דיווח על-פי חוק

מ ד י נ ת י ש ר א ל מ ש ר ד ה מ ש פ ט י ם הרשות למשפט, טכנולוגיה ומידע רשם מאגרי מידע תאריך : י ' ניסן תשס"ז 29 מרץ 2007 סימוכין : 2007-0015-000008-02 בפקסובדוא"ל לכב' עו"ד חיים קלוגמן יו"ר המועצהלהגנת הפרטיות משרדהמשפטים נכבדי, הנדון: רשם מאגרי מידע – דו"חשנתי – 2007 - 2006 מבוא 1. מתוקף חובתי על פי סעיף 10א לחוק הגנת הפרטיות, התשמ"א- 1981 הנני מתכבד להגיש בפני חברי המועה להגנת הפרטיות דין וחשבון שנתי, לגבי התקופה שבין ה-1 באפריל 2006 ל- 31 במרץ 2007 (להלן – התקופה) באשר לפעילות האכיפה והפיקוח שנעשו ביחידת רשם מאגרי מידע (להלן –יחידת הרשם) במהלך התקופה. רשם מאגרי מידע -תמונת מצב 2. יחידת הרשם ידעה תמורות רבות במהלך השנה האחרונה. בחודש ינואר 2006 החליטה ממשלת ישראל על הקמתה של רשות משפטית לטכנולוגית מידע והגנת הפרטיות (להלן – הרשות). בחודש אוגוסט 2006 נבחר הח"מ לעמוד בראשה ולשקוד על הקמתה. בהחלטה על הקמת הרשותנקבע כי יחידת הרשם תוכפף לרשות. 3. מינוי הח"מ כראש הרשות יצר תהליך שרשרת, במסגרתו עזבה את תפקיד ה הרשמת הקודמת. בתחילת חודש נובמבר2006 אישרה הממשלה (החלטהמס' 629 ש ל הממשלה ה- 31 ) את מינוי הח"מ כרשם, בנוסףעל תפקידו כראש הרשות. 4. רמת התפקוד של יחידת הרשם עם כניסת הח"מ לתפקיד הי תה לא תקינה בשל מגוון סיבות., עיקרי הכשלים שאותרו הינם: א. מערכת יחסי עבודה וניהול בעייתית שגרמה לפגיעה חמורה בתפקוד היחידה על פי המטרות שהוגדרולה על פי חוק. ב. רוב הבקשות לרישום מאגרי מידע שהוגשו במהלך השנים האחרונות נכנסו לגדרו של סעיף 10(ב1) לחוק הג נת הפרטיות, התשמ"א- 1981 (להלן – החוק), קרי מבקשי הרישום הורשו להפעיל את מאגרי המידע למרות שלא נרשמו, משום שחלפו 90 יום מעת הגשת הבקשה וזו לא סורבה או הושהתה. הסיבה העיקרית לכך היא כי חלקים מהותיים מתהליך רישום המאגרים הופקדו בידי צדג' במיקור חוץ, באופןהתקשרות אשרלא מאפשר עמידהבהוראותהחוקיות. ג. ביחידת הרשם נהגה מדיניות פיקוח "ידידותית", קרי אם נתגלה כשל במהלך פיקוח ניתן הסבר למפוקחים כיצד עליהם לתקן את דרכיהם, מבלי לנקוט בסנקציות כלשהן הקיימות במסגרתו של החוק. מדיניות זו איינה את כושר ההרתעה של הרשם - -1 ר ח ' ה ש ל ו ש ה 2 ת . ד., 8 2 98, ת ל - א ב י ב 2 9 0 1 6 ט ל ' 0 3 8 9 9 8 6 - 3 0 פ ק ס : 7 6 0 7 6 4 6 - 2 0 מ ד י נ ת י ש ר א ל מ ש ר ד ה מ ש פ ט י ם הרשות למשפט, טכנולוגיה ומידע רשם מאגרי מידע מכח החוק, מאחר שגם אם אותרו כשלים – הם תוקנו בהנחיית הרשם ולא ננקטו כל הליכי אכיפהאחרים כלפי המפרים. ד. מערכת המידע אשר אמורה לתמוך בפעילות הרשם חסרה באופן משמעותי, הן בהיבט הפונקציונלי והן בתוכן ואיכות המידע הכלול בה. חוסרים אלה מונעים את האפשרות לקיים מדיניות פיקוח קוהרנטית, וכן לגבות באופן אפקטיבי את האגרות השנתיות אשר אמורות לממן, באופן חלקי, את פעילות היחידה. גם המימוש של מערך קנס מנהלי, אשר אמור לשמש ככלי אכיפה חלופי על פי חוק עבירות מנהליות, לא ייושם בשל העדר של פתרון מחשובי הולם לפעילות זו במסגרת מערכת המידע. פיתוח מערכת מידע חדשה נעצרה בשל ההחלטה על הקמת הרשות, והמתנה עד שתגובש מדיניותחדשה לפעילותה. 5. בשל האמור לעיל, הח"מ אינו יכול להתחייב כי דיוק הדיווח בפעילויות הפיקוח והאכיפה שנערכו בתקופה שבין 1 לאפריל 2006 עד לכניסה לתפקיד בתחילת חודש ספטמבר 2006 הוא ב רמה הנדרשת. על כן יעסוק דין וחשבון זה בעיקרו בפעילות שנעשתה החל מחודש ספטמבר 2006 ובפרט מאז מינוי הח", מ כרשם. 6. הנתונים הסטטיסטיים המופיעים בהמשך מתייחסים לכל התקופה, אך בהעדר ה של מערכת מעקב ודיווח אמינה , וחוסרם של נוהלי עבודה מסודרים באשר להזנת מידע במערכות הקיימות, יש להתייחס אל הנתונים כמראים מגמות,ולאאתהתמונה במדויק. תהליכי פיקוח ואכיפה 7. תהליכיהפיקוחוהאכיפה של רשםמאגרי מידע נזונים מש לושה מקורות: א. חקירת תלונות המתקבלות ביחידת הרשם מאזרחים על פגיעה לכאורה בפרטיותם במאגרי מידע. ב. תוכניתעבודהלפיקוחיזום עלפינושאים שונים. ג. בקשות רישום חדשות, או שינוי רישוםישן, המעלה צורךלבדיקה שלהבקשה. 8. תלונות א. מרכיב עיקרי (כ- 44% ) של תלונות אזרחים ל יחידת ה רשם מגיעה בנושאים הקשורים לפעולות דיוור ישיר, נושא המוסדר בסימן ב' בפרק ב' בחוק. מבין תלונות אלה, ניתן לאפיין שני סוגים של תלונות: 1) תלונות באשר לאי קיום חובות על פי החוק המוטלות על מי שמבצע דיוור ישיר, כגון אי ציון פרטי המאגר שעל בסיסו מתבצע הדיוור הישיר, אי קיום בקשות למחיקת שם ממאגר דיוור ישיר וכד'. המסגרת האכיפתית לטיפול בתלונות מעין אלה אמור להיות קנס מנהלי, וזה לא הופעל כאמור בהעדר של מערכת מידע תומכת. 2) תלונות באשר לקבלת דואר- זבל (SPAM ) – רשם מאגרי מידע נתפס בציבור כגוף אשר אמור לטפל בתלונות נגד דואר זבל. נושא זה אינו מכוסה על ידי החוק, אשר מגדיר דיוור ישיר כ- פניהאישיתלאדם," - -2 ר ח ' ה ש ל ו ש ה 2 ת . ד., 8 2 98, ת ל - א ב י ב 2 9 0 1 6 ט ל ' 0 3 8 9 9 8 6 - 3 0 פ ק ס : 7 6 0 7 6 4 6 - 2 0 מ ד י נ ת י ש ר א ל מ ש ר ד ה מ ש פ ט י ם הרשות למשפט, טכנולוגיה ומידע רשם מאגרי מידע בהתבססעל השתייכותולקבוצתאוכלוסין,שנק בעהעלפיאיפיוןאחדאו יותר" . רב הפונים אינם ערים להבחנה זו. לרוב לא ניתן לדעת, אלא לאחר חקירה, האם הפניה אליהם נעשתה על בסיס איפיון מסוים, או על בסיס מאגר מידע "כללי" של דואר זבל. לאור התיקון הצפוי (מספר 33 ) בחוק התקשורת (בזק ושידורים), התשס"ה- 2005, המסדיר את נושא דואר הזבל, מן הראוי לקבוע למי הסמכות האכיפתית בנושא זה, ולתקצבה בהתאם. ב. שני מגזרים נוספים שהיו בעלי משמעות בפעילות הרשם במהלך התקופה הם מגזר הפיננסים (הכולל את הבנקים, חברות הביטוח, חברות ההשקעות וכד' – 22% מכלל הפעילות בתיקים) ומגזר הבריאות (בתי חולים, שירותי בריאות, רופאים ובתי מרקחת ש- 14% מהפעילות עסקה בהם) . היקף פעילות זה נובע מהיות שני המגזרים הנ"ל מגזרים עתירי מידע רגיש בהבטי הגנתהפרטיות. ג. המגזר הרביעי בגודלו הוא המגזר הממשלתי, בו עסקו 8% מכלל פעילויות יחידת הרשם. נתון זה אינו משקף את החשיבו ת שיש לתת לדעת החמ,, לפעילות יחידת הרשם באשרלמשרדי ממשלה. 9. פיקוחמגזרי א. פעולות פיקוח מגזרי הן פיקוח יזום הבוחן הבטים מסוימים של פרטיות במאגרי מידע במגזר מסוים. במהלך התקופה,נעשותהליכי פיקוחמגזרי במגזריםהבאים: 1) ביטוח 2) רפואה 3) בעלי מקצוע חופשיים 4) חינוך ב. חלק נכבד מתהליכי הפיקוח המגזרי עסקו בשאלות הקשורות בחובת רישום המאגר ותשלום האגרות על ידי מגזרים אלה, ולא בשאלות המהותיות של הפגיעה בפרטיות במגזרים. ג. עם כניסת הח"מ לתפקיד ניתנה הוראה כי הפעילות המגזרית תיוחד לאיתור של הפרת הפרטיות ב מאגרי מידע המנוהלים במגזרים. תהליך שינוי זה לוקח זמן, והמגזריםאשר מתוכננת בהםפעילות במהלךהתקופה הבאההינם: 1) משרדי ממשלה 2) חברות סלולר 3) בנקאות 4) ביטוח 5) בריאות 6) דיוור ישיר וסוחרים במידע - -3 ר ח ' ה ש ל ו ש ה 2 ת . ד., 8 2 98, ת ל - א ב י ב 2 9 0 1 6 ט ל ' 0 3 8 9 9 8 6 - 3 0 פ ק ס : 7 6 0 7 6 4 6 - 2 0 מ ד י נ ת י ש ר א ל מ ש ר ד ה מ ש פ ט י ם הרשות למשפט, טכנולוגיה ומידע רשם מאגרי מידע ד. כמובן שפעילות מגזרית אינה מייתרת פעולות פיקוח נקודתיות בתחומים אחרים, אך היא אינה תגובהלתלונה מסוימת אלא כפעילותיזומה. 10 . אכיפה א. כאמור לעיל, הייתה נוהגת ביחידת הרשם מדיניות של פיקוח ידידותי, שעקרונותיה היו תיאום מראש של פעילות הפיקוח וניהול תהליך של הוראות לתיקון הכשלים שאותרו. ב. מדיניות זו השתנתה עם כניסת הח"מ לתפקידו, ונתנה הוראה להפעיל גישה של יציאה לפיקוח כתוצאה מתלונות מבלי לתאם אותו עם המפוקח. באשר לכשלים אשר מתגלים במהלך פיקוח, הרי שאלה יטופלו באופן נוקשה הרבה יותר, כאשר במידת הצורךיופעלוהסמכויות המוקנותלרשם מאגרי מידע עלפי סעיף 10 לחוק. ג. שינוי מדיניות זה הוא הכרחי על מנת לתת ליחידת הרשם את אותו כח הרתעה הנדרשלשם קיומם של פיקוחואכיפה אפקטיביים בנושא שלהגנתהפרטיות. ד. אפשרות השתת קנס מנהלי, הקבועה מכוח חוק העבירות המנהליות, התשמ"ו- 1985 ומוסדרת בתקנות העבירות המינהליות (קנס מינהלי – הגנת הפרטיות), תשס"ד- 2004 על עבירות שונות על סעיפים 17ד- 17ו ו- 31א לחוק לא יושמה, בשל העדר מערכת מחשב התומכת בפעילות זו ואי מינוי תובע מכח חוק העבירותהמנהליות. ה. בימים אלה מתחיל אפיונה של מערכת מידע חדשה לרשות, ובכלל זה גם לפעילות יחידת הרשם. מערכת מידע זה צפויה להתחיל לפעול עם סיום תקופת הדיווח הבאה, ועל כן נעשים מאמצים למימוש חלופת הקנס המינהלי באופן מהיר ככל האפשר, כמו גם קבלת של כלי אכיפה נוספים לצורך פעילות היחידה. 11 . רישום מאגרי מידע א. עיקרו של תהליך רישום מאגרי המידע נעשה במיקור חוץ ברשות הדואר. לבד מהתהליך המנהלי של גביית האגרות בגין רישום המאגרים, נעשה במיקור חוץ גם חלק נכבד מתהליך הבדיקה המשפטי בבקשות של רישום מאגרי מידע. מאחר ואופן ההתקשרות מול רשות הדואר לא הבטיח כי מסגרת הזמנים של 90 יום מהגשת הבקשה ועד לרישום בפנקס, הקבועה בסעיף 10(ב1 ) תישמר – מאגרים רבים אינם רשומים בפנקס מאגרי מידע מחד גיסא, א ך מפעיליהם רשאים להחזיקם ולנהלם מאידך גיסא. ב. בממוצע, נרשמים מדי שנה כ- 300 מאגרי מידע חדשים. כדי לעצור את התופעה של קבלת אישור אוטומטי לפעולתהמאגר מכח סעיף10(ב1 )האמור ניתנה הוראהעלידי הח"מ לפיה כל התהליך המהותי של בדיקת המאגרים תעשה על ידי יחידת הרשם. בנוסף, גובש מסמך בדיקה המחייב את מבקשי הרישום למסור מידע מפורט ומדויק באשר לאופי המידע הכלול במאגר המידע וסוגיו, מטרות השימוש בו, האופן בו התקבלה הסכמת נשואיהמידעלכלול את המידע במאגר המידע וכד.' ג. שינוי המדיניות באשר לרישום מאגרי מידע חדשים, אשר לווה בבחינה מעמיקה של בקשות רישום מסוימות , גרם לכך שניתנת כיום, במגזרים מסויימים, תשומת לב - -4 ר ח ' ה ש ל ו ש ה 2 ת . ד., 8 2 98, ת ל - א ב י ב 2 9 0 1 6 ט ל ' 0 3 8 9 9 8 6 - 3 0 פ ק ס : 7 6 0 7 6 4 6 - 2 0 מ ד י נ ת י ש ר א ל מ ש ר ד ה מ ש פ ט י ם הרשות למשפט, טכנולוגיה ומידע רשם מאגרי מידע רבה לאופן בו מתבקש רישום המאגר, ובפרט באשר לשימושים המותרים במידע במאגרוזהותהמשתמשים בו. 12 . אופי הפעילות א. יחידת הרשם עסקה בעיקר זמנה במהלך התקופה בטיפול בתלונות (45% ), בפיקוח ( 19% - כאשר חלקו ( 3% ) פיקוח במגזרים מוגדרים וחלקו ( 16% ) תלוי תלונות) ו ב- 32% מהפעילות בתהליכי אימות ובקרה של מידע הרשום בפנקס מאגרי המידע פעולותהמוגדרות כאכיפת גביהובקרת רישום מאגר.)( ב. חלק מועט מפעילות יחידת הרשם (2% ) הוקדש למענה על פניות הציבור בבקשה לחוות דעת באשר לנושאים שונים הקשורים בהגנתהפרטיות במאגרי מידע. מבטלעתיד 13 . יחידת רשם מאגרי מידע נמצאת כרגע בתחילתו של שינוי משמעותי. שינוי זה בא לידי ביטוי גם בשינוי הצפוי בחוק, כתוצאה מיישומו בחקיקה של דו"ח שופמן, אשר בחן את הפרק העוסק במאגרי מידע והמליץ על שינויים משמעותיים בו. תהליך ניסוח שינוי החוק נעשה כיום בשיתוף מלא של יחידת הרשם, ובמהלכו מיושמות הערות מהנסיון הצבור ביחידה במימוש החוק. 14 . במהלך התקופה עזבו את היחידה ארבעה אנשים – הרשמת, היועצת המשפטית ליחידה ושני מפקחים. במהלך התקופה הבאה, יקלטו, במסגרת הקמתה של הרשות, אנשים חדשים אשר יזר ימו דם חדש לפעילות היחידה. קליטתם של עובדים חדשים לרשות, בעלי הכשרה משפטית וטכנולוגית, תאפשר התמודדות עם האתגרים שמציבה הטכנולוגיה בסוגית הגנת הפרטיות, כגון בנושאים של כריית מידע, שירותים מבוססי מקום וכד.' 15 . במסגרת הקמת הרשות מתוכנן שינוי ארגוני לפיו יוקמו ברשות שתי מחלקות (מחלקת רישום ופיקוח ומחלקת אכיפה), אשר תטפלנה בנושאים אלה בהקשר של שלושת יחידות ההסדרה אשר כפופות לרשות – רשם מאגרי מידע, רשם שירותי נתוני אשראי ורשם גורמים מאשרים. חלוקה זו תאפשר הפעלה יותר אפקטיבית של מערך הפיקוח, הרישום והאכיפה תחת מדיניות אחידה. - -5 ר ח ' ה ש ל ו ש ה 2 ת . ד., 8 2 98, ת ל - א ב י ב 2 9 0 1 6 ט ל ' 0 3 8 9 9 8 6 - 3 0 פ ק ס : 7 6 0 7 6 4 6 - 2 0 מ ד י נ ת י ש ר א ל מ ש ר ד ה מ ש פ ט י ם הרשות למשפט, טכנולוגיה ומידע רשם מאגרי מידע 16 . גם טרם שינוי י החקיקה והארגון המיוחל ים, נעשים מספר תהליכים שמטרתם הכנסת דינמיות לפעילות היחידה. בתמצית,ניתן להצביע על התהליכיםהבאים: א. מיצוי הסמכויות הנתונות כבר היום בידי רשם מאגרי מידע, אשר הפעלתן עד היום לקתה בחסר. ב. בניית מערכת מידע לשירות היחידה, אשר מחד גיסא תוריד חלק נכבד מהעבודה המנהלתית המוטלת היום על עובדי היחידה, ומאידך גיסא תיתן תשתית ניהול מידע משעותית ביותרלניהולפעילותהפיקוחוהאכיפה. ג. קביעת תוכנית עבודה אשר מעבירה את הדגש מפעילות בעלת אוריינטציה מנהלתית לפעילות יזומה בנושאיםחמים. 17 . אנילשירותכם לכל שאלה. בברכה, יורםהכהן, עו"ד רשםמאגרי מידע ראש הרשותלמשפט, טכנולוגיה ומידע חתוםבחתימה אלקטרונית מאובטחת)( העתקים:מר משה שילה, המנהל הכללי, משרדהמשפטים. מריהושע שופמן, המשנה ליועץהמשפטי לממשלה (חקיקה) הגב' דלית דרור, ראש תחום משפט ציבורי,מחלקת ייעוץ וחקיקה (חקיקה) - -6 ר ח ' ה ש ל ו ש ה 2 ת . ד., 8 2 98, ת ל - א ב י ב 2 9 0 1 6 ט ל ' 0 3 8 9 9 8 6 - 3 0 פ ק ס : 7 6 0 7 6 4 6 - 2 0 מ ד י נ ת י ש ר א ל מ ש ר ד ה מ ש פ ט י ם הרשות למשפט, טכנולוגיה ומידע רשם מאגרי מידע 18 . נספח א' – תחומי טיפול - רשםמאגרי מידע 2006-2007 תחומי טיפול רשם מאגרי מידע - כמות תיקים מטופלים 2006-2007 בריאות, ,9 7% תקשורת, ,8 6% תחבורה, ,4 3% בריאות דיוור ישיר הייטק חינוך פיננסיים, ,35 28% ממשלה מסחר ושירותים מקצועות חופשיים דיוור ישיר, ,53 41% פיננסיים תחבורה תקשורת מקצועות חופשיים, ,3 2% מסחר ושירותים, ,5 4% ממשלה, ,7 6% הייטק, ,1 1% חינוך, ,2 2% תחומי טיפול רשם מאגרי מידע - כמות פעולות בתיק - 2006-2007 תקשורת, ,20 4% תחבורה, ,6 1% בריאות, ,64 14% פיננסיים, ,104 22% בריאות דיוור ישיר הייטק חינוך ממשלה מסחר ושירותים מקצועות חופשיים מקצועות חופשיים, ,3 1% פיננסיים תחבורה תקשורת מסחר ושירותים, ,24 5% דיוור ישיר, ,209 44% ממשלה, ,36 8% חינוך, ,6 1% הייטק, ,1 0% - -7 ר ח ' ה ש ל ו ש ה 2 ת . ד., 8 2 98, ת ל - א ב י ב 2 9 0 1 6 ט ל ' 0 3 8 9 9 8 6 - 3 0 פ ק ס : 7 6 0 7 6 4 6 - 2 0 מ ד י נ ת י ש ר א ל מ ש ר ד ה מ ש פ ט י ם הרשות למשפט, טכנולוגיה ומידע רשם מאגרי מידע 19 . נספח ב' – סוגי פעילויות - רשםמאגרי מידע 2006-2007 סוגי פעילות בתיקים - רשם מאגרי מידע - 2006-2007 פיקוח מגזרי, ,6 3% פיקוח, ,17 7% טיפול בפניות, ,15 6% אכיפת גביה אכיפת גביה, ,106 46% בקרת רישום מאגר טיפול בתלונות טיפול בפניות פיקוח פיקוח מגזרי טיפול בתלונות, ,65 28% בקרת רישום מאגר, ,24 10% סוגי פעילות לפי כמות פעולות בתיק - רשם מאגרי מידע - 2006-2007 פיקוח מגזרי, ,18 3% פיקוח, ,102 16% אכיפת גביה, ,185 28% טיפול בפניות, ,15 2% אכיפת גביה בקרת רישום מאגר טיפול בתלונות טיפול בפניות פיקוח פיקוח מגזרי בקרת רישום מאגר, ,40 6% טיפול בתלונות, ,298 45% - -8 ר ח ' ה ש ל ו ש ה 2 ת . ד., 8 2 98, ת ל - א ב י ב 2 9 0 1 6 ט ל ' 0 3 8 9 9 8 6 - 3 0 פ ק ס : 7 6 0 7 6 4 6 - 2 0