להבטיח את פרטיות החוסכים לפנסיה

עוקץ האשראי

משרד האוצר מפרסם הבוקר (ה) תקנות חדשות במסגרת הפיקוח על שירותים פיננסיים. תקנות אלו יחולו בשלב זה כהוראת שעה. התקנות נועדו להבטיח כי כספים של עמיתים בקופות הגמל וקרנות הפנסיה שאין להם דורש, יגיעו לבעליהם מבלי לפגוע בפרטיותם.

לדברי האוצר, בחוק הפיקוח על שירותים פיננסיים התשע"ו נקבע כי על מנת להתמודד עם המלאי הקיים של כ-25 מיליארד שקל המנוהלים כיום בכ-1.8 מיליון חשבונות לא פעילים בקרנות הפנסיה, יבוצע איחוד חשבונות לא פעילים עם חשבונות פעילים של עמיתים המחזיקים בחשבון פעיל ובחשבון לא פעיל.

על מנת לעשות זאת, נדרשות החברות המנהלות את הכספים, להעביר את המידע לממונה שתפקידו יהיה לחבר בין החשבונות השונים. באוצר אומרים כי במסגרת הליך איחוד החשבונות, תתבצע העברת פרטי עמיתים מהחברות המנהלות לממונה, ומהממונה לחברות המנהלות. העברה זו תיעשה באופן אוטומטי ללא צורך בגישה למידע, והתקנות החדשות קובעות הוראות לעניין איסוף המידע בעת איחוד חשבונות, גישה למערכת איחוד החשבונות ובקרה על תהליך איחוד החשבונות.

המטרה היא להבטיח שהעברת המידע לממונה תיעשה בדרך בלעדית, ובתוך כך להבטיח כי נתיב ההעברה יהיה מוצפן ומאובטח. בנוסף, מוצע לקבוע בתקנה זו הוראות לעניין אופן שמירת המידע ומניעת האפשרות מכל מי שאינו מורשה לכך לגשת למידע.

עוד מוצע כי חברה מנהלת שתשתתף בהליך איחוד החשבונות, תמנה ממונה על הפרטיות ואבטחת המידע שיהיה אחראי על העברת המידע במסגרת הליך איחוד החשבונות. איחוד החשבונות עצמו יתבצע על-ידי הממונה, וייעשה באופן אוטומטי ללא צורך בגישה למידע.

בנוסף, מוצע שהממונה על אבטחת המידע, בהתייעצות עם הרשות למשפט, טכנולוגיה ומידע במשרד המשפטים, יערוך נוהל אבטחת מידע לעניין אמצעי הזיהוי ומורשי הגישה למידע במסגרת הליך איחוד החשבונות, שיכלול, בין השאר, הוראות בדבר אימות זיהוי, הוראות בדבר אבטחה פיזית וסביבתית של מתקני המערכת, בקרה על השימוש במידע וגיבוי המידע.

תקנה נוספת קובעת כי תתקיים בקרה מתמדת על מערכת איחוד החשבונות, כך שזו תופעל רק לאחר שהממונה על אבטחת המידע יערוך סקר סיכונים ובדיקת חדירות למערכת, וככל שנדרש גם יתוקנו ליקויי האבטחה שיתגלו.

התקנות מבקשות להבטיח כי נוסף על זאת, תתעד המערכת כל אירוע המעלה חשש לזליגה של מידע, פגיעה בשלמות המידע או שימוש בו ללא הרשאה. בנוסף, יינתנו הוראות לעניין תיעוד הגישה למערכת, כך שיתאפשר לזהות את ניסיונות הגישה למערכת ואת זהותו של מבצע ניסיון הגישה.