עיריית בית שמש נקנסה ב-64 אלף שקל: מידע רפואי של 4,600 תושבים נחשף

הרשות להגנת הפרטיות במשרד המשפטים קנסה את עיריית בית שמש ב-64 אלף ש"ח, בתום בדיקה שנפתחה בעקבות אירוע אבטחת מידע חמור.

במסגרת המחדל, נחשף באתר העירייה מידע אישי ורגיש מתחום הרווחה של כ-4,600 תושבים, כולל נתונים רפואיים, מידע המוגדר כבעל רגישות מיוחדת. הדלף התרחש עקב תקלה במערכת ה-GIS (מערכת מידע גיאוגרפי) העירונית, שהופעלה באמצעות ספק חיצוני.

הפרצה התגלתה לאחר שעיתונאי נתקל במידע החשוף ודיווח עליו. רק בעקבות הפנייה המערכת הושבתה, הגישה נחסמה, והרשות פתחה בבירור מול העירייה ומול הספק - הליך שעדיין מתנהל מולו.

הרשות קבעה כי העירייה הפרה את תקנות הגנת הפרטיות בכמה מישורים:

• התקשרות לא מוסדרת: לספק החיצוני ניתנה גישה רציפה למאגר במשך קרוב לשנתיים, אך העירייה כלל לא הגדירה אותו במסמכי המאגר כ"מחזיק" בו.

• נוהלי אבטחה חסרים: בנוהל העבודה לא הוגדרו מטרות השימוש במידע, מה מותר לספק לעבד, באילו מערכות מותר לו לצפות ולכמה זמן נמסרת הגישה.

• היעדר פיקוח: הנוהל לא כלל הפניה לחוזי התקשרות או לנוהלי האבטחה של הספקים עצמם.

בעירייה טענו להגנתם כי הספק אינו עונה להגדרה המשפטית של "מחזיק", וכי מדובר ב"פער מנהלי בתום לב" על רקע שינויי חקיקה (תיקון 13). בנוסף טענה העירייה כי די בהסכמים חיצוניים ונוהל כללי. הרשות דחתה את כל הטענות הללו וקבעה כי היה על העירייה להיערך מראש ולפעול לפי החוק.

במקור נקבע קנס של 80 אלף ש"ח (40 אלף ש"ח לכל הפרה), אך הוא הופחת ל-64 אלף ש"ח מכיוון שבחמש השנים האחרונות לא נרשמו לחובת העירייה עבירות דומות.

עו"ד עדי מנחם באר, מנהלת מערך האכיפה, הרשות להגנת הפרטיות, מסרה: "החובה לעמוד בדרישות חוק הגנת הפרטיות והתקנות מכוחו, נועדו להבטיח הגנה על המידע האישי שנאסף במאגרי מידע בארגונים שונים. במקרה הנוכחי, מדובר היה במידע אישי בעל רגישות מיוחדת, אשר כלל מידע רפואי ונתוני רווחה על תושבים, שהיה חשוף לציבור, על כל המשתמע מכך.

"ארגון המתקשר עם ספקים חיצוניים ומאפשר להם גישה למאגר מידע מסוג זה, נדרש להקפיד על הוראות החוק והתקנות, בכל הקשור להסדרת ההתקשרות עם הספקים החיצוניים המשמשים כמחזיקים במאגר המידע. נמשיך לאכוף את החובות המנויות בחוק ובתקנות לשם חיזוק ההגנה על פרטיות הציבור".