מאת עו"ד אביב מעוז
רשויות מקומיות (רשו”מ) ותאגידים עירוניים שבבעלות הרשו”מ פועלים ומקדמים פרויקטים “חכמים” ונעזרים טכנולוגית כדי לשפר תהליכים בתוך הרשו”מ ועבור התושבים הצורכים שירותיהם מהרשו”מ. כחלק מאותם פרויקטים ותהליכים אוספות ומעבדות הרשו”מ והתאגידים העירוניים, אם בעצמם ואם באמצעות צדדים פרטיים שלישיים, מידע אישי שהינו מוגן על ידי דיני הגנת הפרטיות. לצד היכולת לאסוף ולעבד מידע אישי מטילים דיני הגנת הפרטיות את האחריות לאבטחת המידע על הרשו”מ, התאגידים העירוניים ונושאי המשרה בגופים אלו, אשר מבחינתם חייבים להיות מודעים לסיכוני הסייבר שאליהם הם חשופים.
חשוב לציין שאיסוף ועיבוד המידע לא מתבצע רק בפרויקטים חכמים מורכבים כגון שימוש בסנסורים ומצלמות חכמות שאוספות ומשדרות כמות עצומה בלתי מסוננת של מידע אישי אלא גם בפרויקטים או בצריכת שירותים בסיסיים שהרשו”מ והתאגידים העירוניים מספקים לתושביהם. כך לדוגמא, רשו”מ שמתקינה סנסורים ומצלמות חכמות בצומת סואן כדי לשפר נתוני תנועה אוספת כמות עצומה של מידע אישי בלתי מסונן (לוחיות רישוי, תווי פנים, נתוני מיקום, הרגלי תנועה ועוד). כן, חברה כלכלית עירונית או עמותה עירונית שמנהלים את הקאנטרי העירוני או מפעילים אירועי תרבות בקונסרבטוריון העירוני או מפעילים חוגים לילדים, אוספים מידע אישי הכולל, שם, כתובת, תעודת זהות, מספר טלפון נייד, תצלום פנים, נתוני אשראי ונתוני חשבון בנק.
למעשה, מאגרי מידע, שמהווים אוסף נתוני מידע המוחזק באמצעי מגנטי או אופטי ומיועד לעיבוד ממוחשב ולשימוש בחירום וברגיעה, קיימים כמעט בכל תחומי הפעילות ואגפיה של הרשו”מ – חניה, תחבורה, תרבות ופנאי, ארנונה, תכנון ובניה, גזברות, חינוך, רווחה וכו’. כמו כן, עם התפתחות קונספט הערים החכמות הולכות וגדלות בקצב חד כמויות המידע בידי הרשו”מ.
לאור הכמויות העצומות של מידע אישי שמחזיקות הרשו”מ והתאגידים העירוניים הרי שהינם חשופים לסיכוני סייבר בדיוק באותה מידה אליה חשופים גופים מן המגזר העסקי, אם לא יותר. לצורך הדוגמא, בבריטניה, על פי דוח שפורסם בפברואר 2018 על ידי ארגון Big Brother Watch הפועל למען זכויות האזרח ומקדם את תחום הפרטיות, בין השנים 2013 עד 2017 רשויות מקומיות בבריטניה חוו 98 מיליון התקפות סייבר וכן 1 מתוך 4 רשויות מקומיות חוו פירצת אבטחה ממשית לתוך מאגרי המידע שהחזיקו בהם.
בישראל, בכדי להתמודד עם החשיפה העצומה וסיכוני הסייבר הקיימים והעתידיים, נכנסו לתוקף במאי 2018 תקנות הגנת הפרטיות (אבטחת מידע) (“התקנות”). התקנות חלות על כלל המשק הישראלי, לרבות רשויות מקומיות ותאגידיהם העירוניים, ומטילות חובה לאבטח את מאגרי המידע המצויים בבעלות, החזקה או ניהול של גופים אלו. מטרת התקנות היא להגן על פרטיותם של האנשים שמידע עליהם קיים במאגרי המידע, כדי למנוע חשיפה, שימוש או העתקה של המידע על ידי גורמים שאינם מורשים לכך.
מבחינה משפטית, אי עמידה בקנה אחד עם הוראות דיני הגנת הפרטיות עלולים להוביל לאירועי אבטחה ושימוש במידע שלא כדין וכן לפעולות אכיפה מינהליות, כאשר שני אלו יחד וכל אחד לחוד עלולים להוביל להליכים אישיים כנגד נושאי המשרה.
חשוב לציין שהאחריות לאבטחת המידע מוטלת על בעל מאגר המידע, מחזיק במאגר או על מנהל המאגר. הגדרות אלו נעמוד בקצרה על ההבדל בין כל אחת מההגדרות לנושאים באחריות:
בעל מאגר המידע – הינו הגוף שמחליט על המטרה ועל האמצעים שבהם ייאסף המידע וייעשה בו שימוש. בעל המאגר הוא גם האחראי הבלעדי על רישום מאגר המידע בפנקס מאגרי המידע.
מחזיק במאגר – חוק הגנת הפרטיות קובע שמחזיק במאגר הינו מי שמצוי ברשותו מאגר מידע דרך קבע והוא רשאי לעשות בו שימוש. בדרך כלל המחזיק במאגר המידע הוא גוף שעושה שימוש או מעבד את המידע המצוי במאגר המידע עבור בעל מאגר המידע.
מנהל המאגר – חוק הגנת הפרטיות קובע, כי מנהל המאגר צריך להיות מנהל פעיל של גוף שבבעלותו או בהחזקתו מאגר מידע או מי שמנהל כאמור הסמיכו לעניין זה. כינויו של תפקיד זה בשלטון המקומי הינו מנהל מערכות מידע ראשי (מנמ”ר) או CIO– Chief Information Officerואחריותו כוללת, בין היתר את תכנון וניהול מערכות המידע של הרשות המקומית כמנגנון ניהולי ותפעולי בסיסי בארגון.
להבהרת תמונת ההגדרות לעיל נביא דוגמא בסיסית – רשות מקומית אוספת מידע על תושביה, בהסכמה, למטרת עריכת מרשם תושבים. בין היתר מתקבל מידע אישי לגבי שמם המלא של התושבים, כתובתם, פרטי אשראי, תעודות זהות, מין, מעמד אישי וכו’. מידע זה מועבר לידי חברת גבייה שעושה שימוש במידע ומעבדת את המידע למטרת שליחת מכתבי התראה לתושבים שמאחרים בתשלום ארנונה וחנייה. כמו כן, הרשות המקומית מאפשרת לחברה העירונית לעשות שימוש במאגר המידע למטרת יידוע תושבים בדיוור ישיר בדבר פרויקטים חדשים בסביבת מגוריהם. בדוגמא זו הרשות המקומית היא בעלת מאגר המידע ואילו חברת הגבייה והחברה העירונית הינן המחזיקות במאגר המידע.
כאמור, חובת אבטחת המידע חלה הן על בעל מאגר המידע, הן על המחזיק בו והן על מנהל המאגר. לפיכך, בכדי למזער סיכוני אכיפה מנהלית ואף אחריות אישית של נושאי המשרה, מומלץ כי רשויות מקומיות ותאגידים עירוניים ינקטו ב – 10 הפעולות הבאות בכל הנוגע לאבטחת המידע שברשותם:
ווידוא בסיס חוקי לאיסוף, עיבוד והעברת המידע לצדדים שלישיים – בסיס חוקי יכול להתקבל באמצעות יידוע וקבלת הסכמה מדעת, מפורשת או מכללא של אדם שלגביו מתבקש המידע. לפיכך, קובע חוק הגנת הפרטיות כי בעת פניה לקבלת מידע מאדם מסוים, על מבקש המידע לידע את אותו אדם אם חלה עליו חובה למסור את המידע או שמא מדובר בעניין וולונטרי. כן חלה חובת ידוע לגבי מהי מטרת איסוף המידע, האם המידע יועבר לצדדים שלישיים ומהי מטרת ההעברה.
איתור המידע וסיווגו למאגרים – כאמור, רשויות מקומיות ותאגידים עירוניים אוספים ומחזיקים במידע, לעיתים אף מידע רגיש, כמעט בכל אחת ממחלקות הרשות או התאגיד. בדוגמא לעיל, המידע שמרכיב את מרשם התושבים יכול להתקבל ממספר מחלקות בעירייה ועל המנמ”ר מטעם בעל המאגר לתכלל את איסוף המידע וכן לסווגו לתתי סוגים על מנת להגדיר את מסמך מטרות המאגר ולאפשר גישה מוגבלת למידע אישי לכל קבלן חיצוני או אדם מתוך המערכת העירונית, בהתאם לצורך.
רישום המאגרים בפנקס מאגרי המידע – חובת הרישום אינה פורמלית גרידא אלא מאפשרת גם השגת יעדים מהותיים כגון: הטמעת הליך ניהול תקין של מידע על ידי בעל המאגר; הנעת בעלי מאגרים לציית לחוק ולחדול מפעילות המנוגדת לו; הגברת המודעות לחשיבות הגנת המידע האישי במאגרי מידע וכן ניטור של אירועי אבטחת מידע וטיפול בהם באופן יעיל. כאמור, החובה לרשום את מאגר המידע חלה על בעל המאגר (הגוף שאחראי על איסוף המידע ומטרות השימוש בו) ולמעשה לא ניתן לעשות שימוש במאגר או להחזיק בו אלמלא נרשם.
הערכת סיכונים – תקנות אבטחת מידע נוקטות בגישת “Risk Based Approach”, דהיינו קביעת שלוש רמות של מאגרי מידע והחלת רמות אבטחה שונות בהתאם לסיכונים שהם מייצרים. הרשויות המקומיות והתאגידים העירוניים כגופים ציבוריים, נמצאים כברירת מחדל ברמת האבטחה הבינונית אלא אם מאגרי המידע שברשותם מכילים מידע אודות מעל ל- 100,000 אנשים או שניתנה בהם הרשאה ליותר מ- 100 בעלי הרשאה.
מינוי ממונה אבטחת מידע Chief Security Officer– ככלל רשות מקומית ותאגיד עירוני חייבים במינוי ממונה אבטחת מידע שיהיה אחראי על הכנת נוהל אבטחת מידע ועל בקרה אחר ביצוע הוראות תקנות אבטחת מידע. יודגש כי ממונה אבטחת המידע אינו המנמ”ר אלא כפוף אליו. על הממונה להיות אדם בעל כישורים מתאימים, ללא הרשעות שיש עימן קלון ועל בעל המאגר להקצות לממונה משאבים מתאימים לביצוע משימותיו. לאור חשיבות התפקיד מומלץ לערב ולשלב את ממונה אבטחת המידע בשלבים המוקדמים לכל פעולה הקשורה לאבטחת מידע אישי.
בדיקות, ביקורות, סקרי סיכונים ועדכונים שנתיים – כשמדובר באבטחת מאגרי מידע לא ניתן לשקוד על השמרים או לנוח על זרי הדפנה. בעל מאגר המידע, בדר”כ הרשות המקומית, חייב לערוך מסמך הגדרות מאגר שמכיל תיאור של פעילות איסוף המידע, מה מטרת האיסוף, מי הגורמים שמעבדים את המידע (מקור חוץ), מה הסיכונים וכיצד ניתן להתמודד עימם. כמו כן, על בעל המאגר לעדכן אחת לשנה את נוהל אבטחת המידע אשר על עריכתו אחראי ממונה אבטחת המידע. בנוסף, על בעל המאגר למפות את מערכות המאגר ולבצע סקר סיכונים ביחס אליהם. זאת ועוד, על הרשות המקומית כבעלת המאגר לערוך ביקורת דו שנתית מקצועית בנושא אבטחת מידע.
אבטחה פיסית וגישה מאובטחת למאגרי המידע – התקנה של חומרה ותוכנות לאבטחת המידע, מתן גישה לגורמים מוסמכים בלבד, גיבוי המידע לתקופת זמן רלוונטית ואבטחה פיסית מפני אירועים כגון שריפות קצרים חשמליים וכדומה, הינם מרכיבים חשובים ביותר בכחלק ממלאכת אבטחת המידע.
הדרכות עובדים – עירנות עובדים לסיכוני הסייבר הקיימים הכרחית לאבטחת המידע. מנהל אבטחת המידע יפעל לקיום הדרכות ורענונים לעובדים ובעיקר לעובדים חדשים בנושא אבטחת מידע. על פי דוח מבקר המדינה לשנת 2017, רשות הסייבר הלאומית מציעה אוסף נרחב של שירותים הכוללים הסברה בתחום הסייבר, הדרכה ותרגול. מוצע לבחון אפשרות זו על מנת להימנע עד כמה שאפשר מטעויות אנוש בתחום אבטחת המידע.
התקשרויות עם צדדים שלישיים – בדוגמא שהבאנו לעיל, התקשרה הרשות המקומית עם חברת גבייה ואפשרה לה, כ- Outsourcing, לעשות שימוש במגר המידע למטרת שליחת מכתבי התראה. בכל התקשרות כזו חשוב לוודא שהגישה שניתנת לצד השלישי הינה לפי מטרת ההתקשרות, שהמידע שמועבר מאובטח אצל הצד השלישי באותה רמת אבטחה לפחות, משך ההתקשרות והשבת המידע לידי הרשות המקומית בתום ההתקשרות, דיווח בדבר אירועי אבטחה אצל הצד השלישי, אבטחת המידע אצל צד רביעי וכו’. בהקשר זה יש לציין את הנחיית רשם מאגרי מידע 2/2011 – שימוש בשירותי מיקור חוץ (Outsourcing) לעיבוד מידע אישי. כן יש לציין, כי על שולחן הכנסת מונחת הצעת חוק לתיקון פקודת העיריות (מס’ 138) (חברות גבייה), התשע”ד- 2014 שנועדה להסדיר בין היתר את אופן העסקת חברות הגבייה בהיבט הגנת הפרטיות.
דיווח על אירועי אבטחת מידע – אירוע אבטחת מידע מוגדר כפגיעה בשלמות המידע שימוש במידע ללא הרשאה או חריגה מהרשאה. כמו כן, לאור הגדרת “שימוש” בחוק הגנת הפרטיות הרי שגם אם מישהו “רק” צפה במאגר, מדובר באירוע אבטחה. כאשר מדובר באירוע אבטחה המוגדר “חמור” (תלוי ברמת אבטחת המאגר ובשימוש שבוצע) נדרש דיווח לרשם מאגרי המידע שרשאי אף להורות על יידוע נושאי המידע (האנשים) שנפגעו. דיווח לרשם יכול להתבצע באמצעות טופס מקוון באתר הרשות להגנת המידע.
כמובן שאין מדובר ברשימה סגורה של נושאים ופעולות אליהם יש להתייחס בהקשר של הגנת הפרטיות ואבטחת המידע. כן מובן, שלכל אחת מהפעולות לעיל ישנן השלכות משפטיות על הרשות המקומית, התאגיד העירוני ונושאי המשרה המכהנים. כך לדוגמא, מומלץ שבבניית הנהלים הנדרשים או בטרם התקשרות עם צדדים שלישיים או בטרם תתבצע הודעה על אירוע אבטחה לרשם מאגרי המידע או לנושאי המידע תתקיים התייעצות בין הגורמים הרלוונטיים בתוך הרשות לרבות מנכ”ל העירייה, יועמ”ש, מנמ”ר וממונה אבטחת מידע.