עיריית בית שמש נקנסה אחרי חשיפת מידע רפואי של תושבים

הרשות להגנת הפרטיות במשרד המשפטים הטילה עיצום כספי בסך 64,000 שקלים על עיריית בית שמש, לאחר שתקלה חמורה באתר העירייה חשפה לציבור מידע רפואי ונתוני רווחה של כ-4,600 תושבים. הכסף הוטל בתום הליך בירור מנהלי שבחן את נסיבות האירוע.

הפרצה נבעה מתקלה במערכת ה-GIS שהעירייה קיבלה מספק חיצוני. המערכת איפשרה, דרך אתר העירייה, גישה חופשית למידע אישי רגיש ביותר, כולל פרטים רפואיים ונתונים מתחום הרווחה של אלפי תושבי העיר.

האירוע התגלה במקרה, לאחר שעיתונאי שגלש באתר העירייה איתר את האפשרות לגשת למידע הרגיש. העיתונאי דיווח על הממצאים הן לעירייה והן לרשות להגנת הפרטיות, מה שהוביל לפתיחת בירור מיידי. מיד לאחר קבלת ההתראה, הושבתה המערכת שהכילה את המידע והגישה אליה נחסמה לחלוטין.

בתום הבדיקה קבעה הרשות להגנת הפרטיות כי עיריית בית שמש הפרה את תקנות הגנת הפרטיות בשני מישורים מרכזיים. ראשית, העירייה לא ציינה במסמך ההגדרות של מאגר הרווחה את הספק החיצוני כ"מחזיק" במאגר, למרות שהספק עיבד עבורה מידע אישי וקיבל גישה מתמשכת למערכות המאגר במשך כמעט שנתיים.

שנית, נמצאו ליקויים חמורים בנוהל אבטחת המידע של העירייה בכל הנוגע להתקשרות עם גורמים חיצוניים. הנוהל לא הסדיר את מטרות השימוש במידע, את סוגי המידע המותרים לעיבוד, את מערכות הגישה ואת משך ההתקשרות עם ספקים. בנוסף, הנוהל לא כלל הפניה להסכמי ההתקשרות ולנהלי האבטחה של אותם גורמים חיצוניים.

עיריית בית שמש ניסתה להתגונן בטענה כי הספק החיצוני אינו נחשב "מחזיק" במאגר, וכי ההפרות נבעו מ"פער מנהלי בתום לב" לאחר כניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות, שהחמיר משמעותית את האחריות המוטלת על מחזיקי מידע רגיש. הרשות דחתה את הטענות וקבעה כי הספק אכן עונה על הגדרת "מחזיק", בהתחשב בכך שהייתה לו גישה מתמשכת למערכות המאגר לאורך תקופה ארוכה כל כך.

העיצום הכספי המקורי שנשקל היה גבוה יותר, ועמד על 80,000 שקלים בגין שתי ההפרות. הרשות בחרה להפחית את הסכום ב-20 אחוזים, ל-64,000 שקלים, בשל כך שבחמש השנים שקדמו לאירוע לא נמצאו הפרות קודמות של העירייה בתחום הגנת הפרטיות.

עורכת הדין עדי מנחם-באר, מנהלת מערך האכיפה ברשות להגנת הפרטיות, התייחסה לחומרת האירוע. "מדובר היה במידע אישי בעל רגישות מיוחדת, אשר כלל מידע רפואי ונתוני רווחה על תושבים, שהיה חשוף לציבור, על כל המשתמע מכך", אמרה. היא הוסיפה כי "ארגון המתקשר עם ספקים חיצוניים ומאפשר להם גישה למאגר מידע מסוג זה, נדרש להקפיד על הוראות החוק והתקנות, בכל הקשור להסדרת ההתקשרות עם הספקים החיצוניים המשמשים כמחזיקים במאגר המידע".

הבירור המנהלי מול הספק החיצוני שסיפק את מערכת ה-GIS לעירייה טרם הסתיים, ולא ברור בשלב זה אם יוטלו עליו סנקציות נוספות. ברשות להגנת הפרטיות ציינו כי בכוונתם להמשיך לאכוף את החובות הקבועות בחוק ובתקנות במטרה לחזק את ההגנה על פרטיות הציבור.