הרשות להגנת הפרטיות במשרד המשפטים הטילה קנס של 64,000 שקלים על עיריית בית שמש, בעקבות אירוע חמור של חשיפת מידע אישי. במסגרת האירוע, נחשף באמצעות אתר האינטרנט של העירייה מידע אישי מתחום הרווחה של כ-4,600 תושבי העיר, לרבות מידע רפואי רגיש.
האירוע התגלה לאחר שעיתונאי איתר את האפשרות לגשת למידע הרגיש ודיווח על כך לעירייה ולרשות להגנת הפרטיות. בעקבות הדיווח, פתחה הרשות בהליכי בירור מינהלי מול העירייה ומול הספק החיצוני שהתקשר עם העירייה. המערכת הושבתה באופן מיידי ונחסמה הגישה למידע.
בתום הליך הבירור המינהלי, קבעה הרשות כי עיריית בית שמש הפרה את תקנות הגנת הפרטיות. העירייה לא ציינה במסמך ההגדרות של מאגר הרווחה את הספק החיצוני כמחזיק במאגר, למרות שהספק שימש כגורם חיצוני שעיבד מידע אישי עבור העירייה והיתה לו גישה מתמשכת למערכות המאגר.
בנוסף, נמצאו ליקויים משמעותיים בנוהל אבטחת המידע בכל הנוגע להתקשרות עם גורמים חיצוניים. הנוהל לא הסדיר את מטרות השימוש במידע, סוגי המידע המותרים בעיבוד, מערכות הגישה, משך ההתקשרות וספקים חיצוניים נוספים. כמו כן, הנוהל לא כלל הפניה להסכמי ההתקשרות ולנהלי האבטחה של אותם גורמים.
הרשות דחתה את טענות העירייה, שניסתה לטעון כי הספק לא היה בגדר "מחזיק" או שההפרות נבעו מ"פער מנהלי בתום לב" לאחר כניסת תיקון 13 לחוק לתוקף. הרשות קבעה כי הספק עונה על הגדרת "מחזיק" בנסיבות העניין, שכן ניתנה לו גישה למערכות המאגר במשך קרוב לשנתיים, וכי היה על העירייה להיערך ולעמוד בהוראות החוק והתקנות במועד.
סכום הקנס המקורי בגין שתי ההפרות עמד על 80,000 שקלים, 40,000 שקלים לכל הפרה, אך הוא הופחת לסך של 64,000 שקלים. ההפחתה נעשתה מאחר שבחמש השנים שקדמו להפרה לא הוטלו על העירייה קנסים או אמצעי אכיפה מנהליים בשל הפרת אותן הוראות.
עו"ד עדי מנחם באר, מנהלת מערך האכיפה ברשות להגנת הפרטיות, מסרה: "החובה לעמוד בדרישות חוק הגנת הפרטיות והתקנות מכוחו, נועדו להבטיח הגנה על המידע האישי שנאסף במאגרי מידע בארגונים שונים. במקרה הנוכחי, דובר במידע אישי בעל רגישות מיוחדת, אשר כלל מידע רפואי ונתוני רווחה על תושבים, שהיה חשוף לציבור, על כל המשתמע מכך".
עוד הוסיפה באר: "ארגון המתקשר עם ספקים חיצוניים ומאפשר להם גישה למאגר מידע מסוג זה, נדרש להקפיד על הוראות החוק והתקנות, בכל הקשור להסדרת ההתקשרות עם הספקים החיצוניים המשמשים כמחזיקים במאגר המידע. נמשיך לאכוף את החובות המנויות בחוק ובתקנות לשם חיזוק ההגנה על פרטיות הציבור".
יצוין כי הליך בירור מינהלי שפתחה הרשות מול הספק החיצוני טרם הסתיים.
0 תגובות