עיריית בית שמש נקנסה: חשפה מידע רפואי של אלפי תושבים

הרשות להגנת הפרטיות במשרד המשפטים הטילה עיצום כספי בסך 64 אלף שקל על עיריית בית שמש, בעקבות אירוע אבטחה חמור שחשף מידע אישי ורפואי של אלפי תושבים. התקלה התרחשה במערכת ה-GIS של העירייה, ואפשרה גישה חופשית דרך אתר העירייה למידע רגיש של כ-4,600 תושבים, כולל נתוני רווחה ומידע רפואי בעל רגישות מיוחדת.

האירוע התגלה כלל לא בעקבות בדיקה יזומה של העירייה, אלא בזכות עיתונאי שאיתר את האפשרות לגשת למידע הרגיש באמצעות אתר העירייה ופנה לגורמים הרלוונטיים. עם קבלת הדיווח, המערכת הושבתה באופן מיידי והגישה למידע נחסמה. הרשות להגנת הפרטיות פתחה בהליך בירור מנהלי מול העירייה ומול הספק החיצוני שהפעיל את המערכת שבה אירעה התקלה.

בתום הבירור קבעה הרשות כי עיריית בית שמש הפרה את תקנות הגנת הפרטיות בשני מישורים מרכזיים. ההפרה הראשונה נגעה לכך שהעירייה לא ציינה במסמך ההגדרות של מאגר הרווחה את הספק החיצוני כמחזיק במאגר, וזאת אף שהספק עיבד עבור העירייה מידע אישי וקיבל גישה מתמשכת למערכות המאגר במשך קרוב לשנתיים. ההפרה השנייה התייחסה לליקויים חמורים בנוהל אבטחת המידע של העירייה בכל מה שקשור להתקשרות עם גורמים חיצוניים.

לפי הרשות להגנת הפרטיות, נוהל אבטחת המידע של העירייה לא הסדיר את מטרות השימוש במידע, את סוגי המידע המותרים בעיבוד, את מערכות הגישה ואת משך ההתקשרות עם ספקים חיצוניים. בנוסף, הנוהל לא כלל הפניה להסכמי ההתקשרות ולנהלי האבטחה של אותם גורמים חיצוניים, מה שהותיר פרצה משמעותית באופן שבו העירייה מפקחת על מי שיש לו גישה למידע רגיש של תושביה.

בעירייה ניסו להתגונן וטענו כי הספק החיצוני אינו נכנס להגדרת "מחזיק" במאגר המידע, וכי ההפרות נבעו מ"פער מנהלי בתום לב" שנוצר לאחר כניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות, שהחמיר משמעותית את האחריות המוטלת על גופים שמחזיקים במידע רגיש. הרשות להגנת הפרטיות דחתה את הטענות מכל וכל, וקבעה כי הספק אכן עונה על הגדרת "מחזיק", בין היתר משום שניתנה לו גישה שוטפת למערכות המאגר במשך תקופה ארוכה של כשנתיים. לפי הרשות, היה על העירייה להיערך מבעוד מועד ולעמוד בדרישות החוק והתקנות בזמן, ולא להסתפק בנוהל כללי או בהסתמכות על הסכמים חיצוניים בלבד.

מבחינה כספית, סכום העיצום המקורי שנגזר משתי ההפרות עמד על 80 אלף שקל, כאשר כל הפרה תורגמה ל-40 אלף שקל. בסופו של דבר הופחת הסכום ל-64 אלף שקל, לאחר שהרשות התחשבה בכך שבחמש השנים שקדמו לאירוע לא נרשמו לעיריית בית שמש הפרות קודמות של חוק הגנת הפרטיות. הבירור המנהלי מול הספק החיצוני עצמו, שבמערכת שלו אירעה התקלה המקורית, עדיין לא הסתיים.

עורכת הדין עדי מנחם-באר, מנהלת מערך האכיפה ברשות להגנת הפרטיות, התייחסה לחשיפה ואמרה כי "מדובר היה במידע אישי בעל רגישות מיוחדת, אשר כלל מידע רפואי ונתוני רווחה על תושבים, שהיה חשוף לציבור, על כל המשתמע מכך". היא הוסיפה כי "ארגון המתקשר עם ספקים חיצוניים ומאפשר להם גישה למאגר מידע מסוג זה, נדרש להקפיד על הוראות החוק והתקנות, בכל הקשור להסדרת ההתקשרות עם הספקים החיצוניים המשמשים כמחזיקים במאגר המידע". לדבריה, הרשות תמשיך לאכוף את החובות הקבועות בחוק ובתקנות במטרה לחזק את ההגנה על פרטיות הציבור.

מקרה עיריית בית שמש מצטרף לרשימת אירועי אבטחת מידע שנחשפו בגופים ציבוריים בישראל בשנים האחרונות, ומדגיש את הסיכונים הכרוכים בהעברת מידע רגיש לניהול ספקים חיצוניים בלי פיקוח הדוק. הבירור המנהלי מול הספק החיצוני שבמערכת שלו אירעה התקלה עדיין מתקיים, וייתכן שבהמשך יוטלו עיצומים נוספים בהתאם לממצאיו.

עיריית בית שמש נקנסה ב-64 אלף שקל אחרי שמידע רפואי ורווחה של אלפי תושבים היה חשוף באתר העירייה, וההליך מול הספק החיצוני שבמערכת שלו התגלתה התקלה עדיין מתנהל.