הרשות להגנת הפרטיות במשרד המשפטים הטילה עיצום כספי בסך 64,000 ש"ח על עיריית בית שמש, בתום הליך בירור מנהלי שנפתח בעקבות אירוע אבטחת מידע חמור. במסגרת האירוע, התאפשרה באמצעות אתר האינטרנט של העירייה גישה למידע אישי מתחום הרווחה של כ-4,600 תושבי העיר, ובכלל זה מידע רפואי המוגדר כמידע בעל רגישות מיוחדת.
האירוע נודע לעירייה ולרשות להגנת הפרטיות בעקבות פנייה של עיתונאי, שאיתר את האפשרות לגשת למידע ודיווח עליה. בעקבות הדיווח, הרשות פתחה בהליכי בירור מינהלי מול העירייה ומול הספק החיצוני שהתקשר עם העירייה. המערכת הושבתה ונחסמה הגישה למידע.
בתום הליך הבירור שניהלה הרשות, נמצא כי עיריית בית שמש הפרה את תקנות הגנת הפרטיות, משלא ציינה במסמך ההגדרות של מאגר הרווחה את הספק החיצוני כמחזיק במאגר. זאת על אף שהספק שימש כגורם חיצוני שעיבד מידע אישי עבור העירייה והיתה לו גישה מתמשכת למערכות המאגר.
כמו כן, נמצאו ליקויים בנוהל אבטחת המידע בכל הנוגע להתקשרות עם גורם חיצוני. הנוהל לא הסדיר את מטרות השימוש, סוגי המידע המותרים בעיבוד, מערכות הגישה ומשך ההתקשרות וספקים חיצוניים אחרים. כמו כן, הנוהל לא כלל הפניה להסכמי התקשרות ולנהלי האבטחה של אותם גורמים.
הרשות דחתה את טענות העירייה, לפיהן הספק לא היה בגדר "מחזיק" או כי ההפרות נבעו מ"פער מנהלי בתום לב", לאחר כניסת תיקון 13 לחוק לתוקף. הרשות קבעה כי הספק עונה על הגדרת "מחזיק" בנסיבות העניין, משניתנה לו גישה למערכות המאגר במשך קרוב לשנתיים, וכי היה על העירייה להיערך ולעמוד בהוראות החוק והתקנות במועד.
סכום העיצום הכספי המקורי בגין שתי ההפרות עמד על 80,000 ש"ח, 40,000 ש"ח לכל הפרה, אך הוא הופחת לסך של 64,000 ש"ח. ההפחתה נעשתה הואיל ובחמש השנים שקדמו להפרה לא הוטלו על העירייה עיצומים כספיים או אמצעי אכיפה מנהליים בשל הפרת אותן הוראות.
עו"ד עדי מנחם באר, מנהלת מערך האכיפה ברשות להגנת הפרטיות, מסרה: "החובה לעמוד בדרישות חוק הגנת הפרטיות והתקנות מכוחו, נועדו להבטיח הגנה על המידע האישי שנאסף במאגרי מידע בארגונים שונים. במקרה הנוכחי, דובר במידע אישי בעל רגישות מיוחדת, אשר כלל מידע רפואי ונתוני רווחה על תושבים, שהיה חשוף לציבור, על כל המשתמע מכך".
עוד הוסיפה באר: "ארגון המתקשר עם ספקים חיצוניים ומאפשר להם גישה למאגר מידע מסוג זה, נדרש להקפיד על הוראות החוק והתקנות, בכל הקשור להסדרת ההתקשרות עם הספקים החיצוניים המשמשים כמחזיקים במאגר המידע. נמשיך לאכוף את החובות המנויות בחוק ובתקנות לשם חיזוק ההגנה על פרטיות הציבור".
יצוין כי הליך בירור מינהלי שפתחה הרשות מול הספק החיצוני טרם הסתיים.
1 תגובות