעו.

צו הגנת הפרטיות באופן כללי קובע חריג לכלל שקבוע בחוק הגנת הפרטיות, והוא איסור על גופים ציבוריים להעביר מידע אישי לגופים פרטיים. משכך והואיל וגופים פרטיים שכן מנויים בצו וניתן להעביר להם מידע מעל הראש של אותם האנשים באופן ישיר מהגוף הציבורי לגופים הפרטיים, אז הגישה לגבי תיקונים של צו הגנת הפרטיות היא שהדברים צריכים להיעשות במשורה ולהיבדק בצורה מאוד מדוקדקת. ורק כשמוכר צורך או תכלית שהיא ייחודית לגוף הספציפי שהיא משכנעת וגם פרטי המידע נבדקים ממש אחד-אחד, לראות האם באמת קיים צורך אמתי, והאם קיים קושי משמעותי להשיג את אותם פרטי מידע בדרך אחרת.

מבחינתנו דרך המלך היא פנייה לאותם אנשים. זאת תפיסת היסוד של הגנת הפרטיות. זאת הייתה הקדמה לגבי הצו עצמו.

התיקון הקונקרטי כאן נוגע להסכם קיבוצי שנחתם בין המעסיקים במגזר הציבורי, בכלל זה גם המדינה, לבין ההסתדרות, ונקבע בו מנגנון של העברת כספים מהמעסיקים – בכלל זה המדינה – לידי ההסתדרות ועד שלב מאוחר יותר לידי עמותות שהקימה ההסתדרות לרווחתם של גמלאים בפנסיה תקציבית. המנגנון שנקבע התחיל לפעול בשלב מסוים, ואז פנתה אחת העמותות, אותה קרן רלוונטית לעניינינו, ואמרה שבעצם הם לא מכירים את אותה קבוצת אנשים שהיא אמורה לדאוג לרווחתם. נעשה ניסיון לפנות אליהם בדרך עקיפה דרך הגוף שעומד ממילא בקשר עם אותם הגמלאים שזאת מנהלת הגמלאות במשרד האוצר, וליידע אותם שהוקמה קרן והיא לרווחתם, אבל אחרי שנעשה הניסיון הזה הוברר שזה לא הוביל לתוצאות המקוות. לא פנו הרבה מאוד מתוך אותה קבוצה - -

אולי תבהירי. זה הניסיון שהיה דרך תלושי הגמלה.

כן.

אף אחד לא קורא את זה.

אדוני אמר.

סליחה, כמעט אף אחד. זאת בכל זאת ועדה של הכנסת.

היו כמה שכן קראו. אבל היה ניסיון והוא לא צלח במידה המקווה מבחינת הקרן.

לא אמרתי אולי לפרוטוקול – אני התבקשתי על-ידי היושב-ראש ומנהל הוועדה להחליף את יושב-ראש הוועדה שנמצא היום בעיסוקים חשובים מאוד.

אני שמחה שאדוני מודיע שאנחנו נפתור את העניין.

התיקון שאנחנו עוסקים בו נועד לאפשר לאותה קרן לפנות באופן ישיר לאותה אוכלוסייה של גמלאים שאמורה לדאוג לרווחה, ולצורך הזה אנחנו רוצים לאפשר בצו להעביר לקרן מהגוף הציבורי הרלוונטי שזאת מנהלת הגמלאות במשרד האוצר פרטי התקשרות מאוד בסיסיים שמבחינתנו עונים לצורך הזה, שזה שם פרטי, שם משפחה וכתובת. זאת התכלית המרכזית של התיקון, לפי ראייתנו. זה בעצם ניסיון להגשים באופן מיטבי את אותו מנגנון שנקבע בהסכם הקיבוצי כי בלי המידע יותר קשה להגשים אותו.

פרט אחרון לגבי התיקון לפני שנתחיל את הקריאה זה המנגנון של האפשרות של הגמלאי להתנגד. הכנסנו אותו לתיקון המוצע. המנגנון הזה קיים גם במקומות אחרים בצו הגנת הפרטיות. במקרה הזה אנחנו חשבנו שלאור העובדה שמדובר בגוף פרטי שההעברה היא לטובת אותם אנשים ותהיה פנייה ליידע אותם על האפשרויות שעומדות בפניהם, אנחנו חושבים שראוי להשאיר מידה של שליטה בידי אותם אנשים כך שמי שלא רוצה שהקרן הזאת תדע עליו בכלל על קיומו ולא מעוניין בשירותיה יוכל למנוע את הדבר הזה מראש. לכן בעצם נקבע כאן מנגנון שאותם נושאי המידע הגמלאים יוכלו להתנגד. הדרך שבה זה נעשה היא שמנהלת הגמלאות תיידע אותם שיש כוונה להעביר את המידע. תוך פרק זמן הם יוכלו להתנגד.

הדרא קושיא לדוכתא. אם היא לא הצליחה ליידע את כולם בניסיון הראשון באמצעות תלושי הגמלה, למה עלינו להניח שזה יצלח בפעם הזאת?

לדעתי, אנחנו עושים כאן כמיטב יכולתנו. זאת אומרת בניסיון הראשון אנחנו לא יודעים בדיוק מה גרם לתוצאה הסופית שלא התקשרו. יכול להיות שאחוז מסוים לא קרא ולא קורא כלום ולא יקרא כלום, ואז קשה מאוד להגיע אליו. אבל יכול להיות שאחרים קראו, ולא היה להם מספיק חשוב בשביל לעשות מעשה ולפנות ביוזמתם לקרן. זאת גם תופעה מוכרת. אז אנחנו עושים כמיטב יכולתנו בנסיבות כדי ליידע את אותם אנשים כמו שמקובל. גם במנגנונים האחרים שהיו נקוטים בצו הגנת הפרטיות אני לא מכירה ניסיון אחר וצורה דרמטית אחרת לפנות לאנשים. בסופו של דבר פרטי המידע שמדובר בהם כאן הם פרטי התקשרות יסודיים ובסיסיים ולא מידע. בצו יש במקרים אחרים פרטי מידע שיש בהם רגישות מאוד גבוהה כשלעצמם. אני לא מזלזלת בפרטי התקשרות, אבל בכך מדובר. לכן חשבנו שזה איזון ראוי במקרה הזה, וכך נכון.

אבל כדאי שהמשמעות תהיה מפורשת. קודם כול יש אנשים שהולכים לפי חז"ל בבחינת "אל תתוודע לרשות". יש אנשים שזאת דרכם בחיים, והם אף פעם לא יודעים על מה מדובר בדיוק, ויבוא נושה, יבוא צו או מזונות וגרוש לפני ארבעים שנה שהתעורר. יש כל מיני אנשים. זאת מדינה גדולה עם גמלאים רבים. בכל זאת במקרה שלפנינו צריכה להיות מונחת על השולחן הברירה. ברירת המחדל היא, למעשה, שהפרטים ניתנים. ההנחה שלנו היא שרוב האנשים לא יקראו, כנראה, לא ישימו לב ולא יתנגדו. קודם כול זה צריך להיות מפורש.

לא נקלט בפרוטוקול ניד ראשך לחיוב. את הנהנת בראשך לחיוב. יכולה להיות עוד אפשרות, שלפחות בפעם הראשונה או בכל פעם שאדם יקבל פנייה בשיטה שאתם מציעים, בכל זאת ייאמר לו בסעיף כלשהו שאם ירצה להסיר את עצמו מהרשימה שיודיע. שאלה שנייה – כשאנחנו אומרים "כתובת" אני מבין שמדובר בכתובת מגורים. לגבי גמלאים השיעור הוא אולי לא מאוד גבוה, אבל אני מכיר כמה אנשים מבוגרים שבכל זאת משתמשים באי-מייל. אז האם כתובת אי-מייל חורגת מהמשורה שבה אתם מוכנים לתת פרטים אישיים? כתובת אי-מייל היא יותר פרטית מכתובת. אני שואל כי פה מדובר בארבע מאות שקל לרווחה. אולי זה לא מכריע, אבל חשבתם על זה?

לגבי כתובת דואר אלקטרוני המונח "כתובת" שרשום כאן לא מתייחס אליה. כך אני מבינה את זה.

אני יכול להבין את זה. אני שואל.

באופן כללי יש עכשיו כל מיני מהלכים ממשלתיים עכשיו שמתחילים לחשוב איך לעשות שימוש בכתובות אי-מייל בצורה יותר מוסדרת וממלכתית. זה לא ברמה - -

עדיין לא בשל. בסדר.

חשוב לנו להגיד שמבחינתנו דרך המלך שנשארת דרך המלך היא לקבל את כל המידע על האנשים המעוניינים. זאת אומרת ברגע שהקרן יוצאת קשר עם אדם, והוא שמח ורוצה לקבל את שירותיה, הוא ודאי ימסור את כל הפרטים שנוח לו באמצעותם לתקשר איתה.

בסדר.

כשתיידעו אותם שהם יכולים לפנות ולבקש שלא ימסרו את המידע – זה בטלפון? זה במייל? כלומר איך הם יוצרים קשר כדי לבקש שלא ימסרו את המידע בצורה קלה במכתב?

אני ממנהלת הגמלאות במשרד האוצר. ברגע שגמלאי מודיע לי שהוא מבקש לא להעביר את הפרטים לעמותה זה אמור להיות במכתב. כשזה במכתב אני, כמובן, דואגת לכך שבמערכות שלי אני אסמן אותו כדי שכשאני מעבירה את המידע לעמותה הם ינוטרלו מתוך העברת המידע.

אפשר גם בדרך יותר קלה, אולי בטלפון?

ברוח השאלה של נעה, אתם מקבלים מכתבים רבים מגמלאים בנושא זה או אחר?

בהחלט. אלפי מכתבים ביום אנחנו מקבלים. זה עוד אחד מהמכתבים שמן הסתם אנחנו נקבל.

אולי אפשר שגם פה תהיה כתובת אי-מייל שגם הם יכולים לפנות.

לא אלינו.

אני מנַהלת מִנהלת הגמלאות. יש לנו טלפון, ויש לנו מיילים, וגמלאים פונים אלינו על בסיס יומי. יש לנו מענה טלפוני. אנחנו מנסים להפריד בין עבודת העמותה לבין העבודה של מנהלת הגמלאות. כי אם עכשיו כל הגמלאים יפנו אלינו וישאלו מתי יש להם הכנס באילת או מתי הם אמורים לנסוע לאיזשהו טיול אנחנו לא נוכל לעקוב אחרי זה.

לא לזאת הכוונה. רק כדי לבקש לא להעביר את המידע.

גמלאים מכירים את הכתובת שלנו ואת הטלפון שלנו ואת המייל. אם אותו גמלאי יחליט לפנות אלינו בדרך אחרת, כמובן, נקבל את הפנייה שללו גם בדרך אחרת. אבל לפחות באותו מכתב שאנחנו נשלח שיהיה בנפרד מהתלוש, הבקשה תהיה להחזיר לנו את זה במכתב שהוא קיבל כדי שנוכל גם לתייק את זה אצלנו וגם לבטל - - -

הוא אמור להחזיר לנו את המכתב שאנחנו מעבירים לו, ולסמן שהוא לא מוכן שנעביר את הפרטים.

- - -

המכתב מוכן.

הוא מסמן ומשגר את המכתב.

שיבושי דואר זה דבר קיים. לא בטוח שהוא יקבל, וגם אם הוא קיבל לא בטוח שהוא יצליח להחזיר. מי אמר שברירת המחדל צריכה להיות שהוא ישלח מכתב שהוא לא מעוניין? אולי להפך – מי שמעוניין ישלח מכתב שהוא מעוניין.

זה מה שעשינו כבר בפעם שעברה.

ו?

זה לא עבד.

מי אמר שגם אנשים לא רוצים שהמידע שלהם ילך יקרה מצב שיהיו שיבושי דואר, והמכתב לא הגיע אליהם, הם אצל הילדים, והם לא עדכנו את הכתובת הנכונה שלהם. זה קיים. כל אחד מאתנו ששלח הזמנות לשמחה משפחתית יודע שמספר גבוה מהמעטפות לא יגיע ליעדים שלהם. אז אנחנו מפלים באנשים שלא רוצים שהמידע יעבור, והוא כן יעבור. אתם תאמרו שאתם לא קיבלתם מכתב, והוא שלח או שלא ידע שהוא צריך לשלוח.

אני חושבת שהתשובה היא מה כמו שעניתי קודם ליושב-ראש. אנחנו חושבים שבהינתן כל המכלול - - - המידע והצורך שהוצג והוכר על-ידי השרה של הקרן, לדעתנו זה איזון ראוי. יכול להיות שבמקרים אחרים שהמידע הוא רגיש ודרמטי - -

פקס אפשר?

לשלוח לאנשים בפקס?

שאנשים יחזירו בפקס.

אפשר גם לסרוק את זה ולהעביר אלינו במייל. בוודאי. בהנחה שהוא קיבל את המכתב.

אני מהלשכה המשפטית של משרד האוצר, היועץ המשפטי של מנהלת הגמלאות. הכוונה היא שכשהם מחזירים את התשובה שהם לא מעוניינים שנעביר את המידע שלהם, שיהיה על גבי טופס אחיד כך שמכתבים שמתקבלים במנהלת הגמלאות יצליחו לזהות שזה המכתב שמתייחס להעברת המידע. אנחנו לא רוצים שכל גמלאי יביא נייר חדש ויכתוב, ואז המכתב הזה יילך לאיבוד במנהלת הגמלאות, אלא שיהיה טופס אחיד. אם הטופס הזה יתקבל בפקס או בדואר אלקטרוני זה לא כל כך משנה לנו. הכוונה שיהיה טופס אחיד, שנצליח לזהות את המכתב הזה ונטפל בו. הכוונה פשוט להוציא אותו מרשימת הגמלאים.

אבל מדבריך אני מבין שלמרות קיומו של טלפון המיועד לציבור השיטה שאתה מדבר עליה לא מיועדת לטלפון.

פשוט ניתן לו את האפשרות. אנחנו גם רוצים לשמור את הטופס הזה אצלנו. אנחנו לא רוצים שהגמלאים יבואו בטענות אחר כך למה לא העברנו את הנתונים.

טוב.

אם אפשר רק שבמכתב יהיו כל האופציות. זאת אומרת גם אם אתם מבקשים שהדף יחזור שתהיה להם כתובת דואר אלקטרוני ומספר פקס.

אתם רוצים להוסיף?

נאמר כאן הכול.

עד עכשיו לא הצלחנו לשבור אתכם בשאלות.

זה משהו חיובי.

אם לוקחים בחשבון כמה מן הגמלאים הם עריריים אז פעילות כזאת היא חשובה מאוד.

גברת עליזה אדמוני, סגן ראש מנהל מערכות סייבר, בבקשה.

נחמד לי להיות פה, אבל אני לא בדיון הנכון. קיבלנו הודעה שהיום מתקיימת ישיבה על אישור טיוטת אבטחת מידע והגנת הפרטיות. לשם רצינו להגיב. עשיתי טיול מהשפלה לכאן.

ברוכה הבאה.

לא הבנתי.

היא התבלבלה בדיון.

לא התבלבלנו. זה הדיון שקיבלנו במייל. הדיון היה אמור להיות בשבוע שעבר, הוא התבטל, קיבלנו תיקון ובאנו.

ברוכה הבאה.

תודה.

הדיון ההוא עוד יקרה.

אני אשמח לשמוע עליו.

מה שאנחנו עושים עכשיו זאת דוגמה טובה. רוב הציבור ער לפנים אחרות של הכנסת. אלה נראות לעיתים זוטות. עבור פלוני זה 400-300 שווה ערך של פעילות חברתית לעת זקנתו. אבל אלה פעולות הכרחיות, וכשמתקיים דיון ויש בקרה על צווים של השרים יש הזדמנות לבירור נוסף ולאוורור, וזה אחד מהתפקידים היפים שהכנסת מקיימת, ולצערי, הציבור לא תמיד מודע להם.

עוד שאלה: האם יש אפשרות לבקש למחוק את הפרטים שלו מהדף שכן המידע הועבר כבר לקרן?

לבקש מהקרן?

אני מניחה שהוא יכול לבקש. השאלה אם יש דרך להבטיח?

השאלה הזאת היא לא ייחודית לכאן כמו שהיא יכולה להיות שאלה כללית. משהקרן נכנסת לקטגוריה של גוף ציבורי בפרק ד' – ואם הצו יתוקן היא תיכנס – אז דינה כדין גופים ציבוריים אחרים. השאלה האם קיימת חובה למחוק בסיטואציה כזאת היא לא שאלה פשוטה, בעיני. בגלל הסיטואציה הייחודית שהקרן במהות שלה היא גוף פרטי אנחנו ניסינו ליצור מנגנון כזה באמצעות האפשרות להתנגד. כלומר גמלאי שלא רוצה שהקרן תכיר אותו ותדע, וזה חשוב לו, יוכל להתנגד, ואז המידע עליו לא יגיע מראש על ידי הקרן. לבקש למחוק הוא בוודאי יכול. הקרן יכולה בוודאי להיעתר לזה. לטעת כאן מסמרות ולהגיד שהיא חייבת לעשות את זה אני לא יכולה. זאת שאלה משפטית מורכבת.

את יכולה לפרט בפני הוועדה את ההגנות שקיימות לגבי העברת מידע מגופים שמקבלים מידע כדי להבטיח שהמידע הזה לא יועבר הלאה ולא ייעשה בו שימוש אחר?

בפרק ד' לחוק הגנת הפרטיות יש אמות מידה להעברת מידע בין גופים ציבוריים, וגם מכוח אותו פרק נקבעו תקנות שקובעות פרוצדורה שנועדה להגן על המידע כמה שיותר, לצמצם כמה שיותר את החשש לזליגה שלו לשימושים אחרים וכולי. ברגע שגוף כמו הקרן נכנס לקטגוריה של גוף ציבורי בעצם כל המכלול הזה חל עליו. זאת אומרת יש מנגנון של ועדות להעברת מידע. הפנייה צריכה להיעשות באופן הזה, יש התחייבות לא להעביר את המידע הלאה, חובה לעשות שימוש רק לאותה תכלית – מעטפת שלמה שנועדה להתמודד עם הסוגיות האלה.

זה מחזיר אותי לשאלה איך מהקרן צמחו שני תאגידים. לאיזה משני התאגידים אנחנו רוצים שיועבר המידע? אבל מי לידינו יתקע שבתאגיד כזה יש מודעות למגבלות האלה? המידע כשלעצמו הוא מצומצם, אבל כשאני מסתכל עליו מבחינה כלכלית הוא יכול להיות רב ערך לגופים כלכליים שונים. האוכלוסייה מפולחת היטב. אלה אנשים בגיל מסוים שיש להם צרכים מסוימים והרגלי צריכה מסוימים. זה לא עוד משרד ממשלתי. אז בואו נחזור קודם לשאלת התאגידים שצמחו מהקרן, ואיך אנחנו יודעים או מי מוודא – מנהל הגמלאות או משרד המשפטים או הנהלת ההסתדרות שאכן הדברים נשמרים כהלכה? זה בהמשך לשאלתה של נעה.

כרגע התיקון מתייחס לתאגיד מאוד ספציפי שהוא הקרן לגמלאי המדינה בפנסיה תקציבית. התיקון מאפשר להעביר את המידע אליה. זה הגוף שנתיר להעביר אליו את המידע. מבחינת מחויבויות לאבטחת מידע – כמובן, בתהליך המתמשך שעשינו מול הקרן בבירור הצרכים וגיבוש העמדה לעניין הבקשה שלהם לתיקון הצו, הם העבירו הצהרות שבוודאי הם צריכים את המידע רק לתכלית הזאת ויעשו שימוש רק לתכלית הזאת. זה היה במסגרת הסיג ושיח. מבחינת גופים שיש להם סמכות לאכוף את ההוראות שנוגעות להעברת מידע יש רשם מאגרי המידע במדינת ישראל שפועל מכוח חוק הגנת הפרטיות במסגרת רשות למשפט, טכנולוגיה ומידע במשרד המשפטים. הם גוף שעושה פיקוחים רוחביים. להגיד שמחר בבוקר הם יגיעו לעשות פיקוח דווקא שם – אני לא יכולה להגיד. יש להם סדרי העדיפויות שלהם. אבל יש גוף שיכול לבדוק את הנושא הזה.

אני שואל את גברת אדמוני – בכל זאת שלא תחשבי שאת משחיתה את זמנך לשווא – איך נדע שהמידע בעל החשיבות הכלכלית הזה אכן נשמר כהלכה, בלי יכולת מזערית לפרוץ למחשב? איך נדע שהוא מאובטח? בכל זאת מדובר בתאגיד, זה לא חברת חשמל.

בדיוק בהקשר הזה חשבתי שאני מגיעה לדיון.

אז טוב שאת פה. ברוכה הבאה.

יש אמצעים שונים לבצע הגנות על מיד בטכניקות של אבטחות מידע שמקובלות באזורים של IT וניהול של IT. "סייבר" היום זאת מילה מאוד פופולרית, ומכניסים לתוכה הכול. סייבר מתאפיין בזה שהיום לא צריך רק להגן ולחשוב, אוקיי, שמתי אנטי וירוס, שמתי Fire Wall, עשיתי כך, עשיתי כך, ואני מחוסן בפני העולם. זה לא ככה. תמיד יש פריצה, תמיד יש התגנבות, תמיד אנשים מצליחים לחדור לכל מיני ארגונים. ואז אנחנו מדברים על מנגנונים של מודיעין, של early warning, של situational awareness. הקמת מרכז מידע – ובמקרה הזה, security operational center שיודע לנטר באופן ממוכן את כל המידע שרץ ברשת ולהתריע מפני פריצות. כשמתחילה פריצה אמצעים ממוכנים יודעים לאתר אותה. ואז מפעילים מיומנים יודעים למנוע את זה או שלא מונעים את זה, אבל יודעים לטפל בזה ולפעם הבאה להתגבר על הדברים האלה.

באופן רגיל גוף כזה שהוא ציבורי, אבל איננו ממשלתי, חוסה תחת הכנפיים האלה?

זה לא כנפיים. אלה מערכות שכל אחד צריך להצטייד בהן.

מי קובע מי צריך? אני שואל את משרד המשפטים. העמותה הזאת תדע לנקוט אמצעים מקובלים לאבטחת המידע? ככל שאני חושב על החברות שיכולות ליהנות מהמידע יכול להיות שהייתי מקים חברה כזאת שתיהנה מהמידע.

דיברנו קודם על חוק הגנת הפרטיות והתקנות שמכוחו. אז באמת יש לנו תקנות שעוסקות בתנאי החזקת מידע ושמירתו וסדרי העברת מידע בין גופים ציבוריים. ההוראות של התקנות האלה לעניין העברת המידע נועדו לוודא שהגוף הנעבר עומד בסטנדרטים של אבטחת מידע. יש כבר הוראות כאלה. הגורם בגוף המוסר שאחראי לאבטחת המידע חייב לוודא שהסטנדרטים האלה מתקיימים בגוף המקבל. הגוף המקבל צריך להצהיר על כך וכולי. יש התייחסות להיבט הזה כבר בדין הקיים כיום. גופים שנכנסים תחת המטריה של גוף ציבורי, לפי היתר - - - לחוק הגנת הפרטיות צריכים לעמוד בסטנדרטים האלה.

אבל את מדברת אתי אלגברה. זה אותיות. מה קורה במציאות? אני לא מכיר את התאגיד הזה. יש קצין אבטחת מידע בהסתדרות? יש לאותו גוף? איך זה אמור להיעשות בחיים, לא בספר החוקים?

חבל לי שהנציגים של הקרן לא כאן כי אני מניחה שזה היה עוזר אם הם היו עונים לשאלה לגבי המצב אצלם.

יש לנו עוד כמה דקות. אולי מישהו מכם יתקשר איתם?

ניסיתי.

ניסית. לא בטלפון. טוב.

במסרונים.

זאת עמותה קיימת?

כן, כן.

אני שואל כי אי אפשר להתקשר עם נציגיה, והם לא מופיעים. זאת לא עמותת רפאים.

לא, לא.

שוב אומר – הפרוצדורה שצריכה להתקיים היא שהם צריכים לפנות. מרגע שהצו התיר למסור את המידע - -

בסדר.

המידע לא יימסר אם לא יעמדו בסטנדרטים.

יש לי הצעה ובקשה – אנא, במהירות האפשרית היום או מחר, תעבירו למנהל הוועדה את הפרטים הממשיים שהם יעבירו ואתם תעבירו בשמם: מי עוסק? באיזו תכיפות מבקרים? באיזו תכנה משתמשים? אולי ניוועץ בגברת אדמוני – איזה פרטים הם כאלה שיכולים להניח את דעתנו שהחומר יישמר? אני לא הייתי אומר זאת על משרד ממשלתי. אני לא בטוח שהייתי אומר זאת על התעשייה האווירית. אבל גוף כזה שהוא גוף ציבורי מסוג אחר, אבל לא נראה לי מאוד מפוקח בתחומים האלה – כך אני חושש – כדאי שתשתדלו לשכנע אותנו, ולו גם בדיעבד כדי שתנוח דעתנו.

בסדר גמור. אנחנו נבקש מהם להעביר את הדברים. הדברים גם ייבדקו על-ידינו וגם על-ידי - - -

אז גם תואילו למסור למנהל הוועדה אחרי הבדיקה את תוצאותיה.

אני מעיין בתקנות, והעניין של העברת מידע לא מתבצע באופן אוטומטי. התקשורת בין שני הגופים, הגוף הציבורי והגוף הפרטי שהוכרז לפי הצו כגוף שאפשר להעביר לו מידע, מתבצעת דרך ועדות. בוועדה הזאת חייב להיות גם יועץ משפטי וגם מישהו שהוא מומחה באבטחת מידע. זאת אומרת גם בגוף שאנחנו מעבירים אליו את המידע יש אנשים; יש יועץ משפטי שצריך לוודא שהדברים נעשים כמו שצריך, וגם אצלנו יש גם יועץ משפטי וגם מישהו שמטפל באבטחת המידע במשרד. אז ככה שהגופים שמתקשרים זה עם זה, יש סנכרון. אנחנו נוודא שהמידע מועבר לגוף שהצהיר שישמור את המידע; וגם הגוף שמבקש את המידע יצהיר שהוא ישמור את המידע, לפי מה שמתבקש ממנו.

והבקרה היא איטית? חצי שנתית? שנתית? תלת חודשית? הוועדה הזאת מתכנסת?

הוועדה לא עושה בקרות.

אבל יש תוקף מסוים לבקשה, והיא צריכה להתחדש מפעם לפעם. ואז כשהיא מתחדשת אז הדברים נבדקים שוב.

ומפעם לפעם זה בפעם בכמה זמן?

אני לא רוצה להגיד דברים לא מדויקים. אני חושבת שזה מקסימום מספר שנים, אולי חמש.

אבל כל שנה יועבר המידע, אז כל שנה יהיה התהליך הזה.

אני לא יודע. כשאני שומע "חמש שנים" יש לי רתיעה מן הבקרה.

למה לא? כל שנה המידע יועבר, ואז יהיה האבחון הזה.

ברגע שהעברנו את המידע, המידע כבר שם. לא צריך כל פעם לחזור לוועדה כדי לבקש שהם ימשיכו להחזיק את המידע. המידע שם.

זאת פנסיה תקציבית?

כן.

אז הרשימה סגורה.

לא, אנשים פורשים.

כל שנה יעבירו את הפורשים החדשים.

מי שפרש פרש.

בסדר. במשך הזמן הרשימה רק תקטן.

תקטן - - - והקטע שיעבירו כל שנה את - - -

בסופו של דבר. אנחנו כבר עשר שנים - - - אז תבדקו, בבקשה. בקרה של פעם בחמש שנים על משהו, על כל דבר, נראית לי בקרה לא ממצה.

אני שוב אומרת: יש גוף, רשם מאגרי המידע, שיש לו סמכות לעשות את הביקורות האלה. זה חלק מתפקידם. אני לא יכולה להתחייב בשמם, יש להם סדרי עדיפויות. אבל יש גוף כזה. זה לא שנעדר גוף כזה במדינת ישראל.

הגוף הזה פועל?

כן.

האם הוא פועל או יפעל גם לגבי התאגיד המסוים הזה שלפי זיכרוני, הוא גוף ביניים לא רגיל?

יש לו סמכות לפעול שם. אנחנו כרגע מתמקדים בסוגיה של הגוף הזה. נסתכל במבט קצת יותר רחב אז גם כמו הגוף הזה יש בצו חמישה עשר גופים היום, ואנחנו רוצים להוסיף עוד אחד. חוץ מזה יש עוד הרבה מאוד גופים במדינת ישראל שמעלים צורך בפיקוח לעניין מאגרי מידע. אז אני אומרת – הוא יוכל לפקח גם כאן.

טוב. אנחנו נקרא את הצו. בבקשה, צילי.

(הקראה): צו הגנת הפרטיות (קביעת גופים ציבוריים)(תיקון מס' 2), התשע"ו-2016

בתוקף סמכותי לפי פסקה (2), בהגדרה "גוף ציבורי" שבסעיף 23 לחוק הגנת הפרטיות, התשמ"א-1981, ובאישור ועדת החוקה חוק ומשפט של הכנסת, אני מצווה לאמור:

תיקון סעיף 1

1.

בסעיף 1 לצו הגנת הפרטיות (קביעת גופים ציבוריים), התשמ"ו-1986, אחרי פסקה (15)

טור א'
הגוף

טור ב'
סוג מידע וידיעות שרשאי הגוף לקבל

הקרן לגמלאי המדינה בפנסיה תקציבית

שם משפחה, שם פרטי וכתובת של מי שזכאי לקצבת פרישה לפי חוק שירות המדינה (גמלאות) [נוסח משולב], התש"ל-1970, אשר לרווחתו מעבירה המדינה סכום כסף לידי הקרן לגמלאי המדינה בפנסיה תקציבית (ע"ר) שמספרה 580545614 לפי ההסכם הקיבוצי מיום י"ב בניסן התשס"ח (17 באפריל 2008), כפי שתוקן בהחלטת ועדת המעקב מיום ז' בניסן התשע"ג (18 במרס 2013), וכנוסחו מזמן לזמן, וזאת לשם יצירת קשר עימו, ומתקיימים לגביו כל המפורטים להלן, למעט אם הוא הודיע לגוף הציבורי המעביר את המידע, כי הוא מתנגד למסירת המידע:
ערב פרישתו מהשירות משכורתו חושבה לפי ההסכמים הקיבוציים החלים לגבי דירוג מהדירוגים שמייצגת הסתדרות העובדים הכללית החדשה;
משתלמת לו גמלה עקב פרישתו מהשירות.

אני שואל לגבי טור א'. מנהל הגמלאות לא מעביר, למעשה, לקרן לגמלאי המדינה בפנסיה תקציבית, אלא לעמותה מטעמה.

לא. בעצם זה שמה של העמותה. העמותה הרלוונטית מכונה "הקרן לגמלאי המדינה בפנסיה תקציבית".

זה שם העמותה.

במקור היה גוף אחד שצוין, ונאמר שממנו נוצרו שני גופים.

בהסכם הקיבוצי המקורי משנת 2008 זאת הייתה ההסתדרות. חשבו שהיא תעשה את זה באמצעות גוף פנימי שלה. ב-2013, לבקשתה של ההסתדרות, היא ביקשה לעשות את זה באמצעות עמותות שהיא מקימה. בעצם עמותה היא גוף פרטי אחר. זאת אחת העמותות.

לא הבנתי. זאת אחת העמותות?

יש שתיים.

במה עוסקת השנייה?

השנייה מטפלת בגמלאים של רשויות מקומיות וגופים חיצוניים לשירות המדינה.

הם לא אמורים לקבל מידע?

העמותה השנייה לא ביקשה מידע.

הם לא פנו בבקשה לתקן את הצו. לא היה איתם סיג ושיח במסגרת הזאת. הייתה כאן פנייה של העמותה הספציפית שרוצה לקבל את המידע מהמדינה, ובה עסקנו והתיקון נוגע אליה. גוף אחר לא פנה אלינו ולא ביקש.

אז אנחנו אומרים שזה עניינה של ההסתדרות לטפל בגמלאים האלה? זאת המשמעות. אנחנו יודעים למה הם לא פנו? בסופו של דבר מדובר באנשים. אז לא גמלאים משירות המדינה, אלא גמלאים מהרשויות המקומיות. אני לא רוצה לחרוג לגמרי מגבולות הדיון, אבל נשמע לי קצת מוזר.

הנושא הזה יכול להיבדק בקשר בינינו מול ההסתדרות.

ואז יידרש צו נוסף?

ואז יידרש צו נוסף שיכול להיות שיהיה מאוד דומה לצו הזה. שוב, יכול להיות. אנחנו לא יכולים לתקן בלי שאנחנו בקשר עם הגופים ומבינים אותם. אי אפשר לעשות דבר כזה. נפנה ונבדוק מה המצב איתם, ולמה באמת לא פנו, והאם הם צריכים.

זה לא רק המועצות. זה העיריות, זה גם הסתדרות המורים.

שאר הדברים צריכים להיבדק מול ההסתדרות – למה לא פנו? אולי הם לא צריכים את המידע הזה. אולי הם פועלים באופן אחר. צריך לבדוק את הדברים.

חברי הכנסת הנוכחים. חבר הכנסת מלכיאל? מסתפק.

אנחנו מצביעים. מי בעד אישור הצו כאמור? מי נגד? מי נמנע?

הצבעה

בעד הצו – פה-אחד

נגד – אין

נמנעים – אין

צו הגנת הפרטיות (קביעת גופים ציבוריים)(תיקון מס' 2), התשע"ו-2016, אושר.

בעד- פה-אחד, אין מתנגדים, אין נמנעים. הצו אושר פה אחד. אני מודה לכם על הדיון.

רק שיעבירו את המידע שביקשת.

ביקשתי, ונעה מזכירה שתואילו להביא לידיעתנו. תודה רבה.

הישיבה ננעלה בשעה 10:45.