64 אלף שקל קנס: מידע רפואי של 4,600 תושבי בית שמש נחשף

עיריית בית שמש | צילום: יונתן סינדל, פלאש 90

הרשות להגנת הפרטיות במשרד המשפטים הטילה על עיריית בית שמש עיצום כספי בסך 64 אלף שקל, בתום הליך בירור מנהלי שנפתח בעקבות אירוע אבטחת מידע חמור במערכת ה־GIS העירונית. במסגרת האירוע התאפשרה באמצעות אתר האינטרנט של העירייה גישה למידע אישי מתחום הרווחה של כ־4,600 תושבים, ובהם גם מידע רפואי המוגדר מידע בעל רגישות מיוחדת.

האירוע התגלה בעקבות פנייה של עיתונאי, שאיתר את האפשרות לגשת למידע ודיווח עליה לעירייה ולרשות להגנת הפרטיות. בעקבות הדיווח הושבתה המערכת ונחסמה הגישה למידע, והרשות פתחה בהליכי בירור מול העירייה וכן מול הספק החיצוני שהיה מעורב בהפעלת המערכת. ההליך מול הספק עדיין לא הסתיים.

בבירור המנהלי קבעה הרשות כי העירייה הפרה את תקנות הגנת הפרטיות, בין היתר משום שלא ציינה במסמך ההגדרות של מאגר הרווחה את הספק החיצוני כ"מחזיק" במאגר, אף שהספק עיבד מידע אישי עבור העירייה והחזיק בגישה מתמשכת למערכות המאגר. לפי הרשות, הגישה נמשכה קרוב לשנתיים.

בנוסף, נמצאו ליקויים בנוהל אבטחת המידע של העירייה בכל הנוגע להתקשרות עם גורמים חיצוניים. הנוהל לא הסדיר באופן הנדרש את מטרות השימוש במידע, סוגי המידע המותרים בעיבוד, מערכות הגישה ומשך ההתקשרות, וכן לא כלל התייחסות מספקת לספקים חיצוניים נוספים ולהסכמי ההתקשרות ולנהלי האבטחה שלהם.

הרשות דחתה את טענות העירייה שלפיהן הספק אינו בגדר "מחזיק" וכי ההפרות נבעו מ"פער מנהלי בתום לב", לאחר כניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות. הרשות קבעה כי בנסיבות המקרה הספק עונה להגדרת "מחזיק", בין היתר בשל הגישה שניתנה לו למערכות המאגר לאורך תקופה ממושכת, וכי על העירייה היה להיערך ולעמוד בדרישות החוק והתקנות במועד.

עוד דחתה הרשות את הטענה שניתן להסתפק בנוהל אבטחה רוחבי ובשמירת ההוראות הרלוונטיות בהסכמים מול ספקים חיצוניים בלבד. משמעות ההחלטה היא שהתקשרות של גוף ציבורי עם ספק שמקבל גישה למידע אישי מחייבת הסדרה מפורטת של אופן השימוש והגישה למידע, ולא רק הסתמכות על הסכם כללי.

העיצום הכספי המקורי בגין שתי ההפרות עמד על 80 אלף שקל, 40 אלף שקל עבור כל הפרה. עם זאת, הרשות הפחיתה את הסכום ב־20%, לאחר שהתברר כי בחמש השנים שקדמו להפרה לא הוטלו על העירייה עיצומים כספיים או אמצעי אכיפה מנהליים בשל הפרת אותן הוראות. בסופו של ההליך נקבע לתשלום סכום של 64 אלף שקל.

האירוע מגיע על רקע הרחבת סמכויות האכיפה בתחום הגנת הפרטיות במסגרת תיקון 13 לחוק. גם באתר העירייה מופיעה כיום מדיניות פרטיות המעודכנת לדרישות תיקון 13 ולתקנות שנכנסו לתוקף באוגוסט 2025, ובה מצוין כי האתר מתוחזק עבור העירייה באמצעות ספק חיצוני וכי התקשרויות עם ספקים אמורות לכלול התחייבויות לשמירת סודיות, אבטחת מידע ועמידה בדרישות הדין.

עו"ד עדי מנחם באר, מנהלת מערך האכיפה, הרשות להגנת הפרטיות: "החובה לעמוד בדרישות חוק הגנת הפרטיות והתקנות מכוחו, נועדו להבטיח הגנה על המידע האישי שנאסף במאגרי מידע בארגונים שונים. במקרה הנוכחי, דובר היה במידע אישי בעל רגישות מיוחדת, אשר כלל מידע רפואי ונתוני רווחה על תושבים, שהיה חשוף לציבור, על כל המשתמע מכך. ארגון המתקשר עם ספקים חיצוניים ומאפשר להם גישה למאגר מידע מסוג זה, נדרש להקפיד על הוראות החוק והתקנות, בכל הקשור להסדרת ההתקשרות עם הספקים החיצוניים המשמשים כמחזיקים במאגר המידע. נמשיך לאכוף את החובות המנויות בחוק ובתקנות לשם חיזוק ההגנה על פרטיות הציבור״.