בעקבות אירוע אבטחה חמור: עיריית בית שמש תשלם עשרות אלפי שקלים

הרשות להגנת הפרטיות במשרד המשפטים הודיעה אתמול (רביעי) על עיצום כספי בסך 64,000 שקלים לעיריית בית שמש, עקב אירוע אבטחת מידע חמור והפרה של תקנות הגנת הפרטיות. במסגרת אירוע האבטחה, התאפשרה גישה למידע אישי של כ-4,600 מתושבי העיר - דרך אתר האינטרנט הרשמי של העירייה. המידע שנחשף כולל מידע רפואי המוגדר כבעל רגישות מיוחדת. סכום העיצום הכספי המקורי שהוטל עמד על 80,000 שקלים, אך הוא הופחת.

אירוע האבטחה התאפשר דרך מערכת ה-GIS המשמשת את עיריית בית שמש, בעקבות תקלה של ספק חיצוני. האירוע נודע בעקבות פנייה של עיתונאי שדיווח על האפשרות לגשת למידע, והרשות להגנת הפרטיות פתחה בהליך מנהלי במהלכו המערכת הושבתה ונחסמה הגישה למידע.

בהליך הבירור נמצא כי עיריית בית שמש הפרה את תקנות הגנת הפרטיות, כיוון שלא דיווחה על הספק החיצוני כמי שמחזיק במאגר המידע. הספק שימש גורם שהייתה לו גישה למערכות המאגר ועיבד מידע אישי עבור העירייה. בנוסף, העירייה הפרה את נוהל אבטחת המידע בכך שלא הסדירה את מטרות השימוש של הגורם החיצוני במידע, את סוגי המידע בהם יוכלו להשתמש, את מערכת הגישה ואת משך ההתקשרות עמם.

לטענת העירייה, הספק לא היה בגדר "מחזיק" וההפרות נבעו מ"פער מנהלי תום לב". הרשות דחתה את הטענות, והודיעה כי הספק עונה על ההגדרה של "מחזיק" בשל גישתו המתמשכת למידע שארכה כמעט שנתיים. בנוסף, הרשות קבעה שהטענה לפיה ניתן להסתפק בנוהל רוחבי ובשמירת ההוראות בהסכמים חיצוניים בלבד - נדחית גם היא.

עו"ד עדי מנחם באר, מנהלת מערך האכיפה מטעם הרשות להגנת הפרטיות, מסרה בתגובה: "במקרה הנוכחי, דובר היה במידע אישי בעל רגישות מיוחדת, אשר כלל מידע רפואי ונתוני רווחה על תושבים, שהיה חשוף לציבור, על כל המשתמע מכך. נמשיך לאכוף את החובות המנויות בחוק ובתקנות לשם חיזוק ההגנה על פרטיות הציבור".

עיריית בית שמש מסרה בתגובה: "החלטת הרשות להגנת הפרטיות מעוררת תמיהה ואינה משקפת, לטעמנו, את מכלול נסיבות האירוע ואת הטענות והנתונים שהוצגו בפניה בהרחבה במסגרת הליך השימוע. מדובר באירוע שמקורו בכשל של ספק חיצוני, אשר בעקבותיו נקטנו שורה של צעדים מיידיים ומשמעותיים - טכנולוגיים, ארגוניים וחוזיים - לצמצום הסיכון, לתיקון הכשל ולחיזוק מנגנוני הבקרה והפיקוח.

"לכך מצטרף עיתוי האירוע, בסמיכות ממש לכניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות ולשינוי המשמעותי במשטר האכיפה. בנסיבות אלה הציפייה הייתה כי מכלול השיקולים שהוצגו בשימוע יקבל משקל משמעותי יותר בהחלטה הסופית. אף שהעיצום הופחת בעקבות השימוע, שיעור ההפחתה נמוך ואינו משקף, לדעתנו, את נסיבות המקרה ואת הפעולות שננקטו בעקבותיו. היה מקום לבטל את העיצום, ולמצער להעמידו על סכום נמוך משמעותית. אנו מכבדים את הרשות להגנת הפרטיות ואת תפקידה החשוב, אך מצרים על ההחלטה שהתקבלה המחייבת אותנו לשקול את צעדינו המשפטיים".

לפי אתר הדיגיטל בשלטון המקומי, "מערכת ה-GIS בעיריית בית שמש משמשת כלי מרכזי בקבלת החלטות ובתכנון אסטרטגי. המערכת מאפשרת ניתוח נתונים מרחביים והצגתם באופן ויזואלי על גבי מפה ועל ידי כך לשפר את השירות לתושבים ולייעל תהליכים פנים-ארגוניים". לפי המוצג באתר, המערכת ממפה את "האוכלוסייה הנעזרת בשירותים חברתיים ואת פריסת השירותים החברתיים בעיר".